![]()
2022년 11월 26일, 22년 마지막 보안기사 실기 시험을 보고 왔다. 2020년부터 시작해서 이미 4번이나 떨어져 올해 마지막 시험은 꼭 붙겠다는 생각으로 공부를 하였다. 난이도의 경우 KISA에서 KCA로 변경된 이후 많이 내려간 것처럼 느껴졌다. KISA에서 문제 출제 하는 경우 '이런문제도 나온다고?'라고 느끼는 문제들이 많이 출제 되었다면 KCA에서 출제하고 나서부터는 대부분 공부했었던 범위에서 많이 나왔던 것 같다. 솔직히 6번째 시험에서 합격한 것이라 이 글을 쓸까 말까 고민을 많이 했지만 혹시라도 내 글을 보고 도움이 되었으면 하는 바람에 어떻게 공부하였는지 적어보려고 한다. 1. 과거 시험에서 가장 많이 나왔던 분야부터 공부를 시작해라 - 나의 경우 알기사 책을 가지고 공부를 하였다...
/etc/passwd [user account]:[user_passwd]:[UID]:[GID]:[comment]:[home_dir]:[login_shell] root : x : 0:0: : /root: /bin/bash -> x= /etc/shadow 사용 불필요한 계정 사용 시 login shell을 /bin/false, /sbin/nologin으로 설정 /etc/shadow [user account]:[encrypted password]:[last_change]:[min_life]:[max_life]:[warn]:[inactive]:[expires] root : $1$fjkoweisdf:$dslkfjasiojeoirjoisjdfoijsoidjf:19888:1:90:7: : -> $1 = hash 방법..
제 15조. 개인정보 수집ㆍ이용 - 개인정보 처리자는 다음 각 호의 어느 하나에 해당하는 경우 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용 가능 1. 정보주체의 동의가 있는 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수 하기 위해서 3. 공공기관이 법령 등에서 정하는 소관 업무 수행 하기 위해서 4. 정보주체와의 계약의 체결 및 이행을 위해 불가피한 경우 5. 정보주체 또는 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제 3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로, 명백하게 정보주체의 권리보다 우선되는 경우..
제 3조. 개인정보 보호 원칙 개인정보 처리자는 처리목적을 명확하게 하여 그 목적에서 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집해야 한다. 개인정보 처리자는 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리해야 하며 목적 외 용도로 활용해서는 아니 된다. 개인정보 처리자는 개인정보의 처리 목적에 필요한 범위서 개인정보의 정확성, 완전성, 최신성이 보장되도록 하여야 한다. 개인정보 처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리해야 한다. 개인정보 처리자는 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장해야 한다. 개인정보 처리자는 정보주체..
1. 개인정보 : 살아있는 개인에 관한 정보로 다음 각 목의 어느 하나에 해당하는 정보 가) 성명, 주민등록번호, 영상 등을 통하여 개인을 알아볼 수 있는 정보 나) 해당 정보만으로는 특정 개인을 알아 볼 수 없어도 다른 정보와 쉽게 결합하여 알아 볼 수 있는 정보 다) 가), 나) 항목을 가명처리 함으로 써 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아 볼 수 없는 정보(이하 “가명처리”라 함) 2. 가명처리 : 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아 볼 수 없도록 처리하는 것 3. 처리 : 개인정보의 수집, 생성, 연계, 연동, 기록, 저장 , 보유 , 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에..
제3조(안전조치 기준 적용) - 개인정보처리자가 개인정보의 안전성 확보에 필요한 조치를 하는 경우 개인정보 보유량에 따른 안전조치 기준을 적용해야 한다. - 개인정보처리자는 본인이 어느 유형의 안전조치 기준을 따라야하는지에 대한 입증책임은 개인정보처리자가 부담해야 한다. - 개인정보처리자 유형 및 개인정보 보유량에 따른 안전조치 기준 유형 적용대상 안전조치 기준 유형1(완화) ㆍ1만명 미만의 개인정보 보유한 소상공인, 개인, 단체 ㆍ제5조 : 제2항 ~ 제5항 ㆍ제6조 : 제1항, 제3항, 제6항 및 제7항 ㆍ제7조 : 제1항 ~ 제5항, 제7항 ㆍ제8조, 9조, 10조, 11조, 13조 유형2(표준) ㆍ100만명 미만의 개인정보 보유한 중소기업 ㆍ10만명 이상 개인정보 보유하고 있는 대기업, 중견기업,..
※ 개인정보보호법 제23조(민감정보 처리제한) ○ 1항 : 개인정보처리자는 사상, 신념, 노동조합ㆍ정당의 가입ㆍ탈퇴 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보(민감정보)를 처리하여서는 안된다. - 예외사항 1. 정보주체에게 제15조 제2항 또는 제 17조 제2항 각 호의 사실을 알리고 다른 개인정보의 처리에 대해 동의를 받은 경우 ＊ 정보보호법 제15조 제2항 - 개인정보 수집ㆍ이용 목적 - 수집하려는 개인정보의 항목 - 개인정보의 보유 및 이용기간 - 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익 ＊ 정보보호법 제17조 제2항 - 개인정보를 제공받는 자 - 개인정보를 제공받는 자의 개인정보 이용 목적 - 제공하는 개인정보의 항..
ls : 디렉토리에 있는 내용(디렉토리, 파일 등)을 확인하는 명령어 ls -l 명령 출력 결과 -rwxrwxrwx 2 park park 512 sep 10 08:30 park.c 1 2 3 4 5 6 7 1 : 파일 종류 및 접근권한 - d : 디렉토리 - b : 블록 장치파일 - c : 문자 장치 파일 - l : 심볼릭링크 파일 - p : named 파이프 - s : Unix 도메인 소켓 - - : 일반 파일 - r : 읽기(파일), ls권한(디렉토리) - w : 쓰기(파일), 삭제, 생성 등 권한(디렉토리) - x : 실행(파일), cd 권한(디렉토리) 2. 하드링크 갯수 3. 파일 소유자 4. 파일 소유 그룹 5. 파일 사이즈 6. 파일 최종 수정시간 7. 파일명 UMASK : file/dir 생..
File System - 물리적 저장장치에 파일을 생성, 저장, 관리하기 위한 논리적인 자료구조 시스템 - File System 구조 Boot Block Super Block I-node list Data block 1. Boot block : 부팅을 위한 bootstrap 코드를 담고 있는 블록 2. super block : 파일 시스템 관리를 위한 정보를 담고 있는 블록 3. i-node list : file에 대한 속성정보를 관리하기 위한 블록 ˙ i-node number : file system에서 file의 고유 식별자 ˙ file type ˙ 권한 ˙ link-count : 하드 링크 개수 ˙ owner : 파일의 UID ˙ group : 파일의 GID ˙ 파일크기 ˙ MAC-Time(무결성 ..
![]()
LSA - 실질적인 윈도우 인증의 핵심 - 모든 계정의 로그인에 대한 검증을 실시 - 시스템 자원 파일에 대한 접근권한을 검사함 - 계정과 SID를 매칭하여 SRM이 생성한 감사 로그를 기록 - NT 보안의 중심서비스, 보안 서브 시스템 SAM - 사용자 / 그룹 계정 정보에 대한 DB관리 및 인증 여부 결정 - SAM 파일 : 사용자, 그룹 계정 및 암호화된 패스워드 정보를 저장, 윈도우 설치 디렉터리에 존재 SRM - 인증된 사용자에게 SID를 부여, SID 기반으로 접근 여부 판단 후 감사 메시지를 남김 SID - 윈도우 사용자나 그룹에 부여되는 고유 식별번호 - SAM 파일에 SID 정보가 저장됨 - 500(ADMINISTRATOR), 501(GUEST), 1000이상(일반 사용자) 윈도우 인증방..
find : 시스템 내에 있는 파일 중에서 사용자가 원하는 파일을 찾을 때 사용하는 명령어 find 명령어 옵션 find [경로] [expression][action] ○ 경로 : 검색을 할 디렉 터리 지정 ○ expression : 검색 시 추가적인 옵션 부여(파일 명 지정, 소유자명 지정 및 파일 크기, 파일 접근권한 등) - name : 파일명을 지정 - type : 파일의 타입을 지정(f : 일반 파일, d : 디렉터리, b : 블럭장치 파일, l : 심볼릭 링크 파일) - user : 소유자명 또는 UID를 지정 - group : 그룹명 또는 GID를 지정 - size : 파일 크기 지정 - perm mode : 파일의 접근권한을 지정 - atime : 파일을 마지막으로 접근한 시간 지정(acc..
오프소스 웹 서버인 아파치 톰캣(Apache Tomcat)에서 취약점이 발견, 이를 통해 원격 코드 실행 등 공격도 발생할 수 있다고 한다. 취약한 톰캣 버전은 7.0, 8,5, 9.0 버전이라고 한다. 문제의 취약점은 CVE-2020-1938로 2월 20일에 이미 공개된 바 있는 취약점이다. ※ CVE-2020-1938 : Apache Tomcat 서버에 존재하는 파일에 취약점이 포함되어 있어 공격자가 해당 취약점을 악용하여 Tomcat webapp 목록 하위의 있는 모든 임의의 파일 업로드 허용하는 경우, 공격자는 이를 악용하여 jsp 파일 업로드 후 원격코드 실행이 가능하다 깃허브에 공개된 익스플로잇의 이름은 고스트 캣(Ghostcat)이며 서버로부터 정보를 추출할 수 있게 해 주며 성공률 또한 꽤..
