[정보처리기사] 실기 정리 - 9과목 (1)

🧀 SW 개발 보안

1. 개념

소스 코드에 존재하는 보안 취약점을 제거하고, 보안을 고려하여 기능을 설계 및 구현하는 등 소프트웨어 개발 과정에서 지켜야 할 일련의 보안 활동

2. 구성

(1) SW 개발 보안 3요소

• 기밀성(Confidentiality) : 인가되지 않은 개인 혹은 시스템 접근에 따른 정보 공개 및 노출을 차단하는 특성

• 가용성(Availability) : 권한을 가진 사용자나 애플리케이션이 원하는 서비스를 지속적으로 사용할 수 있도록 보장하는 특성

• 무결성(Integrity) : 정당한 방법을 따르지 않고서는 데이터가 변경될 수 없으며, 데이터의 정확성 및 안전성과 고의 또는 악의로 변경되거나 훼손 및 파괴되지 않음을 보장하는 특성

(2) SW 개발 보안 용어

• 자산(Assets) : 조직의 데이터 또는 조직의 소유자가 가치를 부여한 대상
• 위협(Threat) : 조직이나 기업의 자산에 악영향을 끼칠 수 있는 사건이나 행위
• 취약점(Vulnerability) : 위협이 발생하기 위한 사전 조건에 따른 상황
• 위험(Risk) : 위협이 취약점을 이용하여 조직의 자산 손실 피해를 가져올 가능성

3. 방법론

(1) MS-SDL

(2) Seven Touchpoints

(3) CLASP

🧀 공격 기법

1. DoS (Denial of Service)

시스템을 악의적으로 공격해 해당 시스템의 자원을 부족하게 하여 원래 의도된 용도로 사용하지 못하게 하는 공격

(1) 지역 시스템 공격

실제 대상 시스템에 접근하여 서버 하드웨어에 직접 과부하를 주는 공격

(2) 원격 네트워크 공격

공격자가 목표 시스템에 접근하지 않고 원격지에서 인터넷 등을 이용한 공격

2. DDoS (Distributed DoS)

DoS의 다른 형태로 여러 대의 공격자를 분산 배치하여 동시에 동작하게 함으로써 특정 사이트를 공격

(1) 구성

• 공격자(Attacker) : 해커의 컴퓨터, 공격을 주도
• 마스터(Master) : 공격 명령을 받아 여러 대의 에이전트를 관리하는 시스템
• 핸들러(Handler) : 마스터 시스템 역할을 수행하는 프로그램
• 에이전트(Agent) : 직접 공격하는 시스템
• 데몬 프로그램(Daemon) : 에이전트 시스템 역할을 수행하는 프로그램

(2) 대응 방안

• 차단 정책 업데이트
• 좀비 PC IP 확보
• 보안 솔루션 운영
• 홈페이지 보안 관리
• 시스템 패치

3. 자원 고갈 공격

정상 접속을 시도하는 오픈된 소켓에 트래픽을 집중시키는 공격

(1) SYN 플러딩(Flooding)

ACK를 보내지 않고 SYN 패킷만 보내 서버의 동시 가용 사용자 수를 점유하여 다른 사용자가 서버를 사용하지 못하게 하는 공격

• 대응 방안
  • 연결 타임아웃을 짧게 함
  • Backlog Queue 확대
  • Syncookie 기능 활성화
  • 보안 장비를 통해 침입 탐지 및 차단
  • 최신 시스템 패치 및 업데이트

(2) UDP 플러딩(Flooding)

대량의 UDP 패킷을 만들어 임의의 포트로 전송하여 응답 메시지(ICMP)를 생성하게 하여 지속적으로 자원을 고갈시키는 공격

(3) 스머프(Smurf)

출발지 주소를 공격 대상의 IP로 설정하여 전체 네트워크에 ICMP echo 패킷을 직접 브로드캐스팅하여 마비시키는 공격

• 대응 방안
  • 다른 네트워크로부터 자신의 네트워크로 들어오는 직접 브로드캐스트 패킷을 허용하지 않도록 라우터를 설정
  • 브로드캐스트 주소로 전송된 ICMP echo Request 메시지에 응답하지 않도록 시스템을 설정

(4) PoD(Ping of Death)

큰 사이즈의 패킷을 의도적으로 목표 시스템으로 발생시켜 시스템이 서비스할 수 없는 상태로 만드는 공격

• 대응 방안
  • 분할된 ICMP 패킷을 공격으로 의심하여 탐지하도록 설정
  • 취약점 패치

4. 애플리케이션 공격

• HTTP GET 플러딩(Flooding)
  HTTP 캐시 옵션을 조작하여 캐싱 서버가 아닌 웹서버가 직접 처리하도록 유도하여 웹서버 자원을 소진시키는 서비스 거부 공격

• Slowloris(Slow HTTP Header DoS)
  HTTP GET 메소드를 사용하여 헤더의 최종 끝을 알리는 개행 문자열을 전송하지 않아 대상 웹서버와 연결 상태를 장시간 지속시키고 연결 자원을 모두 소진시키는 서비스 거부 공격

• RUDY(Slow HTTP POST DoS)
  요청 헤더의 Content-length를 비정상적으로 크게 설정하여 메시지 바디 부분을 매우 소량으로 보내 계속 연결 상태를 유지시키는 공격

• 대응 방안
  • 동시 연결에 대한 임계치 설정
  • 연결 타임아웃 설정
  • 읽기 타임아웃 설정을 통해 차단

5. 네트워크 서비스 공격

(1) 네트워크 스캐너(Scanner), 스니퍼(Sniffer)

네트워크 하드웨어 및 소프트웨어 구성의 취약점 파악을 위해 공격자가 사용하는 공격 도구

(2) 패스워드 크래킹(Password Cracking)

사전 크래킹과 무차별 크래킹 방법을 사용해 네트워크 패스워드를 탐색

(3) IP 스푸핑(IP Spoofing)

서버에 대한 인증되지 않은 액세스 권한을 입수하는 데 사용하는 기법

(4) 트로이 목마(Trojan Horses)

악성 루틴이 숨어 있는 프로그램으로서 겉보기에는 정상적인 프로그램처럼 보이지만 실행하면 악성코드를 실행

(5) 대응 방안

네트워크 보안 장비, 네트워크 접속 차단 시스템, 백신 설치를 통해 방어

6. 취약점 공격

(1) 랜드 어택(Land Attack)

출발지 IP와 목적지 IP를 같은 패킷 주소로 만들어 보냄으로써 수신자가 자기 자신에게 응답을 보내게 하여 시스템의 가용성을 침해하는 공격 기법

(2) 봉크(Bonk)/보잉크(Boink)

프로토콜의 오류 제어를 이용한 공격 기법으로 시스템의 패킷 재전송과 재조립이 과부하를 유발

• 봉크 : 같은 시퀀스 번호를 계속 보냄
• 보잉크 : 일정한 간격으로 시퀀스 번호에 빈 공간 생성

(3) 티어 드롭(Tear Drop)

IP 패킷의 재조합 과정에서 잘못된 Fragment Offset 정보로 인해 수신 시스템이 문제를 발생하도록 만드는 DoS 공격

(4) 대응 방안

• 랜드 어택 : 수신되는 패킷 중 출발지 IP와 목적지 IP가 같은 패킷을 차단
• 봉크/보잉크/티어 드롭 : 과부하가 걸리거나 반복되는 패킷을 재전송 요구 없이 버림

🧀 암호화 알고리즘

1. 개념

데이터의 무결성 및 기밀성 확보를 위해 정보를 쉽게 해독할 수 없는 형태로 변환하는 기법

2. 종류

(1) 대칭 키 암호 방식

암호화와 복호화에 같은 암호 키를 쓰는 암호 방식

• 블록 암호 방식
  긴 평문을 암호화하기 위해 고정 길이의 블록을 암호화하는 블록 암호 알고리즘을 반복하는 방법
  • DES(Data Encryption Standard)
    56bit의 키를 이용해 64bit의 평문 블록을 64bit의 암호화 블록으로 만드는 알고리즘
  • AES(Advanced Encryption Standard)
    DES를 대체한 알고리즘
  • SEED
    안전성과 신뢰성이 우수한 고속 블록 단위의 128bit 대칭 키 암호화 알고리즘

• 스트림 암호 방식
  매우 긴 주기의 난수열을 발생시켜 평문과 더불어 암호문을 생성하는 방식
  • RC4

(2) 비대칭 키 암호 방식

공개 키를 이용해 암호화하고 개인 키를 이용해 복호화하는 암호 방식
공개 키는 공개적 배포가 가능하고, 개인 키는 소유자만 알 수 있어야 함

• 디피-헬만(Diffie-Hellman)
  암호화되지 않은 통신망을 통해 공통의 비밀 키를 공유할 수 있도록 하는 방식
• RSA(Rivest Shamir Adleman)
  소인수분해의 어려움을 이용한 방식

(3) 해시 방식

임의의 데이터를 고정된 길이의 데이터로 매핑하는 단방향 알고리즘
연산 시간이 빠르지만 해시 충돌 문제가 발생할 수 있음

• SHA(Secure Hash Algorithm)
  미국 국가 표준으로 지정된 안전한 해시 암호화 알고리즘
• MD5(Message-Digest Algorithm 5)
  MD4를 대체하기 위해 고안한 128bit 해시 암호화 알고리즘

🧀 보안 항목 식별

1. 정보에 대한 보안 항목 식별

(1) 암호화 조치 명시 여부

구분	암호화 대상	개인정보 보호법	정보통신망법	신용정보법
인증	비밀번호, 바이오 정보	⭕	⭕	⭕
식별	주민등록번호, 운전면허번호, 여권번호, 외국인등록번호	⭕	⭕
금융	계좌번호, 신용카드번호		⭕
위치	위치정보			⭕

(2) 개인 정보 보호법

개인 정보 처리 과정상의 정보 주체와 개인정보 처리자의 권리, 의무 등을 규정

조항	주제	설명
24조	고유 식별 정보의 처리 제한	고유 식별 정보를 처리하는 경우, 해당 정보의 정보 사고 예방 조치
29조	안전조치 의무화	개인 정보의 정보 사고 예방에 필요한 기술적, 관리적, 물리적 조치
30조	개인 정보의 안전성 확보 조치	개인 정보를 안전하게 저장, 전송할 수 있는 암호화 기술 적용

• 정보 사고 : 분실, 도난, 유출, 변조, 훼손

(3) 정보통신망법

정보통신망을 통해 수집, 처리, 보관, 이용되는 개인 정보의 보호에 관한 규정

조항	주제	설명
15조	개인 정보의 보호 조치	비밀번호, 바이오 정보의 일방향 암호화 저장, 계좌번호, 금융 정보의 암호화 저장
28조	개인 정보의 보호 조치	개인 정보의 정보 사고 예방에 필요한 기술적, 관리적 조치
6조	개인 정보의 암호화	서버는 SSL 인증서를 통해 암호화하여 송수신

• SSL(Secure Socket Layer) : 응용 계층과 TCP/IP 계층 사이에서 웹 데이터 암호화 및 전송 시 기밀성을 보장하는 공개 키 기반의 보안 프로토콜

(4) 개인 정보 등급 식별

• 1등급 : 그 자체로 개인을 식별할 수 있거나 민감한 개인 정보
  • 고유 식별 정보 : 개인을 고유하게 구별하기 위해 부여된 식별 정보
    ex. 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호
  • 민감 정보 : 정보 주체의 생활을 현저하게 침해할 수 있는 정보
    ex. 사상, 신념, 노동조합, 정치적 견해

• 2등급 : 조합되면 명확히 개인을 식별 가능한 개인 정보

• 3등급 : 개인 정보가 결합하여 부가적인 정보 제공이 가능한 정보

2. 자산에 대한 보안 항목 식별

(1) 주요 용어

• 자산 : 조직에서 보유한 가치 있는 모든 것
• 사용자 : 자산을 사용하는 사람과 기관
• 소유자 : 자산의 소유 권한 및 관리에 대한 최종 책임자
• 관리자 : 자산의 소유자로부터 관리 위임을 받은 자

(2) 분류 기준

소프트웨어, 하드웨어, 데이터, 문서, 시설, 지원설비, 인력

(3) 자산 목록

자산 목록표는 자산번호, 자산명, 용도, 운영체제, IP, 중요도, 위치, 관리자 등의 항목이 존재하며, 주기적으로 갱신되어 최신상태를 유지해야 함

3. 기능에 대한 보안 항목 식별

(1) 입력 데이터 검증 및 표현

사용자, 프로그램 입력 데이터에 대한 유효성 검증체계를 갖추고, 실패 시 처리할 수 있도록 설계함

• DMS 조회/결과 검증
• XML 조회/결과 검증
• 웹 서비스 요청/결과 검증
• 허용된 범위 내 메모리 접근 검증
• 보안 기능 입력값 검증
• 업로드/다운로드 파일 검증

(2) 보안 기능

인증, 권한 관리, 암호화, 중요 정보 처리 등의 정책이 적절하게 반영될 수 있도록 설계함

• 인증 관리 : 인증 대상 및 방식, 인증 수행 제한, 비밀번호 관리
• 권한 관리 : 중요 자원 접근 통제
• 암호화 : 암호 키 관리, 암호 연산
• 중요 정보 처리 : 중요 정보 저장 및 전송

(3) 에러 처리 및 세션 통제

에러 또는 오류 상황을 적절하게 처리하고, 세션을 안전하게 할당 및 관리하여 세션 정보 노출이나 세션 하이재킹과 같은 침해 사고가 발생하지 않도록 설계함

• 예외 처리
• 세션 통제

🐭 참고문헌

• NCS 정보처리기술사 연구회. (2020). 수제비 정보처리기사 실기 (2판). 건기원.