[정보보안기사] 5. 정보보호 일반 / 관리

정보보호 개요

⭐️정보보호의 목표⭐️

• 기밀성 : 권한이 있는 자가 알 필요성에 근거하여 정보자산에 접근하여 그 내용을 알 수 있도록 보장하는 것
• 무결성 : 권한이 있는 자가 정보자산에 접근하여 내용을 생성,변경,삭제할 수 있도록 보장하는 것
  • 무결성 3가지 목표 : 비인가자에 의한 정보의 위변조 방지, 내/외부 정보의 일관성 유지, 합법적인 사용자에 의한 불법적인 수정 방지
• 가용성 : 권한이 있는 자가 정보자산에 필요시 언제든지 접근할 수 있도록 보장하는 것
• 인증성
  • 사용자 인증 : 정보자산에 접근하는 자의 신원이 주장된 실체와 일치함을 보장하는 것
  • 메시지 인증 : 수신한 메시지가 올바른 상대방이 보낸 메세지임을 보장하는 것
• 책임성(책임추적성,부인방지) : 정보자산에 접근하는 자가 접근 결과에 대해 책임지도록 보장하는 것
  • 책임추적성 : 주체를 고유하게 식별하여 그 행위를 식별할 수 있도록 보장하는 것
  • 부인방지 : 주체가 한 행위를 나중에 부인하지 못하도록 하는 것

⭐️접근통제⭐️

접근통제 : 적절한 접근권한을 가진 주체가 정보자산에 접근할 수 있도록 통제하는 것

구성요소 : 주체, 객체, 접근

접근 통제 절차 : 식별 → 인증 → 인가/권한부여

• 식별 : 사용자가 자신이 누구인지 밝히는 것
• 인증 : 시스템이 사용자가 제시한 신원이 맞는지 확인하는 과정
• 인가 : 인증된 사용자의 특정 자원에 대한 접근을 허용하고 권한을 부여하는 과정

접근통제의 기본원칙 : 최소권한부여, 직무 분리

⭐️⭐️⭐️접근통제 모델⭐️⭐️⭐️

• ⭐️임의적 접근 통제 모델(DAC:Discretionary Access Control)⭐️
  • 주체의 신원 정보와 객체에 대한 사용자의 접근권한을 기반으로 접근 통제를 수행하는 정책
  • 주체와 객체에 각각 접근권한을 관리
  • 접근제어목록(ACL), 접근통제 메트릭스(ACM), 리눅스/유닉스/윈도우 등
• ⭐️강제적 접근 통제 모델(MAC : Mandatory Access Control)⭐️
  • 주체에 부여된 비밀취급인가와 객체에 부여된 보안수준을 비교하여 접근통제를 수행하는 정책
    • 주체와 객체에 부여된 보안 수준(보안레이블)을 비교하여 접근통제
    • 중앙 관리자에 의해서만 주체와 객체의 보안 수준이 설정, 접근통제를 수행
  • ⭐️BLP(Bell-LaPadula) 모델 : 기밀성 중시⭐️
    • 관리자가 주체와 객체에 대한 보안 수준을 부여하고 이를 비교하여 접근통제를 수행하는 모델
    • 기밀성을 보장하기 위해 정보의 흐름을 통제하는 모델
      • 높→낮은 수준으로 정보가 이동하는 것을 통제
      • 주체보다 높은 보안 수준의 객체를 읽을 수 없고 주체보다 낮은 객체에 정보를 쓸 수 없다.
      • SS-Property(Simple Security Property) : No Read Up 속성
        • 주체보다 보안수준이 높은 객체의 정보를 읽을 수 없는 속성 → 주체보다 높은 보안수준의 객체가 가진 정보가 유출되어 기밀성이 훼손되는 것을 방지
      • Star Property(*-Property) : No Write Down 속성
        • 주체보다 보안수준이 낮은 객체에 정보를 쓸 수 없는 속성 → 주체보다 낮은 객체로 정보가 유출되어 기밀성이 훼손되는 것을 방지
    • 최초의 수학적 접근 통제 모델
  • ⭐️Biba모델 : 무결성 중시⭐️
    • 관리자가 주체와 객체에 대한 무결성 수준을 부여하고 이를 비교하여 접근 통제를 수행하는 모델
    • 무결성을 보장하기 위해 정보의 흐름을 통제하는 모델로 무결성 3가지 목표 중 비인가자에 의한 정보의 위변조 방지만 해결
      • 낮은 무결성 수준에서 높은 무결성 수준으로 정보가 흐르는 것을 통제
      • 주체보다 무결성이 낮은 객체의 정보를 읽을 수 없고, 주체보다 무결성 수준이 높은 객체에 정보를 쓸 수 없다.
      • Simple Integrity Axiom(SI Axiom) : No Read Down 속성
        • 주체보다 무결성 수준이 낮은 객체에 정보를 읽을 수 없는 속성 → 주체보다 무결성 수준이 낮은 객체의 정보를 읽음으로써 주체가 알고 있는 정보의 무결성이 훼손되는 상황을 방지할 수 있음
      • Star Integrity Axiom(*-Integrity Property) : No Write Up 속성
        • 주체보다 무결성 수준이 높은 객체에 정보를 쓸 수 없는 속성 → 주체보다 무결성 수준이 높은 객체의 정보를 수정하므로써 객체가 가지고 있는 정보의 무결성이 훼손되는 상황을 방지할 수 있음
  • ⭐️Clark-Wilson모델 : 무결성 3가지 목표 중시⭐️ : 상업적 응용에서 무결성의 3가지 목표를 모두 보장하기 위해 접근통제를 수행하는 모델
  • ⭐️Chinese Wall모델 : 기밀성, 무결성 중시⭐️ : 이해관계가 충돌하는 상업적 응용에서 기밀성과 무결성을 보장하기 위해 접근 통제를 수행하는 모델
• ⭐️역할기반 접근 통제 모델(RBAC : Role Based Access Control)⭐️
  • 주체에게 부여된 역할과 그 역할이 가지는 객체에 대한 접근권한을 기반으로 접근통제를 수행하는 정책
  • 사용자가 많고 접근권한이 자주 변경되는 환경에서 접근통제가 용이함
    • 조직 내 잦은 부서 이동 등의 이유로 조직이 동적으로 변화하는 구조에 적합
    • 중앙관리자에 의해서만 사용자 역할이 부여되고 역할이 가지는 자원에 대한 접근권한이 설정된다.
  • 장점
    • 관리자에 의해 일관성있는 접근통제 정책을 적용할 수 있음
    • 역할을 기반으로 접근권한을 설정하므로 직무 분리와 최소권한 부여가 용이
  • 단점 : DAC에 비해 주체와 객체 각각에 대한 접근권한 설정의 유연성이 떨어짐

⭐️정보보호정책(용어와 정책에 포함된 내용 위주)⭐️

• ⭐️정보보호 정책⭐️ : 조직의 환경과 업무 성격에 맞는 효과적인 정보보호 활동을 위해 수행되어야 할 것들을 기술한 지침과 규약, 조직의 정보보호 목적과 활동에 관련한 사항을 정의한 최상위 문서
• ⭐️정보보호 정책의 목표⭐️
  • 조직의 정보보호에 대한 경영진의 의지 및 방향
  • 조직의 정보보호에 대한 역할과 책임 및 대상과 범위
  • 조직이 수행하는 관리적/기술적/물리적 정보보호 활동의 근거

⭐️정보보호정책 구현 요소(표준, 지침, 절차 용어)⭐️

• 표준(Standards) : 정보보호정책 달성을 위해 필요한 세부 요구사항을 구체적으로 정의한 규정, 관련된 모든 사용자가 준수하도록 요구되는 강제성을 가지는 사항들을 설명한 문서
• 지침(Guidelines) : 특정 시스템 또는 특정 분야 별로 활동에 필요하거나 도움이 되는 세부 요구사항에 관한 규정으로 강제성보다는 권고적이고 융통적이게 적용할 수 있는 사항들을 설명한 문서
• 절차(Procedures) : 구체적으로 어떻게 해야하는지를 세부적으로 상세하게 설명한 문서, 수행해야할 업무를 순서에 따라 단계적으로 설명

⭐️정보보호 정책 수립⭐️

• 정보보호 및 개인정보보호 정책 시행 문서 제개정 시 다음사항을 준수해야한다.
  • 이해관계자와 정책시행문서의 내용을 충분히 협의 검토한다.
  • 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받아야한다.
  • 정책시행문서의 최신본을 임직원과 관련자에게 이해하기 쉬운형태로 전달한다.

⭐️⭐️위험관리⭐️⭐️

정의

• 위험관리 : 조직의 자산에 대한 위험을 수용가능한 목표 위험수준(DoA : Degree of Assurance)로 유지하기 위해 자산에 대한 위험을 분석하고 이러한 위험으로부터 자산을 보호하기 위한 비용 대비 효율적인 보호대책을 마련하는 일련의 과정

⭐️⭐️위험관리 과정(각 단계 외우기)⭐️⭐️

위험관리 전략 및 계획 수립 → 위험 분석 → 위험평가 → 정보보호 대책 선정 → 정보보호 계획 수립

• 위험관리 전략 및 계획 수립 : 조직에 적합한 위험관리(분석) 방법을 선택하고 가용자원을 고려하여 계획을 수립하는 단계
• 위험분석 : 자산, 위협, 취약성, 기존 보호대책을 분석하여 위험의 종류와 규모를 결정하는 단계
• 위험평가 : 위험 분석 결과를 이용하여 위험도를 평가하고 수용가능한 목표 위험 수준을 정하여 이를 기준으로 위험의 대응 여부와 우선순위를 결정하는 단계
  • 위험평가 수행 시 자산을 식별하고, 식별된 자산의 가치를 평가하는 기준으로 CIA 측면을 고려하여 자산의 중요도를 산정한다.
  • 모든 위험에 대응하는 것은 불가능, 수용가능한 목표 위험 수준을 설정하고 이를 초과하는 위험에 대해서만 적절한 보호대책 강구
  • 수용가능한 목표 위험 수준(DoA)는 경영진의 의사 결정에 의하여 결정
• 정보보호 대책 선정 : 위험평가에 기초하여 위험 대응에 필요한 보호대책을 선정하는 단계
  • 위험평가 결과를 토대로 수용가능한 목표 위험 수준(DoA)을 초과하는 위험을 수용 가능한 수준으로 감소시키기 위해 위험처리 전략을 설정하고 적절한 통제사항(정보보호대책)을 선택
  • 정보보호대책 명세서 : 통제사항에 대한 선택 여부와 근거를 명시한 문서, 선택하지 않은 통제사항이 있다면 그 이유 또한 명확하게 기술
• 정보보호 계획 수립 : 선정한 보호대책을 구현하기 위해 이행 계획을 수립하는 단계
  • 정보보호 대책을 구현한 후 남아있는 위험을 잔여위험이라 말함

⭐️⭐️⭐️⭐️⭐️⭐️위험의 구성 요소⭐️⭐️⭐️⭐️⭐️⭐️

• 위험(Risk) : 자산의 취약점을 이용한 위협에 의해 원하지 않은 사건이 발생하여 손실을 미칠 가능성
  • 위험(Risk) = A * T * V
• 자산(Asset) : 조직이 보호해야 할 유무형의 대상
• 위협(Threat) : 자산에 손실을 초래할 수 있는 원하지 않는 사건의 잠재적 원인 또는 행위자
• 취약점(Vulnerability) : 위협의 이용 대상이 되는 자산의 잠재적 속성
• 정보보호대책(Safeguard/Countermeasure) : 조직의 자산을 위협으로부터 보호하기 위한 안전대책, 위협을 감소시키기 위한 정보보호 조치
  • 보호대책 유형에 따른 구분
    • 기술적 보호대책 : 보안 솔루션 도입 및 운영
      • ex) 정보보호 솔루션 도입, 접근 통제, 암호 기술, 백업체계
    • 관리적 보호대책 : 보안 정책의 수립 및 시행
      • ex) 정책 및 절차, 보호조직의 구성, 제도 등
    • 물리적 보호대책 : 시설물 및 장비 보호
      • ex) CCTV, 출입통제, 전원 대책, 장비 보안 등
  • 보호대책 적용 시점에 따른 구분
    • 예방통제 : 발생할 수 있는 위험을 식별하여 사전에 대처하는 능동적 개념의 통제
      • 물리적 접근통제 : 비인가자가 물리적 시설이나 설비에 접근할 수 없도록 하는 통제
      • 논리적 접근통제 : 비인가자가 정보통신망을 통해 자산에 접근할 수 없도록 하는 통제
    • 탐지통제 : 예방통제를 우회하여 발생하는 각종 위험을 탐지하는 통제
    • 교정통제 : 탐지된 위험에 대처하거나 감소시키는 통제

⭐️⭐️⭐️⭐️위험관리 전략 및 계획 수립⭐️⭐️⭐️⭐️

• 조직에 적합한 위험분석 방법을 선택하고 가용자원을 고려하여 계획을 수립하는 단계로 위험관리방법에는 기준선 접근법, 비정형 접근법, 상세 위험분석, 복합 접근법 등이 있음
• ⭐️⭐️⭐️⭐️위험분석 접근방법(장,단점)⭐️⭐️⭐️⭐️
  • 기준선 접근법(베이스라인 접근법) : 모든 자산에 대한 체크리스트 형식의 표준화된 보호대책을 이용하여 보호의 기본 수준을 정하고 위험분석을 수행하는 접근법
    • 장점 : 시간과 비용이 많이 들지 않고 모든 조직에서 기본적으로 필요한 보호 대책 선택이 가능
    • 단점 : 체크리스트를 지속 갱신하지 않으면 보안 환경의 변화 반영 어려움, 조직의 특성을 고려하지 않아 알맞는 보호가 어려움
  • 비정형 접근법 : 경험자(내외부 전문가)의 지식을 기반으로 위험분석을 수행하는 방법
    • 장점 : 작은 규모의 조직에 비용대비 효과적
    • 단점 : 수행자의 경험에 중요 위험 중심으로 분석하므로 수행자 경험이 부족한 경우 위험영역을 놓칠 가능성 있음
  • 상세 위험분석 : 정형화된 위험 분석 방법론에 따라 자산 분석, 위협분석, 취약성 분석 등의 각 단계를 통해 조직의 위험들을 모두 상세하게 분석하는 접근법
    • 장점 : 상세한 위험 분석을 통해 조직에 가장 적절한 보호대책을 수립할 수 있고, 보안 환경의 변화에 유연하게 대처할 수 있음
    • 단점 : 구체적인 결과를 얻기 위해 전문적인 지식, 많은 시간과 노력이 요구됨
  • 복합 접근법 : 고위험군 영역을 식별하여 상세 위험분석을 수행하고, 그 외의 영역은 기준선 접근법을 사용하는 접근법
    • 장점 : 위험분석 비용과 자원을 효과적으로 사용할 수 있으며 고위험 영역을 빠르게 식별하고 처리할 수 있음
    • 단점 : 고위험 영역이 잘못 식별되었을 경우 비용과 자원이 낭비되거나 부적절한 대응이 될 수 있음

⭐️위험분석⭐️

• 자산, 위협, 취약성, 기존 보호대책 등을 분리하여 위험의 종류와 규모를 결정하는 것
• ⭐️위험분석 절차⭐️
  • 자산분석(자산 식별 및 자산 가치 평가) → 위협평가 → 취약성 평가 → 기존 보안대책 평가 → 위험 평가
  • ⭐️⭐️⭐️⭐️⭐️정성적 위험분석(피순델시)⭐️⭐️⭐️⭐️⭐️
    • 손실이나 위험의 크기를 개략적인 크기로 비교하는 방법
      • 장점 : 비교적 간단하고 시간과 노력이 적게 듬
      • 단점 : 객관적 검증이 어렵고 객관성이 떨어짐
    • 델파이법
      • 각 분야의 전문적인 지식을 갖춘 전문가 집단을 구성하고 토론을 통해 위험 분석 및 평가를 수행
      • 위험분석을 빠르게 수행하여 시간과 비용을 절약할 수 있지만, 전문가의 지식과 토론에만 의존하므로 정확도가 낮음
    • 시나리오법
      • 어떤 사건도 기대대로 되지 않는다는 사실에 근거하여 일정 조건에서 위협에 대한 발생 가능한 결과들을 추정하는 방식
      • 적은 정보를 가지고 전반적인 위협의 발생가능성을 추론할 수 있지만 이론적인 추측에 가깝고 정확성, 완성도, 이용 기술의 수준 등이 낮음
    • 순위결정법
      • 비교 우위 순위 결정표에 의해 위험 항목들의 서술적 순위를 결정하는 방법으로 각각의 위협을 상호 비교하여 최종 위협 요인의 우선순위를 도출하는 방식
      • 위험분석에 걸리는 시간과 분석해야하는 양이 적지만 위험 추정의 정확도가 낮음
    • 퍼지행렬법
      • 위험분석 요소들을 정성적인 언어로 표현된 값을 사용하여 기대 손실을 평가하는 방식
  • 정량적 위험분석(과학점수)
    • 손실이나 위험의 크기를 금전적 가치로 표현, 객관적이고 수학적인 방식
    • ⭐️⭐️⭐️⭐️⭐️연간 예상 손실(ALE)계산법⭐️⭐️⭐️⭐️⭐️
      • 위협이 성공했을 경우의 예상 손실액(SLE)과 그 위협의 연간 발생률(ARO)을 곱하여 연간 예상 손실액(ALE)를 계산하는 방식
      • 자산 가치(AV : Asset Value) : 자산의 가치를 금액으로 표현
      • 노출 계수(EF : Exposure Factor) : 특정 자산에 특정 위협이 발생했을 때 자산에 미치는 손실 비율을 백분율(%)로 표현
      • 단일 예상 손실액(SLE : Single Loss Expectancy) : 특정 자산에 특정위협이 1회 발생했을 때 예상 손실액
        • 자산 가치(AV) * 노출계수(EF)
      • 연간 발생률(ARO : Annual Rate of Occurrence) : 특정 자산에 특정 위협의 연간 발생률
        • 발생횟수 / 연도 범위
      • 연간 예상 손실액(ALE : Aunnal Loss Expectancy) : 특정 자산에 특정 위협이 발생했을 때 연간 예상 손실액
        • 자산 가치(AV) * 노출 계수(EF) * 연간 발생률(ARO) = 단일예상손실액(SLE) * 연간발생률(ARO) = 연간 예상 손실액(ALE)
      • 투자 대비 수익률(ROI : Return On Investment)
        • ROI = (대책 적용 시 연간 순 이익(대책 적용시 감소한 ALE - 연간 대책 비용) / 연간 대책 비용) * 100

    - 과거자료 분석법
        - 과거의 자료를 통해 위험 발생 가능성을 예측
        - 과거 자료가 많을수록 정확도가 높아지지만 자료가 적으면 적용하기 어려움
    - 수학공식 접근법
        - 위협의 발생 빈도를 계산하는 식을 이용하여 위험을 예측하는 방식
        - 위험을 정량화하여 매우 간결하게 나타낼 수 있음, 기대손실을 추정하는 자료의 양이 적음
    - 확률 분포법
        - 확률적 편차를 이용하여 최저, 보통, 최고의 위험 평가를 예측하는 방식
        - 확률적으로 추정하는 방법이므로 정확성이 낮음
    - 점수법
        - 위험 발생 요인에 가중치를 두어 위험을 추정하는 방식
        - 분석에 걸리는 시간과 양이 분석해야 할 자원의 양이 적은 장점이 있음
        - 정확도가 낮음

정보보호 대책 선정

• 위험평가를 통해 도출된 위험도를 바탕으로 수용가능한 목표 위험 수준(DoA)를 초과하는 위험을 수용가능한 수준으로 낮추기 위해 적절한 위험처리 전략을 설정하고 정보보호 대책을 선택하는 것
• 위험처리 전략에는 위험 수용, 위험 감소, 위험 회피, 위험 전가 등이 있음
• ⭐️⭐️⭐️⭐️⭐️⭐️위험처리 전략 유형⭐️⭐️⭐️⭐️⭐️⭐️
  • 위험 수용
    • 현재의 위험을 받아들이고 잠재적 손실 비용을 감수하는 전략
  • 위험 감소
    • 위험을 감소시킬 수 있는 대책을 채택하여 구현하는 전략
    • 정략적 위험 분석에서 보호대책 선정하는 방식으로 보호대책 효과 = 대책적용전ALE - 대책적용 후 ALE - 연간대책비용을 계산 하여 양의 효과가 있는 보호대책을 선정
  • 위험 전가
    • 위험의 잠재적 손실 비용을 보험이나 외주 등 제 3자에게 이전시키는 전략
  • 위험 회피
    • 위험이 존재하는 프로세스나 사업을 수행하지 않고 포기하는 전략

⭐️⭐️업무연속성 계획(BCP)/재해복구계획(DRP)⭐️⭐️

업무 연속성 계획(BCP : Business Continuity Planning)

• 업무 연속성 계획(BCP : Business Continuity Planning) : 각종 장애 및 재해로부터 업무중단이 발생할 경우 최대한 빠른 시간 내에 업무를 복구함으로써 업무 연속성을 유지하기 위한 계획(절차)
• 업무 영향 분석(BIA : Business Impact Analysis) : 어떤 업무가 핵심 업무이고 우선하여 복구되어야 하는 업무인지 파악하는 과정, 핵심업무를 파악하여 업무별로 전체 사업에 미치는 영향도를 분석하여 장애 및 재해 복구 시 우선순위를 결정하는 과정
• 📝업무 연속성 계획(BCP)의 5단계 방법론📝
  1. 프로젝트 범위 설정 및 기획 : 프로젝트 계획을 수립하는 단계로 BCP 개발의 명확한 범위, 조직, 시간, 인원 등을 정의
  2. 사업 영향 평가(BIA, 업무 영향 분석) : 개별업무를 식별하고 복구 우선순위, 복구 목표 시간 및 수준 등을 평가
  3. 복구 전략 개발 : BIA에서 수집한 정보를 바탕으로 복구 자원 및 복구 방안들에 대한 평가 및 예상 비용 산정
  4. 복구 계획 수립 : 실제 복구 계획을 수립하는 단계로 명시적인 문서화가 반드시 요구
  5. 프로젝트 수행 테스트 및 유지보수 : 향후 수행할 테스트 및 유지보수 관리 절차 수립

⭐️⭐️⭐️⭐️⭐️⭐️재해복구계획(DRP : Disaster Recovery Planning)⭐️⭐️⭐️⭐️⭐️

• 재해 복구 계획(DRP : Disaster Recovery Planning) : IT기술 서비스에 대한 재해가 발생할 경우 빠른 복구를 통해 업무에 대한 영향을 최소화하기 위한 제반 계획을 말함
• 재해복구시스템(DRS : Disaster Recovery System) : 재해복구의 원활한 수행을 지원하기 위해 평상시에 확보하여 두는 자원과 이들에 대한 지속적인 관리 체계가 통합된 것
  • ⭐️⭐️⭐️⭐️⭐️⭐️재해복구시스템 복구 수준별 유형⭐️⭐️⭐️⭐️⭐️⭐️
    • 미러 사이트
      • 주 센터와 동일한 수준의 시스템 구축
      • 활성 상태로 동시 서비스
      • 복구 소요 시간(RTO) : 즉시
      • 액티브-액티브
    • 핫 사이트
      • 주 센터와 동일한 수준의 시스템 구축
      • 대기 상태로 실시간 미러링을 통한 최신 데이터 유지
      • 복구 소요시간(RTO) : 수시간 이내
      • 액티브-스탠바이
    • 웜 사이트
      • 중요도가 높은 일부 시스템만 구축
      • 중요 업무에 대해서만 우선 복구, 추가 자원 확보 필요
      • 복구 소요 시간(RTO) : 수일~수주이내
    • 콜드 사이트
      • 데이터만 원격지 보관, 장소 등 최소한의 자원 확보
      • 자원 확보 후 데이터를 기반으로 복구
      • 복구 소요 시간(RTO) : 수주 ~ 수개월 이내
• 복구 목표 시간(RTO : Recovery Time Objective) : 재해로 인해 서비스가 중단되었을 때, 서비스를 복구하는데 걸리는 최대 허용 시간
• 복구 목표 시점(RPO : Recovery Point Objective) : 재해로 인한 서비스가 중단된 서버를 복구하였을 때, 유실을 감내할 수 있는 데이터의 손실 허용시점
• 업무 연속성 계획 vs 재난 복구 계획의 차이는 BCP는 IT 기술 포함 조직이 제공하는 모든 업무 영역에 대한 연속성을 유지, 재해 복구 계획은 IT 기술 영역에 국한

⭐️⭐️침해사고 대응⭐️⭐️

📝침해사고📝 : 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인해 발생한 사태, 전자적 침해행위로 인하여 정보통신기반시설을 공격하는 행위

⭐️⭐️침해사고 대응 절차 7단계(준탐초전조작해)⭐️⭐️

1. 사고 전 준비
2. 사고 탐지
3. 초기대응
4. 대응 전략 체계화
5. 사고조사
   • 데이터 수집
   • 데이터 분석
6. 보고서 작성
7. 해결

⭐️⭐️⭐️⭐️디지털 포렌식⭐️⭐️⭐️⭐️

• 침해사고 또는 사이버 범죄 발생 시 법적으로 유효한 증거를 디지털 기기에서 수집하고, 분석, 보관하고 제출하는 등의 일련의 과정을 다루는 과학분야

분야

• 디스크 포렌식
• 휘발성 데이터 포렌식(라이브 포렌식)
• 네트워크 포렌식
• 이메일 포렌식
• 웹 포렌식
• 모바일 포렌식
• 멀티미디어 포렌식
• 데이터베이스 포렌식

⭐️⭐️⭐️⭐️기본 원칙(정재 무신 연기)⭐️⭐️⭐️⭐️

• 정당성의 원칙 : 데이터를 수집하고 분석하는 전 과정이 적법한 절차에 의해서 이루어져야한다.
• 재현성의 원칙 : 동일 조건에서 디지털 포렌식을 재현하면 항상 같은 결과가 나와야 한다.
• 무결성의 원칙 : 수집된 디지털 증거가 분석, 보관 과정에서 위변조되지 않아야한다. 최초 수집 시점에 해시값을 추출하여 최초에 획득한 해시값과 비교하여 무결성을 확인
• 신속성의 원칙 : 디지털 데이터는 내외부 영향에 의해 쉽게 사라질 수 있으므로 디지털 포렌식은 가능하면 신속하게 진행
• 연계 보관성의 원칙(CoC : Chain of Custody) : 수집(획득) → 이송(이동) → 보관 → 분석 → 법정제출까지 일련의 단계에서 증거물 관리(보관) 주체들 간의 연속적인 승계 내역을 기록함으로써 디지털 증거가 최초 수집된 상태 그대로 어떠한 변경 없이 관리되었음을 입증해야함
  • 보관의 연속성 원칙이라고도 함
  • 담당자, 전달과정, 처리내용, 보관 방법, 해시값 등을 문서, 사진, 동영상을 통해 상세히 남겨야 하며 그 연결고리가 끊어져선 안됨

디지털 포렌식 5단계

• 사전 준비 : 디지털 포렌식에 필요한 도구 확보 및 사전 테스트를 수행하는 단계
• 증거 수집(획득) : 현장에 있는 대상 디지털 기기로부터 무결성을 보장하면서 디지털 증거를 수집하는 단계
• 보관 및 이송 : 현장에서 수집한 디지털 기기, 저장매체 등의 디지털 증거물을 연계보관성원칙을 만족시키면서 이동하고 보관하는 단계
• 조사 및 분석 : 수집한 디지털 증거물 등을 조사 및 분석하는 단계
• 보고서 작성 : 조사 및 분석 단계를 거쳐 취합된 결과를 이용해 법정에 제출할 보고서를 만드는 단계
  • 보고서에는 데이터의 수집 및 추출 과정부터 시작하여 수집된 데이터를 조사하고 분석하는 모든 과정을 기술

안티 포렌식

안티 포렌식 : 디지털 데이터를 조작, 삭제, 난독화를 통해 디지털 포렌식을 방해하는 행위

• 유형
  • 데이터 은폐 : 스테가노그래피
  • 데이터 파괴
    • 디스크 와이핑 : 디스크에 저장된 데이터를 랜덤한 값으로 여러번 덮어씌워 복구를 할 수 없도록 하는 방법
    • 디스크 디가우징 : 디가우저라는 전용장비로 디스크의 자성을 모두 제거하여 더이상 사용할 수 없는 상태를 만드는 방법

휘발성 데이터 수집 / 분석

• 휘발성 데이터 : 전원공급이 차단되거나 시간이 지남에 따라 저장매체에서 사라지는 데이터, 레지스터, 캐시메모리, RAM 메모리 등 휘발성 저장매체에 저장된 데이터를 의미
  • 사용 중인 다양한 시스템 자원에 대한 정보를 정확하게 파악할 수 있으므로 휘발성 데이터가 사라지기 전에 수집하는 것은 매우 중요함
• ⭐️⭐️⭐️⭐️휘발성 데이터 분석(윈도우 시스템 내장 명령 사용 예)⭐️⭐️⭐️⭐️
  • ⭐️⭐️시스템 날짜와 시간⭐️⭐️
    • 대상 시스템의 날짜와 시간을 가장 먼저 수집해야함
    • 시스템에 설정된 날짜와 시간을 알아야 추후 분석된 결과물에 대한 시간 관계(타임라인)을 정확하게 파악할 수 있음
    • date /t : 날짜 설정을 묻지 않고 결과만 출력
    • time /t : 시간 설정을 묻지 않고 결과만 출력
  • ⭐️⭐️시스템 기본 정보⭐️⭐️
    • 대상 시스템의 호스트 이름, 현재 사용자, 운영체제 정보 등을 수집
    • hostname : 대상 시스템의 호스트 이름 출력
    • whoami : 대상 시스템의 현재 사용자(현재 로그인 중인 사용자) 정보 출력
    • ver : 대상 시스템의 운영체제 버전 출력
    • systeminfo : 컴퓨터 이름, 설치된 운영체제 세부 정보, CPU 정보, 운영체제 가동 시간 등을 포함한 다양한 대상 시스템 정보를 확인할 수 있음
  • 네트워크 구성 및 연결정보
    • ipconfig /all : 대상 시스템의 네트워크 구성 정보를 확인하는 명령
    • netstat -anob : 대상 시스템에 listen 또는 established 된 네트워크 정보를 확인하는 명령
      • -a : 모든 소켓 상태 정보
      • -n : 네트워크 주소(IP, Port)를 숫자 형식으로 표시
      • -o : 각 소켓 연결과 관련된 프로세스 ID 표시
      • -b : 각 소켓과 관련된 실행파일 명 표시
  • 네트워크 공유자원(폴더) 및 원격 세션 정보
    • net use : 대상 시스템이 다른 시스템의 공유자원을 사용할 수 있는 명령으로 옵션을 사용하지 않으면 현재 연결된 원격 시스템 공유 자원 목록을 출력함
    • net share : 대상 시스템이 자신의 공유할 자원을 설정할 수 있는 명령으로 옵션 사용하지 않을 경우 현재 자신의 공유자원 목록을 출력함
    • net session : 대상 시스템으로 원격에서 연결 중인 모든 세션을 관리하는 명령으로 옵션을 사용하지 않으면 현재 대상 시스템에 연결된 모든 세션 정보를 출력함
  • 프로세스 정보
    • tasklist -v : 대상 시스템의 실행 중인 프로세스 목록을 출력하는 명령으로 -v옵션 사용 시 더 상세한 정보를 확인할 수 있음
  • 기타 정보
    • DNS 캐시 정보 확인 : ipconfig /displaydns
    • ARP 캐시 정보 확인 : arp -a
    • 라우팅 테이블 정보 확인 : netstat -rn

⭐️⭐️⭐️공통 평가 기준(CC : Common Criteria)⭐️⭐️⭐️

📝공통 평가 기준의 정의📝

• 정보시스템의 보안성을 평가하기 위한 기준을 정의한 국제 표준

⭐️⭐️CC 인증의 구성 요소⭐️⭐️

• 평가 대상(TOE : Target Of Evaluation) : 정보시스템의 보안성 평가 범위를 정의한 것
• 보호 프로파일(PP : Protection Profille) : 평가대상(TOE) 유형 별 보안 기능 요구사항을 기술한 문서로 특정 제품 구현과 독립적으로 정의
• 보안 목표 명세서(ST : Security Target) : 평가대상의 세부 보안 기능 요구사항과 구현 내용을 기술한 문서로 평가의 근거로 사용
  • 특정 회사의 특정 정보시스템(IT 제품)의 보안 특징을 서술하고 평가 범위를 정하여 이에 대한 보안 기능 요구사항을정의한 제품별 세부 평가 기준을 말함
  • 특정 제품 구현에 종속적으로 정의
• 평가 보증 등급(EAL : Evaluation Assurance Level) : 평가대상(TOE)의 보증 수준을 판단하는 척도를 정의한 등급으로 해당 등급을 구성하는 보증 컴포넌트 패키지로 이루어짐
  • 등급이 높아질 수록 보증 수준이 올라가며 평가 기간과 비용도 늘어남

사회공학 기법

사회 공학 기법의 정의

• 사람들 사이의 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 무너뜨리고 비 기술적인 수단으로 정보를 탈취하는 행위
• ex) 피싱, 파밍, 스미싱 등

컴퓨터 기반 사회 공학 기법

• 피싱 : Private data와 Fishing의 합성어
  • 희생자가 신뢰할 만한 발신자로 위장한 이메일 등을 전송하여 희생자가 내용에 있는 링크를 클릭하거나 첨부파일을 실행하면 가짜 사이트로 접속이 유도되어 개인정보, 금융정보 등을 탈취하는 형태의 공격을 말함
  • 공격 방법 : 희생자에 대한 정보 수집 후 신뢰할만한 발신자로 속인 가짜 이메일을 전송
• 파밍 : Private data와 Farming의 합성어
  • 희생자가 정상적인 도메인을 입력하여 접속해도 가짜 사이트로 접속이 유도되어 개인정보, 금융정보 등을 탈취하는 형태의 공격을 말함
  • 공격 방법 : hosts파일 변조, ,파밍형 악성코드, DNS 스푸핑 등
• 스미싱 : SMS와 Fishing의 합성어
  • 휴대폰 SMS를 이용한 Phishing공격을 말함
  • SMS를 이용하여 희생자가 관심을 가질만한 가짜 메시지를 제공한 후 희생자가 내용에 있는 링크를 클릭 시 가짜 사이트로 접속되어 개인정보, 금융정보를 탈취하거나 소액 결제 등이 이루어지는 형태의 공격
  • 공격 방법 : 희생자가 관심을 가질만한 가짜 SMS 메시지 전송

정보보호 및 개인정보보호 관리체계(ISMS-P) 인증

⭐️⭐️정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제도 정의⭐️⭐️

• 정보보호 및 개인 정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 한국인터넷진흥원 또는 인증기관이 증명하는 제도
• 정보보호 및 개인정보보호 관리체계 인증 기준
  1. 관리체계 수립 및 운영(16개)
  2. 보호대책 요구사항(64개)
  3. 개인정보 처리단계별 요구사항(22개)
  • 등 102개의 인증 기준으로 구성
  • 정보보호 관리체계(ISMS)의 인증을 받고자 하는 신청기관은 1. 관리체계 수립 및 운영, 2. 보호대책 요구사항의 80개 인증기준을 적용
  • 정보보호 및 개인정보 관리체계(ISMS-P) 인증을 받고자 한다면 3. 개인정보 처리단계별 요구사항을 포함한 102개의 인증 기준을 적용

⭐️⭐️⭐️관리체계 수립 및 운영⭐️⭐️⭐️

• 정보보호 및 개인정보보호 관리체계를 운영하는 동안 PDCA 모델 즉, Plan(계획), Do(실행), Check(점검), Act(개선)의 사이클에 따라 지속 반복 실행해야함