SECTION 01 정보보호관리의 개념
정보보호란
-정보의 수집, 가공, 저장, 검색, 송신 ,수신 등에 발생하는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단
-정보의 가용성과 안정성(보안성)의 균형을 찾는 것이 중요함.
-정보의 활용은 정보의 가용성을 극대화시키는 것이고, 정보의 통제는 위협요소를 극소화시키는 것이다.
정보보호의 목표
1.기밀성(비밀성, Confidentiality)
-오직 인가된 사람, 프로세스, 시스템 만이 알 필요성에 근거해 시스템에 접근 가능해야한다.
-정보는 소유자가 원하는 대로 정보의 비밀이 유지되어야 하고, 소유자의 인가를 받은 사람만이 접근 가능, 인가되지 않은 정보의 공개는 반드시 금지되어야 한다.
-기밀성을 보장하는 보안기술에는 접근제어, 암호화 등이 있다.
(정보수정이나 훼손이 아닌 말 그대로 정보눈팅(?) or 스누핑을 방지해야 한다는 말인 듯 하다.)
2.무결성(Integrity)
-정보는 정해진 절차에 따라, 주어진 권한에 의해서만 변경되어야 한다.
-무결성을 보장하기 위한 보안 기술에는 접근제어, 메시지 인증 등이 있다.
(정보수정,훼손이 되면 안된다를 의미하는듯 하다.)
3.가용성(Availability)
-정보시스템은 적절한 방법으로 작동되어야 하며, 정당한 권한이 주어진 사용자에게는 정보서비스를 거부하여서는 안된다.
-사용자가 적시에 정보를 사용할 수 없다면 그 정보는 소유의 의미를 잃게 되거나 정보자체의 가치를 상실한다.
-가용성을 확보하기 위해서는 데이터의 백업, 중복성의 유지, 물리적 위협으로부터의 보호 등이 있다.
(Ddos공격으로 패킷이 가득차면 원하는 시간에 정보에 접근 못하는 것을 떠올리면 될 듯 하다.)
4.인증성(Authentication)
-진짜라는 성질 확인 가능, 확인 및 신뢰할 수 있다는 것을 의미한다.
-전송 메시지, 메시지 출처 유효성에 대한 확신이다.
-사용자가 정말 그 사용자인지와 시스템에 도착한 자료가 정말 신뢰할 수 있는 출처에서부터 온 거싱ㄴ지를 확인할 수 있는지를 의미한다.
(중간자 공격을 생각해보면 될 듯 하다.)
5.책임 추적성(책임성, Accountability)
-보안목적에는 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항이 포함되어야 한다.(부인방지)
-진정으로 안전한 시스템을 만든다는 것은 불가능하기 때문에, 보안 침해에 대한 책임이 있는 곳까지 추적할 수 있어야 한다.
(메시지의 송수신이나 교환 후 그 사실을 사후에 증명해야 하기도 하고, 어디서 보안 문제가 발생했는지를 추적가능 해야 한다를 의미하는 듯 하다.)
정보보호 관리와 보호대책
1. 기술적 보호대책(접근통제, 암호기술, 백업 체제) - 보안성이 강화된 시스템 소프트웨어를 사용
2. 물리적 보호대책(화재, 수해, 지진, 태풍) - 출입통제, 잠금 장치, 자연재해 대책등 말 그대로 물리적 보호대책
3. 관리적 보호대책(법, 제도, 규정, 교육)
OSI 보안 구조
-보안 공격: 정보의 안전성을 침해하는 제반 행위.
-보안 메커니즘: 보안 공격을 탐지, 예방하거나 공격으로 인한 침해를 복구하는 절차.
-보안 서비스: 보안 공격에 대응하기 위한 것으로, 하나 또는 그 이상의 보안 메커니즘을 사용하여 서비스를 제공.
보안의 세가지 목표는 보안 공격에 의해 위협받을 수 있다.
1.기밀성을 위협하는 공격
- 스누핑(Snooping) : 데이터에 대한 비인가 접근 또는 탈취를 의미함. 방지하기 위해 암호화 기법을 사용함으로써 도청자가 데이터를 이해할 수 없게 할 수 있다.
- 트래픽 분석(Traffic Analysis) : 데이터를 암호화하여 스누핑을 방지한다고 하여도, 도청자는 트래픽을 분석하여 다른 형태의 정보를 얻을 수 있다. 예를 들어, 도청자는 전자 주소를 알아내, 전송의 성향을 추측하는데 도움이 되는 질의와 응답의 쌍을 수집할 수 있다.
2.무결성을 위협하는 공격
- 변경(Modification): 적법한 메시지의 일부를 불법으로 수정하거나 메시지 전송을 지연, 순서를 뒤바꾸어 인가되지 않은 효과를 노리는 행위
- 가장(Masquerading): 한 개체가 다른 개체의 행세를 하는 것이다. 다른 형태의 적극적 공격과 병행해서 수행됨. 예를 들어공격자가 이메일, 메시지, 또는 웹사이트를 통해 사용자에게 가짜 로그인 페이지를 제공하여 사용자의 인증 정보를 훔치는 피싱 공격이 예시로 들 수 있다.
- 재연(재전송, Replaying): 획득한 데이터 단위를 보관하고 있다가 재전송함으로써 인가되지 않은 사항에 접근하는 효과를 노리는 행위를 말한다. 예를 들어 Replay 공격에서 공격자는 유효한 사용자의 토큰을 가로채어 나중에 동일한 토큰을 재전송함으로써 인증을 우회하거나 무단으로 접근할 수 있는 인증우회가 예가 될 수 있다.
-부인(Repudiation): 메시지의 송신자는 차후에 자신이 메시지를 보냈다는 것을 부인할 수 있고, 메시지의 수신자는 차후에 메시지를 받았다는 것을 부인할 수 있다. 그래서 부인방지가 필요하다.
3.가용성을 위협하는 공격
-서비스 거부(Denial of Service): 시스템의 서비스를 느리게 하거나 완전히 차단하는 공격으로 예를 들어 DDoS공격이 예가 될 수 있다.
4.소극적 공격과 적극적 공격
-소극적 공격: 정보를 획득하거나 사용하려는 시도이나 데이터를 변경하거나 시스템에 해를 끼치지 않는 공격으로 기밀성을 위협하는 공격이다. 예를 들어 스누핑, 트래픽 분석이 있을 수 있고, 탐지가 힘들어 탐지보다 예방에 더 신경을 써야 한다.
-적극적 공격: 데이터를 바꾸거나 시스템에 해를 입힐 수 있고 무결성과 가용성을 위협하는 공격이다. 소극적 공격 수행을 통해 수집된 정보를 바탕으로 수행되는 경우가 대부분이고, 일반적으로 방어하기보다 탐지하는 것이 더 쉽다.
기본 보안용어 정의
1.자산(Asset): 조직이 보호해야 할 대상
2.취약점(취약성, Vulnerability): 컴퓨터나 네트워크에 침입하여 환경 내의 리소스에 대한 허가되지 않은 접근을 시도하려는 공격자에게 열린 문을 제공할 수 있는 소프트웨어, 하드웨어, 절차 혹은 인력상의 약점이다. 즉 위협의 이용대상이다.
3.위협(Threat): 손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합
-가로채기(interception): 비인가된 당사자가 자산으로의 접근을 획득하는 것을 의미(불법 복사, 도청) -> 기밀성에 영향
-가로막음(interruption): 시스템 자산이 손실되거나, 사용 불가하게됨(파일 삭제, 서비스 거부, 하드웨어 장치 파괴) -> 가용성에 영향
-변조(modification): 비인가된 당사자가 접근하여 그 내용을 변경함(데이터베이스 특정값 변경, 특정 프로그램 변경)-> 무결성에 영향
-위조(fabrication): 비인가된 당사자가 컴퓨팅 시스템상에 불법 객체의 위조 정보를 생성(가짜 거래 정보 만듦 등)-> 무결성, 인증에 영향
(변조와 위조의 차이는 변조는 그 자체를 바꾸는 것이고, 위조는 원본인 것 처럼 보이기 위해 바꾸는 것으로 해석하였음.)
-자연에 의한 위협은 자연재해나 화재를 의미하고, 인간에 의한 위협중 비의도적 위협은 인간의 실수와 태만(패스워드 공유, 데이터 백업의 부재 등), 의도적 위협은 컴퓨터 바이러스, 해커, 사이버 테러 등이 있을 수 있다.
4.위험(Risk): 위협 주체가 취약점을 활용할 수 있는 가능성과 그와 관련된 비즈니스 영향을 가리킴.
5.노출(Exposure): 위협 주체로 인해서 손실이 발생할 수 있는 경우를 말한다.
6.대책(countermeasure/safeguard): 잠재적 위험을 완화시키기 위해 배치되는 것으로 취약점을 제거하거나 위협 주체가 취약점을 이용할 수 있는 가능성을 감소시키기 위한 소프트웨어 설정, 하드웨어 장비, 또는 절차이다.
하나의 스토리라인을 따라가 보자면
만약 기업이 백신 소프트웨어를 서버에 설치하고 최신으로 유지하지 않는다면 이것은 취약점이고, 해당 기업은 바이러스로부터 취약한 것이다. 위협은 해당 환경에서 발생하여 생산성을 방해하는 바이러스이고, 바이러스가 해당 환경에서 발생하여 손해를 유발할 수 있는 가능성은 위험이다. 만약 바이러스가 실제로 기업의 환경에 침입한다면 취약점을 이용한 것이고, 기업은 손실에 노출된다. 이 상황에 대한 대책으로 바이러스 패턴 정보를 최신으로 갱신하여 백신 소프트웨어를 모든 컴퓨터에 설치하는게 있을 수 있다.
7.다계층 보안(Defense in Depth): 여러 계층의 보안대책이나 대응수단을 구성하는 것으로 다계층 보안이므로 한 가지 통제가 대응에 실패하더라도 전체 시스템을 위험에 빠뜨리지 않는다.
8.사회공학(Social Engineering): 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 꺠트리기 위한 침입 수단.
9. 통제(Control)
-예방통제(Preventive Control): 사전에 위협과 취약점에 대처하는 통제
-탐지통제(Detective Control): 위협을 탐지하는 통제로, 빠르게 탐지할수록 대처하기에 용이하다.
-교정통제(Corrective Control): 이미 탐지된 위협이나 취약점에 대처하거나, 위협이나 취약점을 감소시키는 통제이다.
'정보보안기사' 카테고리의 다른 글
| 정보 보안기사 실기 (시스템 해킹) (0) | 2024.04.04 |
|---|