[정보처리기사 필기] 기출문제 - 751 ~ 800. 오답노트

759. WAF (Web Application Firewall)

• WAF의 개념
  • 일반적인 네트워크 방화벽 (Firewall) 과는 달리 웹 애플리케이션 보안에 특화되어 개발된 솔루션
  • SQL Injection, Cross-Site Scripting (XSS) 등과 같은 웹 공격을 탐지하고 차단하는 기능 수행
• WAF의 주요 기능
  • Request Validation : 사용자 요청 검증
    • 어플리케이션 접근 제어, 과다 요청 제어 (Web DoS)
    • 버퍼 오버 플로우 차단, SQl / 스크립트 차단
    • 업로드 파일 / 요청 형식 검사
  • Content Protection : 컨텐츠 보호
    • 신용 카드 정보 유출 차단, 주민 등록 번호 유출 차단
    • 웹 변조 방지, 응답 형식 검사, 코드 노출 차단 
  • Cloacking : 위장
    • 서버존 가상화, URL 변환, 부하 분산
    • 사용자에게 제공되는 정보 중 일부를 위장
• WAF의 유형
  • 설계 방식에 따른 유형
    • N/W 기반 : 네트워크 구간에 인라인 트랜스 페런트 및 프락시 방식으로 구성되며 전송되는 웹 트래픽에 대한 분석 및 차단 기능 수행
    • Host 기반 : 각 웹 서버에 설치된 보안 에이전트와 마스터 서버, 관리용 콘솔 환경으로 구성
  • 처리 방식에 따른 유형
    • Proxy 방식 : 웹 서버 앞 단에서 웹 방화벽이 클라이언트 요청을 받아 필터링 처리 후, 다시 웹 서버와 재접속을 맺는 방식
    • Filtering 방식 : 웹 방화벽이 웹 서버의 플러그인 모듈처럼 동작하는 방식

760. 접근통제

• 보안 정책에 따라 접근 객체에 대한 접근 주체의 접근 권한 확인 및 이를 기반으로 한 접근 제어를 통해 자원에 대한 비인가된 사용을 방지하는 기능
• 접근통제 정책의 유형
  • 임의 접근 통제 (DAC, Discretionary Access Control)
    • 시스템 객체에 대한 접근을 사용자 개인 또는 그룹의 식별자를 기반으로 제한하는 기법
    • 주체와 객체의 신분 및 임의적 접근 통제 규칙에 기초하여 객체에 대한 주체의 접근을 통제하는 기능
    • 통제 권한 : 주체에 있음 - 주체가 임의적으로 접근 통제 권한을 배분하여 제어할 수 있음
  • 강제 접근 통제 (MAC, Mandatory Access Control)
    • 정보 시스템 내에서 어떤 주체가 특정 객체에 접근하려 할 때 양쪽의 보안 레이블에 기초하여 높은 보안 수준을 요구하는 정보(객체)가 낮은 보안 수준의 주체에게 노출되지 않도록 접근을 제한하는 통제 방법
    • 통제 권한 : 제 3자 - 주체는 접근 통제 권한과 무관
  • 역할 기반 접근 통제 (RBAC, Role Based Access Control)
    • 사용자가 주어진 역할에 대한 접근 권한을 부여받는 방식
    • 사용자가 바뀌어도 역할에는 변함 없음
    • 통제 : DB 작업 권한 통제, 운영체제 작업 권한 통제

762. 반복 점증적 모델의 유형

• 증분형 모델 (Incremental)
  • 폭포수 모형에 반복적 수행 개념을 결합하여 증분을 반복하여 최종 시스템을 구현하는 개발 모형
  • 특징 : 병렬 개발 가능, 요구사항이 명확할 경우 적합
  • 장점 : 새로운 시스템에 대한 충격 완화, 후반 통합의 충격 완화
  • 단점 : 다수의 빌드 관리 부담, 변경되는 요구사항에 효과적인 대응이 어려움
• 진화형 모델 (Iterative)
  • 핵심 요구사항을 중심으로 개발한 후 추가적인 요구사항에 대한 기능을 추가하여 발전시켜 나가는 방식의 모형
  • 특징 : 요구사항이 개발 초기에 불명확할 경우 적합, 전체 진화과정에 대한 Release 계획 필요
  • 장점 : 시스템의 완성도를 점진적으로 향상, 불완전한 요구사항에 대응 가능
  • 단점 : 프로젝트 비용 및 일정 증가, 다수의 버전이 존재하여 Release 버전 관리가 부담

763. RAD (Rapid Application Development) 모델

• RAD 모델의 개념
  • 짧은 개발 주기 동안 소프트웨어를 개발하기 위한 순차적 프로세스 모델
  • RAD 모델의 개발 주기 : 60일 ~ 90일
  • 장점 : 요구사항 이해와 범위의 명호가한 설정 시 신속하고 완전한 기능 구현 가능
  • 단점 : 기술적 위험이 높을 경우 부적합, 책임감 있는 구성원이 필요
• RAD 모델의 개발 절차 : JRP → JAD → 구축 / 운영 → Cutover
  • JRP (분석, Joint Requirement Planning) : 고객과 비즈니스 모델 작성 / 검토 반복을 통한 분석
  • JAD (설계, Joint Application Design) : 고객과 원형 모델 개발 / 수정 / 보완 반복 통한 시스템 설계
  • 구축/운영 : 관련 기술을 이용하여 시스템 구축 / 운영, CASE 사용
  • Cutover (이전) : 운용에 필요한 지침서 작성, 현행 부서 이전

770. WBS (Work Breakdown Structure, 업무 분류 구조)

• 프로젝트 목표를 달성하고 필요한 인도물을 산출하기 위하여 프로젝트 팀이 실행할 작업을 인도물 중심으로 분할한 계층 구조
• 일정 계획의 첫 단계에서 작업을 분할할 때 사용되는 방법
• 계획 관리 단계에서 일정 계획, 인력 계획, 비용 산정의 기준이 됨
• 프로젝트 진행 중에 발생하는 모든 작업을 알 수 있음
• 제품의 계층 구조, 프로세스의 계층 구조로 나타남

771. 프로젝트 일정단축 기법

• 크래싱 (crashing) 기법 
  • Sw 개발 프로젝트에 투입되는 인적 및 물적 자원과 비용을 더 투입하여 일정을 단축시키는 기법
  • 프로젝트 전체 구간 중 CP 구간에 자원을 먼저 할당하여 프로젝트 전체 일정을 줄일 수 있음
  • 프로젝트 원가뿐만 아니라 의사소통 채널의 증가로 프로젝트 일정이 획기적으로 단축되는 것은 아님
• 중첩 실행 (fast tracking) 기법
  • 순차적으로 진행하는 작업 활동의 연관 관계를 동시에 병렬로 작업을 진행함으로써 일정을 단축시키는 기법
  • 일반적으로 소프트웨어 개발 프로젝트에서 많이 활용되는 기법
  • 프로젝트의 리스크가 증가할 수 있으며, 재작업해야 할 수도 있는 단점

772. RIP (Router Interchange Protocol)

• 내부 라우팅 프로토콜
• 현재 가장 널리 사용하는 프로토콜 중 하나
• 네트워크 구성상 계층이 없이 평면적
• 사용하는 Metric 종류 : Hop Count (흡수) - Hop Count가 가장 적은 경로를 최적의 경로로 판단
• 거리 벡터 방식을 채용 : 각각의 라우터가 인접하고 있는 라우터와 라우팅 정보를 30초마다 주기적으로 교환하여 라우팅
• 소규모 동종의 네트워크에서 효율적인 방법
• 최대 Hop 수를 15로 제한하여 상대방 네트워크까지의 홉수가 16을 초과할 때는 통신할 수 없음
  • 홉 (Hop) : 데이터가 목적지까지 전달되는 과정에서의 네트워크 수

773. ISMS - P 인증제도 (정보 보호 및 개인 정보 보호 관리 체계 인증)

• 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷 진흥원 또는 인증기관이 증명하는 제도
• 법적 근거 : 법령 정보 통신망법 제 47조, 개인 정보 보호법 제 32조의 2에 고시
• 과학기술부정통부 소관의 정보보호 관리체계 인증제도 (ISMS)와 방송통신위원회, 행정안전부 소관의 개인정보보호 관리체계 인증제도를 통합하여 인증제도를 일원화한 것
• 정책협의체 (과학기술정보통신부, 방송통신위원회, 행정안전부) 주관으로 이루어짐
  • 정책협의체 : 정보보호 관리체계 관련 정책 및 법제도 결정, 심사기관 지정의 역할 수행
  • 한국인터넷진흥원 : 정보보호관리체계 및 개인정보보호 관리체계 인증 주관처, 인증위원회 개최하여 최종 인증 부여, 심사원 양성 추진
  • 심사기관 : 한국정보통신진흥협회, 한국정보통신기술협회

774. ISMS - P 인증 심사 기준

• 관리체계 수립 및 운영
• 보호대책 요구사항
• 개인정보 처리 단계별 요구사항

775. CLASP (Comperehensive, Lightweight Application Security Process)

• 소프트웨어 개발 생명 주기 초기 단계에서 보안 강화를 목적으로 하는 정형화된 프로세스
• 활동중심, 역할기반의 프로세스로 구성된 집합체
• 이미 운영중인 시스템에 적용하기 좋음
• 개발 보안 프로세스 관점 : 개념 관점, 역할 기반 관점, 활동 평가 관점, 활동 구현 관점, 취약성 관점

780. 백도어

• 프로그램이나 손상된 시스템에 허가되지 않는 접근을 할 수 있도록 정상적인 보안 절차를 우회하는 악성 소프트웨어
• 서비스 기술자나 유지보수 프로그래머들이 액세스 편의를 위해 만든 보안이 제거된 비밀 통로
• 관리자가 외부에서도 시스템을 점검할 수 있도록 만들어 두었으나 해킹에 취약한 부분이 될 수도 있는 곳을 의미
• 백도어 (Backdoor) 탐지 방법
  • 현재 동작 중인 프로세스 및 열린 포트 확인
    • 해커가 접근을 위해 실행시켜둔 프로세스 유무 확인, 열어둔 포트의 유무 확인
  • SetUID 파일 검사
    • 해킹 시 SetUID 권한의 파일을 많이 사용하므로 SetUID 권한이 있는 파일들을 검사
  • 툴 사용
    • 바이러스 및 백도어 탐지 툴 사용
    • tripwire : 파일 시스템 무결성 점검을 하는 서버 보안 도구, 파일의 변동사항 유무를 체크할 수 있는 대표적인 보안 유틸리티
  • 무결성 검사
    • 침입자에 의해 변경된 파일 유무 검사
  • 로그 분석
    • 침입자의 기록을 분석해 누가 어떠한 공격을 했는지 확인

781. ISO/IEC 12207 표준

• 체계적인 소프트웨어 획득, 공급, 개발, 운영/유지보수를 위해서 소프트웨어 생명주기 공정 표준을 제공함으로싸 소프트웨어 실무자들이 개발 및 관리에 동일한 언어로 의사소통 할 수 있는 기본틀을 제공하기 위한 국제 표준
• ISO/IEC 12207 표준 주요 프로세스
  • 기본 생명주기
    • 획득 프로세스 : 시스템, 소프트웨어 제품 또는 소프트웨어 서비스를 획득하는 획득자 또는 획득 조직이 수행할 활동 정의
    • 공급 프로세스 : 시스템, 소프트웨어 제품 또는 소프트웨어 서비스를 공급하는 공급자 또는 공급 조직이 수행할 활동 정의
    • 개발 프로세스 : 소프트웨어 제품을 정의하고 개발하는 개발자, 개발 조직이 수행할 활동 정의
    • 운영 프로세스 : 사용자를 위하여 실제 환경에서 컴퓨터 시스템의 운영 서비스를 제공하는 운영자, 운영 조직이 수행할 활동 정의
    • 유지 보수 프로세스 : 소프트웨어 제품의 유지보수 서비스를 제공하는 유지 보수자 또는 유지 보수 조직이 수행할 활동을 정의
  • 지원 생명주기
    • 문서화 : 생명주기 프로세스에 의하여 산출되는 정보의 기록을 위한 활동 정의
    • 품질보증 : 소프트웨어 제품 및 프로세스가 명시된 요구사항에 적합, 이미 수립된 계획에 따르고 있음을 객관적으로 보증하기 위한 활동 정의
    • 형상관리 : 구성 관리 활동 정의
    • 검증 : 소프트웨어 프로젝트에 따라 다양한 깊이로 소프트웨어 제품을 검증하기 위한 획득자, 공급자 또는 독립 조직을 위한 활동 정의
    • 확인 : 소프트웨어 프로젝트의 소프트웨어 제품을 확인하기 위한 획득자, 공급자 또는 독립 조직을 위한 활동 정의
    • 문제해결 : 개발, 운영, 유지보수, 다른 프로세스 활동 수행 중 발견된 부적합사항을 포함한 문제점 분석, 제거를 위한 프로세스 정의
    • 합동검토 : 활동의 상태 및 제품 평가를 위한 활동 정의
    • 감사 : 요구사항, 계획 및 계약에 대한 적합성을 결정하기 위한 활동 정의
  • 조직 생명주기
    • 기반 구조 프로세스 : 생명주기 프로세스 기본 구조를 확립하기 위한 기본 활동 정의
    • 관리 프로세스 : 생명주기 프로세스 동안 프로젝트 관리를 포함한 기본적인 관리 활동 정의
    • 개선 프로젝트 : 조직 생명주기 프로세스의 확립, 측정, 통제, 개선을 위하여 수행하는 기본 활동 정의
    • 훈련 프로세스 : 적절하게 훈련된 요원을 제공하기 위한 활동 정의

783. 스토리지

• 정보 시스템 구축 시 저장 데이터 운용에 필요한 많은 저장 공간의 확보가 필요, 이런 대용량 데이터를 저장하기 위하여 구성된 것이 스토리지 장치
• 스토리지 장치 유형
  • DAS (Direct Attached Storage)
    • 서버 장비에 직접 연결하여 운용하는 방식의 저장장치
    • 구성 용이
  • NAS (Network Attached Storage)
    • 서버와 저장 장치를 네트워크로 연결하는 방식
    • 구성 설정이 간편
    • 별도의 운영 체제를 가진 서버 한 곳에서 파일을 관리하므로 서버 간 스토리지 및 파일 공유 용이
  • SAN (Storage Area Storage)
    • DAS의 빠른 처리와 NAS의 스토리지 공유 장점 결합
    • 광케이블과 광 채널 스위치를 통해 근거리 네트워크 환경을 구성하여 빠른 속도로 데이터 처리 가능
    • 저장 장치 연결로 스토리지 공유 가능

786. DevOps

• 개발 (Dev) + 운영 (Ops)
• 고객에게 지속적으로 가치를 제공하도록 지원하는 사람, 프로세스 및 기술의 합집합 
• 개발, IT운영, 품질 엔지니어링, 보안 등의 역할들이 서로 조율하고 협업하여 더욱 안정적이고 뛰어난 제품을 생산할 수 있도록 지원
• 고객 요구 사항에 보다 효과적으로 대응, 더욱 안심하고 애플리케이션을 빌드 가능, 비즈니스 목표를 더 빨리 달성 가능

788. 네트워크 보안 솔루션

• 방화벽
  • 내부 네트워크와 인터넷 간에 전송되는 정보를 선별하여 수용, 거부, 수정하는 기능을 수행하는 보안 시스템
• UTM (Unified Therat Management)
  • 다중 위협에 대해 보호 기능을 제공할 수 있는 포괄적 보안 시스템
  • 방화벽, 안티바이러스, 콘텐츠 필터링 등 하나의 패키지로 통합되어 있는 형태
• Anti-DDos (Distributed Denial of service)
  • 서비스에 대한 정당한 접근을 방해하거나 차단하고자 네트워크에 분산되어 있는 많은 에이전트를 이용하여 공격 대상 서버에 동시에 과도한 서비스 요청을 발생시키는 공격을 차단하기 위한 보안 솔류션
• VPN (Virtual private Network)
  • 인터넷망에 사설망을 구축하여 이용자가 전용망 같이 사용할 수 있게 하는 보안 솔루션
• NAC (Network Access Control)
  • 사용자 PC가 내부 네트워크에 접근하기 전에 보안 정책을 준수 했는지 검사하여 네트워크 접속을 통제하는 기술
• IDS (Intrusion Detection System)
  • 네트워크에서 송 / 수신 되는 데이터의 비정상적인 사용, 오남용을 실시간으로 탐지하는 보안 솔류션
• IPS (Intrusion Prevention System)
  • 네트워크에서 공격 서명을 찾아내어 자동으로 조치를 취함으로써 비정상적인 트래픽을 중단시키는 보안 솔루션
  • 수동적인 방어 개념의 침입 차단 시스템이나 침입 탐지 시스템과 달리 침입 경고 이전에 공격을 중단시키는데 중점을 둔, 침입 유도 기능과 자동 대응 기능이 합쳐진 솔루션

791. CSRF (크로스 사이트 요청 위조)

• 로그인된 피해자의 취약한 웹 애플리케이션에 피해자의 세션 쿠키와 기타 인증정보를 포함해 위조된 HTTP 요청을 강제로 보내도록 만들어 정당한 요청으로 어플리케이션을 공격하는 해킹 기술
• CSRF와 XSS의 차이점
  • CSRF : 피해자의 권한을 이용하여 피해자가 조작된 패킷을 전송하여 이 결과로 공격자가 이득을 얻는 형태의 공격, 홈페이지 자동 가입
  • XSS : 악성 스크립트가 실행되어 클라이언트를 공격하는 것, 악성코드 실행 
• CSRF의 절차
  • 공격자가 웹 서버에 CSRF 공격 코드 등록
  • 사용자가 CSRF 공격 코드가 포함된 페이지를 웹서버에 요청
  • 웹서버가 자동화된 요청이 포함된 응답을 사용자에게 전달
  • 사용자는 자동화된 요청에 의해 사용자의 권한으로 웹서버에 서비스를 요청하게 됨

792. ISMS - P 인증제도 (정보 보호 및 개인 정보 보호 관리 체계 인증)

• 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷 진흥원 또는 인증기관이 증명하는 제도
• 법적 근거 : 법령 정보 통신망법 제 47조, 개인 정보 보호법 제 32조의 2에 고시
• 과학기술부정통부 소관의 정보보호 관리체계 인증제도 (ISMS)와 방송통신위원회, 행정안전부 소관의 개인정보보호 관리체계 인증제도를 통합하여 인증제도를 일원화한 것
• 정책협의체 (과학기술정보통신부, 방송통신위원회, 행정안전부) 주관으로 이루어짐
  • 정책협의체 : 정보보호 관리체계 관련 정책 및 법제도 결정, 심사기관 지정의 역할 수행
  • 한국인터넷진흥원 : 정보보호관리체계 및 개인정보보호 관리체계 인증 주관처, 인증위원회 개최하여 최종 인증 부여, 심사원 양성 추진
  • 심사기관 : 한국정보통신진흥협회, 한국정보통신기술협회

793. 공개키 암호화

• 비대칭키 암호화
• 공개키와 개인키라는 두 개의 암호화 키를 사용해서 암호화하고 복호화하는 방법
• 송신자 : 공개키를 수신 받은 후 공개키로 암호화하여 메시지 전송
• 수신자 : 개인키로 복호화
• 장점 : 대칭키 암호화 기법의 키 공유 문제 해결
• 단점 : 암호화 키의 길이가 길어서 암호화 및 복호화 성능이 대칭키 암호화 기법보다 떨어짐

794. VPN

• 터널링 기법을 사용해 인터넷과 같은 공중망에서 전용회선을 구성한 것과 같은 효과를 내는 가상 네트워크
  • Tunneling 기법 
    • 네트워크 패킷의 헤더를 조작
    • 연결하고자 하는 두 지점 간에 가상 터널을 형성, 외부로부터 영향을 받지 않은 상황에서 정보를 주고 받는 기술

795. SSL

• SSL의 개념
  • OSI 7 계층 중 트랜스포트 계층에서 40비트와 128비트의 키를 가진 암호화 통신
  • 서버 인증, 클라이언트 인증, 암호화 세션 기능을 담당
  • TCP / IP 상 웹 브라우저와 웹서버 간 데이터를 안전하게 주고 받기 위한 표준 보안 전송 프로토콜
• SSL의 특징
  • 공개키 기반 인증 방식 : 서버에서 클라이언트로 공개키 기반 인증서를 사용해 인증 수행
  • 3가지 인증방식 
    • 익명 인증모드 (An, Anonymous)
    • 서버 인증모드 (SA, Server Authentication)
    • 클라이언트-서버 인증모드 (MA, Mutual Authentication)
  • 연결 주소 : https 
  • 지정포트 : 443 port
• SSL의 Protocol 구조
  

  SSL Cipher Change Protocol	SSL Handshake Protocol	SSL Alert Protocol	Application Protocal (eg. HTTP)
  SSL Record Protocol
  TCP
  IP

  
  
  • 제어 계층 
    • SSL Cipher Change Protocol : 암호 알고리즘, 보안 정책 조율 
    • SSL Handshake Protocol : 키 교환, CS 인증
    • SSL Alert Protocol : 경고 메시지, 경고 상세
  • 레코드 계층
    • SSL Record Protocol : 데이터 무결성 인증, 데이터 압축, 암호화

796. IPS (침입 방지 시스템)

• 정보 관리 시스템의 네트워크의 침입 탐지와 동시에 실시간 방어가 가능한 보안 솔류션
• 침입 탐지 시스템의 오판과 탐지 실패의 문제 해결을 위해 등장
• 침입 방지 시스템의 유형
  • 구성 형태에 따른 구분
    • NIPS : 네트워크 상에 인라인 모드로 설치, 세션 기반 탐지 (시그니처, Protocol Anomaly, Action을 통해 악의적인 세션 차단)
    • HIPS : 기존 호스트 운영 서버상에 탑재되는 SW 기반 IPS (서버의 커널 이벤트 분석)
  • 공격 패턴 인지 방식에 따른 구분
    • Signature Based IPS : 침입탐지 패넡 DB를 기반으로 알려진 공격에 대한 탐지 및 차단 수행, IDS와 동일한 형태의 인지 방식
    • Heuristic Based IPS : 알려지지 않은 공격에도 계속 정보 수집, 축적되는 정보를 이용하여 오탐을 줄이고 능동적으로 대처하는 방식

797. 클라우드

• 인터넷 기반의 컴퓨팅
• 인터넷 상의 가상화된 서버에 프로그램을 두고 필요할 때마다 컴퓨터나 스마트폰 등에 불러와 사용하는 서비스
• 내부를 보려고 하거나 알지 않아도 얼마든지 원하는 것을 꺼내어 사용 가능, 인터넷이 연결된 어느 곳에서나 이것을 보장받을 수 있음
• 클라우드의 유형
  

  

  
  
  • IaaS (Infrastructure as a Service) 
    • 시스템 인프라 클라우드 서비스
    • 인프라까지의 클라우드 서비스
    • Infrastructure 부분을 클라우드 서비스로 이용하면서 서버 구매 유지 비용, 네트워크 구성 및 트래픽, 하드웨어의 장애 등에 대한 모든 부분에 대해 사용자가 신경 쓸 필요가 없음
  • PaaS (Platform as a Service) 
    • 개발 및 서비스 플랫폼을 위한 클라우드 서비스
    • IaaS에 O/S, Middleware, Runtime이 포함되어 있는 구조
  • SaaS (Software as a Service) 
    • 서비스를 위한 클라우드 서비스
    • Application까지의 모든 영역을 클라우드 서비스로 제공

 

799. 해시 함수

• 하나의 문자열을, 이를 상징하는 더 짧은 길이의 값이나 키로 변환하는 함수
• 해시는 정보의 위변조 확인, 정보 무결성을 확인하기 위한 방법
• 전자서명, 부인 방지, 전자 봉투 등에 활용
• 해시 함수의 보안 요구사항
  • 일방향성 : 결과값부터 입력값을 계산하는 것은 불가능
  • 약한 충돌 저항성 : 입력값과 해쉬값을 알고 있을 때 h(x')=H(x)인 x'(≠x)을 찾는 것은 불가능
  • 강한 충돌 저항성 : 동일한 해쉬값을 가지는 서로 다른 메시지 쌍을 찾는 것은 불가능해야 함