24년 1회차

설명은 계정 로그온 이벤트 감사에 해당한다.

계정 로그온 이벤트는 도메인 계정 인증을 도메인 컨트롤러가 처리할 때 생성되며, 실패 이벤트로 패스워드 크래킹 시도를, 성공 이벤트로 사후 추적을 할 수 있다.

• 개체 액세스 감사: 파일·폴더·레지스트리 등 개체 접근을 기록한다.
• 로그온 이벤트 감사: 해당 컴퓨터에 대한 로컬 로그온·로그오프를 기록한다.
• 계정 관리 감사: 계정 생성·변경·삭제 등 계정 관리 작업을 기록한다.

설명은 SET(Secure Electronic Transaction)이다.

SET은 신용카드 기반 전자상거래 보안 프로토콜로, 이중 서명과 인증서로 당사자 인증·거래 비밀성·부인 방지를 제공하고 이질적 환경 간 상호운용성을 목표로 한다.

• PGP: 전자우편 암호화·서명 기술이다.
• OTP: 매번 바뀌는 일회용 패스워드 인증 방식이다.
• SSO: 한 번의 인증으로 여러 시스템을 이용하게 하는 통합 인증이다.

옳지 않은 것은 /sys를 환경설정 파일 디렉터리로 설명한 것이다.

시스템 환경설정과 주요 설정 파일은 /etc에 있고, /sys는 커널이 장치·드라이버 정보를 보여 주는 가상 파일시스템(sysfs)이다.

• /dev: 장치 파일이 담긴 디렉터리로 옳다.
• /opt: 추가 응용 패키지가 설치되는 디렉터리로 옳다.
• /var: 로그·스풀 등 자주 바뀌는 파일이 저장되는 디렉터리로 옳다.

옳지 않은 것은 Alert 프로토콜과 Record 프로토콜로 암호화한다는 설명이다.

Alert·Record 프로토콜은 SSL/TLS의 구성 요소이며, SSH는 전송 계층·사용자 인증·연결 프로토콜로 구성된다.

• Telnet 등 평문 원격 로그인을 대체하려고 개발되었다는 설명은 옳다.
• 원격 로그인과 X 터미널 등에 널리 쓰인다는 설명은 옳다.
• 포트 포워딩으로 안전하지 않은 TCP 연결을 암호화 터널로 보호할 수 있다는 설명은 옳다.

설명은 중간자 공격(MITM)이다.

공격자가 두 통신 당사자 사이에 끼어들어 서로 직접 연결된 것처럼 속이고, 오가는 데이터를 도청·변조한 뒤 전달한다.

• 부채널 공격: 전력·시간·전자파 등 물리적 정보를 분석해 키를 알아낸다.
• 살라미 공격: 티가 나지 않을 만큼 작은 금액·자료를 여러 곳에서 조금씩 빼낸다.
• 무차별 공격: 가능한 모든 키·패스워드를 대입한다.

SetUID 설정 명령은 chmod 4755 exam이다.

특수 권한은 8진수 맨 앞자리로 지정하며 SetUID=4, SetGID=2, Sticky bit=1이다. 4755는 SetUID에 rwxr-xr-x를 더한 값이다.

• chmod u+t exam: t는 Sticky bit 기호로 SetUID와 무관하다.
• chmod g+s exam: 그룹에 s를 주는 SetGID 설정이다.
• chmod 2755 exam: 앞자리 2이므로 SetGID 설정이다.

VPN 터널링 프로토콜이 아닌 것은 P2P이다.

P2P는 단말끼리 직접 자원을 공유하는 통신 구조일 뿐 터널링 프로토콜이 아니다.

• L2F: 시스코가 제안한 2계층 터널링 프로토콜이다.
• PPTP: 마이크로소프트 등이 제안한 PPP 기반 2계층 터널링 프로토콜이다.
• L2TP: L2F와 PPTP를 결합한 2계층 터널링 프로토콜이다.

설명은 DRDoS(분산 반사 서비스 거부) 공격이다.

출발지 IP를 피해자 주소로 위조한 SYN을 다수의 반사 서버에 보내면, 반사 서버들의 SYN-ACK 응답이 피해자에게 몰린다.

• LAND: 출발지와 목적지 IP를 같게 만든 패킷으로 대상 자신에게 응답하게 한다.
• Port Scan: 열린 포트와 서비스를 탐색하는 정보 수집 행위다.
• ARP Spoofing: MAC 주소를 위조해 같은 LAN의 트래픽을 가로챈다.

옳지 않은 것은 비정상 행위 탐지가 오용 탐지보다 False Positive가 낮다는 설명이다.

비정상 탐지는 정상 패턴에서 벗어난 행위를 침입으로 보므로 정상 행위를 침입으로 오판하는 오탐(False Positive)이 상대적으로 높다.

• 신경망·통계적 방법·특징 추출 등을 사용한다는 설명은 옳다.
• 학습된 사용자 패턴과 다르면 침입으로 판단한다는 설명은 옳다.
• 시그니처가 없는 Zero Day 공격에도 대응할 수 있다는 설명은 옳다.

㉠은 BSS 세그먼트, ㉡은 텍스트 세그먼트이다.

BSS는 초기화되지 않은 전역·정적 변수가 0으로 초기화되어 놓이는 영역이고, 텍스트(코드) 세그먼트는 실행할 기계어가 있어 EIP가 그 안의 다음 명령을 가리킨다.

• 스택: 지역 변수·함수 인자·복귀 주소를 저장한다.
• 힙: 실행 중 동적으로 할당되는 메모리 영역이다.
• 데이터 세그먼트: 초기값이 있는 전역·정적 변수를 저장한다.

설명은 이블 트윈 어택이다.

정상 AP로 위장한 Rogue AP로 사용자 정보를 가로챈 뒤, 그 정보로 지인·유명인을 사칭해 SNS에서 활동하는 사회공학 기법이다.

• 피싱: 위장 메일·사이트로 개인정보 입력을 유도하는 기법으로, 가짜 AP를 쓰는 특징이 없다.
• 사이버 폭력: 온라인상 괴롭힘·명예훼손 등 이용자 간 가해 행위다.
• 악성 소프트웨어: 단말에 설치되어 피해를 주는 프로그램 일반을 가리킨다.

설명은 스택 실드이다.

스택 실드는 함수 호출 시 복귀 주소를 Global RET Stack에 복사해 두고, 종료 시 스택의 복귀 주소와 비교해 다르면 프로그램을 종료한다.

• 스택 가드: 복귀 주소 앞에 카나리 값을 두고 변조 여부를 검사한다.
• ASLR: 스택·힙·라이브러리 주소를 실행할 때마다 무작위로 배치한다.
• Non-Executable Stack: 스택 영역의 코드 실행을 금지한다.

헤더 길이는 60byte이다.

HLEN은 헤더 길이를 4바이트 단위로 나타내며, 이진수 1111은 십진수 15이다.

$15 \times 4 = 60\,\mathrm{byte}$

HLEN 최솟값 5는 옵션 없는 기본 헤더 20byte에 해당하고, 1111은 HLEN이 가질 수 있는 최댓값이다.

옳지 않은 것은 proc를 메모리 임시 파일 저장용 파일시스템으로 설명한 것이다.

메모리에 임시 파일을 두고 재시작 시 내용이 사라지는 것은 tmpfs이며, proc는 커널과 프로세스 정보를 파일 형태로 보여 주는 가상 파일시스템이다.

• ext가 MINIX 파일시스템의 기능을 확장했다는 설명은 옳다.
• ext3가 저널링을 도입해 복구 기능을 강화했다는 설명은 옳다.
• swap이 스왑 영역 관리용 파일시스템이라는 설명은 옳다.

옳지 않은 연결은 이벤트 동기화 방식 - 이벤트이다.

이벤트 동기화 방식은 OTP 생성 횟수를 서버와 맞추므로 인증값이 카운트(횟수) 값이다.

• S/KEY 방식은 해시 체인을 역순으로 사용하므로 해시값과의 연결이 옳다.
• 시간 동기화 방식은 현재 시간을 입력값으로 쓰므로 시간과의 연결이 옳다.
• 도전-응답 방식은 서버가 보낸 난수(질의값)로 응답을 만들므로 난수와의 연결이 옳다.

설명은 논리적 접근 통제이다.

논리적 통제는 기술적 통제라고도 하며, IP 기반 접근 제한처럼 하드웨어·소프트웨어로 정보 접근을 제한한다.

• 관리적 접근 통제: 정책·절차·교육 등 관리 수단으로 통제한다.
• 물리적 접근 통제: 출입 통제·잠금장치 등 물리적 수단으로 통제한다.
• 상대적 접근 통제: 접근 통제 구현 방법의 분류에 쓰이는 용어가 아니다.

안티 리버싱 기법이 아닌 것은 언패킹이다.

언패킹은 패킹된 실행 파일을 원래 코드로 복원하는 분석자 측 기법이며, 안티 리버싱 기법은 패킹 쪽이다.

• 안티 디버깅: 디버거 존재를 탐지해 분석을 방해한다.
• 타이밍 체크: 코드 실행 시간을 재 디버깅 중인지 판단한다.
• 쓰레기 코드 넣기와 코드 치환: 의미 없는 코드와 동등 코드로 바꿔 분석을 어렵게 하는 난독화다.

설명은 FTP Bounce Attack이다.

능동 모드의 PORT 명령으로 클라이언트가 아닌 임의의 IP·포트를 데이터 채널 목적지로 지정할 수 있다는 점을 악용해, FTP 서버를 경유한 포트 스캔이나 위조 메일 전송 등을 한다.

• Brute-Force Attack: 계정 패스워드를 무작위로 대입하는 공격이다.
• Anonymous FTP Attack: 익명 계정 접속과 쓰기 권한 설정 미흡을 악용한다.
• Passive Attack: 도청처럼 데이터를 변경하지 않는 공격 유형의 총칭이다.

옳지 않은 것은 winmgmt.exe를 작업 관리자 프로세스로 설명한 것이다.

winmgmt는 WMI(Windows Management Instrumentation) 서비스이며, 작업 관리자 자신의 프로세스는 taskmgr.exe이다.

• csrss.exe가 콘솔·스레드 생성 삭제와 가상 MS-DOS 모드를 지원한다는 설명은 옳다.
• smss.exe가 세션을 시작하고 winlogon과 win32 하위 시스템을 구동한다는 설명은 옳다.
• svchost.exe가 DLL 서비스의 호스트 프로세스로 여러 개 실행된다는 설명은 옳다.

옳지 않은 연결은 응용 계층 - MPLS이다.

MPLS는 레이블로 패킷을 전달하는 2계층과 3계층 사이의 교환 기술로, 응용 계층 보안 프로토콜이 아니다.

• HTTPS는 웹 응용 계층에서 TLS로 보안을 제공하므로 옳다.
• IPSec은 네트워크 계층 보안 프로토콜이므로 옳다.
• PPTP는 PPP 프레임을 캡슐화하는 데이터링크 계층 터널링 프로토콜이므로 옳다.

가는 애플리케이션 게이트웨이, 나는 상태기반 패킷 검사, 다는 패킷 필터링이다.

애플리케이션 게이트웨이는 응용 계층에서 프록시로 동작해 접근 통제·로그 기능이 강하지만 느리고, 상태기반 패킷 검사는 세션 상태를 추적하며 전 계층의 패킷 내용을 해석한다. 패킷 필터링은 3·4계층에서 IP·포트로 허용과 차단을 결정한다.

• 나를 패킷 필터링으로 본 조합: 패킷 필터링은 콘텐츠를 해석하지 않는다.
• 가를 회선 게이트웨이로 본 조합: 회선 게이트웨이는 세션 계층 중계로, 응용 수준 통제 기능을 갖는 유형이 아니다.

라우터를 지날 때마다 값이 바뀌는 필드는 TTL이다.

라우터는 홉마다 TTL을 1씩 줄이고 0이 되면 패킷을 폐기하며, 이에 따라 헤더 체크섬도 다시 계산한다.

• Protocol: 상위 프로토콜 종류를 나타내며 전달 중 바뀌지 않는다.
• Source Address: 출발지 주소로 라우터가 바꾸지 않는다(NAT 장비 제외).
• Version: IP 버전으로 고정값이다.

가는 업무 레벨, 나는 단말 레벨, 다는 네트워크 레벨이다.

업무 레벨은 업무 프로세스를 재정립해 시스템이 놓일 망을 나누는 것이고, 단말 레벨은 인터넷용 PC와 업무용 PC를 분리하는 것, 네트워크 레벨은 인터넷 접속망과 업무망 자체를 분리하는 것이다.

• 가를 단말 레벨로 본 조합: 시스템 배치를 재정립하는 것은 단말 분리가 아니다.
• 가를 네트워크 레벨로 본 조합: 망 자체의 분리는 다의 설명이다.
• 나를 네트워크 레벨로 본 조합: PC를 나누는 것은 단말 레벨이다.

설명은 TPM(Trusted Platform Module)이다.

TPM은 신뢰 컴퓨팅의 핵심 하드웨어 보안 모듈로, 암호 키 생성·저장, 패스워드 저장, 인증서 관련 연산을 안전하게 수행한다.

• TCB: 보안 정책을 집행하는 하드웨어·펌웨어·소프트웨어 전체 보호 메커니즘이다.
• 보안 커널: TCB 안에서 참조 모니터 개념을 구현한 핵심 부분이다.
• 참조 모니터: 주체의 객체 접근을 중재하는 추상적 개념이다.

설명은 Tripwire이다.

Tripwire는 파일·디렉터리의 해시값 데이터베이스를 만들어 두고 이후 값과 비교해 변조 여부를 판별하는 무결성 점검 도구이다.

• Nmap: 호스트·포트·서비스를 탐색하는 스캐너다.
• Nessus: 원격 취약점 점검 도구다.
• SATAN: 네트워크 취약점을 점검하는 초기 분석 도구다.

OSPF는 Dijkstra 알고리즘을 사용한다.

OSPF는 링크 상태 라우팅 프로토콜로, 링크 상태 데이터베이스를 바탕으로 Dijkstra의 최단 경로 우선(SPF) 계산을 한다.

• Greedy 알고리즘: 일반적인 알고리즘 설계 기법으로 OSPF의 경로 계산 방식이 아니다.
• Distance Vector 알고리즘: RIP 등 거리 벡터 프로토콜이 사용한다.
• Euclidean 알고리즘: 최대공약수를 구하는 수학 알고리즘이다.

옳지 않은 것은 AH가 암호화를, ESP가 인증·무결성을 제공한다는 설명이다.

실제로는 반대로, AH는 인증·무결성만 제공하고 암호화는 하지 않으며 ESP가 암호화(기밀성)와 선택적 인증을 제공한다.

• 전송 모드와 터널 모드가 있다는 설명은 옳다.
• IP 패킷 단위로 변조 방지와 은닉 기능을 제공한다는 설명은 옳다.
• 터널 모드에서 원래 IP 헤더를 포함한 전체 패킷 앞에 새 헤더가 붙는다는 설명은 옳다.

옳지 않은 것은 AP가 인증용 문자열을 암호화하여 전송한다는 설명이다.

WEP 공유키 인증에서 AP는 챌린지 문자열을 평문으로 보내고, 클라이언트가 이를 WEP 키로 암호화해 돌려준다.

• RC4와 24bit IV를 결합해 키 스트림을 만든다는 설명은 옳다.
• IEEE 802.11b 표준의 스트림 암호 방식이라는 설명은 옳다.
• 정적 키를 사용해 무작위 공격 등에 취약하다는 설명은 옳다.

설명은 블루스나핑이다.

블루스나핑은 인증 없이 정보를 주고받는 OPP 기능을 악용해 주소록·달력 등 장치의 파일에 접근한다.

• 블루프린팅: 블루투스 장치를 검색해 종류·정보를 수집하는 탐색 공격이다.
• 블루버깅: 장치에 백도어 연결을 만들어 원격으로 통화·제어 등을 수행한다.
• 블루재킹: 근처 장치에 원치 않는 메시지를 보내는 공격이다.

설명은 ESM(Enterprise Security Management)이다.

ESM은 방화벽·IDS 등 이기종 보안 제품의 인터페이스를 표준화해 중앙 통합 관리와 통합 모니터링·대응을 수행한다.

• IDS: 침입을 탐지해 경보하는 단일 시스템이다.
• NAC: 단말의 보안 상태를 검사해 네트워크 접속을 통제한다.
• IPS: 침입을 탐지하고 실시간으로 차단한다.

낮은 것부터 나열하면 Notice, Error, Critical, Alert 순(가, 다, 라, 나)이다.

syslog 우선순위는 낮은 쪽부터 debug, info, notice, warning, err, crit, alert, emerg 순이다.

• Alert를 Error보다 낮게 둔 순서: Alert는 Critical보다도 높다.
• Error를 Notice보다 낮게 둔 순서: Notice가 Error보다 낮다.

TCP 용어가 아닌 것은 Datagram이다.

전송 계층에서 데이터그램은 UDP의 전송 단위를 가리키고, TCP의 전송 단위는 세그먼트다.

• Process-to-Process Service: 전송 계층이 프로세스 간 전달을 제공하는 TCP 서비스다.
• Port number: TCP가 프로세스를 식별하는 번호다.
• Segment: TCP의 전송 단위다.

설명은 비즈니스 로직 접근 통제이다.

비즈니스 로직(문맥 종속) 접근 통제는 사용자에게 부여된 권한 등급 자체가 아니라 민감하거나 중요한 자원·기능에 대한 접근이 업무 흐름상 허용되는지를 따지는 통제다. 관리자 권한을 얻지 못한 일반 사용자가 관리자 전용 메뉴에 접근하는 것처럼, 권한 획득 여부와 무관하게 중요 기능에 닿는 경우가 이 통제의 대상이다.

• 수평적 접근 통제: 같은 권한 등급의 다른 사용자 데이터에 접근하는 것을 막는 통제다.
• 강제적 접근 통제: 보안 등급과 범주에 따라 시스템이 접근을 강제하는 접근 통제 모델로, 웹 접근 통제 취약 유형 분류가 아니다.

설명은 세션 처리 및 접근 통제 취약점이다.

사용자 권한 검증이 부적절하면 공격자가 매개변수 조작이나 강제 브라우징으로 다른 사용자·관리자의 정보에 접근할 수 있다.

• 위험한 형식의 파일 업로드: 웹셸 등 실행 가능한 파일 업로드를 허용하는 취약점이다.
• 디렉터리 경로 조작: 경로 문자열을 조작해 허용 범위 밖 파일에 접근하는 취약점이다.
• 코드 내 중요 정보 노출: 소스 코드에 패스워드·키 등을 하드코딩한 취약점이다.

㉠은 Salt, ㉡은 무차별 대입 공격이다.

Salt는 패스워드에 덧붙이는 임의 값으로, 같은 패스워드라도 다른 해시가 나오게 해 해시값 비교를 어렵게 한다. 문자열 범위 안의 모든 조합을 시도하는 것은 무차별 대입 공격이다.

• 사전 대입 공격: 사전에 있는 단어 목록만 대입하므로 모든 조합을 생성하는 방식이 아니다.
• S/Key: 해시 체인 기반 일회용 패스워드 방식으로 해시 첨가물이 아니다.

옳지 않은 것은 SIEM이 보안솔루션 위주의 로그를 수집한다는 설명이다.

보안솔루션 로그 중심의 통합 관리는 ESM의 특징이고, SIEM은 보안 장비뿐 아니라 네트워크 장비·서버·애플리케이션 로그까지 폭넓게 수집해 빅데이터 기반으로 분석한다.

• 사용자·IP·Port·Application 단위 분석과 APT 등 미지 패턴 분석이 가능하다는 설명은 옳다.
• MapReduce·인덱싱 등으로 고성능 분석을 한다는 설명은 옳다.
• 보안시스템·네트워크 장비 로그, 이벤트, 웹로그 등을 수집한다는 설명은 옳다.

㉠은 매월 1일 새벽 1시 1분에 cron.sh를 실행한다.

crontab 필드는 분 시 일 월 요일 순이므로 분=1, 시=1, 일=1이고 월·요일은 모든 값이다.

• 매주 일요일 실행: 요일 필드가 0이어야 한다.
• 매주 월요일 실행: 요일 필드가 1이어야 하는데 이 줄의 요일은 *이다.
• 매일 실행: 일 필드가 *이어야 한다.

설명은 S/MIME이다.

S/MIME은 IETF가 표준화한 MIME 기반 전자우편 보안 기술로, X.509 인증서를 이용해 무결성·부인 방지·암호화·인증을 제공한다.

• PGP: 개인이 개발한 전자우편 보안 프로그램으로 신뢰의 웹 방식을 쓴다.
• PEM: IETF가 앞서 제안했으나 구현이 복잡해 널리 쓰이지 못한 메일 보안 표준이다.
• Mail-Safe: 표준 전자우편 보안 기술로 정의된 것이 아니다.

설명은 MIB(Management Information Base)이다.

MIB는 관리 대상 객체들의 집합이자 트리 구조의 데이터베이스로, 각 개체에 대해 객체 수를 정하고 규칙에 따라 이름을 붙이며 유형을 연결한다.

• SMI: 객체 이름 짓기와 유형 정의의 일반 규칙을 정하는 구성 요소다.
• OID: MIB 트리에서 개별 객체를 식별하는 번호 체계다.
• EGP: 자율 시스템 간 외부 라우팅 프로토콜로 SNMP 구성 요소가 아니다.

설명은 시스템 공격형 웜이다.

윈도우 RPC·SMB 취약점(TCP/135, 445)을 이용해 스스로 전파하고 시스템 폴더에 파일을 설치하며 특정 포트로 외부와 통신하는 웜으로, 블래스터·웰치아·아고봇이 대표적이다.

• 백도어: 인증을 우회하는 숨은 접속 통로로, 자기 복제·전파 기능이 핵심이 아니다.
• 스파이웨어: 사용자 정보를 몰래 수집해 유출하는 프로그램이다.
• 익스플로잇: 취약점을 공격하는 코드 자체로 스스로 전파하지 않는다.