[소프트웨어 및 시스템 보안]
컴퓨터 보안에 대하여
컴퓨터 보안에서의 Threat(위협)은 소프트웨어의 버그 및 취약점을 악용할 가능성이 있는 위험요소를 말한다.(Wikipedia 내용 번역)
여기서 취약점(Vulnerability)은 소프트웨어 내에서 예기치 못하게 생성된 버그이다. 예를 들어 로그인 하지 않고 접근이 가능하거나 권한이 없는 코드 실행, 컴퓨터 시스템 파괴에 대한 것들이다. (Set UID를 통해서 얻어진 권한을 이용한 느슨한 설계 악용, 백엔드 시스템에서의 허점 발견-SQL Injection 과 같은 것을 생각할 수 있다.)
악용(Exploit)은 버그가 있는 프로그램이 취약점을 이용하는 것에 대한 입력이다.
Threat Model
공격자와 방어자의 능력을 정의하는 것으로 공격 가능한 것들을 확인, 중요한 것들에 대한 보안을 철저히 하는 등의 요소들을 파악하는 것이다. (지피지기 백전불태의 전략)
취약점 : 보안 중요성이 있는 소프트웨어 결함
위협 : 소프트웨어에 가능한 위험
공격 : 시스템에 대한 접근 획득 혹은 피해에 대한 시도
악용 : 성공한 공격
신뢰 범위 : 데이터 또는 코드의 신뢰 수준이 변경되는 경우
해커
블랙 햇 해커, 화이트 햇 해커. 그레이 햇 해커로 해커 본인의 보안적 지식을 도덕범규에 따라 나눌 수 있는 것으로 블랙 햇은 말웨어나 시큐리티 프로토콜을 허가받지 않고 침투하는 악용하는 자들. 화이트 햇은 본인의 능력을 공익에 따라 쓴다. 그레이 햇은 그 둘의 중간점이다.
여기서 블랙 햇 해커들이 무엇을 하는지 공격에 대해서 알아보자.(간략하게)
- 소프트웨어 혹은 OS의 버그를 악용
- 제로 데이, 원 데이 취약점 공격(Zero-day Vulnerability, One-day Vulnerability)
- 취약점을 발견하여 공표한 뒤로부터 그 취약점을 보완하는 업데이트나 대응을 하지 않은 대상(정보가 퍼지기 까지 취약함)에게 해커가 그 취약점에 대한 정보를 파악하여 공격하는 것이다.
- 소셜 엔지니어링(Social Engineering)
- 프로그램이나 코드를 통한 게 아닌 사람과의 관계 및 대화를 통해서 알게된 정보를 이용하여 공격.(로그인-비밀 번호를 알게 되어 권한 획득 및 프로그램 코드를 획득하여 공격 대상에 대한 정보 획득)
- 무차별 대입 공격(Brute-Force Attack)
- 핸드폰의 4자리 수의 숫자 비밀번호를 모르는 경우, 10의 4승만큼 대입을 반복해서 확인할 수 있다. 이런 식으로 확인해서 공격한다. (예전 메이플 해킹 당한 게 생각납니다.)
- 말웨어 및 웜 제작(Malware, Worm)
- 말 그대로 악성 코드 제작.
- 서비스 거부 공격(Denial of Service)
- 기기나 네트워크의 자원을 사용 불가능하게 하여 인터넷과 연결된 호스트의 서비스를 방해하는 것이다.
- 분산 서비스 거부 공격(DDoS)
- 좀비 PC를 계속해서 감염해 나가서 그 PC들이 한 타겟을 향해 Dos 공격을 하는 것이다.(롤 챔스 DDos 사건)
- 스니핑(Sniffing)
- 네트워크 접근을 갖게 되어 다른 사람들이 어떤 내용을 주고 받는지 감청.
- 스푸핑(Spoofing)
- 스푸핑을 해서 허가 받은 사람인 척 하여 악성 코드나 악성 행위를 저지르는 것.
- 물리 시스템 공격(Attack Physical System)
- 악성 코드에 의해 실제 기기 및 프로그램을 훼손하는 경우이다.
보안의 원칙
Confidenciality(C) 기밀성
-허가 받지 않은 권한에 대해서 접근하지 못 하도록 함.
Integrity(I) 무결성
-정보가 변하지 않는 정확하고, 신뢰할 수 있음을 말함.
Availability(A) 가용성(데이터의 가열성)
-보안 장치가 있더라도 적절하게 데이터에 접근이 가능함을 의미.(보안 잠금이 되어 있더라도 서비스는 되어야함.)
+
Authentication(인증)
-사용자를 인증하여 접근할 수 있음
Non-repudiation 부인 봉쇄
-자신이 한 일임에도 부인하여 없던 일로 하지 못 하게 함.(ATM에서 돈 뽑아 놓고, 돈 안 뽑았다고 다시 잔고 돌려 놓으라고 하는 경우.)
Access Control 접근 제어
-어떤 대상에 대해서 어떤 누군가가 접근이 가능함 (파일 접근 권한 rwxrwxrwx 이런 거)
APT(Advanced Persistent Threat) 지속 향상된 위협
: 일반적으로 군사적 정치 외교적 목적으로 개발된 문제들
이건 더 알아봅시다.