정보보안기사
[정보보안기사 40] OWASP TOP10 (2020년 기준)
[정보보안기사 40] OWASP TOP10 (2020년 기준)
2020.06.24OWASP TOP10 OWASP(Open Web Application Security Project)에서는 3~4년 주기로 10가지 보안이슈를 발표한다. 인젝션 SQL, OS, XXE, LDAP 인젝션은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분으로써, 인터프리터로 보내질 때 발생한다. 공격자의 악의적인 데이터는 예기치 않은 명령을 실행 올바른 권한 없이 데이터에 접근하도록 인터프리터를 속임 SQL 인젝션 DB와 연동되어 있는 애플리케이션 입력값을 조작하여 DBMS가 의도하지 않은 결과를 반환하도록 하는 기법 필터링 기능이 없는 애플리케이션의 경우 사용자의 입력값의 적정성의 검사를 하지 않는다. 공격 피해 DB 정보 조회/변조/삭제 인증절차 우회 시스템 명령어 실행 주요시스템 파일정보 노출 취약점..
[정보보안기사 39] 디지털 포렌식
[정보보안기사 39] 디지털 포렌식
2020.06.24다양한 디지털 장치에서 범인과 연관된 자료를 발견하고 분석하여 법적인 문제를 해결하는 방법 포렌식을 통해 증거획득하고 이 증거가 법적인 효력을 가지려면 그 증거를 발견, 기록, 획득, 보관하는 절차가 필요 기본 원리 정당성의 원칙 모든 증거는 적법한 절차를 거쳐서 획득한 것이어야 함 재현의 원칙 똑같은 환경에서 같은 결과가 나오도록 재현할 수 있어야 함 신속성의 원칙 휘발성 정보를 취득하기 위해 신속하게 처리해야 함 연계 보관성의 원칙 증거는 획득된 뒤 이송/분석/보관/법정 제출이라는 일련의 과정이 명확해야 함 이러한 과정에 대한 추적이 가능 무결성의 원칙 수집된 정보는 연계 보관성 원칙을 만족시켜야 하고, 위조/변조가 되면 안됨 수행 절차 수사 준비 사이버 포렌식 전문가를 소집하고 각종 장비, S/W,..
[정보보안기사 38] 전자상거래(E-Commerce)
[정보보안기사 38] 전자상거래(E-Commerce)
2020.06.24광의적 개념 정부, 기업, 개인 간의 전자정보를 통하여 이루어지는 모든 경제활동을 포함한 상거래 전반 협의적 개념 일반 소비자를 대상으로 인터넷이나 통신망을 이용한 상품관련 정보 제공, 협상, 주문 등을 통해 마케팅, 판매활동을 수행하는 것 협의적 개념 일반 소비자를 대상으로 인터넷이나 통신망을 이용한 마케팅, 판매활동을 수행하는 것 정보보호 보안 공격 유형 공격 유형 설명 인증에 대한 공격 N/W를 통해 접근한 사용자가 적절하지 못한 인증을 통해 다른 사용자로 위장하는 것 송ㆍ수신 부인 공격 N/W를 통해 수행한 인증 및 거래 내역 부인 기밀성에 대한 공격 N/W로 전달되는 인증정보 및 주요 거래 정보 유출 무결성에 대한 공격 N/W 도중에 거래 정보등이 변조되는 것 보안 요구사항 전자상거래는 원격의 ..
[정보보안기사 37] 데이터베이스
[정보보안기사 37] 데이터베이스
2020.06.24통합된 데이터, 저장된 데이터, 운영 데이터, 공용 데이터 기본 개념 용어 릴레이션: 하나의 개체에 관한 데이터를 2차원 테이블의 구조로 저장한 것 속성과 튜플: 릴레이션의 열(속성)과 행(튜플) null: 아직 모르거나 해당되는 사항이 없음을 표현하는 특별한 값 차수: 하나의 릴레이션에서 속성의 전체 개수 카디널리티: 하나의 릴레이션에서 튜플의 전체 개수 도메인: 한 릴레이션에서 특정 속성이 가질 수 있는 데이터 형식을 지닌 모든 가능한 값의 집합 extent: 테이블을 구성하는 물리적으로 연속적인 디스크 공간 키 정의 후보키(Candidate Key): 키의 특성인 유일성과 최소성을 만족하는 키 슈퍼키(Super Key): 유일성을 만족하는 키 기본키(Primary Key): 여러 개의 후보키 중에서..
[정보보안기사 36] DHCP/DNS
[정보보안기사 36] DHCP/DNS
2020.06.24DHCP(Dynamic Host Configuration Protocol) 네임 서버 주소, IP주소, 서브넷 마스크, 게이트웨이 주소 등을 자동으로 할당해주는 프로토콜 동적 설정 프로토콜 UDP 기반 프로토콜 이전 프로토콜 RARP 호스트의 MAC주소를 통해 RARP 서버에서 IP 주소를 매핑하여 호스트에게 전달 단점 IP 주소만을 제공 서브넷마다 브로드캐스트 방식 필요 BOOTP RARP의 약점 2가지를 극복하기 위해 만든 클라이언트-서버 프로그램 DHCP와 상호호환 패킷 구조가 거의 동일 정적인 프로토콜 고정된 IP 주소와의 바인딩만 가능 동작 원리 DHCP Discover: DHCP서버가 있는지 확인을 위한 메시지 생성 출발지 IP: 0.0.0.0, 목적지 IP: 255.255.255.255 DH..
[정보보안기사 35] SSL/TLS
[정보보안기사 35] SSL/TLS
2020.06.24TCP 기반 애플리케이션에 대한 종단간 보안서비스 제공을 위해 만들어진 전송계층 프로토콜 대칭키 암호, 일방향 해시함수, MAC, 의사난수 생성기, 전자서명을 조합해 안전한 통신 수행 암호 스위트를 변경하여 강력한 알고리즘 사용 (특정 암호기술에 의존 X) 암호 스위트: SSL/TLS 암호화 통신에 사용할 암호 알고리즘 보안 서비스 기밀성 대칭키 암호화 알고리즘을 사용하여 제공 비밀키는 Handshake Protocol을 통해 생성 클라이언트와 서버 상호 인증 RSA 같은 비대칭키 암호 알고리즘 DSS와 같은 전자서명 알고리즘 X.509 공개키 인증서 무결성 해시 알고리즘을 사용해 MAC를 만들어 메시지에 포함시켜 제공 절차 지원 가능한 알고리즘 서로 교환 키 교환, 인증 대칭키 암호로 암호화하고 메시지..
[정보보안기사 34] HTTP(Hypertext Transfer Protocol)
[정보보안기사 34] HTTP(Hypertext Transfer Protocol)
2020.06.24서버-클라이언트가 인터넷 상에서 데이터를 주고받기 위한 프로토콜 영속성 영속적 연결 서버는 연결 이후 클라이언트의 요청을 대기 HTTP 1.1에서 Keep-Alive 옵션이 추가됨 연결 상태 지속시간 설정 기능 비영속적 연결 각 요구/응답에 대해 하나의 TCP 연결 생성 트랜잭션 웹 브라우저가 웹 서버에 요청을 보내고 웹 서버가 이를 처리한 응답을 전송하는 한번의 과정 요청 메시지 클라이언트가 서버에게 요청을 보낼 때 전송하는 메시지 요청 라인 요청 메시지의 첫 줄로 공백 문자로 구분된 세가지 필드를 가진다. Method URL Version 메소드 역할 설명 GET 리소스 취득 리소스 취득 인수를 URL에 포함시켜 전송, 최소한의 보안도 없음 HEAD 문서 정보 취득 GET과 비슷하나, 실제 문서를 요..
[정보보안기사 33] 이메일
[정보보안기사 33] 이메일
2020.06.24구조 사용자 대행자 MUA(Mail User Agent) 메시지 작성, 읽기, 답장 보내기 등을 수행하는 S/W 전송 대행자 MTA(Mail Transfer Agent) 전자우편을 SMTP을 이용하여 다른 전자우편 서버로 전달하는 S/W MDA(Mail Delivery Agent) 전자우편을 수신자의 사서함으로 전달하는 S/W 접근 대행자 MAA (Mail Access Agent) 메시지를 검색하고자 할 때 사용 IMAP, POP3 프로토콜 SMTP(Simple Mail Transfer Protocol) MTA 클라이언트와 서버를 규정하는 공식적인 프로토콜(TCP/25) 송신자와 송신자의 메일서버 사이 그리고 두 메일 서버들 사이에서 총 두 번 사용된다. POP3(Post Office Protocol v..
[정보보안기사 32] FTP
[정보보안기사 32] FTP
2020.06.24파일 전송 프로토콜 연결 모드 능동 모드 제어 포트(TCP/21) / 데이터 전송(TCP/20) 클라이언트는 서버의 21번 포트로 연결(제어채널 생성) 사용자가 파일 목록을 불러오는 명령(ls)을 입력 클라이언트는 임시 포트(1024 이상)를 결정하여 서버에게 전달 (PORT 명령) 서버는 클라이언트가 알려준 포트로 연결을 설정(데이터채널 생성) 데이터채널을 통해 데이터를 송신한 후 연결 종료 FTP 클라이언트의 기본 모드 수동 모드 제어 포트(TCP/21) / 데이터 전송(TCP/1024~) 클라이언트는 서버의 21번 포트로 연결(제어채널 생성) 사용자가 파일 목록을 불러오는 명령(ls)을 입력 클라이언트는 수동모드로 연결하기 위해 PASV 명령을 전송 서버는 임시 포트(1024 이상)를 결정하여 클라..
[정보보안기사 31] 최신 네트워크 보안 기술
[정보보안기사 31] 최신 네트워크 보안 기술
2020.06.24역추적 시스템 해킹을 시도하는 해커의 실제위치를 추적하는 기술 TCP 연결 역추적 우회 공격을 시도하는 해커의 실제위치를 실시간 추적 호스트 기반과 N/W 기반 연결 역추적으로 분류 IP연결 역추적 IP주소가 변경된 패킷의 실제 송신지를 추적하기 위한 기술 변경된 패킷을 전달한 라우터를 표시함으로써 추적이 가능하게함 ESM(Enterprise Security Management) 네트워크 보안제품의 인터페이스를 표준화하여 중앙 통합 관리, 침입 종합 대응, 통합 모니터링 수행 특징 운영관리 측면 통합관리 운영으로 비용 절감, 인력 축소 보안 정책 통합 관리를 통한 보안 운영 관리의 일관성 제공 보안성 강화보다 운영관리 측면 강화를 통한 보안 관리 효율성 제공 기술적 측면 크로스 플랫폼 기반 오픈 아키텍처..
[정보보안기사 30] VPN
[정보보안기사 30] VPN
2020.06.24공중 네트워크를 이용하여 사설 네트워크가 요구하는 서비스를 제공 전용 회선처럼 사용할 수 있게 해주는 기술 종류 Intranet VPN 기업 내부를 LAN을 통해 연결 넓게는 지사까지 연결 Extranet VPN 자사의 협력업체에게 Intranet 제공 Intranet의 확장 Remote Access VPN 원격으로 NAS(Network Access Server)에 접속 NAS는 사용자의 접속 인증절차와 터널링 관련 기능 수행 구현 기술 터널링 송수신자 사이의 전송로에 외부로부터의 침입을 막기 위해 일종의 파이프를 구성한 것 터널링 되는 데이터를 페이로드라고하며 이것의 내용은 변경되지 않음 지원하는 프로토콜은 PPTP, L2TP, L2F, MPLS, IPSEC 등이다. 암호화 정보의 기밀성을 제공하기 위..
[정보보안기사 29] 방화벽(Firewall)
[정보보안기사 29] 방화벽(Firewall)
2020.06.24사설 네트워크를 외부로부터 보호하기 위해 공중 네트워크와 사설 네트워크 사이에 설치된 일종의 벽 보안정책에 따라 인가된 N/W 서비스에 대한 접근 허용, 인가되지 않은 트래픽 차단 Deny All: 모든 트래픽을 차단하고 허용해야 할 트래픽만 선별적 허용(가용성보안성) 접근통제목록(ACL, Access Control List)에 따라 보안정책 설정 서비스 제어, 방향 제어, 사용자 제어, 행위 제어 수행 장점 단점 취약한 서비스 보호호스트 시스템 접근제어 기능로그와 통계자료 유지내부 네트워크에 대한 일괄적인 보안 정책 적용 가능 제한된 서비스 우회 트래픽 제어 불가내부 사용자의 공격 방어 어려움제로데이 공격에 취약 유형 패킷 필터링 수신된 패킷의 TCP/IP 헤더 부분만을 이용해서 침입 차단 기능을 수행..