Transcription

1 최종연구보고서 KISA-WP 소프트웨어보안취약점 평가체계연구 Research on Software Vulnerability Scoring Systems 수탁기관 : 한국정보보호학회

2

3 제출문 한국인터넷진흥원원장귀하 본보고서를 소프트웨어보안취약점평가체계연구 의최종 연구보고서로제출합니다 년 월 일 수탁기관 한국정보보호학회연구책임자 교수안준선 한국항공대학교항공전자및정보통신공학부 참여연구원 교수창병모 숙명여자대학교컴퓨터과학부 교수이은영 동덕여자대학교컴퓨터학과

4

5 요약문 제목 소프트웨어보안취약점평가체계연구 연구개발의목적및중요성본연구의목적은국내환경에적합한소프트웨어보안취약점의중요도평가방법론을제시하는것이다 본연구는신규보안취약점발굴에대한포상 보안취약점데이터베이스구축등의다양한보안취약점대응사업에필수적인기본자료를제공한다 본연구결과를활용하여보안취약점대응의효율과효과를높이고 취약점발굴포상및취약점대응우선순위선정의근거를확보할수있을것으로판단된다 연구개발의내용및범위국내환경에적합한보안취약점평가방법을개발하기위하여 국내외관련동향및연구결과에대한조사를수행하며 대표적인보안취약점및보안약점평가방법인 와 에대한연구를기반으로국내취약점발굴사례에대한시범평가를수행한다 이러한연구를기반으로국내환경에맞는보안취약점평가방법을개발하고 국내취약점발굴사례에이를적용한다 연구결과 보안취약점중요도정량평가와보안취약점발굴포상제에대한국 - i -

6 내외관련사례연구결과를제공하며, 대표적보안취약점및약점평가방법인 CWSS 및 CVSS에대한연구결과및이에기반한국내보안취약점보고사례에대한시범평가결과를제시한다. 최종적인연구결과로서국내환경을고려한보안취약점평가방법론및이를적용한국내취약점사례시범평가결과를제공한다. 활용에대한건의국내신규취약점발굴포상에대한근거자료도출에사용될수있으며 아울러보안취약점데이터베이스구축시중요도점수를함께제공함으로써보안취약점에대한대응 교육 연구 제품개발등에활용할수있다 기대효과보안취약점중요도에대한객관적자료를제공함으로써관련취약점대응사업의추진에대한객관적근거제시및효율적추진에도움이될것으로판단된다 - ii -

7 - iii -

8 - iv -

9 목 차 제 장서론 제 절과제의필요성 제 절과제의목표및내용 제 장국내외동향조사 제 절 제 절 제 절보안취약점데이터베이스 제 절국내외취약점포상사례 제 장 시범평가 제 절 평가항목및평가기준 제 절국내보안취약점사례에대한시범평가 제 절시범평가결과 제 장 시범평가 제 절 평가항목및평가기준 제 절국내보안취약점사례에대한시범평가 제 절 시범평가결과 - v -

10 제 장소프트웨어대상신규취약점평가방법연구 제 절서론 제 절기존보안취약점및보안약점평가방법개요 제 절평가척도의설정 제 절중요도점수의산정 제 장결론 - vi -

11 - vii -

12 - viii -

13 그림목차 그림 메트릭그룹 그림 메트릭과공식의관계 그림 의 평가척도 그림 환경에따른경감 그림 메트릭그룹과그룹별하위요소들 그림 계산기예시 그림 항목대상 측정예 그림 기본점수 그림 홈페이지 그림 대중적인취약점처리프로세스 그림 취약점처리프로세스 그림 홈페이지에서취약점제출화면 그림 취약점보고예시 그림 크롬프로젝트 그림 어베스트사버그바운티 그림 제로데이이니셔티브프로그램 그림 제로데이이니셔티브취약점보고예시 - ix -

14 - x -

15 표차례 표 접근벡터 표 접근난이도 표 인증 표 기밀성영향 표 무결성영향 표 가용성영향 표 공격가능성 표 대응수준 표 보고신뢰성 표 부수적피해잠재성 표 대상분포 표 보안요구 표 권한범위평가척도 표 영향범위평가척도 표 필요한권한평가척도 표 사용자상호작용평가척도 표 에포함된평가방식 표 메트릭그룹과하위요소 표 메트릭그룹과하위요소 표 메트릭그룹과하위요소 표 구글의보상프로그램등급 표 보상등급 표 제로데이이니셔티브취약점예 - xi -

16 표 국내보안취약점사례 표 평가항목별점수 표 평가메트릭그룹요약 표 평가결과점수 표 평가결과점수 내림차순정렬 표 국내보안취약점사례 표 평가항목별점수 표 보안취약점평가결과 점수순 표 평가영역별부분점수 표 기술적인영향 평가결과 표 공격유형 평가결과 표 환경적인영향 평가결과 표 평가요소별척도 표 취약점평가를위한평가척도의설정 표 목적에따른평가요소의반영 표 신규중요도평가체계시범평가결과 표 추진일정대비진척도 - xii -

17 제 장서론 제 절과제의필요성 국내외소프트웨어보안취약점동향 소프트웨어소스코드의보안약점 (weakness) 으로인한보안취약점 (vulnerability) 이정보시스템의보안침해예방에있어중요한과제로제시되고있으며, 정보시스템에서발견되는이러한보안취약점에대한효과적이면서도신속한대응에대한관심이증가하고있다. 또한개발중인소프트웨어에대해서도, 소스코드내에존재하는보안약점들에대하여향후시스템의보안취약점을유발하는치명적인약점들을선별하고제거하여야하며, 이러한작업을효과적으로수행하기위한다양한기술적및정책적노력들이이루어지고있다. 소프트웨어에서발생할수있는보안약점과이를통해서발생할수있는보안취약점에대한정보를축적하고이를효과적으로제공하고자하는연구가활발히진행되어지금까지상당한진척과성과를보이고있으며, 대표적인사례로는미국 MITRE 재단의 CVE (Common Vulnerability Enumeration), CWE (Common Weakness Enumeration) 프로젝트와중요보안약점을선별하여발표하는 CWE/SANS Top 25, OWASP Top 10 등을들수있다. 국내에서는 2009년부터정보시스템보안강화체계를시작으로, 소스코드보안취약점진단도구등과함께이에대한각종관리점검기준및가이드라인등이개발되어, SW 소스코드의보안성강화를위한국가적측면의공공보안강화체계를구축하고있으며, 공공기관의정보시스템구축시소프트웨어개발보안의수행의무를단계적으로강화하고있다

18 소프트웨어보안취약점평가체계동향 현재가장대표적인보안약점및보안취약점평가체계로는 CWSS (Common Weakness Scoring System) 와 CVSS (Common Vulnerability Scoring System) 가있다. CWSS는보안약점의중요도를평가하는체계로서총체적인 SW 보안약점명세데이터를구축하는 CWE 프로젝트의일환으로추진되었다. CWE 와 CWSS의특징은안전한소프트웨어의개발과보안유지에책임이있는당사자들인정부, 학계, 산업체들이모여서만드는커뮤니티형태의협업이라는점에있다. 현재이프로젝트는미국 NCSD (National Cyber Security Division) 과미국 DHS (Department of Homeland Security) 의지원을받아서진행되고있다. CWSS는소프트웨어에일반적으로발생하는다양한약점에대하여제거의우선순위를줄수있는정량적인기준을제시한다. 정량적인기준을제시하기위한다양한메트릭을약점자체의심각성 (Base Finding Metric Group), 공격측면의심각성 (Attack Surface Matric Group), 환경적측면의심각성 (Environment Matric Group) 으로분류하여그정량적기준과함께제시하고있으며, 아울러소프트웨어가사용되는도메인에적응하여중요성조정할수있는방법론인 CWRAF (Common Weakness Risk Analysis Framework) 를제시하고있다. 현재 CWSS는버전 0.8이 2011년 6월에발표되었으며, 아직정식버전은발표되지는않은상태이다. CWSS의결과는 2011 SANS Top 25의선정에일부평가척도가활용되었다. CVSS는보안약점으로부터실제발생한보안취약점의중요성을평가하는연구결과로보안취약점평가를위한일반적인프레임워크를제공한다. CVSS는실제사용되고있는소프트웨어에서공격에침해될수있는실제적인보안취약점을대상으로하기때문에 CWSS와차별성을갖는다. CVSS는보안취약점을본질적인기본척도 (Base Metric), 시간에따른척도 (Temporal Metric), 환경적인척도 (Environmental Metric) 에 - 2 -

19 따라평가하도록하여보안취약점의심각성을다양한관점에서평가하기위한방법을제공하고있다. 그러나실제 NVD 등의제공사례에서는기본척도만을사용하고있다. 현제 CVSS는어느정도정착단계에이르러버전 2가주로활용되고있으며다음버전의개발에대한연구가진행되고있다. 국내환경에적합한보안취약점평가체계의필요성 반면소프트웨어보안취약점은그자체의본질적인특성뿐아니라사용되는환경이나응용분야의특성, 소프트웨어점유율, 시간및지역에따라변화하는정보시스템환경등에영향을받게되므로, 국내에서도이러한국내소프트웨어환경특성을고려한새로운소프트웨어보안취약점평가체계를구축할필요가있다. 또한같은척도라할지라도국내상황에맞는적절한객관적기준이새로설정되어야할것이다. 따라서국내환경을고려한타당한정량적및정성적기준을제시하고이에기반하여중요소프트웨어보안취약점을독자적으로추출할수있는소프트웨어보안취약점평가체계를새롭게구축하는작업은국내소프트웨어보안성강화의지속적인추진을위해반드시선행되어야한다. 이러한소프트웨어보안취약점평가체계를새롭게구축하기위해서는먼저국 내외보안취약점평가체계및적용관련활동을체계적으로조사할필요가있다. 이를통해서 CVSS, CWSS 등의장단점을분석조사하여야한다. 또한 NVD (National Vulnerability Database) 및 OSVDB (Open Source Vulnerability Database) 등보안취약점 DB의보안취약점평가체계적용방법, 보안취약점관련국제표준화추진동향, 주요민간업체의보안취약점평가방법, 국 내외보안취약점포상 (Security Bug Bounty) 사례를통한보안취약점평가방법및적용사례등을조사할필요가있다. 보안약점에대한정량평가방법으로 CVSS, CWSS 등이제안되어있 - 3 -

20 지만, 현재 NVD 등의데이터베이스구축에서사용된 CVSS의적용사례는기본척도만사용하고있어, 보안취약점의파급도나대상소프트웨어의점유율등은충분히반영하고있지않으며, 나머지환경적, 시간적척도도국내환경을적절히반영하는데적합한지확실하지않으며기준도재설정되어야한다. 또한 CWSS 연구결과는약점에대한척도라는점에서보안취약점과어느정도차이가있다는제약점을가지며, SANS Top 25 등의적용사례에서는이중중요도 (importance), 유행도 (prevalence), 침해가능성 (likelihood of exploit) 만적용하고있어, 소프트웨어사용환경을반영한심각성평가를적절히수행하지못하고있다. 따라서국내소프트웨어의보안취약점에적절히대응하기위해서는, 기존의연구결과를기반으로국내소프트웨어이용환경을고려한보안취약점의파급도, 위험도, 소프트웨어점유율, 시스템에서의사용정도등을복합적으로반영하여보안취약점에대한심각성을적절히평가할수있는기준및이를기반으로한평가방법개발이필요하다. 또한이렇게개발된소프트웨어보안취약점평가체계를시범적으로적용하고그효용성을 CVSS 및 CWSS 등과비교하여개선하는연구가병행되어야할것이다. 이러한보안취약점에대한평가체계연구는보안취약점에대한다양한대응사업을효율적으로수행하기위한필수적인기반데이터로활용될수있을것으로판단된다. 제 절과제의목표및내용 과제의목표 본과제의목표는국내환경에적합한보안취약점평가방법을연구 하고이를바탕으로새로운보안취약점평가방법을연구하고이를국 내보안취약점에시범적용하는것이다. 각각에대해서요약정리하면 - 4 -

21 다음과같다. 국내환경에적합한보안취약점 평가방법연구 - 국내외보안취약점평가체계와및적용관련동향조사분석 - 소프트웨어보안취약점의중요도를정량평가함에있어고려되어야할국내소프트웨어환경의특징연구 - 소프트웨어보안취약점평가에국내환경을고려한파급도및위험도를반영하기위한방법연구 - 국내환경에적합한소프트웨어보안취약점평가체계및객관적평가척도정립연구 소프트웨어대상신규보안취약점평가방법연구및시범적용 - 기존방법에의한정량평가를위한객관적기준설정 - 기존보안약점및보안취약점정량평가방법론 (CVSS, CWSS) 적용 - 국내소프트웨어환경에적합한한국형보안취약점정량평가방법적용 - 시범평가결과분석및추가개선수행 주요연구내용 본과제의목표를이우기위한주요연구내용은크게다음과같이세 가지로정리할수있으며각각에대한설명은다음표와같다. 국 내외보안취약점평가체계및적용관련동향조사 소프트웨어대상신규보안취약점평가방법연구 보안취약점평가체계시범적용 - 5 -

22 국 내외보안취약점평가체계및적용관련동향조사 주요내용 의 분석 Ÿ 한국형보안취약점데이터베이스구축, 보안취약점보상체계를위한기반연구로서보안취약점중요도분석기준에대한관련내용조사및분석 의 분석및적용사례조사 Ÿ CWSS 평가척도및중요도계산방법론조사및분석 및 등보안취약점 의보안취약점평가체계적용방법조사 Ÿ NVD 및 OSVDB의전반적인체계조사 Ÿ NVD와 OSVDB에서는모두 CVSS의기본점수 (Base Score) 에가반한보안취약점정량평가결과를제시하고있으므로이를확장하여실제적인심각성을반영하기위한방법연구 보안취약점관련국제표준화추진동향조사 Ÿ 보안취약점에대한일관성있는정보제공을위한연구동향과관련산학연활용동향을조사함. 社 등주요민간업체의보안취약점평가방법및적용사례조사 국 내외보안취약점포상 사례를통한보안취약점평가방법및적용사례조사 Ÿ 취약점포상을위한보안취약점의중요도반영방법및적용사례조사 Ÿ 본연구의보안취약점중요도평가방법개발에있어, 포상을위한보안취약점중요도평가에사용되는주요척도의반영가능성연구 - 6 -

23 소프트웨어대상신규보안취약점평가방법연구 주요내용 국내소프트웨어이용환경을고려한보안취약점의파급도및위험도평가연구 Ÿ 취약점의파급도및위험도평가를위한객관적기준정립연구 소프트웨어대상신규보안취약점평가방법개발 Ÿ 해외연구결과와국내실정반영방법을적용하여평가방법개발 보안취약점평가체계시범적용 주요내용 국내소프트웨어보안취약점대상 및 평가시범적용 Ÿ 국내보안취약점발생사례에대한시범적용실시 연구결과로개발한보안취약점평가방법시범적용 Ÿ 국내보안취약점발생사례에대한시범적용실시 - 7 -

24 - 8 -

25 제 장국내외동향조사 제 절 소개 이질적이고다양한하드웨어와소프트웨어에결합되어있는취약점을평가하는것은 관리측면에서매우중요한일이다 평가된취약점은우선순위가부여되어관리되어야하며위험수준이높은순위에따라적절한대처가취해져야한다 그러나만일서로다른방식으로측정되고점수가부여된대상들이모두긴급한대처를요구한다면 관리자는판단은어려울수밖에없다 는이러한문제에대처하기위한시도이며 취약점에대한영향과특성을표현하기위한공통프레임워크를제공하려는노력의결과이다 는 와카네기멜론대학의연구를바탕으로개발되어현재 에의하여관리되고있는취약점평가표준이다 공식적인최신버전은 년에발표된 표준이며 버전 이내년발표를예정으로검토중인것으로알려져있다 는다음과같은이점이있다 표준화된취약성점수배점 만일조직내에서모든소프트웨어와하드웨어플랫폼에대해정규화된취약성점수배점을수행한다면단일화된취약점관리정책을강력히수행할수있다 이런방식의정책은특정취약점에대해얼마나신속히검증하고치료할수있는지를설명하는서비스수준협약 과유사한것이다 - 9 -

26 개방형프레임워크 만일취약점이임의로배점된다면사용자들은이에대해혼란을느낄수있다 어떤특성때문에그러한점수가부여되었는지 지난번릴리즈된것과지금것과는어떻게다른지등에관한질문이가능할것이다 를통해모든사람들은점수에관련된개별특성들을접근할수있다 위험우선순위화 환경요소가점수화된다면취약점은상확적인요소가된다 즉이러한점수는어떤조직의특정한위험을대표하는점수가된다는뜻이다 사용자는특정취약점이다른취약점에비해어느정도중요한지를인식할수있다 의평가항목은기본 시간 환경 과 같은세가지메트릭그룹으로구성된다 그림 메트릭그룹 기본메트릭그룹 취약점특성중특정시간의흐름이나사용자환경에영향을받지않는특징이며고유하고근본적인특징을표현하는평가항목들로이루어진다 시간메트릭그룹 취약점특징중시간의흐름에따라변할수있으나사용자환경에는독립적인특징을표현하는평가항목들로이루어진다 환경메트릭그룹 취약점특징중특정사용자환경에관련이있으며사용자환경의특징을표현하는평가항목들로이루어진다

27 평가에서중요한개념중하나는각메트릭그룹의평가항목의값으로구성된벡터이다 예를들어기본메트릭그룹내의평가항목들의값으로구성된기본메트릭벡터가있으며 비슷하게시간메트릭벡터 환경메트릭벡터가있다 평가점수의핵심은기본메트릭점수 이하기본점수라고함 이며이점수는기본메트릭그룹에속한평가항목의값들을이용하는계산공식으로계산되며 부터 사이의값을갖는다 이기본메트릭점수는그림 와같이시간메트릭과환경메트릭의점수를계산하는데이용된다 그림 메트릭과공식의관계 그림 에서처럼기본메트릭점수은필요할경우에선택적으로시간메트릭점수와환경메트릭점수로정제될수있다 사용자는이러한과정을통해사용자환경에내제된취약점특성을정교하게계산에반영함으로써유용한정보로활용될수있다 각메트릭그룹에대해서하나씩살펴보도록한다 메트릭그룹및세부평가지표 가 기본메트릭그룹 기본메트릭그룹은특정시간의흐름이나사용자환경에영향을받지

28 않는취약점에대한고유하고근본적인특징을표현한다 이그룹은취 약점에대한고유품질을표현하는그룹으로서접근벡터 접근복잡도 인증 보안성영향 무결성영향 가용성영향등의평가항목을갖는다 접근벡터 이평가항목은취약점이어떻게공격에이용되는지를반영한다 가능한 값의종류가 표 에나타나있다 더욱원거리의공격자가호스트를 공격할수있을수록취약성점수가커진다 표 접근벡터 평가값 Local(L) Adjacent Network(A) Network(N) 설명오직지역적인접근을가지고서악용할수있는취약점은공격자에게취약한시스템에대한물리적접근이나지역적인계정을가지도록요구한다. 그예로 Firewire/USB DMA공격, 지역적권한상승 ( 예. sudo) 과같은외적인공격을들수있다. 인접한네트워크의접근을가지고서악용할수있는취약점은공격자에게브로드캐스트나취약한소프트웨어의충돌도메인에대한접근을가지도록요구한다. 지역네트워크는지역 IP서브넷, bluetooth, IEEE 그리고지역 Ethernet 세그먼트를포함한다. 네트워크의접근을가지고서악용할수있는취약점은취약한소프트웨어가네트워크스택에묶여있고, 공격자에게지역네트워크나지역적인접근을요구하지않는다는것을의미한다. 이런취약점은종종원격에서악용가능한것으로불린다. 네트워크공격의예로는 RPC 버퍼오버플로우가있다. 접근난이도 이평가항목은공격자가이미목표시스템에접근성을확보한뒤취약

29 점을얼마나복잡하게공격하는지에관한측정을한다 예를들면 인터넷서비스의버퍼오버플로우의경우일단목표시스템에들어온이후공격자는자신이원하는방향으로공격을수행한다 다른취약점의경우공격을수행하기위해추가적인활동이필요하다 에를들어이메일클라이언트에대한취약점의경우사용자가첨부문서를다운로드받고열어볼때에만공격이가능하다 가능한값의종류가 표 에있으며접근난이도가낮을수록취약성점수는높다 표 접근난이도 평가값 설명 High (H) 특화된접근조건이존재한다. 예를들어 Ÿ 대부분의환경에서공격자는미리상승된권리나공격시스템외에부가적인속임수시스템을가져야한다.( 예. DNS hijacking) Ÿ 공격은지식이있는사람들에의해쉽게발견될수있는사회공학메소드에의존한다. 예를들어피해자는여러의심이가거나불규칙적인행동을수행해야한다. Ÿ 취약한환경은매우드물게실제문제로써보인다. Ÿ 만약경쟁상태가존재한다면윈도우는매우제한된다. Medium (M) 접근조건은다소특화되어있다. 예를들어 Ÿ 공격자는몇몇의다소신뢰할수없는권리레벨에서의시스템이나사용자그룹에제한된다. Ÿ 몇몇의정보는성공적인공격이나오기전에수집되어야한다. Ÿ 영향을받은환경은디폴트가아니며, 일반적으로구성되어있지않다 ( 예. 취약점은서버가특정스키마를통해사용자계정인증을수행할때나타나지만또다른인증스키마에서는나타나지않는다.) Ÿ 공격자는경우에따라신중한사용자를속일지모르는사회공학의작은부분을요구한다.( 예 : 웹브라우저의상태바를다른링크로보이게변경하는피싱공격 ) Low (L) 특화된접근조건이나참작할만한환경은존재하지않는다. 예를들

30 어 Ÿ 영향을받은제품은전형적으로시스템과사용자의넓은범위에대한접근을요구한다. Ÿ 영향을받은환경은디폴트며어디에나있을수있다. Ÿ 공격자는수동적으로수행될수있으며, 사소한기법이나부가적인정보수집요구한다. Ÿ 경쟁상황은느슨한것들중하나이다. 인증 이평가항목은공격자가목표시스템에침투하기위해서몇번의인증을받아야하는지를측정한다. 이평가항목은인증프로세스의복잡도나강도를재는것은아니며단지공격자가침투하기위해필요한인증횟수를잰다. 이평가항목의가능한값들은 [ 표 2-3] 에나타나있다. 적은수의인증횟수가요구될수록취약성점수는높다. 표 인증 평가값 Multiple (M) 설명취약점악용하기위해서공격자는두번이상의인증을해야하며, 심지어각시도에몇몇의인증서가사용된다. 어플리케이션에대한접근증명서를제공하는것외에 OS에대한공격자인증이일어난다. Single (S) 취약점에접근하여악용하는데단한번의인증을요구한다. None (N) 인증이요구되지않는다. 기밀성영향 이평가항목은성공적으로공격된취약점에대한기밀성영향을측정 한다 기밀성은인가된사용자에게만접근을제한하거나감추어지도록

31 정보를관리하며동시에인가되지않은사용자에게는접근을사전에차단하거나은폐시키는것을말한다 이평가항목의가능한값들은 표 에나타나있다 기밀성영향이증가할수록취약성점수는높다 표 기밀성영향 평가값 설명 None(N) 시스템의기밀성에영향을미치지않는다. Partial(P) 상당한정보의누출이있다. 몇몇의시스템파일에대한접근이가능하다. 그러나공격자는획득한것을넘어제어할수없으며, 손실의범위를제한한다. 예로서 DB에서오직일정한테이블만이노출되는취약점이있을수있다. Complete (C) 모든시스템파일을드러내는결과를낳게되는완전한정보의누출이 있다. 공격자는시스템의모든데이터를읽을수있다.( 메모리, 파일등 등 ) 무결성영향 이평가항목은취약점이성공적으로공격되었을때의영향을측정한다 무결성이라정보에대한신뢰도 와보증된정확도를나타낸다 이평가항목의가능한값들은 표 에나타나있다 무결성영향이클수록취약성점수는높다 표 무결성영향 평가값 설명 None(N) 시스템무결성에대한영향은없다

32 Partial(P) 몇몇시스템파일이나정보의변경이가능하다. 그러나공격자는변경될수있는것을넘어선제어를할수는없으며, 공격자가영향을미칠수있는것의범주는제한되어있다. 예를들어시스템이나어플리케이션파일은덮여쓰여지거나변경될지모르지만역시공격자는영향을받은파일이외에는제어를할수없고오직제한된범주안에서변경이가능하다. Complete (C) 시스템무결성이전체적으로위험에드러나있다. 시스템보호의완 전한손실이있으며, 이는전체시스템의위험노출로이어진다. 공 격자는타겟시스템이어떤파일에도변경을가할수있다. 가용성영향 이평가항목은성공적으로공격되었을때의가용성영향을측정한다 가용성이란정보자원의접근성 을의미한다 공격자는네트워크대역폭 프로세스사이클 디스크공간등시스템가용성에영향을주는모든요소를의미한다 이평가항목의가능한값들은 표 에나타나있으며가용성영향이클수록취약성점수가높다 표 가용성영향 평가값 설명 None(N) 시스템의가용성에대한영향은없다. Partial(P) Complete (C) 성능이줄어들거나자원이용하는데방해가있다. 예를들어인터넷서비스를위해성공적인연결수에제한을두는네트워크기반의플러드공격이있다. 자원이영향을받아완전히사용할수없게된다. 공격자는자원을완전히이용못하도록할수있다. 나 시간메트릭그룹

33 시간메트릭그룹은시간에따라변할수있는취약점의특성을평가 하기위한평가기준으로공격가능성 대응수준 보고의신뢰성등의 평가항목이여기에속한다 공격가능성 이평가항목은공격을위한방법이나코드의존재여부에따라공격의 용이성을평가한다 표 공격가능성 평가값 Unproven(U) Proof-of-concept (POC) Functional (F) High(H) Not Defined (ND) 설명이용할수없는공격코드이거나완전히이론상으로가능한것이다. 공격의개념을시험하거나, 실제적으로는대부분의시스템에는맞지않는공격시연이이용가능하다. 그코드나기술은모든환경에작용하지않고, 숙련된공격자에의한많은변경을필요로할지모른다. 기능적공격코드가이용가능하다. 그코드는취약점이발견된대부분의상황에서영향을미칠수있다. 각취약점은기능모바일자발적인코드에의해악용가능하며, 또공격이요구되지않고 ( 수동트리거 ) 자세한사항은넓게이용가능하다. 코드는모든상황에서영향을미칠수있으며, 실질적으로모바일자발적인에이젼트 ( 웜이나바이러스같은 ) 를경유하여전파된다. 메트릭에서이값은점수에영향을미치지않는다. 대응수준

34 이평가항목은취약점에대한우선순위설정을위한중요한요소이다 일반적으로취약점이발표될시점에는적절한패치가없는경우가많으며 공식적인패치나업그레이드의발표이전에비공식적인회피방법이나수정이발표되기도한다 이러한대응의단계에따라취약점에대한평가는점차적으로하향조정될수있다 표 대응수준 평가값 Official Fix (OF) Temporary Fix (TF) Unavailable (U) Not Defiled (ND) 설명이용가능한완전한벤더솔루션이있다. 각벤더는발표된공식패치를가지고있거나업그레이드가이용가능해야한다. 공식적이긴하나임시적인수정방법이있다. 이는벤더가발표한임시적인응급패치프로그램, 툴, 임시방편을포함한다. 이용가능한솔루션이없거나, 그것을적용하는것이불가능하다. 메트릭에서이값은점수에영향을미치지않는다. 보고신뢰성 이평가항목은보안취약점의존재와이로야기되는알려진기술적문 제점에대한신뢰도를평가하기위하여사용된다 표 보고신뢰성 평가값 Unconfirmed (UC) Uncorroborated 설명한개의확인되지않은자원이나어쩌면모순될수있는많은보고서가있다. 보고서의정당성에대한기밀이적으며, 그예로해커언더그라운드로부터드러난루머를들수있다. 어쩌면독립적인보안회사나리서치기관을포함하는많은공

35 (UR) Confirmed (C) Not Defined (ND) 식적이지않은자원이있다. 그점에서모순되는기술적인디테일이나다른애매모호함이있을수있다. 그취약점은벤더나영향을받은기술의프로그래머에의해서알려진다. 그취약점은또한그존재가기능성의발표나공격코드의기술검증, 일반적인공격과같은외부이벤트로부터알려졌을때확립되어 (confiremed) 질수있다. 메트릭에서이값은점수에영향을미치지않는다. 다 환경메트릭그룹 환경메트릭그룹은사용자의환경의특성을반영할수있는평가항목 으로부수적피해잠재성 대상분포 보안요구조건등의평가항목이여 기에속한다 부수적피해잠재성 이평가항목은취약점을이용한공격이성공하였을때자산이나장비의파괴혹은도난으로인해발생할수있는잠재적인인적물적피해를측정하며이로인해발생할수있는생산성이나매출의경제적손실도측정한다 표 부수적피해잠재성 평가값 설명 None(N) 생명, 물적자산, 생산성또는수익의잠정적인손실은없다. Low (L) 이취약점에대한성공적인공격은약간의물리적인손실이나자 산손실의결과를낳는다. 또한기관의생산성이나수익에손실 에도약간의영향을미칠수있다

36 Low-Medium (LM) Medium-High (MH) High (H) NotDefined (ND) 이취약점에대한성공적인공격은중간정도의물리적인손실이나자산손실의결과를낳는다. 또한기관의생산성이나수익의손실에도어느정도영향을미칠수있다. 이취약점에대한성공적인공격은상당한물리적인손실이나자산손실의결과를낳는다. 또한기관의생산성이나수익의손실에도상단한영향을미칠수있다. 이취약점에대한성공적인공격은비극적인물리적인손실이나자산손실의결과를낳는다. 또한기관의생산성이나수익의손실에도비극적인영향을미칠수있다. 메트릭에서이값은점수에영향을미치지않는다. 대상분포 이평가항목은보안취약점으로인해침해가예상되는시스템의범위 를평가하기위하여사용된다 표 대상분포 평가값 None(N) Low(L) Medium(M) High(H) 설명대상시스템이존재하지않거나, 오직연구실에서만배치되어있는매우전문화되어있는것이다. 그환경의 0% 가위험에처해있다. 대상시스템이그환경안에서만존재하거나, 작은규모에서만존재한다. 그전체환경의 1%~25% 가위험에처해있다. 대상시스템이그환경안에서만존재하거나, 중간정도의규모에서만존재한다. 그전체환경의 26%~75% 가위험에처해있다. 대상시스템이그환경안에서만존재하거나, 상당한규모에서만존재한다. 그전체환경의 76%~100% 가위험에처해있다

37 평가값 Not Defined (MD) 설명 이값은점수에영향을미치지않는다. 보안요구조건 이평가항목은취약점공격으로영향을받는 자산의사용자환경에서의기밀성 무결성 가용성의중요도에따라 점수를조정할수있도록해준다 즉 기밀성 무결성 가용성의중요도에따라기밀성 무결성 가용성점수에가중치를줌으로써취약성점수를조정한다 표 보안요구 평가값 Low(L) Medium (M) High(H) Not Defined (MD) 설명기밀성, 무결성, 가용성의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게제한적으로불리한영향을끼친다. 기밀성, 무결성, 가용성의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게심각하게불리한영향을끼친다. 기밀성, 무결성, 가용성의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게비극적이게불리한영향을끼친다. 메트릭에서이값은점수에영향을미치지않는다. 버전업데이트 현재 CVSS 버전 2 는버전 3 (CVSS v3) 로업데이트가진행중이며 2014 년 6 월에완료될예정이다. CVSS v3 는지금까지지적된 CVSS v2 의

38 주요문제점들을보완하게될것이다. CVSS v2 의주요문제점과이를 개선하기위한 CVSS v3 의안은다음과같다. 가 범위 문제 CVSS v2의기밀성영향 (C), 무결성영향 (I), 가용성영향 (A) 등의영향의개념은호스트운영체제에대한영향으로그범위가제한되어있다. CVSS v2의이러한개념은최근에가상화 (virtualization), 네트워크등이많이사용되는컴퓨팅환경으로바뀜에따라그문제점이제기되고있다. CVSS v3에서는이러한문제점을해결하기위해범위 (scope) 라는개념을도입할예정인데범위는크게권한범위 (Authorization Scope) 와영향범위 (Impact Scope) 로구분된다. 권한범위 (Authorization Scope) 는취약한컴포넌트에대한공격자의권한의범위를평가하기위한척도로그평가척도값과설명은다음표와같다. 표 권한범위평가척도 평가척도값 Increased Component 설명독립적인권위로부터의권한혹은취약한컴포넌트의모든자원을제어할수있는권한. 컴포넌트자체에의해서승인된권한혹은컴포넌트의사용을승인하기위해사용되는권한. Decreased 컴포넌트나그하위부분에의해서제어된소스로부터나온권한. 영향범위 (Impact Scope) 는취약한컴포넌트에대한공격자의영향의 범위와제어의범위를평가하기위한척도로응용, 호스트, 가상화, 네트

39 워크등에대한영향을측정할수있다. 그평가척도값과설명은다음 표와같다. 표 영향범위평가척도 평가척도값 Increased Component Decreased 설명취약한컴포넌트와무관한권위에의해제어된정보자원이주로영향을받음. 컴포넌트자체 ( 혹은같은권한 ) 에의해서제어된자원이주로영향을받음. 컴포넌트나그하위부분에의해서제어된자원이주로영향을받음. 나 필요한권한 인증 (Authentication) 평가척도는공격자가목표시스템에침투하기위해서몇번의인증을받아야하는지를측정하기위한척도로도입되었으나 NVD의조사결과 90% 이상이 None이었으므로그실효성이거의없는것으로밝혀졌다. 따라서 CVSS v3에서는인증평가척도를제거하고공격자가공격하기위해필요한권한을새로운척도로사용할예정이다. 필요한권한 (Privileges Required) 척도는공격자가공격하기위해필요한권한을나타내는척도로 None, Low, High, Complete 값으로평가한다. 각값에대한설명은다음표와같다. 표 필요한권한평가척도 평가척도값 설명 None 권한없음

40 Low 낮은영향이가능한권한으로 Complete 영향은줄수없는 권한혹은덜심각한영향이가능한권한. High 상당한권한으로 1~2 개의 Complete 영향을줄수있는권한 혹은심각한자원에대한 Partial 영향이가능한권한 Complete 3 개의 Complete 영향을줄수있는완전한권한. 다 사용자상호작용 CVSS v3 에서는접근복잡도 (Access Complexity) 의사회공학부분을 제거하고사용자상호작용 (User Interaction) 으로대치할예정이다. 사용 자상호작용의평가척도값과그설명은다음표와같다. 표 사용자상호작용평가척도 평가척도값 설명 None 공격성공을위해서사용자와상호작용이필요없음. Simple Complex 공격성공을위해서사용자의통상적으로기대되는액션 ( 이메일열기, 링크클릭, PDF 보기등 ) 이필요함. 공격성공을위해서사용자의통상적이지않는액션이필요함. CVSS v3 에서는앞에서기술한새로운평가척도를포함하여 ( 그림 2-3) 과같이공격가능성점수 (Exploitability subscore) 와영향점수 (Impact subscore) 를계산할것이다. 라 환경에따른경감

41 CVSS v3 에서모든 Base 평가척도는환경에따라경감될수있다. 환 경적인요소를고려하여 Base 평가척도를재계산하도록한다. 마 부수적피해잠재성 대상분포제거 부수적피해잠재성 (Collateral Damage Potential), 대상분포 (Target 그림 의 평가척도 그림 환경에따른경감

42 Distribution) 는 CVSS v1 에서포함된평가척도로측정하기매우어렵고 큰조직으로확대되어적용되기어렵다. 따라서 CVSS v3 에서는제거될 예정이다. 제 절 소개 CWSS는소프트웨어보안약점의중요도를평가하는평가체계로 CWE 프로젝트의일부로수행되고있다. CWE와 CWSS의특징은안전한소프트웨어의개발과보안유지에책임이있는당사자들인정부, 학계, 산업체들이모여서만드는커뮤니티형태의협업이라는점에있다. 현재이프로젝트는미국 NCSD(National Cyber Security Division) 과미국 DHS (Department of Homeland Security) 의지원을받아서진행되고있다. CWSS는소프트웨어에일반적으로발생하는다양한약점에대하여제거의우선순위를줄수있는정량적인기준을제시한다. 정량적인기준을제시하기위한다양한메트릭을약점자체의심각성 (Base Finding Metric Group), 공격측면의심각성 (Attack Surface Matric Group), 환경적측면의심각성 (Environment Matric Group) 으로분류하여그정량적기준과함께제시하고있으며, 아울러소프트웨어가사용되는도메인에적응하여중요성조정할수있는방법론인 CWRAF(Common Weakness Risk Analysis Framework) 를제시하고있다. 현재 CWSS는버전 0.8이 2011년 6월에발표되었으며, 아직정식버전은발표되지는않은상태이다. 메트릭그룹 CWSS 의평가방식은대상이되는소프트웨어시스템의특성과평가

43 방식의특성에따라서크게 4가지로구분된다. [ 표 2-17] 은 4가지평가방식의특성을설명하고있다. 현재 CWSS는 targeted 평가방식과 context-adjusting 평가를위한프레임워크를준비하고있다. Aggregated 평가방식에대한연구는향후에추가될예정이며, generalized 평가방 표 에포함된평가방식 방식 Targeted ( 타겟형 ) Generalized ( 일반형 ) Context-adjusted ( 발전형 ) 내용특정한소프트웨어패키지의디자인이나구현과정에서발견되는개별적인보안약점에대해서평가를수행하는방식이다. 예를들어특정 FTP 서버패키지에포함된 vuln.c라는소스파일의 1234 라인에있는사용자인증코드에서발견되는버퍼넘침약점에대한중요도를평가하는방식이다. 자동화된도구나소프트웨어보안전문가등이패키지의일부로포함된소프트웨어의보안성을평가하기위하여 targeted 방식을사용할수있다. 특정소프트웨어패키지에독립적인보안약점이나보안약점클래스들을평가하기위하여사용되는방식이다. 이경우평가는각약점이나약점클래스들의상대적인우선순위로표현된다. CWE/SANS Top 25와 OWASP Top 10 등에서사용되는방식으로, 일부자동화된코드스캐너에서도사용된다. Generalized 방식은특정패키지내부에서모든취약점의발생을모두분석하는 targeted 방식과는다른결과를낳을수도있다. 예를들어, 버퍼넘침은일반적인경우에서는위험도가매우높은약점으로분류되지만, 특정패키지에서는 ASLR과같은 OS 수준의보호메커니즘에의해서공격자에의해서직접적으로이용될수없기때문에 targeted 방식에서는의외로중요도가낮게평가될수도있다. 서로다른분석환경에따라서보안약점의중요도가조정될수있는방식을뜻한다. 예를들어, 사업모델이나위협환경 (threat environments), 혹은위험허용정도 (risk

44 방식 내용 tolerance) 등이고려의대상이된다. 이경우보안약점이 가지는일반적인성격외에도상위레벨의사업적고려가 중요도평가에영향을미치게된다. Aggregated ( 통합형 ) 하위레벨에서계산된다수의평가점수를합산하여하나의상위레벨점수를산출하는방식이다. Aggregated 방식은 targeted 방식과함께사용될수도있고, 혹은 2010 CWE/SANS Top 25에서사용되었던것처럼 generalized 방식과함께사용될수도있다. 식은별도로연구되어 2011년도에발표된 CWE/SANS Top 25와 CWRAF 에포함되었다. CWSS에서는버전 0.6부터 3개의메트릭그룹의 18가지서로다른요소점수를이용하여보안약점의중요도를계산한다. 3개의메트릭그룹은보안약점의내재적인특성과찾아진약점의신뢰도, 그리고제어의강도를표현하는 Base Finding 그룹, 공격자가존재하는약점을찾아내 그림 메트릭그룹과그룹별하위요소들

45 서이용할수있는난이도를표현하는 Attack Surface 그룹, 그리고사업모델이나공격난이도, 외부제어의존재여부를표현하는 Environmental 그룹으로나누어진다. ( 그림 2-5) 은 3개의메트릭그룹과그룹별 18개의하위요소를나타낸다. CWSS는처음에는매우적은정보를가지고중요도평가를시작하여, 시간이지남에따라가용정보의양과질이증가하면서중요도평가도함께변화하게된다. 따라서개별적인보안약점에대한평가점수는가용정보가변화함에따라필연적으로변화할수밖에없다. CWSS 요소점수는시간과환경에따라 가변적 이라는특성을가지고있으며, 이특성은 CWSS가 CVSS와같은종류의요소점수를사용할수없는이유가된다. 가 메트릭그룹 Base Finding 메트릭그룹은보안약점의내재적인특성과찾아진약점 의신뢰도, 그리고제어의강도를표현하며, [ 표 2-18] 에표시된것처럼 5 개의하위요소를포함하고있다. 표 메트릭그룹과하위요소 메트릭그룹하위요소평가값

46 표 메트릭그룹과하위요소 메트릭그룹하위요소평가값 나 메트릭그룹 Attack Surface 메트릭그룹은공격자가존재하는약점을찾아내서이 용할수있는난이도를표현하는그룹으로, [ 표 2-19] 에표시된것처럼 7 개의하위요소를포함하고있다

47 다 메트릭그룹 Environmental 메트릭그룹은사업모델이나공격난이도, 외부제어의존재여부를표현하는그룹으로, [ 표 2-20] 에표시된것처럼 6개의하위요소를포함하고있다. 표 메트릭그룹과하위요소메트릭그룹하위요소평가값 평가점수계산법 CWSS 버전 0.6의평가점수는 0부터 100까지의숫자로표현된다. 이점수는 (Base Finding 점수 ) * (Attack Surface 점수 ) * (Environmental 점수 ) 라는공식을이용하여계산된다. Base Finding 점수는 0부터 100 사이의점수를가지며, Attack Surface 점수와 Environmental 점수는 0부터 1 사이의값을가지게된다

48 각부분점수의평가방식과의미에대해서는 4 장에서더자세히논의하 도록한다. 제 절보안취약점데이터베이스 는보안콘텐츠자동화프로토콜 를사용하여표현된미국정부의표준기반취약점관리데이터저장소이다 이데이터는취약점관리 보안측정및규정준수의자동화를가능하게한다 는보안체크리스트 소프트웨어의결함 잘 그림 계산기예시

49 못된구성 제품이름 평가메트릭과관련된보안데이터베이스를포함하고있다 그림 은미국의국가취약점데이터베이스 에서제공하는 메트릭계산기의화면이다 다음은 의취약점심각도수준평가에관한기준으로 항목에대해 벡터값에근거하여산출된점수에근거하여다음과같은기준에의해심각성정도 를정의한다 취약점심각도수준 기본점수 취약점심각도수준 기본점수 취약점심각도수준 기본점수 는 계산결과에근거하여각취약점에대해취약점심각도 수준을공개하고있으며 그림 는 에서제공하는취약점항목 그림 항목대상 측정예

50 중 년도에보고된취약점항목의일부내용이다 그림 은년도별로전체취약점을 기본점수에따라심각도 로분류된취약점의개수와비율을나타낸다 그림 기본점수 오픈소스취약점데이터베이스 프로젝트는전세계정보보안커뮤니티에서자유롭게사용할수있도록컴퓨터의보안취약점모음을관리한다 모아진보안취약점들은운영체제 소프트웨어 프로토콜 하드웨어장치그리고다른정보기술인프라의요소들에서알려진보안취약점에대한정보를포함하고있다 프로젝트는인터넷상에서오픈소스취약점들을모으고이취약점데이터베이스정보를많은커뮤니티에제공하기위한프로젝트이다 이프로젝트가어려운이유는취약점을문서화하고전파하는것이엄청난작업이기때문이다 취약점은 년에는불과 건이하의취약점이발견되었지만 년에는 건이보고되었다 즉 년동안 이상증가하였다 의취약점수은보수적인추정치이며관리자 개발자및기업들이직면한취약점의실제수는실제로훨씬더높을수있다 취약점을추적하는데필요한노력은대부분조직의자원을초과하고 매년나타나는정보의양은방대하다 취약점관리에대한증가하는요구를충족하기위해 은세계의보안실무자의노력및오픈소

51 스개발모델의위치 검증 중요한정보의문서화를활용할계획이다 프로젝트는리눅스와아파치프로젝트와같이그분야에서선도적인오픈소스프로젝트가될것을목표로하고있다 보안커뮤니티와밀접한관계를유지함으로써 상업적이익및상업적커뮤니티콘텐츠개발하는것에대해독립적으로기관을유지하며 적극적으로운영의우수성을홍보하여 모든보안프로젝트와실무자를위한세계적수준의자원에대하여 는안정성을제공할것이다 프로젝트는 년에시작되었다 지금까지의많은취약점데이터베이스들이있어왔으며이러한데이터베이스들은주로그들자신의요구를만족시키기위한것이고 어떤것들은한정된취약점집합만을포함하고있거나내용에중요한제한을가지고있다 취약점데이터베이스는포괄적이고 무료사용으로개방하고 사회의요구에부응하기위해만들어졌다 는현재 개의취약점을데이터베이스화하고있다 는현재활성화된 에서이용할수있다 이것은크게두부분으로구성되는데 프런트엔드 는취약점을검색하고리포트하기위한것이고 백엔드 는취약점들을추가하고수정하기위한것이다 조정자는새로운취약점들을확인하고그것들을개인적인기고자나 맹글러 에게할당한다 맹글러는취약점을묘사하는정보를얻기위해웹을샅샅이뒤지고 내부의데이터베이스정보에세부사항을조사한다 조정자는그것을승인하기전에명확성과정확성을요구하는 의표준에적합한지확인하기위해각각의취약점엔트리를확인한다 취약점의해당레코드가받아들여지면 데이터베이스화되며취약점정보를요청하는누구나이용가능하다 이과정은빠르게진행되어커뮤니티에서이용할수있는취약점들을만들어낸다 이러한과정은맹글러와조정자의생산력을최대화시키고 따라서취약점데이터증가를안정적으로유지할수있다

52 CNVD (China National Vulnerability Database) 는 2009년구축된중국내취약점데이터베이스로보안제품인증평가기관인 CNITSEC에의해운영되고있다. 2010년 4월부터약 27,000개의취약점정보를구축하여서비스를시작하고있으며, 현재 40,000개이상의 CNVDB 엔트리, 80,000개이상의패치와수정정보를담고있다. CNCERT/CC 사무국을중심으로중국 ISP, 네트워크보안회사들과소프트웨어회사및인터넷회사들이포함되어있는 CNVD는 300명이넘는중국내화이트해커, 소프트웨어, 디바이스제품을판매하는 200개이상의회사, 그리고 24명의멤버들이기술적인협력을통해운영중이다. CNVD는회사에게는경고서비스와기술적인지원을, 공공기관에게는끊임없이추적한버그수정과신뢰할수있는취약점정보공개를, 사용자에게는취약점에초점을둔리스트업데이트를목적으로한다. CNVD 취약점은미국의 NVD, 일본의 JVN 등과유사한형태의정보 서비스를제공한다. CNVD 는중국내사용자들에게중요한영향을미치는 취약점을 7 개카테고리로구분하여관리한다. 일반소프트웨어 웹응용 운영체제 데이터베이스 네트워크장치 보안제품 산업용소프트웨어 통신 모바일인터넷 산업용제어시스템

53 그림 나 등록방법 CNVD에서의취약점을등록절차는회원가입후인증된사용자만이가능하며, ( 그림 12) 와같이메뉴클릭을통해서접수등록된다. 현재등록된 CNVD에등록된 ID 총개수는다음과같다. 총개수 CNVD 의등록은공개 (public) 등록과비공식적 (private) 인등록과정으 로구분되어진해된다. 공개등록의경우많은소스들로부터대중적인 취약점을수집하는것을목표로한다. 공개등록의경우다음의과정을

54 거쳐수행된다. 또는다른공식적인협회의취약점 를부여한다 유효한것으로간주하고 점수를측정한다 최초의참조자 신고자 들에게발표한다 그림 대중적인취약점처리프로세스 반면에비공식적인취약점처리프로세스는취약점등록을위해사용 자인증절차를거쳐서사용자등록이완료되며, 취약점등록은사용자 정보입력후이메일인증을통해서사용자인증이이루어진다

55 그림 취약점처리프로세스 그림 홈페이지에서취약점제출화면 제품설명 취약지점 기술적인분석과설명

56 효과와위험설명 다음은 CNVD 를통해등록된취약점중 Adobe Flash Player / AIR Unspecified Memory Corruption Vulnerability 에관련된내용을소개한것 이다. 그림 - 40 취약점 - 보고예시

57 다 관련사이트 제 절국내외취약점포상사례 본절에서는취약점포상과관련한국내외의대표적인사례를중심으로포상프로그램의구성과특징을소개한다 사례분석의대상으로국외의경우마이크로소프트 구글 페이스북 어베스트 모질라 시큐니아 중국의 티핑포인트사등 개사의포상프로그램을 국내경우로는한국인터넷진흥원의포상프로그램의구성을살펴본다 마이크로소프트 가 목적및대상 마이크로소프트사는자사의프로그램을대상으로하는사이버공격범죄가증가함에따라컴퓨터보안방어기술에대한연구를장려를목적으로시상프로그램을마련하였다 년 월첫해의블루햇프라이즈에서는총 건의보안아이디어가접수됐으며 블랙햇보안컨퍼런스이전까지접수된아이디어에대한평가를마치고우승자를선정하였다 마이크로소프트사입장에서블루햇프라이즈를운영하는것은경제적인방법으로새로운보안아이디어를확보하는데목적이있다고할수있다 블루햇프라이즈는버그헌팅의결과로이에대한보상을하는일반적인보상프로그램과는달리참여자들로하여금보안문제해결에관한획기적인기술을창안해내는것을목적으로한다 예를들어이프로그램

58 을통해발견된 버그는 같은기존윈도우의취약점보호기술을우회하는데 사용할수있는것으로알려졌다 나 포상기준및금액 이프로그램은 등 등 을 등은 구독권을지급하며 총상금은 만 천달러로책정되었다 년도블루햇프라이즈의경우 개의아이디어에대해 만달러가량이지출된것을볼때절반정도의아이디어가겹친다는가정을하면하나의아이디어당 만 천달러가지급되었다 윈도우애플리케이션의메모리보안취약성을악용하는것을예방하는가장혁신적인프로토타입을개발한사람에게제공한다 다 기타사항 우승자는그해블랙햇보안컨퍼런스에서발표되며 우승자는물론모든대회참가자는자신들이개발기술에대한지적재산권을가지지만 마이크로소프트에는로열티없이해당기술을라이센싱하는조건이다 신청은 이하의윈도우 를사용해개발하고윈도우에서구동하는 이하크기의프로토타입을제공해야한다 이프로그램을통해마이크로소프트사는 개의패치되지않은취약점을찾았다 이중 개는 제품군에서존재 개는엑셀 개는파워포인트 하는것으로보고되었다 라 참고사이트

59 마이크로소프트 가 목적및대상 프로그램은전세계적윈도우사용자들에게바이러스와유사한문제를일으키는 바이러스제작자와유포자를지역이나국가와관계없이체포할수있도록하는제보수집프로그램으로출발하였다 이프로그램은보안아이디어를찾거나 보안취약점의신고를받는기존의보상프로그램과는다른바이러스제보자색출이목적인프로그램이다 나 포상기준및금액 초기에시행된이프로그램의결과 의포상금이지급되었다 다 기타사항 이프로그램은 시간내에 만 를감염시킨악명높은 혹은 의출현으로인해시행되었다 콘피커 는 년 월부터확산되기시작한컴퓨터웜으

60 로다운업 다운애드업 키도 라는이름으로도알려져있다 콘피커웜은윈도 윈도 윈도비스타 윈도서버 윈도서버 의윈도서버서비스의취약점을이용해공격한다 콘피커가등장한이후여러변종웜이추가적으로발견되었으며 이중콘피커 는 년 월 일에 콘피커 는 년 월 일 콘피커 는 년 월 일에발견되었으며이후콘피커 콘피커 는 년 월 일에발견되었다 콘피커는컴퓨터에서실행되었을때윈도자동업데이트 윈도관리센터 윈도디펜더 윈도오류보고같은시스템서비스몇개를비활성화시킴 그런다음서버에연결해추가로전파할명령을받고 개인정보를전송하고 숙주가된컴퓨터에맬웨어를다운로드해설치 또한이웜은 같은중요한윈도프로세스에도감염시켰다 라 참고사이트 구글 내의 가 목적및대상 구글의웹브라우저인 의보안성강화를목표로구글브라 우저에국한됨보안약점수집을목표로시작하였다

61 그림 크롬프로젝트 나 포상기준및금액 구글 은취약점의종류에따라 그리고 그파급영향에따라다음과같은포상금액을책정하여차별화한다 표 구글의보상프로그램등급 구글계정관련 다른민감한서비스 우선순위가낮은 사이트 원격코드실행 $ 20,000 $ 20,000 $1,337- $5,000 SQL 주입또는동급 $ 10,000 $ 10,000 $1,337- $5,000 중요한인증우회 또는정보누출 $ 10,000 $ 5,000 $

62 일반적인 XSS $ 3,133 $ 1,337 $ 100 XSRF, XSSI 및기타 일반적인웹취약점 $500~ $3,133 $500~$1,337 $ 100 다 특징사항 이프로그램은보상이지급되는버그수준을다음과같은세가지수 준으로구분한다 매우심각한위험 공격자가검색의정상적인과정에서사용자의권한으로임의의코드를 실행할수있다 이수준에해당하는위험의예는다음과같다 브라우저프로세스의통제버퍼오버플로우 특히악의적인웹사이트가직접버퍼의내용을제어할수있는경우 브라우저프로세스에서대부분의메모리안전문제가되지않는임의의코드실행의가능성을배제할수있음 모든충돌은중요한취약점을나타냄 크롬은메모리가모두다른예외적인상황에있을때 예를들어 를포함 제어방식으로충돌하도록설계되어있음 특별한사용자작업을필요로하는임의의코드실행취약점 예 인증서오류메시지를인쇄하거나특정명령줄플래그와함께크롬을실행하는것 이일반적으로중요한것으로평가되어서는안됨 고수준의위험

63 공격자가다른웹사이트에속하는기밀데이터를읽거나수정할수 있다 이수준에해당하는위험의예는다음과같다 버그가동일출처정책을우회할수있음 샌드박스의범위내에서버그는임의의코드실행을허용 버그가브라우저의보안기능을방해함 예를들면버그는위치표시줄및잠금아이콘을방해함 상태거품은보안표시가아님 중간수준의위험 공격자가제한된양의정보를얻을수있다 이수준에해당하는위험 의예는다음과같다 버그는공격자가최근에방문한 을열거할수있도록함 버그는독립적으로유해하지않음 하지만해를입힐다른버그와결합할수있음 예를들어 지시문을무시하는것자체는해롭지않을수도있지만다른공격을용이하게할수있음 높은위험이될수있는버그가아니더라도특별한사용자작업이필요함 예 전체화면모드에서탭의프로세스를종료등 낮은수준의위험 중요하지않은브라우저기능을통해침입자가일시적으로제어할수 있다 이수준에해당하는위험의예는다음과같다 버그는공격자가브라우저를중지할수있도록함 탭을닫는것 만으로해결될수있는경우탭정지는보안문제가되지않음

64 라 등록방법 구글 은취약점등록과버그등록을 구분한다 취약점등록은구글웹사이트를통해제공되는보안템플릿 을통해등록한다 취약점등록과정을살펴보면다음과같다 명확하고기술적인제목을포함하여야한다 크롬 크롬버전번호및릴리스채널을포함한다 운영체제 버전및테스트플랫폼의서비스팩수준을나열한다 크롬에로드할때버그를재생산한 또는이진파일이첨부된버그의데모를포함한다 가능한한작게파일을만들고취약점을악용하는데불필요한내용을제거한다 나프로토타입같은타사라이브러리에대한종속성을피한다 줄가량의짧은설명이나 과같은텍스트기반의테그 그리고텍스트형식의재현케이스를직접포함한다 재현하는데필요한자세한내용과함께버그의성격에대한간단한설명을제공한다 불필요한주석이나과장을피한다 취약점보고템플릿의구성은다음과같다 취약점세부정보 보안문제에대한간략한설명을제공함 버전정보형식 w Chrome Version: [x.x.x.x] + [stable, beta, or dev] 운영체제형식

65 w OS 버전, 서비스팩수준등 크롬에서로드할때버그를생산한 또는이진파일과같은보안버그의데모를포함 w Type of crash: [tab, browser, etc.] w Crash State:[see link above: stack trace, registers, exception record] w Client ID (if relevant): [see link above] 구글은보안취약점과는다른범주로크래쉬버그 에대한 리포팅을별도로받고있다 크래쉬버그는다음과같은과정을통해보 고된다 브라우저 응용프로그램충돌 또는 에서충돌의여부를확인한다 예외세부사항버그설명서 레지스터상태와스택추적의적절한부분에붙여넣기를한다 플랫폼특정디버거구성은윈도우 맥 리눅스상에서작동되는것으로한다 충돌보고를사용하는경우 클라이언트 를제공한다 가능한한충돌에대한정확한재현단계표현한다 좀더많은디버깅정보를제공한다 가능하다면구글에서제공하는구글크롬설정의충돌보고를사용한다 이경우 로이동하여 를클릭하고 개인정보섹션에서 자동으로 로사용통계및충돌보고서를보냄 을선택한다 마 관련사이트

66 어베스트 가 목적및대상 어베스트사의보상프로그램은보안소프트웨어를대상으로한다는점에서브라우저나운영체제등다른프로그램에대한취약점을찾는보상프로그램차별화된다 보안소프트웨어라고해서다른프로그램보다보안문제에자유로울것이라생각할수있지만실제는그렇지않다 오히려보안소프트웨어는공격자에게더노출될수있다는위기감이어베스트사의보상프로그램을탄생시킨배경이된다 이를통해보안프로그램상의버그를발견하고수정하기위해사용자커뮤니티를이용하는것이일반적으로그렇지않은기업보다더성공할수있을것이라는것이어베스트사의시각이다 나 포상기준및금액 제보자에게는각전문가패널에의해판단된버그의중요성에따라버그당최소 달러가지급되며 원격코드실행과관련한버그에는 달러의보상금이지급된다 다 시행방법

67 그림 어베스트사버그바운티 보안프로그램대상제품을대상으로하며 어베스트사의최신버전소 프트웨어들로윈도우버전의 제품사용자에게만국한된다 무료안티바이러스 프로안티바이러스 인터넷시큐리티 보고되는보안문제는다음과같은순서로위험성이분류된다 원격코드실행 가장치명적 로컬권한상승버그 계정이아닌계정에서 권한을얻을수있는버그 서비스거부취약성 프로세스의실행을통해발생할수있는 나시스템크래쉬의경우에해당함 샌드박스우회혹은회피가능버그 스캐너우회침입

68 라 취약점보고방법 가해당버그를확실하게재현할수있을정도의충분한정보가포함된보고서를제출해야함 이때정확한환경 자세한버그설명 샘플코드등관계있는모든정보를포함해야한다 작성한보고서를이메일 로보내어버그를보고함 이메일을암호화하고싶은경우 를사용한다 마 기타특징사항 와그들의가까운친척 부모 형제 자매 자녀 또는배우자 와 비즈니스파트너 정부기관 유통업체 그리고직원들은이프로그램에서제외한다 두명이상의연구자가동일한버그를발견하는일이있다면 보상금은먼저제출한사람에게지급된다 제기된문제가수정된후에보상금이지급된다 바 참고사이트 페이스북 가 목적및대상 페이스북은 개이상만명의사용자를가지고있기때문에취약점 이잠재적으로사람들의거대한숫자에영향을미칠수있으므로

69 을통해해커가취약점을찾도록하여웹 사이트에긍정적인영향을줄목적으로시행되었다 나 포상기준및금액 최저보상은 달러에서부터시작된다 각각의버그는그심각성과창의력에따라보상이수여된다 보안버그하나당한번의보상이수여된다 다 시행방법 책임감공시규정 에준거한다 버그를공개하는최초의사람에게지급된다 페이스북사용자데이터의무결성을손상시킬수있는버그나페이스북사용자데이터의개인정보보호를회피하거나 의인프라내에서시스템에액세스할수있도록하는등의오류를보고한다 이러한범주의오류는다음과같다 크로스사이트스크립팅 크로스사이트요청위조 인증오류 의 버그포함 플랫폼 개인정보보호권한모델우회 원격코드실행문제점 권한상승 프로비저닝오류

70 라 기타특징사항 보상의대상이되지않는버그종류는다음과같은것이있다 타사응용프로그램의보안버그 과통합타사 사이트의보안버그 취약점 스팸또는사회공학기법의공격 마 관련사이트 모질라 가 목적및대상 모질라의버그보상프로그램은모질라소프트웨어의보안연구를장려하고좀더안전한인터넷클라이언트를만드는데도움이된사람들에게보상하기위해설계되었다 보안프로그램대상은 등최근의주요개발프로그램또는 혹은 에의해발표된 서비스를포함한다 나 포상기준및금액

71 에의하면유효한중요한클라이언트보안버그보상은 의현금보상과모질라 셔츠를제공함 에의하면유효한웹응용프로그램이나보안버그관련서비스에대한보상은높은심각도이거나 어떤경우에는 특별한또는중요한취약점은 미국 까지지불한다 보통 에서시작하며모질라 셔츠를포함한다 다 시행방법 모질라취약점포상가이드라인에서는다음사항을규정하고있다 버그는이전에보고되지않은최초의버그여야한다 버그는원격공격 되는형태이어야한다 제출자는 프로젝트에참여하지않은사람이어야하며 버그코드의저자여서는안된다 재단이나자회사의직원은지원할수있다 코드에서급여를받으면서작업하는중에보안버그를발견한경우에는보상을신청하지않도록하는것을권장한다 라 취약점보고방법 보안버그를설명하는버그보고서의제출을통해취약점을보고한다 나취약성을증명하는버그리포트의테스트케이스나링크를첨부하는것을권장한다 제출한버그및간단한요약을이메일로 보안그룹에통지한다

72 마 기타특징사항 만일두연구자가함께버그를보고하면보상은그들사이에서분할하여지급된다 버그의원인을규명하고수정하는데 엔지니어와함께작업할수있고버그에대한내부토론에참여하는권한을제공한다 바 관련사이트 세큐니아 가 목적및대상 일반적으로 벤더는주요취약점에만보상을주고있으나기타취약점에는소홀한경향이있다 세큐니아 는이를보완하는방법으로비주류취약점을수집 분석후벤더에게리포팅한다 세큐니아 는상용패키지 제품을대상으로하며 페이스북과같은온라인서비스는대상에서제외한다 나 포상기준및금액 세큐니아 는주요취약점의수집을목표로하는다른보상프 로그램과는달리간과하기쉬운사소한보안취약점을대상으로한다

73 따라서포상금액이나지원방식도현금이아닌호텔숙박권 주요보안 컨퍼런스참가권을지급한다 다 시행방법 패키지소프트웨어벤더를대신해취약점을수집하며 대부분제품의 모든취약점등급은아래의기준이충족될때 에적용된다 취약점이안정된제품에영향을줄경우 취약점이최신버전의제품에영향을줄경우 제품이공급업체 에의해지원되는경우 이미공개적으로알려져있지않은새로운취약점인경우 세큐니아 를통해서연구결과에맞게연구원들에게다음과같 은구분을통해작은보상이수여된다 의판단에따라매년 지속적으로잘못된부분을교정하고확인하기쉽고빠른디테일한취약점보고서를낸연구자에게수여됨 의판단에따라매년가장흥미로운취약점을제기한연구자에게수여됨 기준의예 복잡성 영향을받은제품 취약점보고서의세부수준 라 취약점보고방법 통해 에취약점을보고하려면 로시작하는 취약점보고서를 으로제출

74 보고서에는제품 버전정보 가조사결과를재현하 기위해 취약점을유발하는세부적인단계혹은 또는자세한 설명이포함되어야한다 마 기타사항 세큐니아사는 년 월 일부로 프로그램의종료를선언하였다 바 관련사이트 가 목적및대상 제로데이이니셔티브 ( 는 TippingPoint사에의해기획된프로그램으로취약점발굴에대한보상프로그램이다. Tipping Point 사는보안솔루션회사로 2002년침입방지시스템을출시했으며, 제로데이이니셔티브롤통해보안문제에대한취약점필터를제공하고있다

75 그림 나 포상기준및금액 제로데이이니셔티브프로그램은보안전문가들을대상으로한취약점 은다음과같은기준에따라차등을두어보상금이지급된다. 영향을받는제품은얼마나광범위한가 공격된취약점으로인해어떤수준의권한이침해받는가 취약점은디폴트설정이나설치시노출되어있는가 영향을받는제품은중요한것에속하는가 예를들면 데이터베이스 전자상거래서버 라우터방화벽등 공격자는일반전문가 들이링크를클릭함 사이트를방문함 서버에접속함등으로인해희생자로삼는가 ZDI 로등록된취약점과관련하여전문가에게는항공마일리지개념과 유사하게포인트가부여된다, 포인트는첫번째등록된취약점에대해 2,500 ZDI 포인트가주어지며, 다음수준별로등급을결정한다

76 표 보상등급 보상포인트 등급청동 실버 황금 플래티넘 다이아몬드 등급별상금수준은다음과같다

77 다 특징사항 이들항목에대해보안전문가들은취약점등록시항목별평가를함 께제출한다. 만일등록된취약점이 Zero day Initiative 로등록되어보상 금을받지못할경우, 취약점에대한권리는계속발굴자에게남는다. 라 등록방법 제로데이이니셔티브프로그램에등록한전문가에한해제로데이취약 점등록시다음정보를제공한다. 대상제품 샘플공격코드 취약점의자세한설명

78 그림 최근제로데이이니셔티브에보고된삼성모바일디바이스의취약점은 180일데드라인내에삼성측에서특별한응답을하지않은관계로 8월 29일다음과같은내용을공개한바가있다. ( 표 제로데이이니셔티브취약점예 취약점명 : Polaris Viewer DOCX VML Shape Tag Remote Code Execution Vulnerability ZDI 번호 ZDI 일시 August 29th, 2013 CVSS 점수 피해벤더 피해제품 8.3, (AV:A/AC:L/Au:N/C:C/I:C/A:C) Samsung Infraware Polaris Viewer, Infraware Polaris Office Galaxy S3, Galaxy S4-62 -

79 취약점 상세 이취약점은원격공격자가취약한폴라리스뷰어에서임의코드를실행할수게한다. 사용자는악성코드를열어실행함으로써취약점이발생한다. 결함은 DOCX 파일의구문내에존재한다. VML과관련된태그가제대로검증되지않았을때발생하며, 태그가너무큰경우오버플로우가인접한버퍼에발생한다. 이를악용하여공격자는이메모리제어및폴라리스뷰어응용프로그램의컨텍스트에서원격코드실행을보장할수있다. 완화방법 : 사용자는 Samsung Galaxy S3 and S4 의문서를열어보지않음으로써자신 을보호할수있다. 벤더응답 Sept 19, MWR Labs demonstrated an exploit against the Samsung Galaxy S3 running Android at Mobile Pwn2Own Sept 20, Samsung requested vulnerability information from ZDI. Sept 24, ZDI requested contact information and PGP keys for secure communication of vulnerability information from Samsung. Sept 24, Samsung provides ZDI with PGP and contact information.... Mar 25, day deadline from vulnerability disclosure passes. ZDI able to disclose vulnerability as 0-day according to Vulnerability Disclosure Policy. Mar 25, ZDI holds releasing advisory and waits for communication from Samsung.... Aug 4, ZDI notifies Samsung that Mobile Pwn2Own vulnerability will be disclosed as a 0-day before the end of August. Notification happened in person at DEF CON. Aug 5, Samsung requests from ZDI via for more detail and a timeline of events associated with the vulnerability. Aug 7, ZDI provides timeline and requests support. Aug 7, Samsung states work with [email protected] to obtain vulnerability status update. Aug 8, ZDI notifies Samsung ([email protected], [email protected]) of impending 0-day disclosure. Aug 29, No response from Samsung. ZDI discloses 0-day

80 vulnerability advisory. 공개일정 Credit Initial contact with vendor Public release of advisor This vulnerability is being disclosed publicly without a patch in accordance with the ZDI 180 day deadline. This vulnerability was discovered by: MWR Labs 마 관련사이트 신규보안취약점신고포상제 가 목적및대상 에서는 년부터취약점신고를받아온데이어 년 월부터는우수신규취약점신고에대해포상금을지급하는 신규보안취약점신고포상제 를도입하였다 해킹사고에악용될수있는취약점을사전에조치하고관련전문가의취약점발굴을활성화하기위한목적으로시작하였으며통상 개월에 여건미만이었던신고건수가포상제시행후 여건으로 배급증하였다 의 신규보안취약점신고포상제는약점신고당시보안업데이트가나오지않은취약점 제로데이취약점 을대상으로하며 서비스운영중인홈페이지에대해공격또는모의해킹수준으로간주될수있는취약점은포상및평가대상에서제외한다 이경우포상금지급과무관하게신고는가능하며 검증후에해당업체나홈페이지운영자에게통보한다 제로보드 그누보드 테크노트등의홈페이지구축

81 소프트웨어도포상및평가대상에포함한다 나 포상기준및금액 평가결과에따라최고 만원이지급되며 월등일년에 회 에걸쳐취약점평가및포상금이지급된다 포상단위는개별신고건단위로지급된다 다 시행방법 내부및외부의취약점전문가로구성된평가위원회에서아래평가항목에대해취약점평가된다 평가항목의구성은다음과같다 취약점파급도 점 취약점발생대상의시장점유율및위험도등 취약점기술난이도 점 취약점동작원리및구성의난이도와참신성 신고내용의완성도 점 취약점재연방법의정확성및취약점테스트환경등에대한구체적인기술등 라 취약점보고방법 인터넷침해대응센터홈페이지 의취약점신고페이지에서신고양식을다운로드받아작성하여관련파일에첨부하여제출한다 신고양식을이용하지않을경우신고는가능하나 포상금지급대상에서제외된다 마 기타특징사항 인터넷침해대응센터보안공지에서해당취약점에대한보안업

82 데이트를권고한다 분석된취약점은해당업체에전달해보안업데이트를개발하는데사 용되도록한다 바 관련사이트

83 제 장 시범평가 제 절 평가항목및평가기준 본시범평가에서는 평가항목을다음과같은 개의범주로재분 류하였다 파급도 기술적영향 시스템중요도 공격난이도 대응난이도 보고의신뢰성 각범주에속한 평가항목의평가방법과평가기준은다음과 같다 파급도 가 대상분포 개요 이평가항목은보안취약점으로인해침해가예상되는시스 템의범위를평가하기위하여사용된다 평가방법 해당취약점으로인하여영향을받을수있는시스템의 범위를평가한다 평가의대상이되는시스템환경이달라짐에평가 결과도달라질수있다 평가대상이되는환경에서침해가예상되

84 는시스템들의범위가넓을수록높은점수를부여한다 등급별기준 등급코드점수평가기준 None N 0.0 Low L 0.3 Medium M 0.6 High H 1.0 해당보안취약점으로인하여침해가예상되는시스템이없거나혹은실험실환경에서만가능하여실제적으로는 0% 의영향을미치는경우이다. 해당보안취약점으로인하여침해가예상되는시스템환경의범위가 1% - 25% 인경우이다. 해당보안취약점으로인하여침해가예상되는시스템환경의범위가 26% - 75% 인경우이다. 해당보안취약점으로인하여침해가예상되는시스템환경의범위가 76% - 100% 인경우이다. Not Defined ND 0.0 이값을주면취약성점수에영향을주지않는다. 기술적영향 가 기밀성영향 개요 평가방법

85 등급별기준 등급코드점수평가기준 None N 0.0 시스템의기밀성에영향을미치지않는다. Partial P Complete C 상당한정보의누출이있다. 몇몇의시스템파일에대한접근이가능하다. 그러나공격자는획득한것을넘어제어할수는없으며, 손실의범위는제한적이다. 예로서 DB에서오직일부테이블만이노출되는취약점을들수있다. 모든시스템파일을드러내는결과를낳게되는완전한정보의누출이있다. 공격자는시스템의모든데이터를읽을수있다.( 메모리, 파일등등 ) 나 무결성영향 개요 이평가항목은취약점을이용한공격이성공하였을때무결 성에미치는영향을측정한다 무결성은정보혹은자료에대한신 뢰도 와보증된정확도를나타낸다 평가방법 취약점공격으로발생가능한시스템의정보에대한무결성침해정도를아래표와같이 로평가한다 시스템파일이나정보의변경가능성이클수록또한공격자가변경된정보를마음대로제어할수있을수록무결성침해정도가큰것으로판단한다 무결성영향값이클수록취약성점수도커진다

86 등급별기준 등급코드점수평가기준 None N 0.0 시스템무결성에대한영향은없다. Partial P Complete C 어떤시스템파일이나정보의변경이가능하다. 그러나공격자는변경된것을제어할수는없거나공격자가영향을미칠수있는범위가제한적이다. 예를들어공격자가시스템이나응용파일을덮어쓰거나변경할수는있으나영향을받은파일을제어할수없거나오직제한된범위안에서만변경할수있다. 시스템무결성이전체적으로위험에드러나있다. 시스템보호의완전한손실이있으며, 이는전체시스템의위험노출로이어진다. 공격자는타겟시스템이어떤파일에도변경을가할수있다. 다 가용성영향 개요 이평가항목은취약점을이용한공격이성공하였을때가용성에미치는영향을측정한다 가용성이란정보자원에대한접근과사용을의미한다 평가방법 네트워크대역폭 프로세서사이클 디스크공간등을소모시켜는공격은시스템가용성에영향을준다 취약점공격으로발생가능한시스템의가용성침해정도를아래표와같이 로평가한다 시스템성능감소가클수록시스템자원을사용할수없을수록가용성침해정도가큰것으로판단한다 가용성영향값이클수록취약성점수도커진다 등급별기준

87 등급코드점수평가기준 None N 0.0 시스템의가용성에대한영향은없다. Partial P 성능이줄어들거나자원을잠시사용할수없게된다. 하나의예로인터넷서비스에대한연결수에제한을 두는네트워크기반의플루드공격을들수있다. Complete C 영향을받은자원을완전히사용할수없게된다. 공격 자는자원을완전히사용하지못하도록할수있다. 시스템중요도 가 부수적피해잠재성 개요 평가방법 등급별기준

88 등급코드점수평가기준 None N 0.0 Low L 0.1 Low-Midium LM 0.3 Midium-High MH 0.4 High H 0.5 생명, 물적자산, 생산성혹은매출에대한손실가능성이없다. 약간의물적손실이나자산손실의결과를낳을수있다. 또한기관의생산성이나매출에약간의손실이있을수있다. 중간정도의물적손실이나자산손실의결과를낳을수있다. 또한기관의생산성이나매출에중간정도의손실이있을수있다. 중요한물적손실이나자산손실의결과를낳을수있다. 또한기관의생산성이나매출에중요한손실이있을수있다. 재앙수준의물적손실이나자산손실의결과를낳을수있다. 또한기관의생산성이나매출에재앙수준의손실이있을수있다. Not Defined ND 0 이값을주면취약성점수에영향을주지않는다. 나 보안요구조건 개요 이평가항목은취약점공격으로영향을받는 자산의사용자환경에서의기밀성 무결성 가용성의중요도에따라 점수를조정할수있도록해준다 즉 기밀성 무결성 가용성의중요도에따라기밀성 무결성 가용성점수에가중치를줌으로써취약성점수를조정한다 평가방법 사용자환경 기관이나그기관에관계된사람 에서기밀 성 무결성 가용성의상대적중요도를평가한다 기밀성 무결성 가용성 의손실이사용자의환경에게끼치는부정적인영향이클수

89 록해당보안요구조건이큰것으로판단한다 예를들어취약점공격으로영향을받는어떤 자산이가용성이가장중요한비즈니스기능을지원하고있다면가용성에상대적으로더큰등급을매길수있다 각보안요구조건에대해서이메트릭의가능한값들은아래표에있으며보안요구조건이클수록취약성점수도커진다 등급별기준 등급코드점수평가기준 Low L 0.5 Midium MH 1.0 High H 1.5 [ 기밀성 무결성 가용성 ] 의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게제한적으로부정적인영향을끼친다. [ 기밀성 무결성 가용성 ] 의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게심각하게부정적인영향을끼친다. [ 기밀성 무결성 가용성 ] 의손실은기관이나그기관에관계된개인 ( 예. 직원, 고객 ) 에게재앙과같은부정적인영향을끼친다. Not Defined ND 1 이값을주면취약성점수에영향을주지않는다. 공격난이도 가 접근벡터 개요 이평가항목은취약점을통해침해당하는방법과관련된평 가척도로서 원격의접근을통하여침해가가능할수록높은점수가 부여된다

90 평가방법 취약점공격을위해필요한접근의근접성을기반으로아래와같이 로분류한다 공격에필요한접근방법이원격일수록취약성중요도점수도커진다 여러가지접근방법에의하여공격이가능할경우가장원격의접근에대응하는가장높은점수를부여한다 또한이메일등으로전달된위험한파일을지역적인응용프로그램의사용하여침해가발생할경우공격자의주요행동을기준으로 로평가한다 등급별기준 등급 코 드 Local L 점수평가기준 네트워크를통한접근이아닌호스트에대한직접접 근 (Local Access) 을통해서공격이가능한경우를말 한다. Firewall/USB 등의 DMA 공격이나, 지역권한상 승 (local privilege escalation) 공격등이이에속한다. Adjacent Network A IP 서브넷, 블루투스, IEEE , 로컬이더넷세그 먼트등을통해서만공격이가능한경우에해당한다. Network N 1.0 L 과 A 에해당하지않는경우로서, 일반적인네트워크 에연결을통하여공격이가능한경우에해당한다. 나 접근복잡도 개요 이평가항목은취약점을가진시스템에접근이가능한상황에서 침해에필요한과정의복잡성을평가한다 과정이복잡할수록침해의성공가능성또한낮아지는경향을가지게된다 침해의수행이전에위험한파일의설치와같은선행적인침해가필요한경

91 우 로판정한다 평가방법 취약점공격으로발생가능한시스템의정보에대한무 결성침해정도를아래표와같이 로평가한다 등급별기준 등급코드점수평가기준 High H 0.35 Medium M 0.61 공격을위한다음의예와같은특별한조건을요구한다. Ÿ 공격당하는시스템외에도추가적인시스템에대한상승된권한의획득이나침해를수행한다.( 예. DNS hijacking) Ÿ 공격을위해서피해자에대한사회공학적인방법에의존하여야한다. 이러한방법은보안에대한일정지식을가진사람들에대해서는적용이힘든것이일반적이다. 일반적으로피해자가위험할수있는의심스러운행동을수행하여야한다. Ÿ 취약한환경이실제적으로잘발생하지않는다. Ÿ 경쟁조건의발생을위한기회가매우적다. Ÿ 위험한파일의설치와같은선행적인침해가필요하다. 다소특별한접근조건을요구한다. Ÿ 공격자가일정권한수준에해당하는사용자그룹또는사용자들로제한되며, 신뢰되지않는그룹도가능하다. Ÿ 공격수행전에추가적인정보가수집되어야한다. Ÿ 공격의수행에영향을주는환경이기본설정이아니며, 일반적인설정이아니다. ( 예 : 취약점은서버가특정방법을통해사용자계정인증을수행할때나타나지만또다른인증방법에서는나타나지않는다.) Ÿ 신중한사용자를속일가능성이있는사회공학적인방법을사용하여야한다. ( 예 : 웹브라우저의상태바를다른링크로보이게변경하는피싱공격.)

92 Low L 0.71 특화된접근조건이나환경은존재하지않는다. Ÿ 공격대상제품이전형적으로넓은범위의시스템과사용자의접근을요구한다. Ÿ 공격가능한환경설정이기본설정이며, 대부분시스템에서사용된다. Ÿ 공격자는수동적으로수행될수있으며, 추가적인기법이나부가적인정보수집을거의요구하지않는다. Ÿ 경쟁상황을쉽게발생시킬수있다. 다 공격가능성 개요 공격을위한방법이나코드의존재여부를기반으로공격의 용이성을평가한다 평가방법 주어진취약점에대하여해당취약점을공격하는데사용되는현재기술의수준에따라침해의가능성은크게영향받을수있다 단순히증명코드만이알려져있거나 활용가능성이있는공격코드가발표된경우 확실한공격코드가개발된경우 네트워크를통하여전파될수있는공격코드가개발된경우등침해에사용될수있는기술의수준에따라취약점의중요도는영향을받는다 이를고려하여아래와같은기준에따라등급을판정하며복수에해당할경우가장높은점수등급을부여한다 등급별기준 등급 코드 점수 평가기준 Unproven U 0.85 이용할수없는공격코드이거나완전히이론상으로가능한것이다. 공격의개념을시험하거나, 실제적으로는대부분의 Proof-ofconcept 드나기술이모든환경에적용되지않으며, 숙련된시스템에는맞지않는공격시연이존재한다. 그코 POC 0.9 공격자에의한많은변경을필요로한다

93 Functional F 0.95 기능적공격코드가이용가능하며취약점이발견된대부분의상황에서영향을미칠수있다. High H 1.0 각취약점은자발적으로동작하는모바일코드에의해악용가능하며, 또직접적인공격이필요하지않고, 침해코드가널리이용가능하다. 코드는모든상황에서영향을미칠수있으며, 실질적으로모바일자발적인에이젼트 ( 웜이나바이러스같은 ) 를통하여전파된다. Not Defined ND 1.0 본메트릭은점수에영향을미치지않는다. 대응난이도 가 대응수준 개요 대응수준은취약점에대한우선순위설정을위한중요한요소이다 일반적으로취약점이발표될시점에는적절한패치가없는경우가많으며 공식적인패치나업그레이드의발표이전에비공식적인회비방법이나수정이발표되기도한다 이러한대응의단계에따라취약점에대한평가는점차적으로하향조정될수있다 평가방법 패치의존재여부와존재하는패치의성격에따라 로구분한다 해당척도를반영하지않을경우에는 로판정한다 등급별기준 등급코드점수평가기준 Official Fix OF 0.87 이용가능한완전한벤더솔루션이있다. 취약점에대하여발표된공식패치를가지고있거나취약점을제거한업그레이드버젼이이용가능해야한다

94 Temporary Fix TF 0.90 Workaround W 0.95 Unvailable C 1.0 공식적인임시수정방법이있다. 이는벤더가발표한임시적인응급패치프로그램, 툴, 임시방편을포함한다. 비공식적인제 3자의해결방법이있다. 어떤경우에는사용자가스스로해결하는방법을강구하고나, 회피하는방법을사용하기도한다. 이용가능한솔루션이없거나, 그것을적용하는것이불가능하다. Not Defined ND 1.0 해당척도는평가에반영되지않음. 보고의신뢰성 가 보고의신뢰성 개요 이메트릭은보안취약점의존재와이로야기되는알려진기 술적문제점에대한신뢰도를평가하기위하여사용된다 평가방법 해당보안취약점이존재만이알려져있는지 혹은보안취약점으로인하여영향을받는소프트웨어벤더의확인을받았는지를판단한다 보안취약점의존재가확실해질수록해당보안취약점을제거해야할필요성이높아진다 따라서보안취약점이소프트웨어벤더나혹은믿을만한출처에서확인을받을수록평가기준의점수가높아진다 등급별기준 등급 코드점수평가기준 Unconfirmed UC 0.5 하나의출처에서만보고서가존재하거나여러개의 상충되는보고서가존재하여보안취약점에대한

95 신뢰도가낮은경우이다. Uncorroborated UR 0.7 Confirmed C 1.0 독립적인보안회사나연구단체들에서발행한비공식적인다수의보고서가존재하는경우이다. 보안취약점이해당소프트웨어벤더나저작권자에의해서확인된경우이다. Not Defined ND 0.0 이값을주면취약성점수에영향을주지않는다. 제 절국내보안취약점사례에대한시범평가 이절에서는 개의국내보안취약점사례에대한 시범평가에대해서기술한다 시범평가대상이되는 개의국내보안취약점은표 에기술되어있다 표 에나열된 개의보안취약점각각에대하여각평가항목별평가결과를계속해서수록한다 표 국내보안취약점사례 보안취약점이름 [12-011] PHP 원격코드실행취약점 [12-014] FTP 접속프로그램로컬파일실행취약점 [12-016] Cisco-NX-OS 서비스거부취약점 [12-019] SSH 접속프로그램임의코드실행취약점 [12-023] 동영상플레이어버퍼오버플로우취약점 [12-029] PHP-CGI 소스코드노출 [12-034] 홈페이지구축소프트웨어웹쉘코드삽입취약점 [12-052] 스마트폰 PC 연결소프트웨어원격코드실행취약점 [12-064] 워드프로세서소프트웨어임의코드실행취약점 #1 [12-071] 동영상플레이어 DLL하이제킹취약점

96 보안취약점이름 [12-072] 워드프로세서소프트웨어임의코드실행취약점 #2 [12-075] 워드프로세서소프트웨어임의코드실행취약점 #3 [12-084] 에어컨관리자페이지노출취약점 [12-094] 동영상플레이어힙오버플로우취약점 [12-103] NAS 관리자페이지계정정보유출취약점 [12-109] 홈페이지구축소프트웨어 XSS 취약점 #3 [12-129] AcrobatReader X취약점 [12-131] 홈페이지구축소프트웨어 SQL Injection 취약점 [12-135] 메신저프로그램이미지파일공유시임의파일업로드취약점 [12-159] Adobe Flash player 버퍼오버플로우취약점 [12-163] 그룹웨어및회계관리 DB 시스템관리자계정노출취약점 [12-165] 결제모듈주요개인정보노출취약점 [13-002] 홈페이지구축소프트웨어 XSS 취약점 #2 [13-005] 메신저프로그램계정탈취취약점 [13-020] 유무선공유기 CSRF XSS 취약점 [13-021] 워드프로세서소프트웨어 Integer Overflow 취약점 #1 [13-022] 백신자체보호기능우회취약점 [13-045] 워드프로세서소프트웨어스택오버플로우 [13-050] 워드프로세서소프트웨어힙오버플로우 [13-056] 메신저프로그램세션노출취약점 [13-057] 홈페이지구축소프트웨어 XSS 취약점 #3 [13-092] 홈페이지구축소프트웨어원격코드실행 [13-105] 금융권 ActiveX 원격코드실행취약점 [13-108] 워드프로세서소프트웨어 Integer Overflow 취약점 #2 [13-109] 동영상플레이어원격코드실행취약점 [13-117] 압축프로그램 Directory Traversal 취약점 [13-122] 워드프로세서소프트웨어 Signed Extension Error Handling 취약점 [13-131] 웹에디터소스코드파일다운로드취약점 [13-162] 웹서버프로그램원격코드실행취약점 [13-175] DVR 장비관리자페이지인증우회취약점

97 원격코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) P P P LM 0.3 MH 1.0 H 1.51 H 1.51 임의코드실행으로인한부분적으로정보기밀성에영향 을줌. 임의코드실행으로인한부분적으로정보무결성에영향 을줌. 임의코드실행으로인한부분적으로시스템가용성에영 향을줌. 임의코드실행하는서버로인해중간정도의물적손실이 나자산손실의결과를낳을수있음. PHP 사용환경이매우민감한정보를다루는것은아니므 로기밀성요구가특별히크지는않음. PHP 사용환경이주로서버이므로정보무결성요구가크 다고할수있음. PHP 사용환경이주로서버이므로가용성요구가크다고 할수있음. N 1.0 네트워크를통하여공격이가능하므로 N 으로판정함 L 0.71 OF 0.87 POC 0.9 특화된접근조건이나환경이존재하지않으며, 취약한버 전의소프트웨어가설치된경우공격이가능하므로 L 로 판정한다. 공식적으로제공된패치버전이존재하므로 OF 로판정한 다. 공격의개념을시연할수있는방법이존재한다. 그러나, 특정시스템에대한침해를위해서는해당소프트웨어에맞는공격방법을사용해서공격을수행하여야하므로 POC 로판정한다. 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 H 1.0 C 1.0 PHP는매우광범위하게사용되는스크립트언어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 76% - 100% 이다. 보안취약점이해당소프트웨어벤더나저작권자에의해서확인된경우이다. 벤더의평가가 CVE 리스트에등록되었으며, 패치가개발되어배포되었다

98 접속프로그램로컬파일실행취약점 평가항목 평가결과 평가근거 기밀성영향 FTP 접속프로그램탐색창에서로컬에있는파일의실행 N 0 (C) 과관련한취약점이므로기밀성에영향없음 FTP 접속프로그램탐색창에서로컬에있는파일의실행무결성영향 N 0 과관련한취약점이므로다른시스템의파일이나정보 (I) 의변경을하지않는다 FTP 접속프로그램탐색창에서로컬에있는파일의실행가용성영향 N 0 과관련한취약점이므로다른시스템의가용성에대한 (A) 영향은없다 부수적피해 FTP 접속프로그램탐색창에서로컬에있는파일의실행 L 0.1 잠재성 (CDP) 과관련한취약점이므로피해잠재성이낮음 기밀성요구 (CR) ND 1 기밀성영향없으므로 ND 무결성요구 (IR) ND 1 무결성영향없으므로 ND 가용성요구 (AR) ND 1 가용성영향없으므로 ND 접근벡터공격과관련한접근요구사항은존재하지않으므로 N으로판 N 1.0 (AV) 정한다. 접근복잡도특화된실행상황이필요하며, 이때희생자가존재하지않는 H 0.35 (AC) 파일을수행하여야하므로, 일반적인적용이힘듬 대응난이도 (AR) OF 0.87 공식적으로제공된패치버전이존재하므로 OF로판정한다. 공격가능성취약소프트웨어가설치된대부분의상황에서침해방법이 F 0.95 (EX) 성공하므로 F로판정한다. 알FTP는비교적널리사용되는응용소프트웨어로해당보안대상분포 M 0.6 취약점으로인하여침해가예상되는대상시스템들의범위는 (TD) 26% - 75% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인보고의신뢰성 UR 0.7 다수의보고서가존재하는경우이다. 보고서에의한공격이 (RC) 재연가능하다. 중요도전체점수

99 서비스거부취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) N 0.0 기밀성에영향을끼치지않음. N 0.0 무결성에영향을끼치지않음. C 스위치의서비스가거부됨으로써이에연결된모든네트워크운용에문제가생길수있음. 스위치의서비스가거부됨으로써이에연결된모든네트워 MH 0.4 크운용문제로중요한물적손실이나자산손실의결과를 낳을수있음. ND 1 기밀성영향없으므로 ND ND 1 무결성영향없으므로 ND H 1.51 Cisco-NX-OS 사용환경은가용성요구가높다고볼수있음. N 1.0 일반적인원격내트워크에서공격가능하므로 N으로판정한다. 특화된접근조건이나환경이존재하지않으며, 취약한버 L 0.71 전의스위치제품이설치된경우공격이가능하므로 L로 판정한다. OF 0.87 공식적으로제공된패치버전이존재하므로 OF로판정한다. 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 F 0.95 H 1.0 C 1.0 취약소프트웨어가설치된대부분의상황에서위험패킷을전송하는방법으로침해방법이성공하므로 F로판정한다. Cisco 스위치는매우광범위하게사용되는네트워크장비로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 76% - 100% 이다. 보안취약점이해당소프트웨어벤더나저작권자에의해서확인된경우이다. 벤더의평가가 CVE 리스트에등록되었으며, 패치가개발되어배포되었다

100 접속프로그램임의코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 N 0.0 N 0.0 P L 0.1 버퍼오버플로우발생이가능성을보였으나공격성공을위한조건이어려워기밀성에영향은거의없음. 버퍼오버플로우발생이가능성을보였으나공격성공을위한조건이어려워무결성에영향은거의없음. 버퍼오버플로우발생이가능성을보였으나공격성공을위한조건이어려워 Xshell 클라이언트의가용성에부분적인영향이있을수있음. 공격성공을위한조건이어려워, 최소한의잠재적피해가있을수있음. ND 1.0 기밀성영향이없으므로 ND ND 1.0 무결성영향이없으므로 ND MH 1.0 N 1.0 M 0.61 OF 0.87 POC 0.9 L 0.3 C 1.0 Xshell 사용환경이특별한가용성요구가있다고볼 수없음. 일반적인원격내트워크에서공격가능하므로 N 으로판정 한다. 사용자가해당프로그램을사용하여위험한서버에접근하 도록사회공학적방법을사용해야하므로, M 으로판정한다. 공식적으로제공된패치버전이존재하므로 OF 로판정한 다. 공격의개념을시연할수있는방법이존재한다. 그러나, 숙련된공격자에의한과정을필요로하며실제적인침해를위해서는 explit 코드를작성해야하므로 POC로판정한다. SSH 접속프로그램이사용범위가그리넓지않은소프 트웨어로해당보안취약점으로인하여침해가예상 되는대상시스템들의범위는 이다 보안취약점이해당소프트웨어벤더나저작권자에의해서 확인된경우로벤더에의한패치가개발되어배포되었다

101 동영상플레이어버퍼오버플로우취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 N 0 N 0 P L 0.1 버퍼오버플로우취약점이보고되었지만악성코드삽입및 실행메커니즘을보이지는않았으므로기밀성에영향은거 의없을것으로판단됨. 위와같은이유로무결성에영향은거의없을것으로판단 됨. 버퍼오버플로우취약점이보고되었지만악성코드삽입및 실행메커니즘을보이지는않았으므로가용성에부분적인 영향이있을수있음. 곰플레이어는개인 PC 환경에서사용되며악성코드삽입 및실행메커니즘을보이지는않았으므로그피해잠재성 은낮을것으로판단됨. ND 1.0 기밀성영향없으므로 ND ND 1.0 무결성영향없으므로 ND MH 1.0 N 1.0 H 0.35 OF 0.87 F 0.95 M 0.6 UC 0.5 곰플레이어는개인 PC 환경에서사용되므로가용성에대 한특별한요구는없다. 위험한수행을위하여사회공학적방법을포함한다양한 방법이시도될수있으며, 이는특별히접근의근접성과는 무관하다. 사용자가해당프로그램을사용하여위험한주소값을접근 하도록사회공학적방법을사용해야하나, 보안에지식이 있는사용자가이러한작업을할가능성이매우적으므로, High 로판정한다. 공식적으로제공된패치버전이존재하므로 OF 로판정한 다. 취약소프트웨어가설치된대부분의상황에서침해방법이성공하므로 F 로판정한다. 곰플레이어는비교적널리사용되는응용소프트웨어로해 당보안취약점으로인하여침해가예상되는대상시스템 들의범위는 26% - 75% 이다. 하나의출처에서만보고서가존재하거나여러상충되는보 고서가존재하여보안취약점에대한신뢰도가낮음

102 소스코드노출 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) P P 서버쪽애플리케이션의소스코드가유출될경우웹애플리케이션로직의전반및데이터베이스정보등이노출될수있으나이취약점은 CGI 방식을사용할때만적용되므로그영향은부분적임. 위와같은이유이나이취약점은 CGI 방식을사용할때만적용되므로그영향은부분적임. 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P L 0.1 MH 1.0 MH 1.0 MH 1.0 위와같은이유이나이취약점은 CGI 방식을사용할때만 적용되므로그영향은부분적임. 현재 PHP 는대부분 CGI 방식이아닌 SAPI 나 FastCGI 방식으로구동되므로해당취약점의피해잠재성은낮음. PHP-CGI 를이용하는환경이특별한기밀성요구가있다고 볼수없음. PHP-CGI 를이용하는환경이특별한무결성요구가있다고 볼수없음. PHP-CGI 를이용하는환경이특별한가용성요구가있다고 볼수없음. N 1.0 네트워크를통하여공격이가능하다. M 0.61 OF 0.87 F 0.95 L 0.3 C 1.0 CGI 방식으로 PHP 가설치되어있을경우쉽게침해를수 행할수있으나일반적인설치형태가아니므로 M 로판정 공식적으로권장하는방식으로설치방식을바꾸면문제점 이발생하지않으므로, OF 로판정한다. 취약소프트웨어가취약한형태로설치된대부분의상황에서침해방법이성공하므로 F 로판정한다. PHP 를 CGI 환경에서사용하는경우는그리많지않기때 문에해당보안취약점으로인하여침해가예상되는대상 시스템들의범위는 1% - 25% 이다. 보안취약점이해당소프트웨어벤더나저작권자에의해서 확인된경우이다. 벤더의평가가 CVE 리스트에등록되었 으며, 패치가개발되어배포되었다

103 홈페이지구축소프트웨어웹쉘코드삽입취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) C C 웹쉘코드를생성하여원격코드실행이가능함으로정보유출이가능함. 웹쉘코드를생성하여원격코드실행이가능하며관리자권한탈취도가능하여데이터베이스수정및조작이가능함. 웹쉘코드를이용한공격은서버에대한관리자권한을가용성영향 C 얻을수있기때문에해당웹서버를이용불가능하게만 (A) 들수있음. 웹쉘코드공격을이용하여정보를유출혹은조작할수 부수적피해있으므로중요한물적손실이발생할수있으며또한해 MH 0.4 잠재성 (CDP) 당서버를이용하여내부망의 pc를쉽게공격할수있기 때문에피해가확산될수있음. 현재패치가제공됨. 기밀성요구 XE는오픈소스소프트웨어로 XE가사용되는사용자환 MH 1.0 (CR) 경은기밀성에대한특별한요구는없다. 무결성요구 XE는오픈소스소프트웨어로 XE가사용되는사용자환 MH 1.0 (IR) 경은무결성에대한특별한요구는없다. 가용성요구웹쉘은주로웹서버에서사용되기때문에서버의가용성 H 1.51 (AR) 이중요하다고할수있다. 접근벡터 (AV) N 1.0 네트워크를통하여공격이가능하다. 접근복잡도 (AC) L 0.71 간단한쉘코드입력으로쉽게침해를수행할수있으므로 L로판정한다. 대응난이도 (AR) OF 0.87 해당취약점을수정한공식버전이존재하므로 OF로판정한다. 공격가능성 (EX) F 0.95 XpressEngine 은사용범위가그리넓지않은소프트웨어로대상분포 L 0.3 해당보안취약점으로인하여침해가예상되는대상시스 (TD) 템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적보고의신뢰성 UR 0.7 인다수의보고서가존재하는경우이다. 보고서에의한 (RC) 공격이재연가능하다. 중요도전체 점수

104 스마트폰 연결소프트웨어원격코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P 사용자의 PC에서원격지의악성코드가실행되면시스템정보의부분적으로노출될수있음. P 사용자의 PC에서원격지의악성코드가실행되면시스템정보의무결성에부분적인영향이있음. P 사용자의 PC에서원격지의악성코드가실행되면시스템의가용성에부분적인영향이있음. 사용자의 PC에서원격지의악성코드가실행되면시스템에 LM 0.3 주는영향으로인해중간정도의물적손실이나자산손실 의결과를낳을수있음. MH 1.0 삼성 kies소프트웨어를사용하는개인의 pc가특별한기밀성을요구한다고볼수없음. MH 1.0 삼성 kies소프트웨어를사용하는개인의 pc가특별한무결성을요구한다고볼수없음. MH 1.0 삼성 kies소프트웨어를사용하는개인의 pc가특별한가용성을요구한다고볼수없음. N 1.0 네트워크를통하여공격이가능하다. 해당소프트웨어의침해를위한특화된환경이존재하지않 M 0.61 으나, 희생자가위험한사이트접근하도록하여야하므로 M 으로판정한다. OF 0.87 해당취약점을수정한공식버전이존재하므로 OF로판정한다. F 0.95 취약소프트웨어가설치된대부분의상황에서침해방법이성공하므로 F로판정한다. 삼성 Kies 소프트웨어는사용범위가그리넓지않은소프트 L 0.3 웨어로해당보안취약점으로인하여침해가예상되는대상 시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 UR 0.7 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

105 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P 윈도우 XP 상에서취약점이존재하는 HWP 문서파일을실행하면악성파일이자신의컴퓨터에설치되고사용자의개인정보를지메일을통해외부로유출을시도하므로기밀성에부분적인영향이있음. N 0.0 정보무결성에는영향없음. N 0.0 시스템가용성에는영향없음. LM 0.3 H 1.51 정보부처의정보들이유출될수있으므로중간정도의물 적손실이나자산손실의결과를낳을수있음, 대량의민감한정보를다루는사용자가있을가능성이높 으므로기밀성요구가높음. ND 1.0 무결성영향이없으므로 ND ND 1.0 가용성영향이없으므로 ND N 1.0 네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 H 1.0 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF로판정 한다. 취약소프트웨어가설치된대부분의상황에서침해방법이성공하므로 F 로판정한다. 아래한글은매우광범위하게사용되는워드프로세스소 프트웨어로해당보안취약점으로인하여침해가예상되는 대상시스템들의범위는 76% - 100% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

106 동영상플레이어 하이제킹취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P P P 0,275 L 0.1 MH 1.0 MH 1.0 MH 1.0 N 1.0 H 0.35 OF 0.87 F 0.95 L 0.3 UR 0.7 현재디렉토리에악성 DLL 파일이존재하는경우에실행될 수있으나악성파일삽입메커니즘이없으므로기밀성영 향은부분적이라고판단됨. 현재디렉토리에악성 DLL파일이존재하는경우에실행될 수있으나악성파일삽입메커니즘이없으므로무결성영 향은부분적이라고판단됨. 현재디렉토리에악성 DLL파일이존재하는경우에실행될 수있으나악성파일삽입메커니즘이없으므로가용성영 향은부분적이라고판단됨. 초코플레이어사용자가많지않으며악성파일삽입메커니 즘이없으므로그피해잠재성은낮다고판단됨. 초코플레이어사용자환경이특별한기밀성요구가있다고 볼수없음. 초코플레이어사용자환경이특별한무결성요구가있다고 볼수없음. 초코플레이어사용자환경이특별한가용성요구가있다고 볼수없음. 위험한파일의업로드가필요하며, 이는접근벡터와는연 관되지않으므로 N 으로판정한다. 실제적인침해전에위험한 DLL 의업로드와같은사전침 해가성공되어야하므로 High 로판정한다. 해당취약점을수정한공식버전이존재하므로 OF 로판정 한다. 취약소프트웨어가설치된대부분의상황에서공격을위한 DLL의복사만으로침해방법이대부분성공하므로 F로판정한다. 초코플레이어프로그램은사용범위가그리넓지않은소프트웨어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

107 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 P P P L 0.1 글상자세부정보처리시힙오버플로우발생가능하지만 악성코드유포 / 실행메커니즘을제시하지않았으므로그 기밀성영향은부분적임. 글상자세부정보처리시힙오버플로우발생가능하지만 악성코드유포 / 실행메커니즘을제시하지않았으므로그 무결성영향은부분적임. 글상자세부정보처리시힙오버플로우발생가능하지만 악성코드유포 / 실행메커니즘을제시하지않았으므로그 가용성영향은부분적임. 힙오버플로우발생가능하지만악성코드유포및실행메 커니즘을제시하지않았으므로약간의물적손실이나자산 손실이있을수있음. MH 1.0 한글 2010 이용환경에특별한기밀성요구는없음. MH 1.0 한글 2010 이용환경에특별한무결성요구는없음. MH 1.0 한글 2010 이용환경에특별한가용성요구는없음. N 1.0 네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 H 1.0 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 해당취약점을수정한공식버전이존재하므로 OF로판정 한다. 악성한글파일이제시되었으며, 대부분침해를성공하므로 F 로판정한다. 아래한글은매우광범위하게사용되는워드프로세스소프 트웨어로해당보안취약점으로인하여침해가예상되는대 상시스템들의범위는 76% - 100% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

108 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P P P L 0.1 공격자가악성코드를실행하여정보의기밀성에부분적으 로영향을줄수있음 ( 사용자 PC 이름, IP 주소, 프록시정 보, 윈도우운영체제정보, 모듈경로정보등을수집 ) 공격자가악성코드를실행하여정보의무결성에부분적으 로영향을줄수있음.( 특정파일업로드, 다운로드및 C&C 서버접속등의악의적인행위 ) 공격자가악성코드를실행하여시스템의가용성에부분적 으로영향을줄수있음.( 특정파일업로드, 다운로드및 C&C 서버접속등의악의적인행위 ) 윈도우 XP에서한글2005 와 2007에서만작동하며이미패 치조치되었으므로그피해는미미함. H 1.51 정부부처를대상으로하므로기밀성요구가높음. H 1.51 정부부처를대상으로하므로무결성요구가높음. MH 1.0 가용성요구가특별히높지는않음. N 1.0 네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 H 1.0 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF로판정 한다. 악성한글파일이제시되었으며, 대부분침해를성공하므로 F 로판정한다. 아래한글은매우광범위하게사용되는워드프로세스소 프트웨어로해당보안취약점으로인하여침해가예상되는 대상시스템들의범위는 76% - 100% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

109 에어컨관리자페이지노출취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 N 0 냉난방시스템이정보의기밀성에영향을주지는않음. N 0 냉난방시스템이정보의무결성에영향을주지는않음. C LM 0.3 악의적인공격자가공개된 ID 와 PW 를이용하여대상대형 건물이나병원등의냉난방공조시스템을완전히사용못하 도록차단하는것이가능함. 악의적인공격자가대형건물이나병원등의냉난방공조시 스템을완전히사용못하도록차단하는것이가능하기때문 에중간정도의물적손실이나자산손실의결과를낳을수 있음. MH 1.0 냉난방시스템과관련된특별한기밀성요구는없음. MH 1.0 냉난방시스템과관련된특별한무결성요구는없음. H 1.51 대형기업, 공공기업, 병원들의냉난방시스템은항상사용가 능하여야하기때문에가용성에대한요구가높다고할수 있음. N 1.0 네트워크를통하여공격이가능하다. L 0.71 OF 0.87 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 해당취약점을수정한공식버전이존재하므로 OF로판정 한다. F 0.95 취약한시스템에바로접속가능하므로 F 로판정한다. L 0.3 UR 0.7 LG 에어컨관리자프로그램은사용범위가그리넓지않은소프트웨어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

110 동영상플레이어힙오버플로우취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 N 0 N 0 P L 0.1 MH 1.0 MH 1.0 MH 1.0 곰플레이어의힙오버플로우취약점이보고되었지만악성 코드삽입및실행메커니즘을보이지는않았으므로기밀 성에영향은거의없을것으로판단됨. 곰플레이어의힙오버플로우취약점이보고되었지만악성 코드삽입및실행메커니즘을보이지는않았으므로무결 성에영향은거의없을것으로판단됨. 곰플레이어의힙오버플로우취약점이보고되었지만악성 코드삽입및실행메커니즘을보이지는않았으므로가용 성에영향은부분적일것으로판단됨. 곰플레이어는개인 PC 환경에서사용되며악성코드삽입 및실행메커니즘을보이지는않았으므로그피해잠재성 은낮을것으로판단됨. 곰플레이어는개인 PC 환경에서사용되므로기밀성에대 한특별한요구는없다. 곰플레이어는개인 PC 환경에서사용되므로무결성에대 한특별한요구는없다. 곰플레이어는개인 PC 환경에서사용되므로가용성에대 한특별한요구는없다. N 1.0 네트워크를통하여공격이가능하다. L 0.71 OF 0.87 POC 0.9 M 0.6 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF 로판정 한다. 공격의개념을시연할수있는방법이존재한다. 그러나, 숙련된공격자에의한조절을필요로하므로 POC로판정한다. 곰플레이어는비교적널리사용되는응용소프트웨어로해 당보안취약점으로인하여침해가예상되는대상시스템 들의범위는 26% - 75% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

111 관리자페이지계정정보유출취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P N 0.0 N 0.0 L 0.1 NAS 서버는접속한사용자들의계정관련정보를유출시 킬수있음. NAS 의계정관련정보가유출되나패스워드평문을확인하 기어려움으로무결성에영향없음. NAS 의계정관련정보가유출되나패스워드평문을확인하 기어려움으로시스템의가용성에대한영향은없음. NAS 의계정관련정보가유출되나패스워드평문을확인하 기어려움으로그피해는미미함. MH 1.0 기밀성요구가특별히높지않음. ND 1 무결성영향은없으므로 ND ND 1 시스템의가용성에대한영향은없으므로 ND N 1.0 일반적인네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 L 0.3 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF로판정 한다. 해당취약점은발견된대부분의상황에서침해를시연할수있는방법이제시되어있으므로 F로판정한다. LG NAS 프로그램은사용범위가그리넓지않은소프트웨어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

112 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P P P LM 0.3 MH 1.0 MH 1.0 MH 1.0 게시글을열람한사용자의 PC 에서사용자정보를탈취할 수있으므로정보기밀성에부분적인영향을줌. 게시글을열람한사용자의 PC 가악성코드전파, 피싱등에 이용될수있으므로정보무결성에부분적인영향을줌. 게시글을열람한사용자의 PC 가악성코드전파, 피싱등에 이용될수있으므로시스템가용성에부분적인영향을줌. 기밀성과무결성, 가용성모두에위협이되는공격이지만 그누보드의특성상부수적피해정도는크지않을것으로 보임. 그누보드는일반적으로개인홈페이지등에많이이용되므 로기밀성이크게중요하지는않음. 그누보드는일반적으로개인홈페이지등에많이이용되므 로무결성이크게중요하지는않음. 그누보드는일반적으로개인홈페이지등에많이이용되므 로가용성이크게중요하지는않음. N 1.0 일반적인네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 L 0.3 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF 로판정 한다. 해당취약점은발견된대부분의상황에서침해를성공할수있는방법이제시되어있으므로 F로판정한다. 그누보드4 프로그램은사용범위가그리넓지않은소프트웨어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

113 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 N 0 N 0 N 0 N 0 Acrobat Reader X 버전에서는프로그램크래쉬현상이일 어나는 POC 파일만존재함으로정보기밀성에영향은없음. Acrobat Reader X 버전에서는프로그램크래쉬현상이일 어나는 POC 파일만존재함으로정보무결성에영향은없음. Acrobat Reader X 버전에서는프로그램크래쉬현상이일 어나는 POC 파일만존재함으로시스템가용성에영향은없 음. 프로그램크래쉬를유발하는 POC 파일이존재하나임의코 드실행이가능한공격에대한내용은없기때문에공격을 위해서는추가작업이필요하며만약성공을하여도 Acrobat Reader X 의보호기능의우회가어려워피해잠재 성거의없음. ND 1 기밀성영향이없으므로 ND ND 1 무결성영향이없으므로 ND ND 1 가용성영향이없으므로 ND N 1.0 일반적인네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 N 0.0 UC 0.5 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 해당취약점을정상적으로처리하는공식버전이존재하므 로 OF 로판정한다. 해당취약점은발견된대부분의상황에서침해를성공할수있는방법이제시되어있으므로 F 로판정한다. 해당보안취약점으로인한공격방법이제시되지않았기때 문에침해가예상되는대상시스템이존재하지않는다. 하나의출처에서만보고서가존재하거나여러개의상충되 는보고서가존재하여보안취약점에대한신뢰도가낮은 경우이다

114 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P P P LM 0.3 MH 1.0 MH 1.0 MH 1.0 이취약점의 SQL 인젝션을통해데이터베이스정보유출 이가능함으로정보기밀성에부분적영향이있음. 이취약점의 SQL 인젝션을통해데이터베이스정보조작 이가능함으로정보무결성에부분적영향이있음. 이취약점의 SQL 인젝션을통해데이터베이스정보훼손 이가능함으로시스템가용성에부분적영향이있음. 기밀성과무결성, 가용성모두에위협이되는공격이지만 자유소프트웨어인그누보드의특성상상업용으로많이이 용되지않으므로부수적피해정도는크지않을것으로보 임. 자유소프트웨어인그누보드를사용하는환경은기밀성요 구가크지않음. 자유소프트웨어인그누보드를사용하는환경은무결성이 요구가크지않음. 자유소프트웨어인그누보드를사용하는환경은가용성이 요구가크지않음. N 1.0 일반적인네트워크를통하여공격이가능하다. L 0.71 OF 0.87 F 0.95 L 0.3 UR 0.7 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을정상적으로처리하는공식버전이존재하므 로 OF로판정한다. 해당취약점은발견된대부분의상황에서침해를성공할수있는방법이제시되어있으므로 F로판정한다. 그누보드프로그램은사용범위가그리넓지않은소프트웨어로해당보안취약점으로인하여침해가예상되는대상시스템들의범위는 1% - 25% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격 이재연가능하다

115 메신저프로그램이미지파일공유시임의파일업로드취약 점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 P P P L 0.1 MH 1.0 MH 1.0 MH 1.0 각각로그인한사용자들끼리서로의동의를받아이미지파 일을공유하게될때에악성파일을상대방의 pc 아무곳에 파일을교체혹은저장이가능함. 이미지파일을공유하게될때에악성파일을상대방의 pc 아 무곳에나저장하거나기존파일을교체할수있으므로무결 성에부분적인영향이있음. 공격자는악성파일로상대방의주요시스템파일을교체함 으로써시스템가용성에부분적인영향을미칠수있음. 사진을공유한사람 ( 한명또는여러명 ) 에한해약간의물적 손실의결과를낳을수있다. 네이트온사용환경이특별히무결성요구가높다고할수 없음. 네이트온사용환경이특별히무결성요구가높다고할수 없음. 네이트온사용환경이특별히가용성요구가높다고할수 없음. N 1.0 일반적인네트워크를통하여공격이가능하다. M 0.61 OF 0.87 F 0.95 H 1.0 UR 0.7 네이트온을사용하는사용자에대하여공격이가능하고해당 사용자가이미지를공유하도록유도하여야하므로 M 으로판 정한다. 해당취약점을수정한공식버전이존재하므로 OF로판정한 다. 해당취약점은발견된대부분의상황에서침해를성공할수있으므로 F 로판정한다. 네이트온프로그램은매우광범위하게사용되는소프트웨어 로해당보안취약점으로인하여침해가예상되는대상시스 템들의범위는 76% - 100% 이다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

116 버퍼오버플로우취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응난이도 (AR) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 C 버퍼오버플로우로인해악성코드실행으로정보가공개될수있으며이로인해모든시스템파일이드러날수있다. C 버퍼오버플로우로인한악성코드실행으로정보무결성이훼손될수있다. C 버퍼오버플로우로인한악성코드실행으로시스템자원이완전히사용불가능할수있다. MH 0.4 시스템훼손으로인해중요한물적손실이나자산손실의결과를낳을수있다. MH 1.0 Adobe Flash player 사용환경에서특별한기밀성요구는없다. MH 1.0 Adobe Flash player 사용환경에서특별한무결성요구는없다. MH 1.0 Adobe Flash player 사용환경에서특별한가용성요구는없다. N 1.0 일반적인네트워크를통하여공격이가능하다. L 0.71 악의적인웹페이지를통하여수동적으로공격이수행되며, 부가적인정보수집등이필요없으므로 Low로판정한다. OF 0.87 해당취약점을수정한공식버전이존재하므로 OF로판정한다. F 0.95 제시된공격파일을통하여취약한소프트웨어버전의침해가가능하므로 F Adobe Flash Player는매우광범위하게사용되는소프트웨 H 1.0 어로해당보안취약점으로인하여침해가예상되는대상 시스템들의범위는 76% - 100% 이다. 보안취약점이해당소프트웨어벤더나저작권자에의해서 C 1.0 확인된경우이다. 벤더의평가가 CVE 리스트에등록되었으 며, 패치가개발되어배포되었다

117 그룹웨어및회계관리 시스템관리자계정노출취약점 평가항목평가결과평가근거 기밀성영향 (C) C 무결성영향 (I) N 0 가용성영향 (A) N 0 부수적피해잠재성 (CDP) LM 0.3 기밀성요구 (CR) MH 1.0 무결성요구 (IR) MH 1.0 가용성요구 (AR) MH 1.0 접근벡터 (AV) N 1.0 접근복잡도 (AC) L 0.71 대응수준 (RL) W 0.95 공격가능성 (EX) F 0.95 대상분포 (TD) L 0.3 보고의신뢰성 (RC) UR 0.7 중요도전체 점수 기업정보및회계정보로유출로중요한기업기밀이유출될 수있음. DB 관리자계정노출에대한언급은있지만구체적인 PoC 는없음 DB 관리자계정노출에대한언급은있지만구체적인 PoC 는없음 기업정보및회계정보유출로중간정도의물적손실이나 자산손실의결과를낳을수있음. 이소프트웨어사용환경이특별한기밀성요구가있 는것은아님. 이소프트웨어사용환경이특별한무결성요구가있 는것은아님. 이소프트웨어사용환경이특별한가용성요구가있 는것은아님. 네트워크를통하여 DB 서버공격이가능하므로 N 으로판정 한다. 특화된접근조건이나환경이존재하지않으며, 취약한버전 의소프트웨어가설치된경우공격이가능하므로 L 로판정 한다. 공식적패치는알려지지않았으나, 패스워드변경등을통하 여취약성을제거할수있다. 취약소프트웨어가설치된대부분의상황에서침해가 가능하다. 더존그룹웨어는사용자가많지않은제한적인소프트웨어로대상분포를 Low 로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

118 결제모듈주요개인정보노출취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) P 결제자의개인정보로유출로기밀성에부분적인영향을줌. N 0 정보무결성에는영향이없음. N 0 시스템가용성영향이없음. L 0.1 결제자의개인정보유출로인한낮은정도의피해잠재성이있음. H 1.5 이소프트웨어는온라인결제에사용되므로특별한기밀성요구가있음. MH 1.0 이소프트웨어사용환경이특별한무결성요구가있는것은아님. 가용성요구 (AR) MH 1.0 이소프트웨어사용환경이특별한가용성요구가있 는것은아님. 접근벡터 (AV) N 1.0 접근복잡도 (AC) L 0.71 대응수준 (RL) TF 0.90 공격가능성 (EX) F 0.95 대상분포 (TD) H 1.0 보고의신뢰성 (RC) UR 0.7 중요도전체 점수 일반적인원격내트워크에서공격가능하므로 N 으로판정한 다. 특화된접근조건이나환경이존재하지않으며, 영수증저장 주소사이트에항상접근이공격이가능하므로 L 로판정한 다. 벤더가일부수정한것으로판단되나, 완전한수정인지여 부는불확실하므로 TF로판정한다. 취약소프트웨어가설치된대부분의상황에서침해가 가능하다. 해당취약점이발견되는소프트웨어는가장널리사용되는금융관련소프트웨어에해당되므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

119 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 사용자의정보 ( 쿠키, 세션 ) 탈취로인해정보기밀성에부분적으로영향을줌. 정보무결성에직접적인영향은없음. 시스템가용성에직접적인영향은없음. 사용자정보탈취로인해낮은수준의물적손실이나자산손실의결과를낳을수있음. XE 사용환경이매우민감한정보를다루는것은아니므로기밀성요구가특별히크지는않음. XE 사용환경이정보무결성요구가특별히크지는않음. XE는주로웹서버에서사용되기때문에서버의가용성이중요하다고할수있다. 일반적인원격내트워크에서공격가능하므로 N으로판정한다. 취약한제로보드에대한특별한접근조건은일반적으로존재하지않으므로 L로판정한다. 대응수준 (RL) 공식적으로제공된패치버전이존재하므로 OF 로판정한다. 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 취약소프트웨어가설치된대부분의상황에서침해가 가능하다. 제로보드는비교적알려진공개소프트웨어에해당하나사용자가제한적이므로대상분포를 Medium 으로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체점수

120 메신저프로그램계정탈취취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 본인인증을우회하여다른사람의 NATE 계정을탈취하여정보기밀성에부분적으로영향을줌. 본인인증을우회하여다른사람의 NATE 계정을탈취하여정보무결성에부분적으로영향을줌. 본인인증을우회하여다른사람의 NATE 계정을탈취하여계정소유자의가용성에영향을줌. 다른사람의계정탈취로인해중간정도의물적손실이나자산손실의결과를낳을수있음. 사용환경이매우민감한정보를다루는것은아니므로기밀성요구가특별히크지는않음. 사용환경이정보무결성요구가특별히크지는않음. 사용환경이가용성요구가특별히크지는않음. 일반적인원격내트워크에서공격가능하므로 N으로판정한다. 공격을수행하기전에 id, 이름, 핸드폰번호등의정보를수집하여야하므로 M으로판정한다. 대응수준 (RL) 보고시점에서공식적인패치는존재하지않으므로 U 로판정 한다. 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 대부분의상황에서시연가능하나, 웜등을통해서자 동으로수행하기는어렵다. NATE 웹페이지는상당한숫자의사용자를확보하고있는페이지로대상분포를 Medium 으로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체점수

121 유무선공유기 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 기밀성에영향을끼치지않음. ( 관리자권한탈취 PoC 가없음 ) 무결성에영향을끼치지않음. ( 관리자권한탈취 PoC 가없음 ) 공유기설정을변경함으로써가용성에부분적으로영향을 줄수있음. 공유기설정변경으로인해낮은수준의물적손실이나자 산손실의결과를낳을수있음. 기밀성영향없으므로 ND 무결성영향없으므로 ND iptime 사용환경은가용성요구가높다고볼수있음. 네트워크를통하여공격이가능하다. 특별한조건이나설정을요구하지않으므로 L 로판정한다. 보고시점에서공식적인패치는존재하지않으나재 3 자의 불완전한회피방법은존재하므로 W 로판정한다. 대부분의상황에서시연가능하나, 웜등을통해서자 동으로수행하기는어렵다. 해당보안취약점을포함하는소프트웨어를이용하는유무선공유기는상당한숫자의사용자를확보하고있는하드웨어로대상분포를 Medium으로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체 점수

122 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 그림파일파싱모듈에서정수오버플로우가발생가능하지 만악성코드유포 / 실행메커니즘을제시하지않았으므로 그기밀성영향은거의없음. 그림파일파싱모듈에서정수오버플로우가발생가능하지 만악성코드유포 / 실행메커니즘을제시하지않았으므로 그무결성영향은거의없음. 그림파일파싱모듈에서정수오버플로우가발생가능하므 로부분적으로가용성에영향을줌. 정수오버플로우발생가능하지만악성코드유포및실행 메커니즘을제시하지않았으므로낮은수준의물적손실이 나자산손실이있을수있음. 한글 2010 이용환경에특별한기밀성요구는없음. 한글 2010 이용환경에특별한무결성요구는없음. 한글 2010 이용환경에특별한가용성요구는없음. 네트워크를통하여파일을전달하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 취약한한글파일전달로쉽게침해를수행할수있으므로 L 로판정한다. 이에대한제대로작성된공식적인픽스는없으며, 해당보 고는최신버전을사용하고있다. 대부분의상황에서시연가능하나, 웜등을통해서자동으로 수행하기는어렵다. 해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

123 백신자체보호기능우회취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) V3Lite 작동중지로사용 PC 가악성코드에노출됨에따라기 밀성에부분적인영향이있음. V3Lite 작동중지로사용 PC 가악성코드에노출됨에따라무 결성에부분적인영향이있음. V3Lite 작동중지로사용 PC 가악성코드에노출됨에따라가 용성에부분적인영향이있음. V3Lite 작동중지로사용 PC 가악성코드에노출됨에따라어 느정도물적손실이나자산손실이있을수있음. V3Lite 사용환경에특별한기밀성요구는없음. V3Lite 사용환경에특별한무결성요구는없음. V3Lite 사용환경에특별한가용성요구는없음. 네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 해당소프트웨어의침해를위한특화된환경이존재하지않 으므로 L 로판정한다. 관련패치존재여부를판단하기어려우므로해당척 도는평가에반영되지않음. 대부분의상황에서시연가능하나자동적인전파여부는경 우에따라의존적이다. 해당보안취약점을가지는 V3 Lite 백신프로그램은가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체 점수

124 워드프로세서소프트웨어스택오버플로우 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 악의적으로조작된파일을열경우스택오버플로우발생 가능하지만악성코드유포 / 실행메커니즘을제시하지않았 으므로그기밀성영향은거의없음. 악의적으로조작된파일을열경우스택오버플로우발생 가능하지만악성코드유포 / 실행메커니즘을제시하지않았 으므로그무결성영향은거의없음. 악의적으로조작된파일을열경우스택오버플로우발생 가능하므로부분적으로가용성에영향을줌. 스택오버플로우발생가능하지만악성코드유포및실행 메커니즘을제시하지않았으므로낮은수준의물적손실이 나자산손실이있을수있음. 한글 2010 이용환경에특별한기밀성요구는없음. 한글 2010 이용환경에특별한무결성요구는없음. 한글 2010 이용환경에특별한가용성요구는없음. 네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 취약한소프트웨어가최신버젼이므로수정한공식버전은 존재하지않는다. 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

125 워드프로세서소프트웨어힙오버플로우 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) BMP 이미지파일을열경우힙오버플로우발생가능하지 만악성코드유포 / 실행메커니즘을제시하지않았으므로 그기밀성영향은거의없음. BMP 이미지파일을열경우힙오버플로우발생가능하지 만악성코드유포 / 실행메커니즘을제시하지않았으므로 그무결성영향은거의없음. BMP 이미지파일을열경우힙오버플로우발생가능하므 로부분적으로가용성에영향을줌. 힙오버플로우발생가능하지만악성코드유포및실행메 커니즘을제시하지않았으므로낮은수준의물적손실이나 자산손실이있을수있음. 한글 2007 이용환경에특별한기밀성요구는없음. 한글 2007 이용환경에특별한무결성요구는없음. 한글 2007 이용환경에특별한가용성요구는없음. 네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 취약한소프트웨어가최신버젼이므로수정한공식버전은 존재하지않는다. 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

126 메신저프로그램세션노출취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 카카오톡세션노출로인한대화도청, 전송으로인해부분적으로정보기밀성에영향을줌. 카카오톡세션노출로인한정보무결성에영향은거의없음. 카카오톡세션노출로인한가용성에영향은거의없음. 카카오톡은 3천만사용자를갖고있으므로세션노출만으로도상당한사회적손실의가능성이있음. 카카오톡사용환경은사적인프라이버시등의기밀성요구가높음. 카카오톡사용환경은정보무결성요구가특별히높지는않음. 카카오톡사용환경은가용성요구가특별히높지는않음. 프록시서버에대한접근이제한될수있으므로, A로판정한다. 침해전에세션정보의수집과정이필요하므로 M으로판정한다. 대응수준 (RL) 해당취약점에대한수정코드나버전이없으므로, U 로판 정한다. 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 해당보안취약점을가지는카카오톡소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체점수

127 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거기밀성영향스크립트실행으로인해부분적으로정보기밀성에영향을 (C) 줌. 무결성영향스크립트실행으로인해정보무결성에부분적으로영향을 (I) 줄수있음. 가용성영향 시스템가용성에직접적인영향은거의없음. (A) 부수적피해스크립트실행으로인해중간정도의물적손실이나자산 잠재성 (CDP) 손실의결과를낳을수있음. 기밀성요구공개용게시판사용환경이매우민감한정보를다루는것 (CR) 은아니므로기밀성요구가특별히크지는않음. 무결성요구공개용게시판사용환경이정보무결성요구가특별히크 (IR) 지는않음. 가용성요구게시판은주로웹서버에서사용되기때문에서버의가용성 (AR) 이중요하다고할수있다. 접근벡터 네트워크를통하여공격이가능하다. (AV) 특화된접근조건이나환경이존재하지않으며, 일반적인접근복잡도 환경에서공격수행이가능하므로접근복잡도는 L로판정 (AC) 한다. 최신버전의약점으로공식적인패치는존재하지않으나, 대응수준 (RL) XSS에대한비공식적인해결방법을적용할수있다. 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 해당취약점을가지고있는소프트웨어들은비교적알려진공개소프트웨어에해당하나사용자가제한적이므로대상분포를 Medium으로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다. 중요도전체점수

128 홈페이지구축소프트웨어원격코드실행 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 원격코드실행으로정보유출이가능하나권한관리가엄 격하면적용되지않음. 원격코드실행이가능하며관리자권한탈취도가능하여 데이터베이스수정및조작이가능하나권한관리가엄격 하면적용되지않음. 원격코드를이용한공격은서버에대한관리자권한을 얻을수있기때문에해당웹서버를이용불가능하게만 들수있으나권한관리가엄격하면적용되지않음. 원격코드공격을이용하여정보를유출혹은조작할수 있으므로중요한물적손실이발생할수있음. XE 는오픈소스소프트웨어로 XE 가사용되는사용자환 경은기밀성에대한특별한요구는없다. XE 는오픈소스소프트웨어로 XE 가사용되는사용자환 경은무결성에대한특별한요구는없다. XE 는주로웹서버에서사용되기때문에서버의가용성이 중요하다고할수있다. 네트워크를통하여공격이가능하다. 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전의존재여부는불확실하 고, 해당소프트웨어가최신버젼이므로 U 로판정한다. 대부분의상황에서시연가능하나자동적인전파는가변 적이다. 제로보드는비교적알려진공개소프트웨어에해당하나사용자가제한적이므로대상분포를 Medium으로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적 인다수의보고서가존재하는경우이다. 보고서에의한 공격이재연가능하다

129 금융권 원격코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) nprotect Netizen 은금융권, 공공기관, 전자결제등대다수의 대형사이트에공급된온라인보안솔루션으로악성코드 실행으로인한기밀성영향이매우큼. nprotect Netizen은금융권, 공공기관, 전자결제등대다수의 대형사이트에공급된온라인보안솔루션으로악성코드 실행으로인한무결성영향이매우큼. nprotect Netizen은금융권, 공공기관, 전자결제등대다수의 대형사이트에공급된온라인보안솔루션으로악성코드 실행으로인한가용성영향이매우큼. nprotect Netizen은금융권, 공공기관, 전자결제등대다수의 대형사이트에공급된온라인보안솔루션으로원격코드 공격으로인해사회적으로높은수준의피해가발생할잠재 성을갖고있음. nprotect Netizen이사용되는환경은금융권, 공공기관등으 로기밀성요구가높음. nprotect Netizen 이사용되는환경은금융권, 공공기관등으 로무결성요구가높음. nprotect Netizen 이사용되는환경은금융권, 공공기관등으 로보안성요구가높음. 네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 최신버젼에존재하는취약점으로공식패치는존재하지않 는다. 대부분의 OS 와브라우져에서시연가능하나자동적인전파 는가변적이다. 해당취약점이발견되는소프트웨어는가장널리사용되는보안관련소프트웨어에해당되므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

130 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) Gif 이미지파일필터모듈의정수오버플로우발생가능하 지만악성코드유포 실행메커니즘을제시하지않았으므로 그기밀성영향은거의없음 Gif 이미지파일필터모듈의정수오버플로우발생가능 하지만악성코드유포 실행메커니즘을제시하지않았으므 로그무결성영향은거의없음 Gif 이미지파일필터모듈의정수오버플로우발생가능하 므로가용성에부분적으로영향을줌 정수오버플로우발생가능하지만악성코드유포및실행 메커니즘을제시하지않았으므로약간의물적손실이나자 산손실이있을수있음 한글 이용환경에특별한기밀성요구는없음 한글 이용환경에특별한무결성요구는없음 한글 이용환경에특별한가용성요구는없음 네트워크를통하여파일을전달하여공격이가능하다 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 취약한한글파일전달로쉽게침해를수행할수있으므로 L 로판정한다 이에대한제대로작성된공식적인픽스는없으며 해당보 고는최신버전을사용하고있다 대부분의상황에서시연가능하나 웜등을통해서자동으로 수행하기는어렵다 해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다 보고서에의한공격이 재연가능하다

131 동영상플레이어원격코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 곰플레이어원격코드실행가능성이보고된수준으로기밀성에영향은부분적일것으로판단됨. 곰플레이어원격코드실행가능성이보고된수준으로무결성에영향은부분적일것으로판단됨. 곰플레이어원격코드실행가능성이보고된수준으로가용성에영향은부분적일것으로판단됨. 곰플레이어원격코드실행가능성이보고된수준으로중간정도의피해잠재성을갖고있음. 곰플레이어는개인 PC 환경에서사용되므로기밀성에대한특별한요구는없다. 곰플레이어는개인 PC 환경에서사용되므로무결성에대한특별한요구는없다. 곰플레이어는개인 PC 환경에서사용되므로가용성에대한특별한요구는없다. 네트워크를통하여공격이가능하다. 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L로판정 한다. 대응수준 (RL) 최신취약점으로이에대한패치는아직존재하지않는다. 공격가능성 (EX) 대부분의상황에서시연가능하나, 웜등을통해서자동으로 수행하기는어렵다. 대상분포 (TD) 해당보안취약점을가지는곰플레이어소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High 로판정한다. 보고의신뢰성 (RC) 하나의출처에서만보고서가존재하거나여러개의상충되는보고서가존재하여보안취약점에대한신뢰도가낮은경우이다. 중요도전체점수

132 압축프로그램 취약점 평가항목평가결과평가근거기밀성영향 기밀성영향은없음. (C) 무결성영향주요경로접근을통해윈도우시스템의무결성에부분적인 (I) 영향을줄수있음. 가용성영향 직접적인가용성영향은없음.. (A) 부수적피해일부경로에대한시스템무결성에영향을줌으로써낮은 잠재성 (CDP) 정도의피해잠재성을갖고있음. 기밀성요구일반적인 PC 환경에서사용되므로기밀성에대한특별한요 (CR) 구는없다. 무결성요구일반적인 PC 환경에서사용되므로무결성에대한특별한요 (IR) 구는없다. 가용성요구일반적인 PC 환경에서사용되므로가용성에대한특별한요 (AR) 구는없다. 접근벡터 일반적인네트워크를통하여공격이가능하다. (AV) 특화된접근조건이나환경이존재하지않으며, 일반적인접근복잡도 환경에서공격수행이가능하므로접근복잡도는 L로판정 (AC) 한다. 해당취약점을수정한공식버전이존재하므로 OF로판정대응수준 (RL) 한다. 공격가능성 (EX) 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체점수 반디집은사용자가많지않은제한적인소프트웨어로대상분포를 Low 로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

133 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) Signed Extension Error Handling 을잘못하여메모리주소 값을변경할수있지만악성코드유포 / 실행메커니즘을제 시하지않았으므로그기밀성영향은거의없음. 메모리주소값을변경할수있지만악성코드유포 / 실행 메커니즘을제시하지않았으므로그무결성영향은거의없 음. 메모리주소값을변경할수있으므로가용성에부분적으로 영향을줌. 메모리주소값을변경할수있지만악성코드유포및실 행메커니즘을제시하지않았으므로낮은수준의물적손실 이나자산손실이있을수있음. 한글 2010 이용환경에특별한기밀성요구는없음. 한글 2010 이용환경에특별한무결성요구는없음. 한글 2010 이용환경에특별한가용성요구는없음. 네트워크를통하여파일을전달하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 취약한한글파일전달로쉽게침해를수행할수있으므로 L 로판정한다. 이에대한제대로작성된공식적인픽스는없으며, 해당보 고는최신버전을사용하고있다. 대부분의상황에서시연가능하나, 웜등을통해서자동으로 수행하기는어렵다. 해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

134 웹에디터소스코드파일다운로드취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 서버쪽애플리케이션의소스코드가유출될경우웹애플리 케이션로직의전반및데이터베이스정보등이노출될수 있으므로가용성이심각한영향이있음. 서버쪽애플리케이션의소스코드가유출될경우웹애플리 케이션로직의전반및데이터베이스정보등이노출되므로 무결성에부분적영향이있음. 서버쪽애플리케이션의소스코드가유출될경우웹애플리 케이션로직의전반및데이터베이스정보등이노출되므로 가용성에부분적영향이있음. 소스코드정보를유출혹은조작할수있으므로중간정도 의물적손실이발생할가능성이있음. Namo Cross Editor 를이용하는환경이특별한기밀성요구 가있다고볼수없음. Namo Cross Editor 를이용하는환경이특별한무결성요구 가있다고볼수없음. Namo Cross Editor 를이용하는환경이특별한가용성요구 가있다고볼수없음. 일반적인네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판정 한다. 해당취약점을수정한공식버전은발표되지않은것으로 판단되므로 U 으로판정한다. 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 나모크로스에디터는사용자가많지않은제한적인소프트웨어로대상분포를 Low 로판정한다. 독립적인보안회사나연구단체들에서발행한비공식적인 다수의보고서가존재하는경우이다. 보고서에의한공격이 재연가능하다

135 웹서버프로그램원격코드실행취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (A) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 웹쉘코드를생성하여원격코드실행이가능함으로정보 유출이가능함. 웹쉘코드를생성하여원격코드실행이가능하며관리자 권한탈취도가능하여데이터베이스수정및조작이가능 함. 웹쉘코드를이용한공격은서버에대한관리자권한을 얻을수있기때문에해당웹서버를이용불가능하게만 들수있음. 웹쉘코드공격을이용하여정보를유출혹은조작할수 있으므로중요한물적손실이발생할수있으며또한해 당서버를이용하여내부망의 pc 를쉽게공격할수있기 때문에피해가확산될수있음. 현재패치가제공됨. Apache Struts2 사용환경은기밀성에대한특별한요구 는없음. Apache Struts2 사용환경은기밀성에대한특별한요구 는없음. Apache Struts2 는웹서버에서사용되기때문에서버의 가용성이중요하다고할수있다. 일반적인네트워크를통하여공격이가능하다. 특화된접근조건이나환경이존재하지않으며, 일반적인 환경에서공격수행이가능하므로접근복잡도는 L 로판 정한다. 해당취약점을수정한공식버전이발표되어있으므로 OF 로판정한다. 대부분의상황에서시연가능하나자동적인전파는가변 적이다. 해당보안취약점이발견되는 Struts2는웹서비스개발에비교적많이사용되는시스템소프트웨어로대상분포는 Medium으로판정한다. 보안취약점이해당소프트웨어벤더나저작권자에의해 서확인된경우이다. 벤더의평가가 CVE 리스트에등록 된상태이다

136 장비관리자페이지인증우회취약점 평가항목평가결과평가근거 기밀성영향 (C) 무결성영향 (I) 가용성영향 (AR) 부수적피해 잠재성 (CDP) 기밀성요구 (CR) 무결성요구 (IR) 가용성요구 (AR) 접근벡터 (AV) 접근복잡도 (AC) DVR 웹뷰어에패스워드를해슁하지않고텍스트로저장하 므로패스워드유출로인한 DVR 파일의유출이가능함. DVR 웹뷰어에패스워드를해슁하지않고텍스트로저장하 므로패스워드유출로인한 DVR 파일의무결성부분적으로 영향을줄수있음. DVR 웹뷰어에패스워드를해슁하지않고텍스트로저장하 므로패스워드유출로인한 DVR 파일의사용에부분적으로 영향을줄수있음. DVR 내에저장된파일의손상으로인해중간정도의물적 손실이나자산손실의결과를낳을수있음. DVR 시스템과관련된특별한기밀성요구는없음. DVR 시스템과관련된특별한무결성요구는없음. DVR 시스템과관련된특별한가용성요구는없음. 일반적인네트워크를통하여공격이가능하다. 대응수준 (RL) 공격가능성 (EX) 대상분포 (TD) 보고의신뢰성 (RC) 중요도전체 점수 해당페이지에대한접근을통하여공격이수행되며, 부가 걱인정보수집등이필요없으므로 Low 로판정한다. 해당취약점에패치의존재여부는불확실하다. 해당취약 점은아직공식적으로발표되지않은최신취약점이므로해 당패치는아직없을것으로판단된다. 대부분의상황에서시연가능하나자동적인전파는가변적 이다. 삼성 DVR 웹뷰어는사용자가많지않은제한적인소프트웨어로대상분포를 Low 로판정한다. 하나의출처에서만보고서가존재하거나여러개의상충되 는보고서가존재하여보안취약점에대한신뢰도가낮은 경우이다

137 제 절시범평가결과 평가항목별점수 [ 표 3-1] 의 40개취약점에대한평가항목별평가결과를요약하면 [ 표 3-2] 와같다. 표 평가항목별점수 AV AC AU C I A E RL RC CDP TD CR IR AR [12-011] [12-014] [12-016] [12-019] [12-023] [12-029] [12-034] [12-052] [12-064] [12-071] [12-072] [12-075] [12-084] [12-094] [12-103] [12-109] [12-129] [12-131] [12-135] [12-159] [12-163] [12-165] [13-002] [13-005] [13-020] [13-021]

138 [13-022] [13-045] [13-050] [13-056] [13-057] [13-092] [13-105] [13-108] [13-109] [13-117] [13-122] [13-131] [13-162] [13-175] 표 평가메트릭그룹요약 메트릭그룹기본시간환경 벡터 AV:[L,A,N]/AC:[H,M,L]/Au:[M,S,N]/C:[N,P,C]/I:[N,P,C]/A:[N,P,C] E:[U,POC,F,H,ND]/RL:[OF,TF,W,U,ND]/RC:[UC,UR,C,ND] CDP:[N,L,LM,MH,H,ND]/TD:[N,L,M,H,ND]/CR:[L,M,H,ND]/ IR:[L,M,H,ND]/AR:[L,M,H,ND] 취약점의중요도점수계산 CVSS에서취약점평가를위한기본메트릭그룹, 시간메트릭그룹, 환경메트릭그룹에속한각평가항목의가능한값들을요약하면표 3-3 과같다. 기본메트릭, 시간메트릭, 환경메트릭의점수를계산하는공식과알고리즘은다음과같다. 기본메트릭점수는 CVSS의근본이되는계산

139 공식으로다음과같이계산된다

140 시간메트릭점수는앞서계산된기본메트릭점수를사용하여계산되며 1~10 까지의값을갖는다. 또한시간메트릭점수는기본메트릭점수보다높을수는없으며낮다하더라도기본메트릭점수의 33% 보다는커야한다. 시간메트릭점수를계산하는공식은다음과같다. 환경메트릭점수는앞서계산된시간메트릭점수를사용하여계산되 며 1~10 까지의값을갖는다. 또한환경메트릭점수는시간메트릭점 수보다높을수는없다. 다음은환경메트릭점수를구하는공식이다

141

142 메트릭점수는취약점의심각성 혹은중요도 을계산하는공식적인계산방식으로사용되고있다 예를들어취약점에관한기업표준으로사용되는 같은곳에서는각취약점에대해 메트릭을함께제공하고있다 각취약점에대한평가결과점수 기본점수 수 환경점수 는표 와같다 시간점 평가결과분석 표 의국내취약점에대한 시범평가결과는 표 와같다 이평가결과를취약점의중요도최종점수인환경점수에따라내림차순 으로정렬한결과는 표 와같다 Impact Exploit ability 표 평가결과점수 Base Score Temporal Score Adj Impact Adj Base Adj Temp [12-011] [12-014] [12-016] [12-019] [12-023] [12-029] [12-034] [12-052] [12-064] [12-071] [12-072] [12-075] [12-084] [12-094] [12-103] [12-109] Env Score

143 Impact Exploit ability Base Score Temporal Score Adj Impact Adj Base Adj Temp Env Score [12-129] [12-131] [12-135] [12-159] [12-163] [12-165] [13-002] [13-005] [13-020] [13-021] [13-022] [13-045] [13-050] [13-056] [13-057] [13-092] [13-105] [13-108] [13-109] [13-117] [13-122] [13-131] 8, , [13-162] [13-175] 표 평가결과점수 내림차순정렬 Impact Exploit Base Temporal Adj Adj Adj Env ability Score Score Impact Base Temp Score [12-016] [12-159] [13-105] [12-011] [13-022] [13-109] [13-162]

144 Impact Exploit Base Temporal Adj Adj Adj Env ability Score Score Impact Base Temp Score [12-064] [12-075] [13-056] [12-135] [12-072] [13-092] [12-165] [13-021] [13-045] [13-050] [13-108] [13-122] [13-005] [13-057] [13-020] [12-034] [13-002] [13-131] 8, , [12-084] [12-094] [12-163] [12-052] [12-109] [12-029] [12-131] [13-175] [12-019] [12-023] [12-071] [12-103] [13-117] [12-014] [12-129] 이들국내취약점에대한 CVSS 시범평가결과중에몇개의특징적인 취약점에대한평가결과를보다자세히분석해보면다음과같다

145 서비스거부취약점 C, I, A 값중가용성영향인 A 값만 Complete(0.660) 를받았으며이를바탕으로기본점수로 7.8 점을받았으며시간점수로 6.7 점을받았다. 이취약점은 Cisco-NX-OS가국내인터넷환경에많이분포하고있으며그부수적피해잠재성이크다고할수있다. 이러한환경을바탕으로환경점수로 9.2 점을받았다. 홈페이지구축소프트웨어웹쉘코드삽입취약점이취약점은 C, I, A 값모두 Complete(0.660) 를받았으며이를바탕으로기본점수 10.0을받았으며시간점수는 5.3을받았다. 그러나 Xpress Engine이게시판에사용되는자유소프트웨어로다른범용소프트웨어처럼많이사용되고있지는않으며상업적인용도로많이사용되지않기때문에부수적피해잠재성이많지않다. 이러한이유로환경점수는 2.2점을받았다. 의버퍼오버플로우취약점이취약점은 C,I,A 값모두 Complete(0.660) 를받았으며이를바탕으로기본점수 10.0을받았으며시간점수는 8.6을받았다. Adobe Flash Player가국내인터넷환경에많이분포되어대부분의 PC에서사용되고있으며이로인해그부수적피해잠재성이크다고할수있다. 이러한사용자환경을바탕으로환경점수로 9.2 점을받았다. [13-105] 금융권 ActiveX 원격코드실행취약점 nprotect Netizen은금융권, 공공기관, 전자결제등대다수의대형사이트에공급된온라인보안솔루션으로악성코드실행으로인한기밀성, 무결성, 보안성영향이매우크므로이취약점은 C,I,A 값모두 Complete(0.660) 를받았으며이를바탕으로기본점수 10.0을받았으며시간점수는 6.7을받았다. nprotect Netizen은금융, 공공기관, 전자결제

146 를사용하는거의모든 PC 에서가장널리사용되는보안관련소프트웨 어에해당되므로이러한사용자환경을바탕으로환경점수를계산하여 8.4 점을받았다. [13-050] 워드프로세서소프트웨어힙오버플로우한글 2007 소프트웨어에서 BMP 이미지파일을열경우힙오버플로우발생가능하지만악성코드유포 / 실행메커니즘을제시하지않았으므로그기밀성, 무결성영향은거의없음으로판정했으며이소프트웨어의가용성에는부분적으로영향을줄수있으므로 Partial(0.275) 으로판정한다. 이를바탕으로기본점수 5.0을받았으며시간점수는 3.3을받았다. 이취약점은힙오버플로우가발생가능하지만악성코드유포및실행메커니즘을제시하지않았으므로낮은수준의물적손실이나자산손실이있을수있으며해당보안취약점을가지는한컴오피스의한글소프트웨어는가장널리사용되는응용소프트웨어에해당하므로대상분포를 High로판정한다. 이러한사용자환경을바탕으로환경점수 4.0점을받았다

147 제 장 시범평가 제 절 평가항목및평가기준 본시범평가에서는 평가항목을다음과같은 개의범주로재분류 하였으며 각범주에속한 평가항목의평가방법과평가기준은 다음과같다 Ÿ Ÿ Ÿ Ÿ Ÿ Ÿ 파급도기술적영향시스템중요도공격난이도대응난이도보고의신뢰성 파급도 가 출현빈도 개요 이평가기준은해당보안취약점이발견되는빈도를평가한 다 평가방법 해당보안취약점이발견되는대상시스템의보급정도를평가한다 사용자가많고사용빈도가높을수록높은값을가지며 제한적환경에서만사용되는경우에는상대적으로낮은값을가진다

148 등급별기준 등급코드점수평가기준 해당보안취약점이가장널리사용되는시스템소프트웨어나응용소프트웨어에서발견되는경우이등급을부여한다 해당보안취약점이널리알려진시스템소프트웨어나하드웨어에임베디드된소프트웨어에서발견되는경우이등급을부여한다 해당보안취약점이널리알려진응용소프트웨어에서발견되는경우이등급을부여한다 해당보안취약점이사용자가많지않은제한적인소프트웨어에서발견되는경우이등급을부여한다 해당보안취약점이발견되는대상시스템에대한구체적인관련자료가없을경우에이등급을부여한다 나 배포범위 개요 해당보안취약점에의하여영향을받는소프트웨어의범 위를평가한다 평가방법 주어진보안취약점이만약모든배포가능한버전에존재하는지 아니면특정한플랫폼이나설정에서만발생하는지를평가한다 보고된취약점의경우는발생가능한소프트웨어와설정등에관한정보가이미존재하므로 이나 혹은 등급은판정하지않는다 등급별기준

149 등급코드점수평가기준 All All 1.0 해당보안취약점이대상시스템이인스틀되 는모든플랫폼과설정에존재하는경우이다. Moderate Mod 0.9 Rare Rare 0.5 해당보안취약점이대상시스템이일반적으로인스톨되는플랫폼이나설정에존재하는경우이다. 해당보안취약점이사용빈도가낮은플랫폼이나설정에존재하는경우이다. Potentially Reachable Pot 0.1 해당보안취약점이존재하기는하나보안취 약점자체가접근불가능한코드 (dead code) 에 존재하는경우이다. Default D 0.7 해당보안취약점으로인한침해가능성이해 당소프트웨어가설치된시스템의특성에따라 다양할경우에중간값을부여한다. 기술적영향 가 기술적영향 개요 해당보안취약점을이용한공격으로침해당했을경우 공격 성공으로인한기술적인심각성을평가한다 평가방법 의약점에대한 항목에 기술되어있는 가지 내용을평가하여각각에대 한점수를합산한후 이를기준으로등급을부여한다 이때관련성

150 이란해당약점으로인한직접적인결과를의미하며 간접적인침해 는제외하는것을원칙으로하나 간접적인침해의사례가많을경 우에는이를포함시킬수있다 가지항목과각항목에대하여부 여하는점수는다음과같다 항목 전적인침해 부분적인침해 관련없음 등급별기준 등급 코드 점수 평가기준 Critical C 1.0 6점이상 High H 0.9 4점 ~5점 Medium M 0.6 2점 ~3점 Low L 0.3 1점 None N 0.0 0점 Default D 0.6 Default 등급은일반적으로사용하지않음. 시스템중요도

151 가 비즈니스영향 개요 이메트릭은취약점을이용한공격이성공하였을때비즈니 스혹은임무에미치게되는잠재작인영향을나타낸다 평가방법 약점을이용한공격으로발생가능한비즈니스 임무의운영에대한피해의정도에따라아래표와같이비즈니스영향의정도를등급으로정한다 이메트릭의가능한값들은아래표에있으며비즈니스영향이클수록점수는커진다 등급별기준 등급코드점수평가기준 Critical C 1.0 비즈니스 / 임무가완전히실패할수있다. High H 0.9 비즈니스 / 임무의운용이크게영향받을수있다. Midium M 0.8 비즈니스 / 임무의운용이크게영향받을수있으나정상 적인운용에대규모의피해는없다. Low L 0.7 비즈니스 / 임무에최소한의영향이있다. None N 0.0 비즈니스 / 임무에최소한의영향이없다. Default D 0.6 C, H, M, L, N 의중간값 Not Applicable NA 1.0 이값은비즈니스와무관한상황에사용될수있음 공격난이도 가 침해가능성

152 개요 보안취약점을가진시스템에대하여필요한공격에필요한권한과접근방법및인증을가지고있는공격자가성공적으로해당보안약점을공격하여시스템의보안을침해할수있을가능성을평가한다 평가방법 취약점보고서의공격예시를반영하여 공격의성공가능성을판단한다 시스템의특성에따라다양하게분포되어있을경우 값을부여한다 단 본평가는취약점자체의특성에만기반하며 취약점설치의특성 인증 접근권한 사용자와의상호작용등의특성은무시한다 단위험한프로그램의설치와같은선행공격이필요할경우에는 으로판정한다 등급별기준등급 코드점수 평가기준 공격자가발견된해당취약점에접근하여공격할 High H 1.0 경우침해를성공할확률이높은경우를말하며, 안정적인공격방법을쉽게개발할수있는경우이다. Medium M 0.6 공격자가해당취약점을공격할확률이높으나, 성공확률이가변적인경우를말한다. 또한, 성공의경우에도일반적으로여러번의공격을시도하게된다. Low L 0.2 None N 0 Default D 0.6 일반적으로공격대상이될확률이매우낮은보안약점으로서공격의성공가능성도제한적인경우이다. 공격당하거나해당취약점으로인한보안침해가없을경우로서단순한버그인경우이다. 해당보안약점으로인한침해가능성이해당소프트웨어가설치된시스템의특성에따라다양할경우에중간값을부여한다

153 나 접근벡터 개요 이메트릭은취약점을이용하여침해를수행하는통로와관 련된평가척도로서 원격의접근을통하여침해가가능할수록높은 점수가부여된다 평가방법 제시된취약점의공격방법예시를참고하여 침해를위하여주로사용되는접근방법을판단한다 복수의방법이가능할경우에는가장점수가높은등급을선택한다 이미발표된취약점을기준으로하여평가를수행하므로 등급은제외한다 등급별기준 등급코드점수평가기준 Internet I 1.0 일반적인인터넷을통하여취약점을침해할수있 다. Intranet R 0.8 Private P 0.8 방화벽등으로차단된사업체의인트라넷내에접근하여야침해가가능하다. 해당인트라넷은내부멤버들에게일반적으로접근이가능하다. 제한적으로정의된신뢰되는그룹만이접근할수있는개별네트워크에접근하여야침해가가능하다. Adjacent Network A 0.7 네트워크에물리적으로연결된인터페이스를통하여침해가이루어질수있다. 예를들어, local IP 서브넷, 블루투스, IEEE , 지역이더넷세그먼트등이다. Local L 0.5 쉘계정과같이운영체제에대하여직접명령어를 수행하는접근이필요하다

154 등급코드점수평가기준 Physical P 0.2 시스템에대하여 USB, 키보드, CD, 마우스등을 사용한직접적인물리적접근이있어야침해가가 능한경우이다. Default D 0.75 평가할수없는경우미디언값을부여한다. 다 상호작용정도 개요 취약점을공격하는데필요한피공격자의협조적인행동의요 구수준을평가한다 평가방법 해당취약점에대한보고서의공격방법사례를참조하거나 정보가존재할경우 의공격패턴등을참고하여등급에따라평가한다 시스템의환경에따라여러기준에모두해당하는경우해당값들의중간 값을부여한다 등급별기준 등급코드점수평가기준 Automated Aut 1.0 희생자측의협조적인행동이필요없다. Limited / Typical Ltd 0.9 희생자의일반적인행동 ( 이메일열람, 웹페이지접 근 ) 이동반되어야침해가가능하다. Moderate Mod 0.8 희생자가경고메시지를무시하는것과같은어느 정도위험할수있는작업을수행하여야해당보 안약점에대한공격이이루어진다

155 등급코드점수평가기준 Opportunistic Opp 0.3 공격자가직접적으로희생자를직접적으로유도할 수없으며, 희생자의실수나다른사용자의동작에 대하여그피해를수동적으로확대시킬수만있다. High High 0.1 희생자가잘못된행동을하도록희생자에대한직 접적인접근을포함한복잡한사회적작업을수행 하여야한다. No interaction NI 0.0 희생자의동작과관련없이침해발생의가능성이 없으며, 일종의버그로서만존재한다. 라 권한요구도 개요 공격자가취약점에대한공격을수행하기위하여필요한접 근권한을평가한다 평가방법 제시된취약점의공격방법예시를참고하여 침해를위하여필요한권한을판단한다 사용자의접근권한과는상관없는취약한프로그램의사용등으로인한문제는 를부여한다 등급별기준 등급코드점수평가기준 None N 1.0 취약점을가진코드에접근하기위하여아무권한도필요하지않음경우를말한다. 일반적으로공개되어있는웹페이지를위한웹응용프로그램에서발생되는보안취약점이나이메일등을통한공격은 None으로평가한다

156 등급코드점수평가기준 Guest G 0.9 Regular User RU 0.7 Partially Privileged User P 0.6 Administrator A 0.1 Default D 0.8 특정한관리자의허락을요구하지않고, 불특정다수에게허용되는회원가입등을통하여접근할수있는프로그램코드의경우에해당된다. 특별한관리자권한이없는정규사용자권한을필요로하는경우를말한다. 전체적인관리자권한은필요없으나, 백업과같은부분적인관리자권한을필요로하는경우를말한다. 해당소프트웨어와운영체제전체에대한접근권한을가진시스템관리자권한이필요한경우를말한다. 해당취약점에대한공격이시스템의환경에따라다양한권한을요구하는경우 Default 등급으로하며, 점수는 Guest와 Regular User의중간값을부여한다. 대응난이도 가 수정난이도 개요 취약점을제거하는데필요한난이도를판단한다 평가방법 해당취약점에대한보고서의공격방법사례와관련취 약점방어기술의동향을참고하여 취약점방어의난이도를아래 기준에따라평가한다 보고된취약점자체를기준으로평가하고 평가의일관성을유지하는것을고려하므로 등급은제외한다

157 등급별기준 등급코드점수평가기준 Extensive E 1.0 교정을위하여설계와전체시스템구조의수정 과같은전체적인수정이필요하여, 상당한작업 과시간이필요하다. Moderate M 0.9 소스파일의복수개의모듈수정과같은중간 정도의수정이필요하며, 설계와구조에대한수 정은필요없다. Limited L 0.8 한모듈내의적은수의라인의코드에대한수 정을요구하며, 일정한수준의노력과시간이필 요하다. Default D 0.9 소스코드의미확보와취약점특성등으로인하 여필요한난이도를평가할수없을경우중간 값을점수로부여한다. 나 외부제어의효과 개요 소프트웨어외부의추가적인시스템을통하여해당취약점을제어하는방법의효과를평가한다 예를들어 주소공간임의배치 과같은기술이버퍼넘침의위험도를감소할수는있지만제거하지는못하는경우를들수있다 평가방법 아래등급별기준에따라외부제어의효과를평가한다 제어의효과가높을수록취약점의심각성점수는낮게평가된다 보고된취약점자체를기준으로평가하고 평가의일관성을유지하는것을고려하므로 등급은제

158 외한다 이메일이나첨부파일에대한사전검사등은일반적으로 적용되기어려우므로고려하지않는다 등급별기준 등급코드점수평가기준 None N 1.0 외부적으로제어할수있는방법이없다. Limited L 0.9 Moderate M 0.7 Indirect I 0.5 Best Available B 0.3 간단한방법이나, 부분적인제한만이가능하며, 초보적인공격에대해서만방어가가능하다. 일반적으로사용되는방어방법이존재하나, 지식을가진공격자에의하여필요한노력이동반될경우침해될수있다. 해당침해를전적으로방어하지는못하나, 공격의피해를줄이는방법이존재한다. 예를들어 ASLR 방법은잘못된코드의수행은막을수있으나프로그램의중단되는결과는감수하여야한다. 적용가능한방어방법이존재하나, 숙련된공격자가다른취약점을함께사용하여공격할경우침해가발생할수있는가능성이존재한다. Complete C 0.1 약점에대하여전적으로효과적인방법이존 재한다. 예를들어 sandbox 방법을통하여파 일접근을제어할수있다. Default D 0.6 취약점에대하여다양한후보대응방법이존 재하나그효과가명확하지않을경우에중간 값을부여한다

159 보고의신뢰성 가 발견의신뢰도 개요 보고된보안취약점의신뢰도를평가한다 평가방법 보고된보안취약점이취약점으로의미가있으며 공격 자가실제로이용할수있는형태인지를판단한다 이나 혹은 등급은판정하지않는다 등급별기준 등급코드점수평가기준 Proven True T 1.0 해당보안취약점이공격자가이용할수있는형 태로존재하는경우이다. Proven Locally True LT 0.8 해당보안취약점이존재하나공격자가이에접근 할수있는지의여부는밝혀지지않았거나명확하 지않은경우이다. Proven False F 0.0 보고자체가오류이거나해당보안취약점을공격 에이용할수있는방법이없는경우이다. Default D 0.8 해당보안취약점으로인한침해가능성이명확하 지않거나해당소프트웨어가설치된시스템의특 성에따라다양할경우에중간값을부여한다

160 제 절국내보안취약점사례에대한시범평가 이절에서는 개의국내보안취약점사례를가지고 방법론을이용하여시범평가한결과에대하여기술한다 시범평가대상이되는 개의국내보안취약점은 표 에기술되어있다 표 국내보안취약점사례 보안취약점이름 [12-011] PHP 원격코드실행취약점 [12-014] FTP 접속프로그램로컬파일실행취약점 [12-016] Cisco-NX-OS 서비스거부취약점 [12-019] SSH 접속프로그램임의코드실행취약점 [12-023] 동영상플레이어버퍼오버플로우취약점 [12-029] PHP-CGI 소스코드노출 [12-034] 홈페이지구축소프트웨어웹쉘코드삽입취약점 [12-052] 스마트폰 PC 연결소프트웨어원격코드실행취약점 [12-064] 워드프로세서소프트웨어임의코드실행취약점 #1 [12-071] 동영상플레이어 DLL하이제킹취약점 [12-072] 워드프로세서소프트웨어임의코드실행취약점 #2 [12-075] 워드프로세서소프트웨어임의코드실행취약점 #3 [12-084] 에어컨관리자페이지노출취약점 [12-094] 동영상플레이어힙오버플로우취약점 [12-103] NAS 관리자페이지계정정보유출취약점 [12-109] 홈페이지구축소프트웨어 XSS 취약점 #3 [12-129] AcrobatReader X취약점 [12-131] 홈페이지구축소프트웨어 SQL Injection 취약점 [12-135] 메신저프로그램이미지파일공유시임의파일업로드취약점 [12-159] Adobe Flash player 버퍼오버플로우취약점 [12-163] 그룹웨어및회계관리 DB 시스템관리자계정노출취약점 [12-165] 결제모듈주요개인정보노출취약점 [13-002] 홈페이지구축소프트웨어 XSS 취약점 #

161 보안취약점이름 [13-005] 메신저프로그램계정탈취취약점 [13-020] 유무선공유기 CSRF XSS 취약점 [13-021] 워드프로세서소프트웨어 Integer Overflow 취약점 #1 [13-022] 백신자체보호기능우회취약점 [13-045] 워드프로세서소프트웨어스택오버플로우 [13-050] 워드프로세서소프트웨어힙오버플로우 [13-056] 메신저프로그램세션노출취약점 [13-057] 홈페이지구축소프트웨어 XSS 취약점 #3 [13-092] 홈페이지구축소프트웨어원격코드실행 [13-105] 금융권 ActiveX 원격코드실행취약점 [13-108] 워드프로세서소프트웨어 Integer Overflow 취약점 #2 [13-109] 동영상플레이어원격코드실행취약점 [13-117] 압축프로그램 Directory Traversal 취약점 [13-122] 워드프로세서소프트웨어 Signed Extension Error Handling 취약점 [13-131] 웹에디터소스코드파일다운로드취약점 [13-162] 웹서버프로그램원격코드실행취약점 [13-175] DVR 장비관리자페이지인증우회취약점 표 에제시된 개의보안취약점에대한각평가항목별평가결과 는다음과같다 원격코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되므로경우이 등급을부여한다

162 평가항목평가결과평가근거 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) M 0.8 임의코드실행하는서버로인해비즈니스 / 임무의운 영이중간정도의영향을받을수있음. TI 항목 점수 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 공격자가발견된해당취약점에접근하여공격할경 우침해를성공할확률이높으며안정적인공격방법 이알려져있다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) Aut 1.0 희생자의협조적인행동이필요없으므로 Aut 로판정 한다. 권한요구도 (RP) N 1.0 취약점을가진 PHP 프로그램이인터넷에서접근가 능할경우특별한권한없이침해를수행할수있으 므로 N 으로판정한다

163 평가항목평가결과평가근거 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) D 0.9 L 0.9 T 1.0 현재패치가제공되었으나, 어느수준의수정이이루어졌는지불확실하므로 Default 값을부여한다. 해당취약점에대한외부제어방법은특별히알려진바가없으나, 방화벽을통하여부분적인방어가가능할것으로판단된다. 따라서 Limited로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수 접속프로그램로컬파일실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) Mod 0.9 해당보안취약점이대상시스템이일반적으로인스톨되는플랫폼이나설정에존재하는경우이다. 해당보안취약점은한글판에만존재하고영문판에는존재하지않는것으로보고되었음. 산업적영향 (BI) L 0.7 알 FTP 탐색창에서로컬에있는파일의실행과관련 한취약점이므로그피해는미미함

164 평가항목평가결과평가근거 기술적영향 (TI) H 0.9 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가능성 (EX) L 0.2 공격을위한이전작업이많이소요되며, 실제사용자가존재하지않는프로그램을수행한다하더라도이에해당하는파일이악성코드로존재하여야하므로공격가능성이매우낮은것으로판단된다. 상호작용정도 (IN) D 0.75 악성코드를사용자의폴더에가져다놓는과정은특 별히정해진바가없으므로 Default 로판정한다. 접근벡터 (AV) Opp 0.3 존재하지않는실행파일을수행하도록하여야하므 로, 직접적인희생자의유도가어려운것으로판정하 여 Opp 로판정한다. 권한요구도 (RP) D 0.8 공격코드가시스템에이미존재하여야하나특별히 접근권한과는무관하므로, Default 로판정한다. 복구난이도 (RE) L 0.8 단순코드오류로판단되므로, Limited 로판정한다. 외부방어의 효율성 (EC) None 1.0 내부의불완전한소프트웨어사용에의한것이므로 외부제어방법은특별히없다

165 평가항목평가결과평가근거 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 서비스거부 평가항목평가결과평가근거 해당보안취약점이가장널리사용되는시스템소프 출현빈도 (P) W 1.0 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) All 1.0 H 0.9 M 0.6 H 1.0 해당보안취약점이대상시스템이인스틀되는모든플랫폼과설정에존재하는경우이다. 스위치의서비스가거부됨으로써이에연결된모든네트워크사용이불가하므로비즈니스 / 임무의운용이크게영향받을수있음. TI 항목점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 2 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands 0 (4/2/0) Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 2 공격패킷을전송할경우시스템이재부팅되므로, 침해를성공할확률이높으며안정적인공격방법이알려져있는것으로판단하여 H로판정한다

166 평가항목평가결과평가근거 상호작용정도 (IN) 접근벡터 (AV) 권한요구도 (RP) 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) I 1.0 Aut 1.0 N 1.0 D 0.9 N 1.0 T 1.0 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자의협조적인행동이필요없으므로 Aut로판정한다. 취약점을가진스위치제품에인터넷으로접근가능할경우특별한권한없이침해를수행할수있으므로 N으로판정한다. 현재패치가제공되었으나, 어느수준의수정이이루어졌는지불확실하므로 Default 값을부여한다. 네트워크스위치의문제에의한취약점으로서취약한버전사용시패치외에는외부제어방법은특별히없다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수 접속프로그램임의코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) H 0.9 해당보안취약점이널리알려진시스템소프트웨어 나하드웨어 - 임베디드소프트웨어에서발견되는경우 이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 패치발표및공격성공을위한조건이어려워, 비즈 니스 / 임무의피해잠재성은낮을것으로판단됨

167 평가항목평가결과평가근거 기술적영향 (TI) H 0.9 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가능성 (EX) M 0.6 취약한프로그램을사용하는희생자가공격을위한 서버에접속하더라도, 텔넷접속은일반적으로다양한 방법이제공되므로공격의성공가능성은가변적이다. 상호작용정도 (IN) 접근벡터 (AV) 권한요구도 (RP) I 1.0 Opp 0.3 N 1.0 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자가해당소프트웨어를사용하여공격자가운영하는위험한서버에접근하도록하여야하나, 공격자가이러한행동을직접적으로유도하는것이어려우므로 Opportunistic으로판정한다. 희생자의시스템이공격서버에인터넷으로접근가능할경우특별한권한없이침해를수행할수있으므로 N으로판정한다. 복구난이도 (RE) L 0.8 인식되지않는입력을버리는코드만추가하면되므 로 L 로판정한다. 외부방어의 효율성 (EC) N 1.0 희생자가외부의공격서버에접근하는것을막을수 있는적절한방법이없으므로 N 으로판정한다

168 평가항목평가결과평가근거 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 동영상플레이어버퍼오버플로우취약점 평가항목평가결과평가근거 해당보안취약점이가장널리사용되는시스템소프 출현빈도 (P) W 1.0 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) D 0.7 해당보안취약점의해당플랫폼이나환경에대한설 명이명확하지않아중간값을부여한다. 산업적영향 (BI) 기술적영향 (TI) L 0.7 H 0.9 곰플레이어는개인 PC 환경에서사용되며악성코드 삽입및실행메커니즘을보이지는않았으므로그피 해잠재성은낮을것으로판단됨. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N)

169 평가항목평가결과평가근거 침해가능성 (EX) 상호작용정도 (IN) 접근벡터 (AV) 권한요구도 (RP) 복구난이도 (RE) H 1.0 D 0.75 H 0.1 D 0.8 L 0.8 희생자가해당프로그램을사용하여위험한코드를열도록할경우대부분공격이성공하게되므로 H 로판정한다. 접근방법과는직접적인연관이없으므로, Default 로판정한다. 희생자가해당소프트웨어를사용하여위험한주소를열도록하여야하나, 해당주소는일반적인주소가아닌공격코드이므로이를위해서는복잡한사회적작업이필요할것으로판단된다. 공격자의침해성공과공격자의권한획득은직접적인관계는없으므로 Default 로판정한다. URL 입력에대한필터링코드만추가하면되므로 L 로판정한다. 외부방어의 효율성 (EC) 보고의신뢰성 (FC) N 1.0 T 1.0 중요도점수 희생자의잘못된수행에대한외부제어방법은특별히없으므로 N 으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 소스코드노출 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) 산업적영향 (BI) Rare 0.5 L 0.7 해당보안취약점이사용빈도가낮은특정설정에존재하는경우이다. 현재 PHP는대부분 CGI 방식이아닌 SAPI나 FastCGI 방식으로구동되어해당취약점이적용되는사이트는미미하므로비즈니스영향은낮음

170 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 상호작용정도 (IN) 접근벡터 (AV) 권한요구도 (RP) 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) H 0.9 H 1.0 I 1.0 Aut 1.0 N 1.0 L 0.8 L 0.9 T 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을시행할경우성공가능성이매우높으며공격방법도간단함. 일반적인인터넷을통해침해가가능하므로 I 로판단한다. 희생자의협조적인행동이필요없으므로 Aut 로판정한다. 희생자의시스템이공격서버에인터넷으로접근가능할경우특별한권한없이침해를수행할수있으므로 N 으로판정한다. 소스코드의수정보다는시스템설치설정을변경하면되므로, 일정수준의노력만소요되므로 L 로판정한다. 잘못설치된 PHP 사이트에대하여방화벽등을통하여외부접근에대한부분적인제어방법이존재하므로 L 로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

171 홈페이지구축소프트웨어웹쉘코드삽입취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 해당보안취약점이널리알려진응용소프트웨어에 서발견되는경우이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) 상호작용정도 (IN) 접근벡터 (AV) H 0.9 H 0.9 H 1.0 I 1.0 Aut 1.0 웹쉘코드공격을이용하여정보를유출혹은조작할수있으므로자산손실이발생할수있다. 또한해당서버를이용하여내부망의 PC를쉽게공격할수있기때문에피해가확산될수있다. TI 항목점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands 4 (4/2/0) Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을시행할경우성공가능성이매우높으며공격방법도간단함. 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자의협조적인행동이필요없으므로 Aut로판정한다

172 평가항목평가결과평가근거 권한요구도 (RP) P 0.6 해당 XE 소프트웨어에대한관리자권한이필요하므 로 Partially Privileged User 복구난이도 (RE) L 0.8 해당입력부분에필터링코드만추가하면수정이가 능할것으로판단된다. 외부방어의 효율성 (EC) L 0.9 응용프로그램방화벽등을통하여비정상적인입력을 방지하는방법이존재하나, 외부접근에대한부분적 인제어방법이므로 L 로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 스마트폰 연결소프트웨어원격코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) H 0.9 해당보안취약점이널리알려진시스템소프트웨어 나하드웨어 - 임베디드소프트웨어에서발견되는경우 이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) M 0.8 사용자의 PC 에서원격지의악성코드가실행되면시스 템에주는영향으로인해중간정도의물적손실이나 자산손실의결과를낳을수있음

173 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 상호작용정도 (IN) H 0.9 H 1.0 I 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을 시행하고, 희생자가협조적인동작을할경우성공가 능성이매우높음. 일반적인인터넷을통해침해가가능하므로 I로판단 한다. 접근벡터 (AV) 권한요구도 (RP) 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) L 0.9 N 1.0 M 0.9 N 1.0 T 1.0 희생자가위험한웹사이트를접근하는일반적인행동을수행하여야하므로 L로판정한다. 희생자의시스템이공격서버에인터넷으로접근가능할경우특별한권한없이침해를수행할수있으므로 N으로판정한다. 복수개의모듈에대한수정이필요한것으로판단되므로 M으로판정한다. 희생자의잘못된수행에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

174 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 해당보안취약점이가장널리사용되는시스템소프 출현빈도 (P) W 1.0 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) 상호작용정도 (IN) 접근벡터 (AV) M 0.8 H 0.9 H 1.0 I 1.0 M 0.8 정보부처에따라민감한사안을다룰수있으므로그임무의운용이크게영향받을수있으나정상적인운용에대규모의피해는없음. TI 항목점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands 4 (4/2/0) Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을시행하고, 희생자가협조적인동작을할경우성공가능성이매우높음. 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자가출처가불분명한한글파일을열어보는위험한행동을수행해야하므로 M으로판정한다

175 평가항목평가결과평가근거 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) L 0.8 버퍼넘침이발생하는부분에대한코드의수정만필 요할것으로판단된다. 외부방어의 효율성 (EC) N 1.0 희생자의잘못된수행에대한외부제어방법은특별 히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 동영상플레이어 하이제킹취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 해당보안취약점이사용자가많지않은제한적인소 프트웨어에서발견되는경우이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 초코플레이어사용자가많지않으며악성파일삽입 메커니즘이없으므로그비즈니스영향은낮다고판 단됨

176 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 M 0.6 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 위험한 dll 업로드침해가선행적으로필요하므로 M으 로판정한다. 상호작용정도 (IN) D 0.75 사용자의취약한소프트웨어사용에의한것이므로 평가가적합하지않아 Default 를부여한다. 접근벡터 (AV) L 0.9 희생자가취약한프로그램을사용하기만하면침해가 발생하므로 Limited 로판정한다. 권한요구도 (RP) D 0.8 공격코드가시스템에이미존재하여야하나특별히 접근권한과는무관하므로, Default 로판정한다. 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) M 0.9 N 1.0 T 1.0 DLL 참조절차의수정시관련모듈의수정이필요할것으로판단되어, M으로판정한다. 희생자의정상적인수행에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

177 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) L 0.7 H 0.9 H 1.0 힙오버플로우발생가능하지만악성코드유포실행 메커니즘을제시하지않았으므로비즈니스 / 임무의운 영이최소한의영향을받을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을 시행하고, 희생자가협조적인동작을할경우성공가 능성이매우높음. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다

178 평가항목평가결과평가근거 접근벡터 (AV) M 0.8 희생자가출처가불분명한한글파일을열어보는위 험한행동을수행해야하므로 M 으로판정한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) L 0.8 버퍼넘침이발생하는부분에대한코드의수정만필 요할것으로판단된다. 외부방어의 효율성 (EC) N 1.0 희생자의잘못된수행에대한외부제어방법은특별 히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 워드프로세서소프트웨어임의코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 윈도우 XP 에서한글 2005 와 2007 에서만작동하며이미 패치조치되었으므로그피해는미미함

179 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 취약점을가진시스템에대하여제시된공격방법을 시행하고, 희생자가협조적인동작을할경우성공가 능성이매우높음. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) M 0.8 희생자가출처가불분명한한글파일을열어보는위 험한행동을수행하여야하므로 M 으로판정한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) L 0.8 N 1.0 T 1.0 wcscpy를수행하는버퍼넘침발생하는부분에대한코드의수정만필요할것으로판단된다. 희생자의잘못된수행에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

180 에어컨관리자페이지취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 해당보안취약점이사용자가많지않은제한적인소 프트웨어에서발견되는경우이등급을부여한다. 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) All 1.0 M 0.8 M 0.6 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 악의적인공격자가대형건물이나병원등의냉난방 공조시스템을완전히사용못하도록차단하는것이 가능하기때문에중간정도의물적손실이나자산손 실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 2 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 침해가능성 (EX) H 1.0 매뉴얼에제시된패스워드로쉽게접근하여침해가 능하므로 H 로판정한다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) N 1.0 희생자의협조적행동은필요없다

181 평가항목평가결과평가근거 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) L 0.8 wcscpy 를수행하는버퍼넘침발생하는부분에대한 코드의수정만필요할것으로판단된다. 외부방어의효율성 (EC) 보고의신뢰성 (FC) N 1.0 T 1.0 희생자의잘못된수행에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수 동영상플레이어힙오버플로우취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 곰플레이어는개인 PC 환경에서사용되며악성코드 삽입및실행메커니즘을보이지는않았으므로비즈 니스 / 임무에최소한의영향이있다

182 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 상호작용정도 (IN) H 0.9 H 1.0 I 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 곰플레이어를사용하는사용자가위험한웹사이트에 접속할경우침해가발생할확률이높으므로, H로판 정한다. 일반적인인터넷을통해침해가가능하므로 I로판단 한다. 접근벡터 (AV) Ltd 0.9 인터넷접속을통해침해가발생하므로 Ltd 로판정한 다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) L 0.8 버퍼넘침발생하는부분에대한코드의수정만필요 할것으로판단된다. 외부방어의효율성 (EC) 보고의신뢰성 (FC) N 1.0 T 1.0 희생자의잘못된접근에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

183 관리자페이지계정정보유출취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 해당보안취약점이사용자가많지않은제한적인소 프트웨어에서발견되는경우이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 NAS 서비스에는문제가없으나그계정정보유출로 인해비즈니스 / 업무에최소한의영향이있음. 기술적영향 (TI) M 0.6 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 2 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 침해가능성 (EX) H 1.0 곰플레이어를사용하는사용자가위험한웹사이트에 접속할경우침해가발생할확률이높으므로, H 로판 정한다. 상호작용정도 (IN) 접근벡터 (AV) I 1.0 Aut 1.0 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자의협조적인행동이필요없으므로 Aut로판정한다

184 평가항목평가결과평가근거 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) D 0.9 현재패치가제공되었으나, 어느수준의수정이이루 어졌는지불확실하므로 Default 값을부여한다. 외부방어의효율성 (EC) 보고의신뢰성 (FC) N 1.0 T 1.0 해당공격에대한외부제어방법은특별히없으므로 N으로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 해당보안취약점이널리알려진응용소프트웨어에 서발견되는경우이등급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) M 0.8 기밀성과무결성, 가용성모두에위협이되는공격이 지만그누보드의특성상비즈니스혹은임무에중간 정도영향이있을것으로판단됨

185 평가항목평가결과평가근거 기술적영향 (TI) H 0.9 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가능성 (EX) H 1.0 해당보드에접속하는사용자에대한침해가발생할 확률이높으므로, H 로판정한다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) Ltd 0.9 일반적인웹페이지접근에의하여침해가발생하므로 Ltd 로판정한다. 권한요구도 (RP) G 0.9 일반적으로회원가입수준의권한을요구하므로 Guest 로판정한다. 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) D 0.9 I 0.5 T 1.0 현재패치가제공되었으나, 어느수준의수정이이루어졌는지불확실하므로 Default 값을부여한다. 해당공격에대한 ip 필터링, 방화벽등의제어방법이존재하나, 전적인방어는어려우므로 Indirect로판정한다. 해당보안취약점이공격자가이용할수있는형태로존재하는경우이다. 중요도점수

186 취약점 평가항목평가결과평가근거 해당보안취약점이가장널리사용되는시스템소프 출현빈도 (P) W 1.0 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) All 1.0 N 0.0 L 0.3 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. Acrobat Reader X버전에서는프로그램크래쉬가되는 현상이일어나는 POC파일만존재하고임의코드를 실행할수있는시나리오등은없으므로비즈니스에 영향은거의없음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 1 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 1 침해가능성 (EX) 상호작용정도 (IN) 접근벡터 (AV) Low 0.2 I 1.0 M 0.8 협조자가웹등을통하여전단된취약한파일을열경우침해가발생하나침해의종류가프로그램의종료이고, 추가적인침해의가능성은매우낮으므로 Low 로판정한다. 일반적인인터넷을통해침해가가능하므로 I 로판단한다. 희생자가출처가불분명한 pdf 파일을열어보는위험한행동을수행해야하므로 M 으로판정한다

187 평가항목평가결과평가근거 권한요구도 (RP) 복구난이도 (RE) 외부방어의효율성 (EC) 보고의신뢰성 (FC) N 1.0 L 0.8 N 1.0 F 0.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 버퍼넘침발생하는부분에대한코드의수정만필요할것으로판단된다. 희생자의잘못된수행에대한외부제어방법은특별히없으므로 N 으로판정한다. 해당보안취약점을공격에이용할수있는방법이현재까지는보고되지않은경우이다. 중요도점수 0.00 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 해당보안취약점이널리알려진응용소프트웨어에 서발견되는경우이등급을부여한다. 적용범위 (SC) Rare 0.5 해당보안취약점이사용빈도가낮은특정설정에존 재하는경우이다. 산업적영향 (BI) L 0.7 기밀성과무결성, 가용성모두에위협이되는공격이지만자유소프트웨어인그누보드의특성상상업용으로많이이용되지않으므로비즈니스혹은임무에영향은낮을것임

188 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가발생할확률이높으며, 간단한공격방법이제 시되어있으므로, H로판정한다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) Aut 1.0 희생자의동작은필요하지않으므로 Aut 로판정한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) L 0.8 SQL 삽입취약점의제거는해당부분의부분적인수 정만으로가능하므로 Limited 로판정한다. 외부방어의 효율성 (EC) L 0.7 해당공격에대한방화벽등의제어방법이존재하나 부분적인방어만가능하므로 Limited 로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수

189 메신저프로그램이미지파일공유시임의파일업로드취약점 평가항목평가결과평가근거 해당보안취약점이가장널리사용되는시스템소프 출현빈도 (P) W 1.0 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) L 0.7 사진을공유한사람 ( 한명또는여러명 ) 에한해약간 의물적손실의결과를낳을수있다. 기술적영향 (TI) H 0.9 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가능성 (EX) H 1.0 침해가발생할확률이높으며, 간단한공격방법이제 시되어있으므로, H 로판정한다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) M 0.8 희생자가출처가불분명한이미지파일을저장하는 위험한행동을수행하여야하므로 M 으로판정한다

190 평가항목평가결과평가근거 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 복구난이도 (RE) D 0.9 해당취약점제거를위한수정범위가불확실하므로 Default 로판정함. 외부방어의 효율성 (EC) N 1.0 악의적인플래시파일접근을제한하는외부제어방 법은특별히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수 취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 해당보안취약점이가장널리사용되는시스템소프 트웨어나응용소프트웨어에서발견되는경우이등 급을부여한다. 적용범위 (SC) All 1.0 해당보안취약점이대상시스템이인스틀되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) H 0.9 버퍼오버플로우공격이이루어졌을때공격자는완전히해당시스템을장악하여모든파일정보와자료를변경, 삭제할수있으므로비즈니스 / 임무가크게영향받을수있다

191 평가항목평가결과평가근거 기술적영향 (TI) H 0.9 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N) 4 침해가능성 (EX) H 1.0 취약점이알려져있으며, 취약한소프트웨어를사용할 경우침해가발생할확률이높으므로, H 로판정한다. 상호작용정도 (IN) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 접근벡터 (AV) L 0.9 희생자가플레시등을사용하는웹페이지접근시침 해를당할수있으므로, Low 로판정한다. 권한요구도 (RP) G 0.9 일반적인회원가입수준의권한을요구하므로 Guest 로판정한다. 복구난이도 (RE) D 0.9 해당취약점제거를위한수정범위가불확실하므로 Default 로판정함. 외부방어의 효율성 (EC) N 1.0 네이트를통한그림고유를제한하기위한외부제어 방법은특별히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 해당보안취약점이공격자가이용할수있는형태로 존재하는경우이다. 중요도점수

192 그룹웨어및회계관리 시스템관리자계정노출취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 적용범위 (SC) A 1.0 해당보안취약점이대상시스템이인스톨되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) 기술적영향 (TI) M 0.8 M 0.6 기업정보및회계정보유출로중간정도의물적손실 이나자산손실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 2 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 침해가능성 (EX) H 1.0 접속가능 DB 서버정보를알고있으면, 대부분접속 이가능하며, 자동화툴을사용하여쉽게스캔가능하 므로, 공격을쉽게성공할수있음. 접근벡터 (AV) I 1.0 DB 서버를인터넷을통하여쉽게접근하여침해할수 있다. 상호작용정도 (IN) Aut 1.0 서버측의협조적인행동이필요없다. 권한요구도 (RP) N 1.0 취약점을가진 DB 서버에접근하기위하여일반적으 로특정권한이필요하지않다

193 평가항목평가결과평가근거 수정난이도 (RE) M 0.9 고정된패스워드사용을수정하여야하므로, 복수개의 모듈수정과같은중간정도의수정이필요하며, 설계 와구조에대한수정은필요없다. 외부제어의 효과 (EC) N 1.0 특별히이취약점을위한외부제어방법은없다. 보고의신뢰성 (FC) T 1.0 중요도점수 결제모듈주요개인정보노출취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) A 1.0 산업적영향 (BI) L 0.7 결제자의개인정보유출로인한낮은정도의피해잠 재성이있음

194 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 접근벡터 (AV) 상호작용정도 (IN) 권한요구도 (RP) 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) M 0.6 H 1.0 I 1.0 Aut 1.0 N 1.0 D 0.9 N 1.0 T 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 2 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 해당 URL 을사용하여거래를접근가능하므로성공 가능성이높은것으로판단하여 H 로판정한다. 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 희생자의협조적인행동이필요없으므로 Aut 로판정 한다. 해당 URL 로접근만하면특별한권한없이침해를 수행할수있으므로 N 으로판정한다. 현재일부수정이이루어진것으로판단되나, 어느수 준의수정이이루어졌는지불확실하므로 Default 값을 부여한다. 네트워크스위치의문제에의한취약점으로서취약한 버전사용시패치외에는외부제어방법은특별히 없다. 중요도점수

195 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) L 0.7 H 0.9 사용자정보탈취로인해낮은수준의물적손실이나 자산손실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 2 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 2 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 침해가능성 (EX) H 1.0 해당취약한사이트에위험한스크립트를업로드하 는것이어렵지않고성공가능성이높은것으로판 단하여 H 로판정한다. 접근벡터 (AV) 상호작용정도 (IN) I 1.0 Ltd 0.9 일반적인인터넷을통해침해가가능하므로 I로판단한다. 게시물에접근하는일반적인동작이필요하므로 Ltd 로판정한다. 권한요구도 (RP) G 0.9 스크립트업로드를위한회원가입이필요하다

196 평가항목평가결과평가근거 수정난이도 (RE) L 0.8 필터링관련코드만수정하면된다. 외부제어의효과 (EC) 보고의신뢰성 (FC) M 0.7 T 1.0 XSS 에대한일반적인방어방법이존재하나, 지식을 가진공격자의노력에의해서침해가발생할수있다. 중요도점수 메신저프로그램계정탈취취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) M 0.8 H 0.9 다른사람의계정탈취로인해중간정도의물적손 실이나자산손실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 2 Bypass protection mechanism (2/1/0) 2 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N

197 평가항목평가결과평가근거 침해가능성 (EX) 접근벡터 (AV) 상호작용정도 (IN) 권한요구도 (RP) H 1.0 I 1.0 Aut 1.0 N 1.0 희생자가관련 id, 핸드폰번호, 이름정보를알고있을경우쉽게침해에성공할수있으므로 H로판정한다. 일반적인인터넷을통해침해가가능하므로 I로판단한다. 희생자의협조적인행동이필요없으므로 Aut로판정한다. 관련정보만알고있으면패스워드탈취를위한회원가입은불필요하다. 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) M 0.9 핸드폰을사용한인증과관련된코드부분을수정하 여야하므로, 복수개의모듈에대한중간정도의수정 이필요하다. N 1.0 해당취약성을위한특정외부제어방법은없다. T 1.0 중요도점수 유무선공유기 취약점 평가항목평가결과평가근거 출현빈도 (P) 적용범위 (SC) 산업적영향 (BI) A 1.0 L 0.7 공유기설정변경으로인해낮은수준의물적손실이 나자산손실의결과를낳을수있음

198 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 2 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 2 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 취약점을가진시스템에대하여제시된공격방법을 시행할경우성공가능성이높다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Ltd 0.9 이메일을열람하는일반적인동작이필요하므로 Ltd 로판정한다. 권한요구도 (RP) 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) N 1.0 M 0.9 M 0.7 T 1.0 희생자에게메일을보냄으로써침해를수행할수있 으므로 N 으로판정한다. 외부입력에대한필터링코드를추가하여야하며, 이 는하나의지점이아님복수의지점일것으로판단되 므로 M 으로판정한다. CSRF 역시중간정도이상의 수정이필요하다. XSS에대한일반적인방어방법이존재하나, 지식을 가진공격자의노력에의해서침해가발생할수있다. 중요도점수

199 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) A 1.0 L 0.7 H 0.9 H 1.0 정수오버플로우발생가능하지만악성코드유포및 실행메커니즘을제시하지않았으므로낮은수준의 물적손실이나자산손실이있을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 취약점을가진시스템에대하여제시된공격방법을 시행할경우성공가능성이매우높다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Mod 0.8 희생자의출퍼가불분명한한글파일을여는협조적 인행동이필요하므로 M 으로판정한다. 권한요구도 (RP) N 1.0 취약한한글파일을희생자에게전달하면되므로특 별한권한은필요하지않다

200 평가항목평가결과평가근거 수정난이도 (RE) L 0.8 정수넘침이발생하는지여부를검사하는코드를추 가하면되므로제한된코드의추가만이필요할것으 로판정된다. 외부제어의 효과 (EC) N 1.0 해당취약점을방어 / 완화하기위한외부제어방법은 없다. 보고의신뢰성 (FC) T 1.0 중요도점수 백신자체보호기능우회취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) A 1.0 산업적영향 (BI) M 0.8 V3Lite 작동중지로사용 PC 가악성코드에노출됨에 따라어느정도물적손실이나자산손실이있을수 있음

201 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 접근벡터 (AV) 상호작용정도 (IN) 권한요구도 (RP) 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) H 0.9 D 0.6 I 1.0 L 0.9 N 1.0 M 0.9 N 1.0 T 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 2 Bypass protection mechanism (2/1/0) 2 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 레지스트리변경에대한자체보호기능의약점에대 한것으로이부분에대한침해가능성은해당바이 러스의전파에따라유동적이고해당취약성과는직 접적인연관은없다. 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 바이러스전파에대한피해자의상호작용정도는피 해자의일반적인활동으로도가능하므로 L 로판정한 다. 바이러스전파의경우특별한권한없이침해를수행 할수있으므로 N 으로판정한다. 복수개의모듈에대한수정이필요한것으로판단되 므로 M 으로판정한다. 바이러스의레지스트리설정과관련한특별한외부 제어는없으므로 N 으로판정한다. 중요도점수

202 워드프로세서소프트웨어스택오버플로우취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) A 1.0 L 0.7 H 0.9 H 1.0 스택오버플로우발생가능하지만악성코드유포및 실행메커니즘을제시하지않았으므로낮은수준의 물적손실이나자산손실이있을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 취약점을가진한컴오피스에대하여, 해당파일을수 행할경우침해가발생할확률이높음 접근벡터 (AV) I 1.0 일반적인인터넷을통해공격파일을전달하여침해 가가능하므로 I 로판단한다. 상호작용정도 (IN) M 0.8 희생자가출처가불분명한한글파일을열어보는위 험한행동을수행하여야하므로 M 으로판정한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다

203 평가항목평가결과평가근거 수정난이도 (RE) L 0.8 버퍼넘침이발생하는부분에대한코드의수정만필 요할것으로판단된다. 외부제어의효과 (EC) 보고의신뢰성 (FC) I 0.5 ASRL 방법이존재하나, 부분적인방어만가능하다. T 1.0 중요도점수 워드프로세서소프트웨어힙오버플로우 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) A 1.0 L 0.7 힙오버플로우발생가능하지만악성코드유포및 실행메커니즘을제시하지않았으므로낮은수준의 물적손실이나자산손실이있을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N

204 평가항목평가결과평가근거 침해가능성 (EX) 접근벡터 (AV) 상호작용정도 (IN) 권한요구도 (RP) 수정난이도 (RE) H 1.0 I 1.0 M 0.8 N 1.0 L 0.8 취약점을가진한글프로그램이해당파일을수행할경우침해가발생할확률이높음일반적인인터넷을통해공격파일을전달하여침해가가능하므로 I로판단한다. 희생자가출처가불분명한한글파일을열어보는위험한행동을수행하여야하므로 M으로판정한다. 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 버퍼할당크기를결정하는부분과저장부분의코드의수정만필요할것으로판단된다. 외부제어의효과 (EC) 보고의신뢰성 (FC) I 0.5 ASRL 방법이존재하나, 부분적인방어만가능하다. T 1.0 중요도점수 메신저프로그램세션노출취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) A 1.0 M 천만사용자를갖고있으므로세션노출만으로도상 당한사회적손실의가능성이있음

205 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 접근벡터 (AV) M 0.6 H 1.0 R 0.8 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 2 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 취약점을가진시스템에대하여제시된공격방법을 시행하고, 희생자가협조적인동작을할경우성공가 능성이매우높음. 프록시서버접근을위하여같은내부네트워크안에 위치하여야한다. 상호작용정도 (IN) Ltd 0.9 희생자가플러스친구에게접속하는일반적인동작을 수행하여야한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) L 0.8 관련통신을 SSL 로수행하도록수정하는코드를추가 하여야할것으로판단되며, 이는제한적인범위가될 것이다. N 1.0 이취약점을위한특별한외부제어방법은없다. T 1.0 중요도점수

206 홈페이지구축소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) M 0.8 H 0.9 스크립트실행으로인해중간정도의물적손실이나 자산손실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 2 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 2 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 침해가능성 (EX) H 1.0 해당취약한사이트에위험한스크립트를업로드하는 것이어렵지않고성공가능성이높은것으로판단하 여 H 로판정한다. 접근벡터 (AV) 상호작용정도 (IN) 권한요구도 (RP) I 1.0 Ltd 0.9 G 0.9 일반적인인터넷을통해침해가가능하므로 I로판단한다. 게시물에접근하는일반적인동작이필요하므로 Ltd로판정한다. 임베드태그설정및스크립트업로드를위한게스트수준의회원가입이필요하다

207 평가항목평가결과평가근거 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) L 0.8 M 0.7 T 1.0 해당태그설정및스크립트수행에대한필터링관련 코드만수정하면된다. XSS 에대한일반적인방어방법이존재하나, 지식을가 진공격자의노력에의해서침해가발생할수있다. 중요도점수 홈페이지구축소프트웨어원격코드실행 평가항목평가결과평가근거 출현빈도 (P) C 0.8 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) M 0.8 H 0.9 원격코드공격을이용하여정보를유출혹은조작할 수있으므로중요한물적손실이발생할수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N

208 평가항목평가결과평가근거 침해가능성 (EX) 접근벡터 (AV) H 1.0 I 1.0 외부에서취약한소프트웨어에접근하여공격을수행할경우해당디렉토리에공격스크립트를복사하여야하는데, 이과정의성공확률이가변적이다. 일반적인인터넷을통해침해가가능하므로 I로판단한다. 상호작용정도 (IN) N 1.0 희생자의협조적행동은필요없다. 권한요구도 (RP) 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) N 1.0 L 0.8 N 1.0 T 1.0 특별한회원가입없이침해공격을수행할수있으므 로 N 으로판정한다. widgets/$widget 디렉토리에대한파일생성권한을 제약함으로서침해를방지할수있다. 희생자의잘못된수행에대한외부제어방법은특별 히없으므로 N 으로판정한다. 중요도점수 금융권 원격코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) A 1.0 H 0.9 nprotect Netizen 은금융권, 공공기관, 전자결제등대 다수의대형사이트에공급된온라인보안솔루션으 로원격코드공격으로인해사회적으로높은수준의 피해가발생할잠재성을갖고있음

209 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) C 1.0 H 1.0 TI 항목 점수 Modify data (2/1/0) 1 Read data (2/1/0) 1 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 6 해당약점을가진피해자는공격사이트에접속시침 해당할가능성이높으므로 H로판정한다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Ltd 0.9 인터넷접속을통해침해가발생하므로 Ltd 로판정한 다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 수정난이도 (RE) M 0.9 복수개의관련모듈에대한수정이요구된다. 외부제어의 효과 (EC) N 1.0 희생자의잘못된접근에대한외부제어방법은특별 히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 중요도점수

210 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) 산업적영향 (BI) 기술적영향 (TI) A 1.0 L 0.7 H 0.9 정수오버플로우발생가능하지만악성코드유포및 실행메커니즘을제시하지않았으므로약간의물적 손실이나자산손실이있을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 침해가능성 (EX) H 1.0 취약점을가진시스템에대하여제시된공격방법을 시행할경우성공가능성이매우높다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해공격파일을전송하여침해 가가능하므로 I 로판단한다. 상호작용정도 (IN) Mod 0.8 희생자의출퍼가불분명한한글파일을여는협조적 인행동이필요하므로 M 으로판정한다. 권한요구도 (RP) N 1.0 취약한한글파일을희생자에게전달하면되므로특 별한권한은필요하지않다

211 평가항목평가결과평가근거 수정난이도 (RE) L 0.8 정수넘침이발생하는지여부를검사하는코드를추 가하면되므로제한된코드의추가만이필요할것으 로판정된다. 외부제어의 효과 (EC) N 1.0 해당취약점을방어 / 완화하기위한외부제어방법은 없다. 보고의신뢰성 (FC) T 1.0 중요도점수 동영상플레이어원격코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) A 1.0 산업적영향 (BI) M 0.8 곰플레이어원격코드실행가능성이보고된수준으 로중간정도의피해잠재성을갖고있음

212 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) 접근벡터 (AV) 상호작용정도 (IN) M 0.6 H 1.0 I 1.0 Ltd 0.9 TI 항목점수 Modify data (2/1/0) 0 Read data (2/1/0) 2 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands 0 (4/2/0) Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 해당취약한곰플레이어가설치된사용자는크롬을사용하여위험한웹사이트접속시침해가능성이높다. 일반적인인터넷을통해침해가가능하므로 I로판단한다. 일반적인웹페이지접근및곰플레이어설치에의하여침해가발생하므로 Ltd로판정한다. 권한요구도 (RP) N 1.0 특별한권한은요구하지않는다. 수정난이도 (RE) L 0.8 외부경로값에대한검사를수행하는제한된범위의 수정이필요하다. 외부제어의효과 (EC) 보고의신뢰성 (FC) N 1.0 특별히해당취약성에대한외부제어방법은없다. LT 0.8 중요도점수

213 압축프로그램 취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) L 0.7 C 1.0 일부경로에대한시스템무결성에영향을줌으로써 낮은정도의피해잠재성을갖고있음. TI 항목 점수 Modify data (2/1/0) 1 Read data (2/1/0) 1 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 6 침해가능성 (EX) M 0.6 해당공격이시행될경우해당파일의대치등에대한경고문자열이나올수있고, 해당파일경로가표시되므로이에대하여희생자가인지할수있으므로, 침해가능성은가변적이다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해위험한압축파일을전달하여 침해가가능하므로 I 로판단한다. 상호작용정도 (IN) M 0.8 희생자가출처가불분명한압축파일을열어보는위 험한행동을수행하여야하므로 M 으로판정한다

214 평가항목평가결과평가근거 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 수정난이도 (RE) L 0.8 경로병을검사하는부분에대한코드의수정만필요 할것으로판단된다. 외부제어의효과 (EC) 보고의신뢰성 (FC) N 1.0 T 1.0 해당취약점에대한외부제어방법은특별히없으므 로 N 으로판정한다. 중요도점수 워드프로세서소프트웨어 취약점 평가항목평가결과평가근거 출현빈도 (P) W 1.0 적용범위 (SC) A 1.0 산업적영향 (BI) L 0.7 메모리주소값을변경할수있지만악성코드유포 및실행메커니즘을제시하지않았으므로낮은수준 의물적손실이나자산손실이있을수있음

215 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 취약점을가진시스템에대하여제시된공격방법을 시행할경우성공가능성이매우높다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) M 0.8 희생자의출퍼가불분명한한글파일을여는협조적 인행동이필요하므로 M 으로판정한다. 권한요구도 (RP) 수정난이도 (RE) 외부제어의효과 (EC) 보고의신뢰성 (FC) N 1.0 L 0.8 N 1.0 T 1.0 취약한한글파일을희생자에게전달하면되므로특 별한권한은필요하지않다. 음수일경우를처리하는오류처리코드를삽입하면 되므로제한적인수정만이요구된다. 해당취약점을방어 / 완화하기위한외부제어방법은 없다. 중요도점수

216 웹에디터소스코드파일다운로드취약점 평가항목평가결과평가근거 출현빈도 (P) C 0.8 적용범위 (SC) A 1.0 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) M 0.8 M 0.6 H 1.0 소스코드정보를유출혹은조작할수있으므로중 간정도의물적손실이발생할가능성이있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 2 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands 0 (4/2/0) Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 1 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 3 침해가발생할확률이높으며, 간단한공격방법이제 시되어있으므로, H로판정한다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Aut 1.0 희생자의협조적행동이필요없으므로 Aut 로판정한 다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다

217 평가항목평가결과평가근거 수정난이도 (RE) L 0.8 외부입력이미지경로명에대한검증코드만추가하 면된다. 외부제어의 효과 (EC) N 1.0 해당부적절한경로명전달에대한외부제어방법은 특별히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 중요도점수 웹서버프로그램원격코드실행취약점 평가항목평가결과평가근거 출현빈도 (P) H 0.9 적용범위 (SC) A 1.0 산업적영향 (BI) M 0.8 웹쉘코드공격을이용하여정보를유출혹은조작할수있으므로중요한물적손실이발생할수있으며또한해당서버를이용하여내부망의 pc를쉽게공격할수있기때문에피해가확산될수있음. 현재패치가제공됨

218 평가항목평가결과평가근거 기술적영향 (TI) 침해가능성 (EX) H 0.9 H 1.0 TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 4 Gain privileges / assume identity (2/1/0) 0 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 4 취약점이알려져있으며, 취약한소프트웨어를사용할 경우침해가발생할확률이높으므로, H로판정한다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Aut 1.0 희생자의협조적인행동이필요없으므로 Aut 로판정 한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다. 수정난이도 (RE) L 0.8 외부입력에대한검증코드만추가하면된다. 외부제어의 효과 (EC) N 1.0 해당부적절한인자값전달에대한외부적인제어방 법은특별히없으므로 N 으로판정한다. 보고의신뢰성 (FC) T 1.0 중요도점수

219 장비관리자페이지인증우회취약점 평가항목평가결과평가근거 출현빈도 (P) L 0.6 적용범위 (SC) A 1.0 해당보안취약점이대상시스템이인스톨되는모든 플랫폼과설정에존재하는경우이다. 산업적영향 (BI) 기술적영향 (TI) 침해가능성 (EX) M 0.8 M 0.6 H 1.0 DVR 내에저장된파일의손상으로인해중간정도의 물적손실이나자산손실의결과를낳을수있음. TI 항목 점수 Modify data (2/1/0) 0 Read data (2/1/0) 0 DoS: unreliable execution (2/1/0) 0 DoS: resource consumption (2/1/0) 0 Execute unauthorized code or commands (4/2/0) 0 Gain privileges / assume identity (2/1/0) 2 Bypass protection mechanism (2/1/0) 0 Hide activities (2/1/0) 0 합계 (6~:C, 4~5:H, 2~3:M, ~1:L, 0:N 2 취약점이알려져있으며, 취약한소프트웨어를사용할 경우침해가발생할확률이높으므로, H로판정한다. 접근벡터 (AV) I 1.0 일반적인인터넷을통해침해가가능하므로 I 로판단 한다. 상호작용정도 (IN) Aut 1.0 희생자의협조적인행동이필요없으므로 Aut 로판정 한다. 권한요구도 (RP) N 1.0 특별한권한없이침해공격을수행할수있으므로 N 으로판정한다

220 평가항목평가결과평가근거 수정난이도 (RE) 외부제어의효과 (EC) M 0.9 N 1.0 외부에서전달된쿠키에대한검사코드및암호화하여계정정보를저장하는코드를추가하여야하므로복수모듈으중간정도수정이필요하다. 해당침해에대한외부적인제어방법은특별히없으므로 N으로판정한다. 보고의신뢰성 (FC) T 1.0 중요도점수 제 절시범평가결과 평가항목별점수 표 의 개취약점에대한 방법론을이용한평가항목별평가결과는 표 와같이요약할수있다 표 평가항목별점수 P SC BI TI EX IN AV RP RE EC FC Score

221 P SC BI TI EX IN AV RP RE EC FC Score [ 표 4-3] 에서는 40 개보안취약점에대한시범평가결과를점수순으 로정렬하였다. 보다높은점수를받을수록보안취약점의위험도가높 다고판단된다

222 표 보안취약점평가결과 점수순 번호 보안취약점이름 점수 nprotect Netizen v5.5 원격코드실행취약점 Adobe Flash Player 취약점 메신저프로그램계정탈취취약점 Struts2원격코드실행취약점 ZeroBoard XE Remote Code Execution 정부부처겨냥한한글제로데이공격시도 CiscoNX-OS 서비스거부 AhnLab V3 Lite 자체보호취약점 곰플레이어힙오버플로우 한컴오피스한글 2010 SE+ 의이미지파싱모듈정수 오버플로우취약점 한글 2010 정수오버플로우 한컴오피스한글 2010 SE Signed extension error handling 취약점 삼성 Kies 원격코드실행 네이트온이미지파일공유 한글 2010 힙오버플로우 0-day 취약점 미리보기내용기반한글버퍼넘침 PHP 원격코드실행취약점 XpressEngine 웹쉘코드삽입 Namo CrossEditor2 웹소스코드파일다운로드취약점 메신저프로그램세션노출취약점 한국사이버결제주요개인정보노출취약점 반디집 Directory Traversal 취약점

223 번호 보안취약점이름 점수 곰플레이어원격코드실행취약점 더존그룹웨어및회계관리 DB 시스템취약점 Samsung DVR Vulnerability LG 에어컨관리자페이지취약점 NAS 관리자페이지계정정보유출취약점 PHP-CGI 소스코드노출 초코플레이어 DLL하이제킹 Netsarang Xshell 임의코드실행 공개용게시판 ( 제로보드, Wordpress, Textcube) XSS 취약점 곰플레이어 버퍼넘침 iptime 유무선공유기 CSRF XSS 취약점 제로보드 XE Ver XSS 취약점 알FTP 로컬파일실행 그누보드 SQL 삽입취약점 그누보드4 XSS 취약점 한컴오피스 2010 SE 스택오버플로우취약점 워드프로세서소프트웨어힙오버플로우 Acrobat Reader 취약점 0.00 평가점수계산 본절에서는항목별평가점수를이용해서 CWSS 점수를계산하는방식에대하여설명한다. CWSS 버전 0.6의평가점수는 0부터 100 사이의숫자로표현되며, 이점수는 (Base Finding 점수 ) * (Attack Surface 점수 ) * (Environmental 점

224 수 ) 라는기본공식을이용하여계산된다. Base Finding 점수는 0 부터 100 사이의점수를가지며, Attack Surface 점수와 Environmental 점수는 0 부터 1 사이의값을가지게된다. CWSS 의영역별점수는다음과같은공식을이용하여계산한다. 점수 이공식은취약점의기본적인특성과관련된항목들의점수를 100점만점으로계산한다. 이공식에서사용되는 f(ti) 의값은가중치로만약 TI가 0으로평가된경우에는 0을, 그외의경우에는 1을값으로가진다. 이는어떤취약점의기술적영향도가 0으로평가된경우에는다른요소들의값에관계없이 Base Finding 부분점수가 0으로평가된다는것을의미한다. 본시범평가에서는 Base Finding 그룹에속한메트릭중에서 AP, AL, IC 항목이사용되지않았으며, 점수계산시이항목들은 1로처리하였다. 점수 이공식은공격유형및난이도와관련된항목들의점수를 100점만점으로계산하여다시 0부터 1사이의값으로정규화하는데사용된다. 본시범평가에서는 Attack Surface 그룹에속한메트릭중에서 RL, AS, AI 항목이사용되지않았으며, 점수계산시이항목들은 1로처리하였다. 점수 이공식은환경적영향과관련된항목들의점수를 20 점만점으로계산

225 하여다시 0부터 1사이의값으로정규화하는데사용된다. 이공식에서사용되는 f(bi) 의값은가중치로만약 BI가 0으로평가된경우에는 0을, 그외의경우에는 1을값으로가진다. 이는어떤취약점의산업적영향도가 0으로평가된경우에는다른요소들의값에관계없이 Environmental 부분점수가 0으로평가된다는것을의미한다. 본시범평가에서는 Environmental 그룹에속한메트릭중에서 DI 항목이사용되지않았으며, 점수계산시이항목은 1로처리하였다. 평가결과분석 본절에서는 [ 표 4-3] 에명시된국내취약점에대한 CWSS 시범평가결과를 CWSS에서사용하는대분류에따라기술적인영향, 공격방식의유형, 환경적인영향으로나누어분석해본다. [ 표 4-4] 는각보안취약점의평가영역별점수를보여주고있다. 표 평가영역별부분점수 Base Finding Attack Surface Environmental Score

226 Base Finding Attack Surface Environmental Score 가 기술적인영향 보안취약점들이공격에이용되었을때희생자시스템에미치는영향

227 의심각성과약점보고의정확도를반영하는평가영역이다. 평가결과를분석해보면시범평가에사용된국내보안취약점들은버퍼넘침오류를이용한임의코드실행이가장보편적인방식으로사용되고있음을보여주고있다. 이는 CWSS에서매우심각한것으로분류하고있는취약점으로결과적으로 Base Finding 부분점수가대부분비슷한수준을보이고있는것을알수있다. 그외에패스워드의평문저장 (12-084) 이나서비스거부공격 (12-016) 등의공격은 Base Finding 부분점수가상대적으로낮게평가되었다. [ 표 4-5] 는시범평가에사용된국내보안취약점을기술적인영향분류의평가점수에따라서정렬한결과를보여주고있다. 표 기술적인 영향 평가결과 점수순 번호 영역 점수 최종 점수

228

229 나 공격방식의유형 보안취약점을이용한공격의발견난이도와성공난이도를평가하는항목으로간단한쿼리만으로공격이가능한취약점들 (12-016, , ) 이상대적으로높은 Attack Surface 부분점수를보이고있다. [ 표 4-6] 은시범평가에사용된국내보안취약점을공격방식의유형분류의평가점수에따라서정렬한결과를보여주고있다. 표 공격유형 평가결과 점수순 번호 영역 점수 최종 점수

230

231 다 환경적인영향 환경적인영향영역은보안취약점을가진시스템이전체시스템환경에미치는영향을평가하고, 동시에보안취약점의심각성에영향을미치는환경적인조건을평가하는항목이다. 평가결과를분석해보면시범평가에사용된국내보안취약점들중에서사용자가많은 PHP 스크립트언어나아래한글, Adobe Flash Player 등이환경적인영향영역점수에서상대적으로높게평가된것을알수있다. 이에비하여사용자가제한적인소프트웨어 ( 그누보드, 초코플레이어등 ) 는낮은환경적인영향도를보이고있다. 또한보안취약점 의경우에는사용자가매우많은 Adobe reader의약점에도불구하고실제로해당보안취약점을공격에이용할수있는방법이현재까지는보고되지않은경우로 BI가 0으로평가되었고, 결과적으로환경적인영향영역점수역시 0으로평가되었다. 또한아래한글과관련된보안취약점중에서 와 의경우에는 ASRL(Address Space Layout Randomization) 기법을이용하여부분적인방어가가능하여환경적인영향영역점수가상대적으로낮게평가되었으며, 그결과가보안취약점최종점수에도영향을준것을알수있다. [ 표 4-7] 은시범평가에사용된국내보안취약점을환경적인영향분류의평가점수에따라서정렬한결과를보여주고있다

232 표 환경적인 영향 평가결과 점수순 번호 영역 점수 최종 점수

233

234 제 장소프트웨어대상신규취약점평가방법 연구 제 절서론 본절에서는신규취약점보고의중요도및보안취약점자체의중요 도평가를위한평가체계연구내용을기술한다. 평가체계의개발을 수행함에있어다음과같은방법론을설정하고연구를진행하였다. 취약점발굴포상을위한평가를위한중요도점수 이하취약점발굴점수 및취약점데이터베이스구축을위한중요도점수 이하취약점 점수 의계산방법을목적에부합하도록각각개발한다 평가척도간의중복성및의존성을최대한배제한다 이를위하여주요평가요소를우선설정하고각요소별평가척도를설정한다 평가의객관성및용이성을고려하여객관적기준을제시하고 과다한평가척도의사용을지양한다 이를위하여기존의평가척도에대한분석과시범평가에대한 차적인분석결과에기반하여본평가방법의목적에부합하는개선된평가방법을개발하고자하였다 또한 기존에사용되고있는취약점포상제를위한평가방법을분석하여 새로운평가방법개발에반영하였다 본장에서는평가척도의선정까지의작업과결정과정에대하여기술하고 이러한평가척도에대한점수부여방법및최종점수도출방법을설명한다 또한한국인터넷진흥원에서제공한 개취약점보고사례에대하여본연구에서개발한취약점평가방법을사용한시범평가결과를제시한다

235 제 절기존보안취약점및보안약점평가방법개요 기존평가방법론의특징분석 본절에서는 및기존의인터넷진흥원에서사용하고있는취약점발굴포상제평가방법의특징을기술한다 는보안취약점을위한평가척도로서 이미알려진보안취약점에대하여그심각성을평가함으로써이에대한적절한대응을수행하도록하기위해제안되었다 나 등의취약점데이터베이스에서 에기반한평가결과를제공하고있으며 취약점평가결과로서가장널리사용되고있다 기존의데이터베이스에서는시점에의존적인척도 와환경에의존적인척도 가시점및환경에따라가변적이기때문에기본척도 를중심으로평가결과를제시하고있다 본연구의주요목표인취약점발굴포상과관련하여 의척도들은취약점의자체의심각성만을평가하고있어본연구가대상으로하는취약점발굴포상을위한평가와는목적의차이가있는것으로판단된다 는보안약점을위한평가척도로서특정소프트웨어의보안약점뿐아니라일반적인보안약점의심각성을평가하기위하여개발되었다 따라서이미취약점이나타나지않은새로발견된보안약점에대한평가도대상으로하고있는것이특징이다 는최근 의개발에도사용된바있으나 아직계속갱신중에있으며평가척도에대한객관적기준의제시가아직완전하지않은것으로판단되었다 또한 는일반적인약점에대한평가기준이므로 본연구에서목표로하는새로발견된특정취약점보고의평가와는평가대상에대한차이점이있는것으로판단된다 그러나 는 와비교하여좀더최근에개발된평가척도로서좀더다양한평가척도를제시하고있다는장점을가지고있다

236 취약점발굴포상제의경우 현실적으로심각하다고느끼는시스템및소프트웨어에대한취약점에대하여좀더높은점수를줄수있도록평가척도가구성되어있다 따라서평가척도가하나의요소만을평가하는것이아니라복합적인성격을가지고있으며 일부척도에대한추가반영역시평가척도가복합적인요소를가지는데영향을주고있다 이러한방법은실제느끼는심각성에부합되는결과를얻는데용이한방법이되나 평가기준의객관성을확보하는데에는상대적으로어려움이있는것으로판단된다 제 절평가척도의설정 평가요소의설정 기존의평가방법론들을분석한결과 와 의경우포상을위한취약성평가에적절하지않은척도와필요하나누락된척도가존재하는것으로분석되었다 기존의취약점포상제도를위한평가방법의경우척도가복합적인성격을가지고있고기존의 및 와비교하여누락된요소가존재하는것으로판단되었다 이에대하여본절에서는일차적으로취약점평가를위한주요고려요소를설정하고이에기반하여필요한평가척도를도출하는 단계의평가방법을사용하기로하였다 이를위하여본연구에서는다음과같은 개의평가요소를설정하였다 출현도 해당취약성이얼마나많은시스템에서발견될수있는지여부를평가한다 출현도에는해당취약성을가진소프트웨어의사용정도나 해당소프트웨어에서취약점을가진버전이나설치형태의비중등이영향을주게된다

237 시스템중요도 해당취약성으로인한침해의결과가얼마나심각한지여부를판정한다 같은취약성이라도시스템의종류에따라그파급효과가달라지며 예 원자력발전소제어시스템등 또한해당시스템의용도를고려하여일반적인운용환경에서해당침해로인하여해당조직에미치는피해의정도를예상하여판정한다 일반적으로범용의소프트웨어일경우이부분의판정이어려우나이에대한판단이가능할경우이를적극반영할필요가있다 기술적영향 해당취약성으로인해발생할수있는침해의종류에기반하여해당취약성의심각성을판정한다 일반적으로원격코드또는공격코드의실행이다양한 차적인피해를야기하므로가장심각한것으로간주된다 공격난이도 해당취약성을공격자가활용하여시스템을침해하는작업의대한기술적 절차적어려움및성공가능성을평가한다 대응난이도 해당취약성에대한대응방법의난이도를평가한다 발굴수준 취약점발굴작업의수준을종합적으로평가하기위한요소로서 등의평가방법에는포함되지않은평가요소이며취약점발굴의포상과관련하여설정된평가요소이다 취약점발굴작업의난이도수준과관련내용을문서화등발굴작업전반에대한수준을평가한다 평가척도의선정 취약점및취약점보고의중요도를평가하기위해서는평가요소별로필요한평가척도를설정하여각요소에대한평가를수행하여야한다. 이를위하여기존의평가척도를각요소별로분류하여적절한평가척도를도출하고자하였다. 평가척도의설정에있어서주요고려사항은다음과같다

238 표 평가요소별척도 평가요소 CWSS CVSS 취약점발굴 포상제 출현도 출현빈도 (P) 배포범위 (SC) 대상분포 (TD) 사용자규모 부수적피해 시스템중요도 비즈니스영향 (BI) 잠재성 (CDP) 보안요구 (SR) 사용자규모 ( 일부 ) : IR, CR, AR 기술적영향 (TI) 기밀성영향 (C) 기술적영향 권한의획득 (AP) 무결성영향 (I) 공격방법 권한의수준 (AL) 가용성영향 (A) 발견가능성 (DI) 공격난이도 침해가능성 (EX) 접근벡터 (AV) 권한요구도 (RP) 권한요구수준 (RL) 접근벡터 (AV) 접근복잡도 (AC) 인증 (Au) 공격가능성 (EX) 사용자규모 ( 일부 ) 상호작용정도 (LI) 수정난이도 (RE) 대응난이도 내부제어의효과 (IC) 치료수준 (RL) 외부제어의 효과 (EC) 발굴수준 발견의신뢰도 (FC) 보고의신뢰성 (RC) 기술난이도 문서완성도

239 각평가요소를모두평가할수있도록평가척도를설정하되 평가의용이성을위하여과다한척도설정을지양한다 평가척도간의중복성또는의존성이발생하지않도록독립적인척도를설정한다 평가척도별로객관적인기준을제시할수있는척도를설정한다 표 은평가척도의설정을위하여평가요소별로기존의평가방법론들의평가요소들을분류한것을나타낸다 전반적으로 가다양한평가척도를사용하고있으며 취약점발굴포상제의기준이가장간략한데이는평가의용이성을위한것으로판단된다 취약점포상제의경우에는각평가척도가여러평가요소를포괄적으로평가하고있는것으로판단되며 이는주요소프트웨어에대하여중점을두는결과를가져오는것으로판단되었다 각각의평가요소별로평가방법론들의척도들을비교하여다음과같이각요소의평가척도를도출하였다 출현도 세평가척도모두취약점의출현빈도를평가기준에포함하고있으나 의경우에는환경적요소로서특정환경을고려한영향을평가하고있으며 포상제의평가방법의경우다른요소 접근벡터 환경에대한의존성 피해의심각성등 를복합적으로평가하고있다 는출현빈도에추가로취약점을가진소프트웨어가실제로취약한형태로설치되는경우의비율을함께평가하고있다 취약점포상발굴제의경우에도 사용자규모의평가시에환경설정이특별한경우의취약점의점수를낮춤으로써 와관련된요소를반영하고있다 이러한요소는평가에모두중요한것으로판단되어 본연구의평가방법에서는소프트웨어의파급분포와실제취약한형태로설치 사용되는비율을나타내는대상분포를출현도의평가척도로사용하기로하였다

240 시스템중요도 의방법론의경우취약성평가에있어서실제 등의각보안요소에대한중요도는실제반영이쉽지않으며 대부분환경에의존적인경우이기때문에설득력있는기준의설정이어려운것이사실이다 또한 비지니스영향 의경우도특정환경에의존적이기때문에일반적인평가가어렵다 그러나주로설치되는시스템의일반적인형태와 해당응용의주된사용용도및취약점의파급피해를고려하여 침해로인한피해의심각성을반영하는것은필수적이므로비즈니스영향을단일평가기준으로선택하여이러한요소를반영하도록하였다 기술적영향 는보안요소세분야에대한영향을기준으로기술적영향을평가하나 실제로는침해로인하여나타나는 차적인피해를반영하지않기때문에침해의심각성을적절히평가하지못하고있다 의경우에는실제문서상으로객관적인평가기준을제시하고있지못하고있다 포상제의평가기준의경우다양한침해방법을설정하고해당하는침해방법들을합산하여점수를설정하고있으나 방법간의중복이존재할수있다는점이수정요소로판단되며 일반적인형태와개별예시가혼재하는형태이다 이에대하여본연구에서는포상제평가방법과같이침해방법의합산으로평가하는방법을취하되 침해방법을선정함에있어 에서제공하는다양한침해방법을도입하여각평가요소를합산하는방법을사용하여평가하고자하였다 침해로인한권한의획득과관련해서는각기존취약성사례에대한평가에있어큰차이가없는것으로판단되어기술적영향척도만반영하는것으로하였다 공격난이도 공격자가침해를성공하는데필요한권한 난이도 노력등을평가하는척도로서 에서좀더다양한척도로평가하고있어이를기반으로척도를선정하고자하였다 제시된척도중발견가능성 의경우일반적인약점을기준으로해당약점을가진취약점이발견될확률을평가하는것이기때문에이미보고된

241 취약점을평가하는것에는적당하지않은것으로판단되어제외하였으며 권한요구수준 의경우권한요구도와상호의존성이있으며 취약점평가의경우변별력이크지않을것으로판단되어제외하였다 또한침해의가능성에대한척도를새로설정하는데있어 의보고의신뢰도척도 의요소를일부반영하였다 대응난이도 가더다양한척도를제시하고있으며 두방법론에서제공하고있는네가지척도가모두상이하다 내부제어의효과의경우에는 내부적인코드수정의난이도를평가하는것이포상제의의의에부합하지않고 실제대부분의취약점이적절히수정이가능한경우이기때문에척도에서제외하였다 또한 척도를간략화하기위하여 의치료수준은 의수정의난이도와합하여하나의척도로제시하였고 외부제어의효과역시척도로선택하여 개의척도를사용하였다 발굴수준 이척도는취약점의포상과관련된척도이다 본연구에서는기존취약점포상제의평가척도를반영하여발굴난이도척도를추가하였고 관련보고서등의완성도를포상의근거자료로활용하기위하여문서완성도를척도로채택하였다 발굴난이도의경우발굴작업의특성상기준자체는공격난이도와비슷할수있으며 평가척도에대한점수는반대의성격을가진다 공격난이도는이미취약점이알려진상황에서의공격의난이도를평가하며 발굴난이도는해당취약점이알려지지않은상황에서해당취약점을찾아내기위한난이도를평가한다는차이가있다 표 는최종선정된요소별평가척도를요약하여나타낸다 평가척도별의미및기준 본절에서는각본연구의평가방법에서선정한평가척도각각에대한

242 설명과등급별평가기준을설명한다 표 취약점평가를위한평가척도의설정 평가요소출현도시스템중요도기술적영향공격난이도대응난이도발굴수준 관련설정척도파급범위, 대상분포피해의심각성침해형태접근벡터, 권한요구도, 상호작용정도, 침해가능성교정난이도, 외부제어의효과발굴난이도문서완성도 파급범위 개요 이평가기준은해당보안취약점이발견되는소프트웨어나 플랫폼의보급정도를평가한다 평가방법 보급률이높고사용자가많은소프트웨어나플랫폼에서발견되는보안취약점일수록높은값을가진다 좀더객관적인기준을제시하기위하여해당소프트웨어의종류와보급도를복합적으로평가하여평가하도록하였다 등급별기준 의 가지단계로평가하며 각등급은취약점을가진소프트 웨어의성격에따라다음과같이소프트웨어의종류와보급도를기

243 준으로부여된다 종류 보급도 대표적인경우 일반적으로알려진경우 잘알려지지않은경우 OS W W H 기반시설 ( 라우터등 ) 관련운영및서버 SW, 시스템소프트웨어웹사이트 ( 포털, 은행등 ) 및웹사이트관련보안프로그램필수응용프로그램 ( 워드프로세서, 메신저, 플래쉬, pdf 뷰어등 ) 보안관련프로그램 W H C W H L H C L 일반응용프로그램또는앱 C L L 공개프로그램 C L R 개별시스템제어페이지 L L R 부여된등급에대한등급별점수는다음과같다. 등급 점수

244 대상분포 개요 취약점을가진소프트웨어중실제로해당보안취약점에의 하여침해가가능하도록설치된소프트웨어의비율을평가한다 평가방법 주어진보안취약점이만약모든배포가능한버전에존재하는지 아니면특정한플랫폼이나설정에서만발생하는지를평가한다 보안취약점이발견되는범위가넓고일반적일수록높은점수로평가한다 등급별기준 등급코드점수평가기준 All A 1 해당보안취약점이모든플랫폼과설정에존재하 는경우이다. Moderate M 0.9 해당보안취약점이일반적인플랫폼과일반적으로 인스톨되는설정에존재하는경우이다. Rare R 0.6 해당보안취약점이사용빈도가낮은플랫폼이나 설정에존재하는경우이다. Default D 0.8 해당보안취약점으로인한침해가능성이해당소 프트웨어가설치된시스템의특성에따라다양할 경우에중간값을부여한다. 피해의심각성

245 개요 이평가척도는취약점을이용한공격이성공하였을때비즈니스혹은임무에미치게되는잠재적인영향을평가한다 또한해당소프트웨어의주요용도를판단하여 해당취약성으로인한결과가공공의안전등에심각한영향을주는지여부를복합적으로판단한다 평가방법 취약점을이용한공격으로발생가능한비즈니스 임무의운영에대한피해의정도에따라아래표와같이비즈니스영향의정도를등급으로정한다 그러나실제적으로침해의피해정도는특정시스템의사용목적및운용환경에의존적이므로 일반적인우리나라에서의평균적인환경을고려하여영향도를평가한다 또한해당소프트웨어가공공의안전등에영향을미칠경우해당점수에대한가산점을부여한다 등급별기준 등급코드점수평가기준비고 Critical C 0.7 High H 0.5 Midium M 0.3 Low L 0.1 None N 0 비즈니스 / 임무가완전히실패할수있다. 비즈니스 / 임무의운용이크게영향받을수있다. 비즈니스 / 임무의운용이크게영향받을수있으나정상적인운용에대규모의피해는없다. 비즈니스 / 임무에최소한의영향이있다. 비즈니스 / 임무에최소한의영향이없다. 안전및중요공공서비스, 금융등에직접적연관성이있을경우한등급상향조정한다

246 침해형태 개요 해당보안취약점을이용한공격으로침해당했을경우 공격 성공으로인한기술적인침해형태의다양성을평가한다 평가방법 에서명시하고있는약점에대한일반적인결과 항목의 가지기술적영향 내용을사용하여해당하는점수를합산한후 이를기준으로등급을부여한다 이때관련성이란해당약점으로인한직접적인결과를의미하며 간접적인침해는제외하는것을원칙으로하나 간접적인침해의사례가많을경우에는이를포함시킬수있다 각침해형태에대한평가점수는전적인침해인지해당계정이나관련파일등의부분적인침해인지에따라구분하여점수를부여하며 가지항목중 와 은중복될수있는요소이므로하나로병합하여평가한다 전체적인평가항목과각항목에대하여부여하는점수는다음과같다 Technical Impact 항목전적침해부분적 침해 관련없음 Modify data Read data DoS: unreliable execution DoS: resource consumption Execute unauthorized code or commands

247 Technical Impact 항목전적침해부분적 Gain privileges / assume identity, Bypass protection mechanism 침해 관련없음 Hide activities 등급별기준 등급 코드 점수 평가기준 Critical C 1 6점이상 High H 0.9 4점 ~5점 Medium M 0.8 2점 ~3점 Low L 0.7 1점 None N 0 0점 접근벡터 개요 이평가척도는취약점을이용하여침해를수행하는통로와 관련된평가척도로서 원격의접근을통하여침해가가능할수록높 은점수를부여한다 평가방법 제시된취약점의공격방법예시를참고하여 침해를위하여주로사용되는접근방법을판단한다 복수의방법이가능할경우에는가장점수가높은등급을선택한다 는내부의네트워크접속에대하여 의세분화된분류를제공하고있으나 평가의용이성을위하여이세등급을 로통합하였다

248 등급별기준 등급코드점수평가기준 Internet I 1 Adjacent Network A 0.9 Local L 0.8 Physical P 0.7 일반적인인터넷을통하여취약점을침해할수있다. 방화벽등으로차단된사업체의인트라넷이나, 신뢰되는그룹만이접근할수있는개별네트워크또는물리적으로연결된 local IP 서브넷, 블루투스, IEEE , 지역이더넷세그먼트등의인터페이스를통한접근이필요하다. 쉘계정과같이운영체제에대하여직접명령어를수행하는접근이필요하다. 시스템에대하여 USB, 키보드, CD, 마우스등을사용한직접적인물리적접근이있어야침해가가능한경우이다. Default D 0.85 평가할수없는경우중간값을부여한다. 권한요구도 개요 공격자가취약점에대한공격을수행하기위하여필요한접 근권한을평가한다 평가방법 제시된취약점의공격방법예시를참고하여 침해를위 하여필요한권한을판단한다 등급별기준

249 등급코드점수평가기준 None N 1 Guest G 0.9 Regular User R 0.8 취약점을가진코드에접근하기위하여아무권한도필요하지않음경우를말한다. 일반적으로공개되어있는웹페이지를위한웹응용프로그램에서발생되는보안취약점이나이메일등을통한공격은 None으로평가한다. 특정한관리자의허락을요구하지않고, 불특정다수에게허용되는회원가입등을통하여접근할수있는프로그램코드의경우에해당된다. 특별한관리자권한이없는정규사용자권한을필요로하는경우를말한다. Administrator A 0.7 Default D 0.85 해당소프트웨어와운영체제전체에대한접근권한을가진시스템관리자권한이필요한경우를말한다. 해당취약점에대한공격이시스템의환경에따라다양한권한을요구하는경우 Default 등급으로하며, 점수는 Guest와 Regular User의중간값을부여한다. 상호작용정도 개요 취약점을공격하는데필요한피공격자의협조적인행동의요 구수준을평가한다 평가방법 해당취약점에대한보고서의공격방법사례를참조하 거나 의공격패턴등을참고하여해당공격이성공하기위 하여희생자가수행해야하는협조적인동작의수준을평가한다 시

250 스템의환경에따라여러기준에모두해당하는경우해당값들의 중간 값을부여한다 등급별기준 등급코드점수평가기준 Automated A 1 희생자측의협조적인행동이필요없다. Limited/Typical L 0.9 Moderate M 0.8 High H 0.7 희생자의일반적인행동 ( 이메일열람, 웹페이지접근 ) 이동반되어야침해가가능하다. 희생자가경고메시지를무시하는것과같은어느정도위험할수있는작업을수행하여야해당보안약점에대한공격이이루어진다. 희생자가잘못된행동을하도록희생자에대한직접적인접근을포함한복잡한사회적작업을수행하여야한다. 침해가능성 개요 보안취약점을가진시스템에대하여필요한공격에필요한권한과접근및희생자의협조적인행동을획득한공격자가실제로침해에성공하여피해를입힐가능성을기법의난이도및취약점의성격 실제적인피해의발생가능성등을반영하여평가한다 평가방법 취약점보고서의공격예시를반영하여 공격의난이도 와성공가능성을판단한다 시스템의특성에따라다양하게분포되 어있을경우 값을부여한다 단 본평가는취약점자체및

251 공격시도과정의기술적난이도의특성에만기반하며 특정소프트 웨어설정에대한의존성 접근권한의획득 접근벡터 사용자와의 상호작용요구정도등의특성은무시한다 등급별기준 등급코드점수평가기준 High H 1 Medium M 0.9 Low L 0.8 Very Low VL 0.7 None N 0 해당하는약점에대한표준적인공격기법이존재하거나해당소프트웨어의취약점에해당하는공격방법이알려져있으며, 다른요소 ( 희생자협조등 ) 가동반될경우보안침해의발생가능성이높다. 해당소프트웨어의취약점에해당하는공격방법이개발이실제적으로가능하며, 다른요소 ( 희생자협조등 ) 가동반될경우보안침해의발생가능성이높다. 해당소프트웨어의취약점에해당하는공격방법이개발이실제적으로어렵거나, 다른요소 ( 희생자협조등 ) 가동반된다하여도보안침해의발생가능성이낮은경우이다. 해당소프트웨어의취약점에해당하는공격방법이개발이실제적으로어려우며, 다른요소 ( 희생자협조등 ) 가동반된다하여도보안침해의발생가능성이낮은경우이다. 해당취약점에대한공격으로인한보안침해가발생할가능성이없을경우이다

252 교정난이도 개요 취약점을제거하는데필요한난이도를평가하며 이는코드 수정의난이도와함께공식적인패치의존재여부및패치적용의 난이도도함께평가한다 평가방법 해당취약점에대한보고서의공격방법사례와관련취약점방어기술의동향을참고하여 취약점방어의난이도를아래기준에따라평가한다 소스코드의미확보와취약점특성으로인하여난이도를평가할수없을경우에는중간값을점수로부여한다 등급별기준 등급코드점수평가기준 Extensive E 1 Moderate M 0.9 Limited L 0.8 공식적인패치는존재하지않으며, 교정을위하여설계와전체시스템구조의수정과같은전체적인수정이필요하여상당한작업과시간이필요하다. 소스파일의복수개의모듈수정과같은중간정도의수정이필요하며, 설계와구조에대한수정은필요없다. 또는, 공식적인패치가존재하나, 해당패치를적용하기위해서는관련시스템이일정기간중단되어야하는등전체서비스에지장을초래할수있다. 한모듈내의적은수의라인의코드에대한수정을요구하며, 일정한수준의노력과시간이필요하다. 또는공식적인패치가존재하며, 관련시스템서비스의운영에대한어려움없이패치의적용이가능하다

253 등급코드점수평가기준 Default D 0.9 소스코드의미확보와취약점특성등으로인하여 필요한난이도를평가할수없을경우중간값 (Modearte) 과동일한점수를부여한다. 외부제어의효과 개요 소프트웨어외부의추가적인시스템을통하여해당취약점을 제어하는방법의효과를평가한다 평가방법 아래등급별기준에따라외부제어의효과를평가한다 제어의효과가높을수록취약점의심각성점수는낮게평가된다 여 러등급에해당할때에는심각성이가장높은경우를선택한다 등급별기준 등급코드점수평가기준 None N 1 외부적으로제어할수있는방법이없다. Limited L 0.9 Moderate M 0.8 간단한방법이나, 부분적인제한만이가능하며, 초보적인공격에대해서만방어가가능하다. 일반적으로사용되는방어방법이존재하나, 지식을가진공격자에의하여필요한노력이동반될경우침해될수있다

254 등급코드점수평가기준 Indirect I 0.7 Best Available B 0.6 Complete C 0.4 Default D 0 해당침해를전적으로방어하지는못하나, 공격의피해를줄이는방법이존재한다. 예를들어 ASLR 방법은잘못된코드의수행은막을수있으나프로그램의중단되는결과는감수하여야한다. 적용가능한방어방법이존재하나, 숙련된공격자가다른취약점을함께사용하여공격할경우침해가발생할수있는가능성이존재한다. 약점에대하여전적으로효과적인방법이존재한다. 예를들어 sandbox 방법을통하여파일접근을제어할수있다. 취약점에대하여다양한후보대응방법이존재하나그효과가명확하지않을경우에중간값을부여한다. 발굴난이도 개요 취약점발굴포상을위하여채택한특징적인척도로서취약점을발굴에필요한노력및난이도를직접적으로평가한다 발굴의난이도는공격의난이도와대칭적인관계로서 이미알려져있는취약점일경우에는발굴의난이도가공격난이도에연계된다고할수있다 일반적으로발굴난이도가높을수록공격난이도도높아지는경향이있으며 부여되는점수는반대의성격을가지게된다 평가방법 기존에알려지지않은방식의취약점이고 발굴의난이 도가높을수록높은점수를부여한다

255 등급별기준 등급코드점수평가기준 Very High VH 1 High H 0.9 Midium M 0.7 Low L 0.6 기존에알려지지않은방식의취약점으로발굴난이도높음기존에알려지지않은방식의취약점이나발굴난이도낮음기존에알려진방식의취약점으로이를활용하기위한발굴난이도높음기존에알려진방식의취약점으로발굴난이도낮음 문서완성도 개요 해당보안취약점에대한보고서의완성도와신뢰성을평가 한다 평가방법 보고된보안취약점의진위여부와보고의충실도를평가한다 실제로보안취약점이공격자가이용할수있는형태로존재하며 동작환경에대한설명이구체적일수록높은점수를부여한다 등급별기준 등급코드점수평가기준 High H 1 해당보안취약점에대한침해방법이재현할 수있는형태로명확히제시되어있으며, 동작환 경등에대한설명이존재하는경우이다

256 등급코드점수평가기준 Medium M 0.8 Low L 0.6 Very Low VL 0.4 해당보안취약점에대한침해방법이재현할수있는형태로명확히제시되어있으나, 동작환경등에대한설명이존재하지하는경우이다. 해당보안취약점에대한침해방법이일정수준설명되어있으며, 동작환경등에대한설명이존재하는경우이다. 취약점에대한침해방법의설명이미흡하거나, 동작환경등에대한설명의부재로인하여침해의재현이어려울것으로판단되는경우이다. 제 절중요도점수의산정 본절에서는중요도의점수산정을위한공식을제시한다. 전체중요도점수는신규취약점발굴포상을위한점수인취약점발굴점수와보안취약점 DB 구축등을위해서사용될수있는취약점 DB 점수의두가지산출방법을제시한다. 본연구에서제시한 12개의취약점평가척도는취약점포상제의평가와일반적인취약점중요도평가모두에사용될수있는취약점평가의전반적인부분을모두포함하고자하였다. 따라서취약점포상제와일반적인취약점데이터베이스구축의두가지목적에따라서적절한평가요소를선택적으로사용하는것이바람직한것으로판단된다. [ 표 5-3] 은본연구에서설정된평가요소에대하여신규취약점발굴포상과취약점 DB 구축시의중요도점수부여의목적에따른적용평가요소를나타낸것이다. 취약점발굴점수의경우에는해당취약점의대응은시스템개발자나사용자가수행하여야하는부분이므로해당항목

257 표 목적에따른평가요소의반영 평가요소관련설정척도취약점발굴포상취약점 구축 출현도 파급범위 대상분포 O O 시스템중요도피해의심각성 O O 기술적영향침해형태 O O 접근벡터 공격난이도 권한요구도 상호작용정도 O O 침해가능성 대응난이도 교정난이도 외부제어의효과 X O 발굴수준 발굴난이도문서완성도 O X 을평가에서제외하였으며취약점 DB 점수는취약점발굴수준관련척도의경우발굴자의보고의신뢰성및노력을평가하기위한것이므로해당요소를평가에서제외하였다. 이러한점을반영하여목적에따라설정한목적별중요도점수는다음과같다. 취약점발굴점수 취약점점수 발굴수준점수 취약점 점수 취약점점수 대응난이도점수 위에서제시하는바와같이취약점발굴점수의경우발굴의수준을 점수화한발굴수준점수가반영되며, 취약점 DB 점수의경우에는대응 난이도점수가대신하여포함된다. 취약점점수와발굴수준점수, 대응

258 난이도점수는 0~1 의범위를가지며, 총점은 10 점만점으로계산된다. 취약점점수, 발굴수준점수, 대응난이도점수의산출방법은다음과 같다. 취약점점수 영향도점수 출현도점수 공격난이도점수 w 영향도점수 = 침해형태 + (1-침해형태 ) * 피해의심각성 ( 침해형태가 0이아닌경우 ) 0 ( 침해형태가 0인경우 ) w 출현도점수 = 파급범위 * 대상분포 * 0.2 w 공격난이도점수 = ( 접근벡터 + 권한요구도 + 상호작용정도 ) * 침해가능성 / 3 발굴수준점수 발굴난이도 문서완성도 대응난이도점수 교정난이도 외부제어의효과 영향도점수에있어서기술적영향척도의점수가기본적으로사용되며, 피해의심각성은부수적으로반영되어기술적영향이다양하지않더라도피해의심각성이크면점수가 1에가까워진다. 출현도에있어서는기존취약점보상제와마찬가지로파급범위에중점을두어점수를부여하게된다. 공격난이도의경우에는공격의방해및필요요소와관련된세가지척도의산술평균에해당공격으로인한침해의발생가능성을곱하여계산함으로써, 공격으로인한실제침해가없을경우에이를전체적으로반영할수있도록하였다. 또한, 발굴수준, 대응난이도점수는관련척도의평균을사용하도록하였다

259 참고문헌 안준선 방지호 이은영 소프트웨어보안약점의중요도에대한정량평가기준연구 정보보호학회논문지 권 호 년

260 제 장결론 본연구에서는 SW 취약점발굴포상및 SW 취약점 DB 구축사업에 활용될수있는보안취약점정량평가방법의개발을목표로한다. 이 를위하여다음과같은연구를계획에따라진행하였다. 국 내외보안취약점평가체계및적용관련동향조사 국외취약점및보안약점평가방법인 와 에대한조사를수행하고 시범평가를위한기준수립등의작업을수행하였다 또한관련취약점 인 등에대한조사를수행하여해당 에서의보안취약점적용사례를조사하였다 아울러국내외의취약점포상사례를조사하였고 주요민간업체의적용사례및관련표준화사례를조사하였다 또한인터넷진흥원의추가적인요청에의하여중국에서구축되고있는 보안취약점데이터베이스구축사례에대하여조사를수행하였다 소프트웨어대상신규보안취약점평가방법연구 취약점을평가하는데있어서해당보안취약점의파급도및위험도를반영한취약점평가방법을개발하기위하여보안취약점의심각성에대한 개평가요소를설정하고관련 개평가척도를제시하였다 또한이러한평가척도에기반하여취약점발굴포상과취약점 구축에사용하기위한정량적인중요도산출공식을각각제시하였다 보안취약점평가체계시범적용 와 평가척도를활용하여 에서제공한 개보안취약점발굴사례에대한시범평가를수행하였다 또한 에서새로개발된취약점평가방법에기반하여 가지목적을위한중요도정량시범평가를수행하였다

261 표 추진일정대비진척도 과제내용 국 내외보안취약점평가체계및적용관련동향조사 미 의 분석 미 의 분석 미 및 등보안취약점 분석 보안취약점관련국제표준화추진동향분석 주요민간업체의보안취약점평가방법분석 취약점포상사례를통한보안취약점평가방법적용사례분석 소프트웨어대상신규보안취약점평가방법연구 국내환경을고려한보안취약점파급도및위험도평가연구 소프트웨어대상신규보안취약점평가방법개발 보안취약점평가체계시범적용 국내 보안취약점대상 및 시범적용 연구개발된보안취약점평가방법시범적용 보고서작성및산출물제출 중간보고서작성 최종보고서작성 연구산출물제출 추진일정 월별 진척도 전체적으로추진일정에따라연구를진행하였고, 연구제안서의내용을충실히수행하였다. 연구를수행하는동안, 1차시범평가, 평가척도도출, 평가식도출, 시범평가완료의각각의단계에서인터넷진흥원과의 4차례의공식적인회의를통하여수시로연구결과를조율하였다

262 제안된보안취약점평가방법은다음과같은장점을가진다. 점수를부여함에있어서기존의보안취약점및보안약점평가방법에서사용하는평가방법의척도및기존인터넷진흥원에서이미사용하고있는포상제평가척도를모두고려하여 가장적합한척도를선택하여사용하였다 평가척도를구성함에있어 개필수평가범주를설정하고이에맞추어척도를선택함으로써균형있는분석이될수있도록하였다 국내실정에맞는적절한평가기준을수립하기위하여국내의파급도를반영할수있도록관련척도를적절히설계하였다 평가공식의설정에있어서 보안취약점의영향도 출현도 공격난이도의취약점특성과발굴의수준및대응난이도를독립적으로평가하고 그결과를기반으로목적에맞는평가방법을도출할수있도록하였다 이를통하여한가지특성에대한중복되는점수반영가능성을최소화하였다 제안된평가방법을사용하여인터넷진흥원에서제시한국내보안취약점사례 40건에대한시범평가를수행하고, 그결과를인터넷진흥원과공동으로점검하여평가척도및공식을재수정하는과정을거침으로써설득력있는평가가이루어질수있는보안취약점평가체계를도출하였다. 제시된취약점평가체계는모든척도에대하여객관적기준을적절한체계에의하여제시하였고, 중요도산출공식의도출에있어서도논리적인근거에기반한체계를제시였기때문에, 설득력을확보하면서도향후추가적인환경의변화또는요구조건의변화에도적절히대처하여갱신하는것도용이할것으로판단된다. 개발된보안취약점평가체계는현재인터넷진흥원에서진행하고있는보안취약점발굴포상제의포상근거로바로활용이가능할것으로판

263 단된다. 또한차후보안취약점에대한종합적인 DB 구축이추진될경 우주요제공정보인보안취약점중요도점수및근거를객관적으로제 공하는데사용할수있다

264 소프트웨어보안취약점평가체계연구 인쇄 : 2013 년 8 월발행 : 2013 년 8 월 발행인 : 이기주발행처 : 한국인터넷진흥원 (KISA, Korea Internet&Security Agency) 서울시송파구중대로 109 대동빌딩 Tel: (02) 인쇄처 : 카피랜드 Tel: (02) < 비매품 > 1. 본보고서는미래창조과학부의출연금으로수행한국가취약점대응체계구축사업의결과입니다. 2. 본보고서의내용을발표할때에는반드시한국인터넷진흥원국가취약점대응체계구축사업의결과임을밝혀야합니다. 3. 본보고서의판권은한국인터넷진흥원이소유하고있으며, 당진흥원의허가없이무단전재및복사를금합니다