[7급 국가직 정보보호론] 26년 1회차 기출문제 정답·해설 페이지

ARP 스푸핑은 공격자의 MAC 주소를 대상의 MAC 주소인 것처럼 속여 패킷을 가로채는 공격이다.
ARP는 IP 주소를 MAC 주소로 변환하는 프로토콜이며, 공격자는 위조한 ARP 응답으로 피해 단말의 ARP 캐시에 "게이트웨이(서버) IP = 공격자 MAC" 대응을 심어 같은 LAN의 프레임이 자신에게 오게 만든다.
IP 주소: ARP가 변환하는 대상일 뿐, 이 공격에서 위조로 바꿔치기하는 값은 MAC 주소이다(IP 자체를 속이는 것은 IP 스푸핑).
Port 주소: 전송 계층의 서비스 식별자로 ARP와 무관하다.
email 주소: 응용 계층 식별자로 ARP와 무관하다.

이산대수 문제 기반으로 암호화와 전자서명을 모두 지원하고 암호문이 평문의 2배가 되는 방식은 ElGamal이다.
ElGamal은 디피-헬만 키 교환을 확장한 공개키 암호로, 암호문이 두 개의 값 쌍으로 구성되어 암호문 길이가 평문의 2배로 늘어나는 것이 대표적 단점이다.
RSA: 소인수분해 문제의 어려움에 기반하며 DH의 확장형이 아니다.
LEA: 국산 경량 블록암호(대칭키)로 이산대수와 무관하다.
KCDSA: 이산대수 기반 국산 전자서명 전용 방식으로 암·복호화 기능은 제공하지 않는다.

정보보호 컴플라이언스는 기술적 조치만이 아니라 관리적·물리적·인적 요소까지 포함하므로, 인적·제도적 요소를 제외한다는 설명이 옳지 않다.
컴플라이언스는 법률·규정·내부 정책 준수를 위한 조직 전반의 활동으로, 정책·교육·책임 체계 같은 제도적 통제가 핵심 구성요소이다.
정보보호 관련 법률과 규정을 준수하는 활동이라는 설명은 컴플라이언스의 기본 정의이다.
법규 위반 위험을 줄여 비즈니스 연속성과 투명성을 높이는 활동의 일환이라는 설명은 옳다.
외부 규제뿐 아니라 내부 통제 기능도 대상으로 한다는 설명은 옳다.

고정형 영상정보처리기기는 설치 목적 외로 임의 조작하거나 다른 곳을 비출 수 없고 녹음기능도 사용할 수 없으므로, 녹음기능은 사용할 수 있다는 설명이 옳지 않다.
「개인정보 보호법」은 영상정보처리기기운영자에게 목적 외 조작·다른 곳 비춤과 함께 녹음기능 사용을 금지하고 있다.
교통단속을 위해 정당한 권한을 가진 경우는 공개된 장소에 설치·운영이 허용되는 사유이다.
목욕실·화장실·발한실·탈의실 등 사생활 침해 우려 장소의 내부를 볼 수 있도록 설치하는 것은 금지되며, 교정시설 등 대통령령으로 정하는 시설만 예외이다.
운영·관리 방침을 마련해야 하되, 개인정보 처리방침에 그 사항을 포함한 경우에는 별도 방침을 마련하지 않을 수 있다.

해시 함수는 결정적 함수이므로 같은 입력에는 항상 같은 해시값이 생성된다.
해시 함수는 임의 길이 입력을 고정 길이 출력으로 압축하며, 출력에서 입력을 찾기 어려운 일방향성과 충돌 저항성을 갖는다.
해시값에서 원래 입력을 쉽게 복원할 수 있다는 설명은 일방향성(역상 저항성)에 어긋난다.
메시지와 해시값을 함께 보내면 공격자가 메시지를 바꾸고 해시값도 다시 계산해 바꿀 수 있으므로, 키가 없는 해시만으로는 무결성이 보호되지 않는다(MAC·전자서명 필요).
입력마다 다른 길이의 결과를 만든다는 설명은 틀리며, 해시값의 길이는 알고리즘별로 고정된다.

IT 인프라 전반의 로그·이벤트를 실시간 수집·상관분석해 위협을 탐지하는 통합 보안 솔루션은 SIEM(Security Information and Event Management)이다.
SIEM은 방화벽·IDS·서버 등 이기종 장비의 로그를 한곳에 모아 상관관계 분석으로 이상 징후를 찾아낸다.
NAC: 단말이 내부망에 접속할 때 보안 정책 준수 여부를 확인해 접속을 통제한다.
DLP: 내부 중요 정보의 외부 유출을 탐지·차단한다.
VPN: 공중망 위에 암호화된 가상 사설 통신 터널을 구성한다.

Worm과 Trojan Horse만 모두 악성코드에 해당한다.
웜은 스스로 복제·전파하는 악성 프로그램이고, 트로이 목마는 정상 프로그램으로 위장해 악성 기능을 숨긴 프로그램이다.
IDS와 APT: IDS는 침입탐지 보안 시스템이고, APT는 지능형 지속 위협이라는 공격 형태로 악성코드 종류가 아니다.
SET과 IPsec: 각각 안전한 전자상거래 결제 프로토콜과 IP 계층 보안 프로토콜이다.
DDoS와 IP 스푸핑: 서비스 거부 공격과 주소 위조 공격으로 공격 기법이지 악성코드 종류가 아니다.

사용자(소유자)의 실행 권한을 제거하려면 chmod u-x를 써야 하므로, o-x로 적은 형식이 옳지 않다.
chmod 기호 모드에서 u는 소유자, g는 그룹, o는 타인, a는 전체를 뜻하며 +는 권한 추가, -는 권한 제거이다. o-x는 타인의 실행 권한을 제거한다.
그룹에 쓰기 권한 부여: g+w로 옳다.
사용자·그룹·타인 모두의 실행 권한 제거: a-x로 옳다.
타인에게 읽기·쓰기 권한 부여: o+rw로 타인 대상(o)에 r과 w를 추가하는 형식이다.

비인가자에 의한 변경·삭제·생성으로부터 정보를 보호해 정확성·완전성을 보장하는 원칙은 무결성이다.
무결성(Integrity)은 정보가 인가된 방법으로만 변경되도록 보장하는 요구사항이다.
기밀성: 인가되지 않은 자에게 정보가 노출되지 않도록 하는 원칙이다.
인증성: 사용자나 메시지 출처가 진짜임을 확인하는 성질이다.
가용성: 인가된 사용자가 필요할 때 정보와 서비스를 이용할 수 있도록 하는 원칙이다.

책임 추적성을 보장하는 주요 수단은 감사 로그이다.
책임 추적성은 시스템에서 일어난 행위를 특정 주체까지 추적할 수 있는 성질로, 누가 언제 무엇을 했는지 기록하는 감사 로그가 그 근거가 된다.
암호화: 기밀성을 보장하는 수단이다.
백업 및 복구: 가용성을 보장하는 수단이다.
침입 방지 시스템: 공격 트래픽을 탐지·차단하는 예방 수단으로 행위자 추적이 목적이 아니다.

SSL은 네트워크 계층이 아니라 전송 계층(TCP)과 응용 계층 사이에서 동작하므로, 네트워크 계층 프로토콜이라는 설명이 옳지 않다.
SSL(현재의 TLS)은 TCP 위에서 응용 데이터를 암호화하는 프로토콜이며, 네트워크(IP) 계층에서 동작하는 보안 프로토콜은 IPsec이다.
암호화된 웹 서핑을 가능하게 한다는 설명은 HTTPS의 기반이므로 옳다.
서버 인증, 클라이언트 인증, 암호화 세션 기능을 제공한다는 설명은 옳다.
SSL을 지원하는 웹 사이트 URL이 https://로 시작한다는 설명은 옳다.

파일 확장자 검증은 파일 업로드 취약점의 대응책이므로, 인젝션 공격의 대응 방안으로 제시한 것이 옳지 않다.
인젝션 공격은 입력값 검증, 특수문자 필터링, 매개변수화된 쿼리(Prepared Statement) 사용 등으로 대응한다.
업로드 취약점: 확장자뿐 아니라 파일 시그니처를 분석해 파일 형식을 확인하고 접근을 제어하는 것은 적절한 대응이다.
XSS: 브라우저 업데이트로 악성 스크립트 실행을 막고 사용자 입력의 유효성을 검사하는 것은 적절한 대응이다.
CSRF: 요청마다 위조 방지 토큰을 넣어 정상 요청인지 검증하는 것은 대표적 대응이다.

3-Way Handshaking은 TCP의 연결 절차이므로, 비연결형인 UDP 스캐닝이 이를 악용한다는 설명이 옳지 않다.
UDP 스캔은 UDP 패킷을 보낸 뒤 닫힌 포트가 돌려주는 ICMP Port Unreachable 응답 여부로 포트 상태를 판단한다.
포트 스캔 응답의 특성을 분석해 대상 시스템의 운영체제를 추정할 수 있다.
특정 패킷을 보내 서비스 포트의 열림·닫힘을 확인하는 것이 포트 스캔의 기본 목적이다.
TCP Scan, UDP Scan, FIN Scan, XMAS Scan 등은 대표적인 스캐닝 기법이다.

OECD 개인정보보호 8원칙에 있는 것은 공개의 원칙(Openness Principle)이므로, 비공개의 원칙은 해당하지 않는다.
OECD 8원칙은 수집 제한, 정보 정확성, 목적 명확화, 이용 제한, 안전성 확보, 공개, 개인 참가, 책임의 원칙으로 구성된다.
책임의 원칙: 개인정보 관리자가 원칙 준수에 책임을 진다는 원칙으로 8원칙에 포함된다.
이용 제한의 원칙: 명확화된 목적 외 이용·공개를 제한하는 원칙으로 8원칙에 포함된다.
정보 정확성의 원칙: 이용 목적에 필요한 범위에서 정확·완전·최신성을 유지하는 원칙으로 8원칙에 포함된다.

단말 접속 통제는 NAC, 외부 침입 차단은 방화벽, 실시간 탐지 후 자동 차단은 IPS이다.
NAC는 단말이 내부망에 접속할 때 인증·보안 상태를 점검해 접속을 제어하고, 방화벽은 경계에서 접근 규칙에 따라 유입 트래픽을 막으며, IPS는 탐지에 그치지 않고 비정상 패킷을 차단한다.
IPS·DRM·방화벽: 단말의 내부망 접속 제어는 IPS가 아니라 NAC의 역할이고, DRM은 디지털 콘텐츠 사용 권한을 통제하는 기술로 외부 침입 차단과 무관하다.
NAC·IPS·IDS: IDS는 침입을 탐지·경보할 뿐 자동 차단 기능이 없어 (다)에 맞지 않는다.
DRM·IDS·NAC: DRM은 단말 접속 제어, IDS는 외부 유입 침입 차단, NAC는 실시간 탐지·차단에 해당하지 않는다.

출발지와 목적지 IP를 모두 공격 대상 IP로 위조해 스스로 응답하게 만드는 공격은 Land 공격이다.
Land 공격은 대상 시스템이 자기 자신에게 응답을 반복하게 하여 자원을 고갈시키는 서비스 거부 공격이다.
Teardrop 공격: IP 단편의 오프셋을 겹치게 조작해 재조합 과정에서 오류를 유발한다.
Smurf 공격: 출발지를 피해자로 위조한 ICMP Echo 요청을 브로드캐스트로 보내 응답이 피해자에게 몰리게 한다.
Ping of Death 공격: 허용 크기를 넘는 ICMP 패킷을 보내 단편화·재조합 과정에서 시스템을 마비시킨다.

DES는 대칭키 블록암호이므로, 공개키 암호의 대표 알고리즘이라는 설명이 옳지 않다.
공개키 암호의 대표 알고리즘은 RSA, ElGamal, ECC 등이다.
공개키 암호는 역방향 계산이 어렵지만 비밀 정보(트랩도어)가 있으면 쉬운 트랩도어 단방향 함수에 기반한다.
대칭키 암호는 공개키 암호보다 연산이 단순해 암·복호화 속도가 빠르다.
공개키 암호는 개인키로 서명하고 공개키로 검증하는 방식으로 전자서명에 사용된다.

「전자금융거래법」에 따른 금융회사는 정보보호 공시 의무 대상에서 제외되므로, 공시의무자에 포함된다는 설명이 옳지 않다.
정보보호 공시 의무 대상에서는 공공기관, 소기업, 금융회사(「전자금융거래법」상) 등이 제외된다. 금융회사는 별도 금융 보안 규제를 받기 때문이다.
정보기술부문 투자 대비 정보보호부문 투자 현황은 공시 내용에 포함된다.
공공기관은 정보보호공시의무자에서 제외된다.
공시는 공시 주체의 정보보호 최고책임자가 주관하여 한다.

신분을 증명하고 지문·홍채·정맥 같은 생체정보로 확인하는 과정은 Authentication(인증)이다.
접근제어는 식별 → 인증 → 인가 순으로 진행되며, 인증은 주장한 신원이 사실인지 지식·소유·생체 요소로 검증하는 단계이다.
Identification: 사용자가 ID 등으로 자신이 누구인지 밝히는 단계로, 증명 과정은 아니다.
Authorization: 인증된 주체에게 자원 접근 권한을 부여하는 단계이다.
One-Time Password: 인증에 쓰이는 수단(일회용 비밀번호)일 뿐, 접근제어 과정의 명칭이 아니다.

AES는 다에먼과 레이먼이 제안한 Rijndael을 기반으로 미국 NIST가 제정한 표준 블록암호이다.
나머지 설명은 개발 주체나 동작 방식을 바꿔 놓은 함정이며, 블록·키·라운드 크기가 모두 가변인 알고리즘은 리베스트의 RC5이다.
SEED: 한국인터넷진흥원(KISA) 주도로 개발된 국내 표준 블록암호로, NIST 표준이 아니다.
ARIA: 국가보안기술연구소 주도로 개발된 국내 표준 블록암호로, 스트림 암호가 아니다.
IDEA: 라이(Lai)와 매시(Massey)가 개발한 블록암호로 블록·키 크기가 고정되어 있다.

국가정보원장이 중앙행정기관의 사이버보안 조직·인력·예산·교육과 자체 진단·점검 등을 평가하는 제도는 사이버보안 실태평가이다.
사이버보안 실태평가는 공공기관의 사이버보안 관리 수준을 점검해 취약점을 개선하도록 하는 국가정보원의 평가 제도이다.
개인정보 보호수준 평가: 개인정보 보호위원회가 공공기관의 개인정보 보호 수준을 평가하는 제도이다.
보안적합성 검증: 국가·공공기관에 도입되는 정보보호제품의 안전성을 국가정보원이 검증하는 절차로, 기관 전반의 업무를 평가하는 제도가 아니다.
개인정보 침해요인 평가: 개인정보 처리를 수반하는 법령의 제·개정 시 침해 요인을 분석·평가하는 제도이다.

CC 평가보증등급에서 ‘정형화된 설계 검증 및 시험’ 단계는 최고 등급인 EAL7이다.
EAL은 숫자가 클수록 보증 수준이 높으며, 상위 등급은 준정형화 → 정형화 순으로 설계 검증의 엄밀성이 높아진다.
EAL4: 방법론적 설계, 시험 및 검토 단계이다.
EAL5: 준정형화된 설계 및 시험 단계이다.
EAL6: 준정형화된 설계 검증 및 시험 단계이다.

네트워크 경계를 신뢰의 전제로 삼지 않고 모든 접근을 지속 검증하며 최소 권한만 주는 방식은 제로 트러스트 보안 모델이다.
제로 트러스트는 "절대 신뢰하지 말고 항상 검증하라"를 원칙으로, 내부망 위치와 관계없이 사용자·기기·세션을 계속 확인한다.
다중 인증: 여러 인증 요소를 조합하는 인증 수단으로, 제로 트러스트를 구현하는 요소 기술일 뿐 보안 방식 전체가 아니다.
CHAP: 챌린지-응답으로 PPP 연결의 상대를 인증하는 프로토콜이다.
임의적 접근 통제: 객체 소유자가 재량으로 접근 권한을 부여하는 접근통제 모델이다.

RC5는 리베스트가 개발한 블록암호로 KCMVP 검증대상 암호알고리즘에 포함되지 않는다.
KCMVP는 국가·공공기관에서 사용하는 암호모듈의 안전성을 검증하는 제도로, 정해진 검증대상 알고리즘을 구현한 모듈만 검증을 받을 수 있다.
ARIA: 국내 표준 블록암호로 검증대상에 포함된다.
AES: 검증대상 블록암호에 포함된다.
LEA: 국산 경량 블록암호로 검증대상에 포함된다.

클라우드컴퓨팅서비스 보안인증 기준은 국가정보원장이 아니라 과학기술정보통신부장관이 정하여 고시하므로, 이 설명이 옳지 않다.
보안인증은 과학기술정보통신부장관이 정한 기준에 따라 지정된 인증기관이 수행한다.
한국인터넷진흥원은 보안인증을 수행하는 기관의 하나이다.
보안인증의 유효기간은 5년이다.
보안인증의 유효기간은 신청에 따라 연장할 수 있다.