[9급 국가직 정보시스템보안] 18년 1회차 기출문제 정답·해설 페이지

쿠키에 담긴 세션 정보를 훔쳐 사용자의 세션을 탈취하는 데 쓰이는 것은 크로스 사이트 스크립팅이다.
이 공격은 사용자 입력이 그대로 출력되는 지점에 악성 자바스크립트를 심어 두고, 다른 사용자의 브라우저에서 그 스크립트가 실행되게 하여 세션 쿠키를 공격자에게 전송시킨다.
출발지 주소를 위조해 신뢰 관계를 악용하는 기법은 쿠키 자체를 탈취하지는 않는다.
메모리의 버퍼 경계를 넘겨 코드 실행을 노리는 기법은 세션 쿠키 탈취와 직접 관련이 없다.
서비스를 마비시키는 기법은 가용성을 떨어뜨릴 뿐 세션 정보를 훔치지 않는다.

데이터 정의어(DDL)에 속하지 않는 것은 데이터를 조회하는 SELECT 문이다.
DDL은 테이블·인덱스 같은 데이터베이스 객체의 구조를 생성·변경·삭제하는 명령으로 CREATE·ALTER·DROP이 여기에 속하고, SELECT는 저장된 데이터를 검색하는 데이터 조작어 계열에 해당한다.
데이터베이스의 속성을 바꾸는 명령은 구조를 변경하므로 정의어에 속한다.
인덱스를 제거하는 명령은 객체를 삭제하므로 정의어에 속한다.
테이블을 만드는 명령은 객체를 생성하므로 정의어에 속한다.

공개된(오픈소스) 웹 방화벽에 해당하는 것은 WebKnight와 ModSecurity이다.
WebKnight는 공개된 웹 애플리케이션 방화벽이고, ModSecurity는 아파치 등에서 널리 쓰이는 대표적인 오픈소스 웹 애플리케이션 방화벽이다.
Snort는 네트워크 침입 탐지·차단 시스템이지 웹 방화벽이 아니다.
Nmap은 포트 스캔·네트워크 탐색 도구로 웹 방화벽이 아니다.

OSI 7계층 중 응용 계층과 관련된 공격은 도메인 이름 질의를 노리는 DNS 스푸핑이다.
DNS는 응용 계층 서비스이므로, 가짜 응답으로 도메인과 주소의 대응을 위조하는 공격은 응용 계층에서 이루어진다.
과도한 크기의 ICMP 패킷을 보내는 공격은 네트워크 계층을 노린다.
연결 요청을 대량으로 보내 자원을 고갈시키는 공격은 전송 계층에 해당한다.
물리 주소 대응을 위조하는 공격은 데이터 링크 계층에서 일어난다.

방화벽의 인바운드는 막혀 있지만 아웃바운드는 열려 있는 허점을 이용하는 공격은 리버스 텔넷이다.
공격자는 침해한 웹 서버가 바깥의 공격자 쪽으로 먼저 연결을 맺게 하여, 인바운드를 차단하는 방화벽을 우회해 원격 셸을 획득한다.
자격 검증 과정을 건너뛰는 인증 우회는 아웃바운드 허점을 역이용하는 기법과 다르다.
전송 중 패킷을 바꾸는 패킷 변조는 연결 방향을 역이용하는 것과 무관하다.
출발지와 목적지를 같게 만들어 시스템을 교란하는 기법은 이 설명과 맞지 않는다.

빈칸에는 순서대로 기본 부팅 관련 설정사항 로드, MBR 로드, 부트로더 실행이 들어간다.
POST로 하드웨어를 점검한 BIOS는 먼저 CMOS에 저장된 기본 부팅 관련 설정사항(부팅 장치 순서 등)을 읽어 부팅할 장치를 정한다. 이어서 그 장치의 첫 섹터인 MBR을 메모리에 로드하고, MBR에 담긴 부트로더(GRUB 등)가 실행되어 커널을 올린 뒤 실행 레벨에 따른 서비스가 시작된다.
부트로더 실행을 맨 앞에 둔 배열: 부트로더는 MBR이 로드된 뒤에야 실행될 수 있으므로 순서가 맞지 않는다.
MBR 로드를 맨 앞에 둔 배열: 어느 장치의 MBR을 읽을지는 기본 부팅 설정을 먼저 읽어야 정해지므로 설정 로드가 MBR 로드보다 앞선다.
부트로더 실행 뒤에 MBR 로드를 둔 배열: MBR 안에 있는 부트로더가 MBR 로드보다 먼저 실행될 수 없다.

옳지 않은 진술은 setgid가 설정되어 있다는 것으로, 이 파일에 설정된 특수권한은 setuid뿐이다.
권한 문자열 -r-Sr-xr-x 를 세 자리씩 나누면 소유자 r-S, 그룹 r-x, 기타 r-x 이다. 소유자 실행 자리의 S는 setuid가 설정되었음을 뜻하고(대문자는 소유자 실행 비트가 꺼진 상태 표기), 그룹 실행 자리는 평범한 x 이므로 setgid(그룹 자리의 s/S)는 없다.
모든 사용자 실행권한: 그룹·기타에 x 가 있고, 소유자는 root 이므로 실행 비트가 하나라도 있는 파일은 실행할 수 있어 옳은 진술이다.
소유자의 읽기·실행: 소유자 자리에 r 이 있고, 소유자 root 는 위와 같은 이유로 실행도 가능하므로 옳은 진술이다.
일반 사용자가 root 권한 획득: setuid가 설정된 root 소유 파일이므로 실행하는 동안 실행자의 유효 사용자(EUID)가 root 가 되어 옳은 진술이다.

옳지 않은 설명은 백그라운드 프로세스가 화면에 결과를 출력할 수 없다고 한 것이다.
백그라운드 프로세스도 표준 출력이 터미널에 연결되어 있으면 작업 결과가 화면에 그대로 섞여 나타나며, 출력을 감추려면 리다이렉션으로 따로 처리해야 한다.
포그라운드 프로세스가 키보드 입력을 받아 화면에 결과를 내보낸다는 설명은 옳다.
명령 끝에 &를 붙여 백그라운드로 실행한다는 설명은 옳다.
포그라운드로 실행 중이면 그 명령이 끝날 때까지 다른 명령을 실행하기 어렵다는 설명은 옳다.

마지막 라운드를 제외한 각 AES 라운드는 바이트 치환 → 행 이동 → 열 섞기 → 라운드 키 더하기 순서로 수행된다.
바이트 단위 치환으로 비선형성을 주고 행을 순환 이동한 뒤 열을 섞어 확산시키고 마지막에 라운드 키와 XOR 한다. 암호화 시작 전 초기 라운드 키 더하기가 한 번 선행하며, 마지막 라운드에서는 열 섞기가 빠진다.
라운드 키 더하기로 시작해 바이트 치환·행 이동·열 섞기로 이어지는 배열은 키 더하기가 라운드 끝이 아닌 맨 앞에 와 있어 틀리다.
라운드 키 더하기로 시작하고 열 섞기를 행 이동보다 앞에 둔 배열은 시작 단계와 행 이동·열 섞기 순서가 모두 틀리다.
바이트 치환 뒤 열 섞기를 행 이동보다 먼저 둔 배열은 행 이동이 열 섞기보다 앞서야 하므로 틀리다.

스택 프레임에서 ㉠에는 반환 주소, ㉡에는 저장된 프레임 포인터, ㉢에는 function 함수의 반환 주소가 들어간다.
높은 주소 쪽에는 상위 함수의 복귀 주소(㉠)와 그 아래에 저장된 이전 프레임 포인터(㉡)가 놓이고, 최초의 ebp는 이 저장된 프레임 포인터 자리를 가리키며 그 아래로 지역변수 정수 c가 위치한다.
function 호출 시 인자 정수 2와 정수 1을 스택에 넣은 뒤 call 명령이 복귀 주소를 쌓으므로, 인자들 바로 아래 가장 낮은 주소(㉢)에 function 함수의 반환 주소가 저장된다.

VPN 터널링에 쓰이는 프로토콜이 아닌 것은 뉴스 기사 전송용 프로토콜인 NNTP이다.
NNTP는 유즈넷 뉴스를 주고받는 응용 프로토콜로 VPN 터널 수립과 무관하다.
IP 계층에서 기밀성·무결성을 제공하는 프로토콜은 VPN의 대표적 터널링 수단이다.
2계층 터널링 프로토콜은 VPN 터널 구성에 사용된다.
지점 간 터널링 프로토콜도 VPN 터널링에 쓰인다.

옳지 않은 것은 네트워크 연결 상태·라우팅 테이블·인터페이스 통계를 출력하는 기능을 fping의 설명으로 제시한 부분이다.
그 기능은 netstat에 해당하며, fping은 여러 호스트에 동시에 ICMP 요청을 보내 생존 여부를 빠르게 확인하는 도구다.
인터페이스의 IP 주소를 설정하는 도구에 대한 설명은 옳다.
목적지까지 거치는 라우터 경로와 응답 속도를 보여 주는 도구에 대한 설명은 옳다.
패킷을 수집·필터링해 트래픽을 분석하는 도구에 대한 설명은 옳다.

UDP 포트 69를 쓰고 인증 절차 없이 파일을 주고받도록 만든 프로토콜은 TFTP이다.
TFTP는 간이 파일 전송 프로토콜로, 신뢰성 제어를 단순화해 UDP 위에서 동작하며 로그인·인증을 요구하지 않는다.
하이퍼텍스트 문서를 주고받는 프로토콜은 파일 전용 전송 용도가 아니다.
일반 파일 전송 프로토콜은 TCP를 쓰고 사용자 인증을 거친다.
XML 기반 메시지 교환 규약은 파일 전송 전용 프로토콜이 아니다.

옳지 않은 것은 디스플레이·프린터 정보를 저장한다고 한 HKEY_USERS 설명이다.
HKEY_USERS는 시스템에 로드된 모든 사용자 프로필의 설정을 담는 루트 키이고, 현재 하드웨어 프로필의 디스플레이·프린터 설정은 HKEY_CURRENT_CONFIG가 보관한다.
파일 확장자와 프로그램 연결 정보를 담는 루트 키 설명은 옳다.
설치된 하드웨어·소프트웨어와 드라이버 설정을 담는 루트 키 설명은 옳다.

괄호에 들어갈 용어는 참조 모니터이다.
참조 모니터는 보안 커널의 핵심 요소로, 주체가 객체에 접근할 때마다 접근 권한을 검사·중재하며 감사·식별·인증 등 다른 보안 메커니즘과 연동한다.
신뢰 컴퓨팅 기반은 보안을 책임지는 하드웨어·소프트웨어 전체 집합을 가리키는 더 넓은 개념이다.
로컬 프로시저 호출 관리자는 프로세스 간 통신을 담당하는 요소로 접근 권한 중재 기능과 다르다.
커널의 핵심부를 뜻하는 일반 용어는 접근 통제를 중재하는 이 개념을 특정하지 못한다.

SSL 핸드셰이크는 보안 능력 수립 → 서버 인증·키 교환 → 클라이언트 인증·키 교환 → 암호 사양 변경 순으로 진행된다.
먼저 프로토콜 버전·세션 ID·암호 조합·난수를 교환해 보안 능력을 합의하고, 이어 서버가 인증서와 키 교환 정보를 보내며 클라이언트 인증서를 요청한다.
그다음 클라이언트가 자신의 인증서와 키 교환 정보를 보내고, 마지막으로 암호 조합(사양)을 변경하며 핸드셰이크를 마친다.

옳지 않은 것은 원격 서버에서 POP3·IMAP으로 메시지를 가져온다고 한 MSA 설명이다.
MSA는 메시지 제출 에이전트로 사용자 에이전트가 보낸 메일을 받아 전송 에이전트로 넘기는 구성요소이며, POP3·IMAP으로 수신함에서 메시지를 꺼내 오는 일은 메시지 접근(수신) 에이전트의 역할이다.
사용자와 응용프로그램을 대신해 동작하는 사용자 에이전트 설명은 옳다.
메시지 처리 시스템에서 저장소로 메일을 전달하는 전달 에이전트 설명은 옳다.
목적지의 전달 에이전트에 닿을 때까지 메시지를 중계하는 전송 에이전트 설명은 옳다.

옳지 않은 짝은 위조 요청으로 과부하를 거는 위협에 대한 대응수단으로 포트 스캔을 제시한 것이다.
포트 스캔은 열린 포트를 조사하는 정보 수집 행위일 뿐, 서비스 거부성 과부하를 막는 대응책이 되지 못한다.
데이터 변조 위협에 암호학적 체크섬으로 무결성을 확인하는 대응은 적절하다.
네트워크 도청 위협에 암호화로 기밀성을 지키는 대응은 적절하다.
정당한 사용자로 위장하는 위협에 암호학적 인증 기술로 막는 대응은 적절하다.

괄호에 공통으로 들어갈 용어는 동적 링크 라이브러리(DLL)이다.
DLL 코드는 이를 적재한 호스트 프로세스의 권한으로 실행되고, DLL 인젝션은 다른 프로세스의 주소 공간에 DLL을 강제로 로드시켜 그 안에서 코드를 실행하는 기법이다.
보안 식별자는 사용자·그룹을 식별하는 값으로 프로세스에 주입해 실행하는 모듈이 아니다.
일차 도메인 컨트롤러는 도메인 인증을 담당하는 서버로 이 설명과 무관하다.
네트워크 파일 시스템은 원격 파일 공유 방식으로 코드 주입 기법과 다르다.

매주 금요일 18시 50분에 스크립트를 실행하려면 50 18 * * 5 /usr/adm/backuplog.sh로 등록해야 한다.
crontab 필드는 분, 시, 일, 월, 요일 순서이므로 분 자리에 50, 시 자리에 18, 일·월 자리에는 매번을 뜻하는 별표, 요일 자리에 금요일을 뜻하는 5를 넣고 마지막에 실행할 명령(스크립트 경로)을 적는다.
맨 앞에 별표를 두고 -exec 구문을 붙인 형태는 필드 위치가 하나씩 밀려 있고, crontab에는 -exec 문법이 없다.
분·시·요일 값은 맞지만 -exec 구문으로 스크립트를 감싼 형태는 crontab 명령 자리에 쓸 수 없는 문법이다.
5 * * 18 50으로 쓴 형태는 필드 순서를 거꾸로 적어 월 자리에 18, 요일 자리에 50이 들어가 성립하지 않는다.