검색하면서 자주 마주하게 될 사이버 보안 기관(organization)

1. SANS 

미국의 비영리 연구 및 교육기관으로, 사이버보안과 관련된 교육 및 인증제도를 제공하고 있고, 사이버 보안과 관련된 연구를 진행한다.  미국을 대상으로 시작해서 아시아 태평양계에도 사이버보안 교육을 수행하면서 인지도를 높인 것으로 보이며 현재 미국 최대 규모의 사이버보안 교육/연구기관이라고 생각하면 된다. 

 

무료로 제공되는 Cheet Sheet과 같은 정리된 자료나 Blog를 통해 얻을 수 있는 교육자료들이 쏠쏠한 편이고, 내용의 질 또한 매우 높다. 아래 링크는 SANS에서 악성코드 분석과 관련된 방법론에 대해서 다루고 있는 블로그 글이다. 

https://www.sans.org/blog/how-you-can-start-learning-malware-analysis/

How You Can Start Learning Malware Analysis | SANS Institute

 

 

2. MITRE Corporation

MITRE는 'CVE'(취약점 고유번호) 및 'CWE'(SW/HW별 취약점 타입)를 정의하고 전세계에 제공중이다. NIST의 NVD와 함께 취약점 관리체계에 있어서 양대 산맥을 이루고 있다. CVE 사이트의 Q&A페이지에 언급된 바에 의하면 두 사이트는 Synchronized 되어 있으며 국가기관에 의해 함께 지원받고 있는 협력관계라고 한다. 

 

그리고 MITRE ATT&CK "마이터 어택" 이라고 불리우는 위협 및 사이버 공격 프레임워크를 정의하였고, 해당 프레임워크는 다양한 논문 및 보안솔루션에서 채택되어 활용되고 있다. 공격자의 입장에서 기업의 자산 및 네트워크에 침투할 때 구사할 수 있는 전략(Tatics)과 기술(Tecniques)를 상세하게 분류하여 Matrix로 표현하여 두었다. 

https://cve.mitre.org/

CVE - CVE

https://cwe.mitre.org/

CWE - Common Weakness Enumeration

https://attack.mitre.org/

MITRE ATT&CK®

 

 

3. NIST 

미국의 "국립표준기술연구소"로 각종 보안 기술에 대해서 표준을 정의하고 이에 대한 표준문서를 상세하게 제공한다.  일례로 침해사고 대응의 절차와 대상을 정의한 발간물로는 'NIST SP800-86'이 있다. 

http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

 

취약점 데이터베이스인 NVD(National Vulnerability Database)를 운영하고 있다. 위의 MITRE CVE와 비교했을 때, OS별로 더 상세한 정보를 제공하는 등 더 많은 정보가 있다고 한다. 

https://nvd.nist.gov/

NVD - Home

 

출처 : KISA IIS발간지 제 1권 제 2호 (2010)  (https://www.kisa.or.kr/jsp/common/libraryDown.jsp?folder=9011745)

 

4. OWASP

미국의 웹 서비스 보안과 관련된 표준기술서 및 웹 취약점과 관련된 가이드 문서 등을 발간중인 비영리 단체이다.

Open Web Application Security Project의 약자이며, OWASP top 10 프로젝트를 통해 3~4년마다 위험도 등에 따른 상위 10가지의 취약점에 대해서 국제적으로 정의한 내용을 발표한다. 

https://owasp.org/

OWASP Foundation | Open Source Foundation for Application Security

 

https://owasp.org/Top10/

OWASP Top 10:2021