정보보안기사 필기 21년 3월

시스템 보안

1 다음 중 Windows에서 사용하는 일반사용자 그룹인 Users 그룹에 대한 설명 중 적합하지 않은 것은?

① User는 시스템 크기의 레지스트리 설정, 운영체제 파일 또는 프로그램 파일을 수정할 수 없다.
② User는 워크스테이션을 종료할 수는 있지만 서버는 종료할 수 없다.
③ Users가 로컬 그룹을 만들 수는 있지만 자신이 만든 로컬 그룹만 관리할 수 있다.
④ Users 그룹의 구성원은 다른 Users 그룹에서 실행할 수 있는 프로그램을 설치할 수 있다.

Users 그룹은 일반 사용자를 위한 그룹으로, 시스템 관리 권한이 없음. 따라서 다른 Users 그룹에서 실행할 수 있는 프로그램을 설치할 수 없음.

2 주체가 주도적으로 자신이 소유한 객체(파일 등)에 대한 접근권한(Read, Write, Execution, Append 등)을 다른 주체(사용자)에게 양도하는 등의 행위가 가능한 접근통제 정책은?

① MAC
② RBAC
③ CBAC
④ DAC

• MAC: Mandatory Access Control, 강제적 접근통제 정책.
  • 객체에 대한 접근권한을 시스템 관리자가 일방적으로 부여함.
• RBAC: Role-Based Access Control, 역할 기반 접근통제 정책
  • 사용자에게 역할 부여, 역할에 대한 접근권한 부여.
• CBAC: Context-Based Access Control, 컨텍스트 기반 접근통제 정책.
  • 접근 시점의 상황에 따라 접근권한 부여
• DAC: Discretionary Access Control, 임의적 접근통제 정책
  • 주체가 자신이 소유한 객체에 대한 접근권한을 자유롭게 부여하거나 제거할 수 있음.

3 다음 지문이 설명하는 파일 시스템은?

MS사가 윈도우 CE 6.0 장치와 데스크롭 OS인 윈도우 비스타 및 윈도우 7 그리고 윈도우 서버 2008에 도입하기 위해 만들었다. 자료구조의 오버헤드 문제난 파일 크기/디렉터리 제약 문제에 효과적이다.

• exFAT (Extended File Allocation Table)

4 윈도우 부팅 순서

POST - 하드웨어 자체가 시스템에 문제가 없는지 기본적인 사항을 체크하는 과정
CMOS - 사용자가 설정한 기본 사항을 읽어 시스템에 적용한다.
MBR - 부팅 매체에 대한 기본적인 파일시스템 정보가 들어 있는 MBR 정보를 읽는다
NTLDR - 하드디스크의 부팅 파티션에 있는 프로그램으로 윈도우가 부팅될 수 있도록 간단한 파일시스템을 실행하며 boot.ini 파일의 내용을 읽는다.
NTDETECT.com - 설치된 하드웨어를 검사한다.
ntoskrnl.exe - HAL.dll을 로드한다.

5 루트 사용자 소유로 SUID 권한을 부여한 경우, 이러한 파일로 의심되는 파일을 검색하는 명령어로 알맞은 것은?

④ find / -user –perm –4000 -print

• SUID 권한 : 파일을 실행하는 사용자에게 파일의 소유자 권한을 부여하는 권한.
• perm -4000 : 파일에 SUID 권한이 부여된 것.
• find / -user –perm –1000 -print: 파일에 SUID 권한과 SGID 권한이 모두 부여된 것
• find / -user –perm –2000 -print: 파일에 SGID 권한만 부여된 것
• find / -user –perm –3000 -print: 파일에 Sticky bit 권한만 부여된 것

6 하드웨어 및 소프트웨어를 탑재한 시스템 요소를 의미하는 것은?

① TCB
② EGID
③ PCB
④ CC

• TCB: Trusted Computing Base, 보안성을 보장하기 위해 설계된 하드웨어 및 소프트웨어
• EGID: Effective Group ID, 프로세스가 실행될 때 부여되는 그룹 ID
• PCB: Process Control Block, 프로세스의 상태와 정보를 저장하는 블록
• CC: Control Flow, 프로세스의 제어 흐름

7 다음 지문에서 설명하고 있는 공격은 무엇인가?

인텔, AMD, ARM의 CPU 제품에서 발견된 보안 취약점 중 하나이다. 인텔 CPU에서 사용하는 비순차 명령 실행 검사 우회 버그를 악용하여 해킹 프로그램이 CPU의 캐시 메모리에 접근하고, 데이터를 유출할 수 있게 되는 취약점.

8 파일 공유와 관련된 서비스 포트에 대한 내용으로 적절하지 않은 것은?

① 445(TCP/UDP, Direct Host)
② 139(TCP, NetBIOS Session)
③ 137(UDP, NetBIOS Name)
④ 335(UDP, NetBIOS Datagram)

• 137: UDP, NetBIOS Name
• 138: UDP, NetBIOS Datagram
• 139: TCP, NetBIOS Session
• 445: TCP/UDP, Direct Host

9 접근권한을 확인하였더니 'rwSr- -r- -'이었다. 권한 내의 대문자 S에 대한 설명으로 옳은 것은?

① SetUID를 실행 권한이 없는 파일에 설정할 경우 대문자 S로 표기된다.

• SetUID 권한: 파일을 실행하는 사용자에게 파일의 소유자 권한을 부여하는 권한.
• rwSr--r--: SetUID 권한이 설정됨.
• 디렉토리에 Sticky bit가 설정된 경우: 다른 사용자의 쓰기 권한 부분에 대문자 T가 표기됨.

네트워크 보안

10 다음은 WEP에 대한 설명이다. 빈칸 ㉠에 들어갈 내용으로 적절한 것은?

WEP(Wired Equivalent Privacy)는 무선랜 통신을 위한 암호화 기술 중 가장 기본적인 방법이다. 암호화 알고리즘으로는 RC4를 사용하고, 암호화키 길이는 64비트 또는 128비트이다. 무선 단말에서 무선 AP와 통신을 위해 인증 요청을 보내고, 요청을 받은 무선 AP에서는 중간에 키를 계속 가로챌 경우 키 생성 순서를 예측하는 것을 방지하기 위해 랜덤하게 ㉠를 생성하여 무선 단말기에 보낸다.

Initial Vector

11 무선랜의 전송 패킷에 덧붙여지는 32bytes 길이의 고유 식별자로서, 무선장치들이 BSS(Basic Service Set)에 접속할 때 패스워드같이 사용되는 코드는 무엇인가?

① 무선 네트워크 아이디(SSID)

• SSID: 무선랜의 이름, 알파벳, 숫자, 특수문자 사용 가능.
• WEP(Wired Equivalent Privacy): 무선랜의 보안 프로토콜. WEP은 SSID를 기반으로 데이터 암호화해 보안 제공함.
• MAC: 데이터의 무결성 보장을 위해 사용되는 메시지 인증 코드
• RFID: 근거리 무선 통신 사용해 정보 전송하는 태그. 일반적으로 128bytes.

12 NMAP 포트 스캔에 대한 설명

① TCP Connect Scan: 대상 포트에 대해 3-Way Handshaking을 정상적으로 통신하는 방식. 정상적인 3-Way Handshaking이 완료되면 포트가 열려있다고 판단 가능.
② TCP FIN Scan: 대상 포트로 FIN 패킷을 전송해 응답을 확인하는 방식으로 진행됨. FIN 패킷은 연결 종료를 요청하는 패킷. FIN은 연결 종료를 요청하는 패킷. 포트가 열려 있으면 RST 패킷을 응답함.
③ TCP X-MAS Scan: 대상 포트로 FIN, URG, PSH 플래그가 모두 설정된 패킷을 전송하는 방식, X-MAX 패킷을 비정상적인 패킷으로, 포트가 열려 있으면 RST 패킷을 응답함.
④ TCP Null Scan: 대상 포트로 NULL 패킷을 전송하는 방식으로 응답을 받으면 포트가 닫혀있다고 판단할 수 있다.

13 VPN에 대한 설명

① SSL VPN은 웹브라우저만 있으면 언제 어디서나 사용이 가능.
② IPSec VPN은 네트워크 계층에서 안전하게 정보를 전송하는 방법.
③ IPSec VPN은 터널 모드/ 트랜스포트 모드 지원. 암호화 여부에 따라 ESP, AG 프로토콜 모두 사용 가능.
④ 기본적으로 SSL VPN과 IPSec VPN은 데이터의 기밀성과 무결성이 동일, 데이터의 암호화 구현 방식에 차이

애플리케이션 보안

14 다음 지문에서 설명하고 있는 DNS 구성요소는?

인터넷상에 산재하여 존재하고 있는 네임서버들 가운데에서 특정한 도메인 이름에 대해서 원하는 유형의 리소스 레코드 데이터를 조회하는 기능을 수행하는 역할을 함.

리졸버 : 클라이언트와 네임서버 사이의 중개자 역할을 하며, 도메인 이름에 대한 IP 주소나 기타 정보를 찾기 위해 네임서버에 질의를 수행하는 핵심 컴포넌트

• whois 클라이언트: 도메인의 소유자 정보, 등록일, 만료일, 관리자 연락처 등을 조회하는 프로토콜을 사용하는 클라이언트
• 도메인 제어기: AD 환경에서 사용자 인증 및 권한 관리를 담당하는 서버.

15 FTP 공격 유형

FTP 무차별 대입 공격 (FTP Brute Force Attack): 사전 대입, 계정 탈취, 반복적인 로그인 시도
FTP 바운스 공격: PORT 명령어, 포트 스캐닝, 익명성, 제3의 호스트
익명 FTP 공격: Anonymous, Guest, 누구나 접속, 쓰기 권한
TFTP 공격: UDP 69, 인증 절차 없음, 라우터 설정 파일

• TFTP: FTP 보다 단순한 프로토콜, UDP 69번 port

16 인터넷 메일 구조의 핵심요소

MUA(Mail User Agent): 사용자와 메일 시스템의 인터페이스 역할을 하는 소프트웨어.
MTA(Mail Transfer Agent): 메일 서버 간에 메일을 전송하는 역할을 하는 소프트웨어.
MDA(Mail Delievery Agent): 메일을 사용자의 메일 박스에 전달하는 소프트웨어
MS(Mail Server): 메일 시스템의 기반이 되는 서버

17 DNS 공격 유형

DNS 터널링: 데이터 은닉, 방화벽 우회, C2 통신, 인코딩(Base64)
DNS 스푸핑(Cache Poisoning): 캐시 포이즈닝, 가짜 IP, 파밍(Pharming), 트랜잭션 ID 추측
DNS 하이재킹: 설정 변경, 리다이렉션, 가로채기
NXDOMAIN 공격(DNS Flood): 존재하지 않는 도메인, 무작위 서브도메인, 리소스 고갈, DDoS

18 SET(Security Electronic Transaction) 프로토콜

사용하는 키	대상	결과물	목적
대칭키(세션키)	원본 데이터	암호문	대용량 데이터의 고속 암호화
수신자의 공개키	대칭키(세션키)	전자봉투	키 배송 문제 해결 및 기밀성 보장

정보 보안 일반

19 BLP 모델에 대한설명

• No-write-down 정책: 인가받은 보안등급 이하의 정보를 수정하지 못하게 하는 정책.
• BLP 모델
  • 정보를 Top Secret, Secret, Unclassified 등과 같은 보안 등급에 따라 분류, 정보의 기밀성 보장에 초점.
  • 주체와 객체의 보안등급은 각각 취급등급(clearance), 비밀등급(security label)을 사용.
• No-read-up 정책: 낮은 보안등급을 인가받은 주체가 보안 등급이 높은 객체에 대한 읽기/쓰기 접근을 허용하지 않음으로 정보의 기밀성을 보장함.

20 RSA 암호화 방식에서 공개키가 (7,33), 개인키가 (3,33)일 경우, 공개키로 암호화 한 값이 3이라고 할 때 이를 복호화 한 값은 무엇인가?

27

$암호화(M, e, n) = M^e mod n$

• M: 암호화 할 메시지
• e: 공개키의 지수
• n: 공개키의 모듈러

$복호화(C, d, n) = C^d mod n$

• C: 암호화된 메시지
• d: 개인키의 지수

$3^3 mod 33 = 27$

21 CRL에 포함되어야 하는 기본 필드에 속하지 않는 것은?

① 버전(Version)
② 서명 알고리즘(Signature)
③ 다음 발급일자(Next Update)
④ 인증서 효력정지 및 폐지 목록 번호(CRL Number)

• 버전: CRL의 버전 번호
• 인증서 발급자(Issuer): CRL을 발급한 인증기관의 이름
• 서명 알고리즘(Signature): CRL의 무결성을 보장하기 위해 사용되는 서명 알고리즘
• 다음 발급일자(Next Update): 다음 CRL이 발급될 예정인 날짜
• 인증서 효력정지 및 폐지 정보(CRLEntry): 인증서의 효력정지 및 폐지 정보

22 RADIUS 프로토콜의 기본 기능과 가장 거리가 먼 것은?

① 인증
② 계정 관리
③ 권한 부여
④ 책임추적성

• RADIUS: AAA(Authentication, Authorization, Accounting) 기능 제공
  • Authentication : 사용자의 신원 확인
  • Authorization: 사용자에게 허용된 권한을 부여하는 기능
  • Accounting: 사용자의 접근 및 사용 기록을 관리하는 기능

23 Kerberos 키 분배 프로토콜의 기반 기술에 해당하는 것은?

① Needham-Schroeder 프로토콜

• Kerberos 키 분배 프로토콜: Needham-Schroeder 프로토콜을 기반으로 함.
• Needham-Schroeder 프로토콜: 3-way key exchange 프로토콜. 클라이언트-서버-KDC(키 분배 센터)가 서로의 신원을 확인하고 세션 키를 공유할 수 있게 함.
• Challenge-Response 프로토콜: 클라이언트-서버가 서로의 신원을 확인하기 위한 프로토콜
• Diffie-Hellman 프로토콜: 클라이언트와 서버가 서로의 신원을 확인하지 않고도 안전하게 키를 공유할 수 있도록 하는 프로토콜
• RSA 이용 키 분배 프로토콜: RSA 암호화 알고리즘을 이용하여 클라이언트와 서버가 서로의 신원을 확인하고 키를 공유할 수 있도록 하는 프로토콜

24 전자서명이 갖추어야 할 조건

• 서명자 인증: 개인키를 알고 있는 서명자만 서명을 생성할 수 있어야 함.
• 무결성 보장: 전자문서가 변경되지 않았음을 보장해야 함.
• 부인 방지: 서명자는 자신의 서명 사실을 부인할 수 없어야 함.

정보보안 관리 및 법규

25 BCP의 접근 5단계 방법론을 순차적으로 올바르게 나열한 것은?

프로젝트의 범위 설정 및 기획 → 사업영향평가 → 복구전략 개발 → 복구계획 수립 → 프로젝트의 수행 테스트 및 유지보수

• BCP : Business Continuity Plan
• 프로젝트의 범위 설정 및 기획: BCP의 범위와 목표 설정하고 프로젝트 계획 수립.
• 사업영향평가(BIA): 재해 발생 시, 조직의 비즈니스에 미치는 영향을 평가.
• 복구전략 개발: 재해 발생 시 조직의 비즈니스를 복구하기 위한 전략을 개발.
• 복구계획 수립: 복구전략을 구체화하여 복구 계획을 수립.
• 프로젝트의 수행 테스트 및 유지보수: 복구 계획을 실행하는 테스트를 수행하고 유지보수.

26 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 정보통신망에 유통되어서는 안 되는 불법정보 관련 조항을 나열한 것이다.

① 음란한 부호⋅문언⋅음향⋅화상 또는 영상을 배포⋅판매⋅임대하거나 공공연하게 전시하는 내용의 정보 -> 음란물
② 법령에 따라 금지되는 사행행위에 해당하는 내용의 정보 -> 사행행위
④ 공포심이나 불안감을 유발하는 부호⋅문언⋅음향⋅화상 또는 영상을 반복적으로 상대방에게 도달하도록 하는 내용의 정보 -> 공포심/불안감 유발

27 다음 중 「개인정보 보호법」의 개인정보 보호 원칙이 아닌 것은 무엇인가?

① 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다. -> 익명/가명 처리 우선 원칙
③ 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다. -> 목적 제한의 원칙
④ 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다. -> 투명성 및 권리 보장

28 조직의 위험평가 수립 및 운영에 대한 사항으로 가장 적절하지 않은 것은?

① 위험관리 계획에 따라 위험평가를 연 1회 이상 정기적으로 또는 필요한 시점에 수행하여야 한다. 매년 위험평가 대상에 변동이 없어도 위험평가는 수행되어야 한다. -> 정기 수행
③ 위험관리를 위한 위험평가 방법 선정은 베이스라인 접근법, 상세위험 분석법, 복합 접근법, 위협 및 시나리오 기반 등의 다양한 방법론 중에서 해당 조직에 맞는 방법론을 선정하고 유지하여야 한다. 선정한 방법론을 운영하는 과정에서 해당 조직에 적절하지 않다고 판단하여 위험분석 방법론을 변경하여도 상관없다. -> 방법론 변경
④ 조직에서 수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하여야 한다. 수용 가능한 목표 위험수준을 정보보호 최고책임자 등 경영진 의사결정에 의하여 결정하여야 한다.