[License] 09. 소프트웨어 개발 보안 구축 [정보처리기사 실기]

# 소프트웨어 개발 보안 설계

소스 코드 등에 존재하는 보안 취약점을 제거하고

보안을 고려하여 기능을 설계 및 구현하는 등 소프트웨어 개발 과정에서

지켜야 할 일련의 보안 활동을 말한다

 

보안 3대 요소

기밀성  (Confidentiality)

인가되지 않은 사용자나 시스템이 서비스에 접근 할 수 없도록 보장하는 특성

 

무결성 (Integrity)

인가되지 않은 사용자나 시스템에 의해 서비스가 변경되지 않도록 보장하는 특성

 

가용성 (Availability)

인가된 사용자나 시스템만 서비스를 지속적으로 사용할 수 있도록 보장하는 특성

 

개발 보안 용어

자산 (Assets)

조직의 데이터 또는 조직의 소유자가 가치를 부여한 대상

 

위협 (Threat)

조직이나 기업의 자산에 악영향을 끼칠 수 있는 사건이나 행위

 

취약점 (Vulnerability)

위협이 발생하기 위한 사전 조건이다

 

위험 (Risk)

위협이 취약점을 이용하여 조직의 자산 손실 피해를 가져올 가능성

 

Dos공격 (Denial of Service)

시스템을 악의적으로 공격해서 해당 시스템의 자원을 부족하게 하여

원래 의도된 용도로 사용하지 못하게 하는 공격이다

 

Dos공격의 종류

SYN 플러딩

SYN 패킷만 보내 점유하여 다른 사용자가 서버를 사용 불가능하게 하는 공격

 

UDP 플러딩

UDP패킷을 만들어 임의의 포트 번호로 전송하여 응답 메시지 (ICMP)를 생성하게 하여

지속해서 자원을 고갈시키는 공격이다

 

스머프 (Smurf) / 스머핑 (Smurfing)

출발지 주소를 공격 대상의 IP로 설정하여 네트워크 전체에게

ICMP Echo 패킷을 직접 브로드캐스팅 하여 마비시키는 공격이다

 

죽음의 핑 (PoD : Ping of Death)

ICMP 패킷(Ping)을 정상적인 크기보다 아주 크게 만들어 전송하면

다수의 IP 단편화가 발생하고 많은 부하를 받게하여

정상적인 서비스를 하지 못하도록 하는 공격기법이다

 

랜드어택 (Land Attack)

출발지 IP와 목적지 IP를 같은 패킷 주소로 만들어 보냄으로써

자기 자신에게 응답을 보내게 하여 시스템의 가용성을 침해하는 기법이다

 

티어드롭 (Tear Drop)

IP패킷의 재조합 과정에서 잘못된 Fragment Offset 정보로 인해

수신시스템이 문제를 발생하도록 만드는 Dos 공격이다

 

봉크 (Bonk) / 보잉크 (Boink)

봉크 : 같은 시퀀스 번호를 계속 보냄

보잉크 : 일정한 간격으로 시퀀스 번호에 빈 공간 생성

 

DDoS (Distributed DoS)

DoS의 또 다른 형태로 여러대의 공격자를 분산 배치하여

동시에 동작하게 함으로써 특정 사이트를 공격하는 기법이다

 

DDoS 공격 구성요소

핸들러 (Handler)

마스터 시스템의 역할을 수행하는 프로그램

 

에이전트 (Agent)

공격 대상에 직접 공격을 가하는 시스템

 

마스터 (Master)

공격자에게서 직접 명령을 받는 시스템

 

공격자 (Attacker)

공격을 주도하는 해커의 컴퓨터

 

데몬 프로그램 (Daemon)

에이전트 시스템의 역할을 수행하는 프로그램

 

DDoS 공격 도구

Trinoo

많은 소스로부터 통합된 UDP Flood 서비스 거부 공격을 유발하는데 사용되는 도구

 

Tribe Flood Network

TFN은 Trinoo와 거의 유사한 분산 도구로 많은 소스에서 하나 혹은 여러개의 목표시스템에

서비스 거부 공격을 수행할 수 있는 도구이다

 

Stacheldraht

분산 서비스 거부 에이전트 역할을 하는 Linux 및 Solaris 시스템용 멀웨어 도구이다

 

DDos 공격 대응 방안

차단 정책 업데이트

좀비 PC IP 확보

보안 솔루션 운영

홈페이지 보안 관리

시스템 패치

 

DRDoS (Distributed Reflection DoS)

공격자는 출발지 IP를 공격대상 IP로 위조하여 다수의 반사 서버로 요청 정보를 전송한다

공격 대상자는 반사 서버로부터 다량의 응답을 받아서 서비스 거부(DoS)가 되는 공격이다

 

애플리케이션 공격기법

HTTP GET 플러딩

과도한 Get 메시지를 이용하여 웹 서버의 과부하를 유발시키는 공격이다

 

Slowloris (Slow HTTP Header DoS)

HTTP GET 메서드를 사용하여 헤더의 최종 끝을 알리는 개행 문자열인

\r \n \r \n 을 전송하지 않고 \r \n 만 전송하여 대상 웹 서버와 연결 상태를

장시간 지속시키고 연결 자원을 모두 소진시키는 서비스 거부 공격이다

 

RUDY (Slow HTTP POST DoS)

요청 헤더의 Content-Length 를 비정상적으로 크게 설정하여 메시지 바디 부분을

매우 소량으로 보내 계속 연결 상태를 유지시키는 공격이다

 

Slow HTTP Read DoS

TCP 윈도 크기와 데이터 처리율을 감소시킨 상태에서

다수 HTTP 패킷을 지속적으로 전송하여 대상 웹 서버의 연결 상태가

장시간 지속 연결자원을 소진시키는 서비스 거부 공격이다

 

Hulk DoS

공격자가 공격대상 웹 사이트 웹 페이지 주소 (URL)를 지속적으로 변경하면서

다량으로 GET 요청을 발생시키는 서비스 거부 공격이다

 

Hash DoS

조작된 많은 수의 파라미터를 POST 방식으로 웹 서버로 전달하여

다수의 해시 충돌을 발생시켜서 자원을 소모시키는 서비스 거부 공격이다

 

네트워크 공격

스니핑 (Sniffing)

공격대상에게 직접 공격을 하지않고 데이터만 몰래 들여다 보는 수동적 공격 기법이다

 

네트워크 스캐너 (Scanner) / 스니퍼 (Sniffer)

네트워크 하드웨어 및 소프트웨어 구성의 취약점 파악을 위해

공격자가 취약점을 담색하는 공격도구이다

 

패스워드 크래킹 (Password Cracking)

사전 크래킹 공격, 무차별 크래킹 공격, 패스워드 하이브리드 공격, 레인보우 테이블 공격 활용

 

사전 크래킹 (Dictionary Cracking)

아이디와 패스워드가 될 가능성이 있는 단어를 파일로 만들어 놓고

이 파일의 단어를 대입하여 크랙하는 공격기법이다

 

무차별 크래킹 (Brute Force Cracking)

패스워드로 사용될 수 있는 영문자, 숫자, 특수문자 등을 무작위로

패스워드 자리에 대입하여 패스워드를 알아내는 공격기법이다

 

패스워드 하이브리드 공격 (Password Hybrid Attack)

사전 공격과 무차별 대입 공격을 결합하여 공격하는 기법이다

 

레인보우 테이블 공격 (Rainbow Table Attack)

패스워드 별로 해시 값을 미리 생성하여 테이블에 모아놓고

크래킹 하고자 하는 해시 값을 테이블에서 검색해서 역으로

패스워드를 찾는 공격기법이다

 

IP 스푸핑

침입자가 인증된 컴퓨팅 시스템인 것처럼 속여서 타깃 시스템의 정보를 빼내기 위해

본인의 패킷 헤더를 인증된 호스트의 IP 주소로 위조하여 타깃에 전송하는 공격기법

 

ARP 스푸핑

특정 호스트의 MAC 주소를 자신의 MAC 주소로 위조한 ARP Reply를 만들어

희생자에게 지속적으로 전송하여 MAC정보를 공격자의 MAC 정보로 변경한다

희생자로부터 특정 호스트로 나가는 패킷을 공격자가 스니핑하는 공격기법

 

ICMP Redirect 공격

3계층에서 스니핑 시스템을 네트워크에 존재하는 또 다른 라우터라고 알림을써

패킷의 흐름을 바꾸는 공격기법이다

 

트로이 목마 (Trojan Horses)

악성 루틴이 숨어 있는 프로그램으로 겉보기에는 정상적인 프로그램으로 보이지만

실행하면 악성 코드를 실행하는 프로그램이다

 

버퍼오버플로우 공격 (Buffer Overflow)

메모리에 할당된 버퍼 크기를 초과하는 양의 데이터를 입력하여

프로세스의 흐름을 변경시켜서 악성 코드를 싱행시키는 공격기법이다

 

스택 버퍼 오버플로우 공격

스택영역에 할당된 버퍼 크기를 초과하는 양의 데이터를 입력하여

복귀 주소를 변경하고 공격자가 원하는 임의의 코드를 실행하는 공격기법이다

 

힙 버퍼 오버플로우 공격

힙 영역에 할당된 버퍼 크기를 초과하는 데이터를 입력하여 메모리의 데이터와

함수 주소 등을 변경 공격자가 원하는 임의의 코드를 실행하는 공격기법이다

 

버퍼 오버플로우 공격 대응 방안

스택가드 (Stackguard)

카나리 (Canary) 라고 불리는 무결성 체크용 값을 복귀 주소와 변수 사이에 삽입해 두고

버퍼 오버플로우 발생시 카나리 값을 체크해 변할 경우 복귀 주소를 호출하지 않는 방식

 

스택쉴드 (Stack Shield)

함수 시작 시 복귀 주소를 Global RET라는 특수 스택에 저장해 두고 함수 종료 시

저장된 값과 스택의 RET 값을 비료해서 다를 경우 오버플로우로 간주하고

프로그램 실행을 중단한다

 

ASLR (Address Space Layout Randomization)

메모리 공격을 방어하기 위해 주소 공간 배치를 난수화 하고

실행 시 마다 메모리 주소를 변경시켜 버퍼 오버플로우를 통해 특정 주소 호출을 차단한다

 

백도어 (Backdoor)

어떤 제품이나 컴퓨터 시스템 암호 시스템 혹은 알고리즘에서 정상적인 인증 절차를 우회하는 기법

 

백도어 탐지기법

프로세스 및 열린 포트 확인

Setuid 파일 검사

백신 및 백도어 탐지 툴 활용

무결성 검사

로그 분석

 

주요 시스템 보안 공격 기법

포맷 스트링 공격 (Format String Attack)

포맷 스트링을 인자로 하는 함수의 취약점을 이용한 공격으로

외부로부터 입력된 값을 검증하지 않고 입출력 함수의 포맷 스트링을 그대로 사용하는 경우

발생하는 취약점 공격기법이다

 

레이스 컨디션 공격 (Race Condition Attack)

둘 이상의 프로세스나 스레드가 공유자원을 동시에 접근할 대 접근 순서에 따라

비정상적인 (원하지 않는) 결과가 발생하는 조건이나 상황을 만드는 공격이다

 

키로거 공격 (Key Logger Attack)

사용자의 키보드 움직임을 탐지해서 저장하고

아이디, 패스워드, 계좌번호, 카드번호 등과 같은

개인의 중요한 정보를 몰래 빼가는 해킹공격이다

 

루트킷 (Rootkit)

불법적인 해킹에 사용되는 기능을 제공하는 프로그램의 모음이다

 

보안 관련 용어

스피어피싱 (Spear Phishing)

특정 대상에게 일반적인 이메일로 위장한 메일을 지속적으로 발송하여

메일의 본문 링크나 첨부된 파일을 클릭하도록 유도하여

사용자의 개인정보를 탈취하는 공격기법이다

 

스미싱 (Smishing)

SMS + 피싱 의 합성어 이다

문자메시지를 이용해 신뢰할 수 있는 사람 또는 기업 인척 속여서

개인 정보나 휴대폰 소액결제를 유도하는 피싱공격이다

 

큐싱 (Qshing)

큐알 코드 + 피싱 의 합성어 이다

스마트폰을 이용하여 금융업무를 처리하는 사용자에게 인증 이 필요한 것 처럼 속여

QR코드를 통해 악성 앱을 내려받도록 유도해 금융 정보를 빼내는 피싱공격이다

 

봇넷 (Botnet)

악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는

다수의 컴퓨터들이 네트워크로 연결된 형태

 

APT 공격 (Advanced Persistent Threat)

특정 타깃을 목표로 하여 다양한 수단을 통한 지속적이고 지능적인 맞춤형 공격기법

 

공급망 공격 (Supply Chain Attack)

배포 서버에 접근하여 악의적인 파일로 변경하는 방식을 통해

사용자 PC에 소프트웨어를 설치 또는 업데이트 시에

자동적으로 감염되도록 하는 공격기법

 

제로데이 공격 (Zero Day Attack)

보안 취약점이 발견되어 널리 공표되기 전에

해당 취약점을 악용하여 이루어지는 보안 공격기법

 

웜 (Worm)

스스로를 복제하여 네트워크 등의 연결을 통하여 전파하는 악성 소프트웨어 컴퓨터 프로그램

 

악성 봇 (Malicious Bot)

스스로 실행되지 못하고 해커의 명령에 의해 원격에서 제어 또는 실행이 가능한 프로그램 혹은 코드

 

사이버 킬체인 (Cyber Kill Chain)

록히드 마틴, 지능적, 지속적 사이버 공격에 대해 7단계 프로세스별 공격 분석 및 대응을

체계화한 APT공격방어분석모델이다

 

랜섬웨어 (Ransomware)

파일들을 암호화하여 복호화 할 수 없도로 하고

암호화된 파일을 인질처럼 잡고 몸값을 요구하는 악성 소프트웨어이다

 

이블 트윈 공격 (Evil Twin Attack)

무선 Wifi 피싱 기법으로 공격자는 합법적인 Wifi 제공자 처럼 행세하며

노트북이나 휴대폰에 핫스팟에 연결한 무선 사용자들의 정보를 탈취하는 무선 네트워크 공격기법

 

난독화 (Obfuscation)

코드의 가독성을 낮춰 역공학에 대한 대비를 하기 위해서 프로그램 코드의 일부 또는 전체를 변경하는 기법

 

Tripwire

크래커가 침입하여 시스템에 백도어를 만들어 놓거나 설정 파일을 변경해 놓을 때

이러한 사실을 알 수 있게 분석하는 도구

 

Ping

인터넷으로 접속하려는 원격 호스트가 정상적으로 운영되고 있는지를

확인하는 진단 목적으로 사용하는 명령어

 

Tcpdump

네트워크 인터페이스를 거치는 패킷의 내용을 출력해주는 프로그램이다

 

서버인증

다중 사용자 시스템과 망 운영 시스템에서

접속자의 로그인 정보를 확인하는 보안 절차이다

 

인증 기술의 유형

지식기반 인증

사용자가 기억하고 있는 지식

ex) 아이디, 패스워드

 

소지기반 인증

소지하고 있는 사용자 물품

ex) 공인인증서, OTP

 

생체기반 인증

고유한 사용자의 생체 정보

ex) 홍채, 정맥, 얼굴, 지문

 

특징기반 인증

사용자의 특징을 활용

ex) 서명, 발걸음, 몸짓

 

서버 접근 통제

사람 또는 프로세스가 서버 내 파일에 읽기, 쓰기, 실행 등의 접근 여부를

허가하거나 거부하는 기능이다

 

접근 통제 용어

주체 (Subject)

객체나 객체 내의 데이터에 대한 접근을 요청하는 능동적인 개체 (행위자)

 

객체 (Object)

접근 대상이 수동적인 개체 혹은 행위가 일어나는 아이템 (제공자)

 

접근 (Access)

읽고 , 만들고, 삭제하거나 수정하는 등의 행위를 하는 주체의 활동

 

접근 통제 기법

식별 (Identification)

자신이 누구라고 시스템에 밝히는 행위

객체에게 주체가 자신의 정보를 제공하는 활동

 

인증 (Authentication)

주체의 신원을 검증하기 위한 활동

주체의 신원을 객체가 인정해 주는 행위

 

인가 (Authorization)

인증된 주체에게 접근을 허용하는 활동

특정 업무를 수행할 권리를 부여하는 행위

 

책임 추적성 (Accountability)

주체의 접근을 추적하고 행동을 기록하는 활동

식별, 인증, 인가, 감사 개념을 기반으로 수립

 

서버 접근 통제 유형

임의적 접근통제 (DAC : Discretionary Access Control)

시스템에 대한 접근을 사용자/그룹의 신분 기반으로 제한하는 방법

 

강제적 접근 통제 (MAC : Mandatory Access Control)

시스템 정보의 허용등급을 기준으로 사용자가 갖는 접근 허가 권한에

근거하여 시스템에 대한 접근을 제한하는 방법

 

역할기반 접근 통제 (RBAC : Role Based Access Control)

조직 내 맡은 역할에 기초하여 자원에 대한 접근을 제한하는 방법

 

접근 통제 보호 모델

벨-라파듈라 모델 (BLP : Bell-Lapadula Policy)

미 국방부 지원 보안 모델로 보안 요소중 기밀성을 강조하며

강제적 정책에의해 접근 통제하는 모델이다

 

벨-라파듈라 모델 속성

No Read Up

보안 수준이 낮은 주체는 보안 수준이 높은 객체를 읽어서는안된다

 

No Write Down

보안 수준이 높은 주체는 보안 수준이 낮은 객체에 기록하면 안된다

 

비바 모델

벨-라파듈라 모델의 단점을 보완한 무결성을 보장하는 최초의 모델이다

 

비바 모델 속성

No Read Down

높은 등급의 주체는 낮은 등급의 객체를 읽을 수 없다

 

No Write Up

낮은 등급의 주체는 상위 등급의 객체를 수정 할 수 없다

 

암호 알고리즘 (Encryption Algorithm)

데이터의 무결성 및 기밀성 확보를 위해 정보를 쉽게 해독할 수 없는 형태로 변환하는 기법이다

 

대칭 키 암호 방식

암호화와 복호화에 같은 암호키를 쓰는 알고리즘

 

스트림 (Stream) 암호

매우 긴 주기의 난수열을 발생시켜 평문과 더불어 암호문을 생성하는 방식

ex) RC4

 

블록 (Block) 암호

긴 평문을 암호화 하기위해 고정 길이의 블록을 암호화 하는 블록 암호 알고리즘을 반복하는 방법

ex) DES, AES, SEED

 

비대칭 키 암호 방식

사전에 개인 키를 나눠 가지지 않은 사용자들이 안전하게 통신하는 방식

공개키로 암호화된 메시지는 반드시 비밀키로 복호화 해야한다

공개키와 비밀키가 존재하며 공개키는 누구나 알 수 있지만 비밀 키는 키의 소유자만 알 수 있다

공개키는 보안 타협 없이 공개적으로 배포가 가능하다

ex) RSA, ECC, Elgamal, 디피-헬만

 

일방향 암호 방식 (해시 암호 방식)

임의 길이의 정보를 입력받아 고정된 길이의 암호문 (해시값) 을 출력하는 암호 방식이다

암호화는 가능하고 복호화는 불가능하다

 

MAC

키를 사용하는 메시지 인증코드로 메시지의 무결성과 송신자의 인증 보장

 

MDC

키를 사용하지 않는 변경 감지 코드로 메시지의 무결성 보장

 

대칭 키 암호화 알고리즘

DES (Data Encryption)

미국의 연방 표준국 (NIST)에서 발표한 블록 암호화 알고리즘이다

블록크기는 64bit, 키 길이는 56bit인 페이스텔 구조

 

SEED

국내 한국인터넷진흥원 (KISA)이 개발한 블록 암호화 알고리즘

블록 크기는 128bit, 키 길이에 따라 128bit, 256bit로 분류

 

AES (Advanced Encryption Standard)

미국 표준 기술 연구소 (NIST) 에서 발표한 블록 암호화 알고리즘이다

블록 크기는 128bit, 키 길이의 따라 128bit, 192bit, 256bit로 분류

 

ARIA (Academy Research Institute Agency)

국가정보원과 산학연구협회가 개발한 블록 암호화 알고리즘

학계 (Academy), 연구기관 (Research Institute) , 정부(Agency) 의 영문 앞글자로 구성

블록크기 128bit, 키 길이의 따라 128bit, 192bit, 256bit로 분류

 

IDEA (International Data Encrption Algorithm)

DES를 대체하기 위해 스위스 연방기술 기관에서 개발한 블록 암호화 알고리즘

128bit의 키를 사용하여 64bit의 평문을 8라운드에 거쳐 64bit의 암호문을 만든다

 

LFSR (Linear Feedback Shift Register)

선형 되먹임 시프트 레지스터는 시프트 레지스터의 일종으로

레지스터에 입력되는 값이 이전 상태 값들의 선형 함수로 계산되는 구조로 되어 있는

스트림 암호화 알고리즘이다

 

비대칭 키 암호화 알고리즘

디피-헬만 (Diffie-Hellman)

최초의 공개키 알고리즘으로 유한 필드 내에서 이산대수의 계산이 어려운 문제를 기본원리로 하고 있다

 

RSA (Rivest- Shamir- Adleman)

3명의 MIT 수학교수가 고안한 큰 인수의 곱을 소인수 분해하는

수학적 알고리즘 이용하는 공개키 암호화 알고리즘

 

ECC (Elliptic Curve Cryptography)

타원 곡선 군에서의 이산대수의 문제에 기초한 공개키 암호화 알고리즘

 

ElGamal

이산대수의 계산이 어려운 문제를 기본 원리로 하고 있으며

RSA와 유사하게 전자서명과 데이터 암호화,복호화에 함께 사용가능하다

 

해시 암호화 알고리즘

MD5 (Message-Digest algorithm 5)

MD4를 개선한 암호화 알고리즘으로 프로그램이나 파일의 무결성 검사에 사용한다

 

SHA-1 (Secure Hash Algorithm)

NSA에서 미 정부 표준으로 지정되었고 DSA에서 사용한다

 

SHA-256/384/ 512 (Secure Hash Algorithm)

SHA 알고리즘의 한 종류로서 256bit의 해시값을 생성하는 해시 함수

 

HAS-160

국내 표준 서명 알고리즘 KCDSA를 위하여 개발된 해시함수

MD5와 SHA1의 장점을 취하여 개발된 해시 알고리즘

 

IPSec (Internet Protocol Security)

IP계층 (3계층) 에서 무결성과 인증을 보장하는 인증 헤더 (AH)와

기밀성을 보장하는 암호화 (ESP)를 이용한 IP 보안 프로토콜이다

 

전송 모드 (Transport Mode)

IP 상위 프로토콜 데이터를 보호하는 모드

 

터널 모드 (Tunnel Mode)

IP 패킷 전체를 보호하는 모드

 

인증 (AH) 프로토콜 (Authentication Header)

메시지 인증 코드 (MAC)를 이용하여 인증과 송신처 인증을 제공하는

프로토콜로 기밀성 (암호화)은 제공하지 않는 프로토콜

무결성과 인증을 제공한다

 

암호화 (ESP) 프로토콜 (Encapsulation Security Payload)

메시지 인증 코드 (MAC)와 암호화를 이용하여 인증과 송신처 인증과

기밀성을 제공하는 프로토콜

기밀성, 무결성, 인증을 제공한다

 

키 관리 (IKE) 프로토콜 (Internet Key Exchange)

Key를 주고받는 알고리즘

공개된 네트워크를 통하여 Key를 어떻게 할 것인가를 정의 한다

IKE 교환을 위한 메시지를 전달하는 프로토콜

 

SSL (Secure Socket Layer) / TLS (Transport) Layer Security)

전송계층 (4계층)과 응용계층 (7계층) 사이에서 클라이언트와 서버 간의 웹데이터

암호화 (기밀성), 상호 인증 및 전송 시 데이터 무결성을 보장하는 보안 프로토콜이다

 

S-HTTP (Secure Hypertext Transfer Protocol)

웹상에서 네트워크 트래픽을 암호화 하는 주요 방법중 하나로

클라이언트와 서버 간에 전송되는 모든 메시지를 각각 암호화 하여 전송하는 기술이다

S-HTTP에서 메시지 보호는 HTTP를 사용한 애플리케이션에 대해서만 가능하다

 

Secure SDLC 모델 및 방법론

BSIMM (Building Security In Maturity Model)

미국 국토안보국의 지원을 받아 수행된 소프트웨어 보증 프로젝트의 결과물 중 하나

보안 활동의 성숙도 수준을 영역별로 측정함으로써 소프트웨어 개발에 필요한

보안 능력 향상을 목표로 하는 개발 프레임워크

 

Open SAMM (Software Assurance Maturity Model)

OWASP에서 개발한 개발형 보완 프레임워크

개방을 원칙으로 소규모, 중규모, 대규모로 점진적인 확대가 가능한

융통성 있는 프레임워크

 

SevenTouchPoints

실무적으로 검증된 개발 보안 방법론 중 하나로써

SW 보안의 모범 사례를 SDLC에 통합한 소프트웨어 개발 보안 생명주기 방법론

 

MS SDL (Security Development Lifecycle)

마이크로소프트사가 2004년 이후 자사의 소프트웨어 개발에 의무적으로

적용하도록 고안한 보안강화 프레임 워크이다

 

OWASP CLASP

개념 관점, 역활기반 관점, 활동평가 관점, 활동구현 관점, 취약선 관점 등의

활동중심, 역할기반의 프로세스로 구성된 보안 프레임 워크로

이미 운영중인 시스템에 적용하기 쉬운 보안 개발방법론

 

시큐어 코딩 가이드

설계 및 구현단계에서 해킹 등의 공격을 유발할 가능성이 있는 잠재적인 보안 취약점을 사전에 제거하고

외부 공격으로 부터 안전한 소프트웨어를 개발하는 기법이다

 

입력데이터 검증 및 표현

보안 기능

시간 및 상태

에러처리

코드오류

캡슐화

API 오용

 

입력 데이터 검증 및 표현

입력 데이터로 인해 발생하는 문제드을 예방하기 위해

구현 단계에서 검증해야 하는 보안 점검 항목들이다

 

입력 데이터 검증 및 표현 취약점

XSS (Cross Site Script)

검증되지 않은 외부 입력 데이터가 포함된 웹페이지가 정송되는 경우

사용자가 해당 웹페이지를 열람함으로써 부적절한 스크립트가 실행되는 공격

 

Stored XSS

사용자가 악성 스크립트가 포함된 페이지를 읽어 봄과 동시에

악성 스크립트가 브라우저에서 실행되면서 감염되는 기법

 

Reflected XSS

공격용 악성 URL을 생성한 후 이메일로 사용자에게 전송하면

사용자가 URL클릭시 즉시 공격 스크립트가 피해자로 반사되어

접속 사이트에 민감 정보를 공격자에게 전공하는 기법

 

DOM (Document Object Model XSS)

공격자는 DOM 기반 XSS 취약점이 있는 브라우저를 대상으로

조작된 URL을 이메일을 통해 발송하고 피해자가 URL 클릭시 공격 당하는 기법

 

사이트 간 요청 위조 (CSRF : Cross-Site Request Forgery)

사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를

특정 웹사이트에 요청하게 하는 공격

 

SQL 삽입 (SQL Injecttion)

악의적인 SQL 구문을 삽입, 실행시켜서 데이터 베이스의 접근을 통해

정보를 탈취하거나 조작 등읜 행위를 하는 공격 기법

 

Form SQL Injection

HTML Form 기반 인증을 담당하는 애플리케이션의 취약점이 있는경우

사용자 인증을 위한 쿼리문의 조건을 임의로 조작하여 인증을 우회하는 기법

 

Union SQL Injection

쿼리의 UNION 연산자를 이용하여 한 쿼리의 결과를 다른 쿼리의 결과에 결합하여 공격하는 기법

 

Stored Procedure SQL Injection

저장 프로시저를 이용하여 공격하는 기법

 

Mass SQL Injection

기존 SQL Injection의 확장된 개념으로 한 번의 공격으로 대량의 DB 값이 변조되어

홈페이지에 치명적인 영향을 미치는 공격기법

 

Error-Based SQL Injection

DB쿼리에 대한 에러값을 기반으로 한 단계씩 점진적으로 DB정보를 획득할 수 있는 공격 기법

 

Blind SQL Injection

오류 메시지가 아닌 쿼리 결과의 참과 거짓을 통해 의도하지 않은

SQL문을 실행함으로써 데이터베이스를 비정상적으로 공격하는 기법

 

보안 기능

소프트웨어 개발 단계에서 인증, 겁근제어, 기밀성, 암호화, 권한 관리 등을

적절하게 구현하기 위한 보안 점검 항목들이다

 

에러 처리

에러를 예외 처리하지 못하거나 에러 정보에 중요한 정보가 포함될 때

발생할 수 있는 취약점을 예방하기 위한 보안 점검 항목들이다

 

세션 통제

다른 세션 간 데이터 공유 등 세션과 관련되어 발생할 수 있는

취약점을 예방하기 위한 보안 점검 항목들

 

코드 오류

소프트웨어 구현 단계에서 프로그램 변환 시 오류, 서버의 리소스 자원의

부적절한 반환 등 개발자가 흔하게 실수하는 프로그램 오류를 예방하기 위한 보안 점검 항목들

 

널 포인트 역참조

일반적으로 그 객체가 Null이 될 수 없다 라고 하는 가정을 위반했을때 발생

 

정수를 문자로 변환

정수를 문자로 변환하면서 표현할 수없는 범위의 값이 잘려나가 문자에 대한

저장 값이 올바르지 않은 보안 취약점

 

부적절한 자원 해제

오류로 인해 종료된 자원을 반환하지 못했을 때 발생할 수 있는 보안 취약점

 

초기화되지 않은 변수 사용

변수 선언 후 값이 부여되지 않은 변수를 사용할 때 발생 할 수 있는 보안 취약점

 

캡슐화

외부에 은닉이 필요한 중요한 데이터와 필요한 기능성을 불충분하게 캡슐화 했을 때

인가되지 않은 사용자에게 데이터 유출, 권한 문제 등이 발생할 수 있는 보안 취약점

예방을 위한 보안 검증 항목들이다

 

API 오용

서비스에서 제공되는 이용에 반하는 방법으로 API를 이용하거나 보안에 취약한 API를

오용하여 발생할 수 있는 보안 취약점 예방을 위한 보안 검증 항목들이다

 

유닉스 / 리눅스 주요 로그 파일

wtmp(x)

사용자 로그인 / 로그아웃 정보

 

utmp(x)

현재 시스템에 로그인한 사용자 정보

 

btmp(x)

로그인에 실패한 정보

 

lastlog

사용자별 최근 로그인 시간 및 접근한 소스 호스트에 대한 정보

 

sulog

su (Switch user) 명령어 실행 성공 / 실패 결과에 대한 정보

 

acct / pacct

사용자별로 실행되는 모든 명령어에 대한 로그

 

xferlog

FTP 서비스 데이터 전송 기록 로그

 

messages

운영에 대한 전반적인 메시지를 저장

 

secure

보안과 관련된 주요 로그를 기록, 사용자 인증과 관련된 로그를 기록

 

네트워크 보안 솔루션

네트워크 보안 장비는 접근 통제, 침입차단 및 탐지, DDoS탐지 등을 수행하는

일체형 장비들이 포함된다

 

방화벽 (Firewall)

기업 내부, 외부 간 트래픽을 모니터링 하여 시스템의 접근을 허용하거나 차단하는 시스템

 

웹 방화벽 (WAF : Web Application Firewall)

일반적인 네트워크 방화벽과는 달리 웹 애플리케이션 보안에 특화된 보안장비

 

네트워크 접근 제어 (NAC : Network Access Control)

단말기가 내부 네트워크에 접속을 시도할 때 이를 제어하고 통제하는 기능을 제공하는 솔루션

 

침입 탐지 시스템 (IDS : Intrsion Detection System)

네트워크에서 발생하는 이벤트를 모니터링하고 비인가 사용자에 의한

자원접근과 보안정책 위반 행위 (침입)을 실시간으로 탐지하는 시스템

 

침입 방지 시스템 (IPS : Intrusion Prevention System)

네트워크에 대한 공격이나 침입을 실시간적으로 차단하고

유해트래픽에 대한 조치를 능동적으로 처리하는 시스템

 

무선 침입 방지 시스템 (WIPS : Wireless Intrusion Prevention System)

인가되지 않은 무선 단말기의 접속을 자동으로 탐지 및 차단하고

보안에 취약한 무선 공유기를 탐지하는 시스템

 

통합 보안 시스템 (UTM : Unified Threat Management)

다양한 보안 장비의 기능을 하나의 장비로 통합하여 제공하는 시스템

 

가상사설망 (VPN : Virtual Private Network)

마치 전용망을 사용하는 효과를 가지는 보안 솔루션

 

시스템 보안 솔루션

스팸 차단 솔루션 (Anti-Spam Solution)

메일 서버 앞단에 위치하여 프록시 메일 서버로 동작

 

보안 운영체제 (Secure OS)

컴퓨터 운영체제의 커널에 보안 기능을 추가한 솔루션

 

콘텐츠 유출방지 보안 솔루션

기업 / 기관 내 정보 유출 방지를 위한 솔루션으로 보안 USB, DRM, DLP등이 있다

 

보안 USB

정보 유출 방지 등의 보안 기능을 갖춘 USB 메모리

 

데이터 유출 방지 (DLP : Data Loss Prevention)

조직 내부의 중요 자료가 외부로 빠져나가는 것을 탐지하고 차단하는 솔루션

 

디지털 저작권 관리 (DRM : Digital Right Management)

MP3, E-Book 과 같은 디지털 저작물에 대한 보호와 관리를 위한 솔루션

 

취약점 분석

자산이 가지고 있는 보안상의 결점 또는 취약한 속성을 파악하여 위험을 낮추는 활동이다

 

환경 및 시설

문, 창문 등 물리적 보호 결여, 불안정한 전원 설비, 재해를 입기 쉬운 입지 조건

 

하드웨어

온 / 습도 변화, 기억매체의 유지보수 부족

 

소프트웨어

명세서의 미준비, 부적절한 패스워드, 백업부족

 

소프트웨어 개발 보안 테스트

소프트웨어 요구사항이 반영되어 있음을 보증하고

취약점을 발견하고 개선하여 안전한 소프트웨어를 개발하기 위한 활동

 

정적 분석

SW를 실행하지 않고 보안 약점을 분석, SW개발 단계에서 주로 사용

 

동적 분석

SW 실행환경에서 보안 약점 분석, SW 시험 단계에서 주로 사용

 

소프트웨어 개발 보안테스트 절차

준비 -> 실행 -> 개선 -> 관리 -> 종료

 

비즈니스 연속성 계획 (BCP : Business Continuity Plan)

각종 재해, 장애, 재난으로부터 위기 관리를 기반으로

재해복구, 업무복구 및 재개, 비상계획 등을 통해 비즈니스 연속성을 보장하는 체계이다

비즈니스 연속성 계획을 위한 비즈니스 영향 평가 (BIA)가 선행되어야 한다

 

비즈니스 연속성 계획 관련 주요 용어

BIA (Business Impact Analysis)

손신을 볼 것을 가정하여 시간 흐름에 따른 영향도 및 손실 평가를 조사하는

BCP를 구축하기 위한 비즈니스 영향분석

 

RTO (Recovery Time Objective)

업무중단 시점부터 데이터가 복구되어 다시 가동될 때까지의 시간

재해 시 복구 목표 시간의 선정

 

RPO (Recovery Point Objective)

업무중단 시점부터 데이터가 복구되어 다시 정상 사동될 때 데이터의 손실 허용 시점

재해 시 복구 목표 지점의 선정

 

DRP (Disaster Recovery Plan)

재난으로 장기간 걸쳐 시설의 운영이 불가능한 경우를 대비한 재난 복구 계획

 

DRS (Disaster Recovery System)

평상시에 확보하여 두는 인적, 물적 자원 및 이들에 대한 지속적인 관리체계가

통합된 재해복구센터

 

DRS의 유형

Mirror Site

주 센터와 데이터복구센터 모두 운영 상태로 실시간 동시 서비스가 가능한 재해복구센터

재해 발생 시 복구까지의 소요 시간은 즉시 (이론적으로 0)

 

Hot Site

주 센터와 동일한 수준의 자원을 대기 상태로 원격지에 보유하면서

동기, 비동기 방식의 미러링을 통하여 데이터의 최신 상태를 유지하고 있는 재해복구센터

재해 발생 시 복구까지의 소요 시간은 4시간이내

 

Warm Site

Hot Site와 유사하나 재해복구 센터에 주 센터와 동일한 수주의 자원을 보유하는 대신

중요성이 높은 자원만 부분적으로 재해복구센터에 보유하고 있는 센터

재해 발생 시 복구까지의 소요 시간은 수일 ~ 수주

 

Cold Site

데이터만 원격지에 보관하고 재해 시 데이터를 근간으로 필요 자원을 조달하여 복구 할 수 있는 재해복구센터

재해 발생 시 복구까지의 소요 시간은 수주 ~ 수개월

 

보안 공격 관련 중요 용어

부 채널 공격 (Side Channel Attack)

전력소비, 전자기파 방사 등의 물리적 특성을 측정하여

암호 키 등 내부 비밀 정보를 부 채널에서 획득하는 공격기법

 

드라이브 바이 다운로드 (Drive By Download)

악의적인 해커가 불특정 웹 서버와 웹 페이지에 악성 스크립트를 설치하고

불특정 사용자 접속 시 사용자 동의 없이 실행되어 의도된 서버로 연결하여 감염시키는 공격 기법

 

워터링홀 (Watering Hole)

특정인이 잘 방문하는 웹 사이트에 악성코드를 심거나

악성코드를 배포하는 URL로 자동으로 유인하여 감염시키는 공격기법

 

스캠공격 (SCAM)

기업 이메일 계정 도용하여 무역 거래 대금 가로채는 사이버 범죄

 

하트 블리드 (Heart Bleed)

OpenSSL 암호화 라이브러리의 하트비트라는 확장 모듈에서

클라이언트 요청 메시지를 처리할 때 데이터 길이에 대한 검증을 수행하지 않는

취약점을 이용하여 시스템 메모리에 저장된 64kb 크기의 데이터를 외부에서

아무런 제한 없이 탈취할 수있도록 하는 취약점

 

크라임웨어 (Crimware)

중요한 금융정보 또는 인증정보를 탈취하거나 유출을 유도하여

금전적인 이익 등의 범죄행위를 목적으로 하는 악성코드

온라인상에서 불법 활동을 조장하기 위해 만들어진 컴퓨터 프로그램들

 

프로토콜 취약점 (IoT-SSDP : Simple Service Discovery Protocol)

단순 서비스 검색 프로토콜 (SSDP)의 특성을 활용하여

IoT Device를 좀비 PC로 이용한 분산 서비스 거부 공격

 

윈드토커 (WindTalker)

와이파이 / 핫스팟 연결 디바이스의 터치스크린, 키보드 타이핑 등을

스니핑하여 해킹하는 기술

 

토르 네트워크 (Tor Network)

네트워크 경로를 알 수 없도록 암호화 기법을 사용하여 데이터를 전송하며

익명으로 인터넷을 사용할 수 있는 가상의 네트워크

 

멜트다운 (Meltdown)

인텔 x86 아키텍처에서 CPU 파이프라인의 비순차 명령 실행시 발생하는

버그를 악용해서 커널 사용자 영역의 우회를 통해 시스템 메모리에 접근하여

내용을 확인할 수 있는 취약점

 

스펙터 (Spectre)

실패한 분기 예측으로 인해 메모리 데이터가 관찰될 수 있는 취약점을 이용하여

사용자 프로그램이 다른 사용자 프로그램의 메모리 영역을 훔쳐보고 정보를 탈취할 수 있는 취약점

 

MITM 공격 (Man in the Middle)

통신을 연결하는 두 사람 사이 중간에 침입하여 두 사람의 정보를 탈취하는 중간자 공격

 

DNS 스푸핑 공격

공격 대상에게 전달되는 DNS 응답을 조작하거나 DNS 서버의 캐시 정보를 조작하여

희생자가 의도하지 않은 주소로 접속하게 만드는 공격기법

 

포트 스캐닝 (Port Scanning)

공격자가 침입 전 대상 호스트에 어떤 포트가 활성화되어 있는지

확인하는 기법으로 침입 전 취약점을 분석하기 위한 사전 작업

 

디렉토리 리스팅 취약점

공격자가 강제 브라우징을 통해서 서버내의 모든 디렉토리 및 파일 목록을 볼 수 있는 취약점

 

리버스 쉘 공격

타깃 서버가 클라이언트 (공격자)로 접속해서 클라이언트가 타깃 서버의 쉘을 획득해서 공격하는 기법

 

익스플로잇 (Exploit)

취약점을 이용하여 공격자가 의도한 동작이나 명령을 실행하도록 하는 코드 또는 그러한 행위

 

스턱스넷 공격 (Stuxnet)

독일 지멘스사의 SCADA시스템을 공격 목표로 제작된 악성코드

주요 산업 기반 시설의 제어 시스템에 침투해서 오작동을 일으키는 악성코드 공격기법

 

크리덴셜 스터핑 (Credential Stuffing)

사용자 계정을 탈취해서 공격하는 유형중 하나로

다른 곳에서 유출된 아이디와 비밀번호 등의 로그인 정보를

다른 웹 사이트나 앱에 무작위로 대입해서 로그인이 이루어지면 정보를 유출시키는 기법

 

보안 공격 대응 관련 중요 용어

허니팟 (Honeypot)

비정상적인 접근을 탐지하기 위해 의도적으로 설치해 둔 시스템으로

일부러 허술하게 만들어서 해커에게 노출하는 유인시스템

 

OWASP Top 10

10가지 취약점에 대한 대응 방안을 제공하는 웹 보안 기술 가이드

 

핑거프린팅 (Finger Printing)

사용자 정보를 삽입하여 콘텐츠 불법 배포자에 대한 위치 추적이 가능한 기술

 

워터마킹 (Water Marking)

디지털 콘텐츠에 저작권자 정보를 삽입하여 불법 복제시 워터마크를 추출

원소유자를 증명할 수 있는 콘텐츠 보호 기술

 

이상금융거래탐지시스템 (FDS : Fraud Detection System)

전자금융거래에 사용되는 단말기 정보, 접속정보, 거래정보 등을 종합적으로 분석하여

의심 거래를 탐지하고 이상 거래를 차단하는 시스템

 

CPTED (Crime Prevent Through Environment Design)

범죄 예방 환경 설계, 여러 학문 간 연계를 통해 점죄 기회를 제거하거나 최소화하는 방향으로 계획,

변경함으로써 범죄 및 불안감을 저감시키는 도시 설계 전략

 

CC (Common Criteria)

정보기술의 보안 기능과 보증에 대한 평가 기준, 정보보호 시스템의 보안 기능 요구사항과

보증 요구사항 평가를 위해 공통으로 제공되는 국제 평가 기준

 

사이버 위협정보 분석 공유시스템 (C-TAS : Cyber Threats Analysis System)

사이버 위협정보를 체계적 수립해서 인터넷 진흥원(KISA)주관으로 관계 기관과

자동화된 정보공유를 할 수 있는 침해 예방 대응 시스템

 

정착형 인증 모듈 (PAM : Pluggable Authentication Module)

리눅스 시스템 내에서 사용되는 각종 애플리케이션 인증을 위해 제공되는 다양한 인증용 라이브러리

 

CVE (Common Vulnerabilities and Exposures)

미국 비 영리회사인 MITRE 사에서 공개적으로 알려진 소프트웨어의 보안 취약점을 표준화한 식별자 목록

 

CWE (Common Weakness Enumeration)

미국 비 영리회사인 MITRE 사가 중심이 되어

소프트웨어에서 공통적으로 발생하는 약점을 체계적으로 분류하는 목록

소스코드 취약점을 정의한 데이터베이스

 

CVSS (Common Vulnerabilities Scoring System)

공통 취약점 등급 시스템으로

취약점 위험도를 계산할 수 있는 개방형 프레임워크