굿

Ⅰ. Secure Electronic Protocol의 기발 기술, 이중 서명의 정의- 구매 정보와 지불 정보를 각각 다른 키로 암호화하여 판매자는 구매정보만, 금융기관은 지불정보만 확인 할 수 있도록 하는 전자 서명 기술 Ⅱ. 이중 서명 매커니즘가. 이중 서명 암호화단계수행 과정설명1이중서명 생성1) 구매/결제정보 다이제스트 M1, M2 생성 후 결합2) 결합된 M1 + M2 해시로 M 생성3) M에 사용자 개인키로 전자서명 생성2전자봉투 생성1) 카드사 비밀키로 결제정보 암호화2) 결제기관(PG)의 공개키로 비밀키 암호화3판매자 전송1) M1M2, 전자서명, 암호화 결제 정보, 전자 봉투 판매자에게 전달 나. 이중 서명 복호화단계수행과정성명1구매정보 확인 (판매자)1) 구매정보 활용해 M'1 생성2)..

Ⅰ. 다양하고 지속적인 타겟 공격, APT 개요가. APT 정의- 특수한 목적을 가지고 타겟을 선정하여 정보를 수집하고 취약점을 파악하여 지속적으로 다양한 방법으로 공격하는 기법 나. APT 특징- 명확한 타겟 목표- 우회 공격- 지능화- 지속적 Ⅱ. APT 공격 시나리오 및 공격 기법가. APT 공격 시나리오나. APT 공격방식공격 방식설명스피어 피싱- 특정인, 유명인사, 사이트 사용자를 대상으로 한 피싱 공격PLC- Programmable Logic Controller, 오랜 기간 동안 정보를 수집하는 침투 공격익스플로잇- 타겟이 가지고 있는 취약점을 이용한 전용 제로데이 공격내부자 위협- 스피어피싱 이요하여 내부자 중요 정보 획득사회공학적 기법- 신뢰하는 개인 조직을 가장하여 악성코드 전송- 다양한..

Ⅰ. 클라우드 서비스 보안인증 CSAP의 개요개념- 클라우드 컴퓨팅 서비스 사용자의 정보보호를 위해 CSP가 제공하는 서비스에 대해 정보보호 기준 준수 여부 평가 인증하는 제도필요성- 공공기관에게 안정성 및 신뢰성이 검증된 민간 클라우드 서니스 공급- 클라우드 서비스 이용자의 보안 우려 해소 및 클라우드 서비스 경쟁력 확보- 한국인터넷진흥원(KISA)에서 평가/인증 시행 Ⅱ. 클라우드 서비스 보안인증 체계 및 인증 종류가. 보안인증 체계 나. 보안인증 종류 종류설명최초평가- 처음 인증 신청 시 실시- 중요한 변경 있을 시 실시사후평가- 보안인증 취득 후 지속 인증갱신평가- 보안인증 유효기간(5년) 만료 전 연장 Ⅱ. 클라우드 서비스 보안인증 대상 및 기준가. 클라우드 서비스 보안인증 대상구분대상 서비스I..

Ⅰ. 소프트웨어 개발 보안, Secure Coding가. Secure Coding의 개념- 소프트웨어 보안성 강화를 위해 소프트웨어 소스코드 구현 과정에서 보안 취약점을 배제하기 위한 개발 방법 나. Secure Coding의 목적- 사이버 공격 예방: 사이버 공격 대부분은 응용프로그램의 취약점 공격- 취약점 수정 비용 절감: 개발 완료 전 취약점 조기 발견 및 수정으로 비용 절감- 안정성 및 신뢰성 확보: 개발단계부터 보안 고려로 소프트웨어 안정성 및 신뢰성 확보 Ⅱ. Secure Coding의 적용 범위 및 사례가. Secure Coding 적용 범위적용 범위취약점적용 방법입력 검증/표현- SQL Injection- XSS 취약점- 쿼리 예약어 필터링- HTML 화이트리스트보안 기능- 무인증 사용- ..

Ⅰ. 클라우드 보안 통합 관리 솔루션, CNAPP의 개요정의클라우드 네이티브 기반의 애플리케이션을 개발할 때 서버 워크로드, 컨테이너 보안, 규정, 접근 등을 통합하여 관리하는 솔루션특징- 클라우드 네이티브 보안: 클라우드 전반에 걸친 보안 솔루션 제공- 가시성 향상: 클라우드 워크로드 엔드 투 엔드 모니터링 제공 Ⅱ. CNAPP 구성 요소구성요소설명클라우드 인프라스트럭처 권한 관리 (CIEM)분산 클라우드 환경에서 최소 권한 액세스 제어CSPM클라우드 보안 설정, 규정 준수 등 문제 기록, 감지, 보고CWPP클라우드 전반적으로 워크로드 관리 및 보호IaC 스캐닝보안 모범 사례 기반으로 규칙 적용아티팩트 스캐닝소프트웨어 개발 프로세스에 의해 생성된 파일 검사- 기존 클라우드 관리 솔루션 CIEM, CSP..

Ⅰ. 가상 사설 네트워크, IPsec VPN과 SSL VPN의 개요구분IPsec VPNSSL VPN개념도정의VPN 게이트웨어 장비 2개를 연결해 네트워크 계층에서 동작하는 사설망으로 IP 프로토콜 사용VPN 게이트웨이(서버) 장비 1개와 인터넷을 연결해 표현계층에서 동작하는 사설망으로 TCP 프로토콜 사장점전체 네트워크 자원이 암호화되어 보안성이 높다비용이 저렴하고 다양한 기기에서 접속이 가능하다단점설정과 관리가 힘들며 비용이 높다웹 기반 어플리케이션 사용에만 적합하다 Ⅱ. IPsec VPN과 SSL VPN 상세 비교구분IPsec VPNSSL VPN접속 방식클라이언트 프로그램웹 브라우저사용 용도전체 네트워크 자원웹 어플리케이션보안성전체 IP 트래픽 보안웹 트래픽 보안호환성일부 기기다양한 기기사용 계층네트..

Ⅰ. 침입 탐지와 실시간 차단을 위한 시스템, IPS 개요가. 침입 방지 시스템의 정의- 침입 탐지 시스템의 오판과 미탐 문제 해결을 위해 탐지와 방어가 가능한 보안 시스템 나. 침입 방지 시스템의 구성도  Ⅱ. 침입 방지 시스템 유형구분유형설명트래픽 분석네트워크 기반 (NIPS)- 모든 네트워크 트래픽 모니터링하여 위협 탐지호스트 기반 (HIPS)- 호스트에 설치되어 인/아웃 바운드 트래픽 모니터링네트워크 동작 분석 (NBA)- 네트워크 트래픽 분석하여 특이한 흐름 탐지 및 분석패턴 분석규칙 기반 분석- 기존 탐지된 침입과 유사한 규칙 모니터링상태 변이 분석- 침입자의 시스템 권한 획득 등 상태 변이 패턴 모니터링- 무선 네트워크 환경에서 침입 방지를 위해 WIPS 시스템 활용 Ⅲ. 무선 침입 방지 시..

Ⅰ. 실시간 침입 탐지 시스템, IDS의 개념- 비인가된 사용자가 자원의 무결성, 기밀성, 가용성을 저해하는 침입 행위를 실시간으로 탐지하는 시스템 Ⅱ. 침입 탐지 시스템 구성 및 기능가. 침입 탐지 시스템의 구성요소구성요소설명정보 수집기- 네트워크 통해 분석 자료 수집정보 분석기- 시스템 설정과 패턴 DB에 따라 분석로그 저장소- 분석 결과 및 로그 저장이벤트 보고기- 분석 결과 관리자에게 보고패턴 생성기- 분석 자료 통해 침입 패턴 생성패턴 DB- 생성된 패턴 저장 관리 나. 침입 탐지 시스템의 주요 기능주요 기능설명경보 기능- 침입 탐지 시 즉각 관리자에게 경보 발송차단 기능- 의심스러운 행위 및 침입 탐지 시 해당 세션 차단실시간 탐지 기능- 시스템, 네트워크 실시간 모니터링 침입 탐지리포트 기능..