본문 바로가기

정보보호

DOS 및 DDOS 공격 유형의 변화와 대응 방안 (KISA-2012) 서버보안의 일을 하다 보면 주로 서버에 로그온 하는 자연인(부서/직급/이름으로 식별가능한 실제 사람과 서버에 접속할 때 입력하는 계정(ID) 그리고 로그온한 세션에서 실행한 명령어(Command)와 해당 명령어(Command)가 접근한 파일 그리고 파일에 접근할 때의 권한(읽기/생성/수정/삭제/실행) 관계를 다루는 일을 하게 된다. 때문에 주로 서버관리자, 개발자, 응용프로그램 운영자 및 외부 인력의 서버 내에서.. 더보기
스니핑(Sniffing)을 위한 5가지 공격 방법 과거의 Dummy Hub 환경과는 달리 스위칭 허브 환경에서는 단순히 스니핑 툴을 실행한다고 해서 패킷 스니핑이 되지 않는다. 이는 스위칭 허브(스위치)의 각 포트에 접속된 장비들의 MAC 주소를 캐싱하여 프레임(2계층의 데이터 단위)을 목적지 포트(스위치의 물리적 포트)로만 보내주기 때문이다. 즉 스위치에 접속된 컴퓨터는 수신될 즉 목적지 MAC 주소가 자신으로 되어 있는 프레임만 수신되기 때문에 다른 컴퓨터로 전송되는 .. 더보기
소프트웨어 개발 보안 가이드 (시큐어 코딩) 해커들의 공격 기법은 끊임없이 진화한다."실력 과시"와 "금전 획득" 등 해킹의 고전적인 목적 이외에도 개인과 개인, 조직과 조직, 더 나아가 국가와 국가간의 범죄, 이권 다툼, 전쟁의 수단으로 해킹(사이버 공격, 사이버 테러)이 이용되면서 다양한 소프트웨어와 시스템의 취약점이 끊임없이 발견되고 공격받고 있다.그로 인해 소프트웨어나 웹사이트를 개발하는 개발자들의 발등에도 불이 떨어졌다. 사용자 인증과정이나 전송되는 데이터의 무결성과.. 더보기
[보안사고사례] KT 고객 정보 1200만건 유출 - 범죄의 재구성 (2014.03.06) 또 한건의 대형 개인정보 유출사고가 발생했다. 그런데 해도 해도 너무한다. 이렇게 쉬운 방법으로 거대 통신사의 고객지원 웹사이트가 뚫리다니.... 지금껏 얼마나 많은 해커가 이 통신사의 개인정보를 무단으로 해킹해 유출시켰을지 모른다고 생각하니 참 한심하다 못해 어이가 없다. KT는 보안사고로 개인정보가 유출된 뒤 채 2년도 안돼 또 초대형 개인정보유출사고의 주범이 되는 불명예를 뒤집어 쓰게 되었다. 지금 KT 올레닷컴 사이트의 요금조회 페.. 더보기
USB 보안 프로그램 사용하기 TrueCrypt는 현재 VeraCrypt라는 이름으로 바뀌어 계속 서비스되고 있습니다. (보러가기)이동식 저장매체 중 하나인 USB 메모리에 공인인증서나 ISP 인증서 그리고 개인정보가 담긴 파일들을 보관하여 갖고 다니는 경우가 많다. 하지만 USB 메모리를 분실했을 경우에 대한 대비는 제대로 하지 못하고 있는 경우는 많지 않다. 어떤 방법으로 USB 메모리 내의 파일을..USB 메모리를 분실해도 습득한 사람이 보지 못하게 할 수 있는지 모르는 경.. 더보기
스미싱에 대처하는 방법 요즘 스미싱이라는 기법을 통해 스마트폰을 악성코드에 감염시키고 개인정보를 유출하거나 소액결제를 유도하는 사이버공격이 극성을 부리고 있다. 초기엔 "무료쿠폰"과 같은 공짜 상품을 미끼로 내세우더니 점차 "청첩장", "돌잔치" 등 초대장으로 바꾸고 이젠 "민방위훈련"까지 스미싱에 악용하고 있다.스미싱이란 무엇인지 알아보면...SMS 및 카카오톡 등의 문자메시지를 이용해 악성코드의 설치를 유도하는 공격기법이다.해커들은 다음과 같이 문자메시지(SMS)를 이.. 더보기
APT 방어 시스템 구축 방안과 네트워크 기반 APT 방어솔루션에 대한 오해 최근 가장 뚜렷한 보안 이슈는 APT 공격이다. 보안관련 뉴스만 봐도 얼마전까지는 DDOS 공격에 대한 이슈가 더 많이 눈에 띄었으나 최근엔 APT 공격에 대한 위험과 방어 대응체계에 대한 이슈들이 훨씬 많다.  이 기사에서 볼 수 있듯 기업 전산실이나 공공기관 전산실에 근무하는 정적인 업무를 수행하는 담당자들의 보안 지식은 조금은 부족한 경우가 많다. 다른 분야와 달리 "보안"분야는 어느 한두가지 기술적 지식만으로는 기술이슈에 대해 .. 더보기
신용카드사 개인정보 유출 사태 (KB, 농협, 롯데, 2014년 ) 2014년 1월 또 한번의 초 대형 보안사고가 발생했다. 이번엔 신용카드사에서 보유하고 있는 신용카드 발급 고객의 개인신상정보와 신용등급, 결제계좌정보 등의 비교적 고급정보 그리고 심지어 일부 고객의 경우 카드번호와 발급일자까지 유출된 것으로 보인다. 내 경우도 다음과 같이 "나도 알지 못하는" 나에 대한 정보가 유출되었다고 나온다. 과연 계속 이 금융사를 "주거래" 은행과 카드사로 이용해야할지를 심각하게 고민하게 만든다. .. 더보기
스마트폰 url 오류를 이용한 악성 앱 감염 공격 방어 스마트폰이 생필품이 되어가면서 해킹 혹은 정보유출을 시도하기 위한 정말 다양한 "침투" 기법들이 등장하고 있다. 지난 번에 올린적이 있는 "카카오톡을 이용한 악성 앱 전파" 시도에 이어 우연하게도 새로운 기법을 알게 되었다.  바로 스마트폰의 브라우저에 잘못된 주소가 입력될 경우 악성 앱을 설치하도록 유도하는 기법이다. 예를 들어 www.google.com 을 입력하려 했으나 아래 화면처럼 오타로 인해 잘못된 URL인 www.googls... 더보기
맥아피 MATD (McAfee Advanced Threat Defense) 세미나 오랫만에 새로운 보안 솔루션의 제품출시 세미나에 다녀왔다. 사실..얼마만인지 모르겠다. -.- 첫 직장이나 다름없는 곳에서 만나 오랜 인연을 맺고 있는 유클릭의 이재헌 부장의 초청으로 참가신청을 하고 오랫만에 얼굴도 볼겸 다녀오게 되었다.난 서버를 직접만지는 보안일을 하기에 사실 네트워크 보안에는 별 관심이 없었지만 최근 정보보안기사 시험준비를 하며 보안업계가 실질적인 중요정보가 저장되는 서버보다는 "네트워크"에서의 침해 행위 탐지에 더 관심이 많다.. 더보기
시스템(서버) 접근제어 솔루션(SAC)는 과연 보안솔루션일까. 최근 몇년간 대형 보안사고 및 정보유출 사고가 증가하는 추세다. 그리고 대형 공공기관과 금융기관 그리고 일반 기업에서 보호 대책의 일환으로 다양한 보안 솔루션들을 많이 도입하고 있다. 그중에서도 핫~한 솔루션이 바로 SAC (System(or Server) Access Control) 솔루션이다. 그리고 이러한 SAC 솔루션들이 인사시스템과 연계하여 계정통합관리(Identity Management : IM) 솔루션의 영역까지 접수(?)하면서.. 더보기
개인정보의 정의와 범위 그리고 무분별한 사용 실태 IT산업이 발달한 현대사회에서 개인을 유일하게 식별할 수 있는 정보는 일상의 모든 일에 필수적이다. 금융거래를 비롯해 개인과 기업의 계약과 거래, 개인과 개인의 계약과 거래에 개인의 유일한 식별자는 필요하다. 그런 측면에서 대한민국은 세계에서 몇 안되는 편리한(?) 나라다. 주민등록번호 하나만 있으면 그 사람의 거의 모든 금융거래를 비롯한 평생의 행적(?) 거의 완벽하게 추적할 수 있기 때문이다. 인터넷이 활성화 되고 많은 공공기관과 기업들.. 더보기