X.805를 확장한 BcN 취약성 분류 체계

Abstract

광대역통합망(BcN: Broadband Convergence Network)은 통신과 방송을 융합하여 유무선의 고품질 멀티미디어 서비스를 제공하기 위한 중요한 기반구조이다. 그러나 망의 융합에 따라 개별 망에서 발생한 침해 사고의 피해가 확산될 위험이 있고 수직 및 수평적 이동이 가능한 다양한 서비스가 출현함에 따라 새로운 위협 요인들이 발생하게 된다. 이에 효과적으로 대응하기 위해서는 BcN의 취약성을 시스템 구조적으로 분석하고 체계적으로 분류하여 이 결과가 공격 대응 기술을 마련하는데 활용되도록 해야 한다. 이를 위하여 본 논문에서는 보안 아키텍처 구성요소를 정의한 ITU-T의 X.805 권고안을 기반으로 BcN 환경에 적합하게 확장한 새로운 취약성 분류 체계를 제안한다. 이 새로운 분류는 서비스 별로 보호해야 할 대상, 가능한 공격 수단, 그로 인한 피해 종류 및 위험도, 이를 막는데 효과적인 대응수단을 포함한다. 본 논문에서 제시하는 분류 체계를 기존의 CVE(Common Vulnerabilities and Exposures)와 CERT/CC(Computer Emergency Response Team/Coordination Center)의 취약성 정의 및 분류 방법과 비교하고, 체계 검증의 일환으로 BcN 서비스 중 하나인 VoIP(Voice over IP)에 적용한 사례와 취약성 데이터베이스 및 관리 소프트웨어 개발 결과에 대하여 논한다. 이 논문에서 제시한 연구 결과는 보안 지식을 집적하고 새로운 정보보호기술을 도출하는데 활용될 수 있다. Broadband Convergence Network(BcN) is a critical infrastructure to provide wired-and-wireless high-quality multimedia services by converging communication and broadcasting systems, However, there exist possible danger to spread the damage of an intrusion incident within an individual network to the whole network due to the convergence and newly generated threats according to the advent of various services roaming vertically and horizontally. In order to cope with these new threats, we need to analyze the vulnerabilities of BcN in a system architecture aspect and classify them in a systematic way and to make the results to be utilized in preparing proper countermeasures, In this paper, we propose a new classification of vulnerabilities which has been extended from the ITU-T recommendation X.805, which defines the security related architectural elements. This new classification includes system elements to be protected for each service, possible attack strategies, resulting damage and its criticalness, and effective countermeasures. The new classification method is compared with the existing methods of CVE(Common Vulnerabilities and Exposures) and CERT/CC(Computer Emergency Response Team/Coordination Center), and the result of an application to one of typical services, VoIP(Voice over IP) and the development of vulnerability database and its management software tool are presented in the paper. The consequence of the research presented in the paper is expected to contribute to the integration of security knowledge and to the identification of newly required security techniques.