본문 바로가기

정보보안기사

정보통신기반시설 취약점 분석 (4) 1. 크로스사이트 스크립팅 보안위험: 웹 어플리케이션에서 사용자 입력 값에 대한 필터링이 제대로 이뤄지지 않을 경우, 공격자가 웹 사이트 게시판, URL 등에 악의적인 스크립트(javascript, VB script, ActiveX, Flash 등)를 삽입하여 게시글이나 메일을 읽는 사용자의 쿠키(세션)를 도용하거나 악성코드(URL 리다이렉트)를 유포할 수 있 음 점검방법: HTML 지원 게시판, Referrer 를 이용한 페이지, 사용자가 입력한 내용을 출력하는 페이지, Search Page, Join From Page 등에서 스크립트 코드 입력 -> 저장 -> 동작되는지 확인(게시판,URL) 대응방법: 게시글에 HTML 태그 활용 제한, 입력 값 필터링 구현 ( , , , , " , ' ,.. 더보기
정보통신기반시설 취약점 분석 (3) 1. 버퍼 오버플로우 보안위협: 공격자가 메모리 조작을 유도해 권한 탈취, 특정 프로그램 실행, 정보 유출등 가능 점검방법: 입력 값에 많은 인수 값 전달시 에러 페이지나 기타 오류가 발생하는지 확인 대응방법: 웹 응용 프로그램 최신 패치, 전달되는 인수 값 길이 값 체크하여 메모리 할당, 잘못된 인수에 대한 오류처리 2. 포맷스트링 보안위협: 공격자가 입력 값을 조작하여 프로그램의 메모리 위치를 반환 받아 메모리 주소를 변조하여 시스템의 관리자 권한을 획득 할 수 있음 점검방법: 입력 값에 %n%n%n%n..., %s%s%s%s%s..., %1!s%2!s%3!s..., %1!n%2!n%3!n...등 전달시 에러 반응 이나 멈추는 등 이상 오류가 발생하는지 확인 대응방법: 웹 응용 프로그램 최신 패치, .. 더보기
정보통신기반시설 취약점 분석 (2) 보호되어 있는 글입니다. 더보기
정보통신기반시설 취약점 분석 (1) *root 계정 원격 접속 제한 /etc/pam.d/login auth required /lib/security/pam_securetty.so /etc/securetty pts/0~x 설정 없음 *패스워드 복잡성 설정 복잡성: /etc/pam.d/system-auth (RHEL5), /etc/security/pwquality.conf (RHEL7) 기간: /etc/login.defs 요구 사항: lcredit (최소 소문자), ucredit (최소 대문자), ocredit (최소 특수문자), minlen (최소 길이), retry (재시도 횟수) * 계정 잠금 임계값 설정 (권장 5회 이하) /etc/pam.d/system-auth auth required /lib/security/pam_tally.so.. 더보기
콘솔 정리 ☑ 리눅스 종류와 그 버전을 알아볼 수 있는 방법 → cat /etc/issue or uname –a or cat /proc/version or lsb_release -a ☑ 리눅스 시스템의 /etc/sysctl.conf 파일 내용 ping 요청을 응답하지 않게 설정한다. 브로드캐스트 주소에 ping을 못하도록 한다. SYNC Attack 공격을 막기 위해서 백로그라는 큐의 크기를 늘린다.(기본값 256) SYNC Flood 공격에 대응하기 위해서 사용한다.(기본값 0) ICMP Redirect를 위한 공격을 막기 위해서 리다이렉트를 끈다.(기본값은 1) BED icmp 패킷을 무시하게 한다.(기본값 0) IP 스푸핑을 방지한다.(기본값 0) IP 스푸핑된 패킷을 로그에 기록한다.(기본값 0) 연결 종료.. 더보기
네트워크 보안 (4) 가상사설망(VPN : Virtual Private Network) - 인터넷의 개방적이고 분산된 하부 구조로 사용 가능 - ISP에 POP(Point of Presence)로 연결 - 전송데이터 암호화 및 인증 등 보안기능을 제공 가상사설망 기술 ㄱ. 터널링 기술 - End-to-End 전용회선 연결과 같은 효과. 두 종단간 사이에 가장적인 터널을 형성하는 기술 - 암호화와 인증 제공 - 각 네트워크 계층별 터널링 프로토콜이 존재 ㄴ. 키(Key) 관리 기술 - VPN 서비스 보안사항 협상에 사용되는 키 관리 프레임 기술 - ISAKMP, OAKLEY 등 ㄷ. VPN 관리 기술 - 효과적, 안정적으로 VPN 서비스를 지원하는 기술 - QoS를 보장하는 기술 가상사설망 장단점 ㄱ. 장점 - 폐쇄망. 전송 .. 더보기
네트워크 보안 (3) * 침입차단시스템(Firewall) 특징 - 외부 네트워크와 내부 네트워크의 경계선에 위치 - 패킷 처리 및 제어 - 내부 네트워크를 안전하게 하기 위한 보안장치 - 내부 네트워크에서의 취약부분 회피 - 로깅기능과 감사증적 제공 * 침입차단시스템 주요 기능 - 접근통제 : 외부에서 내부로 접근하는 것을 패킷 필터링을 통해 통제 - 사용자 인증 : 트래픽에 대한 사용자의 신분을 증명하는 기능 - 감사 및 로그기능 : 모든 트래픽에 대한 접속 정보, 네트워크 사용에 따른 유용한 통계정보 기록 - 프록시 기능 : 클라이언트 서비스 요청을 받아 실제 서비스를 수행. 요청을 전달하고 결과를 수신하여 클라이언트에게 전달 - 보안정책 구현 : 방화벽을 통하여 보안정책을 수립하여 구현 가능 * 침입차단시스템 종류 - .. 더보기
정보보안 용어 정리 (2) 뉴밴 (New Ban) 국내 주요 은행, 증권사와 카드사의 금융 서비스를 하나의 앱에서 서비스하는 것처럼 사용자를 속여 금융정보 탈취를 노리는 악성 앱. 공격 명령 서버 (C&C Server [Command and Control Server]) 감염된 좀비(Zombi) PC 에 공격자가 웎하는 공격을 수행하도록 명령을 내리고, 조종하는 원격지 의 제어서버를 의미한다. 주로 악성코드 유포, 피싱, 스팸, DDOS 공격 등의 명령을 전달한다. SQL 인젝션(Injection) (SQL Injection ) 웹 페이지의 입력값을 통해서 SQL명령어를 주입하고 관리자 또는 기킸 다른 계정으로 접근하여 DB조작 등을 하는 해킷방법을 말한다. 가상회선 (Virtual Circuit) 네트워크 내의 지점들 갂에 불연.. 더보기

티스토리툴바