IT 지식노트

1. 비대칭 암호화- 공개키/개인키 쌍을 사용해 복잡한 키 배포시스템의 오버헤드 없이 안전한 통신이 가능함. 공개키와 개인키공개키자신의 공개키를 통신하기 윈하는 이에게 공개.제 3자가 소유하더라도 암호체계에 영향이 없음.개인키생성한 개인만 소유.절대 공유해서는 안됨. RSA창시자의 이름을 따서 명명.큰 소수를 인수분해 하는 과정의 계산 복잡도와 연관.- 알고리즘 2개의 큰 소수 p,q 선택 n = p x q 다음 조건의 숫자 e를 선택 e < n e와 (n-1)(q-1)은 서로소 (ed-1) mod (p-1)(q-1) = 0 인 d를 찾는다 e와 n을 공유키로 배포, d는 개인키 C = Pe mod nP = Cd mod n 엘 가멀디피-헬만 알고리즘의 수학적 배경을 확장한 알고리즘장점: 공개적(특허 없음..

1. 암호화 기법의 역사시저암호줄리어스 시저가 사용한 암호체계알파벳을 3칸 이동시키는 치환암호 미국 남북전쟁단어치환과 자리바꿈의 조합알버트 마이어의 깃발신호 울트라와 에니그마 (2차대전 기간)에니그마: 독인 군수업체의 상용 암호화 기계. 3~6개의 회전자로 구성된 복잡한 치환 암호법.울트라: 에니그마 코드를 해독하는 기밀작전보라기계: 일본의 유사한 암호화 기계 2. 암호학 기초암호화의 목적- 기밀성데이타가 유휴상태(디스크 등)나 전송상태에서 데이터의 비밀을 유지하는 것- 무결성인증 없이는 데이터가 변경되지 않음을 보장거짓 정보 삽입이나 전송 과정의 오류 등으로 부터 데이터를 보호메시지 무결성은 디지털 서명으로 유지. 공개키/비밀키 시스템에서도 사용- 인증 시스템 사용자의 신원을 검증 서버 - 부인방지메시..

1. 악성코드악성코드의 기원초기에는 악성코드 제작에 자부심을 느끼는 SW개발자들이 제작. SW패키지나 OS의 보안 취약점을 노출시켜 보안의식을 고취시키는 유용한 기능이 있었음.스크립트 키디에 의해서 아마추어 제작자가 만든 코드가 급속히 퍼지는 경우가 있음.범죄집단에 의해 돈과 신분을 훔치는데 사용 됨. 바이러스바이러스 복제 기술- 데이터를 전송함으로써 시스템 간에 퍼지는 기술이 포함 되어야 함. MBR(마스터 부트 레코드) 바이러스 초기형태의 바이러스. 코드 주요 부분은 다른 매체에 저장하고, 시스템이 감염된 MBR을 읽으면 다른 장소의 바이러스 코드를 읽고 실행하고 메모리에 로드한다. 파일 감염 바이러스 실행파일을 감염시키고, OS가 실행 할 때를 기다린다. 은닉기술을 사용하지 않는 바이러스는 쉽게 발..

1. 애플리케이션 이슈로컬/비분산 컴퓨팅바이러스악성코드의 오래된 형태트로이목마유용한 프로그램으로 보이는 악성 프로그램논리폭탄특정 조건을 만족 할 때 까지 잠복하는 악성코드주로 날짜를 기준으로 잠복웜자기 복제를 통한 전파. 메모리에 위치하고, 네트워크의 취약점을 악용. 분산 컴퓨팅에이전트(bot)사용자의 명령을 받고 활동하는 지능적인 악성코드 객체웹봇(Web bot): 웹사이트를 크롤링하고 데이터를 처리애플릿서버에서 클라이언트로 어떠한 작업을 수행하도록 하는 것처리부담을 클라이언트로 이전해 더 많은 사용자의 요청을 처리할 수 있음자바애플릿: 샌드박스를 통한 코드의 특권 제한액티브X컨트롤: MS사의 기술. 샌드박스는 없음 2. 데이터베이스와 데이터 웨어 하우징DBMS(데이터베이스 관리 시스템) 구조계층적 데..

1. 서드파티 거버넌스 관리- 보안 거버넌스조직의 보안에 대한 노력을 지원/정의/지시 하는 것과 관련된 사례의 모음- 서드파트 거버넌스법률, 규정, 산업표준, 라이센스 요구사항에 의해 위임 될 수 있는 감독 시스템명시된 보안객체, 요구사항, 법령과 계약상 의무 등의 준수를 검증하는데 관점- 감사와 평가 단계대상 및 이사회 모두가 전체적이고 개방된 문서교환과 검토에 참여- 문서 검토교환된 자료가 표준과 예상에 부합하는지 검증하는 과정 2. 위험관리주요 목적: 위험을 수용 가능한 수준으로 감소시키는 것 위험용어자산환경 내에서 보호 돼야 할 것 들HW, SW, 시설물 등자산가치자산에 부여된 화폐가치위협조직이나 특정 자산에 대해 원치 않는 결과를 유발 할 수 있는 잠재적 행위취약성자산의 약점 또는 안전장치나 대..

1. 보안 관리 계획- 보안정책의 적절한 생성, 구현, 집행을 보증중앙관리자 책임: 표준, 베이스라인, 가이드, 절차운영관리자, 보안전문가: 규정된 설정을 구현사용자: 모든 보안 정책 준수- 보안 관리 계획 3개 유형 전략적 계획: 장기계획, 보안목적규정, 위험평가를 포함 전술적 계획: 목적을 성취하기 위한 세부적인 중간 계획 운영적 계획: 매우 상세한 단기 계획 자원할당, 예산 요구사항, 인력배치, 일정관리, 단계별 구현절차 2. 보안 거버넌스조직의 보안 노력을 지원·정의·지시하는 것과 관련된 사례의 집합 3. 보안 역할과 책임- 최고 관리자보안 솔루션의 성공이나 실패에 책임이 있는 사람.보안을 구현하는 것에 대한 '정당한 주의'(Due care)와 '상당한 주의'(Due diligence)의 행사에 ..

1. 네트워크와 프로토콜 보안 메커니즘보안통신 프로토콜SKIP: IKE에 의해 대체swIPe: 캡슐화를 통한 무결성,기밀성 확인S-RPC: 원격시스템을 인가되지 않은 코드 실행으로 부터 보호SSL: 기밀성,무결성을 보장하는 세션지향 프로토콜TLS: SSL보다 강력한 인증/암호SET: 트렌젝션 전송을 위한 보안 프로토콜 인증 프로토콜CHAP: 시도 응답 프로토콜PAP: 패스워드 인증 프로토콜EAP: 확장 인증 프로토콜 2. 가상사설망 (VPN)터널링패킷내용을 다른 프로토콜의 패킷 속에 캡슐화 *SSL,TLS 암호화도 터널링의 종류오버해드, 대역폭 소모, 감시의 어려움 VPN 작동원리 VPN 프로토콜- PPTP두 지점 간의 터널링 프로토콜. OSI 2계층세션성립 패킷에 암호화가 되어 있지 않음타카플러스, 라..

1. OSI 참조모델OSI모델의 역사1970년대말에 개발. OSI 프로토콜은 실제로 받아들여 지지는 않았지만, OSI 모델은 쉽게 받아들여 졌다(이론적,교육적 측면) OSI 기능프로토콜, 서비스, 장치개발을 위한 표준을 제공실제 네트워킹 기능의 동작을 표현 캡슐화/역캡슐화하위계층으로 전송되기 전에 헤더나 푸터가 추가되는 것.※ OSI 모델에서 데이터 이름응용데이타스트림표현세션전송세그먼트네트워크패킷데이터링크프레임물리비트 OSI 계층1. 물리 계층프레임을 수신해 물리적 연결로 전송하기 위해 프레임을 비트로 변환.비트를 수신해 프레임으로 변환하여 데이타링크 계층으로 전송.NIC, 허브, 리피터, 집중기, 증폭기2. 데이터링크 계층프로토콜: SLIP, PPP, ARP(IP to MAC), RARP(MAC to ..

1. 접근통제 공격의 이해 위험요소 소개 위험요소란 취약점을 악용하여 자산에 위해/손실이 발생 할 가능성 또는 손실이 발생한 것을 의미 함. 위험관리 단계 자산식별 위협식별 취약성식별 자산평가 자산의 실제가치 식별 위협모델링 가치있는 자산에 대한 가능한 위협식별 접근방법 : 자산 중심 접근법, 공격자 중심 접근법, SW 중심 접근법 지능적 지속 위협(APT): 많은 목표 중에서 목표를 정해서 공격 취약점 분석 잠재적 위협으로 부터 시스템의 약점을 발견하는 것. 공통적인 접근통제 공격 접근통제 절차를 통과하거나 우회하는 행위 접근 집성 공격 민감하지 않은 정보를 모아서 민감한 정보를 찾아냄 패스워드 공격 사전 공격 무작위대입 공격 레인보우테이블 공격: 추측되는 패스워드와 해시값을 저장한 테이블을 사용하는 ..

1. 접근통제 개요 접근통제는 개체(주체와 객체)사이의 관계를 말함. 객체에서 주체로의 정보교환을 '접근'이라고 함. 주체: 정보나 자료를 받기 위해 접근하는 역할. 사용자,프로그램,프로세스,컴퓨터 등이 주체가 될 수 있음. 객체: 주체에 정보를 제공하는 역할. 파일,DB,컴퓨터,프로그램,저장매체 등이 객체가 될 수 있음. 사용자,소유자,관리인 사용자: 목적달성을 위해 객체에 접근하는 주체. 소유자: 객체분류,데이타보호/저장에 최종적 책임이 있는 사람. 관리인: 객체를 저장하고 보호하는 일상의 책임을 지게 맡겨진 주체. CIA 3원칙 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 정책 보안정책: 보호해야할 자산과 보호하기 위해 필요한 것을 식별 허가,..