[정보처리기사 필기] 시스템 보안 구축 - 155. 보안 아키텍처 / 보안 프레임 워크

1. 보안 아키텍처 Security Architecture정보 시스템의 무결성, 가용성, 기밀성을 확보하기 위해 보안 요소 및 보안 체계를 식별하고 이들 간의 관계를 정의한 구조관리적, 물리적, 기술적 보안 개념의 수립, 보안 관리 능력의 향상, 일관된 보안 수준의 유지를 기대할 수 있음보안 수준에 변화가 생겨도 기본 보안 아키텍처의 수정 없이 지원할 수 있어야 함보안 요구사항의 변화나 추가를 수용할 수 있어야 함보안 아키텍처 모델의 대표적인 표준 : ITU-T X.8052. 보안 프레임워크 Security Framework안전한 정보 시스템 환경을 유지하고 보안 수준을 향상시키기 위한 체계보안 프레임워크의 종류ISO 27001정보보안 관리를 위한 국제 표준, 일종의 보안 인증이자 가장 대표적인 보안 프..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 26.
• textsms

[정보처리기사 필기] 시스템 보안 구축 - 154. 서버 인증

1. 보안 서버의 개념인터넷을 통해 개인정보를 암호화하여 송수신할 수 있는 기능을 갖춘 서버개인정보의 기술적, 관리적 보호조치 기준에 따르면 보안 서버는 다음과 같은 기능을 갖춰야 함서버에 SSL 인증서를 설치하여 전송 정보를 암호화하여 송수신하는 기능서버에 암호화 응용 프로그램을 설치하고 전송 정보를 암호화하여 송수신하는 기능스니핑을 이용한 정보 유출, 피싱을 이용한 위조 사이 등에 대비하기 위해 보안 서버 구축이 필요2. 인증의 개념 Authentication다중 사용자 컴퓨터 시스템이나 네트워크 시스템에서 로그인을 요청한 사용자의 정보를 확인하는 보안 절차인증된 사용자에 대해 요청한 자원이나 동작에 대한 권한 여부를 확인한 후 이를 부여하는 보안 절차들 인가 Authorization라고 함인증의 구..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 26.
• textsms

[정보처리기사 필기] 시스템 보안 구축 - 153. 서비스 공격 유형

1. 서비스 거부 Dos (Denial of Service) 공격의 개념표적이 되는 서버의 자원을 고갈시킬 목적으로 다수의 공격자, 시스템에서 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써 표적이 되는 서버의 정상적인 기능을 방해하는 것서비스 거부 공격의 유형 : Ping of Death, SMURFING, SYN Flooding, TearDrop, Land, DDos 등2. 죽음의 핑 Ping of DeathPing 명령을 전송할 때 패킷의 크기를 인터넷 프로토콜 허용 범위 (65,536 바이트) 이상으로 전송하여 공격 대상의 네트워크를 마비시키는 서비스 거부 공격 방법공격에 사용되는 큰 패킷은 수백 개의 패킷으로 분할되어 전송되는데, 공격 대상은 분할된 대량의 패킷을 수신함으로써 분할되어 전..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 26.
• textsms

[정보처리기사 필기] 소프트웨어 개발 보안 구축 - 152. 암호 알고리즘

1. 암호 알고리즘의 개요패스워드, 주민번호, 은행계좌와 같은 중요정보를 보호하기 위해 평문을 암호화된 문장으로 만드는 절차 또는 방법해시를 사용하는 단방향 암호화 방식, 개인키 및 공개키로 분류되는 양방향 암호화 방식암호 방식 분류2. 개인키 암호화 Private Key Encryption 기법대칭 암호 기법, 비밀키 암호화 기법동일한 키로 데이터를 암호화하고 복호화데이터베이스 사용자는 평문의 정보 M을 암호화 알고리즘 E와 개인키 K를 이용하여 암호문 C로 바꾸어 저장시켜 놓으면 사용자는 그 데이터베이스에 접근하기 위해 복호화 알고리즘 D와 개인키 K를 이용하여 다시 방문의 정보 M으로 바꾸어 이용하는 방법암호화 대상이 n개일 때 사용되는 키의 개수 : 개인키 암호화 방식의 종류블록 암호화 방식한 번..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 25.
• textsms

[정보처리기사 필기] 소프트웨어 개발 보안 구축 - 151. 캡슐화

1. 캡슐화의 개요정보 은닉이 필요한 중요 데이터와 기능을 불충분하게 캡슐화하거나 잘못 사용함으로써 발생할 수 있는 문제를 예방하기 위한 보안 점검 항목캡슐화로 인해 발생할 수 있는 보안 약점 : 잘못된 세션에 의한 정보 노출, 제거되지 않고 남은 디버그 코드, 시스템 데이터 정보 노출 등2. 잘못된 세션에 의한 정보 노출다중 스레드 환경에서 멤버 변수에 정보를 저장할 때 발생하는 보안 약점싱글톤 패턴에서 발생하는 레이스컨디션으로 인해 동기화 오류가 발생하거나, 멤버 변수의 정보가 노출될 수 있음잘못된 세션에 의한 정보 노출 방지 방법 : 멤버 변수보다 지역 변수를 활용하여 변수의 범위를 제한3. 제거되지 않고 남은 디버그 코드개발 중에 버그 수정이나 결과값 확인을 위해 남겨둔 코드들로 인해 발생하는 보..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 25.
• textsms

[정보처리기사 필기] 소프트웨어 개발 보안 구축 - 150. 코드 오류

1. 코드 오류의 개요소프트웨어 구현 단계에서 개발자들이 코딩 중 실수하기 쉬운 형 변환, 자원 반환 등의 오류를 예방하기 위한 보안 점검 항목들코드 오류로 발생할 수 있는 보안 약점 : 널 포인터 역참조, 부적절한 자원 해제, 해제된 자원 사용, 초기화되지 않은 변수 사용2. 널 포인터 Null Pointer 역참조널 포인터가 가리키는 메모리에 어떠한 값을 저장할 때 발생하는 보안 약점많은 라이브러리 함수들이 오류가 발생할 경우 널 값을 반환, 이 반환 값을 포인터로 참조하는 경우 발생대부분의 운영체제에서 널 포인터는 메모리의 첫 주소를 가리키며, 해당 주소를 참조할 경우 소프트웨어가 비정상적으로 종료될 수 있음공격자가 널 포인터 역참조로 발생하는 예외 상황을 악용할 수 있음널 포인터 역참조를 방지하는..

• format_list_bulleted 자격증/정보처리기사
• · 2025. 2. 25.
• textsms