21년 1회차

SCADA(Supervisory Control And Data Acquisition)는 사용자 인증 기술이 아니라 산업 제어 시스템이다.

SCADA는 발전·수도·가스 같은 기반시설을 원격으로 감시·제어하고 데이터를 수집하는 시스템으로, 오히려 보안 대상에 해당한다.

• Smart Card: IC 칩에 인증서·키를 저장해 소유 기반 인증에 쓰인다.
• Single Sign On: 한 번의 인증으로 여러 시스템에 접근하게 하는 인증 기술이다.
• One Time Password: 매번 바뀌는 일회용 비밀번호로 재사용 공격을 막는 인증 기술이다.

제로 데이 공격은 취약점이 알려졌지만 아직 패치가 나오지 않은 시점에 이루어지는 공격이다.

보안 패치가 배포되기 전이므로 방어 수단이 없는 틈(0일차)을 노린다는 데서 이름이 붙었다.

• 서버 성능을 떨어뜨리거나 정지시켜 정상 작동을 방해하는 것은 서비스 거부(DoS) 공격이다.
• 패스워드 사전 파일을 대입해 계정을 알아내는 것은 사전 공격(Dictionary Attack)이다.
• 버퍼에 일정 크기 이상의 데이터를 넣어 프로그램을 공격하는 것은 버퍼 오버플로 공격이다.

PGP(Pretty Good Privacy)는 IPSec의 구성 요소가 아니라 전자우편 보안 프로토콜이다.

IPSec은 네트워크 계층에서 동작하며, 인증 헤더·캡슐화 보안 페이로드·키 교환 프로토콜로 구성된다.

• Authentication Header(AH): 데이터 출처 인증과 무결성을 제공한다.
• Internet Key Exchange(IKE): 보안 연관(SA) 설정과 키 교환을 담당한다.
• Encapsulating Security Payload(ESP): 암호화로 기밀성을 제공하고 선택적으로 인증·무결성도 제공한다.

사용자 동의 없이 설치되어 정보를 몰래 수집·전송하는 악성코드는 스파이웨어(spyware)이다.

금융정보·신상정보·암호 등 정보 수집과 유출이 주목적이라는 점이 핵심이다.

• ransomware: 파일을 암호화한 뒤 복호화 대가로 금전을 요구한다.
• backdoor: 정상 인증 절차를 우회해 시스템에 접근할 수 있게 하는 뒷문이다.
• dropper: 다른 악성코드를 시스템에 설치(투하)하는 역할을 한다.

(가)는 blueprinting, (나)는 bluesnarf, (다)는 bluebug이다.

세 공격은 각각 장치 탐색, 저장 데이터 접근, 장치 제어권 획득이라는 단계로 구분된다.

• blueprinting: 공격 가능한 블루투스 장치를 검색하고 모델 정보를 확인한다.
• bluesnarf: 인증 없이 장치에 저장된 주소록·파일 등 데이터에 접근한다.
• bluebug: 장치에 대한 접근 권한을 획득해 원격으로 명령을 실행한다.

공개키 암호(RSA, ElGamal 등)는 대칭키보다 느리지만 키 전달이 편리하고 전자서명을 쉽게 구현할 수 있다는 설명이 옳다.

그래서 실무에서는 공개키로 대칭키를 교환하고, 실제 데이터는 빠른 대칭키로 암호화하는 하이브리드 방식을 쓴다.

• 암호화 키와 복호화 키가 다르고 암호화 키를 공개하는 구조는 대칭키가 아니라 공개키 방식의 설명이다.
• 평문과 키 수열을 배타적 논리합으로 결합하고 선형 쉬프트 레지스터를 쓰는 것은 블록 암호가 아니라 스트림 암호의 특징이다.
• 두 키가 동일하고 스트림·블록 암호로 나뉘는 것은 공개키가 아니라 대칭키 방식의 설명이다.

SHA는 유럽 RIPE 프로젝트가 아니라 미국 NSA가 설계하고 NIST가 표준화한 해시함수이다.

유럽 RIPE 프로젝트에서 개발된 해시함수는 RIPEMD 계열이다.

• MD5, SHA 등은 대표적인 해시 알고리즘이다.
• 해시값을 비교하면 메시지 변조 여부를 알 수 있어 무결성 확인에 쓰인다.
• 해시는 임의 길이의 입력으로부터 고정 길이의 해시값을 출력한다.

PPTP는 마이크로소프트가 제안한 VPN 프로토콜로, PPP를 기반으로 한다.

PPP 프레임을 IP 패킷에 캡슐화해 터널링하는 2계층(데이터 링크 계층) 터널링 프로토콜이다.

• 3계층(네트워크 계층)에서 동작하는 VPN 프로토콜은 IPSec이며, PPTP는 2계층에서 동작한다.
• PPTP는 재전송 공격(replay attack)을 막는 기능을 제공하지 않는다.
• PPTP는 패킷 단위의 데이터 무결성 검사 기능을 제공하지 않는다.

수탁자가 위탁받은 업무 범위를 초과해 개인정보를 이용·제공하는 것은 주민등록번호 처리 허용 사유가 아니라 금지 행위이다.

「개인정보 보호법」 제24조의2제1항은 법령의 구체적 요구·허용, 급박한 생명·신체·재산 이익, 이에 준하는 경우로서 개인정보 보호위원회 고시로 정하는 경우에만 주민등록번호 처리를 허용한다.

• 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위해 명백히 필요한 경우는 허용 사유이다.
• 앞의 두 사유에 준해 처리가 불가피한 경우로서 개인정보 보호위원회가 고시로 정하는 경우는 허용 사유이다.
• 법률·대통령령·국회규칙 등에서 구체적으로 주민등록번호 처리를 요구하거나 허용한 경우는 허용 사유이다.

비트코인 블록헤더는 6가지 필드, 80바이트로 구성되므로 5가지 필드·60바이트라는 설명이 틀렸다.

필드는 Version(4), Previous Block Hash(32), Merkle Root(32), Timestamp(4), Bits(4), Nonce(4) 바이트로, 합계 80바이트이다.

• Nonce는 작업증명에 쓰이는 4바이트 값이다.
• Timestamp는 블록이 생성된 시간을 기록한다.
• Previous Block Hash는 이전 블록 헤더의 해시값으로 32바이트이다.

표현(Presentation) 계층에 ASCII, JPEG, MPEG를 짝지은 것이 모두 옳다.

표현 계층은 데이터의 부호화·압축·암호화 형식을 담당하므로 문자 코드와 이미지·영상 형식이 여기에 속한다.

• 네트워크 계층 묶음: IP는 맞지만 NetBIOS는 세션 계층, SMTP는 응용 계층이다.
• 전송 계층 묶음: ICMP는 네트워크 계층, FTP는 응용 계층이다.
• 응용 계층 묶음: HTTP는 맞지만 PPP는 데이터 링크 계층, IGMP는 네트워크 계층이다.

VPN은 인터넷 같은 공중 네트워크를 이용해 사설 전용선처럼 사용할 수 있게 하는 보안 솔루션이다.

공중망 위에 터널을 만들고 패킷을 캡슐화·암호화해 전송함으로써 비싼 전용선 없이 안전한 통신을 구현한다.

• TCP, FTP는 일반 전송·응용 프로토콜이며, VPN 터널링 프로토콜은 PPTP, L2TP, IPSec 등이다.
• VPN은 비싼 사설 임대 회선을 대신해 저렴한 공용 회선을 이용하는 것으로, 설명이 거꾸로 되어 있다.
• VPN은 공중망에 터널을 형성하고 패킷을 캡슐화해 전달한다.

인증 및 권한관리는 ISMS-P 인증 기준 중 보호대책 요구사항 영역에 속한다.

ISMS-P 인증 기준은 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항의 세 영역으로 구성된다.

• 관리체계 기반 마련: 관리체계 수립 및 운영 영역에 속한다.
• 정보주체 권리보호: 개인정보 처리 단계별 요구사항 영역에 속한다.
• 관리체계 점검 및 개선: 관리체계 수립 및 운영 영역에 속한다.

폐해를 방지하기 위한 시책을 강구하는 것은 정보주체의 권리가 아니라 국가 등의 책무(제5조)이다.

시책 강구는 국가와 지방자치단체가 지는 의무이므로 정보주체가 가지는 권리로 볼 수 없다.

• 개인정보의 처리 정지, 정정·삭제 및 파기를 요구할 권리는 정보주체의 권리이다.
• 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리는 정보주체의 권리이다.
• 처리로 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리는 정보주체의 권리이다.

로그인된 사용자가 의지와 무관하게 공격자가 의도한 행위를 하도록 하는 것은 Reverse Telnet이 아니라 CSRF(Cross Site Request Forgery)이다.

Reverse Telnet은 방화벽이 내부에서 외부로 나가는 연결을 허용하는 점을 이용해, 침투한 서버가 공격자 쪽으로 역으로 접속하게 하는 기법이다.

• Cross Site Scripting: 게시글에 악성 스크립트를 넣어 열람한 사용자 브라우저에서 실행되게 한다.
• File Upload: 첨부파일 기능으로 웹셸 등을 올려 웹서버 권한을 획득한다.
• Directory Listing: 잘못된 서버 설정으로 디렉터리의 파일 목록이 노출되어 열람이 가능해진다.

해커를 유인해 정보를 얻거나 잡으려고 설치하는 것은 NAC가 아니라 허니팟(Honeypot)이다.

NAC(Network Access Control)는 네트워크에 접속하려는 사용자와 단말을 인증·검사해 정책에 맞는 경우에만 접속을 허용한다.

• 사용자 식별과 인증 수행은 NAC의 기본 기능이다.
• 백신·패치 상태 등 단말 무결성 검증을 제공한다.
• 802.1x 방식, VLAN 방식 등으로 구현된다.

WTLS 레코드 프로토콜 아래에서 동작하는 하위 프로토콜은 WDP(Wireless Datagram Protocol)이다.

WAP 스택에서 WTLS는 전송 계층인 WDP 위에 놓이며, 레코드 프로토콜 위에는 Handshake·Change CipherSpec·Alert 프로토콜이 상위 프로토콜로 동작한다.

• Handshake Protocol: 레코드 프로토콜 위에서 암호 알고리즘 협상과 인증을 수행하는 상위 프로토콜이다.
• Change CipherSpec Protocol: 협상된 암호 사양으로의 전환을 알리는 상위 프로토콜이다.
• Alert Protocol: 오류·경고 메시지를 전달하는 상위 프로토콜이다.

이미지·오디오 같은 디지털 매체에 메시지를 숨겨 전송하는 것은 DLP가 아니라 스테가노그래피이다.

DLP(Data Loss Prevention)는 기업 내부의 중요 정보가 외부로 유출되는 것을 탐지·차단하는 솔루션이다.

• IPS: 공격을 탐지하고 자동으로 차단하는 능동형 보안 기능을 제공한다.
• IDS: 방화벽이 탐지하지 못하는 악의적 트래픽을 탐지·경보하며, 차단은 하지 않는다.
• Firewall: 외부 네트워크에서 내부로 유입되는 침입을 막는다.

CERT는 웜 사고 대응을 위해 만들어졌고, 현재는 해커 침입 대응과 추적까지 맡고 있다는 설명이 옳다.

1988년 모리스 웜 사건을 계기로 미국 카네기멜론대학에 최초의 CERT/CC가 설립되었다.

• CERT는 영국 옥스퍼드대학이 아니라 미국 카네기멜론대학에서 만들어졌다.
• CERT는 정부뿐 아니라 기업·대학 등 민간 조직도 운영한다.
• CERT팀은 기술 전문가를 중심으로 구성되며, 법률·언론 대응 인력만으로 구성되지 않는다.

전략적 연계는 정보 보안을 조직의 비즈니스 전략·목표와 일치시키는 것이므로, 위험 관리 체계 수립을 설명한 것은 틀렸다.

잠재적 위험을 줄이기 위해 위험 관리 체계를 수립·관리한다는 내용은 거버넌스 구현 요건 중 위험 관리에 해당한다.

• 가치 전달: 보안 투자 효과를 높이기 위한 교육과 국제 표준 기반 관리 체계 운영이다.
• 자원 관리: 중요 자산과 인프라를 포함한 전사적 정보 보안 아키텍처를 확보하는 것이다.
• 성과 관리: 모니터링·보고·성과 평가 체계를 운영하는 것이다.

산업입지 조성과 정보통신산업 기반시설 지원은 주요정보통신기반시설 지정 기준에 해당하지 않는다.

지정 기준은 업무의 국가 사회적 중요성, 업무의 기반시설 의존도, 다른 기반시설과의 상호연계성, 침해사고 시 피해 규모 및 범위, 침해사고 발생 가능성 또는 복구 용이성이며, 모두 침해 시 영향을 판단하는 요소이다.

• 관리기관이 수행하는 업무의 국가 사회적 중요성은 지정 기준이다.
• 다른 정보통신기반시설과의 상호연계성은 지정 기준이다.
• 침해사고 발생 시 국가안전 보장과 경제사회에 미치는 피해 규모 및 범위는 지정 기준이다.

TCSEC은 A1, B1, B2, B3, C1, C2, D 등급으로 구분된다는 설명이 옳다.

보호 수준은 D(최소 보호) → C1(임의적 보호) → C2(통제된 접근 보호) → B1(레이블된 보호) → B2(구조적 보호) → B3(보안 영역) → A1(검증된 설계) 순으로 높아진다.

• 레이블된 정보보호(labeled security)는 C2가 아니라 B1 등급의 평가 내용이다.
• 검증된 설계(verified design)는 D가 아니라 A1 등급의 평가 내용이다.
• 최소한의 보호(minimal protection)는 A1이 아니라 D 등급이다.

이동통신사업자의 주민등록번호 수집·이용 계획은 본인확인기관 지정 심사 사항이 아니다.

본인확인기관은 주민등록번호를 사용하지 않고 본인을 확인하는 수단을 제공하는 기관이므로, 심사 사항은 안전성 확보 조치계획, 기술적·재정적 능력, 설비규모의 적정성이다.

• 본인확인업무의 안전성 확보를 위한 물리적·기술적·관리적 조치계획은 심사 사항이다.
• 본인확인업무 관련 설비규모의 적정성은 심사 사항이다.
• 본인확인업무 수행을 위한 기술적·재정적 능력은 심사 사항이다.

RADIUS는 주로 서버/클라이언트 방식으로 동작한다는 설명이 옳다.

NAS(네트워크 접근 서버)가 클라이언트가 되어 사용자 인증 요청을 RADIUS 서버로 보내고, 서버가 인증·권한부여·과금(AAA)을 중앙에서 처리한다.

• RADIUS는 분산형이 아니라 중앙 집중형 인증 방식이다.
• RADIUS는 서버에 등록된 사용자를 인증하며, 미등록 사용자는 거부한다.
• RADIUS는 TCP가 아니라 UDP를 사용한다.

제시된 내용은 사용자 계정 관리가 아니라 암호정책 적용 항목의 설명이므로 틀렸다.

사용자 계정 관리는 계정과 접근권한의 등록·변경·삭제 절차를 수립하고 업무 필요에 따라 최소한의 권한만 부여하는 것을 다룬다.

• 정보자산 식별: 분류기준을 수립해 범위 내 모든 자산을 식별·분류하고 중요도를 산정해 목록을 최신으로 관리한다.
• 사용자 인증: 안전한 인증절차와 로그인 횟수 제한 등 비인가자 접근 통제방안을 수립·이행한다.
• 원격접근 통제: 보호구역 외 원격접근을 원칙적으로 금지하고 불가피한 경우 승인·인증·암호화 등 보호대책을 적용한다.