[보안] 정적 분석도구 & 동적 분석도구

 

 

 

분석도구

 

 

1. 정적 분석도구

 

 소스코드 분석 도구

 

• Yasca : 화이트 박스 테스트 도구
• 분석 후 보고서를 html, xml, csv 등 다양한 형태로 생성
• Yasca를 개발한 홈페이지에서 다운로드해주면 okay~

 

 

 yasca 플러그인

Plug-in	설명
clamav	악의적인 파일 검사
finbugs	class, jar 소스코드 검사
pmd	jsp 소스코드 검사
cppcheck	c, c++ 소스코드 검사 -> pvs-studio주로 사용
pixy	php 소스코드 검사
jlint	JAVA 소스코드 검사
javascriptlint	Javascript 소스코드 검사
phplint	PHP4, PHP5 소스코드 검사
rats	C, C++, Perl, PHP, Python 소스코드 검사
Grep	Grep 기능 이용한 패턴 검사
Antic	C/C++ 소스코드 검사
IntegrityCheck	무결성 검사

 

 

 

 

다음 사이트로 가보면 여러가지 취약점들이 나와있습니다.

 

https://samate.nist.gov/SRD/testsuite.php

Software Assurance Reference Dataset

 

 

 

 

 

 

 

---

 

 

 

 

국내에는 어떤 도구들이 있을까요?

항상 국정원 cc인증을 받아야하는데요

 

cc인증의 기준이 있습니다.

Common Criteria = 공통평가기준

 

https://itscc.kr/main/main.do

IT보안인증사무국

 

 

보안검토성필이라고도 부릅니다.

 

우선 해외에 있는 것들도 국내로 들어오면 반드시 이 인증을 거쳐야하기 때문입니다.

사이트에 방문해보면 보안 장비들도 확인할 수 있습니다.

 

 

보안등급은 무엇일까요??

 

cc인증은 EAL1 ~ EAL7까지 나누어져 있습니다.

EAL7로 올라갈수록 보안 테스트, 규정 등이 까다로워집니다.

EAL은 결국 보안 수준을 의미합니다.

 

회사에서 보통 만들 때 우리는 EAL3단계가 목표다 라고 설정을 하는 것입니다.

 

 

 

 

ISMS

 

• 정보보호관리체계
• 국내기준 업종별, 매출액 등이 대상
• ISO27001을 기준으로 해서 한국식으로 커스텀마이징한 기준
• 포털사이트들은 반드시 인증받아야하는 기준

 

 

BS7799

 

• 영국에서 만들어낸 표준
• 영국 왕립 협회(?) 에서 계속 표준을 만들어냄
• 국내에서 ISO27001을 사용하기 전에 사용하던 기준

 

 

---

 

 

2. 동적 분석도구

 

• OWAS-ZAP : 칼리 리눅스에 기본적으로 설치되어 있음 (개별 설치도 가능)
• 애플리케이션의 보안 취약점을 탐지하기 위한 통합 침투 테스트 도구로 개발되고 있음.
• 기본적으로 프록시 기능 제공
• 자동화된 웹 취약점 점검 기능을 제공하여 Fuzzer라는 기능을 통해 고급 취약점 점검 수행도 가능하게 함.