2025_03_24 취준일기 42일차

오늘 들은 강의

5. 정보보안

3-1. SW개발 보안 설계

1. 정보보안 요소

• 정보보안 요소
  • 기밀성⭐⭐⭐
  • 무결성⭐⭐⭐
  • 가용성⭐⭐⭐
  • 인증
  • 부인방지
• AAA
  • 인증 Authentication
  • 인가(권한 부여) Authorization
  • 계정 관리 Accounting

2. 정보보안 거버넌스

• 조직의 정보자산 보호
• 데이터 무결성, 서비스 연속성, 정보자산의 보호

3. 인증제도

• ISMS 정보보호 관리체계 인증
• PIMS 개인정보보호 관리체계 인증
• ISMS-P
• ITSEC
• TCSEC
• CC

4. Secure SDLC

• CLASP(초기단계)
• MS-SDL
• Seven Touchpoints(모범 사례)

5. 시큐어코딩

• OWASP
• 입력 데이터 검증 및 표현
• 보안 기능
• 시간 및 상태
• 에러 처리
• 코드 오류
• 캡슐화
• API 오용

---

3-2. SW개발 보안 구현

1. 암호 알고리즘

• 평문
• 암호문
• 암호화
• 복호화
• 전자서명
• 양방향 암호화
• 단방향 암호화

2. 블록암호 알고리즘

• DES
• 3-DES
• AES
• SKIPJACK
• IDEA
• SEED
• ARIA
• LEA

3. 스트림 암호 알고리즘

• LFSR
• RC4
• A5

4. 공개키 암호 알고리즘

• 소인수분해: RSA, Rabin
• 이산대수: Diffie-Hellman, DSA, ELGamal
• 타원곡선: ECC

5. 단방향 알고리즘

• MD5: 빠른 계산 속도, 취약점 발견
• SHA: NIST(미국 국립표준기술연구소에 의해 개발된 해시 함수)
• HAS-160: 한국에서 개발된 해시함수, KCDSA(디지털서명)에 사용
• 무차별 대입 공격(키스트레칭)
• Rainbow Table 공격(솔팅)

6. 전자우편 보안

• PGP: 이메일과 파일의 암호화 및 디지털 서명을 위한 프로그램, Phil Zimmermann 개발
• PEM: 메시지 내용 보호
• S/MIME: MIME에 전자서명과 암호화 추가
• DKIM: 메일 발신자 인증, 발신 정보 위장 방지

7. 인증 유형

• 지식기반
• 소유기반
• 생체기반
• 행위기반
• 위치기반

8. 인증 방식

• OAuth
• SSO

9. 접근 통제 정책

• 강제적 접근 통제
• 임의적 접근 통제
• 역할 기반 접근 통제

10. 접근 통제 모델

• 벨-라파둘라: No Read UP, No Write Down
• 비바모델: No Read Down, No Write Up
• 클락 윌슨 모델: 업무 처리과정의 무결성
• 만리장성 모델: 이해 충돌 방지

---

3-3. 시스템 보안 구현

1. 보안 취약점 점검 분류

• 관리적 관점: 정보보호 관리체계
• 기술적 관점: 기술적인 요소
• 물리적 관점: 출입, 화재, 침수

2. 보안관제

• 정보 자산을 보호하기 위해 24시간 모니터링
• 침해사고 발생시 CERT가 대응
• 통합 로그 분석: ESM, SOAR, SIEM

3. 보안 솔루션

• 방화벽: 침입 차단
• WAF: 웹 기반 공격방어
• IDS: 침입 탐지
• IPS: 침입 방지
• DLP: 데이터 유출 방지
• VPN: 가상 사설 통신망
• NAC: 네트워크 접근 통제
• ESM: 로그 데이터 통합 관리
• SIEM: 빅 데이터 기반 분석
• SOAR: 보안 프로세스 자동화
• Sandbox: 독립된 환경
• FDS: 이상 금융 거래 탐지
• Proxy Server: 대신하여 접속

4. 방화벽 구현 방식

• 패킷 필터링
• 애플리케이션 게이트웨이
• 회선 게이트웨이
• 상태 기반 패킷 검사

5. 방화벽 시스템 구축 유형

• 스크리닝 라우터
• 베스천 호스트
• 듀얼 홈드 호스트
• 스크린드 호스트
• 스크린드 서브넷

6. 보안 프로토콜

• SSH: 원격 호스트 접속, 22번 포트
• SSL: SSL 적용, https, 443 포트
• TLS: 전송 계층 보안
• IPSec: 네트워크 계층 보안, 전송, 터널 모드, AH/ESP
• S-HTTP: HTTP의 보안 확장판
• RadSec: RADIUS 데이터를 안전하게 전송

7. 고 가용성: 2개 이상의 서버 연결

---

3-4. 서비스 공격 유형

1. DOS 공격

• Smurf Attack: IP, ICMP 특성
• Ping Of Death: 정상 크기 이상의 ICMP 패킷
• Land Attack: 출발지 IP, 목적지 IP 동일
• Teardrop Attack: 재조립 가능한 Fragment Number 위조
• SYN Flooding, UDP Flooding, Ping Flooding

2. DDoS 공격

• 트리누
• TFN
• 슈타첼드라트

 

 

 

7. 프로그래밍 언어

17. 예외처리 01~13

18. 추상 클래스/Interface 01~07

19. 문자열 메서드 01~11

20. 기타 문법 문제 01~26