정보처리기사 실기 정리 - 소프트웨어 개발 보안 구축

<단답식>

 

자산 : 조직의 데이터 또는 조직의 소유자가 가치를 부여한 대상

 

위협 : 조직이나 기업의 자산에 악영향을 끼칠 수 있는 사건이나 행위

 

취약점 : 위협이 발생하기 위한 사전 조건으로 시스템의 정보 보증을 낮추는 데 사용되는 약점

 

위험 : 위협이 취약점을 이용하여 조직의 자산 손실 피해를 가져올 가능성

 

SYN 플러딩 : 서버의 동시 가용 사용자 수를 SYN 패킷만 보내 점유하여 다른 사용자가 서버를 사용 불가능하게 하는 공격 

 

UDP 플러딩 : 대량의 UDP 패킷을 만들어 임의의 포트 번호로 전송하여 응답 메시지를 생성하게 하여 지속해서 자원을 고갈시키는 공격

 

스머프 : 출발지 주소를 공격 대상의 IP로 설정하여 네트워크 전체에게 ICMP Echo 패킷을 직접 브로드캐스팅하여 마비시키는 공격

 

죽음의 핑(Pod) : ICMP 패킷을 정상적인 크기보다 아주 크게 만들어 전송하면 다수의 IP 단편화가 발생하고, 수신 측에서는 단편화된 패킷을 처리하는 과정에서 많은 부하가 발생하거나 재조합 버퍼의 오버플로우가 발생하여 정상적인 서비스를 하지 못하도록 하는 공격 기법

 

랜드 어택 : 출발지 IP와 목적지 IP를 같은 패킷 주소로 만들어 보냄으로써 수신자가 자기 자신에게 응답을 보내게 하여 시스템의 가용성을 침해하는 공격기법

 

티어 드롭 : IP 패킷의 재조합 과정에서 잘못된 Fragment Offset 정보로 인해 수신 시스템이 문제를 발생하도록 만드는 DOS 공격

 

봉크 : 프로토콜의 오류 제어를 이용한 공격 기법으로서 시스템의 패킷 재전송과 재조립이 과부하를 유발

 

패스워드 크래킹(무차별 크래킹, 사전 크래킹)

 

ARP 스푸핑 : 공격자가 특정 호스트의 맥 주소를 자신의 맥 주소로 위조한 ARP Reply를 만들어 희생자에게 지속적으로 전송하여 희생자의 ARP Cache Table에 특정 호스트의 MAC 정보를 공격자의 MAC 정보로 변경, 희생자로부터 특정 호스트로 나가는 패킷을 공격자가 스니핑 하는 공격 기법

 

ICMP Redirect 공격 : 3계층에서 스니핑 시스템을 또 다른 라우터라고 알림으로써 패킷의 흐름을 바꾸는 공격 기법

 

DRDOS : 출발지 IP를 위조하여 다수의 반사 서버를 이용해 대상자는 다량의 응답을 받아 서비스 거부 하는 공격

 

버퍼 오버플로우 종류 : 힙 버퍼 오버플로우 , 스택 버퍼 오버플로우(스택쉴드, 스택가드)

 

백도어 : 어떤 제품이나 컴퓨터 시스템, 암호 시스템 혹은 알고리즘에서 정상적인 인증 절차를 우회하는 기법

 

스피어 피싱 : 이메일을 위장하여 메일을 지속적으로 발송해 발송 메일의 본문 링크나 첨부된 파일을 클릭하도록 유도하여 사용자의 개인정보 탈취하는 공격 기법

 

스미싱 : 문자메시지를 이용해 개인정보 요구 

 

큐싱 : QR 코드를 통해 정보 빼내는 기법

 

봇넷 : 악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태 

 

APT 공격 : 특정 타깃을 목표로 하여 다양한 수단을 통한 지속적이고 지능적인 맞춤형 공격 기법

 

공급망 기법 : 사용자 PC에 소프트웨어를 설치 또는 업데이트 시에 자동적으로 감염되도록 하는 공격 기법

 

제로데이 공격 : 보안 취약점이 발견되어 널리 공표되기 전에 해당 취약점을 악용하여 이루어지는 보안공격 기법 

 

웜 : 스스로를 복제하여 네트워크 등의 연결을 통하여 전파하는 악성 소프트웨어 컴퓨터 프로그램

 

악성봇 : 스스로 실행되지 못하고 해커의 명령에 의해 원격에서 제어 또는 실행이 가능한 프로그램 혹은 코드

 

사이버 킬체인 : 록히드 마틴, 공격형 방위 시스템

 

랜섬웨어 : 감염된 시스템 파일들을 암호화 하여 인질로 돈받는 악성 소프트웨어

 

이블 트윈 공격 : 무선 WIFI 피싱 기법으로 합버적 wifi 행세 하여 정보 탈취 

 

난독화 : 역공학에 대비해 코드의 일부를 복잡하게 만듬

 

Tripwire : 크래커가 침입하여 시스템에 백도어를 만들거나 변경했을때 이러한 사실을 알게 해주는 분석 도구 

 

Ping : 원격 호스트가 정상적으로 운영되고 있는지를 확인하는 진단 목적으로 사용

 

Tcpdump : 네트워크 인터페이스를 거치는 패킷의 내용을 출력해주는 프로그램

 

인증기술 유형 : 지식기반인증, 생체기반인증, 소지기반인증, 특징기반인증

 

DAC : 시스템에 대한 접근을 사용자/그룹 신분 기반으로 제한하는 방법

 

MAC : 시스템 정보의 허용등급을 기준으로 사용자가 갖는 접근 허가 권한에 근거하여 시스템에 대한 접근을 제한하는 방법

 

RBAC : 중앙 관리자가 사용자와 시스템의 상호관계를 통제하며 조직 내 맡은 역할에 기초하여 자원에 대한 접근을 제한하는 방법

 

벨 - 라파둘라 모델 : 기밀성 강조

 

비바 모델 : 무결성 보장

 

대칭키 암호방식 : 암호화와 복호화에 같은 암호키를 쓰는 알고리즘

 

비대칭 키 암호방식 : 공개키로 암호화하고 복호화는 비밀키를 소유한 사람만 복호화 할 수 있는 알고리즘

 

해시 : 이전 입력 값을 알 수 없는 일방향성 특징을 가진 알고리즘

 

DES : 블록 크기는 64bit, 키길이는 56bit인 페이스텔 구조 , 미국의 연방 표준국에서 발표(대칭) 

 

SEED : KISA가 개발한 알고리즘, 블록 크기 128bit, 키는 128,256으로 구분(대칭)

 

AES : DES의 개의 키에 대한 전사적 공격이 가능해지고 3DES의 성능 문제를 극복하기 위해 개발(대칭)

 

RSA : MIT 수학교수가 고안한 큰 인수의 곱을 소인수 분해하는 수학적 알고리즘 이용하는 공개키 암호화 알고리즘(비대칭)

 

MD5 : MD4를 개선한 암호화 알고리즘으로 프로그램이나 파일의 무결성 검사에 사용(해시)

 

개인정보보호 관련 법 : 개인정보보호법, 정보통신망법, 신용정보법

 

개인정보 등급분류 : 고유식별정보, 민감정보

 

시큐어 코딩 : 입력데이터 검증 및 표현, 보안 기능,시간 및 상태, 에러처리,코드 오류 , 캡슐화,API 오용( 입보시에코캡아)

 

XSS : 검증되지 않은 외부 데이터 포함되어 웹페이지 전송되고 사용자가 열람함으로써 부적절한 스크립트가 실행되는 공격

 

CSRF : 자신의 의지와 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 공격

 

SQL 삽입 : 취약점을 통해 악의적인 SQL을 이용하여 데이터를 빼내거나 조작하는 공격

 

방화벽 : 기업 내부, 외부 간 트래픽을 모니터링 하여 시스템의 접근을 허용하거나 차단하는 시스템

 

웹 방화벽 : 일반적인 네트워크 방화벽과는 달리 웹 애플리케이션 보안에 특화된 보안장비 

 

NAC : 단말기가 내부 네트워크에 접속을 시도할 때 이를 제어하고 통제하는 기능을 제공하는 솔루션

 

IDS : 네트워크에 발생하는 이벤트를 모니터링하고 비인가 사용자에 의한 자원 접근과 보안정책 위반 행위를 실시간으로 탐지하는 시스템

 

WIPS : 인가되지 않은 무선 단말기의 접속을 자동으로 탐지 및 차단하고 보안에 취약한 무선 공유기를 탐지하는 시스템

 

UTM : 다양한 보안장비의 기능을 하나의 장비로 통합하여 제공하는 시스템 

 

VPN : 인터넷과 같은 공중망에 인증, 암호화, 터널링 기술을 활용하여 마치 전용망을 사용하는 효과를 가지는 보안 솔루션

 

BIA : 장애나 재해로 인해 운영상의 주요 손실을 볼 것을 가정하여 시간 흐름에 따른 영향도 및 손실 평가를 조사하는 BCP를 구축하기 위한 비즈니스 영향 분석

 

RTO : 업무중단 시점부터 업무가 복구되어 다시 가동될 때 까지의 시간

 

RPO : 업무중단 시점부터 데이터가 복구되어 다시 정상가동될때 데이터의 손실 허용 시점

 

DRP : 재난으로 장기간에 걸쳐 시설의 운영이 불가능한 경우를 대비한 재난 복구 계획

 

DRS : 재해복구계획의 원활한 수행을 지원하기 위하여 평상시에 확보하여 두는 인적, 물적 자원 및 이들에 대한 지속적인 관리체계가 통합된 재해복구센터 

 

 

 

<약술형>

 

기밀성 : 인가되지 않은 시스템 접근에 따른 정보 공개를 차단하는 특성

 

무결성 : 데이터의 정확성 및 완정성과 고의로 변경되지 않음을 보장하는 특성

 

가용성 : 권한을 가진 사용자가 원하는 서비스를 지속해서 사용할 수 있도록 보장하는 특성

 

DOS : 시스템을 한대가 공격해 자원을 부족하게 하여 원래의 용도로 사용하지 못하게 하는 공격 

 

DDOS : 여러 대의 공격자를 분산 배치하여 동시에 동작하게 하여 공격하는 기법 

 

스니핑 : 공격 대상을 직접 공격하지 않고 데이터를 들여다보는 수동적 공격 기법

 

네트워크 스캐너 : 네트워크 취약점 파악을 위해 탐색하는 도구

 

IP 스푸핑 : 인증된 컴퓨터로 속여 정보를 빼내는 공격기법

 

트로이 목마 : 겉보기엔 정상적인 프로그램 이지만 실행하면 악성 코드를 실행하는 프로그램 

 

IPsec : IP 계층에서 인증헤더와 암호화로 서버와 클라이언트 간에 보안서비스를 제공하는 터널링 프로토콜

 

SSL/TLS : 전송계층과 응용계층 사이에 서버와 클라이언트간 데이터암호화, 상호인증 등 보안서비스를 제공하는 프로토콜

 

S-HTTP : 서버와 클라이언트간 모든메시지를 암호화 하여 전송하는 기술

 

SQL injection : 취약점을 이용해 악의적인 SQL을 이용하여 DB에서 정보를 빼거나 조작하는 공격기법

 

정적 분석 : SW를 실행하지 않고 보안 약점을 분석 

 

동적 분석 : SW실행환경에서 보안 약점 분석