[정보처리기사] 9. 소프트웨어 개발 보안 구축

324. Secure SDLC

• SDLC에 보안강화를 위한 프로세스를 포함한 것
• 방법론 3가지
  • CLASP : SDLC의 초기 단계에서 보안을 강화하기 위해 개발된 방법론
  • SDL : 마이크로소프트 사에서 안전한 소프트웨어 개발을 위해 기존의 SDLC를 개선한 방법론
  • Seven TouchPoints : 소프트웨어 보안의 모범사례를 SDLC에 통합한 방법론

 

325. 소프트웨어 개발 보안 요소

• 보안의 3대요소 : 기밀성, 무결성, 가용성 ( + 부인 방지, 인증 )
  • 기밀성 : 인가된 사용자에게만 접근이 허용
  • 무결성 : 인가된 사용자만 수정 가능 
  • 가용성 : 인가된 사용자만 사용 가능
• 인증 : 사용자가 합법적인 사용자인지를 확인하는 모든 행위
• 부인 방지 : 데이터 송/수신자가 송/수신 사실을 부인할 수 없도록 송/수신 증거 제공

 

326. 시큐어 코딩

• 구현 단계에서 발생한 수 있는 보안 취약점들을 최소화하기 위해 보안 요소들을 고려하며 코딩하는 것
• 취약점에 사전 대응하여 안정성, 신뢰성 확보

 

327. 세션 통제 관련 용어

• 세션 : 클라이언트와 서버의 연결을 의미
• 세션 통제 : 세션의 연결로 인해 발생하는 정보를 관리하는 것
• 세션 ID : 서버에서 클라이언트를 구분하기 위해 부여하는 키
• 스레드 : 프로세스 내의 작업 단위
• 다중 스레드 : 두 개 이상의 스레드가 생성되어 동시 처리되는 다중 작업을 다중 스레드, 멀티 스레드라 부름
• URL Rewrite : 쿠키를 사용할 수 없는 환경에서 세션 ID 전달을 위해 URL에 세션 ID를 포함시키는 것

 

328. 입력 데이터 검증 및 표현 관련 용어

• 경로 순회 : 경로를 탐색할 때 사용하는 \ / .. 등의 기호를 악용하여 허가되지 않은 파일에 접근하는 방식
• 스크립트 : 소프트웨어를 수행하는데 필요한 처리절차가 기록된 텍스트. 확장자로 asp, jsp, php 등이 있음. 

 

329. SQL Injection

• 응용 프로그램에 SQL을 삽입하여 내부 DB 서버의 데이터를 유출 및 변조하고, 관리자 인증을 우회하는 보안 약점
• 동적 쿼리에 사용되는 입력 데이터에 예약어 및 특수문자가 입력되지 않게 필터링 되도록 설정하여 방지 가능

 

330. 크로스사이트 스크립팅(XSS)

• 웹페이지에 악의적인 스크립트를 삽입하여 방문자들의 정보를 탈취하거나, 비정상적인 기능 수행을 유발하는 보안 약점
• HTML 사용을 제한하거나 스크립트에 삽입되지 않도록 < > & 등의 문자를 다른 문자로 치환하여 방지 가능

 

331. 메모리 버퍼 오버플로

• 할당된 메모리의 범위를 넘어선 위치에서 자료를 읽거나 쓰려고 할 때 발생하는 보안 약점
• 적절한 버퍼의 크기를 설정하거나 설정된 범위의 메모리 내에서 올바르게 읽고 쓸 수 있도록 함으로써 방지 가능

 

332. 보안 기능 관련 용어

• HTTPS : 웹브라우저와 서버간의 안전한 통신을 위해 HTTP와 암호 통신규약을 결합한 것
• SSL : 데이터를 송/수신하는 두 컴퓨터 사이, 즉 TCP/IP 계층과 애플리케이션 계층 사이에 위치하여 인증, 암호화, 무결성을 보장하는 업계 표준 프로토콜
• 하드코딩 : 데이터를 코드 내부에 직접 입력하여 프로그래밍 하는 방식

 

333. 하드코드된 암호화 키

• 암호화된 키 또한 하드코드된 경우 유출 시 역계산 또는 무차별 대입 공격에 의해 탈취될 수 있음.

 

334. TOCTOU 경쟁조건

• 검사시점(Time Of Check)와 사용시점(Time Of Use)를 고려하지 않고 코딩하는 경우 발생하는 보안 약점

 

335. 널 포인터 역참조

• 널 포인터가 가리키는 메모리의 위치에 값을 저장할 때 발생하는 보안 약점
• 포인터를 이용하기 전 널 값을 가지고 있는지 검사함으로써 방지 가능

 

336. 스택 가드

• 주소가 저장되는 스택에서 발생하는 보안 약점을 막는 기술
• 복귀주소와 변수사이에 특정값을 저장하고 그 값이 변경되면 오버플로우로 판단하여 프로그램 실행을 중단하여 잘못된 복귀 주소의 호출을 막음.

 

337. 접근제어자

• 외부로부터의 접근을 제한하기 위해 사용하는 예약어
  • public : 클래스 내부, 클래스 외부, 패키지 내부, 패키지 외부에서 사용 가능
  • protected : 클래스 내부, 클래스 외부, 패키지 내부에서 사용 가능
  • default : 클래스 내부, 패키지 내부에서 사용 가능
  • private : 클래스 내부에서만 사용 가능

 

338. 개인키 암호화 기법

• 동일한 키로 데이터를 암호화하고 복호화하는 암호 기법
• 대칭 암호 기법 or 단일키 암호화 기법이라고도 한다.
• 암호화/복호화 속도가 빠름.
• 관리해야 할 키의 수가 많음.
• 스트림 암호화 방식과 블록 암호화 방식이 있음.
  • 스트림 암호화 방식 : 평문과 동일한 길이의 스트림을 생성하여 비트 단위로 암호화하는 방식
    • ex) RC4, LFRS
  • 블록 암호화 방식 : 한 번에 하나의 데이터블록을 암호화 하는 방식
    • ex) AES, DES, ARIA, SEED

 

339. 공개키 암호화 기법

• 암호화할 때 사용하는 공개키는 사용자에게 공개하고, 복호화에 사용되는 비밀키는 관리자가 비밀리에 관리하는 암호화 기법
• 비대칭 암호 기법이라고도 함.
• 암호화/복호화의 속도가 느림.
• 관리해야할 키의 수가 적음.
• 대표적으로 RSA 기법이 있음.

 

340. SEED

• 1999년, 한국인터넷진흥원(KISA)에서 개발한 블록 암호화 알고리즘.
• 블록 크기는 128비트, 키 길이에 따라 128, 256으로 분류

 

341. ARIA

• 2004년, 국정원이랑 산학연협회가 개발한 블록 암호화 알고리즘
• 학계, 연구소, 정부기관의 첫글자를 따서 작명
• AES 암호화 알고리즘의 규격을 따름

 

342. DES

• 1975년, 미국 NRS에서 발표한 개인키 암호화 알고리즘
• 블록 크기는 64비트, 키 길이는 56비트이며 16회의 라운드를 수행
• DES를 3번 적용하여 보안을 강화한 3DES가 있음.

 

343. AES

• 2001년, DES의 한계를 느낀 미국 NIST에서 공모한 후 발표한 개인키 암호화 알고리즘
• 블록 크기는 128비트이며, 키 길이에 따라 AES-128, AES-192, AES-256으로 분류됨.

 

344. RSA

• 1978년, MIT의 라이 베스트, 샤미르, 애들먼에 의해 제안된 공개키 암호화 알고리즘
• 큰 수를 소인수분해하기 어렵다는 것에 기반하여 만들어짐.

 

345. 해시

• 임의의 길이의 입력 데이터나 메시지를 고정된 길이의 값이나 키로 변환하는 것
• 해시 알고리즘을 해시 함수, 해시 함수로 변환된 값을 해시값, 해시키라고 부름
• 종류 : SHA 시리즈, MD4, MD5, N-NASH, SNEFRU 등

 

346. 해시 - SHA 시리즈

• 미국 국가안보국이 설계하고 NIST에 의해 발표된 해시 함수.
• 초기 개발된 SHA-0 이후 SHA-1이 발표되었고, 다시 SHA-2라고 불리는 224, 256, 384, 512 등이 발표

 

347. 해시 - MD5

• MD4를 대체하기 위해 고안한 암호화 해시 함수.
• 블록 크기가 512비트, 키 길이는 128비트

 

348. 해시 - N-NASH

• 일본의 NTT에서 발표한 암호화 해시 함수
• 블록 크기 128비트, 키 길이 128비트

 

349. 해시 - SNEFRU

• R.C Merkle가 개발한 해시 함수
• 32비트 프로세서에 구현을 용이하게 할 목적으로 개발.
• 128비트 및 256비트의 출력 지원. 이집트 파라오의 이름을 따 명명

 

350. TKIP

• TKIP(Temporal Key Integrity Protocol)은 기존의 무선 랜 보안 프로토콜인 WEP의 취약성을 보완한 데이터 보안 프로토콜
• 암호 알고리즘의 입력 키 길이를 128비트로 늘리고, 패킷당 키 할당, 키값 재설정 등의 키 관리 방식을 개선하였음.

 

351. 인증

• 사용자의 정보를 확인하고 접근 권한을 검증하는 보안 절차이다.
• 종류 5가지
  • 지식 기반 인증 : 패스워드, 아이핀 등
  • 생체 기반 인증 : 지문, 얼굴, 홍채/망막 등
  • 행위 기반 인증 : 서명, 동작 등
  • 소유 기반 인증 : 신분증, OTP 카드 등
  • 위치 기반 인증 : GPS 등

 

352. 보안 아키텍처

• 정보 시스템의 기밀성, 무결성, 가용성을 확보하기 위해 보안 요소 및 보안 체계를 식별하고 이들 간의 관계를 정의한 구조
• 보안 아키텍처를 통해 관리적, 물리적, 기술적 보안 개념의 수립, 보안 관리 능력의 향상, 일관된 보안 수준의 유지를 기대할 수 있음.

 

353. 보안 프레임워크

• 안전한 정보 시스템 환경을 유지하고 보안 수준을 향상시키기 위한 체계
  • ISO 27001 :  정보보안 관리를 위한 국제표준, 일종의 보안 인증이자 대표적 보안 프레임워크. 영구의 BSI가 제정한 BS7799를 기반으로 구성됨.

 

354. 방화벽

• 내부의 네트워크와 인터넷 간 전송되는 정보를 선별하여 수용/거부/수정하는 기능을 가진 침입 차단 시스템
• 내부->외부 패킷은 그대로 통과, 외부->내부 패킷은 검사하여 인증된 패킷만 통과시키는 구조

 

355. 침입 탐지 시스템(Intrusion Detection System, IDS)

• 컴퓨터 시스템의 비정상적인 사용/오용/남용 등을 실시간을 탐지하는 시스템
  • 오용 탐지 : 미리 입력해둔 공격패턴이 감지되면 알려줌
  • 이상 탐지 : 평균적인 시스템의 상태를 기준으로 비정상적 행위, 자원 사용이 감지되면 이를 알려줌

 

356. 침입 방지 시스템(Intrusion Prevention System, IPS)

• 비정상적인 트래픽을 능동적으로 차단하고 격리하는 보안 솔루션
• 방화벽, 침입 탐지 시스템(IDS)을 결합한 것
• IDS로 패킷을 하나씩 검사하고 비정상적인 패킷이 감지되면 방화벽으로 해당 패킷 차단

 

357. 데이터 유출 방지(DLP)

• 내부 정보의 유출을 방지하는 보안 솔루션

 

358. 웹 방화벽

• SQL Injection, Cross-Site Scripting(XSS) 등의 웹 기반 공격을 방어할 목적으로 만들어진 웹 서버 특화 방화벽

 

359. VPN

• 사용자가 마치 자신의 전용 회선을 사용하는 것처럼 해주는 보안 솔루션
• 암호화된 규격을 통해 전용선의 사설망을 구축한 것처럼 이용하므로 비용부담을 줄일 수 있음.

 

360. NAC

• MAC주소를 IP 관리 시스템에 등록한 후 일관된 보안 관리 기능을 제공하는 보안 솔루션

 

361. ESM(Enterprise Security Management, ESM)

• 다양한 장비에서 발생하는 로그/보안 이벤트를 통합하여 관리하는 보안 솔루션
• 방화벽, IDS, IPS, 웹 방화벽, VPN 등에서 발생한 로그 및 보안 이벤트를 통합하여 관리하요 비용/자원 절감

 

362. AAA

• 사용자의 컴퓨터 자원 접근에 대한 처리와 서비스를 제공하는 기반구조/규격
  • Authentication : 접근하는 사용자의 신원을 검증하는 기능
  • Authorization : 신원이 검증된 사용자의 권한과 서비스를 허용하는 기능
  • Accounting : 사용자가 어떤 종류의 서비스를 이용했고, 얼마만큼의 자원을 썼는지 기록 및 보관하는 기능

 

363. ISMS(Information Security Management System, ISMS, 정보보호 관리체계)

• 정보 자산을 안전하게 보호하기 위한 보호 절차와 대책
  • 1) 조직에 맞는 정보보호 정책을 수립
  • 2) 위험에 상시 대응하는 여러 보안 대책을 통합 관리/운용
• 우리나라에는 한국인터넷진흥원(KISA)에서 ISMS를 평가하고 인증하는 사업을 운영하고 있음.

 

364. 서비스 거부 공격 (DoS)

• 서버의 자원을 고갈시킬 목적으로 다수의 공격자 또는 시스템에서 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써 표적이 되는 서버의 정상적인 기능을 방해하는 것
• 유형
  • Ping of Death
  • SMURFING
  • SYN Flooding
  • TearDrop
  • LAND Attack
  • DDoS 공격

 

365. Ping Of Death

• Ping 명령을 전송할 때 패킷의 크기를 허용 범위 이상으로 전송하여 네트워크를 마비시키는 서비스 거부 공격 방법

 

366. SMURFING

• IP나 ICMP의 특성을 악용하여 엄청난 양의 데이터를 한 사이트에 집중적으로 보냄으로써 네트워크를 불능 상태로 만드는 공격 방법
• 각 네트워크 라우터에서 브로드캐스트 주소를 사용할 수 없게 설정하여 막을 수 있다.

 

367. SYN Flooding

• TCP는 신뢰성 있는 전송을 위해 3 way handshake를 거친 후에 데이터를 전송하는데, 이 때 3 way handshake 과정을 의도적으로 중단시켜 서버를 대기 상태로 만들어 정상적인 서비스를 수행하지 못하게 하는 공격 방법

 

368. TearDrop

• 데이터 송수신과정에서 Fragment Offset 값을 함께 전송하는데, 이 Offset값을 변경시켜 수신측에 과부하를 발생시켜 시스템이 다운되도록 하는 공격 방법

 

369. LAND Attack

• 패킷을 전송할 때 송신 IP와 수신 IP 주소를 모두 공격 대상의 IP 주소로 하여 자신에 대해 무한히 응답하게 하는 공격 방법

 

370. DDoS 공격

• 여러 곳에 분산된 공격 지점에서 한 곳의 서버에 대해 서비스 거부 공격을 수행하는 것
• 분산 서비스 공격용 툴인 데몬을 설치하여 에이전트로 만든 후 DDoS 공격에 이용

 

371. 분산 서비스 공격용 툴

• 에이전트 역할을 수행하도록 설계된 프로그램으로, 데몬이라고 부름
• 종류 
  • Trin00 : 가장 초기 형태의 데몬, UDP Flooding 공격을 수행
  • TFN : UDP Flooding 뿐 아니라 TCP SYN Flooding, ICMP 응답 요청, 스머핑 공격 등을 수행
  • TFN2K : TFN의 확장판
  • Stacheldraht : 이전 툴들의 기능을 유지하면서, 공격자, 마스터, 에이전트가 쉽게 노출되지 않도록 암호화된 통신을 수행

 

372. 세션 하이재킹

• 상호 인증 과정을 거친 후 접속해 있는 서버와 클라이언트 사이의 세션 정보를 가로채는 공격 기법
• 3 way handshake 과정에 끼어듦으로써 시퀀스 번호를 가로채 서버에 무단으로 접근하는 TCP 세션 하이재킹이 대표적

 

373. ARP 스푸핑

• ARP(Address Resolution Protocol)의 취약점을 이용한 공격기법, 자신의 물리적 주소(MAC)을 공격대상의 것으로 변조하여 공격 대상에게 도달해야 하는 데이터 패킷을 가로채거나 방해하는 기법

 

374. 스니핑

• 남의 패킷 정보를 도청하는 행위, 수동적 공격에 해당

 

375. 워터링 홀

• 자주 방문하는 사이트를 사전에 감염시켜, 사이트에 방문했을 때 악성 코드에 감염되게 하는 웹 기반 공격

 

376. 키로거 공격

• 컴퓨터 사용자의 키보드의 움직임을 탐지해 정보를 몰래 빼가는 해킹 공격

 

377. 랜섬웨어

• 내부 문서나 파일 등을 암호화해 사용자가 열지 못하게 하는 프로그램.

 

378. 백도어

• 시스템 설계자가 액세스 편의를 위해 시스템 보안을 제거하여 만들어놓은 비밀 통로인데 범죄에 악용되기도 함.
• 백도어 탐지 방법 : 무결성 검사,  열린 포트 확인,  로그 분석,  SetUID 파일 검사 등

 

379, 380. 기타 정보보안 관련 용어 

• 스미싱(Smissing)
  • 문자 메시지를 이용해 사용자의 개인 신용 정보를 빼내는 수법
• 스피어 피싱(Spear Phising)
  • 사회 공학의 한 기법으로, 특정 대상 선정 후 그 대상에게 일반적인 이메일로 위장한 메일을 지속적으로 발송하여, 발송 메일의 링크나 첨부파일을 클릭하도록 유도해 개인정보를 탈취하는 공격
• APT(Advanced Persistent Threats, 지능적 위협)
  • 다양한 IT 기술과 방식들을 이용해 특정 조직, 기업의 네트워크에 침투해 활동 거점을 마련하고, 때를 기다리며 보안을 무력화시키고 정보 수집 후 외부로 빼돌리는 공격
• 무작위 대입 공격(Brute force Attack)
  • 암호화된 문서의 암호키를 찾아내기 위해 적용 가능한 모든 값을 대입하여 공격하는 방식
• 큐싱(Qshing)
  • QR코드를 통해 악성 앱의 다운로드를 유도하는 공격
• WEP(Wired Equivalent Privacy, 유선급 프라이버시)
  • 유선 랜에서 기대할 수 있는 것과 보안과 프라이버시 수준의 무선 랜의 보안 프로토콜
• WPA2(Wi-fi Protected Access 2)
  • WEP의 취약성에 대한 대안으로 발표된 무선랜 보안 기술 규격.
• EDR(Endpoint Detection & Response)
  • 엔드포인트 영역에 대한 지속적인 모니터링을 통해 행위 기반 위협 탐지 및 분석, 대응 기능을 제공하는 솔루션
• TMS(Threat Management System)
  • 전사적 IT인프라에 대한 위협정보들을 수정/분석/경보,관리하는 정보보호 통합관리 시스템
• DTLS(Datagram Transport Layer Security)
  • 전송 계층 프로토콜인 UDP 기반으로 통신을 수행하는 경우 SSL/TLS와 유사한 보안 기능을 제공하는 프로토콜
• 크리덴셜 스터핑(Credential Stuffing)
  • 무차별 대입 공격의 일종, 공격자가 미리 확보해놓은 로그인 자격 증명을 다른 계정에 무작위로 대입해 사용자 계정을 탈취하는 방식
• POODLE(Padding Oracle On Downgraded Lecacy Encryption) 공격
  • TLS 연결을 SSL 3.0으로 낮춰 SSL 3.0의 취약점을 이용하여 암호문을 해독하는 공격기법
• DDE(Dynamic Data Exchange)
  • 마이크로소프트 오피스와 애플리케이션 사이에서 데이터를 전달하는 프로토콜
  • 엑셀 등 오피스 프로그램에서 DDE 활성화 시 일반 문서로 위장한 악성코드가 전파될 수 있음

 

• 좀비 PC
  • 악성코드에 감염된 컴퓨터로 C&C 서버의 제어를 받아 DDoS 공격에 이용됨.
• C&C 서버
  • 좀비 PC에 명령을 내리고 악성코드를 제어하는 서버
• 봇넷
  • 감염된 다수의 컴퓨터들이 네트워크로 연결된 형태
• 웜
  • 네트워크를 통해 연속적으로 자기복제하여 시스템의 부하를 높여 시스템을 다운시키는 바이러스
• 제로 데이 공격
  • 보안 취약점이 발견되었을 때, 취약점이 공표되기 전에 해당 취약점으로 공격하는 보안 공격. 공격의 신속성을 의미
• 트로이 목마
  • 해당 프로그램이 동작할 때 활성화 되어 부작용을 일으키나, 웜과 달리 자기 복제 능력은 없다.
• CC 인증
  • 국가마다 서로다른 정보보호시스템 평가기준을 연동하고 평가결과를 상호인증하기 위해 제정된 정보보안 평가기준으로 ISO/IEC 15408에 등록된 국제 표준
• 멀버타이징
  • 멀웨어 + 광고의 합성어. 온라인 광고를 통해 악성코드를 유포시키는 행위
• 정보공유분석센터(ISAC)
  • 정보통신기반시설을 보호하기 위한 업무를 수행하는 곳
• 업무연속성계획(BCP)
  • 재해,장애,재난으로부터 위기관리를 기반으로 비즈니스 연속성을 보장하기 위한 계획
  • RTO, RPO, 우선순위를 설정하기 위해 BIA를 수행함.
• 데이터 디들링
  • 처리할 자료를 다른 자료와 바꿔 처리하는 것.
  • 입력값이나 출력값을 부정한 의도로 수정하여 잘못된 결과가 나오도록 유도하는 방식
• 비트로커
  • 윈도우 7부터 지원하는 윈도우 전용 볼륨 암호화 기능
  • TPM과 AES-128 알고리즘을 사용
• 공급망 공격(Supply Chain Attack)
  • 소프트웨어 공급망에 침투하여 악성코드를 배포하는 공격

 

 

 

 

---

324.

 

325.

326.

 

327.

 

 

328.

 

 

 

329.

 

330.

 

 

 

331.

 

 

332.

 

 

 

333.

 

 

 

334.

 

 

 

335.

 

 

 

336.

 

 

337.

 

 

 

338.

 

 

 

339.

 

 

 

340.

 

 

341.

 

 

342.

 

 

343.

 

344.

 

 

345.

 

 

 

346.

 

 

347.

 

 

348.

 

 

349.

 

 

350.

 

 

 

351.

 

 

352.

 

353.

 

354.

 

355.

 

356.

 

 

357.

 

358.

 

359.

 

 

360.

 

 

361.

 

 

362.

 

363.

 

364.

 

365.

 

366.

 

367.

 

368.

 

369.

 

370.

 

 

371

 

 

372

 

373

 

374.

 

375.

 

376.

 

377.

 

378.

 

379.

 

380.