KR20210083607A - 위험 분석을 위한 보안요소 지수화 시스템 및 방법 - Google Patents

Abstract

본 발명은 사용자에 의해 입력된 복합 보안시스템의 각 수집대상에 대한 로그포맷의 속성값으로 해당 수집대상에 대한 메타정보를 생성하고, 상기 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상으로부터 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하며, 각 수집대상별 수집로직 프로그램을 이용하여 각 수집대상으로부터 보안요소를 수집하고, 수집한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하며, 파싱된 데이터에서 지수화 항목에 대응된 팩트 데이터를 추출한 후 추출한 팩트 데이터에 대한 결과값을 산출하고 해당 지수화 항목에 따라 결과값을 점수로 환산하며, 해당 지수 항목에 대한 가중치를 산출하고 각 지수화 항목의 점수 및 가중치를 이용하여 복수의 지수화 대상 각각의 지수화값 및 종합 지수화값을 산출한다.

Description

위험 분석을 위한 보안요소 지수화 시스템 및 방법{SYSTEM AND METHOD FOR EXPONENTIATION OF SECURITY ELEMENT TO ANALYZE DANGER}

본 발명은 보안 위험을 종합적으로 분석하기 위한 시스템 및 방법에 관한 것으로, 보안위험을 분석하기 위하여 보안 장비(웹방화벽, 네트워크 방화벽 등)에서 발생하는 보안요소인 로그(log)와 보안솔루션(DLP, DRM, 백신, 접근제어, NAC 등)에서 발생하는 보안요소인 사용자의 보안 위배 행위 데이터(data)도 같이 수집하여 외부에서 침입하는 보안 위험은 물론 내부에서 발생하는 보안 위험을 분석하기 위한 보안요소 지수화 시스템 및 방법에 관한 것이다.

기업이나 기관 등에서는 다양한 종류의 보안 사고를 방지하기 위하여 복합 보안시스템을 도입하여 이용하고 있다. 일반적으로 복합 보안시스템(또는 통합 보안시스템)은 기업에서 내부 정보 유출 및 외부 침입을 방지하기 위하여 다양한 보안 솔루션을 도입하여 운영중인 서로 다른 종류 즉, 서로 다른 영역의 솔루션들이 결합해서 복합적으로 구성된 보안 체계의 시스템이다.

예컨대, 복합 보안시스템은 도 1과 같이 구성된다. 도 1은 종래의 실시 예에 따른 복합 보안시스템의 일 예를 보인 도면이다. 도 1을 참고하면, 종래의 실시 예에 따른 복합 보안시스템에 설치되는 보안 솔루션으로는 인터넷의 라우터측에 DDoS(분산 서비스 거부 공격), APT(Advanced Persistent Threats, 지능형 지속 위협) 등이 있고, 웹 서버측에 웹 방화벽이 있으며, DB(데이터베이스) 서버측에 DB 보안, 접근제어, 계정관리 등이 있고, 메일 서버측에 스팸 차단 솔루션이 있다. 또한 사용자 PC측에 백신, PC 취약성 파악, 정보유출방지 등이 있고, 복합기나 파일서버 측에 문서보안 솔루션이 있다.

복합 보안시스템으로는 대표적으로 ESM(Enterprise Security Management)과 SIEM(Security information and event management)이 있다.

ESM은 방화벽이나 침입탐지, 가상사설망 등의 보안 솔루션을 가지는 보안관리시스템으로, 보안 솔루션의 로그를 수집해 상호연관관계를 분석하여 주로 외부 네트워크로부터의 공격탐지에 중점을 두고 있다. 그리고 SEIM은 ESM과 상호보완적인 관계로 다양한 정보시스템에 대한 로그 관리 및 분석이 강화되고 빅데이터 기술이 접목되어 기존의 ESM이 담당했던 영역에 더하여 내부의 정보유출탐지 영역까지 담당한다.

그런데, ESM은 정보 시스템에서 탐지된 로그 정보 이외의 이상징후를 탐지하는 것이 불가능하고, 보안 사고 발상지인 사용자 PC나 서버 등의 엔드 포인트(end point)에 산재되어 있는 보안 침해 요소 분석이 불가능한 문제가 있다. 그리고, SIEM은 대용량 로그 수집 및 빅데이터 처리를 위한 하드웨어(H/W)가 필요하고 보안 위험 분석을 위한 전문 인력이 많이 필요하며, 빅데이터 처리로 인해 보안 위험 분석에 대한 최종 결과가 최소 며칠 이상 걸리는 문제가 있다.

한편 보안 위험은 보안 장비에서 파악되는 보안 위험과 더불어, 사용자의 보안 위배 행위에 따른 보안 위험이 있다. 예컨대, 사용자가 갑자기 많은 이메일을 특정 주소지로 보내는 행위, 짧은 시간에 많은 문서를 스캔하는 행위, 보안 문서에 대한 보안 해제 건수가 많거나, 미암화화된 주민번호를 짧은 시간내에 많이 보관하는 등의 행위는 보안에 관여된 행위이고 보안을 해치는 위배 행위라고 판단될 수 있다.

그러나 종래의 복합 보안시스템은 사람의 보안 위배 행위에 대한 감시를 파악하고 분석하고 있지 않다.

본 발명이 해결하고자 하는 과제는 보안 장비(웹방화벽, 네트워크 방화벽 등)에서 발생하는 보안요소인 로그(log)와 보안솔루션(DLP, DRM, 백신, 접근제어, NAC 등)에서 발생하는 보안요소인 사용자의 보안 위배 행위 데이터(data)를 지수화하여 보안 위험 여부를 파악할 수 있게 하는 위험 분석을 위한 보안요소 지수화 시스템 및 방법을 제공하는 것이다.

또한 보안 종류별 개인별 보안 등급을 파악하며 파악한 보안 등급에 따라 보안 정보를 지수화하여 관리자가 쉽게 개인별 보안 위험 여부를 파악할 수 있게 하는 위험 분석을 위한 보안요소 지수화 시스템 및 방법을 제공하는 것이다.

또한 본 발명이 해결하고자 하는 과제는 보안관련 전체 항목에 대한 지수화를 빠르게 처리하여 매일마다 각 개인별 보안 위험 여부 및 위험 항목을 파악할 수 있게 하는 위험 분석을 위한 보안요소 지수화 시스템 및 방법을 제공하는 것이다.

상기 과제 이외에도 구체적으로 언급되지 않은 다른 과제를 달성하는 데 본 발명에 따른 실시 예가 사용될 수 있다.

상기 과제를 해결하기 위한 본 발명의 실시 예에 따르면, 위험 분석을 위한 보안요소 지수화 시스템이 제공된다. 이 시스템은 사용자에 의해 입력된 복합 보안시스템의 각 수집대상에 대한 로그포맷의 속성값으로 해당 수집대상에 대한 메타정보를 생성하는 메타정보 생성부, 상기 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상으로부터 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하는 수집로직 생성부, 각 수집대상별 수집로직 프로그램을 이용하여 각 수집대상으로부터 보안요소를 수집하는 보안요소 수집부, 상기 보안요소 수집부에서 수집한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하는 분석및파싱부, 그리고 상기 분석및파싱부에 의해 파싱된 데이터에서 지수화 항목에 대응된 팩트 데이터를 추출하여 각 팩트 데이터에 대한 결과값을 산출하고, 각 지수화 항목에 대응한 결과값의 점수 및 가중치를 산출하며 점수 및 가중치를 이용하여 복수의 지수화 대상 각각의 지수화값 및 종합 지수화값을 산출하는 보안요소 지수화부를 포함하며, 상기 지수화 항목 각각은 사용자의 보안 위배 행위를 기반으로 한 보안에 관련된 항목이며, 상기 복수의 지수화 대상 중 하나에 관련되고, 복수의 항목성격 중 하나에 관련되며, 상기 복수의 항목성격 각각은 서로 다른 가중치가 부여되어 있다.

상기 보안요소 지수화부는 각 지수화 항목별 결과값에 대한 점수 등급을 이용하여, 해당 결과값이 점수 등급 중 어느 등급에 포함되는지에 따라 점수를 산출한다.

상기 과제를 해결하기 위한 본 발명의 실시 예에 따르면, 위험 분석을 위한 보안요소 지수화 방법이 제공된다. 이 방법은 사용자에 의해 입력된 복합 보안시스템의 각 수집대상에 대한 로그포맷의 속성값으로 해당 수집대상에 대한 메타정보를 생성하는 단계, 상기 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상으로부터 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하는 단계, 각 수집대상별 수집로직 프로그램을 이용하여 각 수집대상으로부터 보안요소를 수집하는 단계, 수집한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하는 단계, 파싱된 데이터에서 지수화 항목에 대응된 팩트 데이터를 추출하는 단계, 추출한 팩트 데이터에 대한 결과값을 산출하는 단계, 해당 지수화 항목에 따라 결과값을 점수로 환산하는 단계, 해당 지수 항목에 대한 가중치를 산출하는 단계, 그리고 각 지수화 항목의 점수 및 가중치를 이용하여 복수의 지수화 대상 각각의 지수화값 및 종합 지수화값을 산출하는 단계를 포함하며, 상기 지수화 항목 각각은 사용자 행위를 기반으로 한 보안에 관련된 항목이며, 상기 복수의 지수화 대상 중 하나에 관련되고, 복수의 항목성격 중 하나에 관련되며, 상기 복수의 항목성격 각각은 서로 다른 가중치가 부여되어 있다.

상기 점수로 환산하는 단계는 각 지수화 항목별 결과값에 대한 점수 등급을 이용하여, 해당 결과값이 점수 등급 중 어느 등급에 포함되는지에 따라 점수를 산출한다.

본 발명의 실시 예에 따르면, 단순히 로그 정보를 통해 파악하지 못하는 보안 위험을 사용자 행위를 기반으로 파악하여 각 사용자의 보안 위험 정도를 판단할 수 있게 한다.

또한 본 발명의 실시 예에 따르면, 개인별로 각 보안 항목 및 전체 보안 항목에 대한 보안 등급을 쉽게 파악할 수 있게 한다.

또한 본 발명의 실시 예에 따르면, 다양한 보안 항목에 대한 보안 위험 여부를 매일마다 또는 주기적으로 파악할 수 있게 한다.

도 1은 종래의 실시 예에 따른 복합 보안시스템의 일 예를 보인 도면이다.
도 2는 본 발명의 실시 예에 따른 보안로그 지수화 시스템의 블록 구성도이다.
도 3은 본 발명의 실시 예에 따른 위험 분석을 위한 보안로그 지수화 방법을 보인 순서도이다.
도 4는 본 발명의 실시 예에 따른 보안요소 지수화 시스템에서의 보안요소 지수화 대상을 보인 표이다.

아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시 예에 대해 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시 예에 한정되지 않는다. 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며 명세서 전체에서 동일 또는 유사한 구성요소에 대해서는 동일한 도면부호가 사용되었다. 또한, 널리 알려져 있는 공지기술의 경우 그 구체적인 설명은 생략한다.

본 명세서에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "…부", "모듈" 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.

이하에서는 첨부한 도면을 참조로 하여 본 발명의 실시 예에 따른 위험 분석을 위한 보안요소 지수화 시스템 및 방법을 설명한다.

우선 이하에 기재된 “보안요소”는 보안로그항목(도 4 참조)에 관련된 각종 데이터로서, 보안장비나 보안 솔루션에서 발생되는 로그 정보뿐만 아니라, 보안로그항목에 관련된 사용자 행위에 따른 보안 데이터를 포함한다. 예컨대, 보안요소는 보안 장비(웹방화벽, 네트워크 방화벽 등)에서 발생하는 로그(log)와 보안솔루션(DLP, DRM, 백신, 접근제어, NAC 등)에서 발생하는 사용자의 보안 위배 행위 데이터를 포함한다.

도 2는 본 발명의 실시 예에 따른 보안요소 지수화 시스템의 블록 구성도이다. 도 2를 참고하면, 본 발명의 실시 예에 따른 보안요소 지수화 시스템(100)은 사용자 입력부(110), 메타정보 생성부(120), 수집로직 생성부(130), 보안요소 수집부(140), 인터페이스부(150), 분석및파싱부(160), 보안요소 지수화부(170) 및 정책 DB(180)를 포함한다.

사용자 입력부(110)는 사용자에 의해 조작되어 사용자가 원하는 명령이나 정보를 입력할 수 있게 하고, 사용자가 입력한 명령이나 정보를 전기적 신호로 출력한다.

메타정보 생성부(120)는 대상장치인 복합 보안시스템의 각 수집대상에 대한 메타정보를 생성한다. 이를 위해, 메타정보 생성부(120)는 사용자가 복수의 수집대상 중 하나의 수집대상에 대한 메타정보 설정을 요청하면, 이에 대응하여 해당 수집대상에 대한 로그포맷(log format)을 제공하고, 사용자가 로그포맷의 각 속성값 표시란에 속성값을 입력하면 입력된 속성값으로 메타정보를 생성한다.

여기서 수집대상은 각종 보안장비 및 방화벽, 웹방화벽TMS(Threat Management), ESM 등의 보안장비 및 웹방화벽, DDoS, APT, 접근제어, 스팸메일, 서버취약점, 백신, PC 취약점 등의 보안솔루션을 의미한다.

로그포맷은 보안요소 수집부(140)가 해당 수집대상에 접속하여 필요로 하는 로그정보나 보안데이터 등의 보안요소를 수집할 수 있도록 하는 기초정보이며, 수집대상의 종류에 따라 입력하는 속성값이 다를 수 있다. 이러한 로그포맷에 포함된 속성값은 해당 수집대상의 종류 및 사양에 대한 제1 속성값, 해당 수집대상에 접속하기 위한 제2 속성값, 해당 수집대상으로부터 수집할 정보(또는 데이터)를 지정하는 제3 속성값을 포함한다.

예를 들면, 수집할 정보가 “문서 암호화 정보”인 경우에 로그포맷에 포함된 각 속성값은 다음과 같다.

대상장비: DLP(Data Leakage Prevention) 또는 DB(DataBase)

장비 IP(Internet Protocol): 10.0.0.1

DB 유형(종류): ORACLE

접속 ID(Identification): user

패스워드: 1234567

수집항목(수집할 정보): 로그번호, 매체제어코드, 사원번호, 프로세스명, 파일이름, 파일크기, 실행파일, 실행날짜, 아이피주소, 맥어드레스, 정규식패턴, 키워드 등

키 필드(Key field): 정규식 패턴

키 필드 분리자: 카테고리 “, “, 수치값 “:”

상기 각 속성값에서 제1 속성값은 대상장비, DB 유형이 해당되고, 제2 속성값은 장비 IP, 접속 ID, 패스워드가 해당되며, 제3 속성값은 나머지 속성값들이 해당된다.

상기 대상장비는 보안요소를 수집할 장비 또는 솔루션을 의미하며, 그에 따라 DLP는 데이터베이스 서버에 설치되어 있는 솔루션이므로 “DLP” 또는 “DB”로 표시된다. 상기에서 키 필드는 추출할 보안 정보를 포함하고 있는 데이터 필드 영역이고, 키 필드 분리자는 추출할 보안 정보(보안 데이터)를 키 필드 내에 기록된 데이터 중에서 식별할 수 있게 하는 식별자 즉, 분리자를 지정한다. 상기 속성값에 따르면, 카테고리 데이터는 “,”라는 분리자에 의해 구분되어 표시되어 있고, 수치값은 “:”라는 분리자에 의해 구분되어 표시되어 있다.

다른 예로, 방화벽으로부터 보안요소를 수집하는 경우에는 다음과 같은 속성값을 가질 수 있다.

대상장비 : 방화벽

전송방식: SYSLOG

장비버전: 1.1.1

장비IP: 10.0.0.1

아이디 : user

패스워드: 1234

수집항목(수집할 정보): 로그번호, Soruce IP, Destination IP, Source Port, Destination Port, InBound Traffic, OutBound Traffic, Packet Size, Attack Type, Action 등

필드 분리자 : 카테고리 “=”, 수치값 “,”

키 필드: Attack Type 필드

상기 속성값에서 전송방식은 다른 보안장비나 솔루션인 경우에 FTP, UDP, SYSLOG, SNMP 등으로 표기될 수 있다.

이러한 메타정보 생성부(120)는 사용자가 입력한 속성값으로 메타정보를 생성하면 이를 수집로직 생성부(130)에 제공한다.

수집로직 생성부(130)는 메타정보 생성부(120)로부터 수신된 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상에 자동 접속하여 목표하는 보안요소를 취득할 수 있는 프로그램 즉, 수집로직 프로그램을 생성한다. 수집로직 생성부(130)는 생성한 수집로직 프로그램을 보안요소 수집부(140)에 제공한다.

보안요소 수집부(140)는 사용자에 의해 설정된 각 수집대상에 대한 스케줄 정보를 저장하고 있으며, 수집로직 생성부(130)로부터 수신된 해당 수집대상에 대한 수집로직 프로그램을 스케줄 정보에 따라 실행시키고, 수집로직 프로그램을 통해 해당 수집대상으로부터 목표하는 각 보안요소를 수집한다. 이때 보안요소 수집부 그리고 수집하는 보안요소가 SYSLOG인 경우에는 해당 장비로부터 실시간으로 수신하게 되므로 별도의 스케쥴 정보를 필요로 하지 않는다.

인터페이스부(150)는 TCP/UDP, SYSLOG, FTP, OCI, ODBC, SNMP 등의 통신 인터페이스를 가지고 있다. 예컨대, 인터페이스부(150)는 방화벽 등으로부터 SYSLOG를 수집하고, 보안장비로부터 로그정보를 FTP 파일 형태로 수집하며, 보안솔루션 중 일부는 에이전트를 설치하고 설치된 에이전트를 통해 보안 로그를 수집하고, 보안솔루션 중 데이터베이스 서버에 DB 링크로 접속하여 보안 로그를 수집한다. 여기서 에이전트(10)는 각 서버로부터 보안요소를 수집하기 위한 장치이다.

보안요소 수집부(140)에 의해 수집되는 보안요소의 종류(항목)의 일 예가 도 4에 도시되어 있다. 도 4는 본 발명의 실시 예에 따른 보안요소 지수화 시스템에서의 보안요소 지수화 대상을 보인 표이다.

도 4를 참고하면, 로그 수집부(140)에서 수집하는 보안로그의 종류로는 크게 내부정보 유출보안에 관련된 제1 보안요소 및 외부침입보안에 관련된 제2 보안요소로 구분되며, 제2 보안요소는 다시 PC 취약성관련 보안로그 지수화정보, 악성코드관련 보안로그 지수화정보로 분류된다.

제1 보안요소로는 예컨대 PC 미암호화 주민번호 보관 행위 데이터, PC 암호화 주민번호 보관 행위 데이타, PC 미암호화 개인정보 보관 행위 데이터, USB 미암호화 개인정보 저장 행위 데이타, USB 암호화 개인정보 저장 행위 데이터, 사외전송 미암호화 개인정보 전송 행위 데이타, 메일 개인 정보 사외 발송 행위 데이터, 시스템 개인정보 과다 조회 행위 데이터 등이 있다.

그리고 제2 보안요소로, PC 취약성관련 보안요소 지수화정보에 관련한 정보로는 Windows 자동 로그온, PC 로그온 패스워드 안정성, 화면 보호기 설정, (사용자) 공유 폴더 설정, (전체) 공유 폴더 사용 여부, 비인가 사용자 접근 제어, IE, ID/PW 자동 완성 설정, 미사용(3개월) ActiveX 프로그램 등이 있다. 악성코드관련 보안요소 지수화정보로는 악성 코드 감염 치료 파일, 백신 치료 불가 파일, 악성코드 메일 감염 건수, 피싱 메일 감염 건수 등이 있다.

분석및파싱부(160)는 보안요소 수집부(140)로부터 보안요소를 수신하고 수신한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하고 분석한다. 여기서, 보안요소 수집부(140)로부터 수집되는 보안로그는 메타정보에서 “키 필드”로 지정한 정보이며, 이와 더불어, 수집항목으로 지정한 정보인 로그번호, 매체제어코드, 사원번호, 프로세스명, 파일이름, 파일크기, 실행파일, 실행날짜, 아이피주소, 맥어드레스, 정규식패턴, 키워드 등이다. 수집항목으로 지정한 정보는 전술한 설명에 한정되지 않으며, 제작자에 의해 임의로 변경이 가능하다. 그리고 수신된 보안요소가 “SYSLOG”인 경우에는 날짜정보, ID 정보, 소스(source) 정보, 목적지(destination) 정보, 패킷정보 등을 포함한다.

상기에서 데이터 유형은 크게 카운트형, 날짜형 및 OX형으로 분류된다. 카운트형은 사용자 행위를 카운트할 수 있는 데이터이고, 날짜형은 날짜를 기준으로 사용자의 행위가 보안에 위배되는지를 파악할 수 있는 데이터 즉, 사용자의 보안 위배 행위에 대한 데이터이며, OX는 사용자의 행위가 보안 위배 행위를 했는지 안했는지를 파악할 수 있는 데이터이다.

예를 들면, 카운트형 데이터는 사용자가 PC 내에서 미암호화한 개인정보 보유 파일을 몇 건 가지고 있는지 또는 개인정보를 몇 건 다운로드했는지 또는 복합기의 문서 출력을 몇 건 했는지 등을 파악할 수 있게 하는 데이터이다. 이러한 카운터형 데이터는 설정치 이상인지 또는 설정치 이하인지에 따라 사용자가 보안 위배 행위를 하였는지 여부를 판단할 수 있게 한다. 날짜형 데이터는 사용자가 백신 치료를 몇 일 동안 하지 않았는지(또는 몇일만에 했는지) 또는 오피스 보안 패치 점검을 몇 일 동안 하지 않았는지를 파악할 수 있게 하는 데이터이다. 그리고, OX형 데이터는 화면 보호기 설정 점검을 했는지, 윈도우 자동 로그온 점검을 했는지 등을 파악할 수 있게 하는 데이터이다.

상기에서 보안위험종류는 도 4에서 “중분류”에 해당하는 내용으로, 정보유출, 취약성, 악성코드감염 등이 있다.

분석및파싱부(160)의 동작을 SYSLOG를 예로 하여 설명하면, 분석및파싱부(160)는 SYSLOG 보안로그를 분석하여 데이터 유형 및 보안위험종류를 파악하고, 날짜정보, ID 정보, 소스(source) 정보, 목적지(destination) 정보, 패킷정보 등을 각각 추출한 후 추출한 정보를 파싱한 후 저장부(미도시)에 저장시킨다.

보안요소 지수화부(170)는 분석및파싱부(160)에 의해 파싱되어 저장된 각 보안요소들 중에서 각 사용자별 보안요소를 읽어들여 각 사용자의 보안위험종류별 지수화를 수행한다. 이때 보안요소 지수화부(170)는 보안요소에 포함된 사용자 식별정보(IP, MAC 어드레스, 사번 등)를 통해 사용자를 파악하고, 보안요소의 발생 날짜를 파악하며, 각 보안위험종류별로 도 4에 도시된 지수화 항목에 대응하는 팩트(fact) 데이터를 보안요소로부터 파악하여 데이터 유형에 맞는 결과값을 산출한다. 예컨대, 결과값은 카운터형인 경우에 카운트값(건수 또는 횟수)에 해당하고, OX형인 경우에 “예(yes)” 또는 “아니오(no)”에 해당하며, 날짜형인 경우에 날짜의 기간(길이)에 해당한다.

참고로, 도 4에 기재된 각 지수화 항목은 사용자의 행위를 기반으로 한 것이다.

보안요소 지수화부(170)는 각 지수화 항목에 대한 결과값을 산출하면, 결과값과 정책 DB(180)에 저장된 각 지수화 항목별 점수 등급을 이용하여 각 지수화 항목별 점수를 산출하고, 산출한 점수와 정책 DB(180)에 저장된 각 지수화 항목의 성격에 따라 부여된 가중치를 이용하여 각 개인별로 제1 보안요소에 대한 지수화값, 제2 보안요소에 대한 지수화값 및 제1 및 제2 보안요소를 통합한 통합 지수화값을 산출한다.

여기서 각 지수화 항목의 성격에 따라 부여된 가중치에 대한 일 예는 표 1과 같다.

항목성격	법률이슈	의도적/악의적	필수보안 정책위반	유/노출 리스크 존재	권고조치사항
가중치	50	60	30	20	10

모든 지수화 항목 중 각각의 지수화 항목은 표 1의 “항목성격” 중 하나로 분류되어 있으며, 그에 따라 가중치는 모든 지수화 항목에 대하여 부여되어 있다.보안요소 지수화부(170)에서 수행하는 보안요소 지수화에 따른 지수화값 산정식은 다음의 표 2와 같다.

지수화 대상	산정 방식	비고
내부정보 유출 보안	((제1 지수화 항목의 가중치1 * 제1 지수화 항목의 점수) + (제2 지수화 항목의 가중치 * 제2 지수화 항목의 점수) + … + (제n 지수화 항목의 가중치 * 제n 지수화 항목의 점수)) / 전체 가중치 = 지수화값
외부침입 보안	((제1 지수화 항목의 가중치1 * 제1 지수화 항목의 점수) + (제2 지수화 항목의 가중치 * 제2 지수화 항목의 점수) + … + (제n 지수화 항목의 가중치 * 제n 지수화 항목의 점수)) / 전체 가중치 = 지수화값
종합	내부정보 유출 보안 점수 * ∝ + 외부 침입 보안 점수 *(1-∝) = 지수화값	∝ = 가중치 (0 ~ 1 까지 소수, 예 : 0.7)

이하에서는 표 1과 표 2를 이용하여 지수화하는 방법을 설명한다.이해를 돕기 위해, 지수화 항목 중에서 5개의 지수화항목 즉, PC 미암호화 주민번호 보관, 문서스캔 후 이메일 발송, 윈도우 자동 로그온, 악송코드 감염 치료 파일, 해킹 사이트 접속을 예로 한다. 여기서 PC 미암호화 주민번호 보관과 문서스캔 후 이메일 발송은 내부정보 유출보안에 해당하고, 윈도우 자동 로그온, 악송코드 감염 치료 파일 및 해킹 사이트 접속은 외부침입 보안에 해당한다.

각 지수화항목에 대한 하루 동안의 결과값은 다음과 같다.

1. PC 미암호화 주민번호 보관: 15건

2. 문서스캔 후 이메일 발송: 1,300건

3. 윈도우 자동 로그온: 없음

4. 악송코드 감염 치료 파일: 50건

5. 해킹 사이트 접속: 5회

이러한 결과값에서, 내부정보 유출보안에 관련하여, PC 미암호화 주민번호 보관에 대하여 가중치가 50이고, 정책 DB(180)에 저장된 점수 등급이 0건이면 100점, 1~5건이면 70점, 6~10건이면 50점, 11건 이상이면 0점이라고 하면, PC 미암호화 주민번호 보관에 대한 결과값 즉, 점수는 0점이다.

문서스캔 후 이메일 발송에 대하여 가중치가 40이고, 정책 DB(180)에 저장된 점수 등급이 0~1,000건이면 100점, 1,001~2,000건이면 50점, 2,001건 이상이면 0점이라고 하면, 문서스캔 후 이메일 발송에 대한 결과값 즉, 점수는 50점이다.

따라서, 내부정보 유출보안에 대한 보안요소 지수화값은 ((50*0) + (40*50))/(50+40) = (0 + 2000) / 90 = 22.2 점이다.

외부침입보안에 관련하여, 윈도우 자동 로그온에 대하여 가중치가 30이고, 정책 DB(180)에 저장된 점수 등급이 예(yes)이면 100점, 아니오(no)이면 0점이라고 하면, 윈도우 자동 로그온에 대한 결과값 즉, 점수는 0점이다.

악송코드 감염 치료 파일에 대하여 가중치가 10이고, 정책 DB(180)에 저장된 점수 등급이 0~10건이면 100점, 11~60건이면 80점, 61~100건 이상이면 50점, 101건 이상이면 0점이라고 하면, 악송코드 감염 치료 파일에 대한 결과값 즉, 점수는 80점이다.

그리고, 해킹 사이트 접속에 대하여 가중치가 20이고, 정책 DB(180)에 저장된 점수 등급이 0건이면 100점, 1~30건이면 50점, 31건 이상이면 0점이라고 하면, 해킹 사이트 접속에 대한 결과값 즉, 점수는 50점이다.

따라서, 외부침입보안에 대한 보안요소 지수화값은 ((30*0)+(10*80)+(20*50)) / (30+10+20) = (0 + 800 + 1000) / 60 = 30점이다.

그리고, 이를 기반으로 종합 보안요소 지수화값을 산출하면, 알파값(∝)이 0.7인 경우에, 종합 보안요소 지수화값은 (0.7*22.2) + (0.3*30) = 24.54점이다

이러한 개인의 종합 보안요소 지수화값은 보안 취약 여부를 파악하기 위해 설정된 설정보안점수와 비교되어 각 개인별로 보안성 정도가 평가된다. 보안요소 지수화값을 산정하는 것은 모든 지수화 항목이 동일한 보안 등급을 가지고 있지 않기 때문이다. 즉, 일부의 지수화 항목은 반드시 지켜야 할 중요한 항목이고, 일부의 지수화 항목은 보안 등급이 낮은 항목 등으로 분류가 된다. 이러한 보안 등급의 분류는 사용자에 의해 임의로 지정될 수 있지만, 일반적이 보안 전문가의 입장에서 위배시 보안에 매우 치명적인 순위로 지정된다.

따라서 본 발명의 실시 예에 따른 보안요소 지수화는 단순히 지수화 항목의 점수를 평균하는 방법과 달리, 높은 보안 등급에 따른 가중치를 반영하여 개인별, PC별, 서버별 등의 보안 정도를 파악함으로써, 보다 정밀한 보안 정도를 파악할 수 있게 한다.

개인별 보안성 정도의 평가는 종합 보안요소 지수화값에 의해 평가되는 전체 보안성 평가, 외부침입보안에 대한 보안요소 지수화값에 의해 평가되는 외부침입 보안에 대한 보안성 평가, 내부정보 유출보안에 대한 보안요소 지수화값에 의해 평가되는 내부정보 유출보안에 대한 보안성 평가 및 보안 등급이 높은 지수화 항목들에 대한 점수에 의한 보안성 평가 등이 제공된다.

이상을 통해서 보면 본 발명은 메타정보 생성부(120), 수집로직 생성부(130) 및 보안요소 수집부(140)에 의해 새로운 보안장비나 보안솔루션이 추가되거나 삭제되거나 또는 버전 정보가 변경되는 경우 등이 발생하더라도, 사용자가 별도로 보안요소를 수집하기 위한 프로그램을 작성하지 않더라도 속성값을 입력하거나 변경하는 것만으로 원활한 보안요소를 수집하는 것이 가능해진다.

또한 본 발명은 분석및파싱부(160)와 보안요소 지수화부(170)를 통해서 산출한 지수화값을 통해서 내부정보 유출보안, 외부침입 보안(PC 취약성 보안, 악성코드 관련 보안 포함) 및 전체 보안에 대하여 각 사용자별로 어떠한 보안을 잘 지키고 있는지 또한 그렇지 않는지를 쉽게 파악할 수 있고, 세부적으로도 각 보안요소 항목에 대한 점수를 통해 각 사용자가 잘 지키지 않는 항목을 쉽게 파악할 수 있게 한다.

한편, 지수화항목 중에서 보안에 중요한 주요 지수화 항목을 지정해 둘 수 있다. 이 경우에, 개인이 설정 보안점수보다 높은 종합 보안요소 지수화값 또는 내부정보 유출보안 지수화값 또는 외부침입 보안 지수화값을 획득하여 전체적으로 개인의 행위가 보안을 위한 행동을 하고 있다고 판단할 수 있지만 주요 지수화 항목의 점수가 설정값보다 낮으면 보안에 경고 대상으로 지정할 수 있다.

이하에서는 도 3을 참조로 하여 본 발명의 실시 예에 따른 위험 분석을 위한 보안요소 지수화 방법을 설명한다.

도 3을 참고하면, 사용자는 사용자 입력부(110)를 통해 복합 보안시스템의 각 수집대상(즉, 보안장비 및 각 솔루션) 중 하나에 대한 메타정보 설정을 요청하면, 메타정보 생성부(120)에서 로그포맷 입력화면을 제공한다. 그러면 사용자는 로그포맷 입력화면을 통해 로그포맷을 입력할 하나의 수집대상을 선택하고 선택한 수집대상에 대한 로그포맷의 각 속성값 표시란에 속성값을 입력한다.

이에 메타정보 생성부(120)는 사용자가 입력한 로그포맷의 속성값을 저장(설정)하고(S301), 로그포맷의 각 속성값으로 해당 수집대상에 대한 메타정보를 생성한다(S302). 사용자는 복합 보안시스템으로부터 보안요소를 수집하기 전에 상기 S301 과정 및 S302 과정을 통해 모든 보안장비 및 보안 솔루션에 대한 로그포맷의 속성값 입력 및 이에 대응하는 메타정보를 생성한다.

메타정보 생성부(120)는 하나의 수집대상에 대한 메타정보를 생성하면 생성한 메타정보를 수집로직 생성부(130)에 제공하고, 수집로직 생성부(130)는 수신된 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상에 자동 접속하여 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하고, 생성한 수집로직 프로그램을 보안요소 수집부(140)에 제공한다(S303).

보안요소 수집부(140)는 수신된 수집로직 프로그램을 해당 수집대상에 대응하여 설정하며, 이러한 설정 동작으로 모든 수집대상에 대응하여 수집로직 프로그램을 설정한다(S304).

한편, 보안요소 수집부(140)가 수집로직 프로그램에 따라 보안요소를 수집하기 전에, 사용자는 사용자 입력부(110)를 통해 보안요소 수집을 위한 스케쥴 정보를 입력하고, 보안요소 수집부(140)에 설정되게 한다.

이에 보안요소 수집부(140)는 스케쥴 정보가 등록되고 모든 수집 대상에 대한 수집로직 프로그램이 설정된 상태에서 사용자로부터 동작 지시를 수신하면, 스케줄 정보에 따라 각 수집로직 프로그램을 실행시켜 인터페이스부(150)를 통해 각각의 수집대상에 접속하고 각 수집대상으로부터 보안요소를 수집한다(S305).

보안요소 수집부(140)에서 수집된 각 보안요소는 분석및파싱부(160)에 제공되고, 분석및파싱부(160)는 수신한 보안요소를 분석하여 데이터 유형별 및 보안위험종류별로 파싱한다(S306).

보안요소 지수화부(170)는 분석및파싱부(160)에 의해 파싱된 데이터에서 팩트 데이터를 파악하며(S307), 팩트 데이터를 이용하여 결과값을 산출하고 저장한다(S308).

그런 다음 보안요소 지수화부(170)는 사용자별, PC별, 각 서버별 중 적어도 하나로 모든 지수화 항목의 결과값을 분류하고, 각 지수화 항목에 대한 가중치 및 점수를 파악하며, 가중치와 점수를 이용하여 사용자별, PC별, 각 서버별로 결과값에 대응하는 보안요소 지수화값을 산출한다.

이하에서 사용자별 결과값을 이용하여 보안요소 지수화를 하는 경우를 일 예로 설명한다. 보안요소 지수화부(170)는 각 지수화 항목의 결과값 각각에 대응하는 지수화 항목을 파악하고, 각 지수화 항목에 대하여 설정된 결과값 대비 점수 등급 정보를 이용하여 점수를 파악하며, 각 지수화 항목이 법률이슈, 의도적/악의적, 필수보안 정책위반, 유/노출 리스크 존재, 권고조치 사항 중 어디에 속하는 지를 파악하여 가중치를 파악한다(S309).

그런 다음 보안요소 지수화부(170)는 각 지수화 항목이 내부정보 유출보안과 외부침입 보안 중 어느 지수화 대상에 속하는지를 파악한 후 표 2에 기재된 지수화값 산정 방식에 따라 각 지수화 항목별 점수와 가중치를 이용하여 지수화값을 산출하고 저장한다(S310)

이러한 지수화값은 각 사용자 또는 각 PC(컴퓨터) 또는 각 서버 등이 어느 정도 보안을 지키고 있는지를 파악할 수 있는 근거 자료로 이용된다.

이상에서 본 발명의 실시예에 대하여 상세하게 설명하였으나, 본 발명의 권리범위가 이에 한정되는 것은 아니며 본 발명이 속하는 분야에서 통상의 지식을 가진 자가 여러 가지로 변형 및 개량한 형태 또한 본 발명의 권리범위에 속한다.

100 : 보안요소 지수화 시스템 110 : 사용자 입력부
120 : 메타정보 생성부 130 : 수집로직 생성부
140 : 보안요소 수집부 150 : 인터페이스부
160 : 분석및파싱부 170 : 보안요소 지수화부
180 : 정책 DB

Claims (7)

1. 사용자에 의해 입력된 복합 보안시스템의 각 수집대상에 대한 로그포맷의 속성값으로 해당 수집대상에 대한 메타정보를 생성하는 메타정보 생성부,
   상기 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상으로부터 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하는 수집로직 생성부,
   각 수집대상별 수집로직 프로그램을 이용하여 각 수집대상으로부터 보안요소를 수집하는 보안요소 수집부,
   상기 보안요소 수집부에서 수집한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하는 분석및파싱부, 그리고
   상기 분석및파싱부에 의해 파싱된 데이터에서 지수화 항목에 대응된 팩트 데이터를 추출하여 각 팩트 데이터에 대한 결과값을 산출하고, 각 지수화 항목에 대응한 결과값의 점수 및 가중치를 산출하며 점수 및 가중치를 이용하여 복수의 지수화 대상 각각의 지수화값 및 종합 지수화값을 산출하는 보안요소 지수화부를 포함하며,
   상기 지수화 항목 각각은 사용자의 보안 위배 행위를 기반으로 한 보안에 관련된 항목이며, 상기 복수의 지수화 대상 중 하나에 관련되고, 복수의 항목성격 중 하나에 관련되며, 상기 복수의 항목성격 각각은 서로 다른 가중치가 부여된 위험 분석을 위한 보안요소 지수화 시스템.
2. 제1항에서,
   상기 보안요소 지수화부는 각 지수화 항목별 결과값에 대한 점수 등급을 이용하여, 해당 결과값이 점수 등급 중 어느 등급에 포함되는지에 따라 점수를 산출하는 위험 분석을 위한 보안요소 지수화 시스템.
3. 제2항에서,
   상기 보안요소 지수화부는 상기 복수의 지수화 대상 각각에 대하여 다음의 산정방식으로 지수화값을 산정하는 위험 분석을 위한 보안요소 지수화 시스템
   ((제1 지수화 항목의 가중치1 * 제1 지수화 항목의 점수) + (제2 지수화 항목의 가중치 * 제2 지수화 항목의 점수) + … + (제n 지수화 항목의 가중치 * 제n 지수화 항목의 점수)) / 전체 가중치 = 지수화값.
4. 사용자에 의해 입력된 복합 보안시스템의 각 수집대상에 대한 로그포맷의 속성값으로 해당 수집대상에 대한 메타정보를 생성하는 단계,
   상기 메타정보로부터 각 속성값을 파악하고 파악한 속성값들을 이용하여 해당 수집대상으로부터 목표하는 보안요소를 취득할 수 있는 수집로직 프로그램을 생성하는 단계,
   각 수집대상별 수집로직 프로그램을 이용하여 각 수집대상으로부터 보안요소를 수집하는 단계,
   수집한 보안요소를 데이터 유형별 및 보안위험종류별로 파싱하는 단계,
   파싱된 데이터에서 지수화 항목에 대응된 팩트 데이터를 추출하는 단계,
   추출한 팩트 데이터에 대한 결과값을 산출하는 단계,
   해당 지수화 항목에 따라 결과값을 점수로 환산하는 단계,
   해당 지수 항목에 대한 가중치를 산출하는 단계, 그리고
   각 지수화 항목의 점수 및 가중치를 이용하여 복수의 지수화 대상 각각의 지수화값 및 종합 지수화값을 산출하는 단계를 포함하며,
   상기 지수화 항목 각각은 사용자 행위를 기반으로 한 보안에 관련된 항목이며, 상기 복수의 지수화 대상 중 하나에 관련되고, 복수의 항목성격 중 하나에 관련되며, 상기 복수의 항목성격 각각은 서로 다른 가중치가 부여된 보안요소 지수화 방법.
5. 제4항에서,
   상기 점수로 환산하는 단계는 각 지수화 항목별 결과값에 대한 점수 등급을 이용하여, 해당 결과값이 점수 등급 중 어느 등급에 포함되는지에 따라 점수를 산출하는 보안요소 지수화 방법.
6. 제5항에서,
   상기 지수화값을 산출하는 단계는 상기 복수의 지수화 대상 각각에 대하여 다음의 산정방식으로 지수화값을 산정하는 보안요소 지수화 방법
   ((제1 지수화 항목의 가중치1 * 제1 지수화 항목의 점수) + (제2 지수화 항목의 가중치 * 제2 지수화 항목의 점수) + … + (제n 지수화 항목의 가중치 * 제n 지수화 항목의 점수)) / 전체 가중치 = 지수화값.
7. 제5항 또는 제6에서,
   상기 지수화값을 산출하는 단계는 다음의 산정방식으로 상기 종합 지수화값을 산출하는 보안요소 지수화 방법
   내부정보 유출 보안 점수 * ∝ + 외부 침입 보안 점수 *(1-∝) = 지수화값
   상기에서 ∝ = 가중치 (0 ~ 1까지의 소수값).

Images