1. 해쉬의 의미, 특징

http://blog.daum.net/luckyman717 럭키맨의 IT 세상 그리고 Life

- 해쉬(Hash)란 해쉬함수 또는 해쉬알고리즘을 이용하여 임의의 길이를 갖는 데이터를 입력받아 고정 길이의 해시값을 출력하는 것이다.

해쉬는 데이터의 오류나 변조를 탐지할 수 있는 무결성을 제공하는 목적으로 주로 사용된다.

- 해시함수의 특징 : 일방향성, 충돌저항성

일방향성 : 해쉬값으로부터 입력 데이터를 역산할 수 없어야 한다는 것

충돌저항성 : 해쉬값으로부터 같은 해쉬값을 갖는 두 개 이상의 입력 데이터들을 구할 수 없어야 한다는 것. 즉 같은 해쉬값을 갖는 두 개 이상의 데이터를 구할 수 있는 것은 충돌저항성이 없다는 것이다.

2. 접근통제 : DAC, MAC, R-BACK

가. 접근통제 Layer : 보안체계 및 접근 통제는 관리적 통제 → 기술적 통제 → 물리적 통제의 프레임워크를 수립하는 것이 바람직

구분	내용
관리적 통제	정책과 절차, 보안 인식 교육, 자산 분류, 직무 분리 등
기술적 통제	암호화, 접근통제 S/W, 원격접속인증, 패스워드, IDS 등
물리적 통지	열쇠, CCTV, 울타리, 경고 등

나. 접근통제 원칙

원칙	내용
알 필요성 원칙	업무를 수행하기 위해 필요한 권한만을 가지도록 접근 권한 부여
최소권한의 원칙	최소한의 권한만을 허용하여 권한의 남용을 방지
직무분리	업무의 발생, 승인, 변경, 확인, 배포 등이 한 사람에 의해 처리되지 않도록 직무를 분리

다. 접근통제 정책의 구분

- 임의적 접근통제(DAC) : 데이터의 소유자가 접근을 요청하는 사용자의 신분, 즉 식별자(ID)에 기초하여 객체에 대해 접근을 제한하는 방법

- 강제적 접근통제(MAC) : 주체가 객체에 접근하려 할 때 양자의 보안레이블(보안등급)을 비교하여 높은 보안을 요하는 정보가 낮은 보안수준의 주체에게 노출되지 않도록 접근을 제한

*BLP(Bell-Lapadula)

- 상위레벨 읽기금지 정책 : No-read-up(비밀등급이 낮은 주체는 비밀등급이 높은 객체를 읽지 못하는 정책)

- 하위레벨 쓰기금지 정책 : No-write-down(비밀등급 이하의 정보를 수정하지 못하게 하는 정책)

- 역할기반 접근통제(RBAC) : 주체가 적절한 역할(role)에 할당되고 역할에 적합한 접근권한이 할당된 경우만 객체에 접근할 수 있는 비임의적 접근제어(Non DAC) 방식으로 전통적인 DAC와 MAC의 대체 수단으로 사용

3. 보안관제의 원칙 : 무중단의 원칙, 정보공유의 원칙, 전문성의 원칙

가. 무중단의 원칙 : 사이버공격을 실시간으로 신속하게 탐지·차단하기 위해서는 24시간 365일 중단 없이 보안관제업무를 수행되어야 한다

나. 정보공유의 원칙 : 사이버공격은 동일하거나 유사한 공격이 여러 기관에 걸쳐 동시 다발적으로 발생하는 특성을 가지고 있기 때문에, 범 국가차원에서 사이버공격을 철저하게 탐지·차단·대응하기 위해서는 관계 법령에 위배되지 않는 범위 내에서 보안관제 관련 정보가 신속하게 공유되어야 한다

다. 전문성의 원칙 : 정보 시스템 및 네트워크 이론을 포함한 프로그램 분석, 포렌식, 해킹기술 등 다양한 방면에 대한 전문지식과 경험, 노하우를 가진 전문인력이 매우 중요하다

4. 국가사이버안전관리규정 10조 2항: 보안관제 실시, 의무

제10조2(보안관제센터의 설치·운영)

① 중앙행정기관의 장, 지방자치단체의 장 및 공공기관의 장은 사이버공격 정보를 탐지·분석하여 즉시 대응조치를 할 수 있는 기구(이하 “보안관제센터”라 한다)를 설치·운영하여야 한다. 다만, 보안관제센터를 설치·운영하지 못하는 경우에는 다른 중앙행정기관(국가정보원을 포함한다)의 장, 지방자치단체의 장 및 관계 공공기관의 장이 설치·운영하는 보안관제센터에 그 업무를 위탁할 수 있다.

② 보안관제센터를 설치·운영하는 기관의 장은 수집·탐지한 사이버공격 정보를 국가정보원장 및 관계 기관의 장에게 제공하여야 한다.

③ 보안관제센터를 설치·운영하는 기관의 장은 보안관제센터의 운영에 필요한 전담직원을 상시 배치하여야 한다.

④ 보안관제센터를 운영하는 기관의 장은 필요한 경우에는 미래창조과학부 장관이 지정하는 보안관제전문업체의 인원을 파견받아 보안관제업무를 수행할 수 있다. 이 경우 보안관제전문업체의 지정·관리 등에 필요한 사항은 미래창조과학부 장관이 국가정보원장과 협의하여 정한다. <개정 2013.5.24.>

⑤ 제1항의 보안관제센터의 설치·운영 및 제2항의 사이버공격 정보의 제공 범위, 절차 및 방법 등 세부사항은 국가정보원장이 관계 중앙행정기관의 장과 협의하여 정한다.

5. 보안관제전문업체 지정조건

가. 근거

(1) 국가사이버안전관리규정 10조의2(대통령훈령제316호)

(2) 보안관제 전문업체 지정 등에 관한 공고(미래창조과학부 공고 제2013-089호)

- 지정기관: 미래창조과학부, 수행기관: 한국인터넷진흥원

- 고급기술자 3명 이상, 중급기술자 6명이상 초급 15명 이상

- 자기 자본금이 20억 원 이상일 것

- 최근 3년간 보안관제 수행실적 합계 금액이 30억 원 이상 또는 보안관제 수행능력 평가기준에 따라 실시한 심사에서 70점 이상

6. 식별 인증 허가의 의미(사용자 인증기술)

가. 식별(identification)

(1) 사용자가 본인이라는 것을 시스템에 밝히는 것

(2) 접근 주체가 누구인지를 유일하게 판별하는 단계

(3) 책임 추적성 분석의 자료

나. 인증(authentication)

(1) 시스템이 본인임을 주장하는 사용자가 그 본인이 맞다고 인정해주는 것

(2) 식별된 주체가 원래 의도된 것인지를 입증하는 단계

(3) 임의의 정보에 접근할 수 있는 주체의 능력이나 주체의 자격을 검증하는 단계

다. 허가(authorization)

(1) 인증받은 자에게 자원에 대한 접근 권한을 허용하는 것

(2) 주체의 신분에 따른 허가 등급이 필요

7. 탐지패턴 SNORT 룰의 의미

예) alert tcp any any -> any any (msg : "attack"; content : "attack";)

룰액션	프로토콜	s.IP	s.포트	방향	d.IP	d.포트	탐지룰 명	탐지룰 패턴
alert	tcp	any	any	->	any	any	(mgs : "attack";	content : "attack";)
룰 헤더(header)							룰 옵션(option)

가. 주요 룰액션

alert - 해당 룰에 packet이 걸릴경우 log를 발생시키고 경보를 발생

log - 말그대로 log만 발생

pass - 말그대로 그냥 무시하고 보낸다.

drop - rule에 의해 패킷을 드롭시키고 로그를 발생

reject - rule에 의해 패킷을 드롭시키고 로그를 발생. TCP일경우 RST 패킷을 발생시키고 UDP일 경우 unreachable packet 발생

나. 주요 룰옵션

msg - 경고에서 출력할 메시지

content - 탐지 문자

nocase - 대소문자를 구별하지 않는다

depth - 패턴을 찾기 위해 검사할 바이트 수

offset - 검색을 시작할 패킷의 특정 위치를 지정

dsize - 패킷 페이로드의 길이 또는 길이 범위를 명시

8. XFERLOG_ftp 사용 로그 파일

- 명렁어와 함께 확인, 명령어가 존재하는 로그는 바이너리 파일, 존재하지 않은 로그는 일반 파일로 편집기 등으로 확인

구분	내용	명령어
xferlog	ftp 로그	없음
sulog	su(switch user) 명령어를 사용한 결과를 저장	없음
lastlog	서버에 접속한 사용자의 IP 별로 가장 최근에 로그인한 시간이 기록	lastlog
btmp	5번 이상 로그인 실패를 했을 경우에 실패 정보를 기록	lastb
utmp	현재 로그인한 사용자의 정보를 기록	w,who,finger
wtmp	사용자의 로그인/로그아웃 정보, 시스템의 부팅/셧다운 정보를 기록	last

9. 127페이지_공유폴더 해제법

1. 시작>실행>FSMGMT.MSC>공유>기본공유 선택>공유중지

※ “net share 공유이름 /delete"로 공유한 폴더를 공유해제

2. 시작>실행>REGEDIT>아래 레지스트리 값을 0으로 수정(키 값이 없을 경우 새로 생성 DWORD)

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\AutoShareServer"

10. 패스워드 조합관련

영문 대소문자, 숫자, 특수문자

11. 기지 평문 공격

12. 대칭키 방식과 비대칭키 방식의 의미, 종류

가. 암호화와 복호화할 때 쓰이는 키의 종류로 구분

(1) 대칭키(대표적 알고리즘: DES&AES)

- 대칭키 암호는 송신측과 수신측간의 각각 암호화와 복호화를 위하여 동일한 비밀키(대칭키)를 사용

- 키는 비밀 통신망 또는 직접전달 등의 안전한 전송방식을 통해 사전에 전달되어야 함

- 대칭키 암호화방식은 암복호화 속도가 빠른 이점이 있으나 키 관리와 안전한 전송에 어려움이 있음

(2) 비대칭키(대표적 알고리즘: RSA)

- 대칭키 암호시스템에 반해 비대칭키(공개키 암호시스템)은 암호화와 복호화를 위해 서로 다른 키를 사용

- 공개키(Public Key)라고 하며 공개된 장소에 쉽게 접근이 가능하도록 보관함

- 암호화 할 때 사용하는 공개키(Public Key)는 공개된 시스템에 전화번호처럼 공개하고 복호화할 때 사용하는 비밀키(Private Key)는 안전하게 보관하여야 함

- 대표적으로 RSA라는 암호화가 있으며 암호화 할 때의 키를 공개키, 복호화 할 때의 키를 개인키라고 한다.

나. 즉 암호화 할 때 Key와 복호화 할 때의 Key값이 같으면 “대칭키”

암호화할 때의 Key와 복호화 할 때의 Key값이 다르면 “비대칭키”

13. MD5의 특징?

MD5(Message Digest algorithm 5)는 말그대로 메시지 축약 알고리즘으로 128비트의 해쉬값을 제공하며 파일 무결성 검사용으로 많이 쓰인다.

SHA(Secure Hash Standard)는 암호학적 해쉬 함수들을 모아놓은것으로써 SHA0, SHA-1, SHA2(SHA-224, SHA-256, SHA-384, SHA-512)등 존재하며 SHA1은 160비트의 해쉬값을 제공하고 보안 관련 용도로 많이 사용

14. 방화벽, IPS 등의 설명

가. 방화벽

- 침입차단시스템으로 내부 시스템을 보호하기 위해 IP 및 프로토콜 기반으로 내·외부를 접속 차단하는 시스템

나. 침입방지시스템(IPS)

- 실시간 사이버 공격을 탐지 및 차단하는 시스템으로, 악성코드 및 악의적인 바이러스에 대해 문자열 방식으로 탐지하여 차단하는 시스템

다. 웹방화벽(WAF)

- 웹 서비스에 대한 사이버 공격 차단에 특화된 시스템

라. 지능형지속위협(APT)공격 대응 시스템

- 시그니처(문자)기반의 정보보호시스템과는 달리 비정상적인 행위를 판별하여 이상 징후를 탐지 및 차단하는 시스템

마. 매체제어 시스템

- 인가된 USB 저장장치, 이동형 저장장치의 연결을 허용하고 기타 비인가된 장치에 대해서 차단 등의 통제 시스템

15. DoS와 DDoS의 차이

가. DoS

- 시스템이나 네트워크의 구조적 취약점을 공격하여 네트워크 대역폭을 가득채우거나 시스템의 리소스를 고갈시켜 정상적인 서비스를 지연시키고 마비시키는 네트워크 공격을 말한다.

나. DDoS

- DoS 공격의 발전된 형태, 수많은 DoS공격이 하나의 공격자가 좀비PC들 혹은 봇넷에 출발지 IP를 스푸핑(IP주소 변조)하여 패킷을 발생키게 하는 명령을 하여 동시다발적으로 공격대상에게 공격이 일어나게 하는 것.

다. DRDoS

- DDoS는 에이전트(좀비PC, 봇)가 공격대상에게 직접 Flooding공격을 수행하지만 DRDoS는 반사체라는 제3의 시스템이 공격대상에게 Flooding 공격을 수행하게 만든다.

- 출발지 IP가 스푸핑된 패킷을 받아 공격대상에게 응답을 보내는 시스템들을 반사체라고 부르며 다수의 반사체로 네트워크 DoS 공격이 이루어지는 형태

- DRDoS 공격은 별도의 에이전트 설치 없이 네트워크 통신 프로토콜 구조의 취약성을 이용해 정상적인 서비스를 운영하고 있는 시스템을 DDoS 공격의 에이전트로 활용

- DRDoS 공격은 UDP프로토콜을 사용하는 DNS, NTP, SNMP 서비스 등의 구조적 특성을 이용하여 반사와 증폭 공격의 형태를 만든다.

16. OSI7 LAYER 표_계층별 장비

계층	계층 이름	장비
7	어플리케이션 계층	L7 스위치
6	표현 계층
5	세션 계층
4	전송 계층	L4 스위치
3	네트워크 계층	라우터, L3 스위치
2	데이터링크 계층	스위치, 브릿지
1	물리계층	리피터, 허브

17. 피싱과 파밍의 의미

가. 피싱

- 실제 도메인과 비슷한 가짜 도메인명을 사용해 공격

나. 파밍

- DNS Server나 사용자 컴퓨터의 DNS Cache를 변조해서 공격

다. 스미싱

- 문자메시지를 이용하는 공격

19. SYN Flooding 공격 대응법

가. SYN-Flooding 공격 원리

- A클라이언트가 B서버에게 SYN 패킷을 보낸 후 ACK(TCP 3way handshaking, 1. syn 2. syn+ack 3. ack)를 보내지 않아 B서버의 백로그큐에 Half Open 상태 정보가 계속 쌓이게 되어 DoS상태가 일어나게 하는 공격방식, 즉 TCP의 구조적 문제로 인해 백로그큐가 가득차서 더 이상 TCP 새션 연결 요청을 받을 수 없게 만드는 공격이다.

나. 공격 대응법

- syncookies 기능 활용 : syncookies 기능은 TCP Syn Flooding 공격을 차단하기 위한 가장 확실한 방법

- 백로그 큐의 크기를 늘려줌

20. XSS 설명

가. 정의

- 웹 어플리케이션에서 사용자 입력 값에 대한 필터링이 제대로 이루어지지 않을 경우, 공격자가 입력이 가능한 폼(웹 브라우저 주소입력 또는 게시판 등)에 악의적인 스크립트를 삽입하여 사용자 세션 도용, 악성코드를 유포할 수 있는 취약점

- 사용자의 개인정보 및 쿠키정보 탈취, 악성코드 감염, 웹 페이지 변조 등 피해

나. 대응방안

- 웹 방화벽에서 모든 사용자 입력 폼(로그인 폼, 검색 폼, URL 등)을 대상으로 특수문자, 특수구문 필터링 규칙 적용

- 소스코드 시큐어코드 적용하여 "<", ">"와 같이 HTML 태그 실행에 사용되는 문자열을 치환하여 공격자가 삽입한 악의적인 스크립트가 실행되지 않도록 설정

※ SQL 인젝션 설명

가. 정의

- 데이터베이스와 연동된 웹 어플리케이션에서 SQL 질의문에 대한 필터링이 제대로 이루어지지 않을 경우 공격자가 입력이 가능한 폼(웹 브라우저 주소입력창 또는 로그인 폼 등)에 조작된 질의문을 삽입하여 웹 서버의 데이터베이스 정보를 열람 또는 조작을 할 수 있는 취약점

- 데이터베이스 정보노출, 데이터삽입, 삭제 및 변경, 데이터베이스 서비스 중지, 사용자인증 우회

나. 대응방안

- 웹 방화벽에서 모든 사용자 입력 폼(로그인 폼, 검색 폼, URL 등)을 대상으로 특수문자, 특수구문 필터링 규칙 적용

- 데이터베이스 연결에는 가장 제한적인 계정을 사용

- 소스코드 시큐어코드를 적용하여 입력값에 대해서 가능한 한 최대한 제약을 걸고, 특수문자(' " / \ ; : Space -- +등)가 포함되어 있는지 검사유효성 검사를 한다

21. 네트워크 토폴로지

- 네트워크 토폴리지 : 컴퓨터 네트워크에 참여하는 요소(링크, 노드)들의 배치형태, 망구성 방식을 의미

- 성형(star) : 각 노드는 중앙에 위치한 주 노드를 통하여 다른 노드들과 통신

1) 장점 : 장애 발견이 쉽고, 관리가 용이

2) 단점 : 주 노드에 장애가 발생하면 전체 네트워크 사용이 불가능

- 링형(ring) : 각 노드의 좌우에 인접한 노드와 연결되어 원형을 이루고 있는 형태

1) 장점 : 단 방향 통신으로 신호 증폭이 가능하여 거리 제약이 적음

2) 단점 : 노드의 추가 삭제가 용이하지 않음

- 버스형(bug) : 버스라는 공통 배선에 각 노드가 연결된 형태로

1) 장점 : 노드의 추가 및 삭제가 용이, 특정 노드의 장애가 다른 노드에 영향을 주지 않음

2) 단점 : 공통배선의 대역폭을 공유하기 때문에 노드 수가 증가하면 배선의 트래픽이 증가하여 네트워크               성능이 저하

22. 사이버위기 경보 단계

사이버위기경보는 "국가사이버안전관리규정" 제 11조에 의거, 각종 사이버공격에 체계적으로 대응하기 위해 파급영향, 피해규모 등을 고려하여 수준에 따라 관심, 주의, 경계, 심각 등의 단계로 발령

23. ESM 의미

24. 보안관제 시 중점사항