정보보안개론

02. 정보보안이란?

• 조직, 개인이 보유한 정보 자산을 무단으로 접근, 사용, 공개, 파괴, 변조, 손실로부터 보호하기 위해 전략, 절차 기술을 의미
  • 자산 | 위협 | 취약점 | 리스크
• 정보보안 3요소(CIA) : C(confidentiality 기밀성) | I(integrity 무결성) | A(availability 가용성)
  • 기밀성 : 허가되지 않은 사용자, 객체가 정보의내용을 알 수 없도록 함 | 인가된 사람, 프로세스, 시스템만 알 필요성에 근거해 시스템에 접근해야 함 | 내용, 존재 자체도 완벽한 기밀 유지하는 것이 좋음
    • Access control : Permissions | Whitelists/Blacklists | Cryptography
  • 무결성 : 허가 되지 않은 사용자, 객체가 함부로 수정할 수 없도록 함 | 데이터, 리소스의 신뢰성 확보
    • Prevention and Detectino(예방과 탐지) : 인증되지 않은 사람이 데이터 조작하는 것을 차단 | checksum, hash를 이용해 데이터 변조 탐지
  • 가용성 : 허가된 사용자, 객체가 정보에 접근하려 할 때 이것이 방해받지 않도록 함 | 정보, 리소스에 원할 때마다 접근할 수 있는가
    • Denial of Service(Dos, DDos) : 가용성을 침해하는 행위 | 정상적인 트래픽 탐지 어려움 | hug of death, traffic spike
  • Balance of C.I.A : 3가지가 완벽히 지켜지면 좋겠지만 현실은 그렇지 않음... 밸런스를 잘 갖추는 것이 중요

---

03. 위협과 공격

• 정보 자산에 해를 끼칠 수 있는 모든 행위, 사건... 발생하지 않더라도 잠재력을 가지고 있음 | 자연재해, 기술적 실패, 공격으로 부터 발생 | 취약점은 시스템, SW, 프로토콜, 절차상의 약점, 결함을 의미
• 의도에 따른 위협 분류
  • Intentional Threats(의도적 위협) : 인간 의도에 의해 발생하는 위협 | 해킹, 사이버스파이, 사회공학, 악성코드 배포 등
  • Unintentional Threats(비의도적 위협) : 사용자 실수, 부주의, 시스템 오류 등으로 발생하는 위협 | 잘못된 클릭, 안전하지 않은 비밀번호, 시스템 설정 실수 등
• 발생 원인에 따른 위협 분류
  • External Threats(외부 위협) : 조직, 시스템 외부에서 발생하는 위협 | 해커, 사이버 범죄 조직, 경쟁 회사 등 외부 인물이나 그룹
  • Internal Threats(내부 위협) : 조직 내부에서 발생하는 위협 | 직원의 고의적인 행위, 실수로 발생 | 종종 접근 권한을 가진 사용자에 의해 발생
• 공격 유형에 따른 위협 분류
  • Active Threats(활동적 위협) : 시스템 공격해 정보 탈취, 시스템의 정상적인 작동 방해 | 랜섬웨어, DDoS 공격 등
  • Passive Threats(수동적 위협) : 시스템에 직접적인 변경을 가하지 않고 정보 수집하는 위협 | 트래픽 분석, 스니핑, 스캐닝 등
  • Disclosure(누설) : 민감한 데이터가 무단으로 공개, 유출되는 상황 | 기밀성 침해하는 행위 | 개인정보, 기업비밀, 국가기밀 등 민감한 정보가 외부에 노출되어 해를 끼칠 수 있음
  • Deception(속임수) : 거짓 정보 제공, 사용자 속여 정보 탈취 | 무결성 침해 | 피싱, 스푸핑, 사회공학공격 등 해당
  • Disruption(중단) : 시스템, 네트워크 정상적인 작동 방해, 중단시키는 행위 | 가용성 침해 | DoS, DDoS
  • Usurpatino(강탈, 탈취) : 시스템 기능을 무단으로 제어, 변경해 시스템의 정상적인 기능을 방해 | 시스템 장악, 악성코드 실행, 시스템 구성 변경해 추가적인 공격을 가능케 함
  • Intrusion(침입) : 무단으로 시스템, 네트워크에 접근 | 기밀성, 무결성 침해 | 시스템의 정상적인 동작 방해
  • Exploitatino(악용) : 공격자가 취약점을 발견하고 악용하는 행위 | 데이터 손상, 시스템 제어권 탈취, 악성코드 설치 등 다양한 보안 문제 일으킴
  • Extraction(추출) : 데이터 무단 복사, 외부로 전송하는 행위 | 프라이버시 침해, 기업 비즈니스 비밀 유출, 국가 안보 위협 등 발생
• 공격 종류
  • Phishing : 가짜 웹 사이트, 이메일을 통해 사용자로부터 민감한 정보 획득하려는 사기 공격 | 스캠도 피싱 공격 중 하나
  • 랜섬웨어 : Ransom(몸값) + SW 합성어 | 사용자 데이터 암호화하고, 해독키 얻기 위해 금전을 요구하는 악성 SW
  • Network
    • DDoS(Distributed Denial of Service) : 여러 컴퓨터를 이용해 대량의 트래픽을 발생시켜 서버, 네트워크의 정상적인 서비스 제공을 방해하는 공격
    • Scanning : 목표로 하는 네트워크에서 동작 중인 시스템, 서비스를 탐색하는 행위
    • Sniffing : 네트워크 중간에서 남의 패킷 정보를 도청
    • Spoofing : 승인 받은 사용자인 것처럼 시스템에 접근하거나 네트워크 상에서 허가된 주소로 가장해 접근 제어를 우회하는 공격행위
    • MITM(Man In The Middle) : 중간자 공격... 네트워크 통신 조작해 내용 도청, 조작하는 공격 | 연결된 두 사람 중간에 공격자가 존재해 중간자가 한쪽에서 정보를 가로채 도청하고, 조작해 다시 전달
  • Web
    • SQL 인젝션 : 웹 애플리케이션의 DB 쿼리에 악의적인 SQL 코드를 주입해 DB 조작하는 공격
    • 크로스 사이트 스크립팅(XSS) : 사용자 브라우저에 악성 스크립트 실행시키는 공격 | 서버측이 아닌 해당 페이지를 방문하기 되는 사용자에게 발생하는 공격
• APT(Advanced Persistent Threat) : 지능형 지속 공격... 특정 타깃 선정 후 장기간에 걸쳐 지속적인 공격 수행
  • 지능형(Advanced) : 시스템 내 취약점을 공격하기 위해 악성 SW를 이용한 복잡한 기법을 사용해 정교하고 전문적인 지식 활용
  • 지속성(Persistent) : 지속적으로 특정 대상의 데이터 감시, 공격하는 행위
  • 위협성(Threat) : 공격자가 목표 시스템에 대해 조직적이고 계획적인 위협을 수행하는 것을 의미
  • 특징 : 목표 특정해 지속&계획적인 공격 수행 | 정보탈취, 인프라 파괴 등 수행하기 위한 목적 | 대규모 그룹(조직적) | 기업, 정부기관, 군사기관 등 고도 보안 시스템을 보유한 기관 대상으로 수행 | APT 공격은 기존 보안 대책을 파훼하는 고난도 기술 사용, 시스템간 이동을 천천히 하기에 대처하기 어렵
  • Cyber Attack Life Cycle : APT 공격을 성공적으로 수행하기 위해 체계적이고 단계적인 흐름을 따르게 됨
    • 초기 정찰 - 초기 침해 - 발판 마련 - 권한 상승 - 내부 정찰 - 수평 이동 - 상태 유지 - 임무 완료
      • 초기 정찰(Initial Reconnaissance) : 공격자가 목표 조직에 대한 정보 수집하는 단계 | 해당 과정에서 초기 침투에 관련된 공격 경로를 탐색하게 됨 | OSINT, 소셜 엔지니어링, 도메인 및 IP 주소 분석
      • 초기 침해(Initial Compromise) : 수집된 정보를 바탕으로 초기 침입점을 찾아 시스템에 처음으로 접근하는 단계 | 피싱 이메일, 취약한 웹 애플리케이션 공격
      • 발판 마련(Establish Foothold) : 시스템 내 안정적인 접근 방법 확보 | 백도어 설치, 악성코드 배포, C&C(Command and Control)
      • 권한 상승(Escalate Privileges) : 더 높은 수준의 접근 권한을 획득하기 위해 권한 상승 기법 사용 | 공격자가 시스템, 네트워크 상의 더 많은 자원에 접근할 수 있게 해줌 | 권한 상승 취약점 악용, 관리자 계정 정보 탈취
      • 내부 정찰(Internal Reconnaissance) : 이미 침투한 네트워크 내에서 추가적인 정보 수집 | 다음 목표로 가기 위해 내부 자원들의 취약한 서비스나 부적절한 설정 탐색 | 네트워크 스캔, 중요시스템 및 데이터 위치 파악
      • 수평 이동(Move Laterally) : 네트워크 내에서 다른 시스템으로 이동해 공격 범위 확장 | 다른 중요한 정보, 시스템에 접근하기 위해 수행 | Pass-the-Hash, Pass-the-Ticket, Kerberoasting
      • 상태 유지(Maintain Presence) : 공격자는 탐지되지 않게 하면서 네트워크 내에 지속적으로 머물기 위한 조치를 취하게 됨 | 공격 중 탐지됐을 때 임무 실패로 이어질 수 있어 이에 대응하기 위한 행위 | 스텔스 악성코드 배포, 로그 삭제 및 탐지 회피 기법 사용

---

04. 암호학 기초

• 대칭형 암호화(Symmetric Cryptography | 비밀키 암호화, 대칭키 암호화 방) : 암호화하는 키 = 복호화 하는 키
  • 특징 : 비대칭형 방식에 비해 암호&복호화 속도 빠름 | 데이터 암호화 시 사이즈 증가 X | 통신 상에서 데이터 암호화에 사용 됨 ~> 기밀성 보장하기 위해 사용 | Block Cipher, Stream Cipher 두 종류의 암호화 방식이 있음
  • 대표 알고리즘 : DES, 3DES, AES, BlowFish, IDEA, RC4, SEED
  • 문제점 : 대칭형 암호화 방식으로 통신하는 모든 엔티티들은 서로 간에 다른 암호화 키를 갖고 있어야 함
    • 확장성이 별로 ~> 불특정 다수를 상대로 한 암호화엔 좋지 않음 | 키 분배 문제 해결을 위해 Key Distribution Center 운용
      • 필요한 키 개수 = [Entity * (Entity-1)] / 2
    • 암호화 통신 전에 반드시 키를 동기화 해야 함 | 이 과정이 안전하게 이뤄지지 않으면 공격자에게 데이터 노출 가능성 有
  • 키 동기화
    • Manual 방식 : 두 통신 당사자가 직접 만나 교환(ex. SW 구매시 시리얼 번호 제공) | 직접 키를 교환하기에 보안성이 높고 외부자가 키를 가로채기 어려움 | 시간 많이 소요 ~> 편의성 ↓
    • Diffie-Hellman 방식 : Public Key 암호화 기법을 제안한 Diffe, Hellman은 대칭키를 안전하게 송수신자들엑 분배하는 알고리즘도 제안 | 실제 키값은 전송 X, 키를 생성하는데 필요한 값(임의의 넌스값)만 주고 받음 | 이 알고리즘을 이용해 계산하면 동일 키 값을 얻을 수 있음 | 중간에 해커가 임의의 넌스 값을 조작 할 수 있음... MITM 공격에 취약(대안 방안으로 RSA 나옴)
    • Key Wrapping 방식(Hybrid) : 대칭키 전송 전, 보내는 측에서 키를 암호화해 전달하는 방식 | 중간에 가로채도 암호화 되어 있기에 해독 불가능 | 비대칭 암호화 방식의 개인키를 사용해 암호화된 키를 복호화하여 원래 키를 받을 수 있음.
• 비대칭형 암호화(Asymmetric Cryptography | 공개키 방식) : 암호화하는 키 ≠ 복호화하는 키 | 개인키, 공개키가 쌍을 이룬 형태
  • 특징 : 인증, 부인방지, 기밀성 등 서비스 제공 | 공개키 획득하더라도 복호화에 어려움이 있음 | Key 동기화 문제를 고려하지 않아도 됨
  • 단점 : 암/복호화 속도가 느리고 데이터 암호화시 사이즈 증가 발생 | MITM Attack에 취약
  • 대표 알고리즘 : RSA, DSA, ECC
  • 문제점 : 동기화 과정이 없다는 특징이 있지만, 상대방의 공개키를 인증하지 않으면 MITM 공격에 취약... 공격자에 의해 만들어진 공개키를 적절한 검증절차 없이 받아들이는 경우, 공격자의 개인키로 암호화된 데이터를 복호화 가능
• 하이브리드 암호 시스템 : 대칭 암호 + 공개키 암호 장점 조합
  • 대칭 암호의 빠른 처리 속도 + 공개키 암호의 교환문제의 편리함
  • 암호화 과정 : 평문을 대칭키로 암호화 → 암호문 | 대칭키를 수신자의 공개키로 암호화 → 암호화된 키
  • 복호화 과정 : 암호화된 키를 수신자 개인키로 복호화 → 대칭키 | 암호문을 대칭키로 복호화 → 평문
• 해시(Hash) : 입력 데이터를 고정 길이의 데이터로 변환된 값(해시값) | 원래 입력값과의 관계 찾기 어려움 | 일방향 암호화라 불리지만 복호화가 불가능해 암호화는 X
  • 비밀번호는 반드시 해시 함수로 변환해 저장해야 함 [제7조(개인정보의 암호화)]
  • 종류 : MD5, SHA-1, SHA-256, SHA-512...