CIA 3원칙
정보보안의 가장 기본적인 3가지 원칙. 모든 보안의 목표가 되는 것들임.
-
기밀성 (Confidentiality)
- 데이터의 비밀성 보장. 허가받지 않은 사람에게 정보가 노출되지 않도록 하는 것
- 예: 개인정보 유출 방지
-
무결성 (Integrity)
- 데이터의 정확성과 완전성 보장. 데이터가 훼손되거나 변조되지 않았음을 확인
- 예: 전송 중인 파일이 중간에 바뀌지 않았는지 검증
-
가용성 (Availability)
- 필요한 순간에 서비스나 시스템을 정상적으로 사용할 수 있도록 하는 것
- 예: 서버 다운 방지, DDoS 공격 대응
암호화 기술
데이터 보호를 위한 핵심 기술로, 크게 두 가지 방식이 있음
-
대칭키 (Symmetric Key)
- 암호화와 복호화에 동일한 키를 사용
- 특징: 속도가 매우 빠름. AES가 대표적
- 단점: 키를 안전하게 전달해야 하는 문제(키 전달 이슈)가 있음
-
비대칭키 (Asymmetric Key)
- 암호화-복호화에 서로 다른 키(공개키, 비밀키)를 사용
- 특징: 키 전달 이슈 없이 안전함. RSA가 대표적
- 단점: 대칭키보다 속도가 느림
OWASP (Open Web Application Security Project)
웹 애플리케이션 보안을 연구하고 개선하는 비영리 커뮤니티
- OWASP Top 10
- 웹 애플리케이션에서 가장 흔하고 위험한 10가지 취약점을 정리한 가이드라인
- 종류: SQL Injection, XSS, CSRF 등
디지털 포렌식 (Digital Forensics)
디지털 기기에서 범죄 증거를 수집, 분석하는 과학 수사 기법
- 정보 보존 순서 (휘발성 순)
- 메모리 (RAM): 전원이 꺼지면 사라지는 가장 휘발성 높은 정보
- 프로세스: 실행 중인 프로그램의 상태
- 네트워크: 통신 기록
- 저장장치 (HDD/SSD): 전원이 꺼져도 유지되는 정보
- 증거 수집 > 보존 > 분석 > 보고
위협 모델링 (Threat Modeling)
시스템 설계 초기 단계부터 보안 위협을 체계적으로 분석하고 대응하는 방법론. 미리 예측해서 비용을 절감하는 효과가 있음
-
STRIDE
- 위협을 6가지 유형으로 분류하는 분석 프레임워크
- Spoofing: 신분 위장 (ID/PW 도용)
- Tampering: 데이터 변조 (DB 조작)
- Repudiation: 행위 부인 (로그 미기록)
- Information Disclosure: 정보 유출 (민감 정보 노출)
- Denial of Service: 서비스 거부 (DDoS 공격)
- Elevation of Privilege: 권한 상승 (관리자 권한 탈취)
-
기타 모델: DFD, PASTA, LINDDUN, Attack Tree
주요 개념 및 공격 유형
- 카이사르 암호: 문자를 정해진 간격만큼 밀어 다른 문자로 바꾸는 단순한 암호
- 케르크호프스의 원칙: 암호화 시스템의 안전성은 비밀키에만 의존해야 함
- DDoS 공격: 분산 서비스 거부 공격. 여러 대의 컴퓨터로 서버를 마비시킴
- 랜섬웨어: 파일을 암호화하고 복구 대가로 돈을 요구하는 악성 소프트웨어
진단 도구 (Penetration Testing Tools)
시스템의 취약점을 찾고 공격을 시뮬레이션하는 데 사용되는 도구들
- Nessus: 네트워크 취약점 스캔 툴
- OpenVAS: Nessus의 오픈소스 버전
- Nmap: 네트워크 포트 스캐너
- SQLMAP: SQL Injection 공격 자동화 툴
- Acunetix: 웹 취약점 스캐너
- Metasploit: 해킹 공격에 필요한 모듈을 모아둔 프레임워크
