기사 자격증 공부(알기사, 정보보호관리의 개념)

정보보호 : 정보의 수집ㆍ가공ㆍ저장ㆍ검색 등의 행위 중 발생하는 훼손 변조 유출등을 방지하기 위한 기술적 관리적 수단 또는 수단으로 행해지는 행위

정보보호의 5대 목표

- 기밀성, 무결성, 인증성, 가용성, 책임추적성

1. 기밀성 : 허가받은 인원, 시스템 만이 알 필요성에 의해 시스템에 접근할 수 있다.

기밀성은 비밀엄수가 필수 되어야 하고 허가받지 않은 정보 유출을 예방

접근제어, 암호화가 대표적인 기밀성 보안기술

2. 무결성 : 네트워크에서의 내용은 불법적으로 생성, 변경, 삭제해서는 안된다,

접근제어, 메시지인증이 대표적인 무결성 보안기술

3. 가용성 : 합법적인 사용자가 서비스 거부를 당해서는 안된다.

데이터 백업, 중복성 유지, 물리적 위협으로부터 보호가 대표적인 가용성 보안기술

4. 인증성 : 진짜라는 성질 확인할 수 있고, 확인 및 신뢰 할 수 있는 것, 메시지 출처 유효성에대한 확신

5. 책임추적성 : 보안침해에 대한 책임이 있는 곳 까지 추적할 수 있어햐 하는 것

개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다.

부인방지, 결함분리, 침입탐지예방, 사후복구가 대표적인 책임추적성 보안기술

 

CIA Triad

1. 가용성

2. 무결성

3. 가용성

 

정보보호 관리와 보호대책

정보보호 관리는 기술적, 물리적, 관리적 보호대책으로 나눌 수 있다.

1. 기술적 보호대책 : 해킹 등 기술적으로 위험한 행위에 대한 보호대책기술

접근통제, 암호기술, 백업체제가 있다.

2. 물리적 보호대책 : 자연재해 및 전쟁 등 물리적 위협 행위에 대한 보호대책 기술

출입통제, 시건이 있다.

3. 관리적 보호대책 : 법 제도, 규정, 교육 확립 등 보안계획 수립 및 운영 하는 것

 

OSI 보안구조 핵심 : 보안공격, 보안 메커니즘, 보안서비스

1. 보안공격

- 보안의 3가지 목표(기밀성, 무결성, 가용성)을 침해하는 제반행위

- 기밀성 관련 보안 공격 : 스누핑, 트래픽 분석

스누핑 : 데이터에 대한 비인가적 접근 또는 탈취행위

트래픽 분석 : 암호화를 하여 통신 할지라도 트래픽을 분석하여 다른 형태의 정보를 얻을 수 있는 것

- 무결성 관련 보안 공격 : 변경, 가장, 재연, 부인방지

변경 : 메시지의 일부를 불법으로 수정, 메시지 전송을 지연, 순서를 뒤바꾸는 행위

가장 : 한 개체가 다른 개체인 것처럼 행동하는 것, 다른 적극적 공격과 병행해서 수행

재연 : 획득한 데이터를 보관 후 시간이 경과 한 후에 재전송

부인 : 메시지 전송 후 차후 메시지 전송 했다는 사실을 부인하는 것

- 가용성 관련 보안 공격 : 서비스거부(DOS)

서비스 거부(DOS) : 시스템의 서비스를 거부하거나 느리게 하는 행위

- 보안공격은 적극적 공격과 소극적 공격으로 나눌 수 있다.

소극적 공격 : 정보를 탈취, 사용은 하나 시스템 자원에게는 영향을 끼치지 않음

소극적 공격은 탐지가 어렵기 때문에 예방에 더 신경 써야 한다.

적극적 공격 : 시스템 자원을 변경 또는 시스템 작동에 영향을 끼치는 행위

탐지보다는 방어가 더 쉽다

공격행위	적극 / 소극	관련위협
스누핑, 트래픽 분석	소극	기밀성
가장, 재연, 재전, 부인방지	적극	무결성
서비스거부(DOS)	적극	가용성

2. 보안 메커니즘 : 보안공격을 탐지, 예방하는 행위 또는 보안공격을 받았을 때 침해를 복구하는 절차

3. 보안 서비스 : 조직의 정보 전송과 데이터 처리 시스템의 보안을 강화하기 위한 처리 또는 통신 서비스

 

기본 보안용어 정의

1. 자산 : 조직이 보호해야할 대상, 데이터 또는 자산 소유자가 가치를 부여한 것

2. 취약점 : 공격자에게 열린문을 제공하는 약점, 위협의 이용대상

3. 위협

- 손실, 손상의 원인이 될 가능성을 제공하는 환경의 집합

- 보안에 해를 끼치는 행동이나 사건

- 보안 위협의 종류

1. 가로채기 : 비인가된 당사자가 자산에 접근을 획득한 행위 → 기밀성에 영향

2. 가로막기 : 시스템 자산이 손실 되거나 사용불가능 하게 됨 → 가용성에 영향

3. 변조 : 비인가된 당사자가 접근해 내용을 변경하는 행위 → 무결성에 영향

4. 위조 : 비인가된 당사자가 시스템상에 불법객체의 위조정보 생성 → 무결성 영향

4. 위협주제(위협원) : 취약점을 이용하는 존재

5. 위험 : 위협주체가 취약점을 활용할 수 있는 가능성과 그와 관련된 영향

→ 위험 = 자산X위협X 취약점

6. 노출 : 위협주체로 인해 손실이 발생할 수 있는 경우, 취약점은 조직에 있어 피해를 노출 시킴

7. 대책 /안전장치 : 잠재적 위험을 완화시키는 장치

 

다계층 보안 / 심층방어

- 여러계층의 보안대책이나 대응수단

- 한 가지 대응통제가 대응에 실패하더라도 전체 시스템을 위험에 빠뜨리지 않음

- 보호ㆍ탐지ㆍ대응으로 이루어진 보안접근법

DUE : 특정 목적을 달성하기 위해 필요하거나 요구되는 적절하고 충분한 의무

DUE Care : 특정목적을 달성하기 위해 필요하거나 요구되는 적절하고 충분한 주의

DUE Diligence : 특정 목적을 달성하기 위해 필요하거나 요구되는 충분한 노력

 

사회공학 공격 : 인간 상호간의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 깨뜨리기 위한 침입 수단

                          대표적으로 피싱, 키로거, 트로이목마가 있다.

 

시점별 통제

1. 예방통제 : 사전에 위협과 취약점에 대처하는 통제

2. 탐지통제 : 위혐을 탐지하는 통제

3. 교정통제 : 탐지된 위협이나 취약점에 대처 또는 위혐 취약점을 감소시키는 통제