[논문 리뷰] Countering Social Engineering through Social Media: An Enterprise Security Perspective

Heidi Wilcox, Maumita Bhattacharya|arXiv (Cornell University)|2015. 11. 21.

Information and Cyber Security참고 문헌 14인용 수 3

한 줄 요약

이 논문은 기업 환경에서 소셜 미디어를 통한 사회공학적 위협을 검토하고, 보다 나은 보안 정책과 인식 제고를 통해 이러한 위험을 완화하기 위한 프레임워크를 제안한다. 공공 및 민간 부문의 기존 정책을 분석하고, 격차를 파악하며, 조직의 사회공학 공격에 대한 회복력을 강화하기 위한 실행 가능한 대응 조치를 제시한다.

ABSTRACT

The increasing threat of social engineers targeting social media channels to advance their attack effectiveness on company data has seen many organizations introducing initiatives to better understand these vulnerabilities. This paper examines concerns of social engineering through social media within the enterprise and explores countermeasures undertaken to stem ensuing risk. Also included is an analysis of existing social media security policies and guidelines within the public and private sectors.

연구 동기 및 목표

• 소셜 미디어 플랫폼이 기업 데이터를 대상으로 하는 사회공학자에 의해 어떻게 악용되고 있는지 조사한다.
• 공공 및 민간 부문 기관의 기존 소셜 미디어 보안 정책과 지침을 분석한다.
• 사회공학 위협과 관련된 현재 정책의 격차와 약점을 파악한다.
• 개선된 보안 정책과 직원 인식 제고를 통해 사회공학에 대응하기 위한 통합 프레임워크를 제안한다.
• 기업이 소셜 미디어에서의 사회공학 공격에 대비해 사전적이고 정책 기반의 방어 체계를 수립하는 데를 지원한다.

제안 방법

• 공공 및 민간 부문 기관 간 소셜 미디어 보안 정책을 비교 분석한다.
• 소셜 미디어를 통한 사회공학 공격에서 흔히 사용되는 공통된 취약점과 공격 벡터를 특정한다.
• 정책 개발, 직원 교육, 기술적 통제를 통합하는 체계적인 프레임워크를 제안한다.
• 기존 문헌과 실제 사례 연구를 바탕으로 정책 권고를 도출한다.
• 조직 문화와 지속적인 인식 프로그램이 위험 감소에 미치는 역할을 강조한다.
• 컴퓨터 과학과 사회적 보안의 통찰을 융합하여 인간 중심의 공격 벡터를 대응한다.

실험 결과

연구 질문

• RQ1 소셜 미디어 플랫폼은 어떻게 사회공학자가 기업 데이터를 손상시키기 위해 악용되고 있는가?
• RQ2 공공 및 민간 부문에서 현재 소셜 미디어 보안 정책의 주요 약점은 무엇인가?
• RQ3 사회공학 공격 위험을 효과적으로 줄이기 위해 어떤 정책 및 절차 개선이 가능한가?
• RQ4 조직은 소셜 미디어에서의 개방성과 강력한 보안 통제 간의 균형을 어떻게 유지할 수 있는가?
• RQ5 직원 인식은 소셜 미디어에서의 사회공학 위협 완화에 어떤 역할을 하는가?

주요 결과

• 많은 조직에서 사회공학 위험에 대비한 종합적인 소셜 미디어 보안 정책이 부족하다.
• 기존 정책는 LinkedIn 및 Twitter와 같은 플랫폼에서 사회공학자가 사용하는 진화하는 기법을 충분히 다루지 못한다.
• 기업 환경에서 정책 수립과 실제 구현 사이에 뚜렷한 격차가 존재한다.
• 정책 집행과 지속적인 직원 교육을 병행하는 조직은 사회공학 공격에 대한 민감도가 낮아진다.
• 소셜 미디어 사용과 위협 대응을 통제하기 위한 표준화된 기업 전역의 프레임워크가 필요하다는 점을 규명했다.
• 제안된 프레임워크는 정책, 교육, 기술적 보안 조치를 통합함으로써 조직의 회복력을 향상시킨다.