공부/정보처리기사

정보처리기사 2권

Ynghan 2023. 10. 3. 20:00

Section.

8. SQL 응용
9. 소프트웨어 개발 보안 구축
10. 프로그래밍 언어 활용
11. 응용 SW 기초 기술 활용
12. 제품 소프트웨어 패키징

9. 소프트웨어 개발 보안 구축

section 109. Secure SDLC

1. Secure SDLC
: SDLC에 보안 강화를 위한 프로세스를 포함한 것

3.소프트웨어 개발 보안 요소
보안 요소 설명
기밀성(Confidentiality) - 시스템 내의 정보나 자원은 인가된 사용자에게만 접근이 허용됨
- 정보가 전송 중에 노출되더라도 데이터를 읽을 수 없음
무결성(Integrity) 시스템 내의 정보는 오직 인가된 사용자만 수정할 수 있음
가용성(Availability) 인가받은 사용자는 시스템 내의 정보와 자원을 언제라도 사용할 수 있음
인증 - 시스템 내의 정보와 자원을 사용하려는 사용자가 합법적인 사용자인지를 확인하는 모든 행위
부인 방지 데이터를 송/수신한 자가 송/수신 사실을 부인할 수 없도록 송/수신 증거를 제공함
4. 시큐어 코딩(Secure Coding)
: 보안 요소들을 고려해 코딩하는 것


section 110. 입력 데이터 검증 및 표현

1. 입력 데이터 검증 및 표현
: 입력 데이터로 인해 발생하는 문제들을 예방하기 위해 구현 단계에서 검증해야 하는 보안 점검 항목들

보안 점검 항목
보안 약점 설명
SQL 삽입(Injection) - 웹 응용 프로그램에 SQL을 삽입하여 내부 데이터베이스 서버의 데이터 유출 및 변조하고, 관리자 인증을 우회하는 보안 약점
- 동적 쿼리에 사용되는 입력 데이터에 예약어 및 특수문자가 입력되지 않게 필터링되도록 설정하여 방지할 수 있음
경로 조작 및 자원 삽입 - 데이터 입출력 경로를 조작하여 서버 자원을 수정/삭제할 수 있는 보안 약점
크로스 사이트 스크립팅(XSS) - 웹페이지에 악의적인 스크립트를 삽입하여 방문자들의 정보를 탈취하거나, 비정상적인 기능 수행을 유발하는 보안 약점
운영체제 명령어 삽입 - 외부 입력값을 통해 시스템 명령어의 실행을 유도함으로써 권한을 탈취하거나 시스템 장애를 유발하는 보안 약점
위험한 형식 파일 업로드 - 악의적인 명령어가 포함된 스크립트 파일을 업로드함으로써 시스템에 손상을 주거나, 시스템을 제어할 수 있는 보안 약점
신뢰되지 않는 URL 주소로 자동접속 연결 - 입력 값으로 사이트 주소를 받는 경우 이를 조작하여 방문자를 피싱 사이트로 유도하는 보안 약점
메모리 버퍼 오버플로 - 연속된 메모리 공간을 사용하는 프로그램에서 할당된 메모리의 범위를 넘어선 위치에서 자료를 읽거나 쓰려고 할 때 발생하는 보안 약점


section 111. 보안 기능

1. 보안 기능
: 소프트웨어 개발의 구현 단계에서 코딩하는 기능인 인증, 접근 제어, 기밀성, 암호화 등을 올바르게 구현하기 위한 보안 점검 항목들이다.

보안 기능의 점검 항목들
보안 약점 설명
적절한 인증없이 중요기능 허용 - 보안검사를 우회하여 인증과정 없이 중요한 정보 또는 기능에 접근 및 변경이 가능함
부적절한 인가 - 접근제어 기능이 없는 실행경로를 통해 정보 또는 권한을 탈취할 수 있음
중요한 자원에 대한 잘못된 권한 설정 - 권한 설정이 잘못된 자원에 접근하여 해당 자원을 임의로 사용할 수 있음
취약한 암호화 알고리즘 사용 - 암호화된 활경설정 파일을 해독하여 비밀번호 등의 중요정보를 탈취할 수 있음
중요정보 평문 저장 및 전송 - 암호화되지 않은 평문 데이터를 탈취하여 중요한 정보를 획득할 수 있음
하드코드된 암호화 키 - 암호화된 키도 하드코드된 경우 유출 시 역계산 또는 무차별 대입 공격에 의해 탈취될 수 있음


section 112. 코드 오류
section 113. 캡슐화
section 114. 암호 알고리즘

1. 암호 알고리즘
: 중요 정보를 보호하기 위해 평문을 암호화된 문장으로 만드는 절차 또는 방법

암호 방식 분류
- 양방향
    - 개인키
        - Stream 방식
        - Block 방식
    - 공개키
- 단방향
    - HASH

암호 방식에는 양방향과 단방향이 있다.
양방향 암호 방식에는 개인키, 공개키가 있다. 


2. (양방향) 개인키 암호화(Private Key Encryption) 기법
: 동일한 키로 데이터를 암호화하고 복호화하는 기법
: 대칭 암호 기법이라고도 한다.

개인키 암호화 기법의 종류
스트림 암호화 방식 - 평문과 동일한 길이의 스트림을 생성하여 비트 단위로 암호화 하는 방식
블록 암호화 방식 - 한 번에 하나의 데이터 블록을 암호화 하는 방식

3. (양방향) 공개키 암호화(Public Key Encryption) 기법
: 암호화할 때 사용하는 공개키는 사용자에게 공개하고, 복호화할 때의 비밀키는 관리자가 비밀리에 관리하는 암호화 기법
: 비대칭 암호 기법이라고도 한다.
: 관리해야 할 키의 수가 적지만, 암호화/복호화 속도가 느리다.
: 대표적으로는 RSA(Rivest Shamir Adleman) 기법이 있다.

4. 양방향(개인키, 공개키) 알고리즘의 종류

알고리즘 특징
SEED - 1999년 한국인터넷진흥원(KISA)에서 개발한 블록 암호화 알고리즘
ARIA(Academy, Research Institute, Agency) 2004년 국가정보원과 산학연협회가 개발한 블록 암호화 알고리
DES(Data Encryption Standard) - 1975년 미국 NBS에서 발표한 개인키 암호화 알고리즘
- 블록 크기는 64비트, 키 길이는 56비트이며 16회의 라운드를 수행함.
- DES를 3번 적용하여 보안을 더욱 강화한 3DES도 있음
AES(Advanced Encryption Standard) - 2001년 미국 표준 기술 연구소에서 발표한 개인키 암호화 알고리즘
- DES의 한계를 느낀 NIST에서 공모한 후 발표
- 블록 크기는 128비트이며, 키 길이에 따라 AES-128, AES-192, AES-256으로 분류됨
RSA(Rivest Shamir Adleman) - 1978년 MIT의 라이베스트, 샤미르, 애들먼에 의해 제안된 공개키 암호화 알고리즘
- 큰 숫자를 소인수분해 하기 어렵다는 것에 기반하여 만들어짐
IDEA(International Data Encryption Algorithm) - 스위스의 라이와 메시가 1990년에 개발한 PES를 개선한 알고리즘
- 블록 크기는 64비트이고, 키 길이는 128비트임
Skipjack - 국가 안전 보장국(NSA)에서 개발한 암호화 알고리즘
- 클리퍼 칩(Clipper Chip)이라는 IC 칩에 내장되어 있음
- 블록 크기는 64비트이고, 키 길이는 80비트임
- 주로 음성 통신 장비에 삽입되어 음성 데이터를 암호화함
TKIP(Temporal Key Integrity Protocol) - 무선랜 보안에 사용된 WEP을 보완한 데이터 보안 프로토콜로, 임시 키 무결성 프로토콜이라고도 함
- WEP의 취약성을 보완하기 위해 암호 알고리즘의 입력 키 길이를 128비트로 늘리고 패킷당 키 할당, 키값 재설정 등 키 관리 방식을 개선하였음
5. 해시(Hash)
: 임의의 길이의 입력 데이터나 메시지를 고정된 길이의 값이나 키로 변환하는 것
: 해시 알고리즘을 해시 함수라고 부르며, 해시 함수로 변환된 값이나 키를 해시값 또는 해시키라고 부른다.
: 데이터의 암호화, 무결성 검증을 위해 사용될 뿐만 아니라 정보보호의 다양한 분야에서 활용된다.

종류
해시 함수 특징
SHA 시리즈 - 1993년 미국 국가안보국(NSA)이 설계, 미국 국립표준기술연구소(NIST)에 의해 발표됨
- 초기 개발된 SHA-0 이후 SHA-1이 발표되었고, 다시 SHA-2라고 불리는 SHA-224, SHA-256, SHA-384, SHA-512가 발표됨
MD5(Message Digest algorithm 5) - 1991년 R.Rivest가 MD4를 대체하기 위해 고안한 암호화 해시 함수
- 블록 크기가 512비트이며, 키 길이는 128비트임
N-NASH - 1998년 일본의 전신전화주식회사(NTT)에서 발표한 암호화 해시 함수
- 블록 크기와 키 길이가 모두 128비트임
SNEFRU - 1990년 R.C.Merkle가 발표한 해시 함수
- 32비트 프로세서에서 구현을 용이하게 할 목적으로 개발함


section 115. 서비스 공격 유형

1. 서비스 거부(DoS; Denial of Service) 공격
: 서버의 자원을 고갈시킬 목적으로, 다수의 공격자가 대량의 데이터를, 한 곳의 서버에 집중적으로 전송함으로써, 표적이되는 서버의 정상적인 기능을 방해하는 것

유형
- Ping of Death
- SMURFING
- SYN Flooding
- TearDrop
- LAND Attack
- DDoS 공격

2. Ping of Death(죽음의 핑)
: Ping 명령을 전송할 때,
패킷의 크기를 인터넷 프로토콜 허용 범위 이상으로 전송하여,
공격 대상의 네트워크를 마비시키는 서비스 거부 공격 방법이다.
: 공격에 사용되는 패킷은, 수백 개의 패킷으로 분할되어 전송되는데, 공격 대상은 분할된 대량의 패킷을 수신함으로써 분할되어 전송된 패킷을 제조립해야하는 부담과 분할되어 전송된 각각의 패킷들의 ICMP Ping 메시지에 대한 응답을 처리하느라 시스템이 다운되게 한다.

3. SMURFING(스머핑)
: IP나 ICMP의 특성을 악용하여, 엄청난 양의 데이터를 한 사이트에 집중적으로 보냄으로써 네트워크를 불능 상태로 만드는 공격 방법이다. 
: 공격자는 송신 주소를 공격 대상지의 IP 주소로 위장하고 해당 네트워크 라우터의 브로드캐스트 주소를 수신지로 하여 패킷을 전송하면, 라우터의 브로드캐스트 주소로 수신된 패킷은 해당 네트워크 내의 모든 컴퓨터로 전송된다.

4. SYN Flooding
: TCP(Transmission Control Protocol)는 신뢰성 있는 전송을 위해 3-way-handshake를 거친 후에 데이터를 전송하게 되는데, SYN-Flooding은 공격자가 가상의 클라이언트로 위장하여 3-way-handshake 과정을 의도적으로 중단시킴으로써 공격 대상지인 서버가 대기 상태에 놓여 정상적인 서비스를 수행하지 못하게 하는 공격 방법.

5. TearDrop
: 데이터의 송/수신 과정에서 패킷의 크기가 커 여러 개로 분할되어 전송될 때 분할 순서를 알 수 있도록 Fragment Offset 값을 함께 전송하는데, TearDrop은 이 Offset 값을 변경시켜 수신 측에서 패킷을 재조립할 때 오류로 인한 과부하를 발생시킴으로써 시스템이 다운되도록 하는 공격 방법이다.
: TearDrop에 대비하기 위해 Fragment Offset이 잘못된 경우 해당 패킷을 폐기하도록 설정한다.

6. LAND Attack(Local Area Network Denial Attack)
: 패킷을 전송할 때 송신 IP 주소와 수신 IP 주소를 모두 공격 대상의 IP 주소로 하여 공격 대상에게 전송하는 것으로, 이 패킷을 받은 공격 대상은 송신 IP 주소가 자신이므로 자신에게 응답을 수행하게 되는데, 이러한 패킷이 계속해서 전송될 경우 자신에 대해 무한히 응답하게 하는 공격이다.
: LAND Attack에 대비하기 위해 송신 IP 주소와 수신 IP 주소의 적절성을 검사한다.

7. DDoS(Distributed Denial of Service, 분산 서비스 거부) 공격
: 여러 곳에 분산된 공격 지점에서 한 곳의 서버에 대해 서비스 거부 공격을 수행하는 것이다.
: 네트워크에서 취약점이 있는 호스트들을 탐색한 후 이들 호스트들에 분산 서비스 공격용 툴을 설치하여 에이전트(Agent)로 만든 후 DDoS 공격에 이용한다.

*분산 서비스 공격용 툴 : 에이전트의 역할을 수행하도록 설계된 프로그램으로 데몬(Demon)이라고 부르며, 다음과 같은 종류가 있다.
종류 내용
Trin00 가장 초기 형태의 데몬으로, 주로 UDP Flooding 공격을 수행함
TFN(Tribe Flood Network) UDP Flooding 뿐만 아니라 TCP SYN Flood 공격, ICMP 응답 요청, 스머핑 공격 등을 수행함
TFN2K TFN의 확장판
Stacheldraht - 이전 툴들의 기능을 유지하면서, 공격자, 마스터, 에이전트가 쉽게 노출되지 않도록 암호화된 통신을 수행함

8. 네트워크 침해 공격 관련 용어
용어 의미
세션 하이재킹(Session Hijacking) - 상호 인증 과정을 거친 후 접속해 있는 서버와 서로 접속되어 클라이언트 사이의 세션 정보를 가로채는 공격 기법으로, 접속을 위한 인증 정보 없이도 가로챈 세션을 이용해 공격자가 원래의 클라이언트인 것처럼 위장하여 서버의 자원이나 데이터를 무단으로 사용함
ARP 스푸핑(ARP Spoofing) ARP의 취약점을 이용한 공격 기법으로, 자신의 물리적 주소(MAC)를 공격대상의 것으로 변조하여 공격 대상에게 도달해야 하는 데이터 패킷을 가로채거나 방해함
스미싱(Smishing) - 문자 메시지를 이용해 사용자의 개인 신용 정보를 빼내는 수법
- 초기에는 문자 메시지를 이용해 개인 비밀정보나 소액 결제를 유도하는 형태로 시작되었음
사회 공학(Social Engineering) 컴퓨터 보안에 있어서, 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상 보안 절차를 깨뜨리기 위한 비기술적 시스템 침입 수단
다크 데이터(Dark Data) 특정 목적을 가지고 데이터를 수집하였으나, 이후 활용되지 않고 저장만 되어있는 대량의 데이터를 의미함
타이포스쿼팅(Typosquatting) 네티즌들이 사이트에 접속할 때 주소를 잘못 입력하거나 철자를 빠뜨리는 실수를 이용하기 위해 이와 유사한 유명 도메인을 미리 등록하는 일로, URL 하이재킹이라고도 함
스피어 피싱(Spear Phishing) 사회 공학의 한 기법으로, 특정 대상을 선정한 후 그 대상에게 일반적인 이메일로 위장한 메일을 지속적으로 발송하여, 발송 메일의 본문 링크나 첨부된 파일을 클릭하도록 유도해 사용자의 개인 정보를 탈취함
APT(Advanced Persistent Threats, 지능형 지속 위협) - 다양한 IT 기술과 방식들을 이용해 조직적으로 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤 때를 기다리면서 보안을 무력화시키고 정보를 수집한 다음 외부로 빼돌리는 형태의 공격
무작위 대입 공격(Brute Force Attack) 암호화된 문서의 암호키를 찾아내기 위해 적용 가능한 모든 값을 대입하여 공격하는 방식
큐싱(Qshing) QR코드를 통해 악성 앱의 다운로드를 유도하거나 악성 프로그램을 설치하도록 하는 금융사기 기법의 하나로, QR코드와 개인정보 및 금융정보를 낚는다(Fishing)는 의미의 합성 신조어
SQL 삽입(Injection) 공격 전문 스캐너 프로그램 혹은 봇넷 등을 이용해 웹사이트를 무차별적으로 공격하는 과정에서 취약한 사이트가 발견되면 데이터베이스 등의 데이터를 조작하는 일련의 공격 방식
크로스 사이트 스크립팅(XSS; Cross Site Scripting) - 네트워크를 통한 컴퓨터 보안 공격의 하나로, 웹 페이지의 내용을 사용자 브라우저에 표현하기 위해 사용되는 스크립트의 취약점을 악용한 해킹 기법
- 사용자가 특정 게시물이나 이메일의 링크를 클릭하면 악성 스크립트가 실행되어 페이지가 깨지거나, 사용자의 컴퓨터에 있는 로그인 정보나 개인 정보, 내부 자료 등이 해커에게 전달됨
스니핑(Sniffing) 네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나로 수동적 공격에 해당함

9. 정보 보안 침해 공격 관련 용어
용어 의미
워터링홀(Watering Hole) 목표 조직이 자주 방문하는 웹 사이트를 사전에 감염시켜 목표 조직의 일원이 웹 사이트에 방문했을 때 악성 코드에 감염되게 하는 웹 기반 공격
좀비(Zombie) PC 악성코드에 감염되어 다른 프로그램이나 컴퓨터를 조종하도록 만들어진 컴퓨터로, C&C(Command & Control) 서버의 제어를 받아 주로 DDoS 공격 등에 이용됨
C&C 서버 해커가 원격지에서 감염된 좀비 PC에 명령을 내리고 악성코드를 제어하기 위한 용도로 사용하는 서버를 말함
봇넷(Botnet) 악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태를 말함
웜(Worm) 네트워크를 통해 연속적으로 자신을 복제하여 시스템의 부하를 높임으로써  결국 시스템을 다운시키는 바이러스의 일종으로, 분산 서비스 거부 공격, 버퍼 오버플로 공격, 슬래머 등이 웜 공격의 한 형태임
제로 데이 공격(Zero Day Attack) 보안 취약점이 발견되었을 때 발견된 취약점의 존재 자체가 널리 공표되기도 전에 해당 취약점을 통하여 이루어지는 보안 공격으로, 공격의 신속성을 의미함
키로거 공격(Key Logger Attack) 컴퓨터 사용자의 키보드 움직임을 탐지해 ID, 패스워드, 계좌번호, 카드번호 등과 같은 개인의 중요한 정보를 몰래 빼가는 해킹 공격
랜섬웨어(Ransomware) 인터넷 사용자의 컴퓨터에 잠입해 내부 문서나 파일 등을 암호화해 사용자가 열지 못하게 하는 프로그램으로, 암호 해독용 프로그램의 전달을 조건으로 사용자에게 돈을 요구하기도 함
백도어(Back Door, Trap Door) - 시스템 설계자가 서비스 기술자나 유지 보수 프로그램 작성자의 액세스 편의를 위해 시스템 보안을 제거하여 만들어놓은 비밀 통로로, 컴퓨터 범죄에 악용되기도 함
트로이 목마(Trojan Horse) 정상적인 기능을 하는 프로그램으로 위장하여 프로그램 내에 숨어 있다가 해당 프로그램이 동작할 때 활성화되어 부작용을 일으키는 것으로, 자기 복제 능력은 없음



section 116. 서버 인증
 section 117. 보안 솔루션

1. 보안 솔루션
: 접근 통제, 침입 차단 및 탐지 등을 수행하여 외부로부터의 불법적인 침입을 막는 기술 및 시스템

*주요 보안 솔루션
- 방화벽
- 침입 탐지 시스템(IDS)
- 침입 방지 시스템(IPS)
- 데이터 유출 방지(DLP)
- 웹 방화벽
- VPN
- NAC
- ESM

2. 방화벽(Firewall)
: 기업이나 조직 내부의 네트워크와 인터넷 간에 전송되는 정보를 선별하여 수용/거부/수정하는 기능을 가진 침입 차단 시스템이다.
: 내부 네트워크에서 외부로 나가는 패킷은 그대로 통과시키고, 외부에서 내부 네트워크로 들어오는 패킷은 내용을 엄밀히 체크하여 인증된 패킷만 통과시키는 구조이다.

3. 침입 탐지 시스템(IDS; Intrusion Detection System)
: 컴퓨터 시스템의 비정상적인 사용, 오용, 남용 등을 실시간으로 탐지하는 시스템이다.
- 오용 탐지 : 미리 입력해 둔 공격 패턴이 감지되면 이를 알려줌.
- 이상 탐지 : 평균적인 시스템의 상태를 기준으로 비정상적인 행위나 자원의 사용이 감지되면 이를 알려줌.

4. 침입 방지 시스템(IPS; Intrusion Prevention System)
: 비정상적인 트래픽을 능동적으로 차단하고 격리하는 등의 방어 조치를 취하는 보안 솔루션이다.
: 방화벽과 침입 탐지 시스템을 결합한 것이다.
: 패킷을 하나씩 검사한 후 비정상적인 패킷이 탐지되면 방화벽 기능으로 해당 패킷을 차단한다.

5. 데이터 유출 방지(DLP; Data Leakage/ Loss Prevention)
: 내부 정보의 외부 유출을 방지하는 보안 솔루션이다.
: 사내 직원이 사용하는 PC와 네트워크상의 모든 정보를 검색하고 메일, 메신저, 웹하드, 네트워크 프린터 등의 사용자 행위를 탐지/통제해 외부로의 유출을 사전에 막는다.

6. 웹 방화벽(Web Firewall)
: 일반 방화벽이 탐지하지 못하는 SQL 삽입 공격, Cross-Site Scripting(XSS) 등의 웹 기반 공격을 방어할 목적으로 만들어진 웹 서버에 특화된 방화벽이다.
: 웹 관련 공격을 감시하고 공격이 웹 서버에 도달하기 전에 이를 차단해 준다.

7. VPN(Virtual Private Network, 가상 사설 통신망)
: 인터넷 등 통신 사업자의 공중 네트워크와 암호화 기술을 이용하여 사용자가 마치 자신의 전용 회선을 사용하는 것처럼 해주는 보안 솔루션이다.
- SSL VPN : PC에 VPN Client 프로그램을 설치하여 VPN 서버에 접속하는 방식으로, 암호화를 위해 SSL 프로토콜을 사용함
- IPSec VPN : VPN 서버가 설치된 각각의 네트워크를 서로 연결하는 방식으로, 암호화를 위해 IPSec 프로토콜을 사용함

8. NAC(Network Access Control)
: 네트워크에 접속하는 내부 PC의 MAC 주소를 IP 관리 시스템에 등록한 후 일관된 보안 관리 기능을 제공하는 보안 솔루션이다.
: 내부 PC의 소프트웨어 사용 현황을 관리하여 불법적인 소프트웨어 설치를 방지한다.

9. SIEM(Security Information and Event Management)
: 로그 및 보안 이벤트를 통합하여 관리하는 빅 데이터 기반의 보안 솔루션이다.
: 방화벽, IDS, IPS, 웹 방화벽, VPN 등에서 발생한 로그 및 보안 이벤트를 통합하여 관리함으로써 비용 및 자원을 절약할 수 있다.
: 장기간의 로그 및 보안 이벤트를 수집 및 검색할 수 있는 빅데이터 기반의 통합 로그 수집 시스템이다.

10. 프로그래밍 언어 활용

section 118. 데이터 입/출력

헝가리안 표기법(Hungarian Notation)
: 변수명 작성 시 변수의 자료형을 알 수 있도록 자료형을 의미하는 문자를 포함하여 작성하는 방법이다.


section 119. 제어문
section 120. 포인터
section 121. 구조체
section 122. 사용자 정의 함수
section 123. Java의 클래스
section 124. Java의 활용
section 125. Python의 활용 1
section 126. Python의 활용 2
section 127. 절차적 프로그래밍 언어
section 128. 객체지향 프로그래밍 언어
section 129. 스크립트 언어
section 130. 라이브러리
section 131. 예외 처리

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

저작자표시 (새창열림)