Transcript 8과_objectives.

CHAPTER 8 Learning
Objectives
1조
성빈이와 연
장자들
Securing Information Systems
1. 왜 정보시스템들은
파괴, 오류, 오·남용에 취약한가?
현재 보안의 과제와 취약성
기업서버
사용자
기업시스템
통신선
데이터베이스
무허가 접근
오류
바이러스
스파이웨어 툴
도청
스니핑(엿보기)
메시지 조작
도난 및 사기
불법복사
해킹
바이러스와 웜
도난과 사기
파괴 행위
서비스 거부 공격
데이터 도난
데이터 복사
데이터 조작
하드웨어 고장
소프트웨어 고장
인터넷의 취약점
① 인터넷이 기업 네트워크에 도입되면 조직의 정보시스템은 외부의 침입에 더욱 취약해진다.
② 인터넷의 규모는 방대하기 때문에 오남용이 발생할 경우 그 영향력 또한 방대해진다.
③ 메일과 메시지의 사용은 악성 소프트웨어 이식이나 기업 기밀, 고객 정보 등이 노출될 수 있다.
무선 네트워크 보안 과제
① 와이파이 핫 스팟 네트워크는 개방되어있고, 네트워크의 범위가 확장 될 수 있으며, 와이파이
표준을 사용하는 근거리 네트워크(LAN)은 외부인에게 쉽게 침입 당할 수 있기 때문에 안전
하지 못함.
② 해커는 노트북 컴퓨터, 무선카드, 외부 안테나, 크리웨어 해킹 소프트웨어 등을 이용하여 보안
이 취약한 네트워크를 탐지하고 네트워크에 접근도 가능하다.
악성 소프트웨어
바이러스
사용자가 파악하지 못하게 데이터 파일에 첨부시키는 악성 소프트웨어 프로그램데이
터를 파괴하고, 메모리 과부하, 하드 디스크 포맷, 프로그램 오작동을 야기함
웜
네트워크를 이용하여 자기 자신을 복사, 확산하는 독립적 컴퓨터 프로그램
트로이 목마
바이러스보다 확산되는 속도가 빠르며, 스스로 작동할 수 있다.
사람의 개입 없이도 컴퓨터 -> 컴퓨터로 확산이 가능
컴퓨터 네트워크의 운영 방해, 데이터, 프로그램을 파괴
겉으로 보기에는 전혀 해를 끼치지 않을 것 같지만 바이러스와 비슷한 위험인자를 지니고 있음
자기 복사 능력이 없으나 그 파괴력은 컴퓨터 바이러스 못지않음
주로 e-메일이나 인터넷을 통해 다운받는 프로그램에서 발견됨, 해킹이 목적
스파이 웨어
사용자의 웹 서핑을 감시하고, 광고를 제공하기 위해 컴퓨터에 설치
Harris Interactive(미국 여론조사 전문업체)가 실시한 Web@Work 연구에
따르면 회사에서 사용하는 네트워크의 92%가 스파이 웨어에 감염된 상태
사생활, PIN코드, 로그인 정보, 결제정보 등 개인정보를 유출 가능성 있음
Key Logger는 개인정보를 획득을 위해 입력하는 모든 비밀번호를 기록함
악성 코드의 예
Storm
웜/
트로이목마
E-메일을 통하여 퍼진 후, 1000만대 이상의 컴퓨터를 감염 시킨 후,
좀비 네트워크로 범죄 활동에 관여
Sasser.ftp
웜
인터넷에서 무작위 IP주소를 공격하여 확산, 컴퓨터를 파괴하고 재부팅
시키는 원인/ 세계적으로 148~186억 달러에 이르는 손실을 가져옴
MyDoom.A
웜
전자 메일 첨부형태로 확산/ 최고조에 달했을 때, 세계의 인터넷 성능을
10%가량 느리게하고, 웹 페이지 로딩 시간을 50% 지연
Sobig.F
웜
전자 메일의 첩부 파일을 이용해 확산/
100만 대 이상의 PC와 50~100억 가량의 손실
ILOVEYOU
바이러스
비주얼 베이직 언어로 만든 스크립트 바이러스로 전자 메일의 첨부 파일
형태로 전송/ 100~150억 달러에 이르는 손실
Melissa
매크로
바이러스/
웜
기업용 PC의 워드 매크로 스크립트 중 15~29%가 감염되
3억~6억 달러의 피해를 입힘
해커와 컴퓨터 범죄
Hacker
컴퓨터 시스템에 허가 없이 접근하려는 사람
Cracker
정품소프트웨어 등을 크래킹 하여 쓰는 사람
Spoofing(
위장하기)
Sniffing
(엿보기)
시스템 침투, 시스템 파손,
사이버기물파손, 의도적 방해,
외관훼손 (홈페이지 초기 화면 변경)
등으로 확대
악의적 침입자가 웹사이트를 구성, 일반 사용자의 방문을 유도, 인터넷 프로토콜TCP/IP의
구조적 결함을 이용해 사용자의 시스템 권한을 획득한 뒤 정보를 빼가는 해킹 수단
네트워크로 전달되는 정보를 감시하는 도청 프로그램의 유형
해커가 E-Mail 메시지, 기업 파일, 기밀 리포트 등 사유정보를 훔치는 것을 도움
Denial-of-Service (Dos) attack [서
비스 거부 공격]
특정서버에 처리할 수 없을 정도의 대량의 접속 신호를 한번에 보내 서버가 마비되도록 하는 해킹 기법
DDOS(분산 서비스거부) 공격 : 여러 대의 컴퓨터를 일제히 작동시켜 특정 사이트를 공격하는 방식
DOS공격에는 종종 수천의 좀비 PC들이 동원되며, <보트넷>으로 조직화 됨
해커들은 보트넷을 활용하여 DDOS공격, 피싱 캠페인, 스팸 메일 공격을 감행
보트넷 : 악성 봇에 감염되어 명령·제어 서버에 의해 제어 당하는 대량의 시스템들로 구성된 네트워크
컴퓨터 범죄
미 법무부 : 범행이나 조사, 자료, 기소에 대한 컴퓨터 기술지식을 포함한 위법 행위
얼마나 많은 시스템이 침투 당하는지, 얼마나 많은 사람들이 관여되는지, 손실은 얼마인지 규모를 알 수 없음
범죄의 목적이되는 컴퓨터
보안 전산 데이터의 기밀성 침해
권한 없는 컴퓨터 시스템에 접속
사기를 위해 만들어진 보안 컴퓨터에 의도적인 접속
부주의, 고의로 보안 컴퓨터의 의도적인 접속, 손상을 유발
보안 컴퓨터에 의도적인 손상을 입히는 프로그램,코드,명령 등을 의도적으로 전송
보안 컴퓨터에게 손상을 위협
범죄이용에 사용되는 컴퓨터
기업 비밀 절도
소프트웨어와 저작권이 있는 논문,책, 음악,비디오 등 지적 소유물을 불법 복제
속여서 뺏어내려는 책략
전자메일을 통해 위협, 괴롭힘
의도적으로 전자적인 통신 내용을 훔치기 위한 시도
전자메일, 음성메일에 저장된 전자적 통신 내용에 불법적인 접근
컴퓨터를 이용해 아동 외설물 전송, 처리
인터넷, 전자상거래의 발달로 신원도용 문제 부각
신원도용
본인이 아닌 다른 사람으로 가장하기 위해 개인 정보를 빼내는 범죄
▶인터넷에서 활발히, 특히 전자상거래사이트에서 쉽게 정보가 유출될 수 있음
Phishing
[피싱]
신원도용과 관련된 보편적인 범죄로 일종의 스푸핑/
가짜 웹사이트를 만들거나 사용자에게 개인 기밀 정보를 요구하는 합법적인 기업이
발송한 것 처럼 위장해 메일을 보내는 방법을 사용하여 정보를 유도
Evil twins[이블트윈스]
Pharming
[파밍]
Click Fraud [클
릭사기]
실제로는 공인 안된 무선접속장치를 공인된 무선접속장치인 것처럼
가장하여 접속한 사용자들의 신상 정보를 가로채는 인터넷 해킹 수법
합법 사용자의 도메인을 탈취하거나 도메인 네임시스템(DNS), 서버의 주소를 변조해
사용자에게 진짜 사이트로 오인하여 접속하도록 한 뒤 개인정보를 훔치는 새로운 수법
개인이나 컴퓨터 프로그램으로 광고에 대해 관심이 없어도 클릭할 때 발생
클릭당 지불 광고방식을 사용하는 사이트에 심한 문제가 됨
Ex) 배너 클릭 1번으로 10원
경쟁사의 광고 효과를 약화시키기 위한 목적으로 일어나기도 함
Ex) 경쟁사 마케팅비용 증가 / 클릭의 25%가 악의적인 클릭으로 보고되고 있음
취약성의 위협요소
취약성의 내부적인 위협요소
기업 보안문제가 외부에서 발생할 수도 있지만 가장 큰 위협은 내부에서 발생
내부 직원은 기업 고급정보에 접근할 수 있고, 흔적을 남기지 않을 수 있음
사회공학 : 사람과 사람 사이에 존재하는 기본적인 신뢰를 바탕으로 공격해
원하는 정보를 취득하는 행위로 침입자는 기업의 직원인 척 위장하여 암호를 노출하도록 유도
시스템의 전문가와 최종사용자 또한 정보시스템 오류의 주 원인이고 일반 직원은
데이터 입력, 데이터 처리에서 올바른 지침을 따르지 않고 잘못을 하므로 시스템오류 유발
새로운 소프트웨어를 설계,개발하거나 기존 프로그램을 유지하면서 소프트웨어의 오류를 일으킬 수 있음
취약성의 기본 위협요소
일반 사용자 : 결함이 있는 데이터를 설치하거나 데이터의 처리나 컴퓨터 장치의 적절한 사용법을
따르지 않음으로써 보안 문제 발생
정보시스템 전문가 : 새로운 소프트웨어를 개발하거나 기존 프로그램을 유지하는 과정에서 소프
트웨어 에러 발생
소프트웨어의 취약성
소프트웨어는 가끔 침입자에게 네트워크를 열게 해주는 보안적인 문제를 야기하게 한다.
이런 문제로 버그는 멀웨어가 바이러스 방어막을 통과할 수 있게 됨
(멀웨어: 사용자의 의사와 이익에 반해 시스템을 파괴하거나 정보를 유출하는 등 악의적 활동을 수행하도록
의도적으로 제작된 소프트웨어)
패치 : 소프트웨어의 결함을 수정하기 위해 소프트웨어의 운영에 지장을 주지 않고 문제를 잡을 수 있는 코드
(Ex. 마이크소프트의 SP 2, 3)
기업이 다수의 비즈니스시스템, 운영체제를 두기 때문에 사용하는 모든 시스템, 장치에 패치관리를 하는 것에
많은 시간, 비용이 드는 작업이 되었다.
하지만 멀웨어는 빠른 시간에 퍼져 쉽게 취약점이 알려져 악의적 소프트웨어가 나타나서 대처가 힘듦.
버그의 주요 원인은 의사결정 코드의 복잡성과 소프트웨어 프로그램의 규모 증가
Securing Information Systems
2. 보안과 통제의 비즈니스 가치는
무엇인가?
부적절한 보안
과 통제
데이터 노출이나
절도로 인한
고 비용 소송과
불 필요한 위험과
손해를 입게 된다.
전자 기록 관리를 위한 법적 및 규제적 요건
전자기록관리(Electronic Record Management : ERM)
정책, 절차, 유지, 파괴, 전자 기록의 저장을 관리하는 도구로 구성
1996년도에 제정된 건강보험의양도 및 책임에 관한 법률
• 의료보안과 건강관리 청구의 운영 간소화 & 데이터의 자동화를
위한 사생활 규칙과 절차를 명시
• 사생활 침해 , 환자 기록 유출에 대한 처벌 규정도 포함
Gramm-Leach-Bliley Act (그램-리치-브릴리법)
• 199년의 금융서비스개혁법안으로 금융단체에 고객 데이터의 안보
와 기밀성 확보 요구
• 법에 따르면 반드시 안전한 매체에 저장해야 되고 데이터를 보안하
는 특별한 보안수단 강구
Sarbanes Oxley Act(사베인즈 옥슬리법)
• 기업과 그들의 경영진으로 내부적, 외부적으로 사용될 금융정보의
정확성과 통합성을 보호하는 책임 부여
전자적 증거와 컴퓨터 포렌식스
컴퓨터 포렌식스
정보가 법정에서 증거로 사용될 수 있도록 컴퓨터에 남아있거나 추출
가능한 데이터의 과학적 수집, 조사, 인증, 보존 및 분석으로서 밑에
그림에서 보여주는 것 같이 4가지 문제를 다룬다.
증거의 무결성
복구된 전자
을 보존하면서
데이터의
안전
이러한
4가지 문제를
다루는
컴퓨터에서
저장과 취급
컴퓨터복구
포렌식스한전문가는
데이터를
법정에서 증거로 제출하기 위해
숨긴
데이터를 복구하려고 노력
방대한 전자
데이터에서 한다. 법정에 정보
결정적 정보의
발견
제공
Securing Information Systems
3. 보안과 통제를 위한 조직적 체계
(Framework)는 무엇인가?
1.정보시스템의 통제
1.일반통제(general controls)
-조직의 정보기술 구조를 통해 데이터파일의 보안, 컴퓨터
프로그램의 사용, 보안, 구상을 관리
•-모든 컴퓨터에 저장된 응용 프로그램에 적용되고,
•하드웨어와 소프트웨어의 조합과
전반적인 제어 환경을 만드는 절차를 포함
- 일반 통제의 종류: 소프트웨어통제, 하드웨어통제, 컴퓨터 응용통제, 데
이터보안 통제, 실행 통제, 관리상 통제
일반적인 제어의 종류
정의
소프트웨어 제어
시스템 소프트웨어의 사용을 모니터 하고 소프트웨어 프로그램, 시스템 소
프트웨어, 컴퓨터 프로그램의 승인되지 않은 접근을 차단
하드웨어 제어
컴퓨터 운영 제어
데이터 보안 제어
컴퓨터 하드웨어가 물리적인 보안, 그리고 장비 기능 불량을 점검하는 것
을 보장함
컴퓨터에 매우 의존 하고, 또한 컨텐츠 서비스를 위한 백업 또는 지속된
운영을 대비해야 하는 구조
프로그램 된
용되게 하기
컴퓨터 처리
전체 제어를
절차가 데이터를 저장하고 처리하는데 일관되고 정확하게 적
위한 컴퓨터 부서의 업무를 감독
업무의 셋업 , 비이상적인 종료를 위한 백업과 복원 절차의
포함
각각 디스크 또는 테이프에 들어있는 가치 있는 비즈니스 데이터 파일에
승인 없이 접근하지 못하게 하고, 변화하지 못하게 하고 또는 사용,저장하
는 동안 데이터 파일이 파괴 될 수 없게 보장함
실행 제어
시스템 개발 과정이 다양한 시점에 절차가 적절히 제어되고 관리되도록 보
장하기 위해 회계 감사 함
관리상 제어
기준, 규범, 절차, 그리고 제어 규율을 조직의 일반적인, 응용 프로그램 제
어가 적절히 수행되고 실시되도록 보장하기 위해 공식화 함
1. 정보시스템의 통제
2. 응용통제(general controls)
- 임금대장이나 주문처리와 같은 컴퓨터화된 독특한 어플리케이션을
명확히 통제
- 허가 받은 데이터가 완전하고 정확하게 응용 프로그램에 의해
처리되도록 보호하는 자동 그리고 수동 두 절차를 포함
- 입력 제어, 과정 제어, 출력 제어로 분류 됨
2.위험평가
-보안 위험을 확인하고 그것들의 중요도를 결정하며 보호 수단을
요구하는 부분을 확인하는 과정
- 특별한 활동 또는 과정이 제대로 제어되지 않았을 때, 회사에 위험
수준을 알아냄
- 모든 위험이 예상되고 측정 될 순 없지만 직면한 위험의 대부분을
식별 가능
- 관리자는 정보자산의 가치,취약점 (문제빈도같은) 잠재적 데미지를
알아내야 한다.
Ex>사건이 발생하지 않는다면 손실은 만달러 이 사건을 예방하기 위한
통제의 구상과 유지에는 2만 달러 (현명하지 않다!)
사건이 매일 발생할 때의 잠재적 손실은 30만달러 통제비용에는 10만달러!
노출
발생 확률(%)
예상되는 연간 손실
30%
$5,000 $200,000
($102,500)
$30,750
5%
$1,00 0 %50,000
($25,500)
$1,275
98&
$200 - $40,000
($20,100)
$19.698
정전
도용
사용자 오류
손실 범위/평균
시스템 구축자는 리스크를 평가할 때 통제포인트와 가장 큰 취약점,잠재적 손실에
집중해야 한다.
이 표에서 통제는 정전과 사용자 오류를 줄이는데 초점이 맞춰줘야 할 것이다.
3.보안정책
보안정책
- 정보 위험 순위 보고서, 받아들일 수 있는 보안 목표 확인,
목표달성을 위한 메커니즘 확인으로 구성
acceptable use policy(AUP) 사용 허가 규정
- 기업의 정보 자원과 데스크탑과 랩탑 컴퓨터, 무선 장치, 전화, 인터넷
을 포함하여 컴퓨팅 장비의 사용 허가 기준을 정의.
- 프라이버시, 사용자 책임, 기업 장비와 네트워크의 개인적 사용에 관
하여 기업의 정책을 명확하게 해야 함
- 잘 수립된 AUP는 모든 사용자들에 대해 사용허가 범위를 명확히 하고,
이에 불이행한다면 그에 따른 결과를 구체적으로 명시.
3.보안정책
계정관리
- 시스템의 유효한 유저를 규정하고 그들이 시스템자원에 접근하는 것을
통제하기 위한 비즈니스 프로세스와 소프트웨어 툴로 구성
- 다른 카테고리의 시스템을 규정하고 권한을 부여하는 정책과
어떤 시스템이 혹은 그 시스템의 일부에 각 유저의 접근이 허락되는지
명시하는 것과
유저인증과 그들의 신원을 보호하는 프로세스와 기술을 포함
4. 재난회복 계획 그리고 비즈니스 지속 계획
재난회복계획
- 재난복구계획은 컴퓨팅과 커뮤니케이션 서비스들이 피해를 입은 후에,
복구 계획을 강구
- 시스템을 유지하고 운영을 포함한 기술문제에 초점
- 파일백업, 재난복구 서비스, 컴퓨터시스템 백업 유지
사업 연속계획
- 재난타격 후, 어떻게 기업이 사업 운영을 복구할 수 있을까에 초점.
중요한 사업 절차를 명확히 하고, 만약 시스템이 중단된다면 임무수행에
필수적인 기능들을 다루는 행동계획을 결정.
비즈니스 관리자 그리고 정보 기술자들은 회사에서 문제시되는 비즈니스
과정과 시스템을 함께 분석하는 계획을 세워야 할 필요
5. 감사의 역할
- 조직은 종합적이고 체계적인 감사를 통해 효과적으로
정보시스템의 보안과 제어를 실행함
-MIS 감사는 기업의 전체적인 보안 환경을 조사하고
개인 정보 시스템 관리를 통제
- 보안감사는 기술, 진행절차, 증거서류, 훈련, 총인원을
재검토함
Securing Information Systems
4. 정보자원을 보호하기 위한 가장 중요한
도구와 기술은 무엇인가?
Identity Management And Authentication
Authentication (인증)
- 접근하려는 사람이 권한을 있는 사람인지 식별
- 권한을 받은 사람만 시스템 사용, 데이터 접근 가능하게끔 설계
Password systems (패스워드 시스템)
- 패스워드를 잊어 버릴 수 있고 공유하고 쉬운 비밀번호는 추측하기 쉬움
- 패스워드 시스템의 엄격성은 직원의 생산성을 떨어뜨림
- 자주 변경해야 할 필요가 있음
새로운 인증기술
Token
- 단일사용자 신원 증명하도록 설계된 식별 카드 같은 물리적 장치로
사용자 신분 확인
- 열쇠고리에 부착할 수 있을 정도로 작으며 자주 바뀌는 패스워드를
인식해주는 작은 장치
Smart Card
- 신용카드의 크기로 카드 내에 칩을 포함하고 있어 접근 허가와
데이터들이 내장되어 있음
Biometric authentication(바이오 인증)
- 지문, 홍채, 목소리와 같은 사람의 특성을 가지고 신분을 확인하는 기술
- 각 개인 구별 가능한 물리적, 행태적 특성의 측정치에 기반
- 지문, 얼굴, 망막 등 인간의 고유 특징과 저장된 일련의 프로파일과 비교해 차이점
을 2개 파악해서 프로파일 일치 시 접근 허용
Firewalls, Intrusion Detection Systems, And Antivirus Software
방화벽 (Firewalls)
- 하드웨어와 소프트웨어가 결합한 것으로 네트워크 트래픽의 흐름제어
- 보통 조직의 내부 사설 네트워크와 인터넷 등 외부 네트워크 사이에 위치
- 네트워크로의 접근을 승인하기 전에 사용자의 접근권한을 검사하는 역할
방화벽 차단 기술
패킷 필터링
- 특정 송신원 주소나 발신원 주소 등을 가진 패킷의 통과를 제한하는 것
상태기반검사
- 패킷이 송신자와 수신자간에 진행되는 대화의 일부분이 맞는지를 결정하는 것으로
추가적인 보안제공
NAT
- 사설 IP주소를 공인 IP주소로 바꿔주는데 사용하는 통신망의 주소
변환기로 외부에서 조직의 IP주소를 확인하거나 사용 하는 것을
예방하기 위해 조직내의 호스트컴퓨터 IP주소를 숨김
A Corporate Firewall
Internet
Outer
Firewall
Web
server
Inner
Firewall
Corporate
system
Data
base
Policy
rules
LANs
Intrusion Detection Systems
- 가장 취약한 포인트, 기업 네트워크의 ‘Hot Spot’에 위치하여 풀-타임 감시 활동
- 의심 되는 시스템이나 변칙적인 사건을 찾아내면 관리자에게 오류 경보 발송
- 내, 외부 네트워크간의 통신 패킷을 복사하여 미리 지정된 방식에 따라
실시간으로 침입을 파악하기 때문에 빠른 대응 가능
Antivirus and Antispyware Software
- 컴퓨터시스템과 드라이브 내의 컴퓨터 바이러스의 존재를 확인
- 대부분의 안티바이러스/ 안티스파이웨어 소프트웨어는 설치 당시의 존재하던
바이러스에만 작용되는 단점
→ 관련 프로그램의 지속적인 업데이트
Unified Threat Management (UTM)
통합 위험관리 시스템
•
•비즈니스의 비용을 줄이고 운영능력을 향상시키기 위해 보안 판매 회사들은
방화벽, 가상 사설 통신망, 침입탐지 시스템, 웹 컨텐츠 필터링, 안티스팸 소프트
웨어 같은 다양한 보안기술을 통합한 보안관리 시스템
-모든 크기의 네트워크에서 이용가능
Securing Wireless Netwokrs
무선 네트워크 보안
• 기업들은 기업 내부 데이터에 접근 할 때 가상 사설 통신망과 함께
결합해서 사용함으로써 와이파이 보안을 더 향상
• 2004년 6월 와이파이 연합은 강력한 보안 표준과 함께 WEP를 대체하는
802.11 이라는 무선 통신 표준을 완성
• 기업은 고정된 암호키 대신에 접근을 더 힘들게 하기 위해 더 길어진
암호키를 사용함
• 네트워크에 접근하는 사용자들에게 인증 하는것 또한 보안을 위하여
인증시스템을 암호화함
Encryption And Public Key Infrastructure
암호화와 공개키 구조
• 많은 기업들은 인터넷에서 전송, 저장되는 디지털 정보를 보호하기 위해
암호화를 사용함
• 암호화는 데이터를 전송하는 사람이나 전송 받는 사람 외에는 읽을 수
없도록 암호문으로 바꾸는 과정임
• 웹 상에서 네트워크 트래픽을 암호화하는 방법은 SSL과 S-HTTP
2가지이고 이후 TLS가 나옴
- S-HTTP는 인터넷으로 전송되는 데이터를 암호화하는프로토콜이지만
각각의 메시지를 암호화하는 것으로 한정되어 있음
- SSL과 TLS은 클라이언트와 서버 간에 전송되는 모든 데이터를 암호화함
Public Key Encryption
송신자
Public key에
의한 암호화
변환된
메시지
Private key에
의한 해독화
수신자
Encryption And Public Key Infrastructure
• 보안세션을 작동 시키는 것은 클라이언트와 서버에서 정하며 사용자의
개입 없이 자동으로 발생됨
• 클라이언트와 서버는 사용하는 보안 키와 수준을 조절하는데 조절이
완료되면 세션 안의 모든 메시지는 암호화 됨
• 암호화 방법에는 대칭 키 암호화와 공개키 암호화가 있음
- 대칭 키 암호화 : 단일한 하나의 암호키 사용
- 공개키 암호화 : 문제점을 보안하기 위해 나온 것으로
공개키 에는 2가지 키를 사용함
• 전자 인증서
-온라인 거래의 보호를 위해 전자적 자산과 사용자의 신원확인을 설정하기 위해
사용되는 데이터 파일
- 전자인증 시스템은 인증기관으로 알려져 있고, 사용자의 신원을 인증하는
제3신뢰기간을 사용
• PKI
-현재 전자상거래에서 많이 쓰이는 인증기관과 함께 작업하여
공개키 암호 해독사용
Digital Certificates
인증서
요청
기관/개별대상자
인증서
발급
인터넷
버전,
발급자이름,
발행일, 유효기간,
대상자이름,
대상자 공개 키,
인증기관 서명
인증기관
거래 파트너 –
온라인 상인 또는 고객
4. 정보 자원을 보호하기 위해 가장 중요한 도구와 기술은 무엇인가?
Ensuring System Availability
시스템 가용성 보장
• 회사들이 갈수록 디지털 네트워크에 의존
-따라서 항상 이용가능한 시스템과 애플리케이션을 보장하는데
필요한 조치 취해야 함
• 내고자성 또는 고 가용성 컴퓨팅은 downtime을 최소화하려 시도
-내고장성 컴퓨팅 : 일부 회로가 고장나도 자동적으로 수정하여 시스템 전체에는
영향을 주지 않도록 하는 컴퓨팅
- 내고장성 컴퓨터는 백업 장치에 자동적으로 전환하고 하드웨어 고장을 보호하기
위해 전기회로망에 붙여진 자기 검사 회로 또는 특별한 루틴을 사용
• 고가용성 컴퓨팅
- 고가용성 컴퓨팅 환경은 회사 내부 운영을 디지털 네트워크에 의존하는 회사 또
는 많은 전자상거래 프로세싱을 가진 회사에서 필요함
-멀티플 서버, 고성능 저장, 높은 재앙회복 능력, 비즈니스 지속계획을 넘어
프로세싱의 분산과 백업 서버를 요구함
• 복구지향형 컴퓨팅
-시스템 자체보다는 관리적 사항
- 복구할 일이 생겨도 복구하기 편리하게 시스템 갖추기 (Ex : 케이블, 라벨 정리)
4. 정보 자원을 보호하기 위해 가장 중요한 도구와 기술은 무엇인가?
Controlling Network Traffic : Deep Packet Inspection
• DPI: 데이터 파일 조사해 우선순위 낮은 온라인 자료 sort out 하고 비즈니스에
중요한 파일에 높은 우선권 할당
- 네트워크 운영자에 의해 만들어진 우선권에 근거해 특정 데이터 패킷이
목적지로 가야 하는지, 블록되거나 지연되어야 하는지 결정
- 적진 않았지만 캠퍼스에서 소수 인간들이 대용량 파일 다운받느라 나머지
사람들 느려지는 것 해결 가능
- 외부로부터 자국의 시스템 보호를 위한 공정이라고 하지만 부작용도 존재
Security Outsourcing
보안 아웃소싱
• 작은 회사들은 그들 스스로 보안과 고가용성 컴퓨팅 환경을 제공하기 위한 전문
지식과 자원이 부족
• 네트워크 활동을 모니터하고 취약성 테스트와 침입탐지를 수행하는 MSSPs에 많
은 보안 기능을 아웃소싱할 수 있음
-Managed Security Service Providers (MSSPs)
: 보안 컨설팅 회사
Ex) 안철수 바이러스 연구소
Security in the Cloud
클라우드 보안
• 자신의 데이터를 저장할 때 책임과 의무가 따름
• 클라우드 컴퓨팅 제공자가 해당 지역의 보안 관행에 맞게 정책을 잘 수립하여
운영한다는 것을 충분히 증명해야 함
• 보안 관련 투명성을 법적인 인프라에 맞춰 얼마나 잘 보장하는지 중요
• 저장된 파일이 사라졌을 때 제공자가 얼마나 자료를 회복시키고,
자료를 회복시키는데 얼마나 걸리는지 중요
• 클라우드 사용자는 제공자에게 외부 감사 및 보안 인증에 대해 물을 수 있음
- 클라우드 제공자와 이용을 체결하기 전에 SLA를 작성할 수 있음
Service Level Agreement (SLA)
•
•서비스 제공자와 이용자가 고려해야 할 서비스항목 (가용성, 백업, 고객 지원 등)
과 목표수준을 제시한 지침
• 클라우드 업체가 이용자에게 제공하는 클라우드 서비스의 수준을 정량화 등을
통해 명확히 제시하고, 이에 미달하는 경우에는 손해를 배상토록 하여 서비스의
품질을 보장하기 위한 약정
Securing Mobile Platform
• 모바일 기기는 컴퓨터의 기능을 수행하므로 malware, 권한 없는 엑세스,
해킹으로 부터 보호해야 함
• 사용하는 모든 장치에서 승인하는 도구 필요로 함
• 응용 프로그램의 업데이트를 제어하고, 잃어버린 기기를 봉쇄하기 위해 모든
모바일 기기의 사용자 및 응용 프로그램에 정확한 목록을 만들어야 함
• 기업은 모바일 플랫폼 형태 승인에 대한 규정 만들어야 함
• 스마트폰에 최신 보안 패치, 안티바이러스, 안티 스팸 소프트웨어 설치
• 휴대폰을 사용할 때 암호화해서 사용
Ensuring Software Quality
소프트웨어 품질 보장
• 소프트웨어 매트릭스
-수량화 된 시스템에 대한 객관적인 평가
-정보 시스템 부서와 최종 사용자가 공동으로 시스템의 수행을 평가하고, 문제가
생기면 확인할 수 있도록 함
-신중하게 설계되고 , 정형적이고, 객관적이고, 일관성이 있어야 함
• 적절한 테스트
-검토회 : 테스트할 물체에 대해 필요한 기술에 기초를 두고 신중히 선택된
소규모의 사람들에 희한 설명서나 설계도의 검토
- 디버깅 : 프로그램 코드를 테스트 할 때, 발견된 문제의 출처를 밝히고, 제거하는
과정
CHAPTER 8 Case Study
1조
성빈이와 연
장자들
When Antivirus Software Cripples Your Computers
1. 경영, 조직,기술에 요소로
McAfee 의 소프트웨어를 위한
책임은 무엇입니까?
When Antivirus Software Cripples Your Computers
2. 소프트웨어 문제가 경영에 미치는
영향은 무엇이며 고객과 McAfee
둘 다에게 미치는 영향은 무엇인가?
When Antivirus Software Cripples Your Computers
3. McAfee의 문제에 대한 반응을
받아들일 수 있다 생각하는가?
왜 인가? 왜 아닌가?
우리조 의견
-받아들일 수 없다!!!!!!!!!!
• 바이러스와 svchost.exe를 구별해내지 못했다는 건 이전 버전에 없었던
문제라는 것.
• XP 서비스팩 3는 제일 많이 사용되던 운영체제라는 점
• 고정값으로 비활성화 되어있던 스캔프로세스가 업데이트를
통해 자동적으로 활성화 되었을 때 이런 문제가 발생했다는 점
• svchost 가 삭제됨을 알리는 경고문구가 나타나지 않았다는점
• 업데이트의 목적이었던 W34/wecorl.a 바이러스가 상대적으로
덜 위험한 바이러스였다는 점
→ 이는 맥아피가 벌어지지 않아도 될 문제를 일으켰다는 점을 말해준다.
명백한 [실수]이며 책임을 져야한다.
• 맥아피의 대응은 SuperDAT Remediation Tool이라는 반자동 유틸을
통해 이 문제를 해결하려 했다는 것.
- 그러나 이것은 일일이 수동적으로 문제를 일으킨 컴퓨터를
안전모드로 부팅하여 해결해야 한다
• 이를 해결하기 위해 맥아피를 믿었던 기업들은 수동으로
일일이 컴퓨터를 복원하는 작업을 거쳐야 했으며 그 과정에서
수많은 시간과 자원을 낭비해야 했다
→ 별문제 아니라는 식의 성명서 발표는 맥아피의 고객들을 화나게
하기 충분했으며 후에 데이비드 드월트 CEO의 사과로도 이런
피해를 보상하기에는 많이 부족하다고 판단되기 때문에
맥아피의 반응을 받아 들일 수 없다.
추가로 알아본 것
케이스에 나와있지 않지만 후에 맥아피는 피해를 입은 PC의
수리비용을 지불할 것을 약속했다. 초기에 이런 태도를 취했다면
기업의 이미지에 덜 손상이 가지 않았을까라고 생각된다.
When Antivirus Software Cripples Your Computers
4. McAfee가 미래에 이런 문제를 피하기
위해서는 무엇을 해야하나?
이번 문제의 근본적 원인은 안티바이러스 공급업자에 대한 기업의
높은 신뢰도라 할 수 있다. 사건발생원인을 순서대로 살펴보면,
1. 맬웨어, 즉 바이러스등의 악성소프트웨어는 점점 강력해지고
해결해도 빠른 시기에 출현한다. 이 때문에 안티바이러스에 대한
수요 또한 빠르게 증가한다.
2. 안티바이러스 공급업자는 재빠르게 이를 해결하고 고객의 신뢰를 얻는다.
고객은 철저하게 안티바이러스 업체를 신뢰하기에 업데이트에
주저함이 없다. 심지어 자동업데이트 기능을 사용해 보안프로그램
설치한 후 전혀 신경을 쓰지 않는다.
3. 기업(이 경우 맥아피)의 수요를 맞추기위해 테스트가 부족했던
잘못된 업데이트는 고객의 신뢰 속에 순식간에 퍼지고
수많은 PC에 장애를 가져온다.
맥아피가 해야될일
소비자입장에서 안티바이러스 소프트웨어에 대해 조금만 주의를
기울이는 것이 가장 좋은 방법일 테지만
기업입장에서 ‘저희 안티바이러스 소프트웨어를 믿지 마세요’ 라고
할 수는 없는 일이다.
빠르게 증가하는 수요에 맞춰 철저한 테스트를 진행할 수는 없는 것이
기업의 현실이다. 그러나 이 케이스에 나온 문제 같은 경우
명백한 실수에 가까웠다. 맥아피가 앞으로 이런 실수를 저지르지 않기
위해 다음과 철칙을 지키는 것이 필요하다.
1. 사용자들의 운영체제 전부에서 같은 성능을 발휘하게 할 것
- XP 서비스팩3가 가장 널리 퍼졌음에도 이 환경에서 테스트를
하지 않은 것은 고객에 대한 정보가 심각하게 부족하고 안일했다고 생각됨.
2. 바이러스의 위험도를 평가하고 철저한 테스트를 할 것
- W34/wecorl.a는 위험성이 상대적으로 낮은 바이러스였다.
오히려 위험성이 낮은 바이러스에서 얼마간 더 시간이 걸리더라도
철저한 테스트를 하는 것이 필요.
3. 업데이트 시 강제적인 업데이트 내용을 공지하고 이를 확인 시에만
업데이트가 되게 할 것
- 업데이트 실행이전 업데이트가 실시됨과
업데이트 내용을 강제적으로 사용자에게 알리면(자동업데이트 포함)
같은 문제가 발생해도 피해가 줄어들 것. 이 케이스같은 경우 업데이트가
되는 지도 모르고 피해를 입은 경우가 적지 않음 . 다른 PC에서
업데이트가 문제됨을 발견했을 때, 이를 보고 다른 사용자는 사전에
차단하여 피해를 줄일 수 있음.
MWEB Business : Hacked
1. MWEB에서 보안파괴를 주도하는
기술적 문제는 무엇인가?
해커들이 MWEB이 사용하는 Internet Solutions의 서비스관리 시스템에 접근해 아
직 MWEB의 네트워크로 이동되지 않은 비즈니스 계정들 훔침
FIREWALLS (방화벽)
접근 권한이 없는 들어오고 나가는 네트워크 트래픽을 제어하는 소프트웨어 시스템
이름, IP, 주소, Application, Traffic 등 식별
네트워크 외부와 내부의 공인되지 않은 커뮤니케이션 방지
엑세스 룰에 맞추어 정보를 확인
개인 네트워크 리소스에 직접적으로 엑세스 요청 하지 않음
방화벽의 종류
패킷 필터링
가장 오래되고, 간단한 방식의 방화벽 기술로 외부에서 내부 네트워크로 트래픽이 방화벽을 통과할 때,
관리자가 정적으로 설정한 ACLs 규칙과 비교하여 트래픽을 허용하거나 차단하는 기술
단점 : 다른 방식에 비해 상대적으로 보안이 취약
IP 수준에서 처리가 되기 때문에 데이터에 대한 분석 불가능
해커가 소스 주소나 목적지 주소를 조작 가능
프록시
내부 사용자가 외부 네트워크에 직접 접속할 때, 해당 요청을 중간에서 대신하여 처리
단점 : 어플리케이션 레벨에서 처리하기 때문에 속도 느림
콘텐츠와 관련된 공격은 차단 불가능
새로운 서비스에 대한 유연성이 부족
스테이트풀 인스펙션(동적 패킷 필터링, 상태기반감시)
동적으로 패킷을 필터링하는 방식
평소에는 닫혀 있다가, 내부에서 요청이 발생할 경우에만 필요한 포트를 열리게 함
MWEB Business : Hacked
2. 보안파괴가 고객과 MWEB의 사업에
미칠 수 있는 영향은 무엇인가?
MWEB 제공 서비스
안전한 뱅킹 및 쇼핑을 위한 Identity Protection
안전한 인터넷 검색 및 서핑을 위한 LinkScanner
안전한 다운로드, SNS, 채팅의 이용을 위한 Webshield
안전한 메일 확인을 위한 안티피싱 및 안티스팸 서비스
자동 업데이트를 하는 고속 안티바이러스/안티스파이웨어 소프트웨어
강화된 방화벽
MWEB의 서비스가 AVG 인터넷 보안을 사용해 보안을 해주는 것이기 때문에 보안이
뚫리게 된다면 MWEB의 존재이유가 없어지게 된다.
MWEB
고객들
해킹 사고에 빠르게 대응
데이터 보안에 관해 경계 필요성
지속적으로 충고
고객들은 이미 고유의
IPC네트워크로 이동
고객들과 연락을 취해
비밀번호를 더욱 안전하게 재설정
더 강력한 시스템으로
업그레이드 할 수 있음
경계 필요성에 관해 지속적으로 충고함에도
불구하고 계속 보안파괴가 일어난다면 MWEB
의 서비스를 사용하지 않을 수도 있음
MWEB Business : Hacked
3. 당신이 MWEB의 사용자라면 MWEB의
보안 위반에 대한 답변을 받을 수 있는지
고려 할 것인가?
왜 또는 왜 그렇지 않은가?
받을 수 없음
1. 원인 불명
MWEB가 이번 사건을 어떻게 발생시켰는지, 어떤 과정을 통했는지
상세하게 설명하지 않았다.
사건이 발생한 원인이 가장 중요한 것이다. MWEB 자신이 깊이 반성
해야 하고, 사용자들이 사건발생과정을 알 수 있어야 한다.
2. 깊이 반성하지 않았다.
MWEB가 이번 사건이 발생한 후에 깊이 반성하지 않았다.
왜 이런 사건을 발생 시켰나?
기술 문제인가, 아니면 다른 문제로 인해 발생하였는가?
• 사용자들이 상세적으로 사건을 알 수 없다.
- MWEB에 대한 기대가 낮아질 수 있다
-MWEB을 다시 이용하지 않을 기능성이 높다
• 이런 사건이 발생하지 않는 것이 좋지만, 다시 발생하게 된다면 대중에게
원인부터 대책까지 자세하게 설명할 필요가 있다.
MWEB Business : Hacked
4. MWEB가 이런 비슷한 사건을 피하기
위해서는 어떻게 해야 하는가?
MWEB 입장
1. 기술
*
*
*
*
*
소프드웨어의 업그레이드를 자주 한다.
악성코드의 변동, 새로운 악성코드를 정확하게 파악하고 대책을 마련한다.
데이터 베이스를 감독한다.
보안을 철저히 한다.
시스템을 유효하게 보호한다.
2. 내부 직원
- 내부 직원들은 회사의 시스템을 가장 가깝게 접근할 수 있기 때문에
이용자들의 데이터와 회사의 시스템을 가장 쉽게 공격하고 누설할 수도 있다.
- 그래서 직원들을 감독하고 보안 의식을 향상시키는 것도 중요하다.
Information Security Threats and Policies in Europe
1. Botnet은 무엇인가?
Botnet ?
 봇넷은 스팸메일이나 악성코드 등을 전파하도록 하는 악성코드 봇
(Bot)에 감염되어 해커가 마음대로 제어할 수 있는 좀비 PC들로
구성된 네트워크를 말한다
= 자율적인 악의의 소프트웨어 중개상의 네트워크
 웹 서버들, 시스템 작동 또는 감염된 컴퓨터의 조종을
개시 하면서 취약성을 이용하는 멀웨어 {사용자의 의사와 이익에
반해 시스템을 파괴하거나 정보를 유출하는 등 악의적 활동을 수행
하도록 의도적으로 제작된 소프트웨어로, malicious software (악의
적인 소프트웨어)의 약자이다. 보통 ‘악성코드’로 번역} 로 창조된
다. 한번 컴퓨터가 감염되면 이것은 공격 수행 명령을 받는 무수한
“zombies” 기계의 네트워크 한 부분이 된다.
Information Security Threats and Policies in Europe
2. 유럽에 대한 디지털 안건의 요점 중
일부를 설명하라.
 유럽 연합 집행기관은 최근에 유럽에서 디지털 안건을 제출
 이 계획의 목표는 2020년에 정보와 의사소통 기술을 실행시키기
위한 가장 중요한 역할로 정의되면서 Single, open European Digital
Market이라고 불린다.
 2020년까지 유럽의 모든 시민들이 30Mbps의 광대역 속도를 이용
할 수 있게 만드는 것이다.
=> 보안적인 면에서 이 계획은 사이버 공격으로부터 효과적으로 대응
하고 사이버 범죄를 예방할 수 있도록 CERT의 네트워크 기능이
잘 운영되게 설립하는 것과 프라이버시를 보호할 수 있는 수단으로
실행될 수 있도록 한다.
Information Security Threats and Policies in Europe
3. 어떻게 사이버 공격이 실행될 수
있는지 설명하시오.
무선보안
무선 네트워크의 기본적인 암호화에 관심을 기울이지 않는
심각한 무선보안 의식 결여 상황
→ 하지만 해커들의 무선보안 공격 기술은 암호화된 AP조차도
무력화시킬 정도로 발전하고 있음
무선인터넷에 대한 보안 기술이 높아지고 있지만
사용자들이 제대로 이용하지 않고 있음
인터넷의 보안과 안전이 위협 받아왔고,
인터넷 기반의 사이버 공격은 점점 더 정교해지고 있음
Information Security Threats and Policies in Europe
4. 악성코드에 의해 이용된
약점의 일부를 기술하시오.
‘fucksnow.exe’ 파일이용 해킹
해커가 프로그래밍
코드 속에 윈도우
도움말(help.txt)을
이용한 코드 삽입
보안패치를 사용하지
않는 이용자들은
악성코드에 감염
help.txt를 이용해
악성코드 유포
PC에서 해당 취약점
바로 실행되면서
‘fucksnow.exe’ 파일
불러들임
Fucksnow.exe : 게임계정을 탈취하는 실행파일
안드로이드OS 보안
•
• 안드로이드 운영체제를 노린 악성코드 증가
- 오픈소스의 장점과는 별개로
개방성의 약점이 드러나고 있음
• 2010년 하반기에 발견된 주요 안드로이드 악성코드가
16개인데 반해 2011년 상반기에는 74개 발견
• 안드로이드 악성코드는 특성상 애플리케이션을 다운로드
받을 때 대부분 설치되고, 한번 설치되면 사용자 몰래
악성행위가 진행 됨
→ 사용자가 피해사실 인지하기가 어려움