정보처리기사 실기 정리 9강 [소프트웨어 개발 보안 구축]

SDLC(Software Development Life Cycle = 소프트웨어 개발 생명주기)

소프트웨어 개발 전 과정을 단계별로 나눈 것 

 

Secure SDLC 

SDLC 에 보안강화 프로세스를 포함한 것

(Secure SDLC의 대표적인 방법론)

방법론	내용
CLASP	SDLC의 초기 단계에서 보안을 강화하기 위해 개발된 방법론
SDL	마이크로소프트 사에서 안전한 소프트웨어 개발을 위해 기존의 SDLC를 개선한 방법론
Seven Touchpoints	소프트웨어 보안의 모범사례를 SDLC에 통합한 방법론

 

보안의 3대요소

보안요소	설명
기밀성(Confidentiality)	시스템 내의 정보와 자원은 인가된 사용자에게만 접근 허용 정보가 전송 중에 노출되더라도 데이터를 읽을 수 없음
무결성(Integrity)	시스템 내의 정보는 오직 인가된 사용자만 수정할 수 있음
가용성(Availability)	인가받은 사용자는 시스템 내의 정보와 자원을 언제라도 사용할 수 있음

 

시큐어 코딩(Secure Coding)

보안 요소들을 고려하며 코딩하는 것 

---

입력 데이터 검증 및 표현의 보안 약점

입력 데이터로 인해 발생하는 보안 문제 및 이를 예방하기 위해 구현 단계에서 검증해야하는 항목

보안 점검 항목	문제	해결
SQL 삽입 (injection)	웹 응용 프로그램을 통해 SQL를 삽입하여 내부 DB의 데이터 유출 및 변조를 하거나 관리자 인증 우회하는 보안 약점	동적 쿼리에 사용되는 입력값에 에약어 및 특수문자에 대해 필터링을 설정
경로 조작 및 자원 삽입	데이터 입출력을 경로를 조작하여 서버 자원을 수정 및 삭제할 수있는 보안 약점	사용자의 입력값을 사용시 경로 순회(/,\,..) 공격을 막는 필터를 설정
크로스사이트 스크립팅(XSS)	웹페이지에 악의적인 스크립트를 삽입하여 방문자들의 정보를 탈취 및 비 정상적인 기능 수행을 유발하는 보안 약점	입력값에 HTML 태그를 막거나 <,>,& 등을 다른 문자로 치환함으로 방지
운영체제 명령어 삽입	외부 입력값을 통해 시스템 명령어의 실행을 유도함으로써 권한을 탈취하거나 시스템 장애를 유발하는 보안 약점	웹 인터페이스를 통해 시스템 명령어가 전달되지 않도록 함과 외부 명령어를 검증 없이 내부 명령어로 사용하지 않음으로 방지
위험한 형식 파일 업로드	악의적인 명령어가 포함된 스크립트 파일을 업로드함으로써 시스템의 손상을 주거나 제어를 할 수 있는 보안 약점	업로드 파일 확장자 제한, 파일명의 암호화, 웹 사이트와 파일 서버의 경로 분리
신뢰되지 않는 URL 주소로 자동접속 연결	입력 값으로 주소를 받을 시 이를 조작하여 방문자를 피싱 사이트로 유도하는 보안 약점	연결할 수 있는 주소를 화이트 리스트로 관리함으로써 방지
메모리 버퍼 오버플로	메모리 범위를 넘어선 위치에서 자료를 읽거나 쓰려고 할 때 나타나는 보안 약점	적절한 메모리 버퍼 크기 설정 후 정한 범위 내에서만 올바르게 읽거나 쓸 수 있게함으로 방지

---

암호 알고리즘

중요 정보를 보호하기 위해 평문을 암호화된 문장으로 만드는 절차 또는 방법

 

개인키 암호화(Private Key Encryption) 기법

동일한 키로 데이터를 암호화하고 복호화하는 암호화 기법

 

개인키 암호화 기법의 종류

스트림 암호화 방식 

평문과 동일한 길이의 스트림을 생성하여 비트 단위로 암호화하는 기법

블록 암호화 방식

한 번에 하나의 데이터 블록을 암호화하는 방식 

 

RSA

큰 숫자를 소인수분해 하기 어렵다는 것에 기반을하여 만들어짐, 양방향 알고리즘 중 하나

 

공개키 암호화(Public Key Encryption) 기법

암호화하는 공개키는 사용자에게 공개하고 복호화할 때 쓰는 비밀키는 관리자가 비밀리에 관리하는 암호화 기법

 

해시(Hash)

임의 길이의 데이터나 메시지를 고정된 길이의 값이나 키로 변환한 것

- SHA 시리즈, MD5

---

서비스 공격 유형

서비스 거부(Dos : Dinal of Service) 공격

대량의 데이터를 한 곳의 서버에 집중으로 전송함으로써 표적이 되는 서버의 정상적인 기능을 방해하는 것

 

종류

- Ping of Death(죽음의 핑)

패킷의 크기를 인터넷 프로토콜 허용 범위 이상으로 전송하여 공격 대상의 네트워크를 마비시키는 서비스 거부 공격

 

- SMURFING(스머핑)

IP(Internet Protocol)나 ICMP(Internet Control Message Protocol)의 특성을 악용하여 엄청난 양의 데이터를 한 사이트에 집중적을 보냄으로써 네트워크를 불능 상태로 만드는 공격 방법

 

- SYN Flooding

자가 가상의 클라이언트로 위장하여 3-way-handshake 과정을 의도적으로 중단시킴으로써 공격 대상자인 서버가 대기 상태에 놓여 정상적인 서비스를 못하게 하는 공격 방법

 

- TearDrop

Offset 값을 변경시켜 수신 측에서 패킷을 재조립할 때 오류로 인한 과부하를 발생시킴으로써 시스템이 다운되도록 하는 공격 방법

 

- LAND(Local Area Network Denial Attack) Attack

패킷을 전송할 때 송신 IP 주소와 수신 IP 주소를 모두 공격 대상의 IP 주소로 하여 공격 대상에게 전송하게 하는 방법으로 자신에 대해 무한히 응답하게 하는 공격 방법

 

- DDos 공격

여러 곳에 분산된 공격지점에서 한 곳의 서버에 대해 분산 서비스 공격을 수행하는 것 

---

네트워크 침해 공격 관련 용어

종류

- 스미싱(Smising)

문자 메시지를 이용해 개인 신용 정보를 빼내는 수법

 

- 스피어 피싱(Spear Phishing)

대상에게 일반적인 메일로 위장한 메일을 지속적으로 발송하여 발송 메일의 본문 링크나 첨부파일을 클릭하도록 유도해서 개인 정보를 탈취함

 

- ART(Advanced Persistent Threats, 지능형 지속 위협)

다양한 IT 기술과 방식들을 이용해 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤 때를 기다리면서 보안을 무력화시키고 정보를 수집한 다음 외부로 빼돌리는 공격

 

- 무차별 대입 공격(Brute Force Attack)

암호화된 문서의 암호키를 찾아내기 위해 적용 가능한 모든 값을 대입하여 공격하는 방식

 

- 큐싱(Qshing)

QR코드를 이요해 악성 앱의 다운로드를 유도하거나 악성 프로그램을 다운 받게하는 기법 QR코드와 피싱의 합성어

 

- SQl 삽입(Injection) 공격

전문 스캐너 프로그램 혹은 봇넷 등을 이용해 웹 사이트를 무차별적으로 공격하는 과정에서 보안이 취약한 사이트가 발견되면 데이터베이스 등의 데이터를 조작하는 일련의 공격 방식

 

- 크로스 사이팅 스크립트(XSS: Cross Site Scripting)

웹 페이지의 내용을 나타내기 위해 사용되는 스크립트의 취약점을이 악용한 해킹 기법

사용자가 특정 게시물이나 이메일 링크를 클릭시 악성 스크립트가 실행되어 정보, 자료 등이 해커에게 전달

 

- 스니핑(Sniffing)

네트워크 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나로 수동적 공격에 해당

---

정보 보안 침해 공격 관련 용어

종류
- 좀비(Zombie) PC

악성 코드에 감연되어 다른 프로그램이나 컴퓨터로 조종하도록 만들어진 컴퓨터

C&C(Command & Control) 서버의 제어를 받아 주로 DDos 공격에 이용

 

- C&C 서버

해커가 원격에서 좀비 PC에게 명령을 내리고 악성코드를 제어하기 위한 서버를 말함

 

- 봇넷(Botnet)

악성 프로그램에 감연되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태

 

- 제로 데이 공격(Zero Day Attack)

보안 취약점 발생시 이점이 알려지기 전에 보안 취약점을 통한 보안 공격으로, 공격의 신속성을 의미

 

- 키로거 공격(Key Logger Attack)

컴퓨터 사용자의 키보드의 움직임을 탐지해 ID, Password, 계좌번호, 카드번호 등과 같은 개인의 중요한 정보를 몰래 빼내는 보안 공격

 

- 랜섬웨어(Ransomeware)

인터넷 사용자의 컴퓨터에 잡임해 내부 문서나 파일 등을 암호화해 사용자가 열지 못하도록 하는 프로그램으로 암호 해독용 프로그램 전달 조건으로 사용자에게 돈을 요구

 

- 백도어(Back Door, Trap Door)

시스템 설계자, 기술자가 유지 보수 작성자의 액세스 편의를 위해 시스템 보안을 제거해놓은 비밀통로로 이를 컴퓨터 범죄에 이용함

백도어 탐지 방법 : 무결성 검사, 열린 포트, 로그 분석, SetUID(컴퓨터 사용자에게 부여되는 ID) 파일 검사

 

- 트로이 목마(Trojan Horse)

정상적인 프로그램으로 위장하여 프로그램 내에 숨어있다가 해당 프로그램 작동시 활성화 되어 부작용을 주는 것, 자가 복제 기능은 없음

---

보안 솔루션

외부로부터의 불법적인 침입을 막는 기술 및 시스템을 말함

 

종류

- 방화벽(Firewall)

기업이나 조직 내부의 인터넷 간에 전송되는정보를 선별하여 수용, 거부, 수정하는 기능을 가진 침이 차단 시스템

외부로 나가는 패킷은 그대로 통과하고 내부로 들어오는 패킷은 엄밀히 체크하여 인증 된 패킷만 통과

 

- 침입 탐지 시스템(IDS : Intrusion Detection System)

컴퓨터 시스템의 비정상적인 사용, 오용, 남용 등을 실시간으로 탐지하는 시스템

오용 탐지(Misuse Detection) : 미리 입력해둔 공격 패턴이 감지되면 이를 알려줌

이상 탐지(Anomaly Detection) : 평균적인 시스템 상태를 기준으로 비정상적인 행위나 자원 사용 감지시 알려줌

 

- 침임 방지 시스템(IPS : Intrusion Prevention System)

비정상적인 트래픽을 능동적으로 차단하고 격리하는 등의 방어 조치를 취하는 보안 솔루션

방화벽 + 침입 탐지 시스템을 결합한 것, 침임 탐지 시스템으로 비정상 패킷을 탐지 후 방화벽으로 차단

 

- 데이터 유출 방지(DLP : Data Leakage/Loss Prevention)

내부 정보의 외부 유출을 방지하는 보안 솔루션

 

- 웹 방화벽(Web Firewall)

일반 방화벽이 탐지 못하는 SQL 삽입 공격, Cross-Site Scripting(XSS) 등의 웹 기반 공격을 방어할 목적으로 만들어진 웹 서버 특화 방화벽, 웹 공격을 감시하고 웹 서벙 도달하기 전 차단 해줌

 

- VPN(Virtaul Private Netwrok, 가상 사설 통신망)

공중 네트워크와 암호화 기술을 이용하여 사용자가 마치 자신의 전송 회선을 사용하는 것 처럼 해주는 보안 솔루션

지역적인 제한 없이 엄무 수행이 가능해짐

 

- NAC(Network Access Control)

네트워크에 접속하는 내부 PC의 MAC주소를 IP 관리 시스템에 등록한 후 일관된 보안 관리 기능을 제공하는 보안 솔루션

* MAC 주소 : Media Access Control Address로 데이터 링크 계층에서 통신을 위한 네트워크 인터페이스에 할당된 고유 식별자

 

- ESM(Enterprise Security Management)다양한 장비에서 발생하는 로그 및 보안 이벤트를 통합하여 관리하는 보안 솔루션방화벽, IDS, IPS, 웹 방화벽, VPN 등에서 발생한 로그 및 보안 이벤트를 통합하여 관리함으로써 비용 및 자원 절감

 

- EAI(Enterprise Application Intergration)

기업 내 각종 애플리케이션 및 플랫폼 간의 정보 전달, 연계, 통합 등 상호 연동이 가능하게 해주는 솔루션, 비즈니스 간 통합 및 연계성을 증대시켜 효율성 및 각 시스템 간의 확정성을 높여줌