정보보호개론 2주차

해킹 : 의도와 상관없이 다른 컴퓨터를 침입하는 모든 행위

-불법적 시스템 사용, 자료열람, 유출 및 변조 등

-긍적적의미로 각종 정보시스템의 보안 취약점을 미리 알아내고 보완하는 데 필요한 행위 : 화이트 해커

소프트웨어적 : 해킹, 컴퓨터바이러스, 메일폭탄, 서비스거부

하드웨어적 : 고출력 전자기파 등의 방법으로 정보통신망 또는 이에 관련된 정보시스템 공격

 

해킹 변천사

1970 : 폰 프리커 -> 컴퓨터 해커

1980 중반 : 해커들 지하조직 형성(개인용 컴퓨터 보급)

1990 이후 : 정치적 이념 가진 헥티비즘 등장

1980년대 게임의 해커시대 1990년대 중반까지는 정치적 민족주의적 해커 시대

 

존 드레이퍼 : 해킹의 시작 폰 브리킹의 시조(전화 사기)

케빈 미트닉 : 해킹을 심각 범죄 수준인 크래커로 끌어올린 공헌자

 

해커의 긍정적 의미 : 컴퓨터 전반에 걸쳐 깊이 배우기를 즐기는 사람, 프로그래밍을 즐기고 열광하는사람

해커의 부정적 의미 : ex)크래커 악의적으로 보안시스템을 무력화 시키거나 정보를 빼내는 사람

현재는 해커 크래커 구분 없이 해커로 통칭하며 범죄 일으키는 블랙해커, 윤리적이고 합법적인 화이트해커로 구분

 

 

해커라는 단어는 매사추세츠 공과대학 동아리 TMRC(Tech Model Railroad Club)에서 용어를 처음 사용

 

해커는

1960년대 제 1세대 해커

1970년대 제 2세대 해커

1980년대 제 3세대 해커

1990년대 이후 제 4세대 해커

 

해킹 기술의 변화

1980        해킹 기법 단순, 웹 바이러스 등장

1990 이후 정교한 네트워크, 시스템 해킹 기법 등장

2000 이후 DDos 분산서비스거부공격 등장

2015 이후 해킹 기법이 더욱 정교화, 조직화, 다양화, 대규모화

 

해커 수준 분류

길버트 아라베디언은 프로그램 능력, 네트워크 이해도, 시스템취약점분석 능력 등 세가지 능력으로 수준을 5가지로 분류

OSI 7계층, O/S, DB도 이해를 해야한다.

 

국외 해커 그룹

1.어나니머스 2.룰즈섹 3.글로벌 케이오스 4.밀웜 5.Derp 6.CWA

7.CCC 8.110호 연구소 9.Bureau 121 10.유니콘 11.쿠스와 플러스 12.해커스랩

13.와우해커 14.널루트 15.쿠시스

 

해킹 방어대회

국제

1.데프콘 2.코드게이트 3.시큐인사이트

국내

1.해킹방어대회 2.화이트햇 콘테스트

 

사이버위기 단계

1.심각 2.경계 3.주의 4.관심 5.정상

 

정보란?

법률적 :

특정 목적을 위해 광 또는 전자적 방식으로 처리되어 부호, 문자, 음성, 음향 및 영상 등으로 표현된 모든 종류 자료, 지식

사전적 : 

관찰이나 측정을 위해 수집한 자료를 실제 문제에 도움이 될 수 있도록 정리한 지식 또는 자료

즉, 일정 의도를 가지고 정리해 높은 자료의 집합

 

정보보호 3대 원칙

기밀성, 무결성, 가용성

현재 보안 추세에는 기밀성보다는 무결성, 무결성보다는 가용성이 더 중요

기밀성(Confidentiality) : 관용 암호화, 공개키 암호화 방식 (2가지 존재) - 정보를 오직 인가된 사용자에게만 허가

무결성(integrity) : 원본 Data가 수정되지 않았음을 보장 - 정확성, 완전성, 일괄성

가용성(Availability) - 시기적절하며 신뢰성있는 정보로의 접근과 사용

 

정보보호 특성

1. 100% 정보보호 달성은 불가능! (완벽한 보안이란 불가능, 투자 대비효과를 고려한 보안 적정선 설정) Track-off

2. 사용자 편의 제한 (보안성과 편의성은 반비례적 보안강도가 높아지면 사용자가 불편)

3. 가시적인 이익X (투자에 따른 이익 계산이 어렵다)

4. 다단계의 복합 대책 구현 시 위험이 크게 감소 (포괄적으로 커버해줄 정책 필요)

 

정보보호의 필요성

사회 전반의 ICT 의존도 증가 -> 사이버 위협 영향이 커짐

IT 발전에 따른 새로운 응용 기술 등장 -> 사회 전 분야로 IT위험성 확대

정보통신 환경의 급격한 변화 -> Dynamic하게 변하는 ICT환경

해킹 바이러스 등 새로운 위협요소 증가 -> 더 지능적인 웜바이러스, 악성코드 DDos attacks

공격유형의 진화 -> 네트워크 -> 시스템 -> APPL -> IT+물리적 보안 -> 비즈니스 프로세스와 연계

보안 조직 발전 -> CIO -> CSO(CISO) -> CS&PO -> CRO

 

보안시스템 -> 침입자차단시스템 (IPS, IDS)

 

침해사고 유형 : 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부, DDos공격, 홈페이지 변조, 피싱, 스팸

 

해킹의 패러다임 변화

목적 : 자기과시 -> 금품갈취 -> 사회혼란, 사이버테러

-단순 능력 과시를 넘어 금전적 목적의 해킹, 국가 차원적 위협으로 변화

Hacking=>Cyber Crime=>Hacktlvism=>Cyber Terror/War

 

기법: 수동->은닉,자동화->조직적(어나미너스 등),고도화, 지능화

-악성코드 전파 속도 증가, 좀비 PC증가, 사회공학적 기법 확대(60% 이상 차지)

 

대상:개별시스템 -> 대규모, 사회기반시설, 국가 대상 공격

-모바일 등 다양한 경로로 악성코드 유포

 

최근 해킹 유형

1.랜섬웨어, 스피어 피싱

2.지능형 지속위협 (APT)

3.DDos 공격 지속 발생

4.피싱, 스미싱, 파밍

 

랜섬웨어는 중요 파일 데이터를 모두 암호화한다. (서비스 장애)

보안공격 1단계 : 관리자 PC 및 계정 정보 탈취 (내부 정보 수집)

보안공격 2단계 : 게이트웨이 서버를 통해 서버 접속 및 악성코드(랜섬웨어) 설치 (백업 서버에도 설치)

보안공격 3단계 : 랜섬웨어 실행 (에러버스 랜섬웨어, 433개 파일 확장자를 가진 파일 암호화)

최초 관리자 PC 악성코드 설치는 APT(Advanced Persistent Threats 지능적 지속 위협)공격에 의한 것으로 추정

 

개인정보 유출 사고

보안공격 1단계 : 업데이트 서버 해킹 (프로그램 업데이트 파일을 자신이 만든 업데이트 파일로 교체)

보안공격 2단계 : 감염된 업데이트 파일을 통한 좀비 PC생성 (해당 PC는 보안 공격자에 의해 조종, 개인정보 탈취)

보안공격 3단계 : 좀비 PC를 통해 개인정보 유출

 

보안 관련 선수 지식

1.운영체제(OS) - 운영체제의 약점부터 보안적으로 취약한 부분(BUG)을 노리기 때문

-프로그램을 실행시키기 위한 가장 기본이 되는 소프트웨어

-서버가 동작하는 데 필요

2.네트워크(Network) - 기업 외부에서 공격하는 경우는 주로 네트워크를 타고 공격함 

-OSI 7계층 모델

-TCP/IP : 현재 네트워크의 실질적인 표준

3.서버(Server) - 공격 대상이 되는 서버가 어떤 서비스를 제공하고 어떤 방식에 의해 동작되는지 알아야함

-보안 관점에서 다루는 소프트 웨어적 의미에서의 서버

4.프로그래밍(Programming) - 악성코드, 바이러스, 웜과 같은 해킹 프로그램에 대응하려면 프로그래밍의 기본지식 필요

-리버스 엔지니어링(Reverse Engineering) : 프로그래밍 지식으로 특정프로그램이 악성코드, 악의적 행동하는지 판단

 

보안 거버넌스

-조직에게 적합한 보안 정책 수립하여 보안 관련 조직 구성 및 활동(APT공격의 효과적인 대비책- 보안 거버넌스의 관리)

-절차적 보안, 기술적 보안이 조직되고 관리되야함

보안성 강화

1.기술적 보호 조치

2.보안 정책에 의한 절차적 보안 조치도 필요 (직원 교육)

3.보안 정책, 기준을 기반으로 적합한 보안 제품 도입

 

정보보호 전문가의 길

-화이트 해커라고 불린다

-정보 자산을 보호 하는 역할

-해커들의 최신 해킹 공격 기법 분석

-인력의 필요성이 증대 되는 직업

 

정보보호 제품 개발자

정보보호 관련 사고를 미연에 방지, 보안이 필요한 분야에 요구되는 보안 프로그램 기획, 설계, 개발

 

정보보호 전문가가 되려면?

1.프로그래밍 언어, 네트워크 및 시스템[서버] 기술 습득

2.운영체제(Operating System, OS), 정보보호 시스템

3.사이버 법제도

4.새로운 정보통신기술 습득 및 윤리

5.해킹대회 참가 및 정보보안기사 자격증 취득 등