웹 환경 내 개인정보 공격에 대한 대응방안 연구

Abstract

이전 웹 시스템 보안의 주 대상이었던 바이러스, 웜과는 달리 대부분 뚜렷한 목적을 가지고 사용자로부터 부당한 금전적 이익을 취하기 위하여 개인정보에 접근을 시도한다는 점에서 피싱(Phishing) 등의 금융 사기가 현재 보안의 핫 이슈로 대두되고 있다. 피싱이란 단어에는 비밀번호나 금융 정보와 같은 개인 정보를 낚으려는(fishing) 의도가 반영되어 있다. 피싱은 사회공학적 방법 및 기술적 은닉 기법을 이용하여 개인정보, 금융 계정 정보를 절도하는 수법이며 금융 사기가 전체의 78.4%에 달한다. 본 논문에서는 웹 환경 내의 개인정보 공격 방법과 사례(피싱사이트 등)를 분석하고, 사전에 예방할 수 있는 방안에 대해 제안하여 보았다. 제안된 웹 사이트 보안 수준 확인 시스템은 웹 페이지의 물리적, 내부적, 외부적 검사의 3가지 메커니즘으로 구성되어 있으며, 이를 통해 웹 사이트에 존재하는 위험 요소를 검사해 준다. 물리적 분석은 접속 중인 웹 페이지의 URL 주소 분석을 통해 이루어지며, 내부적 분석은 페이지 내 HTML 소스를 분석함으로써 다른 사이트로의 링크 주소와 Input Type Pattern 분석을 통한 위험 요소 검출이 이루어진다. 웹 사이트의 외부적 분석은 피싱 사이트에 사용되는 IP가 해외 사이트가 많다는 점을 바탕으로, 접속 중인 페이지의 서버가 국내에 존재하는지의 여부를 가지고 판단한다. 또한 접속 중인 웹 사이트의 신뢰도 검증을 위한 DB검색(WWL, WBL)을 통해 개인 정보 침해 사고를 최소화하는 방안을 제시하여 보았다.|The financial trick like Phishing is currently to be a hot issue in the security areas. The reason to hot issue is phishing attempts to approach in private data with clear objects the unfairly financial profit from others, unlike virus or worm. Phishing is a form of online identity theft that employs both social engineering and technical subterfuge to steal consumers' personal identity data and financial account credentials. And 78.4% of phishing attacks targeted on financial services. In this work, I analyze the ways and cases(Phishing etc.) of various personal information attacks in web environment, and suggested the prevention system in order to protect against from attacks. Web site Verification Management System consists of 3 mechanisms - physical, internal and external inspecting mechanism - and provides the threats alert existed inside web site with these mechanisms. Physical analysis comes out accessing web page's URL address, and internal analysis comes out inspecting linked address and input type patterns inside HTML source codes with the web page. And an external analysis of web site is decided by whether the server host exist domestic or overseas, because a lot of foreign web servers are used on phshing site many times. Finally I suggest that can be useful to reduce the Web site phishing threats with Website White List DB and Website Black List DB.