나경아빠의 스케치북 - 고통은 희망의 씨앗이다

참고문헌 및 사이트

- http://www.openeg.co.kr/331

1. 안행부 소프트웨어 개발 보안 가이드(2013.11)

2013 소프트웨어 보안약점 진단가이드-제1장.pdf

2013 소프트웨어 보안약점 진단가이드-제2장 1~2절.pdf

2013 소프트웨어 보안약점 진단가이드-제2장 3~4절 부록.pdf

2. 안행부 C, JAVA 시큐어코딩 가이드 3판

C_시큐어코딩_가이드.pdf

JAVA_시큐어코딩_가이드.pdf

3. KISA 국내 암호이용 현황 및 암호구현 가이드

20111012 국내 암호이용 현황 및 암호구현 가이드.pdf

4. 행안부기준 웹 시큐어코딩 점검항목 43개

20130301 OWASP TOP 10 2013 리뷰 및 행안부기준(시큐어코딩 점검항목 43개)과의 비교.pdf

5. OWASP 시큐어 코딩 규칙 참고 가이드

201106 OWASP 시큐어코딩규칙 참고 가이드.pdf

6. 안행부 행정기관 및 공공기관 정보시스템 구축, 운영 지침

20130827 행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침 개정(전문)(2013.8.27).hwp

7. KISA 홈페이지 취약점 진단, 제거 가이드

201312 정보시스템 개발, 운영자를 위한 홈페이지_취약점_진단_제거_가이드.pdf

8. 안랩 웹 사이트 취약점 대응 가이드

20100714 웹사이트취약점대응가이드.hwp

9. KISA 자료실 - 안내서/해설서

http://www.kisa.or.kr/public/laws/laws3.jsp

참고문헌 및 사이트

- 웹 모의해킹 및 시큐어코딩 진단가이드(최경철, 김태한)

- http://www.owasp.or.kr/

- http://www.openeg.co.kr/331

1. CVE(Common Vulnerabilities and Exposures)

- http:/cve.mitre.org

- 국가기관(미 국방성 등) 및 벤더사(CISCO, Apple, MS 등) 등이 함께 발생된 취약점을 번호화시켜 취약점을 관리하는 데이터베이스

2. CWE(Common Weakness Enumeration)

- http://cwe.mitre.org

- 미 국방성 산하의 mitre라는 기관에서 다양한 개발언어에 대한 740여 가지의 소프코드 취약점을 정의한 데이터베이스

- CWE/SANS TOP 25 제시

. 미국의 보안교육기관인 SANS와 미 국방성 산하 기관인 mitre와 함께 2010년 릴리즈한 "개발자가 가장 많이 실수하는 25가지 취약점"

3. OWASP(Open Web Application Security Project)

- 전 세계 기업, 교육기관 및 개인이 만들어가는 오프 소스 어플리케이션 보안 프로젝트

- OWASP TOP 10 제시

. 웹에서 발생할 수 있는 대표적인 취약점 10가지를 정리

. 해당 문서는 3년마다 갱신 (2013년 발표)

OWASP_Top_10_-_2013_Final_-_Korean.pdf

4. KISA 32개 웹 취약점 진단항목

- 2012년 4월 13일 "행정기관 사이버침해 대응능력 진단 용역과제 제안요청서" 에 포함된 진단기준

20120413 KISA 행정기관 사이버침해 대응능력 진단 용역과제 제안요청서(취약점 진단기준 포함).hwp

5. 안행부 시큐어코딩 43개 점검 항목

20130301 OWASPTOP10-2013 리뷰 및 행안부기준(시큐어코딩 점검항목 43개)과의 비교.pdf

참고문헌 및 사이트

- 웹 모의해킹 및 시큐어코딩 진단가이드(최경철, 김태한)

1. 툴 진단

1) 특징

- 자동화된 취약점 진단도구를 이용한 방법

- "웹 스캐너" 툴 이용

2) 툴

- 현장에서는 주로 칼리 리눅스 가상 머신 만들고 칼리안에 있는 웹 스캐너 이용(1.0.9a 버전)

- 윈도우용 : OWASP Tool(프락시 써야 함)

- 상용버전 : http://w3af.org/

3) 웹 스캐너 기능

- URL 수집

사전 정의된 태그정보를 통해, 사이트 구조를 수집

사이트 디렉토리 및 페이지 구조 파악

- 취약점 분석

URL 수집을 통해 확인된 디렉토리 및 페이지에 사전 정의된 패턴을 전송하여 취약점 판단

2. 모의진단

1) 특징

- 사이트의 메뉴를 추적하면서 로그인 페이지, 게시판 등에서 발생할 수 있는 취약점을 확인

- 툴 진단에 확인된 취약점을 검증하거나 분석이 불가능한 부분을 검증

3. 소스진단

1) 특징

- 소스코드를 분석하여 취약점이 발생가능한 위치를 확인

- 상용 툴을 통해 확인 결과를 점검자가 검증

참고문헌 및 사이트

- 웹 모의해킹 및 시큐어코딩 진단가이드(최경철, 김태한)

1) 기술적 취약점 진단

- 해킹 등에 의한 사이버 위협에 대한 주요시설의 취약점을 종합적으로 분석하고 개선하는 작업

2) 기술적 취약점 진단 유형

① 업무서버, 네트워크 장비, 보안장비

- 서버, 장비 등의 불필요한 서비스/포트/데몬, 취약한 버전을 사용하는 서비스/데몬, 부적절한 파일 권한 등의

   취약점을 점검

② 홈페이지 모의해킹, 내/외부망 모의해킹, DDoS 모의공격

- 모의해킹 점검 항목 사례

③ 소스코드 전수검사 및 소스코드 Eye-Check

- 소스코드 취약점 점검도구를 이용하여 1차 점검 수행

- 확인된 결과물을 전문 보안컨설턴트가 재검토

3) 취약점 점검 평가 RFP 사례

ABC캐피탈_2014취약점진단_RFP.hwp

KISA 취약점 분석 평가 제안요청서.hwp

한국거래소 취약점 분석 평가 제안요청서.hwp

출처 : 네트워크 타임즈 6월호

클라이언트 가상화

- 물리적 데스크톱 PC 에서 가상머신(VM)을 구동하는 것

- PC 안에 또 하나의 PC를 만드는 기술

- 맥 OS 와 윈도우 OS 를 함께 사용해 이종 OS 의 혜택을 누리기 위한 용도로도 쓰임

- 솔루션 예 : 패러럴즈 데스크톱, VM웨어 워크스테이션

VDI

- 서버 시스템에 사용자를 위한 가상의 데스크톱 PC 환경을 구현

- 개인에게 물리적 PC를 지급하는 대신 중앙 서버에 가상의 PC를 구축하고, 이에 접속해 사용자가 활용

   하는 인프라

- 중앙의 서버, 스토리지 시스템에서 모든 애플리케이션이 구동되며, 사용자단의 클라이언트 기기는 단지

   디스플레이이와 입력만을 위해 이용

서버기반컴퓨터(SBC)

- VDI 를 포괄하는 광의의 개념

- 사용자 개개인에게 고유의 가상 머신을 부여하지 않고, 많은 리소스가 필요한 특정 애플리케이션 구동

   만을 서버에서 구동해 전송하는 애플리케이션 가상화.

- 서버에서 작업을 수행해 사용자에게 전달하는 컴퓨팅 방식

- SBC 가운데 사용자 개개인의 고유한 가상 머신을 부여하고, 마치 물리적 PC를 활용하는 것처럼 사용하는

   방식을 VDI 라고 함.

출처 : 네트워크 타임즈 2013.05, 이진욱 미라지웍스 과장

1. 망분리시 네트워크 환경 변화의 고려할 점

- 대부분의 관리자와 보안 담당자들은 망분리 솔루션 도입만을 고민하고, 자신의 업무 과제에 대해서는

   생각하지 않는다.

망분리라 해서 실제 수행하는 부서와 업체가 따로 있어 업무 관점, 전체 보안 프레임워크 관점, 

위험 관리 관점에서 바라보지는 못했던거 같다.

2. 망분리시 기존 네트워크망 관계

- 망분리를 위해서는 기존 네트워크망이 변경돼야 한다.

- 기존 망을 유지하려 하지 말 것을 당부한 것은 망분리 대상 네트워크를 별도로 두고 처음부터 정책을

   수립해야 한다는 것

3. 망분리시 기존 네트워크망 변경 안한다면

- 망분리는 네트워크를 바꾸는 작업이기 때문에 기존 환경을 고집한 채 솔루션만 도입하면 성공적으로

   망분리를 할 수 없다.

- 기존 망에 지나치게 얽매이면 망분리 네트워크 정책의 복잡성이 증가

4. 망분리를 위한 기본 정보 확인 단계

- 망분리를 할 때에는 최종적으로 변경 가능한 부분을 찾아 네트워크 통신 경로를 변경하는 방법을 찾아야

   한다.

- 업무에 사용되는 것은 최대한 내부망에서 구성

- 업무를 하면서 외부 인터넷을 사용할 수 밖에 없는 것을 정리해야 한다.

5. 망분리시 고려해야 할 네트워크 항목

- 필요한 경우 업무환경에서 인터넷 네트워크를 안전하게 사용 가능해야 한다

- 가상 네트워크를 만들어주는 장비의 유연한 구성이 가능해야 한다

- 클라이언트 설치 후 실제 네트워크 구성과 상관없이 네트워크 제어 가능해야 한다

6. 망분리 구성 방법

7. 논리적 망분리 방법

1) 종류

- 서버 가상화 : 데스크톱 가상화(VDI : Virtual Desktop Interface)

- 클라이언트 가상화

2) 데스크톱 가상화(VDI)

- 서버 가상화와 같은 환경 제공

- 장/단점

3) 클라이언트 기반 논리적 망분리

- 장/단점

- 개요도

8. 망분리시 기존 네트워크를 미고려해야 하는 이유

- 모든 인터넷 트래픽이 논리적 망분리 네트워크 장비를 통과해 나가므로

- 인터넷 트래픽 때문에 생기는 병목현상을 찾는 것이 중요

- 인터넷을 나가는 트래픽에 대해서 어떤 흐름으로 가고 있는지 정확하게 확인할 필요

9. 망분리 환경의 네트워크 개념도

출처 : 네트워크 타임즈 2013.05, 황준철 대표이사

1. 정보보안에서 '분석' 개념 필요 배경

- 현재까지 보안 시스템은 어떤 특정한 보안 정책을 수행해 행위를 차단하는 방어적 개념의 구동 시스템

   으로, 특정 패턴을 찾고 이에 대응하는 방식으로 이뤄져왔다.

- 최근의 3.20 사이버 테러는 새로운 패러다임에 기초한 정보보안 요구

2. 분석과 개념의 정의

1) 검색

- 어떤 특정한 조건의 결과 값을 찾는 것

- 방화벽의 80 포트 사용 로그 중에 특정 DB 서버로 접근을 시도한 IP를 SQL 쿼리문으로 작성해 찾는

   것

- 검색 결과 도출된 리스트가 보안적 측면에서 얼마나 가치가 있을까는 의문

2) 분석

- 특정한 행위 로그에 대해 분석을 수행하고, 그 결과를 통해 위협을 인지하는 것

- 행위 기반의 분석 알고리즘이 적용

- 분석 결과는 위협 단계별로 분리

3. 보안의 새로운 패러다임 방향

- 보안 사고가 발생하기 전 반드시 징후가 포착돼야 사전에 방어할 수 있다

- 지능화된 정교한 사이버 위협은 모든 IT 로그 통합적, 체계적 분석을 요구

- 정보 보안을 위해 진정한 '분석' 개념 도입이 절실

- IT부서의 관리자는 동일한 시스템을 통한 전문 분석을 수행함으로써 향후 발생하는 보안 사고에 적극 대응

   할 수 있어야 한다.

출처 : 네트워크 타임즈 2013.04

1. DB 암호화 프로젝트 추진 시 유의할 점

1) 키 관리

- 암호화의 기본은 키가 데이터와 같이 있으면 안 된다는 것

- 암호화 키나 인증서를 철저하게 관리한다고 하면서 HSM(Hardware Security Module)과 같은 전용

   장비가 아닌 전산실 내에 있는 서버에 보관

- 각기 다른 키가 서로 다른 관리자에 의해 관리되고 있는 상황에서는 전사적인 키관리를 통합할 필요

- 주기적인 키의 변동 등의 관리가 행해져야 한다

2) 플러그인 형태로 획일적인 암호화 방법에 의존

- 애플리케이션을 일일히 수정하자니 협업 사용자, 애플리케이션 담당자, DB 관리자 등과 협의해야

   하는 일들이 너무 많아 DB 에만 손을 대는 것

- 가장 손쉽고 현실적인 방법으로 꼽히는 플러그인 방식 DB 암호화는 당장의 규제 대응에 효과적

2. 데이터 관련 규제 대응 방법

1) 개인정보 수집 범위 선정이 우선

- 기업이 반드시 인식해야 하는 사실은, 정보를 암호화하는 것보다 개인정보 수집 범위를 어디까지

   정하고, 보관해야 하는지 기준을 세우는 것

- 업무를 하나하나 살피면서 과연 수집해온 개인정보가 꼭 필요한가 

- 어느 선까지 있어야 하는지 점검하는 것이 첫 출발점

2) 개인정보 암호화의 다양한 방식을 수용

- 개인정보 보호도 다른 분야와 마찬가지로 단일 솔루션으로 해결할 수 없다.

- 개인정보의 유형과 이 정보를 이용하고 보관하는 서비스, 애플리케이션, 기기 등을 총체적으로

   고려해 최선의 방법을 선택해야.

업무용 백 오피스 시스템에서 관리자 권한으로 다른 지점의 고객, 지점내 모든 고객의 개인정보 조회후에 엑셀로 다운로드 받는 것은 개인정보 암호화 솔루션으로는 통제할 수가 없다.

엑셀 다운로드 시점에 해당 화면, 목적, 파기예정날짜 등을 기재토록 팝업을 띄우고 해당 정보는 DB 에 보관해 컴플라이언스 팀에서 "일일 컴플 점검" 형태로 진행해야 한다.

개인정보를 암호화해도 외부에 보여질 때는 주민번호 뒷자리 등은 마스킹을 해서 보이게 한다.

개인정보 검색 솔루션을 통해서 폐기되지 않고 개인적으로 보관하고 있는 개인정보파일을 검출하고 통제해야.

DRM 등도 부가적인 솔루션이라 할 수 있고 모바일, 태블릿에도 적용 필요

3) 개발 단계부터 암호화를 반영

3. DB 암호화 고려사항

출처 : 시큐리티 월드 2013.04 호

출처 : 전자신문

1. 보안영역의 유형

1) 물리보안

- 물리적 방법이나 수단을 활용한 보안형태

- 물리적 보안 영역 : 자원이나 정보를 물리적으로 대응할 수 있는 기술적, 환경적 통제의 범위

- 물리적 보안 위협 : 지진, 화산, 태풍, 홍수, 폭설 등과 같은 자연재해와 외부로부터 물리적 보안영역

   안을 침입하거나, 내부에서 물리적 보안영역 밖으로 자원과 정보의 유출

2) 정보보안

- 모든 정보자산(데이터를 처리하여 가공한 결과)에 대하여 허가되지 않은 접근으로 위조, 변조, 유출,

   훼손 등과 같은 정보보안 사고로부터 정보의 무결성, 기밀성, 가용성을 제공하는 것

3) 관리, 인적보안

- 관리, 운영 주체는 사람이고 보안을 위한 가장 중요한 관리 요소인 인력에 대한 관리

2. 보안위협

1) 내부 -> 외부

가. 직접유출

- 내부 임직원이 중요한 자료를 노트북, HDD, USB 등의 저장장치와 프린터 등을 이용하여

   복사한 후 물리적 보안검색을 피하여 외부로 정보를 유출

나. 사내, 공공망 유출

- 사내 인트라넷이나 인터넷을 이용하여 e-mail 등을 통해 전송하 다음 이를 다운받는 형태

2) 외부 침입

가. 간접유출

- 외부인은 내부 임직원과 공조하여 이들로 하여금 중요 정보를 직접 유출

나. 사내, 공공망 유출

- 외부인이 해킹을 통해 기업의 서버에 접근, 정보를 유츌시키는 방법

- 내부의 임직워이 동조하여 ID, 패스워드 정보를 제공하는 방식

- 악성코드를 이용하여 접근하는 방식

3. 보안위협 대응방안

1) 관리적 측면

가. 내부자의 부정한 행위에 대한 대응

- 중요한 정보를 쉽게 변경하거나, 외부로 유출할 수 있는 대상인 내부자에 대한 대비책 준비와

   위협요인을 파악해야 함

- 기업은 모든 잠재 위협을 목록으로 정리하여 그 위협에 대한 시뮬레이션을 실시하여 현실화

   될지를 분석

- 현실화된 위험의 피해정도를 계량화하여 기술적 조치를 취해야 함

나. 직원 신상파악

- 보안부서 등 비밀 업무를 취급하는 부서에 근무하게 될 사람은 채용 전에 신원 배경을 확인

다. 보안교육 실시

- 회사의 보안규정 숙지

- 보안에 대한 자신의 역할

- 비밀 자료를 보호할 책임이 있다는 점을 이해

- 보안에 대한 인식을 전환하는 노력 필요

라. 등급별 자료 분류 필요

- 중요 정보 자료에 대한 비밀 분류 시스템 갖춰야 함

- 각 단계마다 허용되는 접근 통제 등급과 통제수준 설정

마. CPTED(Crime Prevention Through Environment Design)를 활용한 외부 보안 관리

- 관리하고 있고 소유하고 있는 영역에 대하여 내, 외부인이 쉽게 접근하지 못하게 하여 정보유출 

   예방

- 보호대상의 우선순위를 결정하고 출입카드나 바이오인식 장치를 이용한 접근통제를 통해 정보

   유출 예방

- 공간에 대한 시야확보를 통한 범죄예방

- 1층 전체 출입구를 유리로 만들어 오고 가는 사람, 오랫동안 서서이는 사람들의 확인

- 엘리베이터 공간도 외부에서 볼 수 있도록 투명한 재질로 하여 정보 유출을 시도하는 사람들

   의 불안한 심리상태 유도

- CCTV 를 활용하여 고립지역 개선

2) IT측면

가. 정보 통신망 접근통제

- 정보처리 시스템에 대한 접근 권한을 IP 주소 등으로 제한

- 정보처리 시스템에 접속한 IP 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지

- 전보 또는 퇴직 등 인사이동이 발생해 개인정보취급자가 변경되었을 경우 자체없이 정보처리 

   시스템의 접근권한 변경 또는 말소

나. 가설사설망 보호대책

- 가상 사설망(VPN) 서비스의 이용으로 인터넷 공공망의 불안전한 요소를 완벽한 보안환경으로 

   구축

다. 암호화

- 관리하고 있는 정보를 식별 가능성, 노출 민감도 등에 따라 분류

- 중요도가 높은 정보를 선별적으로 암호화하여 관리

3) 제도적 측면

가. 관리기능의 일원화

- 국가정보원, 행정안전부 등 정보보호를 담당하고 있는 기관이 사실상 분리되어 운영

- 사전적 예방측면의 정책과 사후 대응측면의 관리부처 일원화

- 정책 간의 연결성과 일관성 있는 대응체계 이뤄야 함

나. 제도적, 정책적인 지원

- 기업이 정보보호 관련 자격증 소지자 및 전문 학위 소지자에 대해서 채용 시 인센티브 부여

- 업무의 지속성과 연속성을 위해 정규직 정보보호 인력 확보가 필요

4. 융합보안의 대두

- 위의 보안위협에 대응하기 위해 융합보안이 대두된 것

- 융합보안은 물리보안과 정보보안이 합친 개념

- 융합보안은 정보보안 또는 물리보안이 비 IT기술 또는, 다른 산업과 융합, 창출되는 것

5. 융합보안의 발전방향

1) 물리보안업계와 정보보안업계의 적절한 대응이 필요

- 물리보안 업계는 기존의 보안영역만을 고수할 것이 아니라 IT기술을 접목한 기기 및 제품을 개발하고

   정보보안 영역으로의 개방이 필요

- 정보보안 업계는 기초적 보안영역인 물리적 보안영역과 정보보안 영역간의 수평적 관계가 이루어

   지도록 노력

2) 법 및 제도적 대응 필요

- 물리보안과 관련하여 경비업법을 중심으로 보안활동이 이루어짐

- 정보보안과 관련하여 개인정보보호법과 부정경쟁방지 및 영업비밀보호에 관하 법률, 산업기밀

   유출방지 및 보호에 관한 법률 등으로 보안활동이 이루어짐

- 다원적 법 체제에 대한 기본법을 제정하여 효과적인 보안활동이 이루어져야 할 것임