위협 모델링 프로세스

자산식별 -> 위협 식별 -> 취약점 분석 -> 위험 평가 -> 대응 방안 수립

 

자산 식별

- 보호가 필요한 시스템 내의 자산(가치 있는 데이터와 리소스들)을 식별한다

 

자산

- 정보 자산: 데이터베이스, 파일, 백업 데이터 등

- 시스템 자산: 서버, 네트워크 장비, 업무용 어플리케이션

- 인프라 자산: 클라우드 리소스, 물리적 시설

- 비즈니스 자산: 지적 재산권, 고객 신뢰, 회사 및 제품에 대한 평판

 

자산 분류 기준

- 중요도: 핵심, 중요, 일반

- 민감도: 기밀, 내부용, 공개

- 가용성: 고가용성, 중간 가용성, 일반 가용성

 

자산 간 연관관계 및 업무 프로세스와의 연관성, 외부 시스템과의 의존성 파악

 

위협 식별

- 자산에 위해를 가할 수 있는 잠재적인 위협을 찾기 위해 공격 표면, 신뢰 경계 및 그 외의 다양한 접근 방식을 통해 위협을 식별한다

- 위협 행위자 분류 및 분석

    - 외부 위협 행위자: 해커, 산업 스파이

    - 내부 위협 행위자: 불만 직원(퇴사자), 사용자 실수, 권한 남용자

- 위협 카테고리 분류

    - STRIDE 적용

- 위협 시나리오 도출

    - 공격 트리 분석 - 루트 노드: 공격 목표 / 중간 노드: 세부 공격 단계, 하위 목표 / 리프 노드: 구체적 공격 방법, 실제 실행 가능한 공격 기법

    - 공격 패턴 매핑 - 알려진 공격 패턴을 시스템에 매핑하여 잠재적 위협 식별

    - Use / Misuse 케이스 분석 - 정상적 사용 케이스와 악의적 사용 케이스를 분석

 

취약점 분석

- 식별된 위협이 발현될 수 있는 취약점이 분석

- 취약점 분석 방법

    - 정적 분석: 코드 리뷰, 설정 검토, 아키텍처 분석

    - 동적 분석: 침투 테스트, 모의 해킹

- 취약점 데이터베이스 활용

    - CVE (Common Vulnerabilities and Exposures) - MITRE에서 관리하는 보안 취약점 데이터베이스

    - NVD (National Vulnerability Database) - 미국 NIST에서 운영하는 취약점 데이터베이스 (CVE 기반으로 취약점의 심각도 점수, 상세 분석 등 추가 정보 제공)

    - CWE (Common Weakness Enumeration) - 소프트웨어/하드웨어 보안 약점을 분류한 목록 (취약점 유형과 원인을 체계적으로 분류하여 개발자들에게 정보 제공)

 

위험 평가

- 식별된 위협과 취약점이 조직에 미치는 영향과 발생 가능성을 정량적, 정성적으로 평가

- 위험도 산정 방법

    - 정량적 평가: 금전적 손실 예측, 확률 / 통계적 접근

    - 정성적 평가: 영향도 등급, 발생 가능성 평가

- 위험 평가 프레임워크

    - DREAD(각 항목을 점수로 평가하고 평균을 산출)

    - Damage : 공격 성공 시 발생하는 피해 규모

    - Reproducibility : 공격 재현 가능성

    - Exploitability : 공격 실행 난이도

    - Affected Users : 영향받는 사용자 범위

    - Discoverability : 취약점 발견 용이성

- 위험 평가 프레임워크, 매트릭 등을 이용해 위험 수준 결정

 

대응 방안 수립

- 평가된 위험에 대해 수용 가능한 수준으로 통제하기 위해 기술적, 관리적, 물리적 대책을 수립한다

 

대응 전략 유형 분류

- 위험 회피 : 위험 요소 제거, 대체 솔루션 도입, 기능 제한 / 중단

- 위험 감소 : 보안 통제 구현, 모니터링 강화, 프로세스 개선

- 위험 전가 : 보험 가입, 아웃소싱, 책임 분산

- 위험 수용 : 잔여 위험 관리, 대응 계획 수립

 

보안 통제 수행

- 기술적 통제 : 접근 통제, 암호화, 로깅 / 모니터링

- 관리적 통제 : 정책 / 절차 수립, 교육 / 훈련 진행

- 물리적 통제 : 시설, 정비 보호, 환경 통제

 

대응에 대한 문서화 및 책임자 지정, 사고 대응 절차 등 수립