🍦 Building Software development Security

Security Terms 2️⃣

• 스미싱(Smishing):
  문자 메시지(SMS)를 이용해 사용자의 개인 신용 정보를 빼내는 수법

• 스피어 피싱(Spear Phishing):
  사회 공학의 한 기법으로, 특정 대상을 선정한 후 그 대상에서 일반적인 이메일로 위장한 메일을 지속적으로 발송하여, 발송 메일의 본문 링크나 첨부된 파일을 클릭하도록 유도해 사용자의 개인 정보를 탈취하는 공격

• APT(Advanced Persistent Threats, 지능형 지속 위협):
  다양한 IT 기술과 방식들을 이용해 조직적으로 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤 때를 기다리면서 보안을 무력화시키고 정보를 수집한 다음 외부로 빼돌리는 형태의 공격

• 무작위 대입 공격(Brute Force Attack):
  암호화된 문서의 암호키를 찾아내기 위해 적용 가능한 모든 값을 대입하여 공격하는 방식

• 크리덴셜 스터핑(Credential Stuffing):
  무차별 대입 공격의 일종으로 공격자가 미리 확보해 놓은 로그인 자격 증명을 다른 계정에 무작위로 대입해 사용자 계정을 탈취하는 공격 방식

• 큐싱(Qshing):
  QR코드(Quick Response Code)를 통해 악성 앱의 다운로드를 유도하거나 악성 프로그램을 설치하도록 하는 금융사기 기법의 하나로, QR코드와 개인정보 및 금융정보를 낚는다(Fishing)는 의미의 합성 신조어

• WEP(Wired Dquivalent Privacy, 유선급 프라이버시):
  유선 랜(LAN)에서 기대할 수 있는 것과 같은 보안과 프라이버시 수준의 무선 랜(WLAN)의 보안 프로토콜

• WPA2(Wi-Fi Protected Access 2):
  WEP의 취약성에 대한 대안으로 발표된 무선랜 보안 기술 규격으로, IEEE 802.11i 표준을 수용하지 못했던 WPA를 개선한 버전

• EDR(Endpotin Detection & Response):
  엔드포인트 영역에 대한 지속적인 모니터링을 통해 행위 기반 위협 탐지 및 분석, 대응 기능을 제공하는 솔류션
  *엔드포인트 : 요청을 보내는 시작접인 사용자의 PC, smartphone이나 서비스의 종착점인 서버 등을 의미

• TMS(Threat Management System):
  전사적 IT 인프라에 대한 위협정보들을 수집∙분석∙경보∙관리하는 정보보호 통합관리 시스템으로, 실시간으로 공신력 있는 대외 정보보호기관의 위협정보들을 수집∙분석하여 정보보호관리자에게 제공

• DTLS(Datagram Transport Layer Security):
  전공 계층 프로토콜인 UDP 기반으로 통신을 수행하는 경우 SSL/TLS와 유사한 보안 기능을 제공하는 프로토콜

• POODLE(Padding Oracle On Downgraded Segacy Encryption):
  TLS 연결을 SSL 3.0으로 낮춰 SSL 3.0의 취약점을 이용하여 암호문을 해독하는 공격 기법

• DDE(Dynamic Data Exchange):
  마이크로소프트 오피스와 애플리케이션 사이에서 데이터를 전달하는 프로토콜로, 엑셀 등 오피스 프로그램에서 DDE가 활성화될 시 일반 문서로 위장한 악성 코드가 전파될 수 있음

• Zombi PC:
  악성코드에 감염되어 다른 프로그램이나 컴퓨터를 조종하도록 만들어진 컴퓨터로 C&C 서버의 제어를 받아 주로 DDoS 공격 등에 이용됨

• C&C(Command & Control):
  해커가 원격지에서 감염된 좀비 PC에 명령을 내리고 악성 코드르 제어하기 위한 용도로 사용되는 서버를 말함

• 봇넷(Botnet) :
  악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태를 말함

• 악성 봇(Madicious Bot):
  스스로 실행되지 못하고, 해커의 명령에 의해 원격에서 제어 또는 실행이 가능한 프로그램 혹은 코드로 DDoS등에 악용되며, 좀비 PC는 악성 봇에 의해 감염된 PC임

• Zero Day Attack :
  보안 취약점이 발견되었을 때 발견된 취약점의 존재 자체가 널리 공표되기도 전에 해당 취약점을 통하여 이루어지는 보안 공격으로, 공격의 신속성을 의미

• 멀버타이징(Malvertising):
  악성 소프트웨어를 뜻하는 Malware(뭘웨어)와 Advertising(광고)의 합성어로, 온라인 광고를 통해 악성코드를 유포시키는 행위

• CC(Common Criteria)인증:
  국가마다 서로 다른 정보보호시스템 평가기준을 연동하고 평가결과를 상호 인증하기 위해 제정된 정보보안 평가기준으로, ISO/IEC 15408에 등록된 국제 표준

• 정보공유분석센터
  (ISAC; Information Sharing & Analysis Center):
  취약점 및 침해요인과 그 대응방안에 관한 정보를 제공하며, 침해사고가 발행사는 경우 실시간 경보∙분석체계를 운영하고, 금융∙통신 등 분야별 정보통신기반시설을 보호하기 위한 업무를 수행하는 곳

• 업무연속성계획 (BCP; Business Continuity Planning):
  각종 재해, 장애, 재난으로부터 위기관리를 기반으로 재해 복구, 업무복구 및 재개, 비상계획 등의 비지니스 연속성을 보장하기 위한 계획으로, RTO, RPO, 우선순위를 설정하기 위해 업무 영향 분석(BIA)을 수행

• Cyber Kill Chain :
  록히드 마틴의 사이버 킬체인은 공격형 방위시스템으로 지능적, 지속적 사이버 공격에 대해 7단례 프로세스별 공격 분석 및 대응을 체계화한 APT 공격 방어 분석 모델

• 데이터 디들링(Data Diddling):
  처리할 자료를 다른 자료와 바꿔서 처리하는 것으로, 입력값이나 출력값을 부정한 의도로 수정하여 잘못된 결과가 나오도록 유도하는 방식

• Race Condition Attack :
  실행되는 프로세스가 임시파일을 만드는 경우 악의적인 프로그램을 통해 그 프로세스의 실행 중에 끼어들어 임시파일을 심볼릭 링크하여 악의적인 행위를 수행하게 하는 공격기법
  *Race Condition : 둘 이상의 프로세스나 스레드가 공유자원을 동시에 접근할 때, 접근 순서에 따라 비 정상적인 결과가 발생하는 조건/상황

• 공급망 공격(Supply Chain Attack):
  소프트웨어 개발사의 네트워크에 침투하여 소스 코드의 수정 등을 통해 악의적인 코드를 삽입하거나 배포 서버에 접근하여 악의적인 파일로 변경하는 방식을 통해 사용자 PC에 소프트웨를 설치/업데이트 시 자동적으로 감염되도록 하는 공격 기법

참고,
길벗알앤디. 『정보처리기사 실기 단기완성』. 길벗. 2023.
NCS 정보처리기술사 연구회. 『수제비 2023 정보처리기사 실기』. 건기원. 2023.