애플리케이션 보안

애플리케이션 보안(Application security)은 응용 소프트웨어의 보안 정책에서의 결함이나 시스템 개발에서의 눈에 띄지 않는 위약점들 같은, 코드의 생명주기 전체 과정을 아우른다.

애플리케이션은 자신들에게 부여된 자원들만 제어할 수 있다. 결과적으로 애플리케이션 보안을 통해 애플리케이션의 사용자들에 의해 이 자원들의 사용을 결정한다.

 방법론 
patterns & practices Improving Web Application Security 책에 의하면, 애플리케이션 보안을 위한 원칙에 기반한 접근은 아래와 같다.
 위협을 인식한다.
 네트워크, 호스트 그리고 애플리케이션을 보호한다.
 소프트웨어 개발 프로세스에 종합적인 보호를 넣는다.

 위협, 공격, 취약점 그리고 대책 
patterns & practices Improving Web Application Security 책에 의하면, 아래의 용어들은 애플리케이션 보안과 관련이 있다.Improving Web Application Security: Threats and Countermeasures, published by Microsoft Corporation.
 자산. 데이터베이스의 데이터 같은 값의 자원 또는 시스템 자원.
 위협. 취약점을 공격하여 자산을 습득, 손해, 파괴하는 등의 행위
 보안 취약점. 자산에의 비인가 접근을 획득할 수 있는 위협에 사용되는 익스플로잇 같은 약점.
 공격 (또는 익스플로잇). 자산에 위해한 행위.
 대책. 위협을 완화시키는 위협에 대한 보호 장비.

 애플리케이션 위협/공격 
patterns & practices Improving Web Application Security 책에 따르면 다음은 애플리케이션에 대한 위협/공격의 분류이다.
범주위협 / 공격입력 유효성 버퍼 오버플로; 사이트 간 스크립팅; SQL 삽입; 정규화소프트웨어 부당 변경공격자들은 비인가된 행위를 수행하기 위하여 애플리케이션의 런타임 행위를 수정한다. 이것은 익스플로잇이나 바이너리 패칭, 코드 대체 또는 코드 확장을 통해 가능해진다. 인증네트워크 도청 ; 무차별 대입 공격; 사전 공격; 쿠키 리플레이 인가권한 확대; 기밀 자료 폭로; 데이터 부동 변경 구성 관리관리 인터페이스에 대한 비인가된 접근; 설정 저장소에 대한 비인가된 접근; 텍스트 설정 데이터의 검색; 개개인의 의무의 부족; 과한 권한이 부여된 프로세스와 서비스 계정민감한 정보민감한 코드나 자료에 대한 접근; 네트워크 도청; 코드/데이터 부당 변경세션 관리 세션 하이재킹; 세션 리플레이; 중간자 공격 암호화형편없는 키 생성과 키 관리파라미터 조작쿼리 문자열 조작예외 관리정보 공개; 서비스 거부 공격감사와 로깅사용자가 동작의 수행을 거부한다; 공격자가 추적 없이 애플리케이션을 취약점 공격한다

 모바일 애플리케이션 보안 
모바일 장치의 비율은 점차 증가하고 있다. 이러한 모바일 장치의 애플리케이션 보안을 강화하는 여러 가지 전략들이 있다.
 애플리케이션 화이트 리스팅
 전송 계층 보안 강화
 강력한 인증과 인가
 메모리 쓰기 시 데이터 암호화
 애플리케이션 샌드박싱
 API 수준 당 애플리케이션 접근 허가
 사용자 ID와 관련된 프로세스
 모바일 애플리케이션과 운영체제와의 미리 정의된 상호작용
 특권이 필요한 접근 시 사용자의 입력 요구
 적절한 세션 핸들링
2017년 구글은 취약점 보상 프로그램을 확장하여 제3자가 개발하고 구글 플레이 스토어를 통해 이용할 수 있게 했다. 업계 단체들도 GSM Association과 Open Mobile Terminal Platform(OMTP)을 포함한 권장 사항을 만들었다.

 애플리케이션을 위한 보안 테스트 
보안 테스팅 기법은 취약점이나 보안 결점을 위해 만들어졌다. 취약점들은 애플리케이션을 공격당하게 만든다. 이상적인 보안 테스팅은 전체 소프트웨어 개발 프로세스 (SDLC) 동안에 구현되는 것이다. 하지만 불행하게도 테스팅은 종종 개발의 마지막 부분에서 수행된다.

취약점 스캐너는 역사적으로 보안 컨설턴트들이 보안 테스트를 자동화하기 위해 사용되어 왔다. 그러나 이것은 실제 소스 코드 검토의 필요성을 대체할 수 없다. 실제 코드 검토는 직접 또는 자동화된 방식으로 달성될 수 있다. 인간의 뇌는 애플리케이션의 모든 경로 확인에 요구되는 데이터 흐름 분석보다는 (특히 프로그램이 큰 경우에), 결과를 거르고 보고하는 것에 더 맞는 편이다.

애플리케이션 취약점 탐지와 관련된 자동화 툴로는 모의 해킹 (Penetration Testing) 툴(종종 블랙박스 검사 툴로 범주화 된다.)과 정적 프로그램 분석 툴들이 있다.(종종 화이트박스 검사 툴로 범주화 된다.)

 보안 자격증 
보안 전문가들이 특정 분야에서 자신의 지식을 입증할 때 쓰이는 많은 자격증들이 있지만, 특히 이것의 유용한 점은 경험 많은 전문가들에게 혼합된 검토를 받는다는 점이다.

 보안 표준과 규제 
 사베인스 옥슬리법 (SOX)

 Health Insurance Portability and Accountability Act (HIPAA)

 IEEE P1074

 ISO/IEC 7064:2003 Information technology -- Security techniques -- Check character systems

 ISO/IEC 9796-2:2002 Information technology -- Security techniques -- Digital signature schemes giving message recovery -- Part 2: Integer factorization based mechanisms
 ISO/IEC 9796-3:2006 Information technology -- Security techniques -- Digital signature schemes giving message recovery -- Part 3: Discrete logarithm based mechanisms

 ISO/IEC 9797-1:1999 Information technology -- Security techniques -- Message Authentication Codes (MACs) -- Part 1: Mechanisms using a block cipher
 ISO/IEC 9797-2:2002 Information technology -- Security techniques -- Message Authentication Codes (MACs) -- Part 2: Mechanisms using a dedicated hash-function

 ISO/IEC 9798-1:1997 Information technology -- Security techniques -- Entity authentication -- Part 1: General
 ISO/IEC 9798-2:1999 Information technology -- Security techniques -- Entity authentication -- Part 2: Mechanisms using symmetric encipherment algorithms
 ISO/IEC 9798-3:1998 Information technology -- Security techniques -- Entity authentication -- Part 3: Mechanisms using digital signature techniques
 ISO/IEC 9798-4:1999 Information technology -- Security techniques -- Entity authentication -- Part 4: Mechanisms using a cryptographic check function
 ISO/IEC 9798-5:2004 Information technology -- Security techniques -- Entity authentication -- Part 5: Mechanisms using zero-knowledge techniques
 ISO/IEC 9798-6:2005 Information technology -- Security techniques -- Entity authentication -- Part 6: Mechanisms using manual data transfer

 ISO/IEC 14888-1:1998 Information technology -- Security techniques -- Digital signatures with appendix -- Part 1: General
 ISO/IEC 14888-2:1999 Information technology -- Security techniques -- Digital signatures with appendix -- Part 2: Identity-based mechanisms
 ISO/IEC 14888-3:2006 Information technology -- Security techniques -- Digital signatures with appendix -- Part 3: Discrete logarithm based mechanisms

 ISO/IEC 27001:2005 and ISO/IEC 27001:2013 Information technology -- Security techniques -- Information security management systems -- Requirements

 ISO/IEC 27002:2005 Information technology -- Security techniques -- Code of practice for information security management

 ISO/IEC 24762:2008 Information technology -- Security techniques -- Guidelines for information and communications technology disaster recovery services - now withdrawn.

 ISO/IEC 27006:2007 Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems

 ISO/IEC 27031:2011 Information technology -- Security techniques -- Guidelines for ICT readiness for Business Continuity

 ISO/IEC 27034-1:2011 Information technology — Security techniques — Application security -- Part 1: Overview and concepts
 ISO/IEC TR 24772:2013 Information technology — Programming languages — Guidance to avoiding vulnerabilities in programming languages through language selection and use

 Gramm-Leach-Bliley Act

 PCI Data Security Standarded (PCI DSS)

 같이 보기 
 대책
 데이터 보안
 데이터베이스 보안
 HERAS-AF
 정보 보안
 웹 애플리케이션
 웹 애플리케이션 프레임워크
 XACML

 각주 

 외부 링크 
 The Web Application Security Consortium
 The Microsoft Security Development Lifecycle (SDL)
 patterns & practices Security Guidance for Applications
 Advantages of an integrated security solution for HTML and XML
 patterns & practices Application Security Methodology
 Understanding the Windows Mobile Security Model, Windows Mobile Security]
 Network Security Testing

분류:데이터 보안
분류:모바일 보안