* SW 개발 보안 구성요소
-인가되지 않은 개인 혹은 시스템 접근에 따른 정보 공개 및 노출을 차단하는 특성. 인가된 사용자에 대해서만 자원 접근이 가능해야 하는 특성
기밀성
(Confidentiality)
-정당한 방법을 따르지 않고선 데이터가 변경될 수 없으며, 데이터의 정확성 및 완전성과 고의/악의로 변경되거나 훼손 또는 파괴되지 않음을 보장하는 특성. 안가된 사용자에 대해서만 자원 수정이 가능하며 전송 중인 정보를 수정되지 않아야 하는 특성
무결성
(Integrity)
-권한을 가진 사용자나 앱이 원하는 서비스를 지속 사용할 수 있도록 보장하는 특성. 인가된 사용자는 가지고 있는 권한 범위 내에서 언제든 자원 접근이 가능해야 하는 특성
가용성
(Availability)
* SW 개발 보안 용어
-조직의 데이터 또는 조직의 소유자가 가치를 부여한 대상
자산
(Assets)
-조직이나 기업의 자산에 악영향을 끼칠 수 있는 사건이나 행위
위협
(Threat)
-위협이 발생하기 위한 사전 조건으로 시스템의 정보 보증을 낮추는 데 사용되는 약점
취약점
(Vulnerability)
-위협이 취약점을 이용하여 조직의 자산 손실 피해를 가져올 가능성
위험
(Risk)
-시스템을 악의적으로 공격해서 해당 시스템의 자원을 부족하게 하여 원래 의도된 용도로 사용하지 못하게 하는 공격
DoS 공격
* DoS 공격의 종류
-TCP 프로토콜의 구조적인 문제를 이용한 공격으로, 서버의 동시 가용 사용자 수를 SYN 패킷만 보내 점유하여 다른 사용자가 서버를 사용 불가능하게 하는 공격 ex) 손오공이 분신으로 분수대를 점령
SYN 플러딩
-대량이 UDP 패킷을 만들어 임의의 포트 번호로 전송하여 응답 메시지(ICMP)를 생성하게 하여 지속해서 자원을 고갈시키는 공격
UDP 플러딩
-출발지 주소를 공격대상의 IP로 설정하여 네트워크 전체에게 ICMP Echo 패킷을 직접 브로드캐스팅하여 마비시키는 공격 ex) 양치기 소년
스머프/스머핑
-ICMP 패킷을 정상적인 크기보다 아주 크게 만들어 전송하면 다수의 IP단편화가 발생하고, 수신 측에서는 단편화 패킷을 처리(재조합)하는 과정에서 많은 부하가 발생하거나, 재조합 버퍼의 오버플로우가 발생하여 정상적인 서비스를 하지 못하도록 하는 공격 ex) 다발로 분해되는 화살
죽음의 핑
-출발지 IP와 목적지 IP를 같은 패킷주소로 만들어 보냄으로써 수신자가 자기 자신에게 응답을 보내게 하여 시스템의 가용성을 침해하는 공격기법 ex) 자기 꼬리에 묶인 뼈다귀를 쫓는 강아지
랜드 어택
-IP패킷의 재조합 과정에서 잘못된 Fragment(단편화) Offset 정보로 인해 수신시스템이 문제를 발생하도록 만드는 DoS 공격
티어 드롭
-프로토콜의 오류 제어를 이용한 공격기법으로서 시스템의 패킷 재전송과 재조립이 과부하를 유발시키는 공격으로 (A)는 같은 시퀸스 번호를 계속 보내며, (B)는 일정한 간격으로 시퀸스 번호에 빈 공간을 생성함 ex) 번호표 고장으로 인한 순서 중복 및 꼬임
봉크/보잉크
-DoS의 또 다른 형태로 여러 대의 공격자를 분산 배치하여 동시에 동작하게 함으로써 특정 사이트를 공격하는 기법
DDoS
* DDoS 공격의 구성요소
-공격을 주도하는 해커의 컴퓨터
공격자
-공격자에게서 직접 명령을 받는 시스템
마스터
-마스터 시스템의 역할을 수행하는 프로그램
핸들러
-공격 대상에 직접 공격을 가하는 시스템
에이전트
-에이전트 시스템의 역할을 수행하는 프로그램
데몬 프로그램
-세션 관리 취약점을 이용한 공격 기법으로, '세션을 가로채다' 라는 의미이다. 이 공격은 정상적 연결을 RST 패킷을 통해 종료시킨 후 재연결 시 희생자가 아닌 공격자에게 연결한다.
세션 하이재킹
* 애플리케이션 공격
-과도한 Get 메시지를 이용하여 웹 서버의 과부하를 유발시키는 공격
HTTP GET 플러딩
-HTTP GET 메서드를 사용하여 헤더의 최종 끝을 알리는 개행 문자열인 \r\n\r\n(Hex: 0d 0a 0d 0a)을 전송하지 않고, \r\n(Hex: 0d 0a)만 전송하여 대상 웹서버와 연결상태를 장시간 지속시키고 연결자원을 모두 소진시키는 서비스 거부 공격
Slowloris
(Slow HTTP Header DoS)
-요청헤더의 Content-Length를 비정상적으로 크게 설정하여 메시지 바디부분을 매우 소량으로 보내 속 연결 상태를 유지시키는 공격.
RUDY Attack
(Slow HTTP POST DoS)
-TCP윈도 크기와 데이터 처리율을 감소시킨 상태에서 다수 HTTP패킷을 지속적으로 전송하여 대상 웹 서버의 연결상태가 장시간 지속, 연결자원을 소진시키는 서비스 거부 공격
Slow Read Attack
-공격자가 공격대상 웹 사이트 웹 페이지 주소를 지속적으로 변경하면서 다량으로 GET요청을 발생시키는 서비스 거부 공격
Hulk DoS
* 네트워크 공격
-공격대상에게 직접 공격을 하지 않고 데이터만 몰래 들여다보는 수동적 공격기법
스니핑
-네트워크 HW 및 SW 구성의 취약점 파악을 위해 공격자가 취약점을 탐색하는 공격 도구
네트워크 스캐너/스니퍼
-사전(Dictionary) 크래킹 공격, 무차별 크래킹 공격, 패스워드 하이브리드 공격, 레인보우 테이블 공격 활용
패스워드 크래킹
-침입자가 인증된 컴퓨팅 시스템인 것처럼 속여서 타딧 시스템의 정보를 빼내기 위해서 본인의 패킷 헤더를 인증된 호스트의 IP Address로 위조하여 타깃에 전송하는 공격기법 ex) 친한 사람은 초대장 확인 안하고 들여보냄
IP 스푸핑
-공격자가 특정 호스트의 MAC주소를 자신의 MAC주소로 위조한 ARP Reply를 만들어 희생자에게 지속적으로 전송하여 희생자의 ARP Cache Table에 특정 호스트의 MAC정보를 공격자의 MAC정보로 변경, 희생자로부터 특정 호스트로 나가는 패킷을 공격자가 스니핑하는 공격기법
ARP 스푸핑
-3계층에서 스니핑 시스템을 네트워크에 존재하는 또 다른 라우터라고 알림으로써 패킷의 흐름을 바꾸는 공격기법
ICMP Redirect 공격
-악성 루틴이 숨어 있는 프로그램으로 겉보기에는 정상적인 프로그램으로 보이지만 실행하면 악성 코드를 실행하는 프로그램
트로이 목마
* 시스템 보안 위협
-스택 영역에 할당된 버퍼 크기를 초과하는 양의 데이터(실행 가능 코드)를 입력하여 복귀 주소를 변경하고 공격자가 원하는 임의의 코드를 실행하는 공격 기법
스택 버퍼 오버플로우
-프로그램 실행 시 동적으로 할당되는 힙 영역에 할당된 버퍼 크기를 초과하는 데이터(실행 가능 코드)를 입력하여 메모리의 데이터와 함수 주소 등을 변경, 공격자가 원하는 임의의 코드를 실행하는 공격기법
힙 버퍼 오버플로우
-어떤 제품이나 컴퓨터 시스템, 암호시스템 혹은 알고리즘에서 정상적인 인증 절차를 우회하는 기법
백도어
* 주요 시스템 보안 공격기법
-포맷 스트링을 인자로 하는 함수의 취약점을 이용한 공격으로 외부로부터 입력된 값을 검증하지 않고 입출력 함수의 포맷 스트링을 그대로 사용하는 경우 발생하는 취약점 공격기법
포맷 스트링 공격
-실행되는 프로세스가 임시파일을 만드는 경우 악의적인 프로그램을 통해 그 프로세스의 실행 중에 끼어들어 임시파일을 심볼릭 링크하여 악의적인 행위를 수행하게 하는 공격기법
레이스 컨디션 공격
-컴퓨터 사용자의 키보드 움직임을 탐지해서 저장하고, ID나 패스워드, 계좌 번호, 카드 번호 등과 같은 개인의 중요한 정보를 몰래 빼가는 해킹 공격
키로거 공격
-인터넷 공격자의 존재를 숨기면서 이 공격자에게 시스템에 대한 무제한 접근 권한을 부여하는 악성 프로그램이다. 해커가 자신의 존재를 숨기면서 허가되지 않은 컴퓨터나 소프트웨어에 접근할 수 있도록 설계된 도구이다. 일반적으로 펌웨어, 가상화 계층 등의 다양한 시스템 영역에서 작동하며, 운영체제의 시스템콜을 해킹하여 악성코드의 실행여부를 숨겨 안티바이러스 탐지를 우회할 수 있다.
루트킷
* 보안 관련 용어
-특정 대상을 선정한 후 그 대상에게 일반적인 이메일로 위장한 메일을 지속적으로 발송하여, 발송 메일의 본문 링크나 첨부된 파일을 클릭하도록 유도하여 사용자의 개인정보를 탈취하는 공격
스피어피싱
-문자 메시지를 이용하여 신뢰할 수 있는 사람 또는 기업이 보낸 것처럼 가장하여 개인 비밀정보를 요구하거나 휴대폰 소액 결제를 유도하는 피싱 공격
스미싱
-스마트폰을 이용하여 금융업무를 처리하는 사용자에게 인증 등 필요한 것처럼 속여 QR코드를 통해 악성 앱을 내려받도록 유도하여 금융정보를 빼내는 피싱공격
큐싱
-악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태
봇넷
-특정 타깃을 목표로 하여 다양한 수단을 통한 지속적으로 지능적인 맞춤형 공격기법
APT 공격
-SW 개발사의 네트워크에 침투하여 소스 코드 수정 등을 통해 악의적인 코드를 삽입하거나 배포 서버에 접근하여 파일을 변경하는 방식을 통해 사용자 PC에 SW를 설치 및 업데이트 시에 자동적으로 감염되도록 하는 공격기법
공급망 공격
-보안 취약점이 발견되어 널리 공표되기 전에 해당 취약점을 이용하여 이루어지는 보안공격기법
제로데이 공격
-스스로를 복제하여 네트워크 등의 연결을 통하여 전파하는 악성 SW 컴퓨터 프로그램
웜
-스스로 실행되지 못하고, 해커의 명령에 의해 원격에서 제어 또는 실행이 가능한 프로그램 혹은 코드. 악성 봇에 의해 감염된 PC를 ‘좀비 PC’라고 한다.
악성 봇
-록히드 마틴이 개발한 공격령 방위시스템으로 지능적, 지속적 사이버 공격에 대해 7단계 프로세스별 공격분석 및 대응을 체계화한 APT 공격 방어 분석 모델
사이버 킬체인
-감염된 시스템의 파일들을 암호화하여 복호화 할 수 없도록 하고, 피해자로 하여금 암호화된 파일을 인질처럼 잡고 몸값을 요구하는 악성 SW
랜섬웨어
-무선 Wifi 피싱 기법으로 공격자는 합법적인 wifi 제공자처럼 행세하며 노트북이나 휴대폰으로 핫스팟에 연결한 무선 사용자들의 정보를 탈취하는 무선 네트워크 공격기법
이블 트윈
-사람들의 심리와 행동 양식을 교묘하게 이용해서 원하는 정보를 얻는 공격기법
사회공학
-프로세서(processor) 안에 독립적인 보안 구역을 따로 두어 중요한 정보를 보호하는 ARM사에서 개발한 하드웨어 기반의 보안 기술로 프로세서(processor) 안에 독립적인 보안 구역을 별도로 하여, 중요한 정보를 보호하는 하드웨어 기반의 보안 기술이다.
트러스트존
-사용자들이 사이트에 접속할 때 주소를 잘못 입력하거나 철자를 빠뜨리는 실수를 이용하기 위해 유사한 유명 도메인을 미리 등록하는 일로 URL 하이재킹(hijacking)이라고도 한다.
타이포스쿼팅
'정보처리기사 실기' 카테고리의 다른 글
| 정보처리기사 실기 상세 단어 암기 모음집 - [10단원 – 애플리케이션 테스트 관리] (0) | 2025.03.07 |
|---|---|
| 정보처리기사 실기 상세 단어 암기 모음집 - [9단원 – SW 개발 보안 구축] - 2부 (0) | 2025.03.04 |
| 정보처리기사 실기 상세 단어 암기 모음집 - [8단원 – 서버 프로그램 구현] (1) | 2025.03.03 |
| 정보처리기사 실기 상세 단어 암기 모음집 - [7단원 – SQL 응용] (0) | 2025.03.03 |
| 정보처리기사 실기 상세 단어 암기 모음집 - [5단원 – 인터페이스 구현] & [6단원 – 프로그래밍 언어 활용] (0) | 2025.03.02 |