[Domain 5] 정보자산의 보호 (요약)

※ CISA 시험 공부하면서 요약 정리한 것으로 일부 중복된 내용 또는 오류가 있을 수 있습니다.

---

1. 정보보안의 요소

• 기밀성 (Confidentiality) : ↔ 노출 (Disclosure) ← Stop
  • 컴퓨터 관련 자산이 인가된 당사자에 의해서만 접근하는 것을 보장
  • 위협 : 스니핑 (도청), Shoulder surfing
  • 통제 : VPN (가상 사설망), 암호
  • 노출이라는 말이 나오면 → 기밀성이 깨짐 → 통제 : ① 암호 ② VPN
  • ☞ 서버에 저장 중인 Data가 노출되었다? ①
  • ☞ 이동 중인 Data가 노출되었다? ①
  • ☞ 통신상에서 전송 중인 개인정보가 노출되었다? ①
• 무결성 (Integrity) : ↔ 변경 (Alteration)
  • 자산이 인가된 당사자에 의해서만 또는 인가된 방법으로만 변경될 수 있다 (자산의 정확성, 완전성, 일관성)
  • 위협 : 해커, 비인가된 프로그램 (트로이목마, 바이러스, 백도어)
  • 통제 : 직무분리★(예방통제), 접근 통제, 동시성 통제 (Parity)
• 가용성 (Availability) ↔ 파괴 (Destruction)
  • 자산이 적절한 시간에 인가된 당사자에게 접근 가능해야 하는 것을 의미
  • 위협 : 도스 공격, 통신 장애
  • 통제 : 백업 클러스터링, Fault Tolerant (보기에 Fault Tolerant가 나오면 무조건)
  • ☞ 전자상거래, 응용소프트웨어 서버의 가용성 극대화 방안? ( 클러스터링 )

 

2. 정보보안 관리의 핵심 요소

▪️ 감사인이 보안 인식의 효율성을 판단하기 위한 최선의 방법은 “담당 직원의 인터뷰”이다. 담당 직원의 인터뷰가 보안 인식의 효율성을 판단하는 최선의 방법이다. 전반적인 인식이 판단되어야 하고 효율적인 보안은 사람에게 달려있기 때문이다.

 

3. 데이터 분류

• 데이터 소유자
  • 데이터 분류/할당의 최종적인 책임
  • 접근권한 승인 및 이에 대한 책임
  • 접근승인 문서를 직접 보안관리자에게 전달

※ 중요 사항

• 데이터 분류의 첫 단계 : “데이터 소유권의 수립”
  • 알 필요성과 최소 권한의 원칙을 기반으로 접근 규칙을 정의하기 위해서는 데이터 분류가 필요하다. 데이터 소유자는 접근 규칙을 정의하 데 책임이 있고 따라서 소유권을 수립하는 것이 데이터 분류의 첫 단계이다.
  • 정보는 업무 목적 측면에서 매우 다양한 민감성과 중요성을 가진다. 정보 자원에 민감도와 중요도의 등급 또는 수준을 할당함으로써 경영자는 할당될 접근통제 수준을 위한 지침을 수립할 수 있다.
  • 잘 정의된 데이터 분류 과정의 중요한 이점은 적절한 통제 절차가 데이터 민감성과 관련하여 진행되도록 보장하여 데이터 보호 비용을 감소시키는 것이다.
  • 데이터 소유자는 접근 권한을 공식적으로 수립하기 위한 특권과 책임을 갖는다. 데이터 소유자가 데이터를 적절히 분류하는 데 도움을 주는 가장 좋은 방법은 “조직의 정책과 표준에 대한 교육”이다.

 

4. 악성코드

■ 말웨어 사고 예방을 위한 고려사항

• 위심스러운 이메일 첨부물 Blocking
• 매크로 사용의 제한
• 웹 사이트 콘텐츠 필터링
• 모바일 코드의 실행 제한
• 웹 브라우저 쿠키의 제한
• 웹 브라우저 팝업 윈도우의 제한
• 웹 브라우저 내에서 소프트웨어 설치 예방
• 이메일 이미지의 자동 로딩 예방
• Whitelistings (허용 목록)의 사용
• P2P 트래픽 차단 : 조직 네트워크에 바이러스 및 악성프로그램 노출에 대한 대응책

■ 바이러스 스캐너가 효과를 발휘하기 위해서 필요한 특성

• 바이러스 탐지의 신뢰성 및 품질
• 지속적으로 검사하는 메모리 상주
• 적정한 작업 속도나 자원 활용 측면에서의 효율성
• Heuristic 엔진으로 보완 : 변종을 탐지

■ 바이러스 대응 전략

• 바이러스의 위험을 효과적으로 감소시키는 방법 : 시그니쳐 업데이트
• 바이러스에 대한 근본적인 방안 : 안티바이러스 정책
• 상호 연결된 기업에서의 바이러스 대응 방안 : 바이러스 월

■ 바이러스 방지 소프트웨어 중에서 탐지에 가장 효과적인 것은 “무결성 검사기”

 

5. 패치와 하드닝

■ 서버의 운영체제 무결성을 보증하는 데 가장 효과적인 것은? “서버 구성을 하드닝(강화)”

• 시스템 하드닝은 특권을 부여받지 않은 사용자가 특권 명령의 실행 권한을 얻어 전체 시스템을 통제하여 운영체제 무결성을 위태롭지 못하게 하는 가장 안전한 방법
• 최신 보안 패치의 설치, 사용자 및 관리자에 대한 접근 권한의 적절한 정의, 안전하지 않은 선택 사항의 비활성화, 사용되지 않는 서비스의 삭제 등으로 시스템을 구성하는 것을 의미
• 외부에 공개하는 서비스 최소화, 불필요한 프로그램 실행 정지, 취약점 패치 적용 등
• 외부에서 오는 통신은 제한된 종류만 허가

■ 패치 : 소프트웨어의 최신 상태를 유지

• 버그를 수정하기 위한 데이터
• 데이터의 일부를 수정함으로써 시스템의 버그나 취약성을 수정
• 기존의 파일을 버그가 없는 올바른 파일로 교체하거나 새로운 파일을 추가함으로써 시스템을 수정
• 패치의 적용으로 소프트웨어의 동작이 불안정해질 수 있으므로, 실제 환경에 대해 바로 적용하기보다는 별도의 테스트 환경을 마련하고 패치 적용 테스트를 해야 함
• 패치 관리 소프트웨어
  • IT부서가 기업 환경에서 실행하는 소프트웨어의 획득, 테스트, 코드 변경 설치에 도움을 주는 소프트웨어가 패치 관리 소프트웨어이다. 또 소프트웨어 취약점을 평가하고, 패치의 우선순위를 정해 적용하며, 패칭 활동과 상태에 대한 보고서를 생산하는 기능을 갖추고 있다.

 

6. 접근통제

■ 데이터 접근통제 기술

• Role-Based Access Control
  • 접근 여부 결정 기준 : 역할 (Role)
  • 적용 : 직무순환이 잦은 조직
  • 장점 : 관리용이, 직무분리, 알필요성의 원칙
  • 기업 내 개인의 잦은 이동
  • 기업의 특성에 박제 적용하기에 편함
• 2 Factor 인증
  • 웹 서버 시스템의 운영자 계정에 대한 승인받지 않은 접근을 막기 위한 가장 좋은 방법
  • 온라인 뱅킹 응용에서 ID 도용 방지의 가장 적절한 방법

역할 기반에 따른 직무분리 정책을 시행하는 회사에서 응용 개발자에게 “시스템 관리” 역할을 할당할 수 있다.

■ 인증기법에 따른 분류

 

 

7. 무선

■ 무선의 목표

• 기밀성 : 도청이 예방되어야 한다.
• 데이터 무결성 : 패킷이 훼손되지 말아야 한다.
• 접근 통제 : 오직 적절하게 암호화된 패킷만 통신되어야 한다.
• WPA (WiFi-Protoected Access2), HTTPS, VPN

■ 실무사례

• 기본으로 설정된 AP의 SSID 변경
• AP의 SSID 브로트캐스트 (Broadcast) 기능 차단
• AP의 SSID 설정 시 부서명, 회사명, 제품명 등의 사용 회피
• 모든 기본 설정값에 대한 이해 및 변경
• 128비트 이상의 가능한 한 최대 크기의 암호키 사용

■ 장점

• Mobility (이동성), 설치비용 감소

■ BYOD - Bring Your Own Device

• 회사에 개인 소유의 스마트 기기를 가지고 오면 비즈니스 모적으로 사용을 허락하는 환경

 

8. Anti-Forensic

■ Data Sanitization (데이터 위생처리)

• Overwrite : 매체 재활용
  • 리스 기간 만료된 PC 반납
  • PC AS
  • 고위 임원의 PC를 직원들에게 배포
• 디가우징 (자성소거) : 매체 재활용 불가
• 파괴-분쇄, 연마 : WORM (광 저장매체)
• 암호

 

9. 보안장비

■ 방화벽

• 방어하는 것? 외부의 불법 침입으로부터 내부의 정보 자산보호
• 예방 가능한 공격? 도스공격
• 단점? 모뎀을 사용함으로써 방화벽 우회 →
• NAT (Network Address Translation)
  • 사설 IP를 사용함으로써 외부의 인가자로부터 자신의 네트워크에 있는 컴퓨터들의 존재를 숨기고자 하는 보안 목적
  • 해커가 공격 대상 네트워크의 토폴로지 및 상호 연결성을 파악하기 어렵게 해 줌
  • 해커가 장비의 종류나 운영체제를 파악하기 어렵게 해 줌
  • IP 스푸핑 예방
• 동작 방식에 따른 분류
  • Static Packet Filtering
    • 방화벽을 통과하는 트래픽의 각 흐름의 상태를 kepp track 하지 않음
    • 패킷의 헤더 구조만 확인할 뿐 contents (pyload)에 대해서는 무관심
  • 응용 레벨의 방화벽
    • Proxy를 이용하여 모든 contents를 확인
    • 가장 안전한 방화벽
    • 해킹으로부터 방어

통합 위협 관리 (unified threat management, UTM)에는 다섯 가지 기본 보안 기능이 있다. ▲ 피싱과 브라우저 기반의 공격을 막기 위한 아웃바운드 콘텐츠 필터링 ▲ 방화벽 ▲ IPD/IPS ▲ 안티바이러스/안티스팸 ▲ VPN 등 다섯 가지 기능 존재

■ 침입탐지시스템 (IDS)

• 역할
  • 시스템이나 네트워크를 모니터링하여 발생된 이벤트를 관리자에게 알려준다.
  • 설치 위치 : 스크린드 서브넷
  • “보안 인프라를 향상하기 위한 정보 제공”
• 에러율
  • False Positive (긍정 오류 : 오탐) 최소화 : 정상적인 패킷을 비정상 (공격)으로 탐지 → Alarm (양치기 소년) : 이를 확인하는 번거로움이 생기긴 하지만 공격이 아니기 때문에 치명적이 결과를 낳지 않음
  • False Negatives (부정 오류 : 미탐) 최소화 : 비정상 패킷을 정상으로 탐지 → No Alarm : 아무런 경고를 남기지 않기 때문에 공격을 당할 위험이 발생
• IDS 구현을 평가할 때 IS 감사인의 이슈사항? 튜닝 OR F(-) (False Negatives : 미탐)

■ 하니팟

• 하니팟은 새로운 공격과 침입시도에 대한 사전 경고를 제공한다.
• 보안설정 강화
• 단점 : 공격자를 더욱 화나게 만들어 더욱 적극적인 공격을 당할 수 있음

■ VPN

• 감사인이 VPN을 검토할 때 가장 우려하는 것은 네트워크상의 컴퓨터가 어디에 위치할 때 인가? 직원의 집에 위치할 때
  • 가상 네트워크가 허용된 모든 기게는 같은 보안 정책의 대상이 되어야 한다.
  • 가정의 컴퓨터는 기업의 보안 정책의 대상이 될 가능성이 가장 적으므로 고위험의 컴퓨터이다.
• 다양하고 많은 서브 시스템이 설치된 원격 접근 네트워크에 효과적
• 네트워크상에서 스니퍼로부터 정보를 숨김, 이는 민감한 트래픽의 암호화 및 캡슐화에 기반하여 동작

■ NAC (Nerwork Access Control)

• 엔드포인트 단말기가 회사의 내부 네트워크에 접속을 시도할 때 이를 제어하고 통제
• 네트워크 제어 및 통제 기능을 통해 사내 네트워크가 바리어스나 윔의 위협으로부터 안전한 보호
• 인증 및 무결성 점검 → 허용, 차단, 격리

9. 공격

■ SQL 인젝션

• 데이터베이스와 연동되어 있는 애플리케이션의 입력값을 조작하여 DBMS가 의도되지 않은 결과를 반환하도록 하는 공격 기법
• 해당 해플리케이션에서 사용자로부터 전송되어 오는 입력값에 대해 적정성을 검사하지 않았기 때문에 발생
• 사용자 및 관리자에 대한 인증 절차 우회
• 공격 예 ) ID : amin PW : id=admin or pw=1

■ 버퍼오버플로우

• 지정된 버퍼의 공간보다 더 많은 데이터를 입력하여 시스템이 비정상적으로 동작하도록 하거나 악의적인 명령어를 수행하도록 한다.
• 부적절한 프로그래밍과 코딩 습관을 버퍼 오버플로우를 유발한다.
• 입력데이터의 길이를 확인하지 않을 경우에 발생할 수 있다.
• 침입자는 버퍼 길이를 초과하는 데이터를 보내고, 악의적 코드를 프로그램에 덮어쓸 수 있도록 한다.
• 대응책 : 적절한 프로그래밍과 좋은 코딩 습관

■ 중간자 공격

• 이중 인증을 무력화시킬 수 있다.

■ 파밍 공격

• DNS 서버의 취약성을 이용하여 트래픽의 방향을 승인되지 않은 웹사이트로 바꾼다.
• 이런 공격을 피하기 위해서는 DNS 훼손을 초래할 알려진 취약점을 제거하는 것이 필수적이다. (DNS 서버 보안 강화)

■ XSS (Cross Site Scriot)

• 취약점이 존재하는 웹 애플리케이션 서버 측을 공격하는 것이 아니라 이를 사용하는 사용자를 공격 대상으로 함
• 사용자를 공격자가 보유한 웹 사이트의 콘텐츠로 재전송하도록 웹 페이지를 변경하는 공격
• 웹 애플리케이션은 사용자가 페이지를 방문할 때마다 로그인할 필요가 없는 클라이언트 컴퓨터에 대한 세션 상태 정보를 저장하기 위해 쿠키를 사용한다.
• 대응책 : 시큐어 코딩 실무

■ APT (Advanced Persistent Threat)

• APT 공격 (지능형 지속 해킹, Advanced Persistent Threat)은 공격자가 특정 기업이나 기관을 타깃으로 정하고 기업 기밀정보와 주요 정보, 고객정보 탈취 등의 목적 달성을 위해 지속적인 해킹 공격을 감행하는 공격 형태다.
• 가장 큰 피해 : 지적재산권 절도
• 대응책 : 심층적 방어

■ 랜섬웨어

• 몸값 (Ransom)과 소프트웨어 (Software)의 합성어로 시스템을 잠그거나 데이터를 암호화해 사용할 수 없도록 하고 이를 인질로 금전을 요구하는 악성 프로그램을 말하며 신뢰할 수 없는 사이트, 스팸메일, 파일공유 사이트, 네트워크망을 통해 유포된다.
• 랜섬웨어는 다양한 경로를 통해 감염될 수 있다. 응용 프로그램이나 운영체제의 취약점을 공격해 악성코드를 감염시키는 익스플로잇 킷, 사용자가 첨부파일을 내려받도록 정상적인 이메일로 위장, 광고 서비스의 정상적은 네트워크를 이용하는 것 등이 있다.
• 개발자가 체포되어 암호 키를 압수하거나, 랜섬웨어 자체적인 결함으로 인해 복구될 수 있는 경우가 있다. 하지만 핸섬웨어는 안전한 암호 알고리즘을 악용하여 파일을 암호화하기 때문에, 일반적으로 이미 감염된 PC를 복구하는 것은 매우 어려워 예방하는 것이 가장 좋다.

 

10. 암호

• 암호화의 목적
  • 기밀성 : 대칭키, 수신자의 공개키
  • 무결성 : 해시값 비교
  • 인증/부인방지 : 송신자의 개인키
• 해시 함수의 특징
  • 단방향 암호화알고리즘
  • 무결성 검증
  • 패스워드 암호화에 사용
  • 해시값 : 파일이 전송되는 동안 변경되지 않았음을 보장하는 가장 좋은 탐지 통제
• 디지털 서명 : 무결성, (해시값 비교) 부인방지 (송신자의 개인키), 재생방지 (타임스팸프), 위조방지 발신자 인증

• 가장 신뢰할만한 송신자 인증은 “디지털 인증서”이다,. 이는 신뢰된 제3기관으로부터 발행되며 메시지 송신자는 인증서를 텀부하고 수신자는 인증서 저장소로부터 인증서의 진위여부를 확인할 수 있다. 그래서 전자서명보다는 더 신뢰할 수 있다.