굿

Ⅰ. 절대 믿지 않고 계속 검증하는 제로 트러스트 보안과 트러스트 보안 개념 비교구분트러스트 보안제로 트러스트 보안정의외부에서 내부망으로 보안 경계(방화벽) 통과하면 내부의 모든 서버, 서비스, 데이터에 추가 인증 없이 접근 가능한 방내부망 서버, 서비스, 데이터 등 모든 자원을 분리 보호하고 모든 접근 요구에 인증 과정 적용하여 접근 제어하는 방식개념도 Ⅱ. 제로 트러스트 보안와 트러스트 보안 상세 비교구분트러스트 보안제로 트러스트 보안인증네트워크 접속시 한번만 인증 수행내부 네트워크라도 지속 인증 수행접속선접속 후인증선인증 후접속신뢰보안 통과시 암묵적 신뢰모든 요청 무신뢰 원칙검증 대상외부 트래픽모든 트래픽주요 사용 정책black list (특별한 경우 금지)white list (특정 장비만 허용)보..

Ⅰ. 데이터의 활용과 보안 동시고려, 형태 보존 암호화(FPE)와 순서 보존 암호화(OPE) 개념구분형태보존 암호화순서보존 암호화정의입력값의 형태를 유지한채로 암호화하는 방식으로 암호화 키와 암호화 알고리즘 사용암호화할 때 데이터 내의 순서를 보존한채로 암호화하는 방식으로 두 개의 암호화 키 사개념도1234 -> 3123(Tweak, Feistel)A B C D -> A' B' C' D'(단조증가, 노이즈) Ⅱ. 형태보존 암호화와 순서보존 암호화 특징 및 유형가. 형태보존 암호화 특징 및 유형구분세부설명특징Tweak 사용- 기밀성 제공 위해 부가정보 입력Feistel 구조- Round Function 반복 수행 블록암호화 방식유형Prefix Cipher- 의사난수 가중치 계산, Mapping- 알고리즘 ..

Ⅰ. 아무런 정보도 제공하지 않는 인증 방식, 영지식 증명의 개요가. 영지식 증명의 정의- 증명자가 검증자에게 자신의 주장 참, 거짓 이외에 다른 어떠한 정보도 노출하지 않고 증명하는 방식 나. 영지식 증명의 3가지 특성완전성- 어떤 정보가 참일때 증명자는 검증자에게 그것을 납득시킬 수 있어야한다.건실성- 어떤 정보가 거짓일 때 누구도 검증자에게 그것이 참이라고 납득시킬 수 없어야 한다.영지식성- 검증자는 어떤 정보가 참, 거짓이라는 사실 이외에는 아무것도 알 수 없어야 한다. Ⅱ. 영지식 증명의 매커니즘가. 영지식 증명 매커니즘 개념도- 위 증명 과정을 계속 반복하는 방법으로 증명자의 주장이 참이라는 확률을 높일 수 있다. 나. 영지식 증명 매커니즘 상세 설명구분특징설명조건- 동굴 A,B 입구 존재- ..

Ⅰ. 상대방의 데이터 패킷 가로채는 공격, ARP Spoofing 공격의 개요가. ARP Spoofing 공격 정의- 주소 결정 프로토콜 메시지를 이용하여 상대방의 데이터 패킷을 중간에서 가로채는 중간자 공격 기법 나. ARP Spoofing 공격 유형유형설명서버- 취약한 서버를 찾아 공격하고 서버에 악성코드 삽입- 서버 접속 대상 모든 사용자 공격에 노출클라이언트- 공격자가 포함되어 있는 로컬 네트워크에서 공격- 상대적으로 보안 취약한 PC 공격하여 악성코드 삽입- 점진적으로 타 PC 추가 감염 및 네트워크 장애 유발  Ⅱ. ARP Spoofing 공격 대응 방안가 .ARP Spoofing 공격 탐지구분탐지 방안설명피해 시스템 영역ARP table 조회 MAC 주소 확인네트워크 내의 host에서 IP와..

Ⅰ. SW 배포 과정 취약점 공격, 공급망 공격의 개요가. 공급망 공격의 정의- SW 개발, 배포 과정에서 취약한 업데이트 서버 또는 개발자 PC에 침투해 악성코드를 유포하는 해킹 기법 나. 공급망 공격의 등장배경- 원격지 개발 본격화: 원격 접속 프로그램의 취약점 악용하여 공격 도구 배포 및 해킹- 매니지드 서비스 증가: 써드 파티 활용 증가에 따른 침입 경로 다양화 및 인력 관리 허점 공격 Ⅱ. 공급망 공격의 절차 및 유형가. 공급망 공격 절차나. 공급망 공격 유형구분공격 유형설명스트림 공격- 업스트림 훼손- 업로더 변경, 업스트림에서 코드 배포 없이 공격- 미드스트림 훼손- 소프트웨어 업그레이드, CI/CD 훼손 공격- 다운스트림 훼손- 코드 저장소 침투하여 악성코드 주입 후 배포 공격직접 공격- ..

Ⅰ. 개인정보의 비식별화, 프라이버시 보호모델의 개요가. 프라이버시 보호모델의 정의- 개인정보를 포함하는 데이터들을 수집, 저장, 사용, 공유할 때 개인 식별이 안되도록 조치하는 방법 나. 개인정보 비식별조치 적정성 평가- 적정성 평가시 프라이버시 보호모델 활용 Ⅱ. 프라이버시 보호모델과 재식별 공격기법가. 프라이버시 보호모델구분정의적용사례k - 익명성주어진 데이터 집합에서 같은 값이 적어도 k개 이상 존재하도록 구성- 동일 값 가진 레코드를 k개 이상으로함- 개인 식별 확률은 1/kl - 다양성주어진 데이터 집합에서 최소 l개 이상의 서로 다른 민감 정보를 가지도록 구성- 각 레코드는 최소 l개 이상 다양성 보유- 동질성에 의한 추론으로 식별 방지t - 근접성특정 정보의 분포와 전체 데이터 집합에서의 ..

Ⅰ. 해쉬를 활용한 메시지 인증 기술, HMAC 정의- 송신자 수신자가 대칭키를 보유하고 해쉬 함수로 생성한 MAC를 활용해 메시지 변조 여부를 확인하는 메시지 인증 기술 Ⅱ. HMAC 프로세스순서절차설명1shared key 공유송신자와 수신자 사이에 키(대칭키) 공유2송신자 HMAC송신자는 key 사용 원본 메시지 해싱하여 MAC 생성3수신자 전달송신자는 원본 메시지와 MAC 송신4수신자 HMAC수신자는 key 사용 수신한 원본 메시지 해싱, 받은 MAC과 비교5MAC 비교비교 값이 동일하면 변조되지 않았음으로 신뢰- 메시지 자체를 가로채 replay 공격에 노출되는 문제점 존재 Ⅲ. HMAC 취약점 및 해결방안취약점해결방안Replay 공격 노출- 메지시에 일련 번호 추가 (Timestamp)- 메시지..

Ⅰ. 정보보호시스템 공통 국제 표준 평가 기준 Common Criteria 개요가. CC 인증의 개념- 국가마다 다른 정보보호시스템 평가기준을 연동하고 평가결과를 상호 인증하기 위해 제정된 국제 표준 평가 기준 ISO/IEC 15408 나. CC 인증 특징구분내용평가- 보안기능과 보증기능으로 나누어 평가보안 등급 체계- EAL 0~7: EAL 0은 부적합, EAL 4가 사실상 최고 등급관련 작성 문서- 보호프로파일(Protection Profile)- 보안목표명세서(Security Target)평가 수행 지침- CEM(Common Evaluation Methodology)인증서 효력- CCRA(Common Criteria Recognition Arrangement) 가입 시 효력 발생  Ⅱ. CC 인증 ..