대한민국 전자정부 소프트웨어 개발보안 가이드 개선 방안 연구 = An Improvement of the Guideline of Secure Software Development for Korea E-Government

다국어 초록 (Multilingual Abstract)

We propose an improvement on the Guideline of Secure Software Development for Korea e-Government that is under revision by the Ministry of Public Administration and Security in 2012. We adopted a rule-oriented organization instead shifting from the current weakness-oriented one. The correspondence between the weakness and coding rules is identified.
Also, added is the coverage of diagnostic tools over the rules to facilitate the usage by programmers during coding period When the proposed guideline is applied to secure software development, the weakness would be controlled indirectly by enforcing coding rules. Programmers responsibility would be limited to the compliance of the rules, while the current version implies that it is programmers responsibility to guarantee being free from the weakness, which is hard to achieve at reasonable cost.

국문 초록 (Abstract)

본 연구에서는 행정안전부의 전자정부 소프트웨어 개발·운영자를 위하여 2012년에 발표한 소프트웨어 개발보안 가이드를 개선하기 위한 방안을 제안하였다. 개선 방안은 취약점 관점이 아닌 코딩 규칙 관점으로 개발보안 가이드를구성하는 것이다. 이를 위해 보안약점과 코딩 규칙, 이를 진단하기 위한 진단도구의 상관관계를 연구하였다. 제안된개발보안 가이드를 사용하게 되면 코딩 규칙을 준수함으로써 보안약점 감소 효과를 거둘 수 있을 것이다. 기존의 개발보안 가이드가 개발자에게 보안약점이 없는 프로그램을 개발하도록 하는 달성하기 어려운 책임을 지우는 것에 반해,본 논문에서 제안하는 개발보안 가이드는 프로그래머의 책임을 코딩 규칙을 준수하도록 하는 것으로 제한할 것이다.

참고문헌 (Reference)

• 1 행정안전부, "정보시스템 구축 운영 지침(행정안전부고시 제2011-36호)"
• 2 행정안전부, "전자정부 소프트웨어 개발·운영자를위한 소프트웨어 개발보안 가이드"
• 3 Fred Long, "The CERT Oracle SecureCoding Standard for Java" Addison-Wesley 2012
• 4 Robert C. Seacord, "The CERT C SecureCoding Standard" Addison- Wesley 2008
• 5 "Splint-Secure Programming Lint"
• 6 Robert C. Seacord, "Secure Coding in Cand C++" Addison-Wesley 2005
• 7 "ROSE compiler infrastructure"
• 8 "PMD"
• 9 "LDRA Software Technology"
• 10 "Klockwork"
• 11 "HP Fortify Static Code Analyzer"
• 12 "Findbugs"
• 13 Nuno Antunes, "Defendingagainst Web Application Vulnerabilities" 45 (45): 66-72, 2012
• 14 "CppCheck"
• 15 "Coverity Prevent"
• 16 I.A. Elia, "Comparing SQL Injection DetectionTools Using Attack Injection: AnExperimental Study" 289-298, 2010
• 17 "Common Weakness Enumeration"
• 18 "CERT"
• 19 Nathaniel Ayewah, "Areport on a survey and study of staticanalysis users" 1-5, 2008