14년 1회차

DoS·DDoS 공격은 대상 시스템의 자원이나 대역폭을 고갈시켜 가용성을 떨어뜨리는 공격이며, 에이전트 역할의 데몬 프로그램을 변조·파괴하는 것은 공격의 내용이 아니다.

DDoS 에서는 공격자가 다수의 시스템에 에이전트(데몬) 프로그램을 설치해 이용하는 쪽이지, 그 데몬을 파괴하는 것이 공격 목적이 아니다.

• TCP SYN 패킷을 대량으로 보내 연결 대기 큐를 채우는 SYN 플러딩은 대표적인 DoS 공격이다.
• CPU·메모리 등 시스템 자원에 과부하를 주는 것은 자원 고갈형 DoS 의 특징이다.
• 네트워크 대역폭을 고갈시켜 정상 접속을 막는 것은 대역폭 소진형 DoS 의 특징이다.

Change Cipher Spec은 IPSec 이 아니라 SSL/TLS 를 구성하는 프로토콜이다.

IPSec 은 인증·무결성을 제공하는 AH(Authentication Header), 기밀성까지 제공하는 ESP(Encapsulating Security Payload), 그리고 통신 당사자 간 보안 매개변수의 합의인 SA(Security Association)와 키 관리(IKE)로 구성된다.

• Encapsulating Security Payload 는 IPSec 의 암호화 프로토콜이다.
• Security Association 은 IPSec 통신에 쓰이는 보안 연관으로 구조의 핵심 요소이다.
• Authentication Header 는 IPSec 의 인증 헤더 프로토콜이다.

탬퍼 방지(tamper resistance) 기술은 라이선스 생성·발급 관리를 처리하는 기술이 아니라, DRM 모듈과 콘텐츠가 위·변조나 역공학으로 무력화되지 않도록 보호하는 기술이다.

라이선스의 생성과 발급·관리는 클리어링 하우스(라이선스 서버)가 담당하는 기능이다.

• DRM 은 디지털 콘텐츠의 불법 복제·유포를 막고 저작권자의 권리를 보호하는 기술과 서비스를 말한다.
• DRM 은 콘텐츠 파일을 암호화해 저장·배포하고, 정당한 라이선스가 있을 때만 복호화해 이용하게 한다.
• 온라인 음악·동영상, 전자책, CD/DVD 등에서 불법 복제 방지 기술로 활용된다.

직무(역할)를 기준으로 접근 권한을 부여하는 모델은 역할 기반 접근제어(RBAC)이다.

RBAC 은 권한을 사용자 개인이 아니라 역할(직무)에 할당하고, 사용자를 역할에 배정하므로 인사 이동 등 조직 변화 시 권한 관리가 효율적이다.

• 강제적 접근제어는 주체와 객체의 보안 등급(레이블)을 비교해 시스템이 강제로 접근을 통제한다.
• 규칙 기반 접근제어는 관리자가 정한 규칙에 따라 접근을 통제하는 방식으로 직무 할당과는 무관하다.
• 임의적 접근제어는 객체 소유자가 사용자 신원에 따라 재량으로 권한을 부여한다.

n 명의 사용자에게 $\dfrac{n(n-1)}{2}$ 개의 키가 필요한 것은 공개키 암호가 아니라 대칭키 암호의 특징이다.

공개키 암호에서는 각 사용자가 공개키·개인키 한 쌍만 가지면 되므로 필요한 키는 $2n$ 개이다. 대칭키는 사용자 쌍마다 비밀키를 따로 공유해야 해 사용자가 늘수록 키 개수가 급격히 증가한다.

• 공개키 인증서는 디렉토리에 저장해 누구나 조회할 수 있게 공개한다.
• 공개키 암호는 사용자 증가에 따라 비밀키 수가 늘어나는 대칭키 방식의 키 관리 문제를 해결한다.
• 공개키 암호는 일반적으로 대칭키 암호보다 연산이 복잡해 암호화 속도가 느리다.

웹 애플리케이션이 SQL 삽입 공격에 안전하다는 설명은 틀리다. 입력값을 검증하지 않고 SQL 문을 구성하는 웹 애플리케이션은 SQL 삽입 공격에 취약하다.

그래서 웹 서버 보안에서는 사용자 입력값 검증, 바인딩 변수(준비된 문장) 사용 등으로 SQL 삽입을 막아야 한다.

• 허용된 확장자만 업로드하게 하는 것은 웹셸 등 악성 파일 업로드를 막는 대책이다.
• 사용자 입력값 검증은 SQL 삽입·XSS 등 웹 애플리케이션 취약점을 막는 기본 대책이다.
• 맞춤형 오류 페이지는 기본 오류 메시지가 서버 정보를 노출하는 것을 막는다.

유출 시 정보주체에게 알려야 할 사항은 유출된 시점과 그 경위, 그리고 피해 신고를 접수할 담당부서 및 연락처이다.

｢개인정보 보호법｣상 개인정보처리자는 유출 사실을 알게 되면 유출된 개인정보 항목, 유출 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 처리자의 대응조치 및 피해 구제절차, 피해 신고 접수 담당부서 및 연락처를 알려야 한다.

• 유출된 개인정보의 위탁기관 현황은 통지 사항이 아니다.
• 개인정보처리자의 개인정보 보관·폐기 기간은 통지 사항이 아니다.

PGP 는 공개키 암호를 쓰지 않는 것이 아니라 대칭키와 공개키 암호를 함께 쓰는 하이브리드 방식이다.

메시지 본문은 일회용 세션키로 대칭키 암호화하고, 그 세션키는 수신자의 공개키로 암호화해 함께 보낸다. 전자서명에도 송신자의 개인키를 쓴다.

• PGP 는 전자우편의 기밀성·인증·무결성을 제공하는 전자우편 보안 프로토콜이다.
• PGP 는 서명 후 데이터를 압축하고 나서 암호화한다.
• PGP 는 필 짐머만(Philip Zimmermann)이 개발하였다.

루트킷(Rootkit)은 다른 시스템을 공격하는 프로그램이 아니라, 침입자가 시스템에 대한 관리자 권한을 유지하고 자신의 흔적을 숨기기 위해 설치하는 도구 모음이다.

감염된 시스템이 원격 명령을 받아 다른 시스템을 공격하는 것은 봇(봇넷)이나 DDoS 에이전트의 특징에 가깝다.

• 트랩도어는 정상 인증 절차를 거치지 않고 프로그램에 접근할 수 있게 만든 비밀 통로이다.
• 웜은 네트워크 연결을 통해 스스로를 복제·전파한다.
• 트로이 목마는 정상 프로그램으로 가장해 악성 기능을 수행한다.

고시에 따른 정보보호 관리과정은 4단계가 아니라 5단계이다. 정보보호정책 수립 및 범위설정, 경영진 책임 및 조직구성, 위험관리, 정보보호대책 구현에 더해 사후관리 단계가 있다.

관리과정은 이 5단계를 반복 수행하며 관리체계를 지속적으로 유지·개선하는 활동이다.

• 인증기관이 조직의 정보보호 활동을 객관적으로 심사해 인증한다.
• 정보보호 관리체계는 조직의 정보 자산을 대상으로 하며 물리적 보안도 포함한다.
• 정보 자산의 기밀성·무결성·가용성을 실현하기 위한 관리적·기술적 수단과 절차·과정을 관리·운용하는 체계라는 정의가 맞다.

자신이 보내는 패킷에 다른 호스트의 IP 주소를 넣어 신분을 위장하는 공격은 스푸핑(IP 스푸핑)이다.

스푸핑은 IP·ARP·DNS 등 식별 정보를 위조해 다른 대상으로 가장하는 공격을 통칭한다.

• 패킷 스니핑은 네트워크를 지나는 패킷을 엿보는 도청 공격이다.
• 스미싱은 문자 메시지(SMS)의 링크로 악성 앱 설치나 결제를 유도하는 공격이다.
• 버퍼 오버플로우는 할당된 버퍼보다 큰 데이터를 입력해 메모리를 덮어쓰는 공격이다.

무결성(integrity)을 식별·인증·인가 과정을 거쳤을 때 발생하는 활동으로 설명한 것은 틀리다.

무결성은 정보가 인가되지 않은 방법으로 변경·파괴되지 않도록 정확성과 완전성을 보장하는 것을 말한다.

• 기밀성은 인가된 사용자만 데이터에 접근하도록 제한하는 것이다.
• 가용성은 필요할 때 데이터와 서비스에 접근할 수 있는 능력이다.
• 책임성은 행위를 추적해 제재·부인방지·침입탐지·사후처리 등을 지원하는 것이다.

FTP는 네트워크 계층 보안 프로토콜이 아니라 응용 계층의 파일 전송 프로토콜이며, 그 자체로는 데이터를 평문으로 전송한다.

네트워크 계층의 대표 보안 프로토콜은 IPSec이고, 응용 계층에는 SSH·S/MIME·PGP 등이 있다.

• IPSec 은 IP 계층에서 인증·암호화를 제공하는 네트워크 계층 보안 프로토콜이다.
• SSH 는 원격 접속을 암호화하는 응용 계층 보안 프로토콜이다.
• S/MIME 은 전자우편을 보호하는 응용 계층 보안 프로토콜이다.

패킷 필터링은 응용 계층이 아니라 네트워크·전송 계층에서 동작한다는 점에서 설명이 틀리다.

패킷 필터링은 IP 주소·포트 번호 등 헤더 정보로 통과 여부를 정하며, 응용 계층에서 WWW 같은 서비스를 대리해 보호하는 것은 애플리케이션 게이트웨이(프록시) 방식이다.

• 패킷 필터링 방화벽은 출발지·목적지 IP 주소와 포트 번호로 접속을 제어한다.
• NAT 는 사설 IP 를 쓰게 해 주소 자원을 아끼고 내부 주소를 숨겨 보안성을 높인다.
• 방화벽도 하드웨어·소프트웨어 자체 결함으로 취약점을 가질 수 있다.

해시 함수의 충돌 회피성은 같은 출력을 내는 서로 다른 두 입력을 찾기가 계산적으로 어려운(불가능한) 성질이므로, 찾기 가능하다는 설명은 틀리다.

안전한 해시 함수는 일방향성(역상 저항성), 두 번째 역상 저항성, 충돌 저항성을 갖추어야 한다.

• 해시 함수는 임의 길이의 입력을 고정 길이 값으로 출력한다.
• MD5·SHA-1·HAS-160 은 대표적인 해시 함수이다.
• 해시 함수는 메시지 인증과 전자서명을 통한 부인방지에 이용된다.

주요정보통신기반시설을 지정하는 주체는 관리기관의 장이 아니라 중앙행정기관의 장이다.

중앙행정기관의 장이 소관 분야의 정보통신기반시설 중 전자적 침해행위로부터 보호가 필요한 시설을 주요정보통신기반시설로 지정하고, 관리기관의 장은 그 시설을 관리하며 취약점 분석·평가 등을 수행한다.

• 관리기관의 장은 침해사고로 시설이 교란·마비·파괴된 사실을 알면 관계 행정기관, 수사기관 또는 한국인터넷진흥원에 통지해야 한다.
• 전자적 침해행위는 해킹, 컴퓨터 바이러스, 서비스 거부, 고출력 전자기파 등에 의한 공격행위로 정의된다.
• 취약점 분석·평가 방법 등에 필요한 사항은 대통령령으로 정한다.

영상정보처리기기는 녹음 기능을 사용할 수 없으므로, 민원인의 폭언·폭행 방지 목적이라도 녹음하는 것이 가능하다는 설명은 틀리다.

｢개인정보 보호법｣은 영상정보처리기기운영자가 설치 목적과 다른 목적으로 기기를 임의로 조작하거나 다른 곳을 비추어서는 안 되고, 녹음기능은 사용할 수 없다고 규정한다.

• 설치 목적과 다른 목적으로 기기를 임의 조작하거나 다른 곳을 비추는 것은 금지된다.
• 영상정보처리기기의 설치·운영 사무는 위탁할 수 있다.
• 법에서 정한 사유 외에는 공개된 장소에 영상정보처리기기를 설치·운영할 수 없다.

CC 의 평가 보증 등급은 5개가 아니라 EAL1부터 EAL7까지 7개이다.

CC 는 소개 및 일반모델, 보안기능요구사항, 보증요구사항의 세 부분으로 구성되며, 요구사항은 클래스·패밀리·컴포넌트의 계층 구조를 갖는다.

• CC 는 정보보호 기능이 있는 IT 제품의 안전성을 보증·평가하는 기준이다.
• 보안기능요구사항과 보증요구사항은 클래스 단위로 구조화된다.
• CCRA 는 가입국 간 평가·인증 결과를 상호 인정하는 협정으로 미국·영국·프랑스 등을 중심으로 시작되었다.

위험관리는 위협 식별부터 시작하는 것이 아니라 자산 식별을 먼저 하고, 그 자산에 대한 위협과 취약점을 식별하는 순서로 진행된다.

보호할 대상(자산)과 그 가치를 정해야 그 자산을 노리는 위협과 위협이 이용할 취약점을 평가해 위험을 산정할 수 있다.

• 위험은 위협·취약성·자산 가치의 함수로 산정할 수 있다.
• 취약성은 자산의 약점이나 보호대책의 결핍으로 정의된다.
• 위험 회피는 위험을 일으키는 기능이나 활동을 포기하므로 편리하거나 유용한 기능을 잃을 수 있다.

산업 제어시스템(SCADA)의 PLC 코드를 변조해 공정 설비를 장악하는 사이버 무기는 스턱스넷(Stuxnet)이다.

스턱스넷은 USB 등 이동저장매체와 네트워크로 전파되어 폐쇄망의 산업 기반시설 제어시스템을 노린 것으로 알려진 웜형 악성코드이다.

• 오토런 바이러스는 이동식 저장매체의 자동 실행 기능을 이용해 감염되는 악성코드로, PLC 제어권 탈취와는 관계없다.
• 백도어는 정상 인증을 우회해 시스템에 접근하기 위한 뒷문이다.
• 봇넷은 원격 명령을 받는 감염 시스템(봇)들의 네트워크로 DDoS·스팸 발송 등에 쓰인다.