기술사 보안 토픽
모든 태그 보기
| 분류 | 기술요소 | 설명 |
|---|---|---|
| 탐지 | 레이더 | X-band / Ku-band 이용 탐지 |
| RF 스캐너 | 통신 신호 분석 | |
| 광학카메라 | 강학신호 탐지 카메라 이용 | |
| IR 카메라 | IR 센서 탐지 카메라 이용 | |
| 식별 | 육안식별 | 초고 고해상도 부착 식별 |
| 전자식별 | 색채반응 의 전자·원격식별 | |
| Hard Kill | 고폭 / 네트 | 고폭 / 네트 이용 요격 |
| 전자에너지 무기 | 레이저 / RF 광학전(GM) 공격 | |
| Soft Kill | 통신 재밍 | 전파 방해로 비행통신 제어 |
| 위성항법재밍 | 귀환 라디오 유리해 비행방향전환 | |
| 지오 펜싱 | 항법 SW GPS에 비행금지구역 정보 전송 |
| 구분 | 사업 | 비고 |
|---|---|---|
| 국가 안보 사업 | 국가 안보, 비밀, 정부 정책 관련 사업 | 정보시스템 구축 및 운영 사업 |
| 대규모 사업 | 대규모 예산 투입 사업 | 총사업비 10억 이상 |
| 다량의 DB 자료를 처리하는 사업 | 100만명 이상 개인/민감정보 취급 | |
| 망 사업 | 외부 기관 간 망 연동 사업 | 내부망과 외부망 간의 연계 또는 망 분리 사업 |
| 신기술 도입 사업 | 보안 정책 과제 및 최신 IT기술 적용사업 | 스마트폰, 클라우드 컴퓨팅 등 |
| 구분 | 단계 | 설명 |
|---|---|---|
| 보안성 검토 | 기획 | 인프라 구성 |
| 개인정보 취급 | ||
| SW 개발 | ||
| 보안요건도출 | 설계구현 | 보안 요건 도출 |
| 보안가이드 제공 | ||
| 보안요건 교육 | ||
| 보안성검수 | 검수 | 관리체계 보안성 점검 |
| 인프라 취약점 점검 | ||
| 어플리케이션 취약점 점검 | ||
| 소스코드 취약점 점검 |
| 구분 | 내용 | 체크리스트 |
|---|---|---|
| 물리적 시설 보안 | 주요 정보시스템의 안전한 운영을 위한 물리적 접근 통제 | 장비 설치 위치, 출입통제, 반입통제, 영상감시 시스템 구축 |
| 정보시스템 보안 | 시스템 내 보안 위협을 최소화하고 관리 프로세스 확보 | 취약점 보안패치 적용, 패스워드 정책 준수, 시스템 관리자 권한 최소화, 로그 및 모니터링 관리 |
| 네트워크 보안 | 안전한 데이터 전송 및 외부 접근 통제 | 전송데이터 암호화, 원격접속 VPN 보안, 망분리 적용, 방화벽 및 침입탐지시스템(IDS/IPS) 구축 |
| 어플리케이션 개발보안 | 보안이 강화된 소프트웨어 개발 및 인증 관리 | 소스코드 내 인증정보 제거, 보안 취약점 점검, 사용자 식별 및 접근통제, 코드 서명 및 무결성 검증 |
| 개인정보보안 | 개인정보의 안전한 수집, 저장, 처리, 파기 정책 적용 | 개인정보 수집 시 명확한 동의 절차, 정보주체 권리보장(열람·정정·삭제), 보존기간 경과 시 안전한 파기 |
| 외주업체 관리 | 외주업체의 보안 준수를 위한 절차 및 관리 강화 | 외주개발자 계정 및 권한 통제, 외주업체 보안교육, 개발 종료 후 데이터 및 소스코드 파기, 외부 개발 환경 접근 제한 |
| 구분 | Disk to Disk | Disk to File |
|---|---|---|
| 개념도 | 디스크 -복사-> 디스크 | 대상디스크 -> 쓰기방지장치 -> 디스크이미징도구 -> 이미지파일 |
| 개념 | 원본 디스크를 다른 물리적 디스크에 복제 | 원본 디스크를 하나의 이미지 파일로 저장 |
| 특징 | 빠른 데이터 복제 | 단일 파일 형태로 보관 가능 |
| 동일한 저장 장치 필요 | 다양한 포맷 지원 (RAW, E01 등) | |
| 원본과 동일한 환경 구성 | 데이터 무결성 유지 |
| 구분 | 활용방안 | 내용 |
|---|---|---|
| 보안 | 이미지 캡처 | 원본 디스크를 보존하고 포렌식 분석을 위한 사본 생성 |
| 사이버 공격 대응 | 랜섬웨어, 악성코드 감염 시스템의 증거 보존 및 복구 | |
| 활성 컴퓨터 시스템 스냅샷 | 시스템 메모리, 프로세스 상태를 포함한 포렌식 분석 수행 | |
| 연속성 관리 | 데이터 백업 | 중요 시스템 및 데이터를 무결성 유지 상태로 보관 |
| 배포 | 가상 컴퓨터 생성 | 원본 시스템을 VM으로 변환하여 운영 환경 유지 |
| 시스템 배포 | 동일한 OS 및 설정을 여러 장치에 신속 배포 |
| 구분 | DRM | DLP |
|---|---|---|
| 개념도 | 문서 --- 문서유출 --- 열람불가 | 문서 --- 다양한 외부 업로드 경로 --- 차단/감지 |
| 개념 | 디지털 콘텐츠의 생성과 이용까지 유통 전 과정에 걸쳐 안전한 권한에만 정보를 보이게 통제하는 보안 기술 | 기업 내부 민감정보 및 개인정보 등의 데이터 유출을 방지하기 위해 데이터 흐름을 감시하는 보안 기술 |
| 구분 | DRM | DLP |
|---|---|---|
| 동작방식 | 각 문서단위 권한 제어 | 데이터 분류 및 유축 탐지 |
| 암호 화 | 문서 암호화 | 암호화 없음 |
| 적용 | 사용자 권한 레벨 정의, 문서 생성자 권한 부여 | 데이터 유출 경로, 이메일, 첨부파일 업로드 |
| 목적 | 문서 유출시 기밀성 보장 | 문서 유출 차단 |
| 예시 | 문서 DRM, 멀티미디어 DRM | 네트워크 DLP, 엔드포인트 DLP |
| 구분 | 내용 | 비고 |
|---|---|---|
| 클래스 로더 | 클래스 로드 여부 검사, 파일 실행 | JVM 환경 |
| 바이트 코드 검사기 | 클래스가 명확한 바이트 코드 포맷인지 검사 | 코드 변조 탐지 가능 |
| 보안관리자 | 신뢰없는 클래스가 보호된 자원에 접근하지 않게 차단 | 파일 접근, 네트워크 사용 제한 |
| 외부 시스템과 격리된 가상 환경에서 파일 실행 | 가상 실행 환경 제공 | |
| 악성코드 및 의심 파일을 안전 영역(Safe Zone)으로 이동하여 분석 | 악성코드 행동 분석 |
| 구분 | 활용분야 | 내용 |
|---|---|---|
| 가상 실행 환경 | 애플리케이션 테스트 | 샌드박스 내에서 실행하여 시스템에 영향을 주지 않도록 테스트 |
| SW 보안 | 악성코드 분석 | 의심 파일을 가상 환경에서 실행하여 악성 여부 판단 |
| 안전 결제 환경 제공 | 온라인 결제 시 악성코드 감염 여부 검사 후 실행 | |
| 디바이스 보안 | 사용자 단말 보호 | 악성코드 탐지 및 랜섬웨어 차단 |
| 모바일 앱 샌드박스 | 앱이 시스템에 미치는 영향을 최소화하고 보안 격리 | |
| 브라우저 샌드박스 | 웹사이트 실행 시 악성 코드 감염 방지 |
| 구분 | 유형 | 내용 |
|---|---|---|
| 평가대상 | 클라우드기반 서비스 | IaaS, SaaS, PaaS, Daas |
| 평가인증 종류 | 평가 시점 및 인증 등급 | 평가 최초, 사후, 갱신 |
| 표준(IaaS/SaaS/DaaS), 간편(SaaS) | ||
| 평가인증 조직 | 정책, 평가, 인증, 자문 | 정책(과기부), 평가/인증(KISA), 자문(국가보안연구소) |
| 구분 | 항목 | 내용 |
|---|---|---|
| 관리적 | 정책/조직 | 클라우드 서비스 제공자의 보안 정책 수립 및 조직 운영 |
| 인적보안/교육 | 임직원 및 관계자의 보안 교육, 권한 관리, 접근 통제 강화 | |
| 자산 식별 관리 | 클라우드 내 IT 자산(서버, 스토리지, 네트워크) 식별 및 보호 | |
| 침해사고 관리 | 보안 사고 대응 프로세스 수립, 침해사고 탐지 및 보고 체계 운영 | |
| 물리적 | 출입통제 | 데이터센터 출입 권한 관리 및 접근 통제 절차 마련 |
| 식별/인증 | 데이터센터 및 주요 시스템 접근자에 대한 인증 절차 강화 | |
| 물리적 보호 구역 | 보안 구역 설정, 감시 카메라, 출입 기록 관리 | |
| 장비보호 | 서버 및 네트워크 장비의 보호 및 물리적 환경(온도, 습도) 관리 | |
| 기술적 | 가상화 환경 인프라 | 가상 머신(VM), 컨테이너 보안 및 하이퍼바이저 보호 |
| 접근권한 인증 | 사용자 및 관리자 접근 권한 제어, MFA(다중 인증) 적용 | |
| 네트워크 보안/암호화 | 데이터 암호화, IDS/IPS 적용, 방화벽 운영 및 보안 프로토콜 활용 |
| 등급 | 대상시스템 | 비고 |
|---|---|---|
| 상 | 민감정보, 행정 내부 업무 운영 시스템 | 높은 보안 요구사항 적용 (망분리 필수) |
| 중 | 비공개업무자료 포함 또는 운영시스템 | 제한적인 인터넷 접근 허용, 강화된 보안통제 적용 |
| 하 | 개인정보 미포함, 공개된 공공데이터 운영 시스템 | 논리적 망분리 허용 |
| 구분 | 기능 | 설명 |
|---|---|---|
| 사용자 요청 검사 | 입력 검증(Input Validation) | 사용자 입력값을 필터링하여 SQL 인젝션, XSS 공격 차단 |
| 요청/응답 필터링 | GET, POST 요청과 응답 패킷을 분석하여 이상 트래픽 탐지 | |
| 세션 관리 보호 | 인증 토큰 변조, CSRF 공격 방지 | |
| 컨텐츠 보호 | 웹사이트 무결성 보호 | 웹 쉘(Web Shell) 업로드 차단, 악성 스크립트 방어 |
| 데이 터 유출 방지 | 민감 정보(주민등록번호, 카드번호 등) 포함 요청 차단 | |
| 암호화 트래픽 분석 | TLS/SSL 복호화를 통해 암호화된 공격 탐지 | |
| 보안 | 시그니처 기반 탐지 | OWASP Top 10 기반 탐지 패턴 적용 |
| 행동 분석 기반 탐지 | 이상 징후(비정상 요청 패턴, 속도, 빈도) 감지 | |
| DDoS 방어 | HTTP Flooding, Slowloris 등 L7 DDoS 공격 차단 |
| 구분 | 세부 유형 | 설명 |
|---|---|---|
| 텍스트 방식 | 텍스트를 이미지화 | 사용자가 왜곡된 문자/숫자를 해독하여 입력 |
| 질문 응답 | 간단한 수학 문제나 논리 문제를 풀도록 유도 | |
| 오디오방식 | 입력텍스트를 오디오로 출력 | 시각 장애인을 위한 대체 방법으로, 음성으로 캡차 제공 |
| 이미지방식 | 이미지 분류 | 특정 조건에 맞는 이미지를 선택하도록 요구 |
| 이미지 퍼즐 | "나는 로봇이 아닙니다" 체크박스, 퍼즐 조각 맞추기 |
| 구분 | 방안 | 내용 |
|---|---|---|
| 난독화 강화 | 텍스트 왜곡 및 노이즈 추가 | OCR(광학 문자 인식) 기술을 우회하기 어렵게 함 |
| 멀티모달 적용 | 이미지 + 오디오 조합 | 시각/청각 장애인을 고려하면서 보안성 강화 |
| 사용자 행동 감지 | 마우스 움직임 및 키 입력 분석 | 인간 사용자의 행동 패턴을 학습하여 봇 탐지 |
| AI 대응 | 동적 캡차 생성 | 캡차 패턴을 인공지능이 학습하지 못하도록 랜덤화 |
| 인증 연계 | MFA(다중 인증) 활용 | 로그인 과정에서 추가적인 보안 요소로 활용 |
| 단계 | 설명 | 예시 |
|---|---|---|
| 1. 공격 준비 | 공격자가 악성 웹사이트, 이메일 등을 통해 CSRF 공격을 수행할 환경을 구축 | 피싱 사이트 생성, 악성 링크 포함된 이메일 발송 |
| 2. 공격 수행 | 사용자가 악성 사이트에 접속하면 자동으로 요청이 실행됨 | 자동 POST 요청, 이미지 태그를 통 한 GET 요청 포함 |
| 3. 피해 발생 | 사용자의 세션을 활용하여 원치 않는 요청이 실행됨 | 비밀번호 변경, 송금 요청, 계정 삭제 |
| 구분 | 대응방안 | 내용 |
|---|---|---|
| 토큰 기반 방어 | CSRF 토큰 (CSRF Token) | 요청 시마다 난수 기반 토큰을 포함하여 서버에서 검증 |
| 인증 기반 방어 | SameSite 속성 사용 | 쿠키의 SameSite 속성을 Strict 또는 Lax로 설정하여 CSRF 방어 |
| HTTP 헤더 검증 | Referer 및 Origin 검증 | 요청의 Referer 또는 Origin 값을 확인하여 출처가 올바른지 검증 |
| 구분 | XSS | CSRF |
|---|---|---|
| 개념 | 공격자가 악성 스크립트를 삽입하여 실행하는 공격 | 사용자의 인증된 세션을 악용하여 원치 않는 요청을 보내는 공격 |
| 공격 방식 | 클라이언트 측에서 실행되는 JavaScript 코드 | 서버 측에서 사용자의 세션을 도용하여 요청 수행 |
| 주요 피해 | 사용자 정보 탈취, 세션 하이재킹, 웹사이트 변조 | 비밀번호 변경, 송금, 계정 삭제 등 원치 않는 행동 수행 |
| 방어 기법 | CSP(Content Security Policy), 입력 검증, HTTPOnly 쿠키 사용 | CSRF 토큰, SameSite 쿠키, Referer 검증 |
| 구분 | 핵심요소 | 설명 |
|---|---|---|
| 목적 | 전자상거래 활성화 | APEC 내 국가 간 개인정보 흐름을 원활하게 하여 디지털 경제 촉진 |
| 개인정보보호 | 개인정보의 적절한 보호를 보장하면서도 기업의 데이터 활용과 국제 데이터 전송을 지원 | |
| 적용범위 | APEC 회원국 | APEC에 가입한 국가들을 대상으로 하며, 회원국 간의 상호인정 협약 기반으로 운영 |
| 대상 | 개인정보 | 개인을 식별할 수 있는 모든 정보에 적용 |
| 개인정보처리자 | 개인정보를 수집, 저장, 이용 및 공유하는 기업 또는 조직이 적용 대상 | |
| 수탁처리자 제외 | 개인정보를 직접 처리하는 기업(Controller)에 초점을 맞춤 | |
| 단순 데이터 처리만 수행하는 수탁업체(Processors)는 직접적인 적용 대상이 아님 | ||
| 갱신주기 | 1년 단위 갱신 | CBPR 인증을 받은 기업은 매년 개인정보 보호 준수 여부를 평가받아야 하며, 갱신을 통해 지속적인 적합성을 유지 |
| 분야 | 세부분야 | 내용 |
|---|---|---|
| 개인정보관리체계수립 | 정책 및 절차 수립 | 기업 및 조직이 개인정보 보호를 위한 정책과 절차를 문서화하고 준수하도록 요구 |
| 책임성 확보 | 개인정보 보호책임자 지정, 기업의 개인정보 보호 조치 이행 및 지속적 개선 요구 | |
| 개인정보 수집 | 최소 수집 원칙 | 개인정보는 목적에 필요한 최소한의 정보만 수집하도록 제한 |
| 투명성 확보 | 개인정보 수집 시 정보주체에게 수집 목적, 이용 범위 등을 명확히 고지 | |
| 개인정보 이동/위탁/제공 | 목적 내 이용 | 개인정보는 수집된 목적 내에서만 사용해야 하며, 목적 변경 시 추가 동의 필요 |
| 제3자 제공 제한 | 개인정보를 제3자에게 제공할 경우 명확한 동의 절차 및 보호 조치를 마련해야 함 | |
| 정보주체 권리 | 열람 및 정정 | 정보주체는 자신의 개인정보에 대한 열람 및 정정을 요구할 수 있어야 함 |
| 선택권 및 동의 철회 | 정보주체는 자신의 개인정보 이용에 대한 선택권을 가지며, 언제든 동의를 철회할 수 있음 | |
| 무결성 | 데이터 품질 유지 | 개인정보가 정확하고 최신 상태로 유지될 수 있도록 관리 |
| 보관 및 삭제 정책 | 불필요한 개인정보는 보관하지 않고, 일정 기간 후 안전하게 삭제해야 함 | |
| 보호대책 | 기술적 보호조치 | 암호화, 접근제어, 침입탐지 등 개인정보 보호를 위한 기술적 조치 요구 |
| 물리적 보호조치 | 개인정보를 저장하는 서버, 네트워크, 문서 등의 안전한 보호 필요 |