[태그:] 정보보호관리체계
taeho의 정보보호관리체계 관련 글입니다.
-
제8회 병원 의료정보화 발전 포럼 참가
2년 전... 전자정부 정보보호 솔루션페어 참가 이후 행사 참여는 일절 없었는데 2년 만에 작지만 포럼에 참가하게 되었다. 내가 하는 "서버보안" 일이 보안업계에서도 그다지 겉으로 드러나지 않는 분야이기에 세미나나 포럼 등 참가할 일이 사실 거의 없다. 서버보안은 많은 사람들이 그저 "운영체제의 보안 설정 잘해주면 되는거 아냐?"라고 생각하기 일쑤다. 하지만 운영체제의 보안설정이라는 것이 운영체제가 갖고 있는 근본적인 취약성을 제거해주지는 못할 뿐더러 "내부통제" 측면에서 봤을 때는 사실상 "보안 설정을 하나 안하나" 별반 차이없는 …
-
웹서버까지 공격하는 랜섬웨어 – RedCastle로 방어한다.
2015년 봄... 인터넷을 뜨겁게 달구던 클리앙 랜섬웨어 유포사고는 랜섬웨어를 사용자들의 PC에 감염시키기 위해 웹서버를 "이용"했을 뿐이다. (사고 관련 포스트 보러가기) 그래서 사실 웹서버에는 별다른 피해가 발생하지 않는다. 이렇게 서버에 별다른 피해를 끼치지 않기에 웹서버를 이용한 악성코드 유포사고로 피해를 보는 것은 일반 사용자들 뿐이다. 서버를 운영하는 기업들이나 공공기관은 별다른 피해를 입지 않고 "욕만 한번" 먹고 그냥 넘어가기 일쑤다. 하지만 최근 랜섬웨어가 일반 사용자들의 PC 뿐만아니라 서버까지도 공격한다는 소식 …
-
취약점 진단 도구 네서스(Nessus) 설치하기
Nessus는 매우 유명한 보안 취약점 점검 도구 입니다. 원래는 무료버전으로 제공이 되었었는데 기능이 강화되면서 유료로도 판매를 하고 있을만큼 유명한 보안 취약점 점검도구 입니다. 오늘은 칼리 리눅스에 네서스를 설치하는 과정을 기록해두고자 이 포스트를 작성합니다. 칼리리눅스에는 아쉽게도 네서스가 포함되어 있지 않습니다. 그래서 별도로 설치를 해야합니다. 먼저 네서스 홈페이지에서 설치 파일을 다운로드 받습니다. 설치할 운영체제의 종류와 버전에 따라 다운로드 받습니다. 전 칼리리눅스이기 때문에 Debian 버전을 받습니다. 칼리리눅스 …
-
리눅스 패스워드 정책 설정 (CentOS 6.6 기준)
RedHat의 클론 OS인 CentOS는 클론답게 RedHat 리눅스와 90% 이상 동일합니다. 심지어 커널버전이 동일하다면 RedCastle과 같은 커널수준에서 동작하는 SW도 문제없이 실행이 될 정도입니다. 아마도...패스워드 규칙도 마찬가지이지 않을까 생각합니다. 패스워드 정책이라 함은... 비밀번호 길이는 최소 8자... 비밀번호는 영문 알파벳, 숫자(최소1개), 특수문자(최소1개)가 포함되어야 함... 비밀번호는 사용자ID가 포함될 수 없음... 비밀번호 변경 시 이전에 사용한 패스워드는 3개까지 사용 금지... 등등.. …
-
ISMS 인증심사원 자격 취득 – 자격증명서 수령 (2015년)
2014년 겨울... 10년 여의 보안업계 근무 경력을 증거할 무언가를 만들기 위해...그리고 혹시나 모를 이직에 대비하기 위해 필기와 실기를 합쳐 평균 10% 내외라는 합격율을 자랑(?)하는 정보보안기사 자격증을 취득했다. 그리고 강화된 ISMS 인증심사원 제도가 시행된 첫 해인 2015년, 서류전형 및 필기시험과 5일간의 교육 그리고 실기 시험을 거쳐 자격증을 취득하게 되었다. (ISMS 인증심사원 시험합격과 심사원 교육) ISMS 인증심사원 제도 ISMS 인증심사원은 2014년 까지는 "위촉"의 형태였다. 위촉의 사전적 의미는 …
-
RedCastle의 서버방화벽을 이용해 중국 IP접속 차단하기
RedCastle은 SecureOS 입니다. IT인프라의 네트워크 또는 응용프로그램의 취약성을 뚫고 서버 내부로 침투한 이후, 해커의 행위를 통제할 수 있는...어찌보면 보안인프라 중에서도 최후의 보루라 할 수 있죠. 최후의 보루라는 이유는 해커가 서버 운영체제의 SuperUser 권한이나 어플리케이션 관리자 권한을 탈취한 뒤에도 방어가 가능한 유일한 보안 솔루션이기 때문입니다. SecureOS 이외의 어떤 보안 솔루션도 root 권한...Administrator 권한을 획득한 해커의 공격을 막아낼 수 있는 솔루션은 없습니다. 물론 …
-
ISMS 인증심사원 필기시험 합격과 교육 (2015년)
직장에 적을 두고 일을한지 20여년... ISMS 인증심사원 자격 취득은 앞으로의 20년(?)을 위한 전환점이 되지 않았나 싶다. IT업계에 몸담은 이후 개발..DBMS..시스템(서버위주) 성능/장애/이벤트 통합관리..그리고 서버 보안 등 다양한 기술업무를 주 업무로 수행한지 17년.. 그리고 최근 몇년간은 프리세일즈 업무를 수행했다. 그리고 지난 2~3년은 현재하고 있는 일 보다 한단계 발전적인 일을하기 위한 여러 시도를 했었고 그 마지막 결실의 수확을 눈앞에 두고 있다. 바로 ISMS 인증심사원 이다. 내가 작년부터 시도한 보안 …
-
정보시스템감사통제협회 저널(2015) 기고
ISACA와의 인연 2002~3년 KBS에서 6개월 상주 프로젝트를 진행하던 즈음에 시험에 합격했던 CISA로 ISACA와 인연이 되었습니다... 그리고 몇년 뒤 경력 증명 자료와 함께 자격 신청을 했고 라이센스를 부여받았습니다. 그 후 몇년간은 미국 ISACA 회원으로 가입하여 CPE 입력과 회비 납부를 성실하게 수행하여 CISA 자격을 유지했었죠. 하지만 이직 한 직장에서 이직하지 않고 쭈욱~재직하면서 몇년동안 회비납부와 CPE 입력을 등한시 했더니.. CISA 라이센스가 Expire 되었습니다. 즉, CISA 자격이 취소 된 …
-
ISMS 인증의 인증기준 변경 (2013)
ISMS는 "정보보호관리체계(Information Security Management System)"이다. 즉 조직(기업 혹은 공공기관 등)의 정보서비스를 수행하는 시스템과 정보(Information 혹은 Data)를 보호하기 위한 전체적인 정보보호시스템을 체계적으로 구축하고 문서화하고 운용하기 위한 체계다. 그리고 ISMS 인증은 독립된 제3자가 조직의 정보보호관리체계를 평가하고 그 수준이 만족스러울 경우 정보보호관리체계가 잘 운용되고 있음을 인증해주는 제도다. 그렇다면 당연히 정보보호관리체계를 평가하기 위한 인증 기준이 존재할 …
-
Secure OS의 역사와 국산 Secure OS 제품의 비교
2000년을 전후하여 처음 접하게 된 보안 솔루션이 있었습니다. 첫 직장에 입사 후 2년간의 개발 업무를 거쳐 Ingres RDBMS 기술지원 2년여... 그리고 시스템 통합관리 소프트웨어인 CA Unicenter 제품군과 BMC Patrol 제품을 거쳐 공부하게 된 보안솔루션이 바로 SecureOS 솔루션인 CA eTrust Access Control 입니다. eTrust Access Control은 운영체제에 동적 커널 모듈 (DLKM : Dynamic Loadable Kernel Module)로 구현된&nb …