Earticle

This study analyzed the social engineering attack trends and environment on the Korean defense industry. We discovered the expected social engineering attacks and proposed the countermeasures. The damage that is caused by social engineering attack on the person is limited to oneself. But, the defense industry is related with the national security. The Social engineering attack on the defense industry is more serious. Therefore, the prevention of social engineering attacks is a very important action for the security management of the defense industry. To do this, we suggested the expected social engineering attack trends and proposed the countermeasures.

최근의 보안 관련 공격들은 시스템의 취약점을 악용하는 공격보다는 시스템을 운영하는 사람을 목표로 하는 공 격들이 다양하게 발생하고 있다. 그러나 현재 사람을 주요 공격 목표로 하는 사회공학 공격들의 위험도를 분석 하여 전략적으로 대응하고자 하는 연구는 매우 부족한 현실이다. 본 논문에서는 사회공학 공격의 위험도를 평가 하기 위해 공격 경로, 공격 수단, 공격 단계, 공격 도구, 공격 목표 측면에서 사회공학 공격들을 분석한다. 아울 러 동일한 공격에 대해 조직의 특성과 환경에 따라 위험도는 다름을 반영하여 사회공학 공격 위험도와 함께 조 직의 특성과 환경을 고려한 조직의 위험도를 평가한다. 뿐만 아니라, 일반적인 공격 위험도 평가 방법인 CVSS, CWSS, OWASP Risk Rating Methodology를 분석하여 사회공학 공격에 대한 조직의 위험도 평가 방안을 제 안한다. 제안한 방법론은 조직의 환경 변화에 따라 조직에 적절한 사회공학 공격에 대한 조치를 취할 수 있도록 평가 유연성이 있다.

Recently security related attacks occur in very diverse ways, aiming at people who operate the system rather than the system itself by exploiting vulnerabilities of the system. However, to the our best knowledge, there has been very few works to analyze and strategically to deal with the risks of social engineering attacks targeting people. In this paper, in order to access risks of social engineering attacks we analyze those attacks in terms of attack routes, attack means, attack steps, attack tools, attack goals. Then, with the purpose of accessing the organizational risks we consider the characteristics and environments of the organizations because the impacts of attacks on the organizations obviously depend on the characteristics and environments of the organizations. In addition, we analyze general attack risk assessment methods such as CVSS, CWSS, and OWASP Risk Rating Methodolog. Finally, we propose the risk access scheme of social engineering attacks for the organizations. The proposed scheme allows each organization to take its own proper actions to address social engineering attacks according to the changes of its environments.

국가간에 이루어지는 사회공학 공격은 주로 비밀정보, 외교의 협상 또는 미래의 정책 변경에 대해 우위를 확보하기 위해 매우 효율적인 공격이므로 꾸준히 실시되고 있다. 우크라이나-러시아 전쟁이 장기화함에 따라 글로벌 해킹 조직의 활동이 꾸 준히 증가하고 있으며, 주요 기반시설 또는 글로벌 기업 대상의 대규모 사이버공격 시도가 지속되므로 이에 대한 대응전략이 필요하다. 이를 위해 다양한 사회공학 공격 모델 중 물리적인 접촉을 배제한 사회공학 사이클이 가장 적합한 모델이라 판단하 여 주요 위협국이 선호하는 사회공학 공격 방법을 사례분석을 통해 지정학적 전술과 비교하여 분석하였다. 그 결과 중국은 인 해전술과 같은 질보다 양을 선호하는 피싱공격을 러시아는 마치 첩보전을 연상하는 은밀하고 복잡한 스피어 피싱을 선호하며, 북한은 미국과 한국에 대한 공격은 스피어 피싱과 워터링홀로 지정학적 전술을 응용하여 활용하였고 그 외 국가들은 대부분 랜섬웨어로 자금확보를 목표로 하였다. 이에 따라 중국에는 클린패스 정책, 러시아에는 주기적인 의무교육, 북한에는 국제적인 제재 등을 대응전략으로 제시하였다.

Nation-state social engineering attacks are steadily being carried out as they are highly effective attacks, primarily to g ain an advantage over secret information, diplomatic negotiations or future policy changes. As The Ukraine-Russia war pr olongs, the activities of global hacking organizations are steadily increasing, and large-scale cyberattack attempts against major infrastructure or global companies continue, so a countermeasure strategy is needed. To this end, we determined tha t the social engineering attack cycle excluding physical contact among various social engineering models is the most suita ble model, and analyzed the preferred social engineering attack method by comparing it with geopolitical tactics through ca se analysis. AS a result China favors phishing attacks, which prefer quantity over quality, such as man-made tactics, Rus sia prefers covert and complex spear phishing reminiscent of espionage warfare, and North Korea uses geopolitical tactics such as spear phishing and watering holes for attacks on the US and South Korea Most of the other countries aimed to s ecure funds with ransomware. Accordingly, a Clean Pass policy for China, periodic compulsory education in Russia, and in ternational sanctions against North Korea were presented as countermeasure strategies.

최근의 해킹 공격 양상은 급격히 변화하고 있으며, 사회공학적 기법을 이용한 피싱 공격은 정보 사회를 위협하고 있다. 사회공학적 기법을 이용한 피싱 공격은 기술적으로 취약한 시스템을 해킹하는 것 이외에도 사용자를 기만하여 개인 및 기업의 내부 정보 및 중요 정보를 획득하는 수단이 되고 있다. 따라서 본 연구에서는 사회공학적 기법을 이용한 피싱 공격에 대해 국내외의 사례 분석 및 통계 분석을 통하여 향후 위협의 방향성을 찾고, 이에 대응하는 기술들을 분석하여 국내 실정에 맞는 모델을 제시하고자 한다. 이를 통해 향후 미래에 발생할 사회공학적 기법을 이용한 해킹 공격으로부터 개인 및 기업을 보호할 수 있으리라 판단된다

The hacking aspect of recent times is changing, the phishing attack which uses a social engineering technique is becoming the threat which is serious in Information Security. It cheats the user and it acquires a password or financial information of the individual and organization. The phishing attack uses the home page which is fabrication and E-mail, and acquires personal information is sensitive and financial information. This study proposes the establishment of National Fishing Response Center, complement of relation legal system, Critical distribution channel of individual and enterprise.

시스템 성능의 발달과 보안기술의 발전으로 인해 최근의 보안 관련 공격들은 시스템의 취약점을 이용한 공격보다는 시스템을 운영하는 사람을 목표로 하는 공격들이 다양하게 발생하고 있다. 따라서 가장 큰 취약점이 사람이며 사람 중심의 보안전략이 필요하다는 것이 이슈가 되고 있다. 하지만 사람 을 일차 목표로 하는 사회공학 공격들의 위험도를 분석하여 전략적으로 대처하고자 하는 연구는 진 행되지 않고 있다. 따라서 본 논문에서는 사회공학 공격 사이클 및 공격 기법과 일반 공격 위험도 수 치화 방법인 CVSS, CWSS, OWASP 위험등급 방법론 등을 분석하여 사회공학 공격의 위험도를 평가 할 수 있는 평가 지표를 제시한다.

Due to the development of system performance and security technology, the first target of recent security attacks tends to be the people who operate the system, rather than the system itself. Therefore, one of the most crucial vulnerabilities is the people, which reflects the need for the human-centric security. To the best our knowledge, however, there is no previous works for such social engineering attacks through the analysis of risk assessment. In this paper, first we analyze the technologies of social engineering attacks and methodologies for common vulnerability assessment such as CVSS, CWSS, OWSAP Risk Rating Methodology. Then, based on the analysis, we develop risk assesment indexes for social engineering attacks.

Social engineering attack means to get information of Social engineering attack means to get information of opponent without technical attack or to induce opponent to provide information directly. In particular, social engineering does not approach opponents through technical attacks, so it is difficult to prevent all attacks with high-tech security equipment. Each company plans employee education and social training as a countermeasure to prevent social engineering. However, it is difficult for a security officer to obtain a practical education(training) effect, and it is also difficult to measure it visually. Therefore, to measure the social engineering threat, we use the results of social engineering training result to calculate the risk by system asset and propose a attack graph based probability. The security officer uses the results of social engineering training to analyze the security threats by asset and suggests a framework for quick security response. Through the framework presented in this paper, we measure the qualitative social engineering threats, collect system asset information, and calculate the asset risk to generate probability based attack graphs. As a result, the security officer can graphically monitor the degree of vulnerability of the asset's authority system, asset information and preferences along with social engineering training results. It aims to make it practical for companies to utilize as a key indicator for establishing a systematic security strategy in the enterprise.

이 연구는 특정행위를 하거나 기밀정보를 누설하도록 사람들을 조정하는 산업기술 유출방법인 ‘사회공학적 공격(social engineering attacks)’ 방법에 대하여 살펴보고자 한다. 사회공학적 공격방법은 기존의 산업기술 유출 방법과는 달리 산업기술 유출 주체가 컴퓨터 전문 지식을 갖추는 것보다는 신뢰할 수 있는 기관의 직원으로 사칭하거나 개인적인 친분이 있는 사람으로 가장하여 타인으로 하여금 자신의 목적을 달성시키기 위해 심리적인 측면을 악용하는 범죄유형이라고 볼 수 있다. 이는 보안시스템이 잘 갖춰진 기업이라 할지라도 이를 사용하는 주체도 사람이며, 사람의 취약성으로 인해 이러한 장치들이 무용지물이 될 수 있다는 점에서 심각한 기술유출 범죄 유형으로 부각되고 있는 것이다. 일반적으로 알려진 사회공학적 공격방법의 단계는 다음과 같다. 첫째는 정보수집(Information Gathering) 단계이다. 둘째는 관계형성(Development of Relationship) 단계로 1단계인 정보 수집 단계에서 공격자는 공격 대상과 관련된 다양한 정보들을 충분히 수집하였다고 판단할 경우 공격자는 이제 공격 대상과 직접적인 관계를 형성하기 위해 2단계인 관계 형성 단계로 발전하게 된다. 세 번째 단계인 공격(Exploitation)은 공격자가 수집한 다양한 정보들을 바탕으로 공격 대상과 충분한 신뢰감을 형성하였다고 판단 할 경우에 진행하게 된다. 마지막인 실행(Execution) 단계에서 공격 대상은 공격자가 요청한 사항에 대해 직접적인 실행으로 옮김으로써 이로 인해 실질적인 피해가 발생하게 된다. 이러한 사회공학적 공격방법에 의한 산업기술 유출상황에 대한 대응방안으로는 변화된 공격 패턴에 대한 인지 및 유형화, 취약성 감소 방안 마련, 수준별 대응방안의 마련을 들 수 있다.

This study demonstrated that the social engineering is a technique depends greatly on the interaction among people which often includes others cheating for breaking the standard security procedures. The process of using social engineering is a way which doesn’t require any prior or deep knowledge of all computer techniques types, it depends on some of the psychological and social facts of people as well as it is one of the risks which directly cannot be expected. There are no complete systems to prevent the trickery operation from taking place. Today, social engineering that is considered the great security threat to people and organizations is one of the powerful attack method of the security industry. Social engineering is the art of tricking, luring or manipulating end-users to reveal his password or to divulge other valuable corporate information by appealing to their sense of social norms, with the aim of gaining access to one's system. In other words, It is a technique in which an unauthorized person manages to pose as an insider or an authority to sucessfully get access to information or resources. This principal strategies of the social engineering can be summarized in four basic steps. First, To gather information. This can be information from public sources(phone book, web pages or previous other social engineering attacks etc.). this information will be used to develop a relationship with the target. Second, To develop a relationship(create rapport and trust etc.). Third, To exploit the relationship(reveal secret informations, passwords etc.). Fourth, execution for achievement of target. There are several steps a industrial circles should take to countermeasure the threat of social engineering. They are understand changes of ocial engineering attacks, reduce vulnerabilities by social engineering attacks and countermeasures per attacks level. Generally, you will find company penetration tests help the most vulnerable access points and to develop defenses to prevent confidential information from being stolen. We concluded that there are some basic guidelines to protect against social engineering.