정보처리기사 9단원(소프트웨어 개발 보안 구축) 요약

기출문제가 출제된 부분은 배경색으로 표시해 두었습니다

목차

1. 소프트웨어 개발 보안 설계
2. 소프트웨어 개발 보안 구현

 

 

소프트웨어 개발 보안 설계

---

SW 개발 보안의 3대 요소

💡 암기 TIP
Confidentiality, Integrity, Availability → CIA

용어	설명
기밀성(Confidentiality)	인가되지 않은 개인 혹은 시스템 접근에 따른 정보 공개 및 노출을 차단
무결성(Integrity)	정당한 방법을 따르지 않고서는 데이터 변경 불가, 데이터 정확성 및 완전성 보장
가용성(Availability)	권한을 가진 사용자나 애플리케이션이 원하는 서비스를 지속해서 사용할 수 있도록 보장

 

SW 개발 보안 용어

💡 암기 TIP
자산, 위협, 취약점, 위험 → 자위취위(일본 자위대 취업은 위험하다)

용어	설명
자산(Assets)	조직의 데이터 또는 조직의 소유자가 가치를 부여한 대상
위협(Threat)	자산에 악영향을 끼칠 수 있는 사건이나 행위
취약점(Vulnerability)	위협이 발생하기 위한 사전조건으로, 시스템의 정보 보증을 낮추는데 사용되는 약점
위험(Risk)	위협이 취약점을 이용하여 조직의 자산 손실 피해를 가져올 가능성

 

DoS(Denial of Service) 공격

시스템을 악의적으로 공격해 해당 시스템의 자원을 부족하게 하여 사용하지 못하게 하는 공격

(DoS는 1대의 공격자 컴퓨터에서 공격하고, DDoS는 완벽한 공격을 위해 공격자가 여러 대의 컴퓨터를 감염시켜 공격)

 

DoS 공격의 종류

공격 기법	설명
SYN 플러딩(Flooding)	TCP 프로토콜의 구조적 문제를 이용한 공격으로, SYN 패킷만을 보냄(ACK X)
UDP 플러딩(Flooding)	대량의 UDP 패킷을 만들어 임의의 포트 번호로 전송
스머프(Smurf)/스머핑(Smurffing)	출발지 주소를 공격 대상의 IP로 설정하여, 네트워크 전체에 ICMP Echo 패킷을 직접 브로드캐스팅(Directed Broadcasting)하여 마비시키는 공격
죽음의 핑(PoD: Ping of Death)	ICMP 패킷(핑)을 매우 크게 만들어 전송해 부하를 일으키는 공격
랜드 어택(Land Attack)	출발지 IP와 목적지 IP를 같은 패킷 주소로 만들어 보내, 수신자가 자기자신에게 응답
티어 드롭(Tear Drop)	IP 패킷 재조합 과정에서 잘못된 Fragment Offset 정보로 인해 문제를 발생시키는 공격
봉크(Bonk)/보잉크(Boink)	봉크: 같은 시퀀스 번호를 계속 보냄 보잉크: 일정한 간격으로 시퀀스 번호에 빈 공간 생성

 

DDoS(Distributed DoS) 공격

여러 대의 공격자를 분산 배치하여 동시에 동작하게 함으로써 특정 사이트를 공격하는 기법

💡 암기 TIP
Handler, Agent, Master, Attacker, Daemon → HAMAD (무하마드 알리)

DDoS 공격 구성요소	설명
핸들러(Handler)	마스터 시스템의 역할을 수행
에이전트(Agent)	공격 대상에게 직접 공격을 가하는 시스템
마스터(Master)	공격자에게서 직접 명령을 받는 시스템, 여러 대의 에이전트 관리
공격자(Attacker)	공격을 주도하는 해커의 컴퓨터
데몬 프로그램(Daemon)	에이전트 시스템의 역할을 수행하는 프로그램

 

DRDoS(Distributed Reflection DoS) 공격

공격자는 출발지 IP를 공격대상 IP로 위조하여 다수의 반사 서버로 요청 정보를 전송, 피해자는 반사 서버로부터 다량의 응답을 받아 서비스 거부(DoS)가 되는 공격

 

DoS vs DDoS vs DRDoS

공격	그림
DoS
DDoS
DRDoS

 

애플리케이션 공격(DDoS 서비스 마비 공격)

애플리케이션 공격 기법	설명
HTTP GET Flooding	과도한 Get 메시지를 이용하여 웹 서버의 과부하를 유발하는 공격
Slow HTTP Header DoS	HTTP GET 메서드를 사용하여 헤더의 최종 끝을 알리는 개행 문자열을 전송 X
Slow HTTP POST DoS	요청 헤더의 Content-Length 크기를 비정상적으로 크게 설정하고, 바디 부분을 매우 소량 전송
Slow HTTP Read DoS	TCP 윈도 크기와 데이터 처리율을 감소시킨 상태에서 다수 HTTP 패킷 지속 전송
Hulk DoS	공격자가 공격대상 URL을 지속적으로 변경하면서 다량의 GET 요청을 발생
Hash DoS	많은 수의 파라미터를 보내 해시 충돌을 일으키는 공격

 

네트워크 공격

네트워크 공격 기법	설명
스니핑(Sniffing)	공격대상에게 직접 공격하지 않고, 데이터만 몰래 들여다보는 수동적 공격 기법
네트워크 스캐너(Scanner) 스니퍼(Sniffer)	공격자가 HW, SW 구성의 취약점 파악을 위해 탐색하는 도구
패스워드 크래킹	사전 크래킹, 무차별 크래킹, 패스워드 하이브리드, 레인보우 테이블 이용
IP 스푸핑(IP Spoofing)	본인 패킷 헤더를 인증된 호스트의 IP 주소로 위조
ARP 스푸핑(ARP Spoofing)	특정 호스트의 MAC 주소를 자신의 MAC 주소로 위조한 ARP Reply를 만들어 지속적으로 전송
ICMP Redirect	3계층에서 스니핑 시스템을 네트워크에 존재하는 또 다른 라우터라고 알려 패킷 흐름 변화
트로이 목마(Trojan Horses)	겉보기에는 정상이지만, 악성 루틴이 숨어있어 실행 시 악성 코드가 실행

패스워드 크래킹 종류

1. 사전(Dictionary) 크래킹: ID와 패스워드가 될 가능성이 있는 단어를 파일로 만들어놓음
2. 무차별(Brute Force) 크래킹: 패스워드로 사용될 수 있는 모든 경우를 무작위로 대입해 알아내는 기법
3. 패스워드 하이브리드 공격: 사전공격과 무차별 대입을 결합
4. 레인보우 테이블 공격: 패스워드 별로 해시 값을 미리 생성해놓고, 크래킹하고자 하는 해시 값을 테이블에서 검색

 

버퍼 오버플로우(Buffer Overflow) 공격

메모리에 할당된 버퍼 크기를 초과하는 양의 데이터를 입력하여, 프로세스의 흐름을 변경하여 악성코드를 실행

버퍼 오버플로우 공격 유형	설명
스택 버퍼 오버플로우	메모리 영역 중 Local Value나 Return Address가 저장되는 스택 영역에서 발생
힙 버퍼 오버플로우	동적으로 할당되는 힙 영역에 할당된 버퍼 크기를 초과하는 데이터 입력

 

버퍼 오버플로우 공격 대응 방안

용어	설명
스택가드(Stackguard) 활용	카나리 값을 활용해 이 값이 변조될 경우 호출 X
스택쉴드(Stack Shield) 활용	복귀 주소를 특수 스택에 따로 저장
ASLR	메모리 공격을 방어하기 위해 주소 공간 배치를 난수화

 

백도어(Backdoor)

어떤 제품이나 컴퓨터 시스템, 암호시스템 등에서 정상적인 인증 절차를 우회하는 기법

 

주요 시스템 보안 공격기법

시스템 보안 공격기법	설명
포맷 스트링 공격 (Format String)	외부로부터 입력된 값을 검증하지 않고 포맷 스트링을 그대로 사용하는 경우
레이스 컨디션 공격 (Race Condition)	둘 이상의 프로세스나 스레드가 공유 자원을 동시 접근할 때 접근 순서에 따라 장애 발생
키로거 공격(Key Logger)	컴퓨터 사용자의 키보드 움직임을 탐지해 저장, 정보 탈취
루트킷(Rootkit)	시스템 침입 후 차후 침입을 위한 백도어, 트로이 목마 설치

 

보안 관련 용어

용어	설명
스피어피싱(Spear Phising)	사회 공학의 한 기법으로, 메일을 이용
스미싱(Smishing)	SMS와 Phising의 합성어로, 문자를 이용
큐싱(Qshing)	QR 코드를 이용한 공격 기법
봇넷(Botnet)	악성 프로그램에 감염된 다수의 컴퓨터들이 형성한 네트워크
APT 공격(Advanced Persistent Threat)	특정 타깃을 목표로 다양한 수단을 통한 지속적이고 지능적인 맞춤형 공격
공급망 공격(Supply Chain Attack)	소프트웨어 개발사의 네트워크에 침투해 소스코드에 악의적인 코드 삽입
제로데이 공격(Zero Day Attack)	보안 취약점이 발견되어 공표되기 전에 해당 취약점을 악용
웜(Worm)	스스로를 복제하여 네트워크 등의 연결을 통하여 전파하는 악성컴퓨터 프로그램
랜섬웨어(Ransomware)	감염된 시스템의 파일들을 암호화하여 복호화 할 수 없도록 하고 몸값 요구
이블 트윈 공격(Evil Twin)	무선 WiFi 피싱 기법, 합법적인 WiFi 제공자인것처럼 행세해 정보 탈취
난독화(Obfuscation)	코드의 가독성을 낮춰 역공학에 대한 대비를 하기 위해 프로그램 코드 변경

 

서버 인증 기술

다중 사용자 시스템과 망 운영 시스템에서 접속자의 로그인 정보를 확인하는 보안 절차

💡 암기 TIP
지식, 소지, 생체, 특징 → 지소생특(지구의 소중한 생명체들은 특별하다)

인증 기술	설명	예시
지식기반 인증	사용자가 기억하고 있는 지식	ID/PW
소지기반 인증	소지하고 있는 사용자 물품	공인인증서, OTP
생체기반 인증	고유한 사용자의 생체 정보	지문, 홍채, 정맥
특징기반 인증	사용자의 특징 활용	서명, 발걸음, 몸짓

 

접근 통제 기법

접근 통제 기법	설명
식별(Identification)	자신이 누구라고 신원을 밝히는 행위
인증(Authentication)	주체의 신원을 검증하기 위한 활동
인가(Authorization)	인증된 주체에게 접근을 허용하는 활동
책임추적성(Accountability)	주체의 접근을 추적하고 행동을 기록하는 활동

 

서버 접근 통제의 유형

유형	설명
임의적 접근 통제(DAC) (Direct Access Control)	시스템에 대한 접근을 사용자/그룹의 신분 기반으로 제한
강제적 접근 통제(MAC) (Mandatory Access Control)	시스템에 대한 접근을 시스템 정보의 허용등급을 기준으로 제한
역할기반 접근 통제(RBAC) (Role Based Access Control)	시스템에 대한 접근을 조직 내 맡은 역할을 기반으로 제한

 

양방향 암호 알고리즘

대칭키 암호 방식(비밀키 암호 방식)

암호화와 복호화에 같은 암호 키를 사용하는 알고리즘

방식	설명
블록 암호 방식	긴 평문을 암호화하기 위해 고정 길이의 블록 암호화 (DES, AES, SEED)
스트림 암호 방식	매우 긴 주기의 난수열을 발생시켜 평문과 더불어 암호문 생성 (RC4)

대칭키 알고리즘	설명
DES	1975년 미국 연방 표준국(NIST)에서 발표
SEED	1999년 한국 인터넷진흥원(KISA)에서 개발
AES	DES와 3DES의 문제를 해결하기 위해 2001년 NIST에서 발표
ARIA	2004년 국정원과 산학연구협회가 개발
IDEA	DES를 대체하기 위해 스위스 연방기술 기관에서 발표
LFSR	선형 되먹임 시프트 레지스터

비대칭키 암호 방식(공개키 암호 방식)

사전에 개인 키를 나눠 갖지 않은 사용자들이 안전하게 통신하는 방식으로, 공개키와 비밀키가 존재

비대칭키 알고리즘	설명
RSA	1977년 3명의 MIT 수학 교수가 고안, 소인수 분해를 이용
ECC	RSA 암호 방식에 대한 대안으로, 타원 곡선을 이용
ElGamal	이산대수의 계산이 어려운 문제를 기본 원리로 함
Diffie-Hellman	최초의 공개키 알고리즘, 이산대수 이용

 

일방향 암호 알고리즘(해시)

임의 길이의 정보를 받아, 고정된 길이의 암호문(해시 값)을 출력하는 암호 방식으로, 복호화가 불가능

해시 알고리즘	설명
MD5	MD4를 개선한 알고리즘, 무결성 검사에 사용
SHA-1	NSA에서 미 정부 표준으로 지정, DSA에서 사용
SHA-256, 384, 512	SHA의 종류로서 256비트의 해시값 생성
HAS-160	국내 표준 서명 알고리즘을 위해 개발

 

데이터 암호화 전송

용어	설명
IPSec (Internet Protocol Security)	IP 계층(3계층)에서 무결성과 인증을 보장하는 인증 헤더(AH)와 기밀성을 보장하는 암호화를 이용한 IP 보안 프로토콜
SSL/TLS (Secure Socket Layer Transport Layer Security)	전송계층과 응용계층 사이에서 클라이언트와 서버 간의 웹 데이터 암호화, 상호 인증 및 데이터 무결성을 보장하는 프로토콜
S-HTTP (Secure Hypertext Transfer Protocol)	웹상에서 네트워크 트래픽을 암호화하는 주요 기법, 모든 메시지 암호화

 

개인정보 보호법

용어	설명
고유 식별정보	개인을 고유하게 구별하기 위하여 부여된 식별 정보(주민번호 등)
민감 정보	유전자 검사정보, 범죄경력정보 등 주체의 사생활을 현저히 침해 가능한 정보

 

 

소프트웨어 개발 보안 구현

---

입력 데이터 검증 및 표현 취약점

입력 데이터로 인해 발생하는 문제들을 예방하기 위해 구현 단계에서 검증해야 하는 보안 점검 항목

용어	설명
XSS(Cross Site Script)	검증되지 않은 외부 입력 데이터가 포함된 웹페이지를 사용자가 열람할 때 부적절한 스크립트가 실행되는 공격
사이트 간 요청 위조 (CSRF: Cross-Site Request Forgery)	사용자 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청
SQL 삽입(SQL Injection)	악의적인 SQL 구문 삽입, 실행시켜 DB의 정보를 열람 및 탈취

 

네트워크 보안 솔루션

네트워크 보안 장비는 접근 통제, 침입차단 및 탐지, DDoS 탐지 등을 수행

솔루션	설명
방화벽(Firewall)	기업 내부, 외부 간 트래픽을 모니터링 하여 시스템의 접근을 허용 및 차단
웹 방화벽(WAF: Web Application Firewall)	웹 애플리케이션 보안에 특화된 보안 장비
네트워크 접근 제어(NAC: Network Access Control)	단말기가 내부 네트워크 접속을 시도할 때 이를 제어하고 통제
침입 탐지 시스템(IDS: Intrusion Detection System)	네트워크에서 발생하는 이벤트 모니터링, 침입을 실시간으로 탐지
침입 방지 시스템(IPS: Intrusion Protection System)	네트워크에 대한 공격이나 침입을 실시간으로 차단
무선 침입 방지 시스템(WIPS: Wireless Intrusion Protection System)	인가되지 않은 무선 단말기의 접속을 자동 탐지 및 차단
통합 보안 시스템(UTM: Unified Threat Management)	다양한 보안 장비의 기능을 하나로 통합
가상 사설망(VPN: Virtual Private Network)	인터넷과 같은 공중망에 인증, 암호화, 터널링 기술을 사용해 마치 전용망을 사용하는 효과를 갖는 보안 솔루션

 

콘텐츠 유출 방지 보안 솔루션

솔루션	설명
보안 USB	정보 유출 방지 등의 보안 기능을 갖춘 USB
데이터 유출 방지(DLP: Data Loss Prevention)	조직 내부의 중요 자료가 외부로 빠져나가는 것을 탐지하고 차단하는 솔루션
디지털 저작권 관리(DPM: Digital Right Management)	디지털 저작물에 대한 보호와 관리를 위한 솔루션

 

비즈니스 연속성 계획(BCP, Business Continuity Plan)

각종 재해, 장애, 재난으로부터 위기관리를 기반으로 재해복구, 비상계획 등을 통해 비즈니스 연속성을 보장하는 계획

용어	설명
BIA (Business Impact Analysis)	장애나 재해로 운영상의 주요 손실을 볼 것을 가정하여 비즈니스 영향 분석
RTO (Recovery Time Objective)	업무중단 시점부터 업무가 복구되어 다시 가동될 때까지의 시간
RPO (Recovery Point Objective)	업무중단 시점부터 데이터가 복구되어 다시 정상 가동될 때 데이터의 손실 허용 시점
DRP (Disaster Recovery Plan)	재난으로 장기간에 걸쳐 시설의 운영이 불가능한 경우를 대비한 재난 복구 계획
DRS (Disaster Recovery System)	재해 복구 센터

DRS의 유형

1. Mirror Site: RTO가 0 (즉시)
2. Hot Site: RTO가 4시간 이내
3. Warm Site: RTO가 수일 ~ 수주
4. Cold Site: RTO가 수주 ~ 수개월

 

보안 관련 중요 용어

용어	설명
부 채널 공격 (Side Channel Attack)	암호화 알고리즘 실행 시기의 물리적 특성을 측정하여 비밀 정보를 획득
드라이브 바이 다운로드 (Drive By Download)	해커가 불특정 웹 서버와 웹 페이지에 악성 스크립트를 설치하고, 사용자 접속 시  사용자의 동의 없이 실행되어 의도된 서버에 연결
워터링 홀 (Watering Hole)	특정인이 잘 방문하는 웹 사이트에 악성코드를 심는 공격 기법
스캠(SCAM)	기업 이메일 계정을 도용
하트 블리드(HeartBleed)	OpenSSL 암호화 라이브러리의 Heartbeat 모듈에서 발생한 취약점
크라임웨어(Crimeware)	금전적인 이익 등 범죄행위를 목적으로 하는 악성코드
프로토콜 취약점 (IoT-SSDP)	단순 서비스 검색 프로토콜(SSDP)의 특성을 활용하여 IoT Device를 좀비 PC로 이용
윈드토커(WindTalker)	와이파이 / 핫스팟 연결 디바이스의 무선신호패턴을 스니핑
토르 네트워크(Tor)	네트워크 경로를 알 수 없도록 암호화 기법 사용, 익명으로 인터넷 가능
멜트 다운(Meltdown)	인텔 x86 아키텍처에서 CPU 파이프라인의 비순차 명령 실행 시 발생하는 버그 악용
스펙터(Spectre)	실패한 분기 예측으로 인해 메모리 데이터가 관찰될 수 있는 취약점 이용
DNS Spoofing	공격 대상에게 전달되는 DNS 응답을 조작하여 의도치 않은 주소로 경로 변경
디렉토리 리스팅 취약점 (Directory Listing)	공격자가 서버 내의 모든 디렉토리 및 파일을 볼 수 있는 취약점
리버스 쉘 공격 (Reverse Shell)	타깃 서버가 클라이언트로 접속해 클라이언트가 타깃 서버의 쉘을 획득해 공격
익스플로잇(Exploit)	버그나 취약점을 이용해 공격자가 의도한 명령을 실행
스턱스넷 공격(Stuxnet)	주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드 기법
크리덴셜 스터핑 (Credential Stuffing)	다른 곳에서 유출된 ID/PW를 다른 웹 사이트나 앱에 무작위로 대입해 정보 유출
CVE(Common Vulnerabilities and Exposures)	MITRE 사가 공개적으로 알려진 소프트웨어의 보안 취약점을 표준화한 식별자 목록
CWE(Common Weakness Enumeration)	소프트웨어에서 공통적으로 발생하는 약점을 체계적으로 분류한 목록으로, 소스코드 취약점을 정리한 DB