Earticle

최근 DevOps(Development, Operation)을 이용하여 자동화된 도구와 프로세스를 도입하고 있다. 많은 기업들은 비용 절감, 유연한 커스터마이징 및 확장성, 벤더 종속성 등을 고려하여 CI/CD 각 단계별 도구를 선택할 때, 오픈소스 도구를 많이 사용 하고 있다. 또한, IaC(Infrastructure as Code)를 도입하여 개발부터 초기 인프라 환경까지 많이 구성한다. 그 중 IaC 툴인 Terraform을 이용해서 구성하는데 인프라 환경 구성 코드와 애플리케이션 코드에 대해서 SCA 도구를 이용하여 취약점 진단 을 선행하고 이후에 SBOM을 생성해 구성요소 사용처와 변경이력을 즉시 추적할 수 있어야 한다. 본 논문에서는 빠른 개발과 자동화된 보안 도구를 이용하는 CI/CD 환경에서 오픈소스 도구가 취약점 발생 시 개발생명주기에 미치는 영향도 분석과 해소 가 가능한 아키텍처를 제시한다.

Recently, automated tools and processes are being adopted using DevOps (Development, Operations). Many companies are embracing open source tools for each CI/CD stage, considering cost savings, flexible customization and scalability, and vendor lock-in. Furthermore, they are adopting IaC (Infrastructure as Code) to configure everything from development to initial infrastructure environments. Among these, Terraform, an IaC tool, is used for configuration. It is necessary to first diagnose vulnerabilities using SCA tools for both the infrastructure configuration code and application code, and then generate an SBOM to immediately track component usage and change history. This paper presents an architecture that analyzes and resolves the impact of open source tools on the development lifecycle when vulnerabilities arise in a CI/CD environment that leverages rapid development and automated security tools.

최근 사이버 공격으로 인해 발생한 우크라이나 대규모 정전 사태를 비롯하여 국가 기반시설에 대한 사이버 공격이 지속해 서 발생하고 있다. 이에 따라 ICS-CERT 취약점이 작년보다 두 배 이상이 증가하는 등 원자력 시설 등의 산업제어시스템에 대한 취약점이 날로 증가하고 있다. 대부분의 제어시스템 운영자는 미국의 ICS-CERT에서 제공하는 산업제어시스템 취약점 정보원을 바탕으로 취약점 대응 방안을 수립한다. 그러나 ICS-CERT는 연관된 모든 취약점 정보를 포함하지 않으며, 국내 제 조사 제품에 대한 취약점을 제공하지 않아 이를 국내 제어시스템 보안에 적용하기 어렵다. 따라서 본 연구에서는 ICS-CERT 에서 제공하는 제어시스템 취약점 정보(1,843건)를 기준으로 해당 취약점과 관련된 CVE, CWE, CAPEC, CPE 정보를 통합한 취약점 분석 프레임워크를 제시한다. 또한 원자력 시설의 자산을 CPE를 이용하여 식별하고 CVE와 ICS-CERT를 이용하여 취약점을 분석한다. 기존의 방법론으로 취약점 분석 시 임의의 국내 원자력 시설 자산 중 ICS-CERT에는 단 8%의 자산에 대 한 취약점 정보를 탐색하였지만, 제안하는 방법론을 이용하면 70% 이상의 자산에 대해 취약점 정보를 탐색할 수 있다.

Cyber attacks on national infrastructure, including large-scale power outages in Ukraine, have continued in recent years. As a result, ICS-CERT vulnerabilities have doubled compared to last year, and vulnerabilities to industrial control systems are increasing day by day. Most control system operators develop vulnerability countermeasures based on the vulnerability information sources provided by ICS-CERT in the United States. However, it is not applicable to the security of domestic control systems because it does not provide weaknesses in Korean manufacturers' products. Therefore, this study presents a vulnerability analysis framework that integrates CVE, CWE, CAPE, and CPE information related to the vulnerability based on ICS-CERT information (1843 cases). It also identifies assets of nuclear facilities by using CPE information and analyzes vulnerabilities using CVE and ICS-CERT. In the past, only 8% of ICS-CERT's vulnerability information was searched for information on any domestic nuclear facility during vulnerability analysis, but more than 70% of the vulnerability information could be searched using the proposed methodology.

본 논문은 보안 이벤트 위험성에 따른 능동적 대응을 위해서 우선순위 알고리즘을 구현하는 것이며, 이를 기반으로 효율적 인 이벤트 처리를 수행하는 이벤트 스케줄러를 구현하고자 한다. CVE나 CVSS 같이 세계적으로 표준을 가지고 있는 기준에 따라, 보안 이벤트를 실행시켰을 때 점수를 매길 수 있는 기준을 마련하고, 정형화 하여 보다 객관적으로 우선순위를 정할 수 있도록 한다. 그래서 이를 바탕으로 보안 이벤트 데이터베이스를 구축하고, 이를 이용하여 스케줄링을 할 수 있도록 한다. 또 한 보안 이벤트 스케줄링 우선순위 알고리즘을 우리나라 보안 이벤트 실정에 맞게 개발하고 적용함으로써 국내 기관 및 기업 의 정보보호에 대한 신뢰성 확보와 산업 발전에 기여하게 될 것이다.

This paper implements a priority algorithm for active response to security event risk, and implements an event schedul er that performs efficient event processing based on this. According to the standards that have global standards such as C VE and CVSS, standards for scoring when security events are executed are prepared and standardized so that priorities ca n be more objectively set. So, based on this, we build a security event database and use it to perform scheduling. In additi on, by developing and applying the security event scheduling priority algorithm according to the situation of security event s in Korea, it will contribute to securing the reliability of information protection and industrial development of domestic or ganizations and companies.

새롭게 발견된 취약점의 CVE 설명으로부터 CVSS 벡터를 정의하는 작업이 전문가에 의해 수작업으로 진행되어 신속한 대응이 쉽지 않은 문제가 있다. 이에 본 연구는 CVE, CVSS 벡터 쌍 데이터를 임베딩한 RAG 기반의 퓨샷 학습을 통해 새 CVE 설명으로부터 자동으로 CVSS 벡터를 생성하는 방법을 제안하였다. Gemma 3 12B로 대표되는 중급 규모 로컬 LLM을 사용해 실험을 수행한 결과 제안한 방법이 기존 프롬프트 엔지니어링 기반 방법들보다 CVSS 버전 3.1 벡터 PR, C, I, A 4개 요소의 예측 정확도를 평균 25% 차이로 향상시키는 것을 확인하였다. RAG에 기반한 퓨샷 학습은 즉각적으로 벡터 생성을 할 수 있어 CVSS 벡터 정의 시간을 크게 단축시키는 도구로 사용될 수 있으며, 퓨샷 학습에 사용된 샘플들은 CVSS 벡터를 생성한 근거 데이터로 사용되어 담당자의 판단을 돕는다.

Defining CVSS vectors from new CVE descriptions is a manual process done by experts, which makes rapid response difficult. This study proposes an automated method to generate these vectors from new CVE descriptions using RAG-based few-shot learning with embedded CVE and CVSS vector pair data. Using a medium-sized local LLM like Gemma 3 12B, we found our method improved the prediction accuracy for the four CVSS v3.1 vector elements-PR, C, I, and A-by an average of 25% over existing prompt-engineering methods. RAG-based few-shot learning allows for instant vector generation, drastically cutting down the time needed for CVSS vector definition. The samples used for few-shot learning also provide supporting evidence, helping analysts make better judgments.

CVE(Collaborative Virtual Environment)는 물리적으로 함께 모이지 못하는 사람들이 서로 의논하고, 공동으로 일할 수 있는 가상공간의 공유된 장(場)을 말한다. CVE에서 참여자들은 가상적으로 그들이 존재할 수 있게 하는 사람의 형상을 닮은 체현(體現), 즉 아바타를 통해 대표된다. 그러나 현재 가상환경에서 볼 수 있는 대부분의 아바타들은 그 아바타의 행동과 사용자간에 일어나고 있는 대화 사이의 자연스러운 관계를 나타내지 못하고 있다. 사람과 사람간의 대화에 있어서 교환되는 정보의 65% 이상이 비언어적 기호에 의해 전달된다는 점을 감안할 때, 비언어적 커뮤니케이션 채널을 CVE 시스템의 아바타에서 제공하는 것은 매우 중요하다. 따라서 본 연구는 아바타 제스츄어 디자인에 적용될 수 있는 비언어커뮤니케이션의 전달양식을 도출하고 사람과 사람간의 커뮤니케이션 과정에서 발생하는 대표적인 신체언어들을 언어와의 관련성에 따라 유형을 분류한 후 머리에서 발까지 신체부위별로 흔히 사용되는 동작과 그에 부합하는 언어표현들을 정리하여 제시하는 방법으로 CVE에서 사용자들이 적절한 커뮤니케이션 활동을 할 수 있도록 지원하는 아바타의 동작표현을 제안하고 있다.

CVE(Collaborative Virtual Environment) is the virtually shared area where people cannot come together physically, but wish to discuss, collaborate on, or even dispute certain matters. In CVEs, in habitants are usually represented by humanoid embodiments, generally referred to as avatars. But most current graphical CVE systems fail to reflect the natural relationship between the avatar's gesture and the conversation that is taking place. More than 65% of the information exchanged during a person to person conversation is carried on the nonverbal band. Therefore, it is expected to be beneficial to provide such communication channels in CVEs in some way. To address this issue, this study proposes a scheme to represent avatar's gestures that can support the CVE users' communication. In the first level, this study classifies the non-verbal communication forms that can be applicable to avatar gesture design. In the second level, this study categorizes the body language according to the types of interaction with verbal language. And in the third level, this study examines gestures with relevant verbal expressions according to the body parts-from head to feet. One bodily gesture can be analyzed in the description of gesture representation, the meaning of gesture and the possible expressions, which can be used in gestural situation.

보안 취약점 수가 해마다 증가함에 따라 보안 위협이 지속해서 발생하고 있으며 취약점 위험도의 중요성이 대두되고 있다. 본 논문에서는 보안 취약점 위험도 판단을 위해 동향을 반영한 보안 위협 스코어링 산출식을 고안하였다. 세 단계에 따라 공격 유형과 공급업체, 취약점 동향, 최근 공격 방식과 기법 등의 핵심 항목 요소를 고려하였다. 첫째로는 공격 유형, 공급업체와 CVE 데이터의 관련성 확인 결과를 반영한다. 둘째로는 LDA 알고리즘으로 확인된 토픽 그룹과 CVE 데이터 간 유사성 확인을 위해 자카드 유사도 기법을 사용한다. 셋째로는 최신 버전 MITRE ATT&CK 프레임워크의 공격 방법, 기술 항목 동향과 CVE 간의 관련성 확인 결과를 반영한다. 최종 보안 취약점 위협 산출식 CTRS의 활용성 검토를 위해 공신력 높은 취약점 정보 제공 해외 사이트 내 데이터에 제안한 스코어링 방식을 적용하였다. 본 연구에서 제안한 산출식을 통하여 취약점과 관련된 일부 설명만으로도 관련성과 위험도가 높은 취약점을 확인하여 신속하게 관련 정보를 인지하고 대응할 수 있다.

As the number of security vulnerabilities increases yearly, security threats continue to occur, and the vulnerability risk is also important. We devise a security threat score calculation reflecting trends to determine the risk of security vulnerabilities. The three stages considered key elements such as attack type, supplier, vulnerability trend, and current attack methods and techniques. First, it reflects the results of checking the relevance of the attack type, supplier, and CVE. Secondly, it considers the characteristics of the topic group and CVE identified through the LDA algorithm by the Jaccard similarity technique. Third, the latest version of the MITER ATT&CK framework attack method, technology trend, and relevance between CVE are considered. We used the data within overseas sites provide reliable security information to review the usability of the proposed final formula CTRS. The scoring formula makes it possible to fast patch and respond to related information by identifying vulnerabilities with high relevance and risk only with some particular phrase.

Verification is one of the most critical and time-consuming tasks in today's design process. This paper describes the basic idea of Co-verification and the environment setup for the design of DVD Servo with TeakLite DSP core by using Seamless CVE, Hardware/software Co-verification too1.

The rise in popularity of cloud services has brought about a heightened concern for security in the field of cloud computing. As a response, governments have implemented CSAP(Cloud Security Assurance Program) to ensure the security of these services. However, despite such measures, the emergence of various security vulnerabilities persists, resulting in incidents related to cloud security breaches. To address this, the utilization of Common Vulnerabilities and Exposures (CVE) has been proposed as a means to facilitate the sharing of vulnerability information across different domains. Nevertheless, the unique characteristics of cloud services present challenges in assigning CVE IDs to the diverse range of vulnerabilities within the cloud environment. In this study, we analyzed how CVE can be effectively employed to enhance cloud security. The assignment of a CVE ID is contingent upon the fulfillment of three rules in the Counting Decision and five rules in the Inclusion Decision. Notably, the third rule in the Inclusion Decision, INC3, clashes with the nature of cloud services, resulting in obstacles in assigning CVE IDs to various cloud vulnerabilities. To tackle this issue, we suggest the appointment of designated individuals who would be responsible for overseeing specific areas of cloud services, thereby enabling the issuance of CVE IDs. This proposed approach aims to overcome the challenges associated with the unique characteristics of cloud services and ensure the seamless sharing of vulnerability information. Information sharing regarding vulnerabilities is crucial in the field of security, and by incorporating cloud vulnerabilities into the CVE system, this method can contribute to enhancing the security of cloud services.

정보통신 기술의 발달로 무분별한 사이버 공격에 노출되어 있기 때문에 정보보안의 기술이 중요해지고 있다. 이중 침입 탐지 시스템은 방화벽과 더불어 시스템 및 네트워크 보안을 위한 대표적인 수단으로, 현재까지 네트워크 기반인 NIDS와 호스트 기반인 HIDS에 대한 많은 연구가 이루어졌다. 이러한 침입 탐지에 대한 CTI(Cyber Threat Intelligence)를 공유하기 위해 다양한 CTI 프레임워크를 사용하여 CTI 정보를 공유하는 연구가 진행되고 있다. 이에 본 논문에서는 CVE기반의 OpenIOC와 Snort 및 OSSEC에서 생성된 Raw Data를 결합하여 새로운 CTI 프레임 워크를 제안한다. 제안된 시스템을 테스트하기 위해서는 CVE 분석을 기반으로한 Kali Linux로 공격을 진행한다, 이를 통해 생성된 데이터는 시간이 지남에 따라 축적된 데이터를 저장 및 검색을 위해 대규모 분산 처리 시스템과도 결합이 필요할 것으로 예상되며 추후 딥러닝 기술을 활용하면 지능형 지속 위협을 분석하는데 용이할 것으로 예상된다.

스프링 프레임워크는 우리나라 공공기관의 웹서비스 개발도구의 표준이라 할 만큼 전자정부 프레임워크의 기반 기술로 많이 사용되고 있다. 그러나 최근 스프링 프레임워크를 이용한 애플리케이션에서 원격코드 실행 취약점(CVE-2018-1270)이 발견되었다. 본 논문은 스프링 프레임워크를 서버를 대상으로 발생한 취약점의 위험성을 해킹 시나리오 POC(Proof Of Concept)를 이용한 취약점 실험 분석 방법을 제안한다. 종국적 대응방안으로 버전 4.3.16와 버전 5.0.5 이상으로 패치를 제안한다. 아울러 제안한 해킹시나리오 취약점 실험분석이 보안 프로그램의 성능향상 및 새로운 인증체계의 구축을 위한 자료로 활용될 것으로 기대한다.

Spring framework is widely used as a base technology for e-government frameworks and to the extent it is a standard for web service development tools of Korean public institutions. However, recently, a remote code execution vulnerability(CVE-2018-1270) was found in an application using a spring framework. This paper proposes a method of analyzing the vulnerability experiment using a hacking scenario, Proof Of Concept(POC), in which the spring framework is a hazard to the server. We propose the patch to version 4.3.16 and version 5.0.5 or later as an ultimate response. It is also expected that the proposed experiment analysis on vulnerability of hacking scenario will be used as a data for improving performance of security programs and establishing a new authentication system.

본 연구는 대규모 언어모델(LLM)을 활용하여 Windows 11 STIG(Security Technical Implementation Guide)와 CVE(Common Vulnerabilities and Exposures) 간의 의미적 관련성을 분석하고, 이를 NIST SP 800-53 보안통제 관점에서 해석하는 방법을 제안하였다. 이를 위해 Windows 11 STIG V2R7 XML과 NVD 기반 Windows 관련 CVE 데이터셋을 구축하고, severity 분포를 반영한 30개 STIG 항목과 상위 20개 CVE를 조합하여 총 600개의 STIG-CVE 후보쌍을 구성하였다. GPT-5.4와 Claude Sonnet 4.5를 적용한 실험 결과, 두 모델의 판단 일치율은 95.17%로 나타났으며, 수동 정답셋 평가에서는 GPT-5.4가 Precision 78.6%, F1-score 75.9%로 더 높은 성능을 보였다. 본 연구는 LLM 기반 STIG-CVE 의미 매핑이 보안 설정 요구사항과 공개 취약점 간의 관계 분석 및 위험 기반 보안 통제 분석에 활용될 수 있음을 보여준다.

폭력적 극단주의의 발생이 다양한 변수에서 기인하는 만큼 대응 전략을 마련하기 위해서는 개인의 심리적 변수, 사회구조적 요인, 폭력적 극단주의 세력의 유인 요인을 종합적으로 고려한 복합적 처방이 마련되어야 할 필요가 있다. 이러한 맥락에서 폭력적 극단주의는 단지 안보적 문제가 아니라 다층적(multi-faceted) 문제로서 학제적 관점에서 복합적인 정책적 대응이 시도되어야 한다. 다시 말해서 복지 부문뿐만 아니라, 심리학, 사회학, 정치학, 교육학, 행정학 등의 다양한 학문 분야가 중첩적으로 연루되어 있으며, 전통적인 안보영역에서 다루어지지 않는 개인의 슬픔(grievances), 집단적 또는 개인적 굴욕(collective or personal humiliation), 불평등, 부정의, 실업, 소외 및 배제의 문제가 종합적으로 연관되어 있기 때문에 보다 넓은 시각에서 종합적인 대응 노력이 요구된다. 이러한 맥락에서 한국 정부가 폭력적 극단주의 예방을 효과적으로 모색하기 위해서는 다양한 정부부처 간 조율을 통한 체계적 정책 마련과 더불어 사회경제적 개혁과 정치적 대응이 병행되어야 할 필요가 있다. 이와같은 복합적 처방의 측면에서 본 연구는 다양한 변수를 고려해 대응 전략이 마련되어야 한다. 우선 선동에 쉽게 유인되는 취약계층은 상대적 박탈감이나 사회에 대한 극도의 불만, 사회 속에서의 정체성 위기 등을 겪고 있을 개연성이 크다. 그리고 폭력적 극단주의 단체는 이와 같은 개인적 수준의 분노와 슬픔, 상처와 정신적 트라우마를 자극하고 증폭시킴으로써 취약계층을 선동하고자 한다. 따라서 취약계층 유인을 방지하기 위해서는 개인적 수준의 다양한 심리적 불안 요인을 치유하고, 폭력적 극단주의 단체의 유인선동을 방지하기 위한 대안이 마련될 필요가 있다.

The immensity of Islamic State’s propaganda machine has obscured a rational understanding of it. The organization’s media strategists are producing high-definition depictions of the most abhorrent brutality on an industrial scale, ensuring that jihadism is digitalized and brought firmly into the 21st century. Violent extremists are defined as “individuals who support or commit ideologically-motivated violence to further political goals.” Violent Extremist threats can come from a range of violent extremist groups and individuals. The threat posed by violent extremism is neither constrained by international borders nor limited to any single ideology. Groups and individuals inspired by a range of personal, religious, political, or other ideological beliefs promote and use violence. Increasingly sophisticated use of the Internet, social media, and information technology by violent extremists adds an additional layer of complexity. Korea has also faced the threat of Islamic State which utilizes a remarkable media strategy. Thus, this research analyzed how IS has mobilized its members through social media to understand the media strategy. In addition, this study examined CVE policies of major countries to extract possible measures in countering emergence of violent extremists in Korea.

취약성 관리의 필요성에 따라 미국 연방 정부는 NIST SP 800-53을 마련했고, MITRE는 CVE 번호를 통해 보안 취약점을 관리하고 있다. NIST SP 800-53과 CVE 간의 연관성은 취약성 관리에 중요한 요소지만, 명확히 정의되어 있지 않아 보안 관리자들이 최신 취약점에 맞는 통제항목을 파악하기 어렵다. 본 연구는 NIST SP 800-53과 CVE 간의 연관성을 분석하여 보안 통제항목의 평가 우선순위를 설정하는 데 목적이 있다. CVE와 많이 연결된 통제항목을 우선 평가하고 개선해야 한다. 연구는 CVE와 STIG/SRG 간 매핑을 통해 NIST SP 800-53 보안 통제와의 관련성을 도출하였으며, SecBERT, CyBERT, RankT5 모델을 사용해 매핑을 자동화하였다. 결과적으로, 특정 보안 통제를 우선적으로 개선해야 할 필요성을 확인하였다.

The U.S. federal government has established NIST SP 800-53 in response to the need for vulnerability management, and MITRE manages security vulnerabilities through CVE numbers. Although the relationship between NIST SP 800-53 and CVE is a crucial factor in vulnerability management, it is not clearly defined, making it challenging for security managers to identify control items that address the latest vulnerabilities. This study aims to analyze the relationship between NIST SP 800-53 and CVE to establish prioritization for evaluating security control items. Controls that are frequently associated with CVE should be prioritized for evaluation and improvement. The study derived the relevance between NIST SP 800-53 security controls through mapping CVE to STIG/SRG and used SecBERT, CyBERT, and RankT5 models to automate this mapping. The results confirmed the need to prioritize the improvement of specific security controls.

본 논문에서는 다중 사용자 간의 상호 작용과 공동 작업을 가능하게 하는 3차원 그래픽 기반의 가상 현실 시스템인 YVES(Yonsei Virtual Environment System) 의 성능향상을 위한 아바타 객체의 효과적인 동기화 방법에 대하여 제안하였다. YVES 는 연세대학교 컴퓨터과학과 멀티미디어 연구실에서 2001년도에 개발된 시스템이다. YVES의 사용자간 동기화 알고리즘은 기존의 방법에 비해 객체의 Poping현상을 없애고 동기화를 유지한 점에서 개선되었다고 할 수 있었다. 그러나 원래의 경로와는 변화된 다른 경로가 설정된다는 것과 이동이 완료되었을 때 수정된 경로로 향한 객체 진행 방향을 완료시점에서 원래의 진행방향으로 수정해야 항으로써 자연스럽지 못한 움직임을 보인다는 것이 문제점으로 지적되었다. 이를 보완하기 위해서 본 논문에서는 기존의 움직임 벡터를 새로 움직여야 할 움직임 벡터에 반영하여 새로운 경로가 원래의 경로와 보다 근접할 수 있도록 하고, 이동의 완료시점에서 객체가 향하는 방향이 원래 경로로 이동했을 경우와 동일하도록 하는 알고리즘을 제안하고, 각 알고리즘을 동일한 이동경로를 적용하여 비교하였다.