소프트웨어 개발 보안 구축

개발 보안 요소 CIA 

 

 

기밀성 (Confidentiality)

무결성(Integrity)

가용성

---

인증 관련 프로토콜 

- 인증(Authentication), 권한부여(Authorization), 계정관리(Accounting)의 앞글자를 딴 용어로 컴퓨터 네트워크 내에서 액세스를 제어하고 추적하는 데 사용되는 프레임워크

-접근이 제한된 네트워크에 로그인 할 수 있도록 평문의 아이디, 패스워드를 통해 인증하는 단순한 프로토콜

-PAP의 단점을 보완한 것으로, 시스템 측에서 인증을 주관하는 프로토콜. 3단계 핸드 셰이킹 방식으로 동작한다.

-다수의 인증 프로토콜을 캡슐화하여 다양한 인증 방식을 선택할 수 있게 하는 범용 인증 프로토콜

-네트워크에 연결하고 네트워크 스비스를 받기 위해 중앙 집중화된 AAA 관리 서비스를 제공하는 서비스. 다양한 프로토콜을 지원하고, UDP에 의해 전달된다. 

-RADIOUS의 단점을 보완하고 서버 간 통신을 지원하는 확장성이 좋은 차세대 인증 프로토콜이다. 보안 기능, 장애 복구 기능을 강화하여 신뢰성 있는 전송 계층 프로토콜 사용이 가능하다. 

 

 

AAA

PAP

CHA

EAP

DIAMETER

---

접근 통제 정책

1. 접근 요청자의 신분과 접근 규칙에 기반을 두는 접근 통제 방식. 한 개체가 다른 개체에 접근 권한을 부여할 수 있다. 신분을 통해 권한 부여가 가능하기 때문에 신분 도용의 위험이 있다. 

2. 접근을 제어하는 보안 전문가에 의해 생성되는 규칙에 기반을 두는 접근 통제 방식. 보안 레이블과 보안 허가증을 비교하여 접근 제어를 하는 것을 의미한다. 모든 접근에 대해 정의해야 하므로 성능 저하 발생 가능

3. 사용자의 역할에 기반을 두고 접근을 통제하는 모델이다. 

 

 

1. DAC

2. MAC

3. RBAC (Role based Access Control)

 

접근 통제 모델

- 기밀성 강조 모델 : BLP

-무결성 강조 모델

1. BLP의 단점을 보완한 최초의 무결성 모델

2. 투자 금융 회사 등에서 이익 충돌 회피를 위한 모델 (직무 분리를 접근 통제에 반영)

3. 위조 방지보다 변조 방지가 더 중요한 금융, 회계 등 자산 데이터 정보를 다루기 위한 상업용 모델

 

 

1. Biba Integrity

2.Chinese Wall

3. Clark - Wilson

---

보안공격

<악성코드>

1. 인터넷 사용자의 컴퓨터에 침입하여 내부 문서 및 파일을 암호화한 뒤에 암호 해독용 프로그램 제공을 조건으로 사용자에게 돈을 요구하는 방식

2. 사용자의 키보드 입력을 모두 기록하여 그 안에서 중요한 정보를 탈취하는 도구

3. 바이러스처럼 다른 파일에 기생하지 않고, 독립적으로 자신을 복제하여 확신시키는 방식으로, 전파 속도가 매우 빠르며 시스템에 과부하를 일으켜 마비시킴

4. 사용자 동의 없이 설치되어 컴퓨터의 정보를 수집하는 소프트웨어

5. 정상적인 파일로 가장해 컴퓨터 내부에 숨어들어가 특정 포트를 열어 공격자의 침입을 도와 정보를 유출시키는 방식으로, 정상적인 파일에 포함되어 함께 설치되며 자체 감염 기능은 존재하지 않음. 

 

<소극적 보안 공격>

1. 네트워크상에서 전송되는 트래픽을 훔쳐보는 행위로, 주로 자신에게 와야 할 정보가 아닌 정보를 자신이 받도록 조작하는 행위

2. 네트워크상의 컴퓨터과 가동 서비스를 탐색하여 장비 구성, 포트 구성 등을 파악하는 것으로, 미리 정해둔 공격 패턴을 수행하여 취약점 파악

 

<패스워드 공격>

1. 가장 단순한 암호 해독 방법으로 패스워트 값을 찾기 위해 가능성 있는 모든 값을 전부 대입해보는 것.

2. 암호가 걸려 있는 정품 sw의 암호화를 풀어 불법적으로 무제한 사용할 수 있게 하는 것. 

 

<서비스 거부 공격>

1. ICMP 프로토콜의 취약점을 이용한 공격. 여러 호스트가 특정 대상에게 다량의 ICMP Echo Reply를 보내 도스 유발

2. TCP의 3-Way-Handshake 취약점을 이용한 공격. 다량의 패킷을 보내 백로그 큐를 가득 채워 다른 연결을 받아들이지 못하게 하는 방식

3. 분산된 다수의 좀비 PC를 이용하여 공격대상 시스템의 서비스를 마비시키는 공격

 

<블루투스 보안 공격>

1. 블루투스 취약점을 이용하여 목표 장비의 임의 파일에 접근하는 공격 방법

2. 블루투스 장비간의 취약한 연결 관리를 이용한 공격. 공격 장치와 대상 장치를 연결하여 공격대상 장치에서 임의의 동작 실행

3. 블루투스를 이용해 스팸메일처럼 명함 등을 익명으로 전송. 

 

 

1. 블루스나핑

2. 블루버깅

3. 블루재킹

 

<기타 보안 공격>

1. 통신을 연결하는 두 사람 사이에 중간자가 침입하여 네트워크 통신을 조작한 후 통신 내용을 도청하거나 조작하는 공격

2. 다른 공격으로 유출된 암호나 토큰을 재전송함으로써 승인된 사용자로 오인하게 만들어 공격

3. 규정된 크기 이상의 ICMP 패킷을 전송하여 DoS 유발 or 과부하로 인한 Crashing, 리부팅 등을 유발하는 공격

4. SQL을 주입하여 의도하지 않은 명령어를 수행하거나 허용되지 않은 데이터에 접근하도록 조작하는 것

5. 웹 페이지에 악의적인 스크립트를 포함시켜 사용자측에서 실행되게끔 유도하는 것. 

6. 특정 취약점에 대한 보안 패치나 대응법이 발표되기 전에 해당 취약점을 이용하여 위협을 가하는 공격 방법. 

7. 시스템 침입 후 침입 사실을 숨긴 채 차후의 침입을 위한 백도어, 트로이목마 설치, 원격 접근, 내부 사용 흔적 삭제, 관리자 권한 획득 등 주로 불법적인 해킹에 사용하는 기능들을 제공하는 프로그램의 모임

8. 해커가 이용자 몰래 컴퓨터에 접속하여 악의적인 행위를 하기 위해 설치해 놓은 출입 통로 역할을 하는 악성코드

9. 원본 데이터에 대한 해시값을 미리 계산하여 사전 형태로 만들어 놓고 하나하나 대입해보는 공격

10. 정당한 사용자가 수행한 세션 인증을 가로채여 중요 자원에 접근하는 공격 방법. 일반적으로 Telnet 이나 FTP와 같이 암호화되지 않은 TCP 세션 기반 응용 프로그램에서 공격

11. 스니핑 등의 보안 공격을 위해 자신을 다른 주체로 속이는 행위로 다양한 방식이 존재한다. 

12. 연속된 메모리 공간을 사용하는 프로그램에서 할당된 메모리의 범위를 넘어선 위치에 자료를 입력하여 오작동 또는 악의적 코드를 실행할 수 있게 하는 공격 방법

-버퍼를 초과하는 입력값을 의도적으로 발생시켜 장애 유발

-원래 프로그램이 가리키는 포인터 영역을 바꿈

--차단 방법 

-메모리상에서 프로그램의 복귀 주소와 변수 사이에 특정 값을 정해 두었다가 그 값이 변경되면 이상으로 가정하여 프로그램 중단

- 함수를 모두 수행하고 종료 시 저장된 값과 스택의 복사본 값을 비교해 값이 다를 경우 공격자로 간주하고 프로그램 중단

13. 친분이나 심리 등을 이용하여 ~

- 개인정보+낚시

- 전화 등으로 공공기관 사칭

- SMS + Phising 

- Private Data + Farming 

14. 공격자가 패킷의 주소나 포트를 임의로 변경하여 출발지와 목적지를 동일하게 함으로써 공격 대상 컴퓨터의 실행 속도를 느레게 하거나 동작을 마비시켜 서비스 거부 상태에 빠지도록 하는 공격 방법

15. 특정 집단이 주로 방문하는 웹 사이트를 감염시키고 피해 대상이 그 웹 사이트를 방문할 때까지 기다리는 웹 기반 공격

16. 정보를 다량 수집한 후 저장만 하고 분석에 활용하지 않는 다량의 데이터로, 삭제되지 않고 방치되어 보안 위협

17. 사이트 주소를 잘못 입력하는 실수를 이용하여 불법 사이트에 접속하게 하여 피해를 주는 공격. 

---

보안 솔루션

1. 불법적인 외부 침입을 차단하여 내부 네트워크를 보호하는 시스템

2. 네트워크상의 비정상적인 접근을 탐지하는 시스템 (방지 불가)

 

---

암호 알고리즘

- 대칭키

DES

AES

IDEA

SEED

ARIA

RC5

WEP

TKIP

- 공개키

RSA (SSL)

ECC

DSA

- 해시

MD5

SHA

---

- 기타

AE (Authentication Exchange)

ISMS (Infomation Security Management System)

ISMS-P

PIMS

WAF (Web Application Firewall)

EMS

SOAR

SIEM

IPSec 

DLP (Data Loss Prevention)

DRM (Digital Right Management)

DRS (Disaster Recovery System) ... RTO(Recovery time Objective) RPO(Recovery Point Objective)

DRP (Disaster Recovery Plan) 

VPN 

NAC (Network Access Control)

SSL/TLS - (전송/응용 계층)