[논문 리뷰] Defending against cybersecurity threats to the payments and banking system

Williams Haruna, Toyin Ajiboro Aremu외 1명|arXiv (Cornell University)|2022. 12. 15.

Information and Cyber Security인용 수 9

한 줄 요약

이 논문은 진화하는 사이버 위협에 대비해 결제 및 은행 시스템을 보호하기 위한 종합적인 방어-깊이 프레임워크를 제안한다. 사이버 위협을 분류하고 사이버 공간 내 핵심 자산을 식별하며, 특정 위협 유형과 기능성에 보안 제어를 매핑하여, 금융 기관의 금융적 손실 및 데이터 유출 위험을 줄이기 위한 표적적이고 다층적인 보안 조치를 시행할 수 있도록 IT 전문가들에게 지원한다.

ABSTRACT

Cyber security threats to the payment and banking system have become a worldwide menace. The phenomenon has forced financial institutions to take risks as part of their business model. Hence, deliberate investment in sophisticated technologies and security measures has become imperative to safeguard against heavy financial losses and information breaches that may occur due to cyber-attacks. The proliferation of cyber crimes is a huge concern for various stakeholders in the banking sector. Usually, cyber-attacks are carried out via software systems running on a computing system in cyberspace. As such, to prevent risks of cyber-attacks on software systems, entities operating within cyberspace must be identified and the threats to the application security isolated after analyzing the vulnerabilities and developing defense mechanisms. This paper will examine various approaches that identify assets in cyberspace, classify the cyber threats, provide security defenses and map security measures to control types and functionalities. Thus, adopting the right application to the security threats and defenses will aid IT professionals and users alike in making decisions for developing a strong defense-in-depth mechanism.

연구 동기 및 목표

• 금융 기관의 결제 및 은행 시스템을 대상으로 하는 사이버 공격 증가 추세에 대응하기 위해.
• 사이버 공간 내에서 악용될 수 있는 잠재적 피해를 입을 수 있는 핵심 디지털 자산과 취약점을 식별하기 위해.
• 금융 시스템에 미치는 영향의 정도에 따라 위협의 성격에 따라 사이버 위협을 분류하기 위해.
• 특정 위협 유형과 시스템 기능성에 적절한 보안 제어 및 방어 메커니즘을 매핑하기 위해.
• IT 전문가 및 이해관계자들이 금융 시스템을 위한 견고하고 다층적인 보안 아키텍처를 설계하는 데 지원하기 위해.

제안 방법

• 금융 기관의 사이버 환경 내 자산을 식별하고 분류하기 위한 체계적인 접근 방식을 적용한다.
• 멀웨어, 피싱, 시스템 침투 등의 공격 벡터를 기반으로 사이버 위협을 분류한다.
• 소프트웨어 시스템 내 기존의 취약점을 분석하여 위험 노출 수준을 판단한다.
• 기능 분류 체계를 사용하여 보안 제어를 위협 유형에 매핑함으로써 시스템 요구사항과의 일치를 확보한다.
• 기술적, 관리적, 물리적 제어를 통해 다층적인 보호 조치를 통합함으로써 방어-깊이 원칙을 강조한다.
• 특정 위협과 해당하는 보안 메커니즘 및 제어 유형을 연결하여 의사결정 지원을 가능하게 한다.

실험 결과

연구 질문

• RQ1 은행 및 결제 사이버 환경 내 핵심 자산을 체계적으로 식별하고 우선순위를 정할 수 있는 방법은 무엇인가?
• RQ2 금융 기관 소프트웨어 시스템을 대상으로 하는 주요 사이버 위협 유형은 무엇인가?
• RQ3 보안 제어를 특정 위협 유형과 시스템 기능성에 효과적으로 매핑하는 방법은 무엇인가?
• RQ4 금융 시스템을 보호하기 위해 다층적이고 방어-깊이 원칙을 구현하는 데 필요한 메커니즘은 무엇인가?
• RQ5 IT 전문가들이 위협 프로파일에 기반하여 가장 적절한 보안 솔루션을 선택하는 방법은 무엇인가?

주요 결과

• 프레임워크는 공격 벡터와 시스템 영향에 따라 은행 부문의 사이버 위협을 명확한 범주로 분류하는 데 성공했다.
• 연구는 소프트웨어 시스템의 취약점이 금융 기관에서 사이버 공격의 주요 입구임을 밝혀냈다.
• 위협 유형에 보안 제어를 매핑함으로써 방어 조치의 정밀성과 효과성을 향상시킬 수 있었다.
• 기술적, 관리적, 물리적 제어를 조합함으로써 방어-깊이 전략이 복원력을 크게 향상시켰다.
• 위협 프로파일에 기반하여 적절한 보안 솔루션을 선택할 수 있도록 의사결정 지원 메커니즘을 제공한다.
• 특정 제어 유형과 시스템 기능성에 보안 조치를 일치시킴으로써 위험 완화를 향상시켰다.