COMPASS란 무엇인가요?
COMPASS는 벡터가 개발한 솔루션으로, 위협 분석 및 위험 평가(TARA, Threat Analysis and Risk Assessment) 와 취약점 관리(Vulnerability Management) 를 계획, 수행 및 평가할 수 있도록 지원합니다. COMPASS는 효율적이고 포괄적인 TARA 수행에 필요한 모든 요구사항을 충족하도록 설계되었습니다.
TARA를 수행하는 과정에서는 지속적으로 방대한 양의 데이터가 생성되고 축적됩니다. COMPASS는 이러한 데이터를 체계적이고 직관적인 방식으로 관리할 수 있도록 지원합니다.
또한 COMPASS는 다양한 평가 및 보고 기능을 제공하여 분석 결과를 효과적으로 검토하고 활용할 수 있도록 지원합니다. 이를 통해 사용자는 위협, 취약점 및 위험 요소를 보다 효율적으로 평가하고 관리할 수 있습니다.
더불어 버전 관리 기능과 산출물(Artifact) 재사용 기능을 제공하여 분석 결과를 지속적으로 재활용하고 개선할 수 있습니다. 따라서 COMPASS를 사용할수록 데이터베이스는 특정 제품과 개발 환경에 더욱 최적화되어, TARA 및 취약점 관리 활동의 효율성과 일관성을 지속적으로 향상시킬 수 있습니다.
지원되는 표준 및 모델
ISO/SAE 21434 기반 위협 분석 및 위험 평가(TARA, Threat Analysis and Risk Assessment)
ISO/SAE 21434 기반 취약점 관리(Vulnerability Management)
STRIDE 기반 위협 정의(Threat Definition)
고객 맞춤형 모델 추가 지원(요청 시)
COMPASS가 제공하는 차별화된 가치
- 자산(Asset), 피해 시나리오(Damage Scenario), 공격 경로(Attack Path), 위협(Threat) 및 보안 목표/주장(Goal/Claim) 식별 지원
- 이벤트(Event), 취약점(Weakness) 및 보안 취약성(Vulnerability) 분석 및 관리
- 보고서 가져오기 및 내보내기 기능
- 사용자 요구에 따른 화면(View) 구성 및 맞춤화
- ISO/SAE 21434 표준과의 정합성 확보
- 제품 생애주기 전반을 위한 단일 정보 관리 체계(Single Source of Truth) 제공
- 산출물 및 분석 결과의 재사용성 지원
특별한 기능
기능
TARA 수행을 위한 COMPASS
TARA 분석 지원
TARA는 다음 항목에 대한 분석을 포함합니다.
자산(Assets)
위협(Threats)
공격(Attacks)
보안 목표(Goals)
보안 요구사항(Requirements)
데이터 분석
COMPASS는 TARA 과정에서 생성되는 데이터를 효율적으로 분석하고 관리할 수 있도록 지원합니다.
관련성이 있는 산출물을 식별하고 진행 상태를 추적
다양한 기준에 따른 데이터 필터링
특정 텍스트 검색
표시되는 열(Column)의 재구성 및 정렬
Excel 가져오기 및 내보내기 지원
TARA 수행
COMPASS는 TARA 활동을 효율적으로 수행할 수 있도록 다양한 자동화 기능을 제공합니다.
공격 경로(Attack Path), 피해 시나리오(Damage Scenario), 위협 정의(Threat Definition) 템플릿 제공
생성된 자산과 피해 시나리오를 기반으로 TARA 평가 자동 생성
안전성(Safety), 재무(Financial), 운영(Operation), 개인정보(Privacy) 영향에 대한 위험 수준 자동 계산
공격 실현 가능성(Attack Feasibility) 자동 계산
데이터베이스 내 모든 평가 결과로부터 자산, 공격 경로 및 기타 산출물 재사용 가능
사이버보안 목표(Security Goals) 및 보안 주장(Security Claims)을 포함한 평가 결과를 요구사항 엔지니어링 도구로 내보내기 지원
취약점 관리 수행
COMPASS는 취약점 관리(Vulnerability Management) 활동도 지원합니다.
TARA 데이터베이스의 위협 및 공격 경로 재사용
관련 사이버보안 이벤트 입력 및 분류
이벤트와 관련된 취약점(Weakness) 식별
취약점 분석 및 보안 취약성(Vulnerability) 도출
대응 계획(Treatment Plan) 수립 및 진행 상황 모니터링
제품과 관련된 모든 정보를 하나의 통합된 정보 관리 체계(Single Source of Truth)로 관리
