728x90
SMALL
- 이번에는 정보보안과 관련된 최신 기술에 대한 내용입니다.
최신 정보보안 위협
1. APT(Advanced Persistent Threat) 공격

APT 공격 절차
- 공격자가 취약 시스템 및 직원들의 PC 악성 코드 감염
- 악성 코드로 내부 네트워크 침투
- 내부 시스템 및 인프라 구조 정보 수집
- 중요 정보 유출, 시스템 파괴 또는 서비스 거부 공격
APT 대응 방안
- 보안관리 및 운영, 교육 강화: 표적 대상 분석을 바탕으로 보안 체계 재정비
- 엔드포인트 보안: APT의 1차 목표는 엔드포인트. 운영체제 보안 업데이트, 소프트웨어 설치 등
- 접근 권한 관리: 중요 정보 접근 권한 최소화 및 정보 권한 세분화
- 중요 정보 암호화 및 DLP: APT의 최종 목표는 데이터. DLP(Data Loss Prevention) 등의 솔루션 도입
2. 파밍(Pharming)
- PC의 호스트 파일이나 브라우저 ‘즐겨찾기’를 조작해 자동으로 피싱 사이트로 유도 후 금융 정보 및 접속 정보 탈취
- 개인 PC 브라우저의 보안 수준을 강화하고 백신 프로그램을 최신 상태로 유지하여 대응
3. 큐싱(Qshing)
- QR코드를 통해 악성 링크로 접속하게 하거나 직접 악성 코드를 감염
- 파밍 + 큐싱이 결합된 형태로 진화하고 있음
큐싱 공격 절차
- 사용자가 정상 금융 사이트에 접속해도 피싱 사이트로 연결
- 피싱 사이트에서 추가 인증이 필요한 것처럼 QR코드 제시 후 이를 통해 악성 앱 설치 유도
- 악성 앱으로 정보 탈취 후 사용자 모바일 환경 조작
- 소액 결제, 자금 이체 등 금융 사기 피해 유발
큐싱 대응 방안
- 스마트폰에서 ‘출처를 알 수 없는 앱 설치’ 허용 옵션을 사용하지 않도록 설정 변경
4. 스미싱(Smishing)
- SMS + 피싱의 합성어로 스마트폰 소액결제 서비스를 악용하여 공격 진행
스미싱 공격 절차
- 문자 내 인터넷 URL 클릭
- 스마트폰에 악성코드 설치
- 공격자에게 소액결제 인증번호 전송
- 공격자가 사이버 머니 등 구입 후 소액결제 대금 청구
스미싱 대응 방안
- 출처 불명한 홍보성 SMS의 웹사이트 링크 접속 자제
- 웹사이트 링크 접속 시 정확한 도메인 URL 확인
5. 스피어 피싱(Spear Phishing)
- 기업에서 근무하는 주요 직무자(기밀데이터나 중요 시스템 접근 권한자 등)를 공격 목표로 설정
- 수집 정보를 바탕으로 이메일을 보낸 후, 주요 직무자의 단말기 권한을 획득
스피어 피싱 대응 방안
- 웹서버 운영자는 악성코드 유포 탐지, 웹 방화벽 운영 등의 대책 마련
- 응용 프로그램 및 운영체제의 경우, 지속적인 보안 취약점 모니터링 및 보안 패치 이행
6. 크립토재킹(Cryptojacking)
- 해커들이 사용자의 PC를 이용해 가상화폐를 채굴하는 공격
7. 랜섬웨어(Ransomware)
- Ransom + Software의 합성어로 시스템을 사용 불가한 상태로 변경하거나 데이터를 암호화하는 방식
- 비밀키 암호화 방식을 사용하기에 복호화할 때 일괄 복호화가 불가하고, 복호화 시 많은 시간 소요
랜섬웨어 대응 방안
- 사용하는 모든 프로그램을 최신 버전으로 유지
- 인터넷 브라우저의 팝업 차단 설정 기능 사용
- E-mail 주소 배포 자제 및 중요 자료 정기적 백업
8. Drive by download 공격
- 웹 서핑 중 사용자가 악의적인 웹 사이트에 접속하는 순간 악성코드에 감염되는 방식
- 다수의 사용자를 한 번에 감염시키는 것이 가능
9. Fileless 공격
- 사용자가 파일 실행 없이 악성 사이트로 연결되는 링크를 클릭하면 악성코드에 감염되는 방식
- 파워쉘 및 명령 유틸리티 등을 통해 공격 수행
- PC에 SW를 설치하기 않기에 백신 도구로 탐지가 어려움
10. 멀버타이징(Malvertising)
- Malware + Advertising의 합성어로, 온라인 광고를 통해 악성코드를 유포시키는 기법
IoT 보안
설계/개발 단계의 보안
- IoT가 가지는 저전력/저성능 특성을 고려해 정보 및 기기의 오용을 최소화하면서 경량화할 수 있는 방안 고려
- 장치의 접근 권한 관리, 종단 간 통신 보안, 무결성/인증 제공 등의 방안 제공
- IoT 장치가 수집하는 프라이버시 정보에 대해 암호화 전송, 익명 저장 및 무결성/인증 방안 등 포함
- IoT 서비스는 정보에 대해 비식별화, 접근관리/인증, 기밀성, 안전한 저장 등에 대한 방안 포함
개발 기술 적용 및 검증
- 시큐어 코딩을 적용하여 소스 코드에 대한 보안 품질 검증 수행
- 시큐어 하드웨어 장치를 활용하여 여러 하드웨어 보안 취약성에 대한 보안 기법(펌웨어/코드 암호화, 역공학 방지 기법 등)을 적용
클라우드 보안
클라우드 보안 위협
- 하이퍼바이저 감염: 단일 물리적 머신에서 여러 가상 머신을 실행하는 데 사용할 수 있는 소프트웨어인 하이퍼바이저가 취약해져 이를 활용하여 여러 가상머신이 동시에 피해를 입을 가능성 존재
- 가상머신 공격: 가상머신들끼리의 여러 공격 경로가 존재
- 공격자 추적: 기존 네트워크 보안장비(방화벽, IPS 등)로는 공격자 탐지의 어려움 존재
- 가상머신의 이동성: 감염된 가상머신이 다른 물리적 플랫폼으로 이동하면서 쉽게 전파될 가능성 존재
클라우드 보안 위협 대응 방안
- 송수신 데이터 보호: TLS, SSH, VPN 등을 사용해 데이터에 대한 기밀성 유지
- 데이터 저장 시 암호화: 저장 데이터는 암호화하여 저장하고, 안전한 암호 알고리즘 사용
- 접근 및 인증: 관리자 패스워드의 주기적인 변경 혹은 접근통제 정책 수립
- VM 간 독립성 확보: VM의 가상 네트워크 보안 장점을 최대한 활용해 시스템 보호
- 공격 및 침입 탐지: 하이퍼바이저 방식 탐지기법 + VM 방식 탐지 기법 적용
빅데이터 보안
빅데이터 생명주기 단계별 보안 위협 및 대응
- 빅데이터 수집
- 특정 개인이 데이터 수집 대상인 경우에는 사전 동의가 없으면 개인 정보를 비식별화
- 능동적 데이터 수집 기술로 수집하는 경우, 데이터에 대한 동의나 접근 통제 필요
- 수동적 데이터 수집 기술(Web Crawler 등)로 수집하는 경우, 로봇 배제 표준 준수
- 빅데이터 저장 및 관리
- 적합한 암호화 기술로 암호화 수행, 기술·물리적 접근 통제를 적용
- 데이터 필터링으로 데이터의 비식별화 상태로 저장 후 관리
- 데이터 처리 및 분석
- 익명화 데이터 처리 기술(K-익명성, L-다양성, 차분 프라이버시 등)을 사용
- 민감 정보에 대해서는 순서 보존 암호화, 연산 보존 암호화 등을 이용
- 빅데이터 마이닝 시에도 프라이버시 보존 데이터 마이닝(PPDM) 기법 등을 사용
- 데이터 폐기
- 삭제 시 복구가 불가능하도록 완전히 폐기
개인정보 비식별화
- 개인 식별 정보에 대해 일부 또는 전부를 삭제, 또는 일부를 다른 속성으로 대체 처리
- 정보 자체만으로 개인을 식별하거나 다른 정보로 결합되어 개인을 알아볼 수 있는 정보 대상
개인정보 비식별화 처리기법
| 처리 기법 | 세부 기술 | 주요 내용 |
| 가명 처리 | 휴리스틱 익명화, K-익명화, 암호화, 교환 방법 | 주요 식별 요소를 다른 값으로 대체 |
| 총계 처리 | 총계 처리, 부분 집계, 라운딩, 데이터 재배열 | 데이터의 총합값을 보이는 기법 |
| 데이터 값 삭제 | 속성값 삭제, 속성값 부분 삭제, 데이터 행 삭제, 식별자 제거 | 필요없는 값 또는 개인 식별에 중요한 값을 삭제 |
| 범주화 | 범주화, 랜덤 올림 방식, 범위 방법, 제어 올림 | 데이터를 범주의 값으로 변환 |
| 데이터 마스킹 | 임의 잡음 추가, 공백과 대체 | 공개 정보 등과 결합 |
- 휴리스틱 익명화: 식별자에 해당하는 요소들을 특정 규칙으로 은닉, 혹은 가공하여 은닉하는 방법
- K-익명화: 동일한 속성값을 가지는 데이터를 k개 이상으로 유지하여 데이터 공개하는 방법
- 총계 처리: 데이터 집단 또는 부분으로 집계 처리하여 민감성을 낮추는 방법
- 범주화: 데이터의 평균 또는 범주의 값으로 변환하는 방식
- 임의 잡음 추가 방법: 노이즈를 추가하여 식별 정보 노출을 방지하는 방법
모바일 보안
모바일 환경 보안 위협
- 탈옥, 루팅에 의한 보안 취약점
- 스마트기기 도난 및 분실 위협
- 악성코드 감염 및 앱 위변조
- 불법 AP를 통한 스니핑, 세션 하이제킹
모바일 환경 보안 위협 대응 방안
| 위협 요인 |
대응 방안 |
| 단말기 | 응용 프로그램 코드 및 데이터 암호화 도난 및 분실 방지 솔루션 정기적 보안 업데이트 |
| 메모리 | 안티바이러스 기술 및 메모리 해킹 방지 기술 개인정보 유출방지 솔루션 |
| 앱 서비스 | 앱 위변조 방지 솔루션 전자서명 등을 적용해 불법 앱 차단 |
| 네트워크 | 불법 AP 차단, 개인 방화벽 및 VPN 위치 정보 보호 및 데이터 암호화 |
728x90
LIST
'자격증 준비 > TOPCIT' 카테고리의 다른 글
| 애플리케이션 보안 (9) | 2024.10.09 |
|---|---|
| 보안관리체계와 표준 (14) | 2024.10.04 |
| 정보보안 기반기술 (15) | 2024.09.25 |
| 정보보안 개념 (10) | 2024.09.19 |
| 데이터와 데이터베이스의 이해 (9) | 2024.09.18 |