https://itwiki.kr/api.php?action=feedcontributions&user=%EB%B3%B4%EC%95%88%EA%B8%B0%EC%82%AC&feedformat=atomIT위키 - 사용자 기여 [ko]2024-03-28T23:32:40Z사용자 기여MediaWiki 1.38.1https://itwiki.kr/index.php?title=%EB%8B%A4%ED%81%AC_%EC%9B%B9&diff=39173다크 웹2024-02-17T07:37:43Z<p>보안기사: 다크웹 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[다크웹]]</div>보안기사https://itwiki.kr/index.php?title=%ED%91%9C%EB%A9%B4_%EC%9B%B9&diff=39172표면 웹2024-02-17T07:37:18Z<p>보안기사: 새 문서: '''Surface Web''' 흔히 사용되는 범용 검색엔진을 통해 공개적으로 쉽게 접근이 가능한 웹 * 딥웹이나 다크웹이 아닌 웹을 의미함 * 표현 웹은 전체 웹 환경의 약 0.2% 정도를 차지하는 것으로 추정됨<ref>Bergman MK. White paper: the deep web: surfacing hidden value. Journal of electronic publishing. 2001 Aug 1</ref></p>
<hr />
<div>'''Surface Web'''<br />
<br />
흔히 사용되는 범용 검색엔진을 통해 공개적으로 쉽게 접근이 가능한 웹<br />
<br />
* [[딥웹]]이나 [[다크웹]]이 아닌 웹을 의미함<br />
* 표현 웹은 전체 웹 환경의 약 0.2% 정도를 차지하는 것으로 추정됨<ref>Bergman MK. White paper: the deep web: surfacing hidden value. Journal of electronic publishing. 2001 Aug 1</ref></div>보안기사https://itwiki.kr/index.php?title=%EB%94%A5_%EC%9B%B9&diff=39169딥 웹2024-02-17T07:35:16Z<p>보안기사: 딥웹 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[딥웹]]</div>보안기사https://itwiki.kr/index.php?title=PPTP&diff=38282PPTP2023-04-25T14:24:34Z<p>보안기사: </p>
<hr />
<div>'''Point-to-Point Tunneling Protocol; 지점간 터널링 프로토콜'''<br />
<br />
* TCP 포트 1723<br />
<br />
PPTP는 Windows 95 이후 모든 Windows 버전에서 표준으로 사용되어 온 가장 오래된 VPN 프로토콜 중 하나이다. PPTP는 [[PPP|PPP(Point-to-Point Protocol, 지점간 프로토콜)]]이라는 다른 프로토콜을 캡슐화하기 위해 Microsoft의 주도 하에 개발되었다.<br />
<br />
모든 VPN 프로토콜 중에서 '''PPTP는 가장 대중적이고 설치하기 쉬우며 계산 속도가 빠른 프로토콜 중 하나이다.''' 이러한 이유로 PPTP는 오디오 또는 동영상 스트리밍과 같이 속도가 가장 중요한 애플리케이션이나 보다 제한적인 프로세서가 장착된 느린 구형 장치에서 유용하다.<br />
<br />
그러나 '''PPTP는 심각한 보안 취약성을 갖는다.''' 기본 인증 프로토콜(보통 MS-CHAP-v1/v2)은 근본적으로 안전하지 않으며 PPTP가 도입된 이후 보안 분석에서 반복적으로 해제되었다.<br />
<br />
이러한 이유로 PPTP는 '''보안이 절대적으로 중요하지 않은 경우'''를 제외하고는 권장되지 않는다.<br />
<br />
== 장단점 ==<br />
{| class="wikitable"<br />
!장점<br />
!단점<br />
|-<br />
|<br />
* 빠른 속도<br />
* 구형 장치 지원<br />
|<br />
* 낮은 보안성<br />
|}<br />
<br />
== 같이 보기 ==<br />
<br />
* [[가상 사설망]]<br />
[[분류:보안]]<br />
[[분류:프로토콜]]</div>보안기사https://itwiki.kr/index.php?title=PPPoE&diff=38281PPPoE2023-04-25T14:21:27Z<p>보안기사: 새 문서: '''Point-to-Point Protocol over Ethernet; 이더넷 상 지점 간 프로토콜''' 이더넷 링크 계층 프로토콜 내에서 PPP를 캡슐화하는 네트워크 프로토콜이다. PPPoE 릴레이는 LAN(근거리 통신망)에서 다수의 유저를 지원하는 이더넷과 PPP의 보안 기능을 결합하는 역할을 한다. PPPoE는 PPP의 한계를 해결하고 조직이 멀티 호스트 환경을 지원할 수 있는 솔루션을 제공하기 위해 UUNET, Redb...</p>
<hr />
<div>'''Point-to-Point Protocol over Ethernet; 이더넷 상 지점 간 프로토콜'''<br />
<br />
이더넷 링크 계층 프로토콜 내에서 [[PPP]]를 캡슐화하는 네트워크 프로토콜이다. PPPoE 릴레이는 LAN(근거리 통신망)에서 다수의 유저를 지원하는 이더넷과 PPP의 보안 기능을 결합하는 역할을 한다. PPPoE는 PPP의 한계를 해결하고 조직이 멀티 호스트 환경을 지원할 수 있는 솔루션을 제공하기 위해 UUNET, Redback Networks, RouterWare가 개발하였다.<br />
<br />
PPPoE는 케이블 네트워크상의 데이터를 관리한다. 또한 단일 서버 연결을 다수의 클라이언트로 분리해 다수의 클라이언트가 동시에 하나의 서버에 접속하고 인터넷을 이용할 수 있도록 한다. PPPoE는 사용자가 이더넷을 통해서 ADSL 모뎀에 연결하는 ADSL 서비스에서 주로 사용된다.<br />
<br />
서비스 공급자는 PPPoE로 여러 클라이언트 시스템을 관리하고, 사용자의 서비스 액세스를 인증하고, 고객의 데이터 사용량을 추적할 수 있다. 또한 PPPoE는 데이터 암호화 및 압축 등의 서비스도 지원한다.<br />
<br />
최근엔 많이 사용되지 않는다.<br />
<br />
== 같이 보기 ==<br />
<br />
* [[PPP]]<br />
* [[PPTP]]<br />
* [[가상 사설망]]<br />
<br />
[[분류:보안]]<br />
[[분류:프로토콜]]</div>보안기사https://itwiki.kr/index.php?title=PPTP&diff=38280PPTP2023-04-25T14:17:02Z<p>보안기사: 새 문서: '''Point-to-Point Tunneling Protocol; 지점간 터널링 프로토콜''' * TCP 포트 1723 PPTP는 Windows 95 이후 모든 Windows 버전에서 표준으로 사용되어 온 가장 오래된 VPN 프로토콜 중 하나이다. PPTP는 PPP(Point-to-Point Protocol, 지점간 프로토콜)이라는 다른 프로토콜을 캡슐화하기 위해 Microsoft의 주도 하에 개발되었다. 모든 VPN 프로토콜 중에서 '''PPTP는 가장 대중적이고 설치하기 쉬...</p>
<hr />
<div>'''Point-to-Point Tunneling Protocol; 지점간 터널링 프로토콜'''<br />
<br />
* TCP 포트 1723<br />
<br />
PPTP는 Windows 95 이후 모든 Windows 버전에서 표준으로 사용되어 온 가장 오래된 VPN 프로토콜 중 하나이다. PPTP는 [[PPP|PPP(Point-to-Point Protocol, 지점간 프로토콜)]]이라는 다른 프로토콜을 캡슐화하기 위해 Microsoft의 주도 하에 개발되었다.<br />
<br />
모든 VPN 프로토콜 중에서 '''PPTP는 가장 대중적이고 설치하기 쉬우며 계산 속도가 빠른 프로토콜 중 하나이다.''' 이러한 이유로 PPTP는 오디오 또는 동영상 스트리밍과 같이 속도가 가장 중요한 애플리케이션이나 보다 제한적인 프로세서가 장착된 느린 구형 장치에서 유용하다.<br />
<br />
그러나 '''PPTP는 심각한 보안 취약성을 갖는다.''' 기본 인증 프로토콜(보통 MS-CHAP-v1/v2)은 근본적으로 안전하지 않으며 PPTP가 도입된 이후 보안 분석에서 반복적으로 해제되었다.<br />
<br />
이러한 이유로 PPTP는 '''보안이 절대적으로 중요하지 않은 경우'''를 제외하고는 권장되지 않는다.<br />
<br />
== 장단점 ==<br />
{| class="wikitable"<br />
!장점<br />
!단점<br />
|-<br />
|<br />
* 빠른 속도<br />
* 구형 장치 지원<br />
|<br />
* 낮은 보안성<br />
|}<br />
<br />
== 같이 보기 ==<br />
<br />
* [[가상 사설망]]</div>보안기사https://itwiki.kr/index.php?title=%EB%A6%AC%EB%88%85%EC%8A%A4_fstab&diff=37958리눅스 fstab2023-02-06T08:36:22Z<p>보안기사: </p>
<hr />
<div>;부팅시 자동으로 마운트할 대상을 정의하는 시스템 기본 설정파일<br />
<br />
* 위치: /etc/fstab<br />
<br />
== 설정 방법 ==<br />
; vi등으로 설정 파일을 열고 규칙에 맞게 내용을 입력한다.<br />
<pre class='shell'><br />
$ vi /etc/fstab<br />
#<br />
# /etc/fstab<br />
# Created by anaconda on Mon Nov 21 17:30:35 2011<br />
#<br />
# Accessible filesystems, by reference, are maintained under '/dev/disk'<br />
# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info<br />
#<br />
/dev/mapper/VolGroup-lv_root / ext4 defaults 1 1<br />
tmpfs /dev/shm tmpfs defaults 0 0<br />
devpts /dev/pts devpts gid=5,mode=620 0 0<br />
sysfs /sys sysfs defaults 0 0<br />
proc /proc proc defaults 0 0<br />
# 시스템 기본으로 설정되어 있는 내용 밑에 추가로 기입한다. 규칙은 아래와 같다.<br />
# [대상] [목적지] [파일시스템 유형] [옵션] [덤프 주기(일)] [fsck 순서]<br />
</pre><br />
<br />
=== 입력 규칙 ===<br />
<blockquote>[파일시스템장치명] [마운트포인트] [파일시스템 종류] [옵션] [덤프설정] [파일시스템 체크 설정]</blockquote>구분은 띄어쓰기로 한다. 한칸 이상 띄우면 동일하게 인식 되므로, 헷갈리지 않도록 입력값 사이사이를 충분히 띄어주면 된다.<br />
<br />
=== 파일시스템 종류 ===<br />
ext, ext2, ext3, ext4, iso9660, nfs, swap, ufs, vfat, msdos, ntfs, hfs, hpfs, sysv, ramdisk 등 사용 가능<br />
<br />
=== 옵션 ===<br />
여러개의 옵션을 넣는 경우 '''띄어쓰기 없이''' 따옴표로 구분한다. ex) defaults,nofail<br />
* defaults: rw,nouser,auto,exec,suid 속성을 모두 가진다.<br />
* auto: 부팅시 자동 마운트<br />
* noauto: 부팅시 자동 마운트 안됨<br />
* exec: 실행 파일이 실행 되는 것을 허용<br />
* noexec: 실행 파일이 실행 되는 것을 허용하지 않음<br />
* suid: SetUID와 SetGID의 사용을 허용<br />
* nosuid: SetUID와 SetGID의 사용을 허용하지 않음<br />
* ro: 읽기전용 마운트<br />
* rw: 읽기, 쓰기 가능 마운트<br />
* user: 일반 사용자들도 마운트할 수 있음<br />
* nouser: 일반 사용자들은 마운트할 수 없음(root계정만 가능)<br />
* usrquota: 개별 계정사용자의 Quota설정이 가능하도록 함<br />
* grpquota: 그룹별 Quota설정이 가능하도록 함<br />
* nofail: 드라이브 마운트에 실패해도 오류를 보고하지 않고 부팅을 이어나감<br />
* noatime: 파일을 읽을 때 access time을 업데이트하지 않음 (속도 향상)<br />
* relatime: 파일을 읽을 때 필요한 경우만 access time를 업데이트 (속도 향상)<br />
아래는 '''NFS 전용 옵션'''이다.<br />
* hard: 요청 실패 시 서버가 응답할 때까지 재시도<br />
* soft: 요청 실패 시 오류를 보고하고 종료<br />
* rsize=n: NFS 서버로부터 읽어들이는 바이트 수를 지정. 기본값은 1024byte(커널에 따라 다를 수 있음)<br />
* wsize=n: NFS 서버에 쓰기를 할 때 사용하는 바이트 수. 기본값은 1024byte(커널에 따라 다를 수 있음)<br />
* timeo=n: RPC 타임아웃이 생기고 나서 첫번째 재전송 요구를 보낼 때 사용되는 시간<br />
** 1/10 초 단위이다. 기본값은 7 * 1/10 초<br />
** 최대치인 60 초에 이르거나 너무 많은 재전송 요구가 벌어질때까지 타임아웃 시간이 2 배로 변화<br />
* retrans=n: 주 타임아웃을 발생시키는 부 타임아웃과 재전송 횟수. 기본값은 3(초)<br />
* acregmin=n: 서버에게 최신 정보를 요청하기에 앞서 캐시되어야 할 최소 시간. 기본값은 3(초)<br />
* acregmax=n:서버에게 최신 정보를 요청하기에 앞서 일반 화일의 속성이 캐쉬되어야 할 시간. 기본값은 60(초)<br />
* acdirmin=n: 서버에게 최신 정보를 요청하기에 앞서 디렉토리의 속성이 캐쉬되어야 할 시간. 기본값은 30(초)<br />
* acdirmax=n: 서버에게 최신 정보를 요청하기에 앞서 디렉토리의 속성이 캐쉬되어야 할 시간. 기본값은 60(초)<br />
* actimeo=n: 이 값을 다음 acregmin, acregmax, acdirmin, 와 acdirmax 에 똑같이 적용<br />
* retry=n: 백그라운드에서 진행 중인 NFS 마운트 작업이 포기하기 전까지 실행할 횟수. 기본값 10000<br />
* port=n: NFS 서버와 연결할 수 있는 포트 번호. 0 이면(기본값) 원격호스트의 포트매퍼(portmapper) 에게 질의<br />
** 포트매퍼에 NFS 데몬이 등록되어 있지 않은 경우에는 2049 라는 표준 NFS 포트 번호 사용<br />
* mountport=n: mountd 포트 번호 지정<br />
* mounthost=name: mountd 를 실행 중인 호스트 명 지정<br />
* mountprog=n: 원격 호스트의 마운트 데몬과 접속하기 위해 사용할 수 있는 별도의 RPC 프로그램 번호<br />
** 기본값은 표준 RPC 마운트 데몬 프로그램 번호인 100005<br />
* bg: 만약 첫번째 NFS 마운트 시도가 타임아웃 걸리면 백그라운드에서 실행을 계속<br />
* fg: 첫번째 NFS 마운트 시도에서 타임아웃이 걸리면 그 즉시 포기(기본값)<br />
* tcp: NFS 화일 시스템을 기본값인 UDP 가 아니라 TCP 프로토콜을 사용하여 마운트<br />
* udp: NFS 화일 시스템을 UDP 프로토콜로 마운트(기본값)<br />
<br />
=== 덤프 설정 ===<br />
* 0: 덤프가 불가능하게 설정<br />
* 1: 덤프가 가능하게 설정<br />
<br />
=== 파일시스템 체크 ===<br />
fsck에 의한 무결성 검사 우선순위 설정<br />
* 0: 무결성 검사를 하지 않음<br />
* 1: 우선순위 1위로 검사 수행<br />
* 2: 우선순위 2위로 검사 수행<br />
<br />
== 적용 방법 ==<br />
<br />
* 파일 내용을 저장해두면 자동으로 적용된다. <br />
* 단, 해당 파일은 부팅 시 사용되는 설정 파일이므로, fstab에 내용을 적는다고 바로 마운트 되는 것은 절대 아니며, 다음 부팅 시 적용되는 것이다. 현 부팅 상태에서 마운트를 하고자 한다면 mount 명령어를 사용하여 별도로 수행해주어야 한다.<br />
<br />
== 예제 ==<br />
* NFS 디렉터리 마운트하기<ref>http://q.fran.kr/문제/6526 리눅스마스터 1급 기출문제</ref><br />
** NFS 서버 도메인은 data.example.com이고 공유 디렉터리명은 /shared이다.<br />
** NFS 클라이언트에서 마운트할 디렉터리명은 /remote_data이다.<br />
<pre class='shell'><br />
data.example.com:/shared /remote_data nfs timeo=30,soft,retrans=5 0 0<br />
</pre><br />
<br />
[[분류:리눅스]]<br />
[[분류:리눅스 파일]]</div>보안기사https://itwiki.kr/index.php?title=FTP_%EC%83%81%ED%83%9C_%EC%BD%94%EB%93%9C&diff=37942FTP 상태 코드2023-01-26T12:47:45Z<p>보안기사: 새 문서: * '''상위 문서: FTP''' == 코드 목록 == === 1xx - 긍정적 인 예비 회신 === 이러한 상태 코드는 작업이 성공적으로 시작되었음을 나타내지만 클라이언트는 새 명령을 계속하기 전에 다른 회신을 기대합니다. * 110 - 마커 회신을 다시 시작합니다. * 120 - nnn 분 안에 서비스가 준비됩니다. * 125 - 데이터 연결이 이미 열려 있습니다. 전송을 시작합니다. * 150 - 파일 상태 확...</p>
<hr />
<div>* '''상위 문서: [[FTP]]'''<br />
<br />
== 코드 목록 ==<br />
<br />
=== 1xx - 긍정적 인 예비 회신 ===<br />
이러한 상태 코드는 작업이 성공적으로 시작되었음을 나타내지만 클라이언트는 새 명령을 계속하기 전에 다른 회신을 기대합니다.<br />
<br />
* 110 - 마커 회신을 다시 시작합니다.<br />
* 120 - nnn 분 안에 서비스가 준비됩니다.<br />
* 125 - 데이터 연결이 이미 열려 있습니다. 전송을 시작합니다.<br />
* 150 - 파일 상태 확인; 데이터 연결을 열려고 합니다.<br />
<br />
=== 2xx - 긍정 완료 회신 ===<br />
작업이 성공적으로 완료되었습니다. 클라이언트는 새 명령을 실행할 수 있습니다.<br />
<br />
* 200 - 명령이 괜찮습니다.<br />
* 202 - 이 사이트에서 불필요한 명령이 구현되지 않았습니다.<br />
* 211 - 시스템 상태 또는 시스템 도움말 회신<br />
* 212 - 디렉터리 상태입니다.<br />
* 213 - 파일 상태입니다.<br />
* 214 - 도움말 메시지.<br />
* 215 - NAME 시스템 유형입니다. 여기서 NAME은 할당된 번호 문서의 목록에서 공식 시스템 이름입니다.<br />
* 220 - 새 사용자를 위한 서비스 준비.<br />
* 221 - 서비스 닫기 제어 연결. 적절한 경우 로그아웃되었습니다.<br />
* 225 - 데이터 연결 열기; 전송이 진행 중이 아닙니다.<br />
* 226 - 데이터 연결을 닫습니다. 요청된 파일 작업이 성공했습니다(예: 파일 전송 또는 파일 중단).<br />
* 227 - 수동 모드 입력(h1,h2,h3,h4,p1,p2).<br />
* 229 - 확장된 수동 모드가 입력되었습니다.<br />
* 230 - 사용자가 로그인하여 계속 진행합니다.<br />
* 232 - 사용자가 로그인하고 보안 데이터 교환에서 권한을 부여합니다.<br />
* 234 - 보안 데이터 교환이 완료되었습니다.<br />
* 235 - 보안 데이터 교환이 성공적으로 완료되었습니다.<br />
* 250 - 요청된 파일 작업이 완료되었습니다.<br />
* 257 - "PATHNAME"이 생성되었습니다.<br />
<br />
=== 3xx - 긍정 중간 회신 ===<br />
명령이 성공했지만 서버는 요청 처리를 완료하기 위해 클라이언트의 추가 정보가 필요합니다.<br />
<br />
* 331 - 사용자 이름 좋아, 암호가 필요합니다.<br />
* 332 - 로그인에 대한 계정이 필요합니다.<br />
* 334 - 요청된 보안 메커니즘 확인.<br />
* 335 - 보안 데이터가 허용됩니다. 보안 데이터 교환을 완료하려면 더 많은 데이터가 필요합니다.<br />
* 336 - 사용자 이름 좋아, 암호가 필요합니다.<br />
* 350 - 추가 정보가 보류 중인 요청된 파일 작업입니다.<br />
<br />
=== 4xx - 일시적인 음수 완성 회신 ===<br />
명령이 성공하지 못했지만 오류는 일시적입니다. 클라이언트가 명령을 다시 시도하면 성공할 수 있습니다.<br />
<br />
* 421 - 서비스를 사용할 수 없음, 제어 연결을 닫습니다. 서비스가 종료해야 한다는 것을 알고 있는 경우 모든 명령에 대한 회신일 수 있습니다.<br />
* 425 - 데이터 연결을 열 수 없습니다.<br />
* 426 - 연결이 닫혔습니다. 전송이 중단되었습니다.<br />
* 431 - 보안을 처리하기 위해 사용할 수 없는 리소스가 필요합니다.<br />
* 450 - 요청된 파일 작업이 수행되지 않았습니다. 파일을 사용할 수 없습니다(예: 파일 사용 중).<br />
* 451 - 요청된 작업이 중단되었습니다. 처리 중 로컬 오류입니다.<br />
* 452 - 요청된 작업이 수행되지 않았습니다. 시스템의 스토리지 공간이 부족합니다.<br />
<br />
=== 5xx - 영구 부정 완성 회신 ===<br />
명령이 실패하고 오류가 영구적입니다. 클라이언트가 명령을 다시 시도하면 동일한 오류가 발생합니다.<br />
<br />
* 500 - 구문 오류, 명령을 인식할 수 없습니다. 여기에는 명령줄이 너무 긴 등의 오류가 포함될 수 있습니다.<br />
* 501 - 매개 변수 또는 인수의 구문 오류입니다.<br />
* 502 - 명령이 구현되지 않았습니다.<br />
* 503 - 잘못된 명령 시퀀스입니다.<br />
* 504 - 해당 매개 변수에 대해 구현되지 않은 명령입니다.<br />
* 521 - 이 PROT 설정으로 데이터 연결을 열 수 없습니다.<br />
* 522 - 서버는 요청된 네트워크 프로토콜을 지원하지 않습니다.<br />
* 530 - 로그인하지 않았습니다.<br />
* 532 - 파일을 저장하기 위한 계정이 필요합니다.<br />
* 533 - 정책상의 이유로 명령 보호 수준이 거부되었습니다.<br />
* 534 - 정책상의 이유로 요청이 거부되었습니다.<br />
* 535 - 보안 검사 실패(해시, 시퀀스 등)<br />
* 536 - 메커니즘에서 지원되지 않는 요청된 PROT 수준입니다.<br />
* 537 - 보안 메커니즘에서 지원되지 않는 명령 보호 수준입니다.<br />
* 550 - 요청된 작업이 수행되지 않았습니다. 파일을 사용할 수 없습니다(예: 파일을 찾을 수 없거나 액세스할 수 없음).<br />
* 551 - 요청된 작업 중단됨: 페이지 유형을 알 수 없습니다.<br />
* 552 - 요청된 파일 작업이 중단되었습니다. 스토리지 할당을 초과했습니다(현재 디렉터리 또는 데이터 세트의 경우).<br />
* 553 - 요청된 작업이 수행되지 않았습니다. 파일 이름은 허용되지 않습니다.<br />
<br />
=== 6xx - 보호된 회신 ===<br />
이러한 상태 코드는 FTP로부터 보호된 회신을 나타냅니다.<br />
<br />
* 631 - 무결성 보호 회신.<br />
* 632 - 기밀성 및 무결성 보호 회신.<br />
* 633 - 기밀성 보호 회신.<br />
<br />
== 일반적인 FTP 상태 코드 및 해당 원인 ==<br />
<br />
* 150 - FTP는 두 개의 포트를 사용합니다. 즉, 명령을 보내는 경우 21개, 데이터 전송에 20개입니다. 상태 코드 150은 서버가 포트 20에서 새 연결을 열어 일부 데이터를 보내려고 했음을 나타냅니다.<br />
* 226 - 이 명령은 포트 20에서 데이터 연결을 열어 파일 전송과 같은 작업을 수행합니다. 이 작업이 성공적으로 완료되었으며 데이터 연결이 닫혔습니다.<br />
* 230 - 클라이언트가 올바른 암호를 보낸 후에 이 상태 코드가 나타납니다. 사용자가 성공적으로 로그온했음을 나타냅니다.<br />
* 331 - 클라이언트가 사용자 이름을 보낸 후 이 상태 코드가 표시됩니다. 제공된 사용자 이름이 시스템의 유효한 계정인지 여부에 관계없이 이 동일한 상태 코드가 표시됩니다.<br />
* 426 - 이 명령은 작업을 수행하기 위해 데이터 연결을 열지만 해당 작업이 취소되고 데이터 연결이 닫힙니다.<br />
* 530 - 이 상태 코드는 사용자 이름과 암호 조합이 유효하지 않기 때문에 사용자가 로그온할 수 없음을 나타냅니다. 사용자 계정을 사용하여 로그온하는 경우 사용자 이름 또는 암호를 잘못 입력했거나 익명 액세스만 허용하도록 선택했을 수 있습니다. 익명 계정으로 로그온하는 경우 익명 액세스를 거부하도록 IIS를 구성했을 수 있습니다.<br />
* 550 - 지정된 파일을 사용할 수 없으므로 명령이 실행되지 않습니다. 예를 들어 이 상태 코드는 존재하지 않는 파일을 가져오기 위해 시도하거나 쓰기 권한이 없는 디렉터리에 파일을 넣으려고 할 때 발생합니다.<br />
<br />
== FTP 하위 상태 코드 ==<br />
이 섹션에서는 IIS 7.0에서 사용하는 FTP 하위 상태 코드에 대해 설명합니다.<br />
<br />
* 0 - 성공적인 작업.<br />
* 1 - 권한 부여 규칙이 액세스를 거부했습니다.<br />
* 2 - 파일 시스템에서 액세스를 거부했습니다.<br />
* 3 - 파일 시스템에서 오류를 반환했습니다.<br />
* 4 - IP 제한 규칙이 액세스를 거부했습니다.<br />
* 5 - 가상 디렉터리의 루트에 대한 쓰기 액세스는 금지됩니다.<br />
* 6 - 짧은 파일 이름 확인에 실패했습니다.<br />
* 7 - 짧은 파일 이름은 사용할 수 없습니다.<br />
* 8 - 요청 필터링 규칙에 따라 경로에서 숨겨진 세그먼트가 검색되었습니다.<br />
* 9 - 요청 필터링 규칙에 따라 경로에서 거부된 URL 시퀀스가 검색되었습니다.<br />
* 10 - 요청 필터링 규칙에 따라 경로에서 검색된 높은 비트 문자입니다.<br />
* 11 - 파일 확장명은 요청 필터링 규칙에 따라 거부되었습니다.<br />
* 12 - 요청 필터링 규칙에 따라 경로가 너무 깁니다.<br />
* 13 - 파일 또는 디렉터리가 아닌 개체를 열려고 했습니다.<br />
* 14 - 컨트롤 채널 시간이 초과되었습니다.<br />
* 15 - 데이터 채널 시간이 초과되었습니다.<br />
* 16 - 제어 채널이 새 연결 시간 제한에 따라 시간 초과되었습니다.<br />
* 17 - 잘못된 사이트 구성.<br />
* 18 - 구성이 잘못되었습니다.<br />
* 19 - 최대 연결 제한에 도달했습니다.<br />
* 20 - 클라이언트의 ABOR 명령에 의해 데이터 채널이 닫혔습니다.<br />
* 21 - 사이트가 중지됩니다.<br />
* 22 - 오류로 인해 서버에서 데이터 채널이 중단되었습니다.<br />
* 23 - 클라이언트에서 데이터 채널이 중단되었습니다.<br />
* 24 - SSL 정책에는 데이터 채널에 대한 SSL이 필요합니다.<br />
* 25 - SSL 정책에는 제어 채널에 SSL이 필요합니다.<br />
* 26 - SSL 정책에는 자격 증명에 SSL이 필요합니다.<br />
* 27 - SSL 정책은 데이터 채널에 대한 SSL을 거부합니다.<br />
* 28 - SSL 정책은 데이터 채널에 대해 SSL을 거부합니다.<br />
* 29 - SSL 정책은 자격 증명에 대해 SSL을 거부합니다.<br />
* 30 - SSL 정책은 명령에 대해 SSL을 거부합니다.<br />
* 31 - SSL 인증서가 구성되지 않았습니다.<br />
* 32 - SSL 초기화에 실패했습니다.<br />
* 33 - 홈 디렉터리 조회에 실패했습니다.<br />
* 34 - 사용자 지정 인증 호출이 실패했습니다.<br />
* 35 - 사용자가 인증하지 못했습니다.<br />
* 36 - 모든 인증 방법을 사용할 수 없습니다.<br />
* 37 - 호스트 이름이 구성된 ftp 사이트와 일치하지 않습니다.<br />
* 38 - 컨트롤 채널의 클라이언트 IP가 데이터 채널의 클라이언트 IP와 일치하지 않습니다.<br />
* 39 - 최대 파일 크기를 초과했습니다. 40ActiveDirectory 격리는 기본 인증과 결합되어야 합니다.<br />
* 41 - 인증 프로세스 중에 오류가 발생했습니다.<br />
* 42 - 익명 인증은 허용되지 않습니다.<br />
* 43 - 보호 협상이 실패했습니다. 인식된 매개 변수가 있는 PROT 명령이 이 명령 앞에 와야 합니다.<br />
* 44 - SSL 인증서를 찾을 수 없습니다.<br />
* 45 - 지정된 SSL 인증서에 대한 프라이빗 키를 찾을 수 없습니다.<br />
* 46 - SSL 인증서 해시의 길이가 잘못되었습니다.<br />
* 47 - SSL 정책에는 클라이언트 인증서가 필요합니다.<br />
* 48 - 사용자가 잘못된 클라이언트 인증서를 제공했습니다.<br />
* 49 - SSL 정책에는 제어 및 데이터 채널에 일치하는 클라이언트 인증서가 필요합니다.<br />
* 50 - 최소 대역폭 요구 사항을 충족하지 않아 데이터 채널 시간이 초과되었습니다.<br />
* 51 - 명령 필터링 규칙이 액세스를 거부했습니다.<br />
* 52 - 관리자가 세션 연결을 끊습니다.<br />
* 53 - 연결 오류입니다.<br />
* 54 - 구성 변경으로 인해 세션이 닫혔습니다.<br />
* SSL 연결에는 55-128비트 암호화가 필요합니다.</div>보안기사https://itwiki.kr/index.php?title=%EC%96%91%EC%9E%90_%ED%82%A4_%EB%B6%84%EB%B0%B0&diff=31621양자 키 분배2022-06-28T00:25:16Z<p>보안기사: </p>
<hr />
<div>[[분류:보안]]<br />
[[분류:암호학]]<br />
<br />
;QKD; Quantum Key Distribution<br />
;양자기술로 생성한 암호키를 송수신측에 안전하게 전달하는 방식<br />
<br />
*중간 도청시 암호키 손상, 탈취자 해독불가<br />
*양자역학 고유 특성인 불확정성, 비복제성을 활용해 통신을 암호화하는 기술<br />
*'중첩' 이라는 양자 고유 특징을 활용해 중간에서 빼낼 수 없는 암호키를 송신자와 수신자에게 보내는 기술<br />
*도감청을 원천 봉쇄<br />
<br />
==같이 보기==<br />
<br />
*[[양자 컴퓨팅]]<br />
*[[양자 암호]]</div>보안기사https://itwiki.kr/index.php?title=QKD&diff=31620QKD2022-06-28T00:25:01Z<p>보안기사: 양자 키 분배 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[양자 키 분배]]</div>보안기사https://itwiki.kr/index.php?title=%EC%96%91%EC%9E%90%ED%82%A4%EB%B6%84%EB%B0%B0&diff=31619양자키분배2022-06-28T00:24:26Z<p>보안기사: 양자 키 분배 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[양자 키 분배]]</div>보안기사https://itwiki.kr/index.php?title=%EC%96%91%EC%9E%90_%ED%82%A4%EB%B6%84%EB%B0%B0&diff=31618양자 키분배2022-06-28T00:23:49Z<p>보안기사: 양자 키 분배 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[양자 키 분배]]</div>보안기사https://itwiki.kr/index.php?title=%ED%86%B5%EC%A0%9C%EA%B5%AC%EC%97%AD&diff=31536통제구역2022-06-21T16:55:23Z<p>보안기사: 새 문서: '''"통제구역"'''이라 함은 비인가자의 출입이 금지되는 보안상 극히 중요한 구역을 말한다.</p>
<hr />
<div>'''"통제구역"'''이라 함은 비인가자의 출입이 금지되는 보안상 극히 중요한 구역을 말한다.</div>보안기사https://itwiki.kr/index.php?title=%EC%A0%9C%ED%95%9C%EA%B5%AC%EC%97%AD&diff=31535제한구역2022-06-21T16:54:29Z<p>보안기사: 새 문서: '''"제한구역"'''이라 함은 비밀 또는 중요시설 및 자재에 대한 비인가자의 접근을 방지하기 위하여 그 출입에 안내가 요구되는 구역을 말...</p>
<hr />
<div>'''"제한구역"'''이라 함은 비밀 또는 중요시설 및 자재에 대한 비인가자의 접근을 방지하기 위하여 그 출입에 안내가 요구되는 구역을 말한다.<br />
<br />
<br /></div>보안기사https://itwiki.kr/index.php?title=%EC%A0%9C%ED%95%9C%EC%A7%80%EC%97%AD&diff=31534제한지역2022-06-21T16:53:27Z<p>보안기사: 새 문서: '''"제한지역"'''이라 함은 비밀 또는 국가재산의 보호를 위하여 울타리 또는 경호원에 의하여 일반인의 출입의 감시가 요구되는 지역을 말...</p>
<hr />
<div>'''"제한지역"'''이라 함은 비밀 또는 국가재산의 보호를 위하여 울타리 또는 경호원에 의하여 일반인의 출입의 감시가 요구되는 지역을 말한다.</div>보안기사https://itwiki.kr/index.php?title=%EA%B5%AD%EA%B0%80_%EC%A0%95%EB%B3%B4%EB%B3%B4%EC%95%88_%EA%B8%B0%EB%B3%B8%EC%A7%80%EC%B9%A8&diff=29975국가 정보보안 기본지침2022-06-18T11:28:09Z<p>보안기사: </p>
<hr />
<div>[[분류:컴플라이언스]]<br />
[[분류:보안]]<br />
국정원에서 관리하는 국가, 공공기관을 대상으로 하는 정보보안 지침<br />
<br />
*<s>원문 내용은 일반인에게 공개되지 않음</s><br />
*국가 정보보안 기본지침은 2021.11.1 자 개정부터는 일반인에게 공개<br />
*국가사이버안보센터 홈페이지 자료실[https://www.ncsc.go.kr/<nowiki>]에서 다운로드가 가능하다. </nowiki><br />
*IT위키에도 전문이 올라와 있다.<br />
<br />
== 목차 ==<br />
<br />
*'''제1장 총칙'''<br />
**[[국가 정보보안 기본지침 제1조|제1조(목적)]]<br />
**[[국가 정보보안 기본지침 제2조|제2조(정의)]]<br />
**[[국가 정보보안 기본지침 제3조|제3조(적용범위)]]<br />
**[[국가 정보보안 기본지침 제4조|제4조(책무)]]<br />
**[[국가 정보보안 기본지침 제5조|제5조(정보보안담당관 운영)]]<br />
**[[국가 정보보안 기본지침 제6조|제6조(연도 추진계획 수립)]]<br />
**[[국가 정보보안 기본지침 제7조|제7조(정보보안내규)]]<br />
**[[국가 정보보안 기본지침 제8조|제8조(정보보안감사 등)]]<br />
**[[국가 정보보안 기본지침 제9조|제9조(정보보안교육)]]<br />
**[[국가 정보보안 기본지침 제10조|제10조(사이버보안진단의 날)]]<br />
*'''제2장 정보화사업 보안'''<br />
**'''제1절 사업 계획'''<br />
**[[국가 정보보안 기본지침 제11조|제11조(보안책임)]]<br />
**[[국가 정보보안 기본지침 제12조|제12조(보안대책 수립)]]<br />
**[[국가 정보보안 기본지침 제13조|제13조(제안요청서 기재사항)]]<br />
**'''제2절 보안성 검토'''<br />
**[[국가 정보보안 기본지침 제14조|제14조(검토 시기 및 절차)]]<br />
**[[국가 정보보안 기본지침 제15조|제15조(검토 기관)]]<br />
**[[국가 정보보안 기본지침 제16조|제16조(검토 생략)]]<br />
**[[국가 정보보안 기본지침 제17조|제17조(제출 문서)]]<br />
**[[국가 정보보안 기본지침 제18조|제18조(검토결과 조치)]]<br />
**[[국가 정보보안 기본지침 제19조|제19조(현황 제출)]]<br />
**'''제3절 제품 도입'''<br />
**[[국가 정보보안 기본지침 제19조의2|제19조의2(보안기능 시험)]]<br />
**[[국가 정보보안 기본지침 제20조|제20조(정보통신제품 도입)]]<br />
**[[국가 정보보안 기본지침 제21조|제21조(안전성 검증필 제품 목록)]]<br />
**[[국가 정보보안 기본지침 제22조|제22조(검증필 암호모듈 목록 및 운용관리)]]<br />
**[[국가 정보보안 기본지침 제23조|제23조(영상정보처리기기 도입)]]<br />
**[[국가 정보보안 기본지침 제24조|제24조(도입현황 제출)]]<br />
**[[국가 정보보안 기본지침 제24조의2|제24조의2(상용소프트웨어 도입)]]<br />
**'''제4절 계약 및 사업 수행'''<br />
**[[국가 정보보안 기본지침 제25조|제25조(계약 특수조건)]]<br />
**[[국가 정보보안 기본지침 제26조|제26조(용역업체 보안)]]<br />
**[[국가 정보보안 기본지침 제27조|제27조(소프트웨어 개발보안)]]<br />
**[[국가 정보보안 기본지침 제27조의2|제27조의2(발주기관내 작업장소 보안)]]<br />
**[[국가 정보보안 기본지침 제28조|제28조(원격지 개발보안)]]<br />
**[[국가 정보보안 기본지침 제28조의2|제28조의2(원격지에서의 온라인 개발)]]<br />
**[[국가 정보보안 기본지침 제29조|제29조(소프트웨어 산출물 제공)]]<br />
**[[국가 정보보안 기본지침 제30조|제30조(누출금지정보 유출시 조치)]]<br />
**'''제5절 보안적합성 검증'''<br />
**[[국가 정보보안 기본지침 제31조|제31조(대상 제품)]]<br />
**[[국가 정보보안 기본지침 제32조|제32조(검증기관 및 신청)]]<br />
**[[국가 정보보안 기본지침 제33조|제33조(검증 신청시 제출물)]]<br />
**[[국가 정보보안 기본지침 제34조|제34조(안전성 시험)]]<br />
**[[국가 정보보안 기본지침 제35조|제35조(검증결과 통보 및 조치)]]<br />
**[[국가 정보보안 기본지침 제36조|제36조(취약점 조치)]]<br />
**[[국가 정보보안 기본지침 제37조|제37조(형상변경 및 용도변경시 조치)]]<br />
**[[국가 정보보안 기본지침 제39조|제39조(이행여부 확인)]]<br />
*'''제3장 정보통신망 및 정보시스템 보안'''<br />
**'''제1절 정보통신망 보안'''<br />
**[[국가 정보보안 기본지침 제40조|제40조(내부망ㆍ인터넷망 분리)]]<br />
**[[국가 정보보안 기본지침 제41조|제41조(클라우드컴퓨팅 보안)]]<br />
**[[국가 정보보안 기본지침 제42조|제42조(보안ㆍ네트워크장비 보안)]]<br />
**[[국가 정보보안 기본지침 제43조|제43조(무선랜 보안)]]<br />
**[[국가 정보보안 기본지침 제44조|제44조(이통통신망 보안)]]<br />
**[[국가 정보보안 기본지침 제45조|제45조(영상회의 보안)]]<br />
**[[국가 정보보안 기본지침 제46조|제46조(인터넷전화 보안)]]<br />
**[[국가 정보보안 기본지침 제47조|제47조(인터넷 사용제한)]]<br />
**[[국가 정보보안 기본지침 제48조|제48조(외교통신 보안)]]<br />
**[[국가 정보보안 기본지침 제48조의2|제48조의2(파견자용 정보통신망)]]<br />
**[[국가 정보보안 기본지침 제49조|제49조(재외사무소 정보보안점검)]]<br />
**'''제2절 정보시스템 보안'''<br />
**[[국가 정보보안 기본지침 제50조|제50조(정보시스템 보안책임)]]<br />
**[[국가 정보보안 기본지침 제51조|제51조(정보시스템 유지보수)]]<br />
**[[국가 정보보안 기본지침 제52조|제52조(지정 단말기를 통한 온라인 유지보수)]]<br />
**[[국가 정보보안 기본지침 제53조|제53조(서버 보안)]]<br />
**[[국가 정보보안 기본지침 제53조의2|제53조의2(제어시스템 보안)]]<br />
**[[국가 정보보안 기본지침 제54조|제54조(공개서버 보안)]]<br />
**[[국가 정보보안 기본지침 제55조|제55조(로그기록 유지)]]<br />
**[[국가 정보보안 기본지침 제56조|제56조(업무용 통신단말기 보안)]]<br />
**[[국가 정보보안 기본지침 제57조|제57조(모바일 업무 보안)]]<br />
**[[국가 정보보안 기본지침 제58조|제58조(사물인터넷 보안)]]<br />
**[[국가 정보보안 기본지침 제59조|제59조(원격근무 보안)]]<br />
**[[국가 정보보안 기본지침 제60조|제60조(국제회의 보안)]]<br />
**[[국가 정보보안 기본지침 제61조|제61조(저장매체 불용처리)]]<br />
**'''제3절 자료 보안'''<br />
**[[국가 정보보안 기본지침 제62조|제62조(비밀의 전자적 처리)]]<br />
**[[국가 정보보안 기본지침 제63조|제63조(비밀관리시스템 운용)]]<br />
**[[국가 정보보안 기본지침 제64조|제64조(비밀의 전자적 처리 규격)]]<br />
**[[국가 정보보안 기본지침 제65조|제65조(대외비의 전자적 처리)]]<br />
**[[국가 정보보안 기본지침 제66조|제66조(비공개 업무자료 처리)]]<br />
**[[국가 정보보안 기본지침 제66조의2|제66조의2(특정 상황별 비공개 업무자료 처리)]]<br />
**[[국가 정보보안 기본지침 제67조|제67조(행정전자서명 인증서 등 관리)]]<br />
**[[국가 정보보안 기본지침 제68조|제68조(비공개 업무자료 유출방지)]]<br />
**[[국가 정보보안 기본지침 제69조|제69조(공개 업무자료 처리)]]<br />
**[[국가 정보보안 기본지침 제70조|제70조(홈페이지 등 게시자료 보안)]]<br />
**[[국가 정보보안 기본지침 제71조|제71조(정보통신망 현황자료 관리)]]<br />
**[[국가 정보보안 기본지침 제72조|제72조(빅데이터 보안)]]<br />
**'''제4절 사용자 보안'''<br />
**[[국가 정보보안 기본지침 제73조|제73조(개별사용자 보안)]]<br />
**[[국가 정보보안 기본지침 제74조|제74조(단말기 보안)]]<br />
**[[국가 정보보안 기본지침 제75조|제75조(계정 관리)]]<br />
**[[국가 정보보안 기본지침 제76조|제76조(비밀번호 관리)]]<br />
**[[국가 정보보안 기본지침 제77조|제77조(전자우편 보안)]]<br />
**[[국가 정보보안 기본지침 제78조|제78조(휴대용 저장매체 보안)]]<br />
**[[국가 정보보안 기본지침 제79조|제79조(비인가 기기 통제)]]<br />
**[[국가 정보보안 기본지침 제80조|제80조(위규자 처리)]]<br />
**'''제5절 주요정보통신기반시설 보호'''<br />
**[[국가 정보보안 기본지침 제81조|제81조(보호대책 수립)]]<br />
**[[국가 정보보안 기본지침 제82조|제82조(지정기준 수립ㆍ지원)]]<br />
**[[국가 정보보안 기본지침 제83조|제83조(지정 및 취소)]]<br />
**[[국가 정보보안 기본지침 제84조|제84조(보호지침 수립ㆍ지원)]]<br />
**[[국가 정보보안 기본지침 제85조|제85조(취약점 분석ㆍ평가 결과물 관리)]]<br />
**[[국가 정보보안 기본지침 제86조|제86조(협의체 구성ㆍ운영)]]<br />
*'''제4장 융합 보안'''<br />
**'''제1절 정보통신시설 및 기기 보호'''<br />
**[[국가 정보보안 기본지침 제87조|제87조(정보통신시설 보호대책)]]<br />
**[[국가 정보보안 기본지침 제88조|제88조(정보통신시설 출입관리)]]<br />
**[[국가 정보보안 기본지침 제89조|제89조(영상정보처리기기 보안)]]<br />
**[[국가 정보보안 기본지침 제90조|제90조(RFID 보안)]]<br />
**[[국가 정보보안 기본지침 제91조|제91조(디지털복합기 보안)]]<br />
**[[국가 정보보안 기본지침 제92조|제92조(재난 방지대책)]]<br />
**'''제2절 전자파 보안'''<br />
**[[국가 정보보안 기본지침 제93조|제93조(대도청 측정)]]<br />
**[[국가 정보보안 기본지침 제94조|제94조(무선통신망 보안)]]<br />
**[[국가 정보보안 기본지침 제95조|제95조(고출력 전자파 보안)]]<br />
*'''제5장 훈련 및 평가'''<br />
**'''제1절 훈련 및 진단'''<br />
**[[국가 정보보안 기본지침 제96조|제96조(사이버공격 대응훈련)]]<br />
**[[국가 정보보안 기본지침 제97조|제97조(정보통신망 보안진단)]]<br />
**[[국가 정보보안 기본지침 제97조의2|제97조의2(제어시스템 운용전 점검)]]<br />
**'''제2절 정보보안 관리실태 평가'''<br />
**[[국가 정보보안 기본지침 제98조|제98조(평가 실시)]]<br />
**[[국가 정보보안 기본지침 제99조|제99조(자체 평가)]]<br />
**[[국가 정보보안 기본지침 제100조|제100조(현장 실사)]]<br />
**[[국가 정보보안 기본지침 제101조|제101조(평가결과 통보)]]<br />
*'''제6장 암호자재 및 암호알고리즘'''<br />
**'''제1절 기본사항'''<br />
**[[국가 정보보안 기본지침 제102조|제102조(사용 원칙)]]<br />
**[[국가 정보보안 기본지침 제103조|제103조(취급인가자 지정)]]<br />
**[[국가 정보보안 기본지침 제104조|제104조(정ㆍ부 책임자 운영)]]<br />
**[[국가 정보보안 기본지침 제105조|제105조(암호자재 설치ㆍ운영 장소)]]<br />
**[[국가 정보보안 기본지침 제106조|제106조(암호실 관리)]]<br />
**[[국가 정보보안 기본지침 제107조|제107조(암호문 관리)]]<br />
**[[국가 정보보안 기본지침 제108조|제108조(제공 및 반출)]]<br />
**[[국가 정보보안 기본지침 제109조|제109조(관련사항 공개 및 토의)]]<br />
**[[국가 정보보안 기본지침 제110조|제110조(관련문서 생산ㆍ제출)]]<br />
**[[국가 정보보안 기본지침 제110조의2|제110조의2(국방부 관련사항의 위탁)]]<br />
**'''제2절 개발 및 제작'''<br />
**[[국가 정보보안 기본지침 제111조|제111조(개발 및 제작)]]<br />
**[[국가 정보보안 기본지침 제112조|제112조(소통 및 관리 등급)]]<br />
**'''제3절 지원요청 및 사용승인'''<br />
**[[국가 정보보안 기본지침 제113조|제113조(암호자재 지원 요청)]]<br />
**[[국가 정보보안 기본지침 제114조|제114조(암호장비 사용 승인)]]<br />
**[[국가 정보보안 기본지침 제115조|제115조(검사)]]<br />
**[[국가 정보보안 기본지침 제116조|제116조(외국산 암호자재ㆍ장비 사용)]]<br />
**[[국가 정보보안 기본지침 제117조|제117조(목적 외 사용금지)]]<br />
**'''제4절 운용 및 관리'''<br />
**[[국가 정보보안 기본지침 제118조|제118조(운용 및 관리)]]<br />
**[[국가 정보보안 기본지침 제119조|제119조(기록부 등의 전자적 관리)]]<br />
**[[국가 정보보안 기본지침 제120조|제120조(배부ㆍ반납 및 운반)]]<br />
**[[국가 정보보안 기본지침 제121조|제121조(변경 사용)]]<br />
**[[국가 정보보안 기본지침 제122조|제122조(인계인수)]]<br />
**[[국가 정보보안 기본지침 제123조|제123조(운용현황 통보)]]<br />
**[[국가 정보보안 기본지침 제124조|제124조(운용관리실태 점검)]]<br />
**[[국가 정보보안 기본지침 제125조|제125조(사고발생시 조치)]]<br />
**'''제5절 정비 및 파기'''<br />
**[[국가 정보보안 기본지침 제126조|제126조(정비)]]<br />
**[[국가 정보보안 기본지침 제127조|제127조(파기)]]<br />
**'''제6절 암호알고리즘'''<br />
**[[국가 정보보안 기본지침 제128조|제128조(개발 및 지원요청)]]<br />
**[[국가 정보보안 기본지침 제129조|제129조(적용 및 운용)]]<br />
**[[국가 정보보안 기본지침 제130조|제130조(반납 및 파기)]]<br />
*제7장 사이버위협 탐지 및 대응<br />
**'''제1절 보안관제'''<br />
**[[국가 정보보안 기본지침 제131조|제131조(보안관제센터 설치ㆍ운영)]]<br />
**[[국가 정보보안 기본지침 제132조|제132조(보안관제 인원)]]<br />
**[[국가 정보보안 기본지침 제133조|제133조(탐지규칙정보 개발 및 배포)]]<br />
**[[국가 정보보안 기본지침 제134조|제134조(공격정보 탐지ㆍ처리)]]<br />
**[[국가 정보보안 기본지침 제135조|제135조(초동 조치)]]<br />
**[[국가 정보보안 기본지침 제136조|제136조(조치결과 통보)]]<br />
**[[국가 정보보안 기본지침 제136조의2|제136조의2(사이버공격 탐지ㆍ대응조치 이행여부 확인)]]<br />
**[[국가 정보보안 기본지침 제137조|제137조(운영현황 통보)]]<br />
**[[국가 정보보안 기본지침 제138조|제138조(직원 교육)]]<br />
**[[국가 정보보안 기본지침 제139조|제139조(협의회 구성ㆍ운영)]]<br />
**'''제2절 사고 대응'''<br />
**[[국가 정보보안 기본지침 제140조|제140조(사이버공격으로 인한 사고)]]<br />
**[[국가 정보보안 기본지침 제141조|제141조(정보통신보안 규정 위반 및 자료유출 사고)]]<br />
**[[국가 정보보안 기본지침 제142조|제142조(재발방지 조치)]]<br />
**[[국가 정보보안 기본지침 제143조|제143조(군기관에 대한 특례)]]<br />
*'''제8장 정보 협력'''<br />
**[[국가 정보보안 기본지침 제144조|제144조(정보협조 요청)]]<br />
**[[국가 정보보안 기본지침 제145조|제145조(기관간 정보공유 협력)]]<br />
**[[국가 정보보안 기본지침 제146조|제146조(정보공유시스템 운영)]]<br />
**[[국가 정보보안 기본지침 제147조|제147조(정보공유시스템의 정보 관리)]]<br />
**[[국가 정보보안 기본지침 제148조|제148조(협의회 구성ㆍ운영)]]<br />
*'''제9장 보칙'''<br />
**[[국가 정보보안 기본지침 제149조|제149조(협의회 등)]]<br />
**[[국가 정보보안 기본지침 제150조|제150조(각급기관 이외 단체에 대한 관리ㆍ감독)]]<br />
**[[국가 정보보안 기본지침 제150조의2|제150조의2(서약서 징구시 고지 사항)]]<br />
**[[국가 정보보안 기본지침 제151조|제151조(재검토 기한)]]<br />
*'''부칙'''<br />
*'''별표'''<br />
**[별표 1] ‘안전성 검증필 제품 목록’ 등재 기본요건<br />
**[별표 2] ‘암호가 주기능인 제품’ 도입요건<br />
**[별표 3] 보안적합성 검증 신청시 제출물<br />
*'''서식'''<br />
**[서식 제1호] 보안적합성 검증 신청서<br />
**[서식 제3호] 정보통신제품 도입 확인서(현황)<br />
**[서식 제4호] 정보시스템 관리대장<br />
**[서식 제5호] 전파측정 결과보고서<br />
**[서식 제6호] 암호실 및 암호취급자 현황<br />
**[서식 제7호] 서약서<br />
**[서식 제8호] 암호자재 신청서<br />
**[서식 제9호] 지편자재 사용기록부<br />
**[서식 제10호] 암호자재 운용관리 현황<br />
**[서식 제11호] 암호실 출입자 기록부<br />
**[서식 제12호] 보안관제센터 운영현황</div>보안기사https://itwiki.kr/index.php?title=%EB%B3%B4%EC%95%88%EC%9D%98_3%EC%9A%94%EC%86%8C&diff=27481보안의 3요소2022-01-04T07:03:43Z<p>보안기사: 새 문서: 보안에서 가장 기본적인 목표가 되는 기밀성, 무결성, 가용성을 이르는 말 * 앞 글자를 따서 국내에서는 기.무.가, 해외에서는 C.I.A.라고...</p>
<hr />
<div>보안에서 가장 기본적인 목표가 되는 기밀성, 무결성, 가용성을 이르는 말<br />
<br />
* 앞 글자를 따서 국내에서는 기.무.가, 해외에서는 C.I.A.라고 부르기도 한다.<br />
<br />
== 구성 ==<br />
<br />
* '''기밀성(Confidentiality)'''<br />
** 데이터가 인가되지 않은 사람에게 새어나가지 않는 것이다.<br />
** 기밀성을 해치기 위한 공격: 스누핑(Snooping)과 트래픽 분석(Traffic Analysis) 등<br />
* '''무결성(Integrity)'''<br />
** 데이터가 변조되지 않는 것<br />
** 무결성을 해치기 위한 공격: 변경(Modification), 가장(Masquerading), 재연(Replaying), 부인(Repudiation) 등<br />
* '''가용성(Availability)'''<br />
** 기밀성과 무결성을 보장하면서 허용된 사람들이 데이터를 이용 할 수 있도록 하는 것<br />
** 가용성을 해치기 위한 공격: 서비스 거부(Denial of Service), EMP공격, 물리적 파괴 등<br />
<br />
== 수준 ==<br />
미국의 정부 공식문서는 [[FIPS 199]]에선 기밀성, 무결성, 가용성의 수준을 3단계로 구분하는 기준을 제시한 바 있다.<br />
{| class="wikitable"<br />
!구분<br />
!낮음(Low)<br />
!중간(Moderate)<br />
!높음(High)<br />
|-<br />
|기밀성<br />
|The unauthorized disclosure of information could be expected to have a '''limited''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The unauthorized disclosure of information could be expected to have a '''serious''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The unauthorized disclosure of information could be expected to have a '''severe or catastrophic''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|-<br />
|무결성<br />
|The unauthorized modification or destruction of information could be expected to have a '''limited''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The unauthorized modification or destruction of information could be expected to have a '''serious''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The unauthorized modification or destruction of information could be expected to have a '''severe or catastrophic''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|-<br />
|가용성<br />
|The disruption of access to or use of information or an information system could be expected to have a '''limited''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The disruption of access to or use of information or an information system could be expected to have a '''serious''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|The disruption of access to or use of information or an information system could be expected to have a '''severe or catastrophic''' adverse effect on organizational operations, organizational assets, or individuals.<br />
|}<br />
<br />
== 역사 ==<br />
보안에서 기밀성, 무결성, 가용성이 대표적인 3요소가 된 정확한 시발점은 없다. 대체로 기밀성, 무결성, 가용성 순서대로 개념이 언급된 것으로 보고 있다.<br />
<br />
* '''기밀성'''은 1976년 미공군의 보안 연구에서 보안의 기본 개념으로 제시<br />
** 미 국방성이 1983년 개발한 보안 바이블인 [[TCSEC]](일명 오렌지북)에서도 기밀성 위주의 보안관리 방안을 가이드<br />
* '''무결성'''은 1987년 David Clark 와 David Wilson가 쓴 "A Comparison of Commercial and Military Computer Security Policies"라는 논문에서 등장<br />
* '''가용성'''은 가장 역사가 뚜렷하지 않지만 약 1988년 이후부터 흔하게 언급되기 시작함<br />
** TCSEC과 비교되는 유럽의 보안 기준인 [[ITSEC]]은 기밀성, 무결성, 가용성 3가지를 모두 다루고 있음<br />
* '''[[CIA 삼각형]]''' 또한 1990년대부터 사용되기 시작하였으나 그 기원은 뚜렷하지 않고 보안의 3요소가 자리잡기 시작한 이후 3요소라는 특성에 맞추어 자연스럽게 등장한 것으로 추정<br />
<br />
[[파일:CIA삼각형.png]]<br />
<br />
== 같이 보기 ==<br />
<br />
* [[보안]]<br />
* [[CIA]]<br />
* [[FIPS 199]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27425개인정보 유출 사고2021-11-17T04:02:51Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골드스푼 해킹 사고|골드스푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<ref>회사측에서 최근 발생한 AWS 공격으로 '숙박/여행 플랫폼', '명품쇼핑 플랫폼', 대'형 인테리어 앱' 등과 함께 해킹을 당했다고 공지</ref><br />
*'''2021-11-4 [https://www.ytn.co.kr/_ln/0115_202111161440441866 개인정보위가 개인정보 유출..."사고 조사해 개선책 마련"]'''<br />
**분쟁조정 신청인 중 일부인 19명에게 , 신청인 181명의 성명과 생년월일, 주소 등 개인정보 명단을 잘못 송부<br />
**개인정보위 산하 분쟁조정위원회가 조정안을 발송하는 과정에서 피신청인에게 보내야 할 신청인 명단이 잘못 보내진 것<br />
**개인정보보호위원회 윤종인 위원장 사과문(11.16.)<br />
*'''2021-11-8 [http://m.boannews.com/html/detail.html?idx=102227 국내 성문화·성인용품 사이트 해킹 당해 회원 개인정보 유출됐나]'''(유출 정황)<br />
**[[다크웹]] 해킹포럼에 ‘타오러브’의 회원 개인정보를 보유하고 있다는 게시물 등장<br />
**내용에 따르면 해커는 타오러브의 회원 14,123명의 이메일과 비밀번호를 텍스트 형태로 보유하고 있는 것으로 추정<br />
*'''2021-11-9 [https://news.sbs.co.kr/news/endPage.do?news_id=N1006527718 SK 입사지원자 1천600여 명 개인 정보 유출]'''<br />
**1천300여 명의 개인정보는 신고자가 신고 과정에서 확인한 것으로, 외부 유출 없이 삭제 조치됐지만 나머지 300여 명의 개인정보는 외부로 유출<br />
**노출된 개인정보는 이름, 생년월일, 성별, 수험번호, 영역별 결과, 응시일시, 지원회사 등 7개 항목 <br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]<br />
<references /></div>보안기사https://itwiki.kr/index.php?title=%ED%8F%AC%ED%8A%B8%EC%8A%A4%EC%BA%94&diff=27349포트스캔2021-10-22T06:46:21Z<p>보안기사: 포트 스캔 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[포트 스캔]]</div>보안기사https://itwiki.kr/index.php?title=%EC%A0%95%EC%84%B1%EC%A0%81_%EC%9C%84%ED%97%98%EB%B6%84%EC%84%9D&diff=27348정성적 위험분석2021-10-22T06:38:19Z<p>보안기사: 새 문서: 분류:보안 ;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현 * 장점 ** 정보자산에 대한 수치화가 불필요하여...</p>
<hr />
<div>[[분류:보안]]<br />
;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현<br />
* 장점<br />
** 정보자산에 대한 수치화가 불필요하여 계산에 대한 시간과 노력이 적게 든다.<br />
* 단점<br />
** 위험평가 과정과 측정기준이 일관되지 않고 주관적이다.<br />
** 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다.<br />
** 위험관리 성능을 추적할 수 없다.<br />
* '''종류'''<br />
** [[델파이법]] : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음<br />
** [[시나리오법]] : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음<br />
** 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음</div>보안기사https://itwiki.kr/index.php?title=%EC%9C%84%ED%97%98%EB%B6%84%EC%84%9D&diff=27347위험분석2021-10-22T06:38:03Z<p>보안기사: /* 정성적 분석 방법 */</p>
<hr />
<div>[[분류:보안]][[분류:정보보안기사]][[분류:프로젝트 관리]][[분류:경영학]]<br />
;Risk Analysis<br />
;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정<br />
<br />
== 위험분석 접근법 ==<br />
=== 베이스라인 접근법===<br />
; Baseline approach<br />
; 국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리<br />
* 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능 <br />
* 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성<br />
<br />
===비정형 접근법===<br />
; Informal Approach<br />
; 구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행<br />
* 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능<br />
* 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재<br />
<br />
===상세 위험분석===<br />
; Detailed Risk Analysis<br />
; 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가<br />
* 장점 : 조직 내 적절한 보안수준 마련 가능 <br />
* 단점 : 전문적인 지식이 필요하고 시간과 비용을 많이 소모<br />
<br />
===복합 접근법===<br />
; Combined Approach<br />
; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용 <br />
* 장점 : 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능<br />
* 단점 : 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음<br />
<br />
<br />
== 위험 분석 방법론 ==<br />
===[[정량적 위험분석|정량적 분석 방법]]===<br />
;손실액과 같은 숫자값으로 표현<br />
* 객관적인 평가기준이 적용된다.<br />
* 비용과 이익에 대한 평가가 필수적으로 요구된다.<br />
* '''장점'''<br />
** 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다.<br />
* '''단점'''<br />
** 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다.<br />
** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.<br />
* '''종류 및 지표'''<br />
** 민감도 분석, [[금전적 기대값 분석]], [[몬테카를로 시뮬레이션]], [[의사결정 나무|의사결정 나무 분석]], 과거자료 분석법, 수학공식 접근법, 확률분포법 등<br />
** [[정량적 위험분석|정량적 위험분석 문서 보기]]<br />
<br />
===[[정성적 위험분석|정성적 분석 방법]]===<br />
;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현<br />
* 장점<br />
** 정보자산에 대한 수치화가 불필요하여 계산에 대한 시간과 노력이 적게 든다.<br />
* 단점<br />
** 위험평가 과정과 측정기준이 일관되지 않고 주관적이다.<br />
** 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다.<br />
** 위험관리 성능을 추적할 수 없다.<br />
* '''종류'''<br />
** [[델파이법]] : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음<br />
** [[시나리오법]] : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음<br />
** 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음</div>보안기사https://itwiki.kr/index.php?title=FTP&diff=27346FTP2021-10-22T04:10:11Z<p>보안기사: /* 보안 고려사항 */</p>
<hr />
<div>[[분류:네트워크]][[분류:인터넷]][[분류:프로토콜]]<br />
;File Transfer Protocol<br />
파일을 주고 받기 위해 사용되는 대표적인 프로토콜<br />
<br />
* OSI 계층상에서 7Layer(애플리케이션 계층)에 위치한다.<br />
<br />
== 사용 포트 ==<br />
* 제어 포트: 21번<br />
* 데이터 전송용 포트<br />
** 액티브 모드인 경우: 20번<br />
** 패시브 모드인 경우: 1024번 이상의 임의의 포트<br />
<br />
== 두가지 모드 ==<br />
{| class="wikitable"<br />
! Active Mode<br />
! Passive Mode<br />
|-<br />
| [[파일:FTP 액티브 모드.png]]<br />
| [[파일:FTP 패시브 모드.png]]<br />
|}<br />
* 디폴트는 active 모드이며, passive 모드로의 변경은 FTP 클라이언트가 결정한다.<br />
<br />
== [[FTP 명령어]] ==<br />
* ABOR : 현재 전송 중인 파일 전송 중단<br />
* CWD : 작업 디렉터리 변경<br />
* DELE : 원격지 파일 삭제<br />
* LIST : 원격지 파일 목록<br />
* MDTM : 파일의 수정 시간 확인<br />
* MKD : 원격 디렉토리 생성<br />
* MODE : 전송 모드 변경<br />
* NLST : 원격 디렉터리 목록<br />
* PASV : Passive모드로 변환<br />
* PORT : data 포트 열기<br />
* PWD : 작업 디렉토리 표시<br />
* QUIT : 연결 종료<br />
* RETR : 원격지 파일 가져오기<br />
* RMD : 원격지 디렉터리 제거<br />
* SIZE : 파일 사이즈 리턴<br />
* STOR : 원격지 파일 저장<br />
* USER : 사용자명 전송<br />
<br />
== [[리눅스 xferlog|FTP 전송 로그]] ==<br />
<br />
== 보안 고려사항 ==<br />
* [[FTP 바운스 공격|바운스 공격]]<br />
* [[익명 FTP]]<br />
<br />
== [[TFTP]] ==<br />
자체 디스크가 없는 OS에서 부팅에 필요한 데이터를 가져오기 위한 간소화된 FTP</div>보안기사https://itwiki.kr/index.php?title=%EC%A0%84%EC%9E%90%EB%AC%B8%EC%84%9C&diff=27345전자문서2021-10-22T04:08:45Z<p>보안기사: </p>
<hr />
<div>[[분류:디지털 서비스]]<br />
전자문서는 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장된 문서 형식의 자료로서 표준화된 것을 말한다.<br />
<br />
== 전자서명법상 전자문서 ==<br />
* [[전자서명]]이 포함된 전자문서로, 사용자의 인증서로 증명 가능<br />
<br />
== 전자문서 컨텐츠 ==<br />
* eBook 등 컴퓨터 파일 또는 디지털 디바이스로 서비스되는 문서 컨텐츠<br />
* 태블릿에 표출된 문서에 터치 또는 태블릿 전용 팬으로 서명하는 형태의 장비 및 장비로 표출하는 컨텐츠<br />
** 주로 은행, 통신사 대리점 등에서 사용</div>보안기사https://itwiki.kr/index.php?title=%EB%B3%B4%EC%95%88_%EA%B3%B5%EA%B2%A9&diff=27344보안 공격2021-10-22T04:03:43Z<p>보안기사: /* 방식에 따른 분류 */</p>
<hr />
<div>[[분류:보안]][[분류:정보보안기사]]<br />
;Security Attack; Hacking; Cracking<br />
; 인가되지 않은 사람이 자신이 접근할 수 없는 정보에 접근하여 불법적으로 정보를 탈취, 생성, 변경, 삭제하는 행위<br />
<br />
== 목표에 따른 분류 ==<br />
=== 기밀성 ===<br />
* 스누핑(Snooping)<br />
* 트래픽 분석(Traffic Analysis)<br />
<br />
=== 무결성 ===<br />
* 변경(Modification)<br />
* 가장(Masquerading)<br />
* 재연(Replying)<br />
* 부인(Repudiation)<br />
<br />
=== 가용성 ===<br />
* 서비스 거부(Denial of Service)<br />
<br />
== 방식에 따른 분류 ==<br />
=== 소극적 공격(Passive Attack) ===<br />
; aka. 수동적 공격<br />
* 스누핑과 같이 시스템에 영향을 미치지 않는 데이터의 탈취, 분석 등 <br />
* 주로 기밀성을 위협하는 공격들<br />
<br />
=== 적극적 공격(Active Attack) ===<br />
; aka. 능동적 공격<br />
* 직접적으로 시스템에 영향을 미치는 공격<br />
* 데이터를 변조함으로써 시스템에 영향을 미치는 무결성 공격이나 서비스의 가용성을 위협하는 공격 등</div>보안기사https://itwiki.kr/index.php?title=CCMP&diff=27343CCMP2021-10-22T03:58:17Z<p>보안기사: 새 문서: '''Counter Mode with Cipher Block Chaining Message Authentication Code Protocol, CCMP''' 기밀성과 키 관리 기능, 메시지 무결성 기능을 동시에 수행할 수 있는...</p>
<hr />
<div>'''Counter Mode with Cipher Block Chaining Message Authentication Code Protocol, CCMP'''<br />
<br />
기밀성과 키 관리 기능, 메시지 무결성 기능을 동시에 수행할 수 있는 프로토콜<br />
<br />
* 고급 암호화 표준(AES) 알고리즘을 이용한 블록 암호의 동작 모드<br />
* 무선 랜(WLAN) 보안 표준인 IEEE 802.11i와 WPA에서 공통으로 채택하고 있으며, WPA2에서는 강제 사항으로 규정되어 있고, WPA에서는 선택 사항으로 규정되어 있다.<br />
<br />
[[분류:암호학]]<br />
[[분류:프로토콜]]</div>보안기사https://itwiki.kr/index.php?title=%EC%9E%91%EC%97%85%EC%A6%9D%EB%AA%85&diff=27342작업증명2021-10-21T08:44:31Z<p>보안기사: 작업 증명 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[작업 증명]]</div>보안기사https://itwiki.kr/index.php?title=%EC%B0%A8%EB%B6%84_%EA%B3%B5%EA%B2%A9&diff=27341차분 공격2021-10-21T08:39:01Z<p>보안기사: 새 문서: 분류:보안 공격분류:암호학 ;Differential Cryptanalysis 암호해독(cryptanalysis)의 한 방법으로, 입력값의 변화에 따른 출력값의 변화를 이용...</p>
<hr />
<div>[[분류:보안 공격]][[분류:암호학]]<br />
;Differential Cryptanalysis<br />
암호해독(cryptanalysis)의 한 방법으로, 입력값의 변화에 따른 출력값의 변화를 이용하는 방법</div>보안기사https://itwiki.kr/index.php?title=SHA-512&diff=27340SHA-5122021-10-21T08:31:04Z<p>보안기사: </p>
<hr />
<div>* 최대 크기가 2128비트 이하인 메시지를 입력받아 512비트 메시지 다이제스트를 출력한다.<br />
* 필요한 길이의 패딩과 128비트 블록을 추가하여 처리하려는 메시지의 전체 크기가 1,024비트의 배수가 되게 한다.<br />
* 8개 소수의 제곱근에서 얻은 이진수로 초기화된 512비트 버퍼를 알고리즘의 중간 값과 최종 값을 저장하는 데 사용한다.<br />
<br />
== 같이 보기 ==<br />
<br />
* [[일방향 암호화]]<br />
* [[SHA]]<br />
* [[SHA2]]<br />
* [[해시 암호]]<br />
<br />
== 참고 문헌 ==<br />
* [https://q.fran.kr/%EB%AC%B8%EC%A0%9C/14648 국가공무원 7급 정보보호론 2018년 기출문제]<br />
<br />
[[분류:보안]]<br />
[[분류:암호학]]</div>보안기사https://itwiki.kr/index.php?title=SHA-512&diff=27339SHA-5122021-10-21T08:30:27Z<p>보안기사: 새 문서: * 최대 크기가 2128비트 이하인 메시지를 입력받아 512비트 메시지 다이제스트를 출력한다. * 필요한 길이의 패딩과 128비트 블록을 추가하여...</p>
<hr />
<div>* 최대 크기가 2128비트 이하인 메시지를 입력받아 512비트 메시지 다이제스트를 출력한다.<br />
* 필요한 길이의 패딩과 128비트 블록을 추가하여 처리하려는 메시지의 전체 크기가 1,024비트의 배수가 되게 한다.<br />
* 8개 소수의 제곱근에서 얻은 이진수로 초기화된 512비트 버퍼를 알고리즘의 중간 값과 최종 값을 저장하는 데 사용한다.<br />
<br />
== 같이 보기 ==<br />
<br />
* [[일방향 암호화]]<br />
* [[SHA]]<br />
* [[SHA2]]<br />
* [[해시 암호]]<br />
<br />
[[분류:보안]]<br />
[[분류:암호학]]</div>보안기사https://itwiki.kr/index.php?title=%EB%B0%94%EC%9D%B4%EC%98%A4%EC%9D%B8%EC%A6%9D&diff=27338바이오인증2021-10-21T08:26:43Z<p>보안기사: 바이오 인증 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[바이오 인증]]</div>보안기사https://itwiki.kr/index.php?title=%EB%A6%AC%EB%B2%84%EC%8A%A4_%ED%85%94%EB%84%B7&diff=27337리버스 텔넷2021-10-21T05:46:54Z<p>보안기사: </p>
<hr />
<div>[[분류:보안]][[분류:보안 공격]]<br />
;Reverse Telnet<br />
웹 해킹으로 서버 권한을 획득한 후, 해당 서버에서 공격자의 PC로 연결하고 공격자가 직접 명령을 입력하여 개인정보 전송 등의 악의적인 행위를 하는 공격이다. 이 기법은 방화벽의 내부에서 외부로 나가는 패킷에 대한 아웃바운드 필터링을 수행하지 않는 허점을 이용한다.<br />
<br />
== 대응방안 ==<br />
* 방화벽의 외부로 나가는 정책(아웃 바운드 정책)의 보안 레벨을 높인다.<br />
<br />
== 참고 문헌 ==<br />
* [https://q.fran.kr/%EB%AC%B8%EC%A0%9C/14656 국가공무원 7급 정보보호론 2018년 기출문제]</div>보안기사https://itwiki.kr/index.php?title=%EB%A6%AC%EB%B2%84%EC%8A%A4_%ED%85%94%EB%84%B7&diff=27336리버스 텔넷2021-10-21T05:46:36Z<p>보안기사: </p>
<hr />
<div>[[분류:보안]]<br />
;Reverse Telnet<br />
웹 해킹으로 서버 권한을 획득한 후, 해당 서버에서 공격자의 PC로 연결하고 공격자가 직접 명령을 입력하여 개인정보 전송 등의 악의적인 행위를 하는 공격이다. 이 기법은 방화벽의 내부에서 외부로 나가는 패킷에 대한 아웃바운드 필터링을 수행하지 않는 허점을 이용한다.<br />
<br />
== 대응방안 ==<br />
* 방화벽의 외부로 나가는 정책(아웃 바운드 정책)의 보안 레벨을 높인다.<br />
<br />
== 참고 문헌 ==<br />
* [https://q.fran.kr/%EB%AC%B8%EC%A0%9C/14656 국가공무원 7급 정보보호론 2018년 기출문제]</div>보안기사https://itwiki.kr/index.php?title=Common_Criteria&diff=27209Common Criteria2021-10-15T11:08:07Z<p>보안기사: 정보보호시스템 공통평가기준 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[정보보호시스템 공통평가기준]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27190개인정보 유출 사고2021-10-14T07:01:54Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골드스푼 해킹 사고|골드스푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<ref>회사측에서 최근 발생한 AWS 공격으로 '숙박/여행 플랫폼', '명품쇼핑 플랫폼', 대'형 인테리어 앱' 등과 함께 해킹을 당했다고 공지</ref><br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27189개인정보 유출 사고2021-10-14T07:01:27Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골드스푼 해킹 사고|골드스푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<br />
***회사측에서 최근 발생한 AWS 공격으로 '숙박/여행 플랫폼', '명품쇼핑 플랫폼', 대'형 인테리어 앱' 등과 함께 해킹을 당했다고 공지<br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27188개인정보 유출 사고2021-10-14T07:00:13Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골드스푼 해킹 사고|골드스푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<br />
***공지사항에서 최근 발생한 AWS 보안 사고로 '숙박 서비스' '패션 서비스' 등과 함께 해킹을 당했다고 공지<br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27187개인정보 유출 사고2021-10-14T06:59:29Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골드스푼 해킹 사고|골스드푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<br />
***공지사항에서 최근 발생한 AWS 보안 사고로 '숙박 서비스' '패션 서비스' 등과 함께 해킹을 당했다고 공지<br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C_%EC%82%AC%EA%B3%A0&diff=27186개인정보 유출 사고2021-10-14T06:58:59Z<p>보안기사: </p>
<hr />
<div>==유출사고 사례==<br />
[[분류:보안]]<br />
[[분류:개인정보보호]]<br />
<br />
*'''2019-09-18 [https://www.boannews.com/media/view.asp?idx=83011 에콰도르 전국민 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**에콰도르 전 국민의 DB가 하나도 빠짐없이 저장되어 있었음<br />
**미성년자와 기업들의 상세 정보도 방대해, 장기간 프라이버시 침해 우려됨<br />
<br />
*'''2019-08-20 [https://www.boannews.com/media/view.asp?idx=82301 일본 애니메이션 전문채널 애니맥스 데이터 노출]'''<br />
**개인정보가 포함된 백업 파일이 인터넷 상에 노출<br />
**성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별 유출 가능성<br />
<br />
*'''2019-08-14 [https://www.boannews.com/media/view.asp?idx=82285 바이오인증기기 업체 슈프리마 데이터 노출]'''<br />
**바이오스타2 클라우드 API 기록 23GB, 2780만건이 인터넷 상에 노출<br />
**이용자 이메일, 주소, 권한 등급, 출입 기록 등 포함<br />
**특히 '''암호화되지 않은 바이오정보, 비밀번호''' 포함<br />
<br />
*'''2019-12-20 [https://www.boannews.com/media/view.asp?idx=85333 페이스북 사용자의 전화번호 2억 개 넘게 노출돼]'''<br />
**페이스북 사용자들의 민감한 정보가 노출된 DB 발견<br />
**무려 2억 개가 넘는 개인정보들이 저장되어 있었음<br />
**범죄자들의 스팸 캠페인용 DB로 보임. 현재는 차단된 상태<br />
*'''2021-08-05 [https://www.hankyung.com/economy/article/2021080895541 샤넬코리아, 화장품 멤버십 소비자 개인정보 유출]'''<br />
**개인정보가 저장된 데이터베이스가 해킹 공격을 받아 일부 고객 정보가 유출<br />
**이름, 전화번호, 생일, 화장품 구매 내역, 멤버십에 가입할 당시 제공 동의했다면 주소, 성별, 이메일 포함<br />
**신용카드와 결제 정보, 고객 아이디, 패스워드는 유출되지 않았다고 밝힘<br />
*'''2021-08-12 [https://www.etnews.com/20210812000027 키움예스저축은행, 개인정보 1만건 이상 털렸다]'''<br />
**대출접수 서버가 해킹되면서 개인정보가 대거 유출된 것으로 확인<br />
**DMZ 구간에 설치된 [[침입차단시스템]]이 제대로 작용하지 않은 것으로 확인<br />
**키움예스저축은행은 제휴를 한 금융기관, 핀테크사 등에 7일간 서비스 중단을 통보<br />
*'''2021-09-29 [https://www.hani.co.kr/arti/economy/it/1013210.html#csidxc80d498e85b462aacff5d993c8b6b78 스타일쉐어·야놀자 등 고객 개인정보 유출…과징금 처분]'''<br />
**클라우드에 접근할 수 있는 관리자 아이피(IP·인터넷 프로토콜)를 따로 지정하지 않아 해킹사고 발생<br />
***이메일 피싱 등으로 직원들의 아이디, 비밀번호 등을 취득하여 접속한 것으로 추정<br />
**△스타일쉐어 640만여건 △집꾸미기에서 250만여건 △스퀘어랩 약 42만건 △야놀자 5만2000여건 등 유출<br />
**야놀자 과징금 5690만원·과태료 3000만원, 스타일쉐어에 과징금 9470만원·과태료 1600만원, 집꾸미기에 과징금 2830만원·과태료 2200만, 스퀘어랩에 과징금 540만원·과태료 1500만원<br />
*'''2021-10-12 [[골스드푼 해킹 사고|골스드푼(소개팅 서비스), 개인정보 유출 추정]]'''<br />
**약 10만명 이상의 민감한 신상정보가 보관된 골드스푼이 사이버 테러사실 공지<br />
**ID(이메일), 성명, 생년월일, 전화번호, 앱 내 제출자료 등 유출 정황<br />
**랜섬웨어, 디도스, 해킹 등의 피해가 발생했다 밝혔으며 위 스타일쉐어 등의 해킹 사고와 유사한 사고로 추정<br />
***공지사항에서 최근 발생한 AWS 보안 사고로 '숙박 서비스' '패션 서비스' 등과 함께 해킹을 당했다고 공지<br />
<br />
==유출 관련 사례==<br />
<br />
*'''2021-08-04 [https://www.chosun.com/international/international_general/2021/08/04/TDE4YT6TJBDTBOA7RJVJCHMTYI 화상회의 프로그램 줌(Zoom) 980억 보상안에 합의]'''<br />
**개인 정보 보호 실패 등에 대한 책임으로 소송을 제기한 이용자들에게 8500만달러 지급 합의<br />
**페이스북, 링크드인, 구글 등과 이용 정보를 동의 없이 공유, 줌폭탄(zoombombing) 방치 등으로 집단 소송<br />
**캘리포니아 소비자 프라이버시 보호법(CCPA)을 적용한 소송의 주요한 사례<br />
<br />
==같이 보기==<br />
<br />
*[[개인정보 유출 통지]]</div>보안기사https://itwiki.kr/index.php?title=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EC%9C%A0%EC%B6%9C%EC%82%AC%EA%B3%A0&diff=27185개인정보 유출사고2021-10-14T06:51:48Z<p>보안기사: 개인정보 유출 사고 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[개인정보 유출 사고]]</div>보안기사https://itwiki.kr/index.php?title=HTTPS&diff=27028HTTPS2021-10-12T04:09:30Z<p>보안기사: </p>
<hr />
<div>[[분류:인터넷]]<br />
[[분류:프로토콜]]<br />
[[분류:보안]]<br />
<br />
;[[HTTP]] over Secure Socket Layer, HTTP over TLS(SSL), HTTP Secure<br />
<br />
[[HTTP]]의 취약한 보안성을 보완하기 위해 [[SSL]]을 적용한 보안 HTTP<br />
<br />
*기본 포트: 443<br />
*웹을 이용한 안전한 전자상거래, 개인정보 보호 등을 위해 사용<br />
*보호수준: 웹 브라우저에서의 구현 정확도와 서버 소프트웨어, 지원하는 암호화 알고리즘에 기반<br />
*HTTPS를 사용하는 웹페이지의 URI은 http:// 대신 https:// 로 시작<br />
<br />
==역사==<br />
<br />
*1994년, 넷스케이프에서 개발<br />
*2000년, RFC 2818<nowiki/>에 규정</div>보안기사https://itwiki.kr/index.php?title=NAT&diff=27027NAT2021-10-12T04:07:37Z<p>보안기사: </p>
<hr />
<div>;Network Address Translation<br />
<br />
사설 IP주소를 공인 IP로 변환시켜 사용하는 방식. 보유하고 있는 IP주소가 부족할 경우, 사설 IP 주소를 사용하여 IP주소를 확장하기 위한 방법으로 활용할 수 있으며 내부 네트워크 주소를 드러내지 않아 보안성을 노릴 수 있다.<br />
<br />
== 용도 ==<br />
<br />
* 주소 변환<br />
* 부족한 IP 주소 확장<br />
* 내부 시스템의 네트워크 주소를 노출하지 않는 보안성<br />
<br />
==종류==<br />
===Static NAT===<br />
<br />
*각 내부 IP 주소에 대해 외부 IP주소가 1:1로 각각 대응된다.<br />
*IP 주소 절감 효과는 없다.<br />
<br />
===Dynamic NAT===<br />
<br />
*여러 개의 내부 IP 주소에 대해 여러 개의 외부 IP주소를 동적으로 할당시킨다.<br />
*IP 주소를 절감할 수 있으며 보안 측면에서 장점이 있다.<br />
*외부 IP주소가 모두 사용 중이라 할당 받을 IP가 없을 경우 외부에서의 연결은 제한된다.<br />
<br />
===Port Address Translation : PAT===<br />
<br />
*하나의 외부 IP주소를 다수의 내부 IP 주소가 port번호로 구분하여 사용한다.<br />
*well-known port를 제외하고 랜덤으로 사용한다.<br />
<br />
===Policy NAT===<br />
<br />
*ACL을 이용하여, 출발지와 목적지에 따라 주소를 변환한다.<br />
<br />
===Bypass NAT===<br />
<br />
*NAT에 해당하지 않는 패킷은 그냥 라우팅 한다.<br />
<br />
[[분류:보안]]<br />
[[분류:정보보안기사]]</div>보안기사https://itwiki.kr/index.php?title=%EC%86%8C%EC%8A%A4%EC%BD%94%EB%93%9C_%ED%92%88%EC%A7%88_%EB%B6%84%EC%84%9D&diff=26932소스코드 품질 분석2021-10-07T15:00:55Z<p>보안기사: </p>
<hr />
<div>'''Source Code Quality Analysis; Source Code Quality Assurance; Source Code Quality Metric;'''<br />
<br />
소스 코드의 코딩 스타일, 코드에 설정된 코딩 표준, 코드의 복잡도, 코드에 존재하는 메모리 누수 현상, 스레드 결함 등을 발견하기 위한 과정 <br />
<br />
*정적 분석과 동적 분석으로 구분<br />
<br />
==정적 분석==<br />
<br />
*작성한 소스 코드를 실행하지 않고 코딩 표준이나 코딩 스타일, 결함 등을 확인하는 코드 분석<br />
*비교적 애플리케이션 개발 초기의 결함을 찾는데 사용되고, 개발 완료 시점에서는 개발된 소스 코드의 품질을 검증하는 차원에서 사용<br />
*동적 분석 도구로는 발견하기 어려운 결함을 찾아내고, 소스 코드에서 코딩의 복잡도, 모델 의존성, 불일치성 등을 분석 가능<br />
<br />
====분석 도구====<br />
pmd, cppcheck, SonarQube, checkstyle, ccm, cobertura 등<br />
{| class="wikitable"<br />
!도구<br />
!설명<br />
!지원 환경<br />
|-<br />
!Pmd<br />
|소스 코드에 대한 미사용 변수, 최적화되지 않은 코드 등 결함을 유발할 수 있는 코드를 검사 <br />
|Linux, Windows<br />
|-<br />
!cppcheck<br />
|C/C++ 코드에 대한 메모리 누수, 오버플로우 등 분석<br />
|Windows<br />
|-<br />
!SonarQube<br />
|중복코드, 복잡도, 코딩 설계 등을 분석하는 소스 분석 통합 플랫폼<br />
|Cross-Platform<br />
|-<br />
!checkstyle<br />
|<nowiki>- 자바 코드에 대한 소스 코드 표준을 따르고 있는지 검사</nowiki><br />
<br />
- 다양한 개발 도구에 통합하여 사용 가능<br />
|Cross-Platform<br />
|}<br />
<br />
==동적 분석==<br />
작성한 소스 코드를 실행하여 코드에 존재하는 메모리 누수, 스레드 결함 등을 분석<br />
<br />
====분석 도구====<br />
<br />
*Avalanche<br />
*Valgrind<br />
<br />
== 같이 보기 ==<br />
<br />
* [[소프트웨어 테스트]]<br />
* [[소프트웨어 품질]]<br />
* [[소프트웨어 품질 평가]]<br />
* [[정적 테스트]]<br />
<br />
==참고 문헌==<br />
<br />
*블로그 https://inreve.tistory.com/20</div>보안기사https://itwiki.kr/index.php?title=%EC%86%8C%EC%8A%A4%EC%BD%94%EB%93%9C_%ED%92%88%EC%A7%88_%EB%B6%84%EC%84%9D&diff=26931소스코드 품질 분석2021-10-07T15:00:09Z<p>보안기사: 새 문서: '''Source Code Quality Analysis; Source Code Quality Assurance; Source Code Quality Metric;''' 소스 코드의 코딩 스타일, 코드에 설정된 코딩 표준, 코드의 복잡...</p>
<hr />
<div>'''Source Code Quality Analysis; Source Code Quality Assurance; Source Code Quality Metric;'''<br />
<br />
소스 코드의 코딩 스타일, 코드에 설정된 코딩 표준, 코드의 복잡도, 코드에 존재하는 메모리 누수 현상, 스레드 결함 등을 발견하기 위한 과정 <br />
<br />
* 정적 분석과 동적 분석으로 구분<br />
<br />
== 정적 분석 ==<br />
<br />
* 작성한 소스 코드를 실행하지 않고 코딩 표준이나 코딩 스타일, 결함 등을 확인하는 코드 분석<br />
* 비교적 애플리케이션 개발 초기의 결함을 찾는데 사용되고, 개발 완료 시점에서는 개발된 소스 코드의 품질을 검증하는 차원에서 사용<br />
* 동적 분석 도구로는 발견하기 어려운 결함을 찾아내고, 소스 코드에서 코딩의 복잡도, 모델 의존성, 불일치성 등을 분석 가능<br />
<br />
==== 분석 도구 ====<br />
pmd, cppcheck, SonarQube, checkstyle, ccm, cobertura 등<br />
{| class="wikitable"<br />
!도구<br />
!설명<br />
!지원 환경<br />
|-<br />
!Pmd<br />
|소스 코드에 대한 미사용 변수, 최적화되지 않은 코드 등 결함을 유발할 수 있는 코드를 검사 <br />
|Linux, Windows<br />
|-<br />
!cppcheck<br />
|C/C++ 코드에 대한 메모리 누수, 오버플로우 등 분석<br />
|Windows<br />
|-<br />
!SonarQube<br />
|중복코드, 복잡도, 코딩 설계 등을 분석하는 소스 분석 통합 플랫폼<br />
|Cross-Platform<br />
|-<br />
!checkstyle<br />
|<nowiki>- 자바 코드에 대한 소스 코드 표준을 따르고 있는지 검사</nowiki><br />
<br />
- 다양한 개발 도구에 통합하여 사용 가능<br />
|Cross-Platform<br />
|}<br />
<br />
== 동적 분석 ==<br />
작성한 소스 코드를 실행하여 코드에 존재하는 메모리 누수, 스레드 결함 등을 분석<br />
<br />
==== 분석 도구 ====<br />
<br />
* Avalanche<br />
* Valgrind<br />
<br />
== 참고 문헌 ==<br />
<br />
* 블로그 https://inreve.tistory.com/20</div>보안기사https://itwiki.kr/index.php?title=%EC%9C%84%ED%82%A4/%ED%95%84%EC%9A%94_%EB%AC%B8%EC%84%9C&diff=26917위키/필요 문서2021-10-05T08:24:09Z<p>보안기사: </p>
<hr />
<div>*[[정보 이론]]<br />
*[[스토리지]]<br />
*클라우드 컴퓨팅 세부 구분<br />
**[[IaaS]]<br />
**[[PaaS]]<br />
**[[IaaS]]<br />
*[[드론]]<br />
*[[은행원 알고리즘]]<br />
*[[술어 논리]]<br />
*[[파이썬]]<br />
*소프트웨어 공학<br />
**[[클래스 다이어그램]]<br />
**[[유스케이스 다이어그램]]<br />
*운영체제<br />
**[[MBR]]<br />
**[[SELinux]]<br />
*보안<br />
**[[ACL]]<br />
*공개 소프트웨어 라이선스<br />
**[[GPL]]<br />
**[[MIT 라이선스]]<br />
**[[BDS 라이선스]]<br />
**등<br />
*IT 관련 공공기관<ref>일부는 문서는 등록되어 있으나 빈 문서이거나 쪽글인 경우가 많음</ref><br />
**[[한국인터넷진흥원]]<br />
**[[한국지능정보사회진흥원]]<br />
**[[정보통신산업진흥원]]<br />
**[[정보통신기획평가원]]<br />
**[[한국데이터산업진흥원]]<br />
*중앙행정부터(IT 관련 정책 중심으로)<br />
**[[과학기술정보통신부]]<br />
**[[행정안전부]]<br />
**[[중소기업벤처부]]<br />
**[[보건복지부]]<br />
**[[금융위원회]]<br />
<br />
== 각주 ==<br />
<references /></div>보안기사https://itwiki.kr/index.php?title=%EC%9C%88%EB%8F%84%EC%9A%B0_%EA%B8%B0%EB%B3%B8_%ED%94%84%EB%A1%9C%EC%84%B8%EC%8A%A4&diff=26916윈도우 기본 프로세스2021-10-05T08:13:49Z<p>보안기사: 새 문서: ==== Csrss.exe ==== * 작업 관리자에서 이 프로세스를 끝낼 수 없습니다. * 이 프로세스는 Win32 하위 시스템의 사용자 모드 부분입니다(Win32.sys...</p>
<hr />
<div>==== Csrss.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이 프로세스는 Win32 하위 시스템의 사용자 모드 부분입니다(Win32.sys는 커널 모드 부분임).<br />
* Csrss는 클라이언트/서버 런타임 하위 시스템(Client/Server Run-time Subsystem)을 나타내며 항상 실행되어야 하는 필수적인 하위 시스템입니다.<br />
* Csrss는 콘솔 창, 스레드 생성과 삭제 및 16비트 가상 MS-DOS 환경의 일부를 담당합니다.<br />
<br />
==== Explorer.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 있습니다.<br />
* 이 프로세스는 친숙한 작업 표시줄, 바탕 화면 등으로 표시되는 사용자 셸입니다.<br />
* 이 프로세스는 생각하는 것만큼 Windows를 실행하는 데 필수적이지는 않으며 대개 시스템에 부정적인 영향을 미치지 않고 작업 관리자에서 중지하고 다시 시작할 수 있습니다.<br />
<br />
==== Internat.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 있습니다.<br />
* Internat.exe는 시동 시에 실행되어 사용자가 지정한 다양한 입력 로케일을 로드합니다.<br />
* 다음 레지스트리 키에서 현재 사용자에 대해 로드할 로케일을 가져옵니다.<br />
* HKEY_CURRENT_USER\Keyboard Layout\Preload Internat.exe는 시스템 트레이로 "EN" 아이콘을 로드하여 사용자가 로케일을 쉽게 전환할 수 있도록 합니다.<br />
* 이 아이콘은 프로세스가 중지되면 사라지지만 제어판을 통해 로케일을 변경할 수 있습니다.<br />
* 참고 "시스템"에 대한 로케일이 다음에서 로드됩니다. HKEY_USERS\.DEFAULT\Keyboard Layout\Preload<br />
* 이러한 로케일은 로그온한 사용자가 없는 경우(예: 로그온 프롬프트에서)나 로컬 시스템 계정에서 실행 중인 시스템 서비스에서 사용됩니다.<br />
<br />
==== Lsass.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 로컬 보안 인증 서버인 이 프로세스는 Winlogon 서비스에 대해 사용자를 인증하는 프로세스를 생성합니다.<br />
* 이 프로세스는 기본 Msgina.dll 같은 인증 패키지를 사용하여 수행됩니다.<br />
* 인증에 성공하면 Lsass는 초기 셸을 시작하는 데 사용되는 사용자의 액세스 토큰을 생성합니다.<br />
* 사용자가 시작하는 다른 프로세스는 이 토큰을 상속합니다.<br />
<br />
==== Mstask.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이 프로세스는 사용자가 미리 정한 시간에 작업을 실행하는 일을 담당하는 작업 스케줄러 서비스입니다.<br />
<br />
==== Smss.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이것은 사용자 세션의 시작을 담당하는 세션 관리자 하위 시스템입니다.<br />
* 이 프로세스는 시스템 스레드에서 시작되며 Winlogon 및 Win32(Csrss.exe) 프로세스의 시작과 시스템 변수 설정을 비롯한 다양한 작업을 수행합니다.<br />
* Smss.exe는 이러한 프로세스를 시작한 후 Winlogon이나 Csrss가 끝나기를 기다립니다.<br />
* 이것이 "정상적으로" 이루어지면 시스템이 종료되지만 예기치 않은 동작이 일어나면 Smss.exe는 시스템이 응답을 중지하도록 합니다.<br />
<br />
==== Spoolsv.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이 스풀러 서비스는 스풀링된 인쇄/팩스 작업 관리를 담당합니다.<br />
<br />
==== Svchost.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이것은 DLL에서 실행되는 다른 프로세스의 호스트 역할을 하는 일반 프로세스이므로 이 프로세스 항목은 둘 이상 표시될 수 있습니다.<br />
* Svchost.exe를 사용 중인 프로세스를 확인하려면 Windows 2000 CD-ROM에서 Tlist.exe를 사용하십시오.<br />
** 명령줄 프롬프트에서의 구문은 tlist -s입니다.<br />
<br />
==== Services.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이 프로세스는 시스템 서비스의 시작, 중지 및 시스템 서비스와의 상호 작용을 담당하는 서비스 제어 관리자입니다.<br />
<br />
==== System ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 대부분의 시스템 커널 모드 스레드가 System 프로세스로 실행됩니다.<br />
<br />
==== System Idle Process ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이 프로세스는 각 프로세서에서 실행되는 단일 스레드로 시스템이 다른 스레드를 처리하지 않을 때의 프로세서 시간을 나타내는 일만 합니다.<br />
* 일반적으로 작업 관리자에서 이 프로세스가 프로세서 시간의 대부분을 차지합니다.<br />
<br />
==== Taskmgr.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 있습니다.<br />
* 이것은 작업 관리자 자체에 대한 프로세스입니다.<br />
<br />
==== Winlogon.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* 이것은 사용자 로그온과 로그오프를 관리하는 프로세스입니다.<br />
* Winlogon은 사용자가 Ctrl+Alt+Del을 누를 때만 활성화되어 보안 대화 상자를 표시합니다.<br />
<br />
==== Winmgmt.exe ====<br />
<br />
* 작업 관리자에서 이 프로세스를 끝낼 수 없습니다.<br />
* Winmgmt.exe는 Windows 2000에서 클라이언트 관리의 핵심 구성 요소입니다.<br />
* 이 프로세스는 첫 번째 클라이언트 응용 프로그램이 연결되거나 관리 응용 프로그램이 서비스를 요청할 때 지속적으로 초기화합니다.</div>보안기사https://itwiki.kr/index.php?title=OWASP_Top_10(2021)&diff=26915OWASP Top 10(2021)2021-10-05T08:04:59Z<p>보안기사: 새 문서: == 개요 == == 2017대비 변화 == == 항목별 설명 == === '''접근 권한 취약점''' === '''A01 : Broken Access Control''' 엑세스 제어는 사용자가 권한을 벗...</p>
<hr />
<div>== 개요 ==<br />
<br />
== 2017대비 변화 ==<br />
<br />
== 항목별 설명 ==<br />
<br />
=== '''접근 권한 취약점''' ===<br />
'''A01 : Broken Access Control'''<br />
<br />
엑세스 제어는 사용자가 권한을 벗어나 행동할 수 없도록 정책을 시행합니다. 만약 엑세스 제어가 취약하면 사용자는 주어진 권한을 벗어나 모든 데이터를 무단으로 열람, 수정 혹은 삭제 등의 행위로 이어질 수 있습니다. <br />
<br />
=== '''암호화 오류''' ===<br />
'''A02 : Cryptographic Failures'''<br />
<br />
Sensitive Data Exposure(민감 데이터 노출)의 명칭이 2021년 Cryptographic Failures(암호화 오류)로 변경되었습니다. 적절한 암호화가 이루어지지 않으면 민감 데이터가 노출될 수 있습니다. <br />
<br />
=== '''인젝션''' ===<br />
'''A03: Injection'''<br />
<br />
SQL, NoSQL, OS 명령, ORM(Object Relational Mapping), LDAP, EL(Expression Language) 또는 OGNL(Object Graph Navigation Library) 인젝션 취약점은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분으로써, 인터프리터로 보내질 때 취약점이 발생합니다. <br />
<br />
=== '''안전하지 않은 설계''' ===<br />
'''A04: Insecure Design'''<br />
<br />
Insecure Design(안전하지 않은 설계)는 누락되거나 비효율적인 제어 설계로 표현되는 다양한 취약점을 나타내는 카테고리 입니다. 안전하지 않은 설계와 안전하지 않은 구현에는 차이가 있지만, 안전하지 않은 설계에서 취약점으로 이어지는 구현 결함이 있을 수 있습니다. <br />
<br />
=== '''보안설정오류''' ===<br />
'''A05: Security Misconfiguration'''<br />
<br />
애플리케이션 스택의 적절한 보안 강화가 누락되었거나 클라우드 서비스에 대한 권한이 적절하지 않게 구성되었을 때, 불필요한 기능이 활성화 되거나 설치되었을 때, 기본계정 및 암호화가 변경되지 않았을 때, 지나치게 상세한 오류 메세지를 노출할 때, 최신 보안기능이 비활성화 되거나 안전하지 않게 구성되었을 때 발생합니다. <br />
<br />
=== '''취약하고 오래된 요소''' ===<br />
'''A06: Vulnerable and Outdated Components'''<br />
<br />
취약하고 오래된 요소는 지원이 종료되었거나 오래된 버전을 사용할 때 발생합니다. 이는 애플리케이션 뿐만 아니라, DBMS, API 및 모든 구성요소 들이 포함됩니다. <br />
<br />
=== '''식별 및 인증 오류''' ===<br />
'''A07: Identification and Authentication Failures'''<br />
<br />
Broken Authentication(취약한 인증)으로 알려졌던 해당 취약점은 identification failures(식별 실패)까지 포함하여 더 넓은 범위를 포함할 수 있도록 변경되었습니다. 사용자의 신원확인, 인증 및 세션관리가 적절히 되지 않을 때 취약점이 발생할 수 있습니다. <br />
<br />
=== '''소프트웨어 및 데이터 무결성 오류''' ===<br />
'''A08: Software and Data Integrity Failures'''<br />
<br />
2021년 새로 등장한 카테고리로 무결성을 확인하지 않고 소프트웨어 업데이트, 중요 데이터 및 CI/CD 파이프라인과 관련된 가정을 하는데 중점을 둡니다. <br />
<br />
=== '''보안 로깅 및 모니터링 실패''' ===<br />
'''A09: Security Logging and Monitoring Failures'''<br />
<br />
Insufficient Logging & Monitoring(불충분한 로깅 및 모니터링) 명칭이었던 카테고리가 Security Logging and Monitoring Failures (보안 로깅 및 모니터링 실패)로 변경되었습니다. 로깅 및 모니터링 없이는 공격활동을 인지할 수 없습니다. 이 카테고리는 진행중인 공격을 감지 및 대응하는데 도움이 됩니다. <br />
<br />
=== '''서버 측 요청 위조''' ===<br />
'''A10: Server-Side Request Forgery'''<br />
<br />
2021년 새롭게 등장하였습니다. SSRF 결함은 웹 애플리케이션이 사용자가 제공한 URL의 유효성을 검사하지 않고 원격 리소스를 가져올 때마다 발생합니다. 이를 통해 공격자는 방화벽, VPN 또는 다른 유형의 네트워크 ACL(액세스 제어 목록)에 의해 보호되는 경우에도 응용 프로그램이 조작된 요청을 예기치 않은 대상으로 보내도록 강제할 수 있습니다.<br />
<br />
== 참고 문헌 ==<br />
<br />
* [https://blog.alyac.co.kr/4135 이스트시큐리티 알약 블로그]</div>보안기사https://itwiki.kr/index.php?title=OWASP_Top_10(2017)&diff=26914OWASP Top 10(2017)2021-10-05T07:58:27Z<p>보안기사: 새 문서: ;Open Web Application Security Project(OWASP) 에서 2017년에 발표한 웹 취약점 Top 10 ==2013 대비 2017 변화== {| class="wikitable" ! colspan="3" style="text-al...</p>
<hr />
<div>;[[OWASP|Open Web Application Security Project(OWASP)]] 에서 2017년에 발표한 웹 취약점 Top 10<br />
<br />
==2013 대비 2017 변화==<br />
{| class="wikitable"<br />
! colspan="3" style="text-align: center;" |OWASP Top 10 - 2013<br />
! colspan="3" style="text-align: center;" |OWASP Top 10 - 2017<br />
|-<br />
!No<br />
!취약점<br />
!비고<br />
!No<br />
!취약점<br />
!비고<br />
|-<br />
|1<br />
|인젝션<br />
|<br />
|1<br />
|인젝션<br />
|<br />
|-<br />
|2<br />
|취약한 인증과 세션 관리<br />
|<br />
|2<br />
|취약한 인증<br />
|<br />
|-<br />
|3<br />
|크로스 사이트 스크립팅<br />
|<br />
|3<br />
|민감한 데이터 노출<br />
|<br />
|-<br />
|4<br />
|안전하지 않은 직접 객체 참조<br />
|2017:A5<br />
|4<br />
|XML 외부 개체(XXE)<br />
|신규<br />
|-<br />
|5<br />
|잘못된 보안 구성<br />
|<br />
|5<br />
|취약한 접근 통제<br />
|합침<br />
|-<br />
|6<br />
|민감한 데이터 노출<br />
|<br />
|6<br />
|잘못된 보안 구성<br />
|<br />
|-<br />
|7<br />
|기능 수준의 접근 통제 누락<br />
|2017:A5<br />
|7<br />
|크로스 사이트 스크립팅(XSS)<br />
|<br />
|-<br />
|8<br />
|크로스 사이트 요청변조(CSRF)<br />
|삭제<br />
|8<br />
|안전하지 않은 역직렬화<br />
|신규<br />
|-<br />
|9<br />
|알려진 취약점이 있는 구성요소 사용<br />
|<br />
|9<br />
|알려진 취약점이 있는 구성요소 사용<br />
|<br />
|-<br />
|10<br />
|검증되지 않은 리다이렉트 및 포워드<br />
|삭제<br />
|10<br />
|불충분한 로깅 및 모니터링<br />
|신규<br />
|}<br />
==항목별 설명==<br />
===인젝션===<br />
<br />
*SQL, OS, XXE, LDAP 인젝션 취약점은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분으로서, 인터프리터로 보내질 때 발생합니다. 공격자의 악의적인 데이터는 예기치 않은 명령을 실행하거나 올바른 권한 없이 데이터에 접근하도록 인터프리터를 속일 수 있습니다.<br />
<br />
===취약한 인증===<br />
<br />
*인증 및 세션 관리와 관련된 애플리케이션 기능이 종종 잘못 구현되어 공격자들이 암호, 키, 세션 토큰을 위험에 노출시킬 수 있거나 일시적 또는 영구적으로 다른 사용자의 권한 획득을 위해 구현 상 결함을 악용하도록 허용합니다.<br />
<br />
===민감한 데이터 노출===<br />
<br />
*다수의 웹 애플리케이션과 API는 금융 정보, 건강 정보, 개인 식별 정보와 같은 중요한 정보를 제대로 보호하지 않습니다.<br />
*공격자는 신용카드 사기, 신분 도용 또는 다른 범죄를 수행하기 위해 보호가 취약한 데이터를 훔치거나 수정할 수 있습니다. 중요한 데이터는 저장 또는 전송할 때 암호화 같은 추가 보호 조치가 없으면 탈취 당할 수 있으며, 브라우저에서 주고 받을 때 각별한 주의가 필요합니다.<br />
<br />
===XML 외부 개체(XXE)===<br />
<br />
*XXE는 악의적인 자바스크립트를 막기 위한 필터장치를 우회하는 취약점으로 XML 문서에서 동적으로 외부 URI의 리소스를 포함시킬 수 있는 외부 엔티티(Entity)를 사용할 때 발생합니다.<br />
*오래되고 설정이 엉망인, 많은 XML 프로세서들은 XML 문서 내에서 외부 개체 참조를 평가합니다.<br />
*외부 개체는 파일 URI 처리기, 내부 파일 공유, 내부 포트 스캔, 원격 코드 실행과 서비스 거부 공격을 사용하여 내부 파일을 공개하는데 사용할 수 있습니다.<br />
<br />
===취약한 접근 통제===<br />
<br />
*인증된 사용자가 수행할 수 있는 작업에 대한 제한이 제대로 적용되어 있지 않습니다.<br />
*공격자는 이러한 결함을 악용하여 다른 사용자의 계정에 접근하거나, 중요한 파일을 보거나, 다른 사용자의 데이터를 수정하거나, 접근 권한을 변경하는 등 권한 없는 기능과 데이터에 접근할 수 있습니다.<br />
<br />
===잘못된 보안 구성===<br />
<br />
*잘못된 보안 구성은 가장 흔하게 보이는 이슈입니다.<br />
*취약한 기본 설정, 미완성 (또는 임시 설정), 개방된 클라우드 스토리지, 잘못 구성된 HTTP 헤더 및 민감한 정보가 포함된 장황한 에러 메시지로 인한 결과입니다. 모든 운영체제, 프레임워크, 라이브러리와 애플리케이션을 안전하게 설정해야 할 뿐만 아니라 시기 적절하게 패치/ 업그레이드를 진행해야 합니다.<br />
<br />
===크로스 사이트 스크립팅(XSS)===<br />
XSS 취약점은 애플리케이션이 올바른 유효성 검사 또는 필터링 처리 없이 새 웹 페이지에 신뢰할 수 없는 데이터를 포함하거나, 자바스크립트와 HTML을 생성하는 브라우저 API를 활용한 사용자 제공 데이터로 기존 웹 페이지를 업데이트할 때 발생합니다. XSS는 피해자의 브라우저에서 공격자에 의해 스크립트를 실행시켜 사용자 세션을 탈취할 수 있게 만들고, 웹 사이트를 변조시키고, 악성 사이트로 리다이렉션할 수 있도록 허용합니다.<br />
===안전하지 않은 역직렬화===<br />
<br />
*안전하지 않은 역직렬화는 종종 원격 코드 실행으로 이어집니다.<br />
*역직렬화 취약점이 원격 코드 실행 결과를 가져오지 않더라도 이는 권한 상승 공격, 주입 공격과 재생 공격을 포함한 다양한 공격 수행에 사용될 수 있습니다.<br />
<br />
===알려진 취약점이 있는 구성요소 사용===<br />
<br />
*라이브러리, 프레임워크 및 다른 소프트웨어 모듈 같은 구성요소는 애플리케이션과 같은 권한으로 실행됩니다.<br />
*만약에 취약한 구성요소가 악용된 경우, 이는 심각한 데이터 손실을 일으키거나 서버가 장악됩니다.<br />
*알려진 취약점이 있는 구성요소를 사용한 애플리케이션과 API는 애플리케이션 방어를 약하게 하거나 다양한 공격과 영향을 주게 합니다.<br />
<br />
===불충분한 로깅과 모니터링===<br />
<br />
*불충분한 로깅과 모니터링은 사고 대응의 비효율적인 통합 또는 누락과 함께 공격자들이 시스템을 더 공격하고, 지속성을 유지하며, 더 많은 시스템을 중심으로 공격할 수 있도록 만들고, 데이터를 변조, 추출 또는 파괴할 수 있습니다.<br />
*대부분의 침해 사례에서 침해를 탐지하는 시간이 200일이 넘게 걸리는 것을 보여주고, 이는 일반적으로 내부 프로세스와 모니터링보다 외부 기관이 탐지합니다.</div>보안기사https://itwiki.kr/index.php?title=OWASP_Top_10&diff=26913OWASP Top 102021-10-05T07:57:40Z<p>보안기사: </p>
<hr />
<div>;Open Web Application Security Project(OWASP) 에서 4년에 한번씩 발표하는 웹 취약점 Top 10<br />
;* [[OWASP Top 10(2013)]]<br />
;* [[OWASP Top 10(2017)]]<br />
;* [[OWASP Top 10(2021)]]<br />
<br />
==2013 대비 2017 변화==<br />
{| class="wikitable"<br />
! colspan="3" style="text-align: center;" |OWASP Top 10 - 2013<br />
! colspan="3" style="text-align: center;" |OWASP Top 10 - 2017<br />
|-<br />
!No<br />
!취약점<br />
!비고<br />
!No<br />
!취약점<br />
!비고<br />
|-<br />
|1<br />
|인젝션<br />
|<br />
|1<br />
|인젝션<br />
|<br />
|-<br />
|2<br />
|취약한 인증과 세션 관리<br />
|<br />
|2<br />
|취약한 인증<br />
|<br />
|-<br />
|3<br />
|크로스 사이트 스크립팅<br />
|<br />
|3<br />
|민감한 데이터 노출<br />
|<br />
|-<br />
|4<br />
|안전하지 않은 직접 객체 참조<br />
|2017:A5<br />
|4<br />
|XML 외부 개체(XXE)<br />
|신규<br />
|-<br />
|5<br />
|잘못된 보안 구성<br />
|<br />
|5<br />
|취약한 접근 통제<br />
|합침<br />
|-<br />
|6<br />
|민감한 데이터 노출<br />
|<br />
|6<br />
|잘못된 보안 구성<br />
|<br />
|-<br />
|7<br />
|기능 수준의 접근 통제 누락<br />
|2017:A5<br />
|7<br />
|크로스 사이트 스크립팅(XSS)<br />
|<br />
|-<br />
|8<br />
|크로스 사이트 요청변조(CSRF)<br />
|삭제<br />
|8<br />
|안전하지 않은 역직렬화<br />
|신규<br />
|-<br />
|9<br />
|알려진 취약점이 있는 구성요소 사용<br />
|<br />
|9<br />
|알려진 취약점이 있는 구성요소 사용<br />
|<br />
|-<br />
|10<br />
|검증되지 않은 리다이렉트 및 포워드<br />
|삭제<br />
|10<br />
|불충분한 로깅 및 모니터링<br />
|신규<br />
|}<br />
<br />
==항목별 설명==<br />
===인젝션===<br />
<br />
*SQL, OS, XXE, LDAP 인젝션 취약점은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분으로서, 인터프리터로 보내질 때 발생합니다. 공격자의 악의적인 데이터는 예기치 않은 명령을 실행하거나 올바른 권한 없이 데이터에 접근하도록 인터프리터를 속일 수 있습니다.<br />
<br />
===취약한 인증===<br />
<br />
*인증 및 세션 관리와 관련된 애플리케이션 기능이 종종 잘못 구현되어 공격자들이 암호, 키, 세션 토큰을 위험에 노출시킬 수 있거나 일시적 또는 영구적으로 다른 사용자의 권한 획득을 위해 구현 상 결함을 악용하도록 허용합니다.<br />
<br />
===민감한 데이터 노출===<br />
<br />
*다수의 웹 애플리케이션과 API는 금융 정보, 건강 정보, 개인 식별 정보와 같은 중요한 정보를 제대로 보호하지 않습니다.<br />
*공격자는 신용카드 사기, 신분 도용 또는 다른 범죄를 수행하기 위해 보호가 취약한 데이터를 훔치거나 수정할 수 있습니다. 중요한 데이터는 저장 또는 전송할 때 암호화 같은 추가 보호 조치가 없으면 탈취 당할 수 있으며, 브라우저에서 주고 받을 때 각별한 주의가 필요합니다.<br />
<br />
===XML 외부 개체(XXE)===<br />
<br />
*XXE는 악의적인 자바스크립트를 막기 위한 필터장치를 우회하는 취약점으로 XML 문서에서 동적으로 외부 URI의 리소스를 포함시킬 수 있는 외부 엔티티(Entity)를 사용할 때 발생합니다.<br />
*오래되고 설정이 엉망인, 많은 XML 프로세서들은 XML 문서 내에서 외부 개체 참조를 평가합니다.<br />
*외부 개체는 파일 URI 처리기, 내부 파일 공유, 내부 포트 스캔, 원격 코드 실행과 서비스 거부 공격을 사용하여 내부 파일을 공개하는데 사용할 수 있습니다.<br />
<br />
===취약한 접근 통제===<br />
<br />
*인증된 사용자가 수행할 수 있는 작업에 대한 제한이 제대로 적용되어 있지 않습니다.<br />
*공격자는 이러한 결함을 악용하여 다른 사용자의 계정에 접근하거나, 중요한 파일을 보거나, 다른 사용자의 데이터를 수정하거나, 접근 권한을 변경하는 등 권한 없는 기능과 데이터에 접근할 수 있습니다.<br />
<br />
===잘못된 보안 구성===<br />
<br />
*잘못된 보안 구성은 가장 흔하게 보이는 이슈입니다.<br />
*취약한 기본 설정, 미완성 (또는 임시 설정), 개방된 클라우드 스토리지, 잘못 구성된 HTTP 헤더 및 민감한 정보가 포함된 장황한 에러 메시지로 인한 결과입니다. 모든 운영체제, 프레임워크, 라이브러리와 애플리케이션을 안전하게 설정해야 할 뿐만 아니라 시기 적절하게 패치/ 업그레이드를 진행해야 합니다.<br />
<br />
===크로스 사이트 스크립팅(XSS)===<br />
XSS 취약점은 애플리케이션이 올바른 유효성 검사 또는 필터링 처리 없이 새 웹 페이지에 신뢰할 수 없는 데이터를 포함하거나, 자바스크립트와 HTML을 생성하는 브라우저 API를 활용한 사용자 제공 데이터로 기존 웹 페이지를 업데이트할 때 발생합니다. XSS는 피해자의 브라우저에서 공격자에 의해 스크립트를 실행시켜 사용자 세션을 탈취할 수 있게 만들고, 웹 사이트를 변조시키고, 악성 사이트로 리다이렉션할 수 있도록 허용합니다.<br />
<br />
===안전하지 않은 역직렬화===<br />
<br />
*안전하지 않은 역직렬화는 종종 원격 코드 실행으로 이어집니다.<br />
*역직렬화 취약점이 원격 코드 실행 결과를 가져오지 않더라도 이는 권한 상승 공격, 주입 공격과 재생 공격을 포함한 다양한 공격 수행에 사용될 수 있습니다.<br />
<br />
===알려진 취약점이 있는 구성요소 사용===<br />
<br />
*라이브러리, 프레임워크 및 다른 소프트웨어 모듈 같은 구성요소는 애플리케이션과 같은 권한으로 실행됩니다.<br />
*만약에 취약한 구성요소가 악용된 경우, 이는 심각한 데이터 손실을 일으키거나 서버가 장악됩니다.<br />
*알려진 취약점이 있는 구성요소를 사용한 애플리케이션과 API는 애플리케이션 방어를 약하게 하거나 다양한 공격과 영향을 주게 합니다.<br />
<br />
===불충분한 로깅과 모니터링===<br />
<br />
*불충분한 로깅과 모니터링은 사고 대응의 비효율적인 통합 또는 누락과 함께 공격자들이 시스템을 더 공격하고, 지속성을 유지하며, 더 많은 시스템을 중심으로 공격할 수 있도록 만들고, 데이터를 변조, 추출 또는 파괴할 수 있습니다.<br />
*대부분의 침해 사례에서 침해를 탐지하는 시간이 200일이 넘게 걸리는 것을 보여주고, 이는 일반적으로 내부 프로세스와 모니터링보다 외부 기관이 탐지합니다.<br />
<br />
[[분류:보안]]<br />
[[분류:보안 취약점]]<br />
[[분류:정보보안기사]]</div>보안기사https://itwiki.kr/index.php?title=%EC%9D%B4%EB%B8%94%ED%8A%B8%EC%9C%88&diff=26911이블트윈2021-10-03T16:14:04Z<p>보안기사: 이블 트윈 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[이블 트윈]]</div>보안기사https://itwiki.kr/index.php?title=Evil_Twin&diff=26910Evil Twin2021-10-03T16:13:44Z<p>보안기사: 이블 트윈 문서로 넘겨주기</p>
<hr />
<div>#넘겨주기 [[이블 트윈]]</div>보안기사