Transcript Risk Analysis

5. 위험평가
2004.10
신수정
Reference
 Information Security Architecture – Tudor 4장
 Risk Management Guide for Information Technology Systems – NIST SP 800-30
 Guide for Developing Security Plans for Information Technology Systems – NIST SP 80018
 ISO 13335
 BS7799 Part 1,2
 기타 신수정의 내부 자료
- 더 자세한 내용은 ‘보안관리’(이재우교수님) 수업에서 공부하시길…
2
1. Introduction
People
보안전략/조직
위험평가
정책/정보분류
보안기술 아키텍쳐
Process
Technology
Data
Application
User
System
Network
Physical
Data
Application
User
System
Network
Physical
기밀성
무결성
가용성
IdentificationAuthenticationAuthorizationAdministration
Audit
보안관리 아키텍쳐
모니터링
사고대응
사업연속 인력보안
보안교육
Validation/Audit/Measure/Certification
Enterprise Architecture & IT Planning
3
외주보안
2. 기본 Concept
•
Risk=f(value of Assets, likelihood of Threats, ease of
exploitation of the Vulnerabilities by the threat , Existing
Safeguard)
•
Risk Management
–
–
–
–
Risk
Risk
Risk
Risk
Identification
Analysis(qualitative, quantitative)
Response planning
monitoring and control
•
Risk Assessment
-
Impact
Likelihood/Probability
4
Risk Assessment
2. 기본 Concept
exploit
Vulnerabilities
Threat(위협)
(취약성)
Assets
expose
Increase
Protect
against(방어)
Safeguard
Threat
circumvents Unreliable
control
control
over threat
Increase
Risk
(보안대책)
have
Indicate
Met by
Increase
Control
(safeguard)
Asset
Protection
Requirement
Vulner
ability
Values
5
Control
covers
threat
3. 위험관리 절차
Establishment of
Review Boundary
Risk Analysis
Valuation of assets
and Establishment
of dependencies
between assets
Identification of
Assets
Threat
Assessment
Assessment of
Vulnerabilities
Assessment of Risks
Selection of
safeguards
Identification
Review of constraints
Risk Acceptance
No
Yes
ISO: Risk Management involving
Detailed risk analysis
IT System security
policy
IT security plan
6
Identification of
existing/planned
safeguard
3. 위험관리 절차
NIST
7
4. 위험평가 기법 – 자산 조사 및 가치 부여
No
• Asset are anything of value…
• Within the review boundary
자산명
1
인사시스템
2
3
고객데이타
자산분류
자산의 가치 자산의 가치 자산의 가치
( C )
(I)
(A)
시스템
데이터
웹Appl i c ati on 어플리케이션
자산의 가치(H,M , L)
시스템. 데이터, 애플리케이션, 네트워크, 설비
personnel
physical
hardware
facilities
Mainframe,minis, micro
Peripherals, online/offline
Storage media
documentation
supplies
Assets
Data/information
logical
System SW
software
Application SW
8
4. 위험평가 기법 – 위협 및 빈도 조사
A threat
-The potential for a threat-source(natural, human,
environmental) to exercise a specific vulnerability
-some action or event that can lead to a loss.
-Possible source of harm for the IT system
• Threat source – target - likelihood
• Assess the Likelihood
9
4. 위험평가 기법 – 위협 및 빈도 조사
No
위협
위협
위협영역
위협의 발생
빈도
Tf
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
화재
Fire
수해(홍수, 누수포함)
Flood
환경
전력공급실패, 불안정한 전력
공급
Failure of power supply
Malicous destruction of data &
데이터와 설비의 악의적 파괴 facilities
절도와 사기
Theft & Fraud
악성소프트웨어(바이러스, 웜
등) 공격
Malicous code
사이트 침입
site intrusion
의도적 공격
도청
Eavesdropping
사회공학
Social Engineering
서비스 거부
Denial of service
비인가된 데이터 접근
Unauthorized data access
Unauthorized
software
비인가된 소프트웨어 변경
changes
Failure
of
communication
통신서비스 장애
services
하드웨어, OS 고장, 장애
Technical failure
응용프로그램, 데이터 베이스
의 고장, 장애
Software/Program errors
사고 및 실수
운영직원 또는 사용자의 실수 operation staff errors
외부유지보수인력의 실수, 부
주의
Failure of outsourced operation
loss or absence of key
주요직원의 상실 또는 결석
personnel
10
위협대상
HW
설비
SW
데이터
S
O
O
S
O
O
S
O
S
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
O
4. 위험평가 기법 – 취약성 분석
•
•
Vulnerability
–
Weakness which allow a threat to occur
–
Vulnerability in itself does not cause harm
취약성 점검 방법
–
체크리스트: NIST, BS7799 Control 등
–
시스템 보안 테스팅: 자동화툴, 보안테스트, 침투테스트
11
4. 위험평가 기법 – 취약성 분석
•
위협-취약성 연계
M ETHOD 1
포함자산명
고객데이타
자산분류
데이터
자산의
가치
자산의
가치
자산의
가치
A_c
A_I
A_a
H
H
연관위협
위협레벨
고객데이타
자산분류
원격해킹
L
위협 B
L
연관위협
위협-취약
성
H
데이터
자산의
가치
자산의
가치
자산의
가치
A_c
A_I
A_a
H
H
세부 취약성 취약성 레벨 위협-취약
레벨
총괄
성
T
M ETHOD 2
포함자산명
취약성
T-V
원격해킹
L
위협 B
M
H
12
방화벽설정 취약
패스워드 취약
Application 버그
방화벽설정 취약
패스워드 취약
Application 버그
M
L
H
M
L
H
V
T-V
M
L
H
M
4. 위험평가 기법 – 위험 계산
•
Risk=f(value of Assets, likelihood of Threats, ease of
exploitation of the Vulnerabilities by the threat , Existing
Safeguard)
포함자산명
자산분류
자산의
가치
자산의
가치
자산의
가치
A_c
A_I
A_a
인사시스템
시스템
H
M
L
고객데이타
데이터
H
H
H
L
M
H
웹Appl i c ati on 어플리케이션
13
연관위협
위협레벨
취약성레벨
화재
절도
해킹
화재
절도
해킹
화재
절도
해킹
T
L
L
L
M
L
L
M
L
L
V
L
L
L
M
L
L
M
L
L
위험계산
A1T1V1
A1T2V2
A1T3V3
4. 위험평가 기법 – 위험 계산
Level of threat
Level of vul.
Asset
Value
Low
L
M
High
Medium
H
L
M
L
M
H
14
H
L
M
H
5. 위험 대응(완화) 정책
•
-
-
-
Techniques for Risk response planning
Avoidance: changing the situation(ex. Plan) to
eliminate the risk or condition.
Transference:seeking to shift the consequence of a
risk to a third party together with ownership of the
response
Mitigation: seeking to reduce the probability or/and
consequences of adverse risk event to an
acceptable threshold.
Acceptance: ‘contingency plan’(active) or ‘no
action’(passive)
15
5. 위험 대응(완화) 정책
16
5. 위험 대응(완화) 정책
17
•
-
Controls
Technical
Management
Operation
•
Residual Risk
6. 정보보호 대책이행 계획
18
7. Case Study
•
•
조별로 1개의 시스템에 대해서 위험평가 및 보안계획 수립
SP 800-18, SP 800-30 Reading
19