[정보보안기사/필기] PART1. 정보보호 개요

PART1. 정보보호 개요

✅ 정보보호의 목표

1. 기밀성 (Confidentiality)
   • 오직 인가된 사람, 인가된 프로세스, 인가된 시스템만이 알 필요성에 근거하여 시스템에 접근해야 한다는 원칙
   • 위협요소: 도청, 사회공학
2. 무결성 (Integrity)
   • 정보의 내용이 불법적으로 생성 또는 변경되거나 삭제되지 않도록 보호되어야 하는 성질
   • 위협요소: 논리 폭탄, 백도어, 바이러스
3. 가용성 (Availability)
   • 정당한 사용자가 정보시스템의 데이터 또는 자원을 필요할 때 지체 없이 원하는 객체 또는 자원에 접근하여 사용할 수 있는 성질
   • 위협요소: Dos, DDos, 지진, 홍수, 화재
4. 인증성 (Authentication)
   • 임의 정보에 접근할 수 있는 객체의 자격이나 객체의 내용을 검증하는데 사용되는 성질
5. 책임추적성 (Accountability)
   • 보안 목적에는 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항
6. 부인방지 (Non-repudiation)
   • 행위나 이벤트의 발생을 증명하여 나중에 그런 행위나 이벤트를 부인할 수 없도록 하는 것

 

✅ 정보보호 관리와 정보보호 대책

1. 기술적 보호대책
   • 정보 시스템, 통신망, 정보(데이터)를 보호하기 위한 가장 기본적인 대책
2. 물리적 보호대책
   • 화재, 수해, 지진, 태풍 등과 같은 자연재해로부터 정보시스템이 위치한 정보처리시설을 보호하기 위한 자연재해 대책
3. 관리적 보호대책
   • 법, 제도, 규정, 교육 등을 확립하고, 보안 계획을 수립하여 이를 운영(보안등급, 액세스 권한 등)하며, 위험 분석 및 보안감사를 시행하여 정보시스템의 안전성과 신뢰성을 확보하기 위한 대책

 

✅ 보안 목표와 관련된 공격의 분류

• 기밀성 : Snooping, Traffic analysis
  • 스누핑(Snooping): 송수신하는 데이터에 대해 불법으로 접근하여 정보를 탈취
  • 트래픽 분석(Traffic Analysis): 트래픽을 분석하여 송신자의 메일 주소나, 기타 트래픽 정보를 습득
• 무결성 : Modification, Masquerading, Replaying, Repudiation
  • 변경(Modification): 메시지를 불법으로 수정
  • 가장(Masquerading): 한 개체가 다른 개체로 신분을 위장하여 다른 공격들과 병행하여 수행
  • 재연(Replaying): 획득한 데이터 단위를 보관하고 있다가 시간차를 두고 재전송 함으로써 인가되지 않은 정보에 접근
  • 부인(Repudiation): 메시지의 송수신자의 송수신 행위를 부인
• 가용성 : Denial of Service
  • 서비스 거부(Dos: Denial of Service): 서비스를 지연 혹은 다운시켜 사용자가 사용하지 못하게 하는 공격

 

✅ 소극적 공격과 적극적 공격

• 소극적 공격 : 시스템으로부터 정보를 획득하거나 사용하려는 시도를 말하고, 시스템 자원에는 영향을 끼치지 않는 공격 형태
• 적극적 공격 : 시스템 자원을 변경하거나 시스템 작동에 영향을 끼치는 공격 형태

 

✅ 수동적 공격과 능동적 공격

• 스누핑(Snooping), 트래픽 분석(Traffic Analysis): 소극적(Passive) / 기밀성(Confidentiality)
• 변경(Modification), 가장(Masquerading), 재연(Replaying), 부인(Repudiation): 적극적(Avtive) / 무결성(Integrity)
• 서비스 거부(Denial of Service) : 적극적(Active) / 가용성(Availability)

 

✅ 시스템 통제 (Control)

• 예방통제(Preventive): 사전에 위협과 취약점을 대처하는 통제
• 탐지통제(Detective): 위협을 탐지하는 통제
• 교정통제(Corrective): 탐지된 위협이나 취약점에 대처하거나 위협을 줄이거나 취약점을 감소시키는 통제

 

✅  기본 보안용어 정리

• 공격자: 시스템을 공격하거나 위협하는 존재
• 공격: 시스템의 보안 서비스를 회피하여 보안 정책을 위반하려는 의도된 시도
• 대응: 피해의 최소화 및 적절한 대응을 위해 탐지, 보고하여 위험, 노출, 공격을 제거하거나 방지하는 행위, 장비, 기법
• 위험: 특정 위협이 가져올 피해가 확률적으로 표현되는 예상 손실
• 보안정책: 시스템이나 기관이 민감하고 중요한 시스템 자원들에 보안 서비스를 제공하기 위해 명시한 규정과 업무
• 자산: 정보 시스템 내의 데이터, 시스템의 서비스, 처리 기능, 통신 대역폭, 시스템 장비(하드웨어, 펌웨어, 소프트웨어, 문서), 시스템 장비 설비
• 위협: 보안을 침해하고 손해를 가져올 수 있는 상황, 행위, 이벤트가 존재할 때의 잠재적 보안 위반
• 취약점: 시스템 보안 정책을 위반할 수 있는 시스템 설계, 구현, 혹은 운여으 관리상의 오류 및 약점