레이아웃 1

Size: px

Start display at page:

Download "레이아웃 1"

진 유
5 years ago
Views:

1 소프트웨어취약점분석솔루션 HPE Fortify

NOW 보안취약점은 하드웨어, 네트워크, 소프트웨어등모든수준의기업인프라에영향을미칠수있는보안위협의원천이되는프로그램상의약점입니다. 이러한보안취약점은악의적인사용자가보안기능을피해데이터를훔치거나변경하고, 엑세스를거부하고, 중요한비즈니스프로세스를손상시키는수단으로사용됩니다.

2 NOW 보안취약점은 하드웨어, 네트워크, 소프트웨어등모든수준의기업인프라에영향을미칠수있는보안위협의원천이되는프로그램상의약점입니다. 이러한보안취약점은악의적인사용자가보안기능을피해데이터를훔치거나변경하고, 엑세스를거부하고, 중요한비즈니스프로세스를손상시키는수단으로사용됩니다. 1 보안취약점의증가 2012년에보고된새로운보안취약점은총 81,137개 2011 년에공개된수총 6,844 개보다약 19% 증가 쉽게발견하기어려운고위험취약점의비중이늘어남 ( 보안취약점수 ) 12,000 10,000 8,000 6,000 4, % 14% 20% 17% 22% 44% 75% 64% 36% 2, ( 년도 ) OSVDB를통해측정및공개된보안취약점, 2000~2012 낮은심각도 (CVSS1_4) 중간심각도 (CVSS5_7) 높은심각도 (CVSS8_10) 10 년간보고된 OSVDB 보안취약점의심각도별비율 2 웹애플리케이션보안취약점의지속적증가 (XSS : Cross-Site Scripting) 절반에가까운웹애플리케이션취약점이 XSS와관련 - 정보유출 (%) % Cross-site scripting 26% 25% Insufficient transport layer protection Security misconfiguration 13% Broken authentication 및 session management 9% Injection flaws 2 중요정보를훔치는데사용할공격 URL 을만들고, 이 URL 이합법적인것처럼보이도록위장 1 공격자가애플리케이션에서 XSS 결함발견 3 소셜엔지니어링을통해사용자에게공격 URL 링크배포 악의적인공격자 선량한사용자 금융사이트 4 사용자가로그인하면공격 XSS 링크가포함된 JAVA Script 실행, 사용자의로그인정보가공격자에게전송 HP Fortify on Demand 동적분석발견상위 5 개보안취약점, 2012 Cross-site scripting 공격구조의분석 3 모바일보안취약점의꾸준한증가 모바일보안취약점전년대비 158건에서 266건으로 68% 증가 2008 년대비 787% 증가 % 68% % 애플리케이션이비인가접근에취약 37% 애플리케이션이중요한정보에대한공개문제발견 33% 애플리케이션이 XSS 공격에취약 26% 애플리케이션이부적절한암호화를채택 모바일보안취약점증가수치, 2008~2012 <Source : HPE 보안연구소 2012 년도사이버보안위협보고서 >

3 소프트웨어 취약점 분석 솔루션 HPE Fortify HPE Fortify는 글로벌 1위 제품으로 21종의 다양한 언어, 특히 JAVA V5 이상의 개발 스팩에 대한 분석과 HTML5, Annotation, 그리고 모바일(Android, ios-objective-c) 분석을 지원합니다. 또한 동적분석과 정적분석을 결합한 하이브리드 분석 및 클라우드 분석, 실시간 분석 등 다양한 최신 분석을 선도 하고 있습니다. 소스코드 취약성 점검 툴의 기술 트렌드는 HPE Fortify는 모두를 지원합니다. 더 많은 프로그램 언어 점검 하이브리드 분석 애플리케이션 무결성 보호 솔루션의 연계 정적/동적 점검의 통합 즉, 하이브리드 분석 클라우드 구성 모바일 기기의 사용증가에 따른 모바일 지원 다양한 컴플라이언스 이슈 모바일 운영체제 대규모개발 환경에 적합한 소스 코드 취약성 점검 방안 지원 애플리케이션 보안(시큐어코딩) 글로벌 No.1 CHALLENGERS LEADERS Veracode HPE HPE Fortify는 유일하고 강력한 브랜드 폭 넒은 개발 언어에 대한 포괄적인 SAST(Static Application Security Testing) 기능 제공 IBM Qualys Checkmarx PortSwigger Cigital 세계 최고의 모바일 소스 코드 분석 기술 WhiteHat Security Trustwave ios, Android 애플리케이션에 대한 세계 최고의 AST 기능 제공 Acunetix Rapid7(NTO) N-Stalker Appthority SiteLock IAST (Interactive Application Security Testing) 기술 Synopsys 업계 유일 SAST, RAST, DAST를 통합 기술인 혁신적인 IAST 기능 제공 Contrast Security Virtual Forge ABILITY TO EXECUTE NSFOCUS Pradeo HPE 고유의 애플리케이션 보호 기술 RASP(Runtime Application Self Protection) 기술을 통해, 전통적인 애플케이션 보호 솔루션없이 자체 보호 기능 제공 NICHE PLAYERS COMPLETENESS OF VISION VISIONARIES As of August Gartner Magic Quadrant for Application Security Testing (AST)

제품 소개 정적 분석 소스코드 레벨 취약성 점검 여타 탐지 방식들에 비해 월등히 다양하고 많은 유형의 잠재적 취약성들을 파악 상세 LOC(Line-Of-Code)와 함께 취약성의 근원을 정확히 파악 개발 단계에서 중요한 이슈들을 파악할 수 있도록 지원 개발자를 위한 실시간 분석 플러그인 제공 클라우드 다양한 개발 환경에 적합한 정적 분석 체계 구축

4 제품 소개 정적 분석 소스코드 레벨 취약성 점검 여타 탐지 방식들에 비해 월등히 다양하고 많은 유형의 잠재적 취약성들을 파악 상세 LOC(Line-Of-Code)와 함께 취약성의 근원을 정확히 파악 개발 단계에서 중요한 이슈들을 파악할 수 있도록 지원 개발자를 위한 실시간 분석 플러그인 제공 클라우드 다양한 개발 환경에 적합한 정적 분석 체계 구축 대규모의 다양한 개발 및 엔터프라이즈 환경에 적절하게 자동화된 소스 코드 취약점 분석 환경 구축 기존 구축 방식보다 적은 자원으로 소스 코드 취약점 분석을 수행 Fortify Software Security Server (Optional) FPR Job Requisition FPR / log CloudScan Installed on build machines CloudScan Controller Subnet 1 Subnet 2 CloudScan Cloud

동적분석 웹스케너 공격시나리오시뮬레이션을통해운영중인웹애플리케이션및서비스내부의취약성파악 특정취약성이실제로공격대상이될수있는지여부를검증 우선적으로해결해야하는문제들과그이유를명확히알려줌으로써신속한보안향상지원 Security Gate 계획빌드코딩기능테스트적합테스트코딩 HPE WebInspect WEB Application Scan Results Software

5 동적분석 웹스케너 공격시나리오시뮬레이션을통해운영중인웹애플리케이션및서비스내부의취약성파악 특정취약성이실제로공격대상이될수있는지여부를검증 우선적으로해결해야하는문제들과그이유를명확히알려줌으로써신속한보안향상지원 Security Gate 계획빌드코딩기능테스트적합테스트코딩 HPE WebInspect WEB Application Scan Results Software Security Center Collaborative Web interface or Audit Workbench Report Review React 하이브리드 정적 ( 소스코드취약점 ) 분석과동적 ( 웹취약점 ) 분석의통합 기존에별개로처리되던정적분석과동적분석을하이브리드기술로통합 자동연관검토를통해우선순위식별정보, 취약한소스코드, 전체소스코드대비점검범위등정보제공 애플리케이션취약성점검방법의개선및통합, 취약성에대한보수시간단축 Security Test HPE WebInspect Hybrid Result Hybrid Analysis

6 Fortify Static Code Analyzer 개발단계부터보안취약점발견및조치를통한 안전한애플리케이션개발 지원 SDLC 프로세스와연동되어 보안검토프로세스 로활용 지원대상 : AdobeR Coldfusion, ASP.NET, C/C++, C#, Classic ASP, HTML(HTML5), JAVA, JAVA Script/AJAX, JSP, PHPE, PL/SQL, MS T-SQL, VB for Applications, VB Script, VB.NET, XML, Flex, 환경 (Apache, J2EE, EJB,.NET, Weblogic 등 ), Android JAVA, ios Objective-C, Swift, Ruby, COBOL, ColdFusion, Python, ABAP 개발자관점 ( 소스파일, 라인, 함수 ) 의개선보고서제공으로애플리케이션취약점수정용이 IDE Plug-ins (VS.net, Eclipse, IntelliJ, Android Studio, Borland JBuilder) 지원 Fortify SecurityScoupe, WebInspect Fortify Real-Time Analyzer 애플리케이션보안테스트 HP WebInspect 와연계한정적 / 동적통합하이브리드분석 Application Firewall 세계최초로 Hardened Software 방식사용 Monitoring mode 및 Defense mode 지원 Software Security Center 웹기반의애플리케이션보안현황관리 ( 리포트, 이력관리, 룰관리및업데이트, 사용자관리 ) 온라인협업관리 거버넌스구축지원 엔시큐어 는고객의요구에한발앞서대응하며, 귀사의특화된보안환경구축을위한지속적인노력을이어가고있습니다. 엔시큐어 주소 : 서울특별시강남구테헤란로 333 신도벤처타워 14 층대표번호 : l 팩스번호 : l mktg@ensecure.co.kr

** 5 개이발생한주요소프트웨어별취약점세 EDB 번호취약점종류공격난이도공격위험도취약점이름소프트웨어이름

** 5 개이발생한주요소프트웨어별취약점세 EDB 번호취약점종류공격난이도공격위험도취약점이름소프트웨어이름 EDB 분석보고서 (016.01) 016.01.01~016.01.31 Exploit-DB(http://exploit-db.com) 에공개된취약점별로분류한정보입니다. 분석내용정리 ( 작성 : 펜타시큐리티시스템보안성평가팀 ) 016 년 1 월에공개된 Exploit-DB 의분석결과, SQL Injection 공격에대한취약점보고개수가가장많았습니다. 분석된 SQL Injection