본문 바로가기

Security

Domain 3. Security Engineering(2)
2017. 4. 19. Security Model 기초개념 1. 시스템구성요소 1-1. 시스템 보안 4가지 주요 요소. 프로세서(Processors) . 메모리/스토리지(Memory / Storage). 주변장치(Peripheals) . OS* 보안모델에서 CPU와 Memory가 가장 중요 하지만, Swaaping 된 Vitual Memory 사용으로 Storage도 중요 1-2. CPU/Memory/Storage- Mem/Sto 빠른 속도CPU Register-> Cache(L1/L2) => Ram(Physical=dram) =>Ram(Vitual Memory) => Storage - 메모리 관리자(Memory Manager) . 프로세스에서 메모리 세그먼트 할당/ 회수를 하며, 프로세스는 단지 그자신의 메모리 . 세그먼트들..
Domain 6. Security Assessment & Testing
2017. 4. 18. 1. Log Management - Log. 대표적인 탐지통제. 이상징후에 대한 알람,분석,대응에 예방. 전략 수립 필요 . 다계층 보안 관리, 로그 통합 관리 - Log Management Planning1) Computer Security Log Management2) Log Mnaggement Planning3) Log Management Operation Process4) Log Management Infrastruction* Log Management Infrastruction 3요소 : 생성, 저장 및 분석 , 모니터링* Log 에 저장 해야 하는 것 : 시점, 현상, 고유 식별 ID* Log 에 저장 되지 않는 것 : 현상의 원인 - Security Log Management (=> 주기적 ..
Domain 1. Security Risk Management -1
2017. 4. 16. 1.보안의 구성요소 ex) 방화벽 도입후 가장 먼저 해야 할 일은 ? 자산분류=> 자산의 가치 분석=> 위험분석(=>외부의 위협으로 부터 내부의 테이터 자산을 보호)ex) 방화벽 설치후 가장 먼저 해야 할 일은 ? Default password 세팅 - 경영진의 지원(=펀딩/컷다운) 이 있어야만 성공 할 수 있는 것은 ?1) 보안 정책2) 보안 인식3) 침투테스트(pentest)4) 위험평가5)BCP/DRPTIP) 문제에서은 위 요인의 당위성을 설명 후 제일 먼저 해야 할 것을 물을 수 있음 => 경영진의 승인 혹은 지원 - 보안의 목표 1) 기밀성(Confidentiality)=> Key: Sensitivity(민감성), stringency(엄격한) => 위협: Sniffing=> 대책: ESP(VPN..
Domain 7. Security Operation
2017. 4. 16. 1-1.컴퓨터범죄(Computer Crime) 1.사이버범죄- 좁은 의미: 컴퓨터 시스템에서 처리하는 데이터를 대상으로 하는 컴퓨터 사용의 위법 행위- 넓은 의미 : 컴퓨터와 관련된 범죄로 컴퓨터 시스템 이나 네트워크와 관련된 모든 위법 행위. 컴퓨터 범죄는 컴퓨터를 대상,수반, 매개,목적 으로 한다.. 분식회계(WIndow Dressing) 은 예전에는 사이버 범죄가 아니지만, 오늘날 넓은 의미로 컴퓨터범죄에 포함 2.사이버범죄 사례 1) Data Didding (Input tampering)- 고의적 변형을 목적으로 데이터 입력시 부터 위조 하거나 잘못된 데이터 입력- 수익과 자산을 과대 포장 하여 비용과 부채를 적게 하는것이 목표 ->분식회계(Window Dressing) - 대응책: 접근통제 , ..
Domain 8. Software Development Security -2
2017. 4. 10. * Disadvantage of content-dependent => It increases processing overhead - 객체지향. 객체지향의 특징은 캡슐화(은닉화)->class, 추상화->class, 다형성->상속, 상속 - Encapsulation( 캡슐화) . Data와 Operation을 묶는것 -> Class. 정보은닉: 내부의 구현부분을 숨기고 인터페이스를 통해서 접근, Client 는 Interface 만 통해서 메시지 전달 -> Send Message. Interface1)유지 보수용이 및 비용절감(=> 내부구현이 바뀌어도 영향이 없음 => 과정 절차의 추상화)2) Service 를 정의 하는 Operation 의 집합3) 작업 분업화 가능 - Polymophism(다형성). 하..
Domain 8. Software Development Security -1
2017. 3. 30. 1. System Development Control(SDLC) 1) Waterfall Model - 특징 . 공업제품의 개발을 근본으로 한 모델. 공정이 이미 정해 있으며, 앞의 공정 등에 되돌아가는 것이 곤란 - 장점. 개념적으로 자연스럽게 개발 과정을 표현. 단계별 진행으로 해당 단계의 진척 관리가 쉽다 .. 눈에 보이는 성과물이 각 공정 마다 반드시 출력. 일정 관리가 쉽게 됨. 유사한 시스템의 개발 경험이 있는 경우 효울품질 면에서 우수 - 단점. 작업 공정의 변경이 곤란한 경우가 많다.. 코딩이나 테스트 작업 지연 . 최종 성과물이 완성되어야만 판명 2) Modified Waterfall Model - 바로 앞단계로만 back 가능 하도록 Waterfall model 수정 - Validatio..
Domain 3. Security Engineering(1)-2
2017. 3. 27. 6. 암호화 종류 및 방식 - 대칭키 : Secect key, Shared Key , Session Key- 공개키 : Public Key(Secrect Key) and Private Key=> Secrect Key 로 암호화 해서 Secrect Key 로 복호화시 대칭키, Secrect Key 로 암호화 해서 Private Key 로 암호화 하면 공개키 1. 대칭키 암호화 (Symmetric Cyryptography) 개요1) 특징- 공개키에 비하여 암호화 속도가 빠름 ( =>Key 의 길이가 짧고, 단순한 알고리즘 이기때문에)- 기밀성(=비밀성) 서비스 제공- 키의 길이가 길수록 Brute force attack 에 대해 안전 - 대칭키의 단점a. 키배포(교환) 문제 (가장 큰 이슈)b. 확장성의 문..
Domain 3. Security Engineering(1)-1
2017. 3. 21. 1.암호화 정의와 암호화의 역사 1.암호학로 할 수 없는 것1) 암호학은 암호화 되지 않은 문서를 보호 하지 못한다 .2) 암호학은 암호화 키를 도둑 맞으면 아무 것도 못한다.3) 암호학은 대부분 DOS공격(가용성)으로 부터 여러분을 보호 할 수 없다 .4) 암호학은 배신이나 실수로부터 여러분을 보호할 수 없다 .5) 암호학은 지나다니는 사람들로 부터 여러분의 정보를 보호 할 수 없다 .=> 암호학은 논리적 보안 통제의 기밀성(비밀성 제공) 2. 암호를 이용한 보안 서비스 1) 기밀성(Confidentiality)보장 - 노출(disclosure): 암호키를 가지고 있지 않는 사람에게 메시지 내용이 노출- 트래픽 분석 (traffic analysis) 2) 무결성(integrity) 보장 신분 확인 - ..
Domain 4. Communication & Network Security(VPN)
2017. 3. 2. ㅁvpn : 가상 사설망-공중망을 이용하여 사설망과 같은 효과 =>bandwith& security- 기밀성, 인증=>터널링 프로토콜(tunneling protocol) ㅁvpn 프로토콜 종류1) application layer:ssl,ssh2) netwrok layer: ipsec3) datalink layer : pptp,l2tp ㅁ L2 기반 vpn1)L2TP : certificate(인증서) 인증 , 암호화(기밀성) 은 기본적으로 없으나 Ipsec을 이용한 암호화,ppp지원2)PPTP: ip.pw 기반의 ms-chap 인증 , RC4(대칭키방식의 stream 암호화) .ppp 지원 Q) PPTP 가 안전한 통신을 위해 제공되는 것=> encription & encapsulation ㅁ ipsec-..
Domain 4. Communication & Network Security(Network attack)
2017. 3. 2. passive attacks(수동적 공격 형태 ) -interception(sniffer 사용=>통합적으로 tool을 쓰는 의미 )-> traffic analysis(트래픽 분석)->eavessdropping(도청)-island hopping attack : sniffer 가 사용 하는 active attack 방식 - 방지방법 -> 암호화-> 스위치 사용(vlan 을 이용하여 리피터,브릿지 보다 보안이 좋다) Q) passive attack 의 목적 ?=> traffic analysis, eavesdropping -Promisuous mode-> nic 는 기본적으로 broadcast,multicast , 자기 목적인 패킷만 통과 시키지만 promisuous mode 를 사용 하면 모든 패킷을 통과 (..
Domain 4. Communication & Network Security(ISO 의 OSI 7 Layer)
2017. 2. 28. ㅁL7-Application layer : 해당 어플리케이션 (Email.ftp,http 등 ) 에 맞게 사용자 인터페이스(User-to-process Interface) 를 degin 하는 layer ㅁL6-Presentation layer : 주로 표준화와 관련 있으며 , 암호/복호(encryption/decryption), 인코딩/디코딩을 수행하는 layer -> 포맷의 정의 ㅁL5-Session layer: 두 어플리케이션간의 대화(dialog)를 어떻게 수행할 건지를 결정하는 layer 로써, Session 의 생성,유지,종료를 수행한다.- 대화 방법 : full-duplex,half-duplex,simplex *DNS(domain name system)1)Dns query- domain nam..
HTTP CC ATTACK 패킷 ,iptable 를 이용한 drop
2016. 5. 29. HTTP CC ATTACK 일반적으로 HTTP의 해더옵션중 Cache-Control 을 이용하여, 웹트랜잭션의 효율성을 위해서 해당 옵션을 사용 한다.예를 들어 ssl 통신시 cache 되지 않게 하는등 여러가지로 사용 되지만, 악용 되어 cache 되지 않게 옵션을 설정 되어 http get flooding 보다 더 많은 부하를 발생 시킨다. HTTP CC ATTACK 은 한국이나 중국 에서 많이 사용 되는 용어로 정확한 명칭은 아님. Cache-Control 중 가장 많이 공격에 사용되는 지시자 옵션은 no-store,must-revalidate 옵션으로 오는 형태가 가장 대표적이다. no-store 는 해당 reponse 데이터를 저장 하지 않으며, ,must-revalidate는 캐시에 대한 재검..

티스토리툴바