*기* 스토어

*기*

개인

팔로워0 팔로우

소개

등록된 소개글이 없습니다.

전문분야 등록된 전문분야가 없습니다.

판매자 정보

학교정보

입력된 정보가 없습니다.

직장정보

입력된 정보가 없습니다.

자격증

입력된 정보가 없습니다.

판매지수

판매중 자료수

8개
전체 판매량

40개
최근 3개월 판매량

0개
자료후기 점수

-
자료문의 응답률

-

전체자료 8개

보안의 적용과 관리

보안의 적용과 관리2. 접근제어 모델 3. 접근제어의 원칙 발표순서 1. 보안조직 Contents 4. 보안제품 평가기준 5. 보안 프레임워크 (ISO 27001) 6. 시사점 7. 참고문헌1. 보안조직 다양한 보안조직 보안 인력이 시스템 운영팀에 귀속 : 가장 소극적인 형태 보안 인력이 IT 기획팀에 귀속된 경우 보안 인력이 경영진 직속인 경우 : Best Practice 보안조직 구성시 고려사항 기업의 크기 시스템 환경 ( 분산 vs 집중 ) 기업의 조직 및 관리 구조 운영 사이트의 수와 위치 IT 예산1. 보안팀 내부구성국내 기업사례 1. 3 보안팀 내부구성 보안팀정보보호 위원회 정보보호 실무 위원회 IT 보안 관리자 원활한 보안업무 운영 및 추진이 가능하도록 보안을 총괄 담당한다 . IT 분야의 보안관리를 책임진다 . 보안계 획 / 지침 수립 , 보안관련 교육 실시 , 주기적 인 보안점검을 수행 , 보안침해사고에 대응 , 보안시스템 도입을 기획 , 운영 , 전산시스템에 대한 보안성 검토를 수행한다 . 정보보 안 관련 세부 지침 및 절차를 검토하고 , 대책을 수립하며 , IT 보안 관련 주요 현안 사항에 대해 부서간 합의를 도출한다 . 1. 3 보안팀 내부구성 IT 운영 관리자 / 담당자 현업 정보보안 관리자 / 담당자 담당 시스템 ( 네트워크 , 서버 , 전산기계실 , 데이터베이스 ) 의 접근을 통제 하며 기술적 , 물리적 보안을 지원한다 . 시스템에 대한 침해사고 대응체계를 수립한다 . 각 부서 및 지점의 장이 보안담당자를 선임 하고 , 보안담당자는 IT 보안 지침을 전달하며 , 준수 대책을 수립하고 , 준수의 여부를 주기적으로 점검 한다 .1. 3 보안팀 내부구성 국내 ‘S’ 기업사례1. 4 보안조직 관련 기사 ( 향후전망 )2. 1 접근제어 Access Control( 접근제어 / 통제 )2. 1 접근제어 Access Control( 접근제어 / 통제 ) 사용자와 시스템의 통신과 다른 시스템 및 자원에 대한 상호작용을 통제하는 보안 방법 오직 인가 역할에 따라 지정하고 접근 권한을 그 역할들에 부여 역할분할 소유자 는 역할에 속할 사용자를 결정하고 역할에 대한 특권 부여 관리자 는 소유자를 대신해 시스템에 역할과 기능을 생성함14 가장 널리 알려진 보안 모델 중의 하나 70-80 년대까지 국방부 (DOD) 의 지원을 받아 적립된 보안 모델 군사용 보안 구조의 요구사항을 충족하기 위해 설계된 모형 정보의 불법적인 파괴나 변조보다는 불법적인 비밀유출 방지에 중점 보안 정책은 정보가 높은 보안 레벨로부터 낮은 레벨로 흐르는 것을 방지 2. 3 Bell- LaPadula (BLP) 모델15 정보를 극비 (Top secret), 비밀 (secret), 일반정보 (Unclassified) 구분 정보의 불법적 유출을 방어하기 위한 최초의 수학적 모델 보안 등급과 범주를 이용한 강제적 정책에 의한 접근통제 모델 제한사항 한번 결정되면 접근 권한을 변경하기 어려움 지나치게 기밀성에만 집중 등 2. 3 Bell- LaPadula (BLP) 모델16 상위레벨 읽기금지 정책 ( No-read-up Policy, NRU, ss -property) 보안 수준이 낮은 주체는 보안수준이 높은 객체를 읽어서는 안됨 주체의 취급인가가 객체의 기밀 등급보다 길거나 높아야 그 객체를 읽을 수 있음 하위레벨 쓰기금지 정책 ( No-write-down Policy, NWD , *-property) 보안 수준이 높은 주체는 보안 수준이 낮은 객체에 기록해서는 안됨 주체의 취급인가가 객체의 기밀 등급보다 낮거나 같은 경우에 그 객체를 주체가 기록할 수 있음 2. 3 Bell- LaPadula (BLP) 모델17 상위레벨 읽기금지 정책 2. 3 Bell- LaPadula (BLP) 모델 하위레벨 쓰기금지 정책18 BLP 모델의 단점인 무결성을 보장할 수 있도록 보완한 모델 낮은 등급에서 높은 비밀등급에 수정작업을 할 수 있도록 하면 신뢰할 수 있는 중요한 정보들이 다소 신뢰성이 약한 정보들과 결합하여 본래의 비밀 등급이 깨짐 2. 4 Biba 모, 관리자를 위한 보안 지침서 , 시험문서 , 설계 문서 TCSEC 의 보안제품 평가 등급 요구사항을 근거로 등급을 D, C, B, A 로 구성하고 있다 . ( 참조 )4.3 ITSEC 의 소개 ITSEC 의 평가기준 항목 기능 ( 보안 정책 + 보안강화 기능 ) : 단체의 보안정책 , 시스템 보안정책 , 기술적 보안정책 + I A, 접근제어 , audit, object 재사용 , 정확하고 믿을 만한 자료 교환 기능 보장 ( 효과 ) : 보안 강화기능과 보안 목적을 실제로 만족시킬 수 있는지 평가 보장 ( 올바름 ) : 보안 강화 기능과 방법이 올바르게 구현되었는지 평가 . * 올바름 : “ 개발 공정 각 단계에서 나오는 문서들이 어떤 특성을 만족시켜야 한다 ” ITSEC 의 보 안제품 평가 등급 기능에 의한 평가 : F-IN( 무결성 요구 ), F-DC( 기밀성 요구 ), FDX( 비밀 + 무결 ) 보장 ( 효과 ) 에 의한 평가 : 문서가 얼마나 엄격하게 만들어 졌는가를 기반으로 평가 보장 ( 올바름 ) 에 의한 등급 : ( 낮음 )E1~E6( 높음 ) ( 참조 )4.4 CTCPEC 의 소개 CTCPEC 의 평가기준 항목 기능적 측면 : 기밀성 , 무결성 , 접근성 , 책임성별로 3~7 개의 항목 보장적 측면 : 믿을 수 있는 정도에 대해 평가 ( 구조 , 개발환경 , 문서 , 운영환경 , 보안환경 , 보안시험 ) CTCPEC 의 보안제품 평가 등급 범 주 약 자 서비스명 범 위 Confidential CC Covert Channel CC_0~CC_3 CD Discretionary Confidential CD_0~CD_4 CM Mandatory Confidential CM_0~CM_4 CR Object Reuse CR_0~CR_1 Assurance T Levels of Assurance T_0~T_74.5 TNI 의 소개 TNI 는 기존의 TCSEC 을 네트워크 시스템에 적용하여 해석한 것으로 1987 년 개발 TCSEC 의 기본구조를 따르면서 네트워크의 on Criteria) : ISO / IEC 15408 평가방법론 : 공통평가방법론 (CEM) : ISO / IEC 18045 수행 절차 : 세부사항 자료실 참고 인증서5. 보안프레임워크 (ISO 27001) ISO 27001 이란 ? ISO27001 이란 Information Security Management System Requirements ( 정보보호관리체계 요구사항 ) 으로 정보보호관리체계에 대해 국제인증시 요구사항을 정의 하고 있다 . 정보보호관리체계에 대한 국제규격은 BS7799 가 있었으며 , Part1( 실행지침 ) 과 Part2( 규격 ) 으로 구성 되어 있다 . Part1 은 2000 년 (ISO/IEC 17799) 에 , Part2 는 2005 년 11 월 (ISO27001) 에 국제표준으로 등록되었으며 , 정보보호관리체계에 대한 국제인증을 받기 위해서는 Part1 의 실행지침에 따라 자체적인 체계를 수립하고 일정 기간 이행한 기록을 토대로 Part2 규격에 따라 심사를 받아야 한다 . 정보보호관리체계의 표준화 과정은 아래와 같다 .정보 보안 관리의 기초 기업의 정보보안인증 입법의 기준 영리 또는 비영리단체 , 개인 또는 국가 , 중소기업 또는 대기업 등 다양한 조직들이 정보 보안을 구성하는 방법에 대해 정의 하고 있다 . 개인 정보 보호 , 기밀정보보호 , 정보시스템의 보호 , 금융기관의 운영 리스크 관리 등 많은 분야 법안들이 ISO 27001 를 기초로 삼는다 . 정보 보안 분야의 세계 최고의 전문가들에 의해 작성된 표준이며 , 조직의 정보 보안의 구현을 위한 방법론을 제공하는 것을 목표로 하고 있다 . 또한 기업의 정보 보안이 최상의 방법으로 적용되었다는 인증을 얻을 수 있게 해준다 . 5. 보안프레임워크 (ISO 27001) 정보보안 관리 (ISO 27001)ISO 27001 통제항목 (11 분야 / 133 개 ) 5. 보안프레임워크 (ISO 27001)정보보호의 기본 계획 정보호호의 목적 설정 적절한 접근법 선택 (133 ca 설계보안평가기준 별 보안등급 CC(Common Criteria) 미국 TCSEC 유럽 ITSEC EAL0 부적절한 보증 D 최소한의 보호 E0 부적절한 보증 EAL1 기능 시험 EAL2 구조 시험 C1 임의적 보호 E1 비정형적 기본 설계 EAL3 방법론적 시험과 점검 C2 통제적 접근 보호 E2 비정형적 기본 설계 EAL4 방법론적 설계 , 시험 , 검토 B1 규정된 보호 E3 소스 코드와 하드웨어 , 도면 제공 EAL5 준정형적 설계 및 시험 B2 구조적 보호 E4 준정형적 기능 명세서 , 기본 설계 , 상세 설계 EAL6 준정형적 검증된 설계 및 시험 B3 보안 영역 E5 보안 요소 상호관계 EAL7 정형적 검증 A1 검증된 설계 E6 정형적 기능 명세서 , 상세 설계보안평가기준 별 보안등급 CC(Common Criteria) 미국 TCSEC 유럽 ITSEC EAL0 부적절한 보증 D 최소한의 보호 E0 부적절한 보증 EAL1 기능 시험 EAL2 구조 시험 C1 임의적 보호 E1 비정형적 기본 설계 EAL3 방법론적 시험과 점검 C2 통제적 접근 보호 E2 비정형적 기본 설계 EAL4 방법론적 설계 , 시험 , 검토 B1 규정된 보호 E3 소스 코드와 하드웨어 , 도면 제공 EAL5 준정형적 설계 및 시험 B2 구조적 보호 E4 준정형적 기능 명세서 , 기본 설계 , 상세 설계 EAL6 준정형적 검증된 설계 및 시험 B3 보안 영역 E5 보안 요소 상호관계 EAL7 정형적 검증 A1 검증된 설계 E6 정형적 기능 명세서 , 상세 설계7. 참고문헌 [1] 양대일 , 13 장 조직과 정책 , 정보 보안 개론 [2] IT 데일리 , 은행권 , 보안 인력 및 조직 ‘대폭 보강’ , http ://www.itdaily.kr/news/articleView.html?idxno=28434 [3] 아시아경제 , 특허청 보안조직 확대 등 지재권보안 강화돼야 “, http:// www.asiae.co.kr/news/view.htm?idxno=20110608080 24682w}

공학/기술| 2012.06.13| 48페이지| 1,500원| 조회(220)

보안의 적용과 관리, 접근제어 모델, itsec, ISO 27001, 보안제품 ..

미리보기

닫기
보안시스템 개발 배경과 실제(인식기술, 방화벽)

보안 시스템 인증시스템과 방화벽Contents 1 보안 시스템이란 ? 1 2 각종 인증시스템들 2 3 방화벽의 주요기능들 3 4 4 5 장에 출시된 보안솔루션 제품소개 및 분석 5 참 고 자 료보안 시스템 보안 시스템이란 ? 기업이나 조직의 보안정책을 달성하기 위한 물리적 , 관리적 , 기술적 보안들의 유기적인 전체 활동들을 말한다 . 물리적 보안 기술적 보안 관리적 보안인증시스템 바이오 인증 (Something you are) 사람의 고유한 바이오정보를 이용하여 신원을 확인할 때 , 그 사람의 ID 를 주고 ID 에 해당하는 저장된 특징과 입력된 특징을 비교 (1:1 비교 ) 하는 기술 . 각 개인마다 다른 지문 , 홍채 , 땀샘구조 , 혈관 등 개인의 독특한 생체정보를 추출하여 정보화시키는 인증방식 . 얼굴 모양이나 , 음성 , 지문 , 안구 등과 같은 개인의 특성은 열쇠나 비밀번호처럼 타인의 도용이나 복제에 의하여 이용될 수 없을 뿐만 아니라 , 변경되거나 분실한 위험성이 없어 , 보안분야에 활용도가 뛰어나며 , 특히 이용자에 대한 사후 추적 이 가능하여 관리적인 측면에 있어서도 안전한 시스템을 구축할 수 있다는 장점이 있다 . 예 ) 지문인식 , 정맥인식 , 홍채인식 , 음성인식 , 얼굴인식 , 장문 ( 손금 ) 인식인증시스템 지문 ( Fingerpint ) 한 세기 이상 경찰권에서 사용됨 정보를 얻기 힘든 지문이 약 2% 정도 0.5 ~ 1K bytes 크기의 template 보안 정도 : 고급인증시스템 홍채 (Iris) 홍채 임신 8 개월에 생성 생후 12 개월 이후 형태불변 좁은 영역에 높은 밀도의 정보 같을 확률 ( 약 1/120 만 ) 지문 , 얼굴등과 같이 부분적인 정보가 추출되는 일이 적음 . 특징량 : 256 byte 보안 정도 : 고급인증시스템 홍채 (Iris) (a) 처리전 (b) 처리후인증시스템 얼굴 (Face) 눈 , 턱 , 코 등의 간격 측정 노화 , 안경 , 가발 , 조명 , 배경 , 분장 등에 영향받음 이동자세 에 취약 변장 , 사진 등을 통한 침투가능 5000 명 이상 규모의 데이터베이스에서 취약인증시스템 얼굴 (Face) 인식절차 VISION 512 Byte DATA 저장 = A ▶ 얼굴을 카메라에 근접 (약 40 cm) ▶ 사용자의 얼굴을 Capture ▶ 얼굴검출 알고리즘 중 가장 중요한 눈을 Search ▶ 눈을 중심으로 가장 변하지 않는 부위를 Capture ▶ 128개의 수치 값으로 변환 ▶ Data 로 저장 홍길동 홍길동 * 퍼스텍 ( www.firsteccom.co.kr ) 얼굴 인식 시스템인증시스템 음성 (Voice) 화자 종속 음성 인식 기법에 기반함 원격 접속 가능 성대모사 , 녹음 등에 취약 늦은 인증 응답시간 주위환경에 의한 오류폭증 보안 정도 : 중급인증시스템 장문 (Hand Geometry) 20 년 이상 사용됨 길이 , 두께 등의 기하학적 형태 측정 빠른 속도 - 10 byte 정도의 template 손을 정확히 위치시켜야 함 대용량의 데이터베이스 필요 보안 정도 : 중급인증시스템 사인 (On-line Signature Verification) 서명상의 형태적 특징에 대한 정적 특성분석 서명 동작 사이의 간격 등의 동적 특성분석 펜의 압력 분석 시간에 따라 변화 가능 보안정도 : 중급 이하 ( 위조서명에 취약 )인증시스템 키보드 (Keyboard Dynamics ) 초당 1000 회의 입력 감시 미숙자의 사용 습관 불규칙성에 취약펜의 압력 분석 키보듸 제조사간의 호환성 결여 자판 사용 시에 국한됨 보안 정도 : 중급 이하 작업감시 ( 윤리적 문제 )인증시스템 생체 인식 시스템의 가격과 정확도 비교 참고 : 정보보호 21c 생체인식산업인증시스템 활용 분야 의료보험 부정청구 방지 , 출입국 관리 , 운전면허 발급 , 사회복지 감옥 , 가택연금 , 범죄자 찾기 , 미아찾기 현금자동지급기 , 전화 은행거래 , 신용카드 , 금고출입통제 제한구역 ( 공항 , 정비구관 ), 올림픽 , 월드컵게임 , 근태관리 공공 서비스 법 집행 은행 금융 기타인증시스템 신분확인 (Something you have) 사용자의 인증 물건을 가지고 있다가 상대방에게 보여 줌으로 서 인증을 수행하는 것이다 . 이러한 신분확인 방법은 비용이 저렴하고 , 인증절차가 간단하여 신속하게 처리될 수 있지만 다른 사람이 쉽게 도용할 수 있고 , 분실의 위험이 있어 단독으로 쓰이지 않고 , 일반적으로 다른 수단과 함께 쓰인다 . 예 ) 스마트 키 또는 카드 , 신분증 , 인터넷 뱅킹카드 , OTP, 공인 인증서인증시스템 스마트 키 또는 카드 카드 키는 출입자가 카드를 소유해 출입을 허가받았음을 인증인증시스템 신분증 학생증 , 주민등록증 , 운전면허증 등 . 인터넷뱅킹 카드와 OTP One-time-password 로 토큰형과 카드형이 있음 (b) 토큰형 OTP (a) 카드형 OTP인증시스템 공인인증서 전자상거래를 할 때 신원을 확인하고 , 문서의 위조와 변조 , 거래 사실의 부인 방지 등을 목적으로 공인인증기관 (CA) 이 발행하는 전자적 정보로서 , 일종의 사이버 거래용 인감증명서이다 .방화벽 방화벽이란 ? 방화벽은 원래 화재가 발생했을 때 불길이 다른 곳으로 번지지 않도록 설치해놓은 구조물을 말한다 . 네트워크에서는 방화벽은 보안을 높이기 위한 가장 일차적인 것으로 , 신뢰하지 않는 외부 네트워크와 신뢰하는 내부 네트워크 사이를 지나는 패킷을 미리 정한 규칙에 따라 차단하거나 보내주는 기능을 하는 하드웨어나 소프트웨어를 말한다 . (b) 네트워크 방화벽 (a) 건축물의 방화벽방화벽의 주요기능 관리자가 방화벽에게 통과시킬 접근과 그렇지 않은 접근을 명시 접근제어방식 : 패킷필터링 , 프록시 방식 - 허가 또는 거부된 접근에 대한 기록을 유지 - 방화벽은 메시지 인증 , 사용자 인증 , 그리고 클라이언트 인증 수행가능 접근제어 (Access Control) 로깅 ( Logging) 과 감시추적 (Auditing) 인증 (Authentication) - 방화벽에서 다른 방화벽까지 전송되는 데이터를 암호화해서 보내는 것 데이터 암호화방화벽 구조 6 베스천 호스팅 스크리닝 라우터 단일 홈 게이트웨이 이중 홈 게이트웨이 스크린된 호스트 게이트웨이 스크린된 서브넷 게이트웨이 5 4 3 2 1보안 솔루션들 PC 홍채인식기 아이락글로벌사의 Iriskey 초소형 카메라와 M150_USB 모듈 로 구성된 USB 홍채인식기 PC 기반의 여러 보안 및 기타 응용프로그램에 사용자 인증을 위한 제품으로 이용 주요특징 1. 인증속도 : 0.2~0.8 초 이내 2. USB 홍채 인식기로써 확장성이 용이 3. 기존 비밀번호 및 기타 다른 인증 수단의 취약점을 개선하고 , 수시로 변경이 있는 솔루션에 인증 대체가능보안 솔루션들 ISG / IDP series ISG 1000 다양한 탐지 기법을 이용한 각 단계별 방어 기능보안 솔루션들 ISG / IDP series Option보안 솔루션들 ISG / IDP series 다양한 탐지 기법을 이용한 각 단계별 방어 기능 각 Protocol 은정상적인동작에대해정의가되어있으며 , 비정상적인동작에대해 ISG/IDP 에서탐지를함 사례 : FTP Bounce Attack보안 솔루션들 ISG / IDP series Stateful signatures 각 Protocol 별로 실제공격이 있을 packet 에 대해서만 검사 탐지율 향상 , 성능 향상 , 오탐 감소보안 솔루션들 ISG / IDP series Backdoor Detection ISG/IDP 에서는초당얼마나 많은 interactive traffic 이 발생하는지 검사하고 이를통해 back door 공격을탐지보안 솔루션들 ISG / IDP series Web Filtering보안 솔루션들 ISG / IDP series Anti Spam보안 솔루션들 ISG / IDP series ICAP 를 이용한 외부 AV server 연동지문 인식 기술동향 , 전자통신 동향분석 제 16 권 제 5 호 2001 년 10 월 Reference 생체인식 기술 소개 , 김학일교수 , 인하대학교 정보통신공학부 정보보안 개론과 실습 : 네트워크 해킹과 보안 – 14 방화벽 , 한빛미디어 주니퍼네트워크 ( http:// www.juniper.net) 아이락글로벌 (http://www.i-lockglobal.com)M150_USM 주요특징 홍채카메라와 인증모듈 임베디드화 2. 150 ~ 180 명 등록가능 3. 모든 인종 , 홍채의 색 관계없이 인식아이글로벌 사의홍채인식기술Thank You!{nameOfApplication=Show}

공학/기술| 2012.06.13| 35페이지| 1,000원| 조회(220)

네트워크, 해킹, 방화벽, 보안, 시스템, 지문인식, 보안시스템, 홍채인식, 인증시스템

미리보기

닫기
보안정책이란?

Security policy 보안정책Contents 참고문헌 보안정책의 개념 VM 의 일반모델 들어가며 … Content Title 실제 보안정책의 사례 ( 청심그룹 )들어가며 … 2010 2011 58 점 60.3 점 국가정보보호지수 보안의 중요성 인식 그리고 투자의 증가들어가며 … 그러나 정보보호를 수립하고 관리하기 위한 방법에 대한 이해는 아직 부족한 실정이며 단적인 예로 정보보호를 기술적 관리로만 인식하여 방화벽 , IPS, IDS 등 보안시스템 도입만으로 정보보호를 다 했다고 믿거나 , 정보보호 책임자를 두었다고 해결될 것이라고 생각 정보보호는 단순히 기술적인 문제가 아닌 경영상의 문제로 , 경영진의 책임하에 정보보호에 대한방향 제시 , 지속적인 달성목표 관리 등 정보보호 실무자들에게 어떻게 정보를 보호할 것인지에 대한 방침 및 인적ㆍ물적 지원 , 정기적인 검토를 수행하여야 한다 . 경영진은 정보보호를 위해 가장 중요한 업무 중 하나인 정책의 수립과 어떠한 정보를 어떤 수준으로 어떤 우선순위로 보호해야 하는지에 대한 전반적인 목표와 방침을 명확하게 제시하는 것이다 . 이것이 정보보호 정책이며 , 실무자가 이를 달성하기 위해 무엇을 어떻게 해야 할지를 계획하고 구현하는 것VM 의 일반모델 보안정책 수 립 대응책 구현 감시 및 준수확인 위험분석 사건 / 사고 환경변 화 보안관리의 일반적인 모델은 우선적으로 보안정책을 수립한 후에 보안정책을 근거로 하여 위험분석을 실시함으로써 조직의 보호해야 할 자산 , 위협 , 취약성 등을 식별하고 이에 대한 대응책을 구현한다 .보안정책의 개념 보안정책의 정의 정보보호 정책은 문서화된 형태로서 정보보호에 관한 경영진의 목표와 방향을 제시하는 것이다 정보보호 정책은 반드시 충족해야 할 특정 요구사항 또는 규칙에 대한 윤곽을 명시하며 , 고위경영진에 의해 생성된 High Level Statement 로서 사내의 중요한 정보를 보호ㆍ관리ㆍ배포하기 위한 방법을 규정한다 . 조직의 고위경영진이 생각하는 신념과 지향하는 목표 그리고 달성하고자 하는 내용의 성명서 (Statement) 로 정책은 내용상 간단하나 강력한 시행을 요구하는 의무사항이다 . 정책은 문서화되어야만 법률상의 문제 발생 시 법정에서 법적 인정을 받을 수 있으며 , 총괄적인 내용을 나타내는 청사진으로 년간 주기로 검토하여 조직 구성이나 책임의 변동에 따른 변화를 반영해야 한다 .보안정책의 개념 [ 출처 : 조직의 정보보호 정책 수립가이드 ( 한국정보통신기술협회 )] 구분 정의 및 특성 정책 (Policy) 정보보호에 대한 상위 수준의 목표 및 방향을 제시 조직의 경영목표를 반영하고 정보보호 관련 상위 정책과 일관성을 유지 정보보호를 위해 관련된 모든 사람이 반드시 지켜야 할 요구사항을 전반적이며 개략적으로 규정 표준 (Standard) • 정보보호 정책과 마찬가지로 반드시 지켜야 하는 요구사항에 대한 규정 이지만 , 정책의 만족을 위 해 반드시 준수해야 할 구체적인 사항이나 양식을 규정 • 조직의 환경 또는 요구사항에 따라 관련된 모든 사용자 들이 준수하도록 요구되는 규정 지침 (Guidelines) • 반드시 지켜야 하는 것이 아니라 선택 가능하거나 권고적인 내용이며 융통성 있게 적용할 수 있는 사항을 설명 • 정보보호 정책에 따라 특정 시스템 또는 특정 분야별로 정보보호 활동에 필요하거나 도움이 되는 세부 정보를 설명 절차 (Procedures) • 정책을 만족하기 위하여 수행하여야 하는 사항을 순서에 따라 단계적으로 설명 • 정보보호 활동의 구체적 적용을 위해 필요한 적용 절차 등의 구체적이고 세부적인 방법을 기술보안정책의 개념 하나 , 둘 , 정책은 조직 문화의 방향을 제시하고 무엇을 보호하고 왜 보호하는가를 기술하여야 하며 , 무엇을 제일 우선적으로 보호해야 하며 비용을 얼마를 투자해야 하는가에 대한 우선순위를 정해야 한다 . 여러 조직간의 합의를 통해 보안의 가치와 중요성에 대한 이해가 필요하며 , 조직원들에게 행위의 기준을 제시하고 관리를 지원해야 한다 . 보안정책의 수립시 중요사항보안정책의 개념 경영진의 참여와 지원 관계 법령의 고려 상위 정책과의 일관성 유지 정보보호 정책 구성 체계 M1 M2 M4 M3 보안정책 구성체계개인적 측면 사회적 측 면 법률적 측 면 정보보호 정책은 보편 타당한 정보보호 원칙을 지키면서 도덕적 판단기준에 적합하고 , 개인의 목적과 조직의 목표가 조화를 이룰 수 있도록 , 정보보호 관련 법률 및 규정을 준수 보안정책의 개념 보안정책 개발의 원칙 [ 출처 : 조직의 정보보호 정책 수립가이드 ( 한국정보통신기술협회 )]보안정책의 개념 준비 작성 및 검토 승인 참조문서 수집 및 분석 , 조직의 정보보호 요구사항 확인 , 정책의 초안 구조 결정 정책 초안 작성 , 내용 검토 및 조정 정보보호 위원회 등을 통해 경영진 검토 , 공식적 승인 및 정책 개발 완료 보안정책 수립 절차실제 보안정책 사례 인프라 문화 교육 의료복지 청심국제병원 , 청심빌리지 청심국제문화재단 , 청심국제수련원 , 청심평화월드센터 , 청심비지니스 • 컨벤션 호텔 청심 IT, 청심 FMS, 청심 건설단 청심학원 , 청심국제중고등학교 , 청심 유치원 청심초등학고 , 첨심국제 교육연구소 청심 소개실제 보안정책 사례 청심 IT 의 정보보호 대상 경영활동과 관련된 각종 기밀사항 기술 , 마케팅 , 재무 , 인사 등 운영상 발생되는 정보 고객 및 조직 구성원 정보 정보 시스템 등 각종 시설물 지적 재산권Click to edit title style 정보보호 분과 위원회 정보보호관리자 고객정보관리자 정보보호 전산팀 청심 IT 정책 추진조직실제 보안정책 사례 청심 IT 정책 추진내용실제 보안정책 사례 청심 IT 정책 추진내용참고문헌 한국정보통신기술협회 - 전산보안정책 수립을 위한 지침 IT 거버넌스 프레임워크 코빗 – COBIT 4.1 – 조희준 조직의 정보보호 정책 수립 가이드 – 한국정보통신기술협회 (2008) 정보보호 전문가의 CISSP 노트 - 조희준 외 공저 한국인터넷진흥원 ( http://www.kisa.or.kr ) 2011 년 정보보호 실태조사 ( 기업편 ) 청심 ReportThank You!{nameOfApplication=Show}

공학/기술| 2012.06.13| 18페이지| 1,000원| 조회(269)

보안, 정보보호, VM, security, 보안정책, 한국정보통신기술협회, 청심그룹, Security policy

미리보기

닫기
보안 취약점 관리(Vulnerability Manageent for Dummies)

Vulnerability ManagementUnderstanding the Need For Vulnerability ManagementW ho’s at Risk ? Every business with an Internet connection is at riskHow Vulnerabilities Expose Your Network to Danger 어떻게 ? Operating System Software applicationsWhere do Vulnerabilities come from? 어디 서 ? Programming mistake A buffer overflows Bugs in code Improperly configuring security applications Mobile devices Web site E-mail attachment infected with malwareLooking more closely At attack trends 공격 트렌드 전문적이고 , 상업적 목적의 악의적 행위들의 증가 And Increased professionalism Commercialization of malicious activities 특정분야에 맞춤화된 위협들 For specific regions Threats that are increasingly tailored 단계적 공격 들 의 증가 of multistaged attacks Increasing numbers 다양한 공격들의 융합 Convergence of attack methodsDetecting and Removing Vulnerabilities 발견 과 제거The primary objectives of VM are to VM 의 목표 결함을 확인하고 , 수정한다 That affect security, performance, Identify and fix faults in the software Or functionality 기능을 고치거나 새로운 위협을 다룬다 Such as updating an anng Organized to do VM 구성하 기 Policy managementDoing Vulnerability ManagementPutting Security Policies to Work with VM VM 을 위한 보안정책 정책은 보안을 위한 전체적인 방향을 결정한다 . standard configurations for all security devices and applications including Policies determine the nature of controls used to ensure security, such as antivirus, firewall, and intrusion detection and prevention. 정책결정자는 각 자산마다의 취약점이 비즈니스에 미치는 영향을 알아야 한다 . Vulnerability on each asset. Policy makers need to determine the business impact of 정책과 통제들은 서버 , 네트워크 서비스 , 어플리케이션 , 최종사용자에 적용된다 . applications, and endpoints Policies and controls apply to servers, network services,Track Inventory and Categorize Assets 물품목록 을 추적하고 , 자산 을 분류하라 Step. 1 • 네트워크 상에 가지고 있는 Assets(servers, desktops, diveces ) 이 무엇인지 알고 , 만약 존재할지도 모르는 취약점을 발견하기 위한 테스트 실시 . • Tracking 과 Categorizing 은 평가를 위한 기본 가이드를 제시한다 . • VM 시스템의 asset tracking system 은 각 네트워크 자산의 위험에 대한 우선순위를 선정하는 능력을 제공해준다 .Scan Systems for Vulnerabilities 취약점 분석을 위한 스캔 시스템 Step. 2 • Scan 은 VM 어플리케이션 있다 . 이 단계는 투자필요성이 없는곳에 투자함으로서 발생하는 위험에 대해 투자비용을 최소화 할 수 있는 가치가 있다 . • 스캔결과는 종합적 , 구체적 , 거짓 장단점에서 자유로워야 하고 , 이해하기 쉬워야 할 필요가 있다 . 특히 거짓 단점을 추구하다보면 낭비를 발생으로 결국은 비효과적인 VM 을 하는 길이 된다 . False negative 은 VM 솔루션이 실제 네트워크에 존재하는 정확한 취약점을 찾지 못했을 때 발생한다 . 취약점에 대해 모르는 것은 해커에 의한 심각한 위험을 네트워크상에 두는 것이다 .Classify and Rank risks 위험 서열화 및 분석 Step. 4 • 한번에 모든 것을 고친다는 것은 사실 불가능 하다 . 큰 조직에서 유용한 방법인 카테고리화 , 세분화 , 우선순위화 하지 않으면 제압하기 힘들다 . • VM 은 시스템에 가장 치명적인 문제를 일으키는 취약점을 자동 랭크화 시킨다 . • 나만의 카테고리 스키마를 창안해 낼 수 있고 , 다른데서 분류한 것을 적용할 수 있다 . (Microsoft 는 Critical, Important, Moderate, Low 로 구분 ) • VM 솔루션은 자동적으로 카테고리를 분류하고 발견된 취약점에 대해 몇 단계로 분류해줄 필요가 있다 . 이 시스템은 취약점 , 잠재된 취약점 그리고 특정 장치에서 운영되는 서비스와 같은 정보 데이터를 나타내야한다 .Pre-test Patches, Fixes, and Workarounds 패치 , 수정 , 차선책에 대한 사전 테스트 Step. 5 • 소프트웨어 공급자가 수정을 한 후에도 여전히 또 다른 버그에 취약하다 . • 소프트웨어 공급자들은 패치를 빨리 내놓기를 압박 받는다 . 이 패치는 한 네트워크의 또 다른 어플리케이션과의 충돌을 야기 시킬 것이다 . 결과적으로 실제 시스템에 도입하기 전에 Pre-test 가 필요하다 . • Pre-test 를 위한 가이드 라인 • 벤더들로부터의 차선책과 패치가 추천되는 종합적인 VM 솔루션을 사용하라 . 이러한RESCAN 을 확실히 실시해라 . 이 단계는 수정된 업무와 그것이 다른 네트워크 장비 , 서비스 또는 어플리케이션이 제대로 작동하지 않거나 다른 취약점에 노출되는 것을 유발하지 않는다는 것을 확인한다 . • 비즈니스 위험이나 보안위험은 개선노력 우선순위를 보여주는 두가지 지표이다 . 예를들어 당신이 가치있는 자산이 더 높은 우선순위의 개선노력이다 . • 확인하는 것은 감사를 위한 PCIDSS, HIPAA, Basel II, Gramm-LEACH-BILEY, Barbanes -Oxley 와 같은 규정과 법에 준하는 문서를 제공할 것이다 . • VM 솔루션은 외부정책을 수행했음을 확인시켜주는 고객 보고서를 만드는 능력을 제공해야한다 .Considering Your Options For Vulnerability ManagementChoosing the Best Path to Eliminate Network Vulnerabilities 어떤 솔루션을 선택하는 가는 회사의 보안상태와 전체규정에 영향을 미친다 . 가능한 자동화 하라 . Automate as much as you can. 든든하고 , 안전한 기술을 사용하라 . Use solid, safe technology. 너의 비즈니스와 함께 성장할 수 있는 솔루션을 선택해라 . Chose a solution that grows with your business.Option: Pay a Consultant 컨설턴트는 취약점을 분석하는 전문가들로서 네트워크 보호를 도와주는 자원이기도 하다 .Option : run software yourself 소프트웨어 설치 Open source software : free, but not cheap 1. 질적으로 보장받을 수 없다 . 2. 소프트웨어를 위한 하드웨어는 구축해야한다 . 3. 훈련과 지원이 적다 .( 전문가 부족 ) Commercial software : not cheap, but has maintenance 1. 직접구매가 필요하다 . 2. 오직 이용에 관한 권한만을엇을 가지고 있는지를 모르면 위험을 측정할 수 없게 된다 . 그리고 측정은 범위를 설정해준다 . [Classify Assets 비즈니스 중요도에 따라 등급별 분류하라 [Check Inside and Outside the DMZ 내부 네트워크와 외부 네트워크의 중간 지점을 잘 확인해라 . 그것이 최상의 방법이다 . [Run comprehensive Scans 자산에 대한 종합적이고 정확한 스캔을 실시해라 . [Generate Reports for the Technical Staff 요구 에 따라 최적화된 보고서는 매우 유용한다 . 알아 볼 수 도 없이 정보만 과하게 있는 것은 좋지않다 . [Generate Management Reports 중간 관리자들에게 취약점의 트렌드라든지 보안팀이 리스크를 줄이기 위한 노력들을 이해 시킬수 있도록 네트워크 보안상태에 대한 자료를 잘 모아서 활용하고 , 최고경영자에게 VM 의 가치를 보여주기 위해 실제 수행결과를 보고해라 . [Prioritize Patching Efforts 패치의 우선순위 는 가장 중요한 자산의 가장 치명적인 취약점에서 덜 치명적인 것들 순으로 해결해나가라 . [Track Remediation Progress 개선 진보를 추적해라 [Generate Policy Compliance Reports HIPAA, HLBA, SB 1386, Sarbanes- OXley 등 정책에 순응하는 보고서를 만들어라 . [Repeat the VM Process on a Regular Basis VM 은 한번만 실시해서 효과를 보는 것이 아니다 . 정규적으로 기본에 의한 VM 프로세스를 반복해라 . [Conference Vulnerability Management For Dummies By GualysThanks For Listening.1) 테스트는 실제 사용할 조직 환경에서 실시해라 . 대부분의 문제는 제3 의 파트의 어플리케이션이나 기본 설정을 수정하면서 나타난다 . 2 ) 통합 데이터를 지키기위한 중복확인과 디지털 인증how}

공학/기술| 2012.06.13| 40페이지| 1,000원| 조회(114)

네트워크, 보안, VM, 취약점, 취약점 관리, Vulnerability Mana..

미리보기

닫기
스푸핑(Spoofing)의 실제

스푸핑 (Spoofing) 의 실제Contents ARP Spoofing 방지대책 4. ARP Spoofing 공격탐지 방법 3. ARP Spoofing 2. Spoofing 이란 ? 1. 21. Spoofing 이란 ? Spoof 의 사전적 의미 명사 1. 속여 넘김 [ 먹기 ], 협잡 2. ( 가볍고 악의 없는 ) 놀림 , 조롱 ; 패러디 , 경쾌한 풍자 동사 1. ~ 을 놀리다 ; ~ 을 속이다 . [ 참고 ] e4u 영한사전 31. Spoofing 이란 ? [ 참고 ] 무선 네트워크 해킹 방지 솔루션 / 정보문화사 Spoofing 의 보안적 의미 공격자가 네트워크 장비를 속여서 공격자의 연결이 합당한 것이며 네트워크 안에서 사용이 허가된 컴퓨터라고 여기도록 하는 것을 의미 . 전래동화 ‘ 해와 달이 된 오누이 ’ 중 호랑이가 엄마인 척하고 있다 ► 41. Spoofing 이란 ? Spoofing Snifing Attack 스니핑을 하기위한 이전단계로서 스푸핑 자체가 피해를 발생시키지는 않음 . 기밀성에 대한 위협으로 권한이 없는 자가 패킷을 획득하기도 하고 보내기도 함 . 악성코드 유포 , 개인정보 유출 , 분산서비스거부 ( Ddos ) 공격 등에 악용됨 . 51. Spoofing 이란 ? ARP 스푸핑 IP 스푸핑 DNS 스푸핑 ( Wep 스푸핑 ) ARP 스푸핑 62. ARP 스푸핑 명호는 먼저 10.0.0.2 에 해당된 가짜 MAC 주소를 CC 로 10.0.0.3 에 해당하는 가짜 MAC 주소를 CC 로 알렸다 . 명호는 철수와 영희 컴퓨터로부터 패킷을 받는다 . 각자에게 받은 패킷을 읽은 후 철수가 영희에게 보내고자 하던 패킷을 정상적으로 영희에게 보내주고 , 영희가 철수에게 보내고자 했던 패킷을 철수에게 보내준다 . ARP 스푸핑 공격 예 72. ARP 스푸핑 ARP 스푸핑 후의 패킷의 흐름 82. ARP 스푸핑 A 네트워크를 도청하여 트래픽에서 나오는 패스워드를 수집하거나 암호화된 정보를 크랙해주는 윈도우즈 GUI 도구로서 ARP Spoofing 공격을 통해 같은 네트워크에 존재하는 PC 나 서버의 트래픽과 패스워드들을 모니터링 할 수 있다 . B 실제 웹페이지에 악성코드를 삽입하는 역할을 한 다 . 이 툴은 WinPcap 라이브러리를 사용해서 프로그래밍 되어 있으며 패킷을 변조하는 부분은이 프로그래밍 되어있다 . C ‘ 공격 툴 B’ 보다도 훨씬 다양한 기능을 추가하고 있다 . ▪ 홈페이지 접속 ID/PW 도청 ▪ iframe 악성 스크립트 삽입 ▪ 다운로드 파일 교체 ARP 스푸핑 공격 툴 ※ 공격 툴 악용을 방지하기 위해 ‘ 공격 툴 A, B, C’ 로 명명 . 9ARP 스푸핑 발생시 증상 3. ARP 스푸핑 공격탐지 방법 네트워크 속도 저하 : ARP Spoofing 을 위해 서버와 클라이언트 같은 종단간의 통신을 가로채어 재전송하는 시스템이 있기 때문에 네트워크 속도의 저하가 발생한다 . 악성코드가 웹 페이지 시작부분에 위치 : 패킷을 가로챈 후 변조하는 경우에는 대부분의 웹 페이지가 공통적으로 사용하는 태그를 인식하여 악성코드를 삽입하기 때문에 웹 페이지가 시작되는 head, title 등의 태그 주변에 삽입 한다 . 그 이유는 패킷의 중간이나 끝부분에 삽입하고자 하면 TCP 패킷의 전송 특성상 대체하고자 하는 문자열이 분리 ( fragmentation) 와 재조합과정에서 나누어져서 문자열을 인식할 수 없는 가능성이 있기 때문이다 . 정기적인 ARP 패킷 다량 수신 : 피해 시스템에서 관리하는 ARP table 을 계속해서 변조한 상태로 유지하기 위해 공격자는 조작한 ARP 패킷을 지속적으로 발송하므로 , ARP 패킷의 수신량이 증가 한다 . 10ARP 스푸핑 탐지 방법 3. ARP 스푸핑 공격탐지 방법 ARP table 을 통한 MAC 주소 중복 확인 윈도우즈나 유닉스 / 리눅스 계열 모두 arp -a 명령과 같이 ARP table 을 조회하는 명령으로 주변 시스템의 IP 와 MAC 주소를 확인한다 . 단 , 평소에 통신을 하지 않던 시스템의 MAC 주소도 확인해야 하므로 , 동일 서브네트워크의 모든 host 에 ping 명령이나 nmap 등의 도구를 사용하여 IP-MAC 주소를 모두 확보 한 후에 확인해야 한다 . ARP table 에 동일한 MAC 주소가 서로 다른 IP 에서 사용되고 있는지 확인한다 . 11ARP 스푸핑 탐지 방법 ( 계속 ) 3. ARP 스푸핑 공격탐지 방법 2) 송수신 패킷에서 악성코드 유무 검사 tcpdump , 이더리얼 , 패킷뷰어 등의 패킷분석 도구를 사용하여 실제로 서버로 부터 송신되는 패킷에 악성코드가 삽입되어 있는지 확인 해 본다 . 만약 송신되는 패킷내에 iframe 등을 악용한 악성코드가 있다면 ARP Spoofing 공격으로 인한 사고가 아니라 , 서버 내부에 악성코드가 존재하는 것이므로 ARP Spoofing 이 아닐 것이다 . 하지만 서버로부터 송신되는 패킷에는 아무런 악성코드가 없는데 , 클라이언트가 수신하는 패킷에 악성코드가 삽입되어 있다면 ARP Spoofing 으로 인해 패킷이 변조되었을 가능성이 대단히 높다 . tcpdump 를 활용할 경우에는 서버로부터 전송되는 패킷에 악성코드가 있는지를 확인 해 보기 위해 tcpdump -w[log 파일명 ] -s 1500 port 80 명령으로 송신되는 패킷을 저장한 후 tcpdump - Xqnr 명령으로 저장된 패킷을 ACII 모드로 변환하여 조회 해 본다 . 123) 비정상적인 ARP 패킷 수신 확인 ARP 스푸핑 탐지 방법 ( 계속 ) 3. ARP 스푸핑 공격탐지 방법 ARP Spoofing 공격이 실행되고 있을 때 , 피해서버 측에서 ARP 패킷을 수집하여 분석해 보면 필요 이상의 reply 패킷이 수신되고 있음을 알 수 있다 . 서버들의 경우 인터넷서비스를 위해 계속해서 게이트웨이와 통신을 하기 때문에 게이트웨이의 MAC 주소가 ARP table 에서 삭제되지 않으므로 , 수 초마다 계속해서 request 가 없는 ARP reply 패킷만 수신될 이유가 없다 . 134) ARP table 감시 도구 활용 ARP 스푸핑 탐지 방법 ( 계속 ) 3. ARP 스푸핑 공격탐지 방법 윈도우즈 계열의 ARP table 감시 도구는 sniffswitch , XArp 등이 있는데 , 프리웨어이면서 사용하기 쉬 운 감시 도구로는 Xarp 가 있다 . 이 도구를 다운로드 받을 수 있는 곳은 http:// www.chrismc.de 이며 , 2.0 버전도 있지만 ARP Spoofing 을 감시하기 위한 용도로는 v.0.1.5 도 충분하다 . 이 프로그램을 실행하면 ARP table 의 cache 상태를 나타내며 , ARP table 에서 동일 IP 에서 MAC 주소가 변경된 시점의 시간이 표시된다 . 14정적 ARP Table TEXT 보안수준 강 화 중요 패킷 암호 화 윈도우계열에서 사용하는 시작 / 종료 스크립트에 정적으로 관리하고자 하는 시스템의 IP 와 MAC 주소를 입력하는 스크립트를 지정하거나 , 리눅스계열에서 rc3.d 와 같이 시작 스크립트를 기동하는 곳에서 스크립트를 실행하도록 하여 재부팅 시에도 항상 정적인 ARP table 이 관리될 수 있도록 한다 . 시스템에서 방지대책 4. ARP 스푸핑 방지 대책 지금까지 신고 / 접수되어 분석한 대부분의 ARP Spoofing 서버들은 본래의 용도 외에 침입자가 설치한 프로그램으로 인해 네트워크 트래픽 변조 서버로 악용된 것이었다 . 그러므로 전체적인 보안수준을 강화하여 , 공격자에게 악용되지 않도록 관리하여야 한다 . 자신의 서버를 안전하게 구축하였다고 하더라도 공격자는 동일 Subnet 내의 취약한 서버를 해킹하여 트래픽의 도청 및 변조가 가능하다 . 따라서 , 네트워크를 통해 ID/PW, 주민번호 , 금융정보 등 중요 데이터가 송수신될 경우 공격자에 의해 유출되거나 변조될 수 있으므로 이러한 데이터에 대한 암호화가 바람직하다 . 15MAC 주소 관 리 TEXT ARP 패킷 검 사 사설 VLAN 기능 활용 네트워크 장비에서 방지대책 4. ARP 스푸핑 방지 대책 시스코 장비에서는 Port security 라는 기능을 물리적인 포트가 수용할 수 있는 MAC 주소의 개수를 지정하거나 사용 가능한 MAC 주소를 지정할 수 있다 . Port Security 기능과 유사한 기능으로써 , 스위치에 수신되는 ARP 패킷들을 검사하여 마치 IP 필터링을 하는 방화벽의 동작과 유사하게 지정된 경로로만 ARP 패킷이 전송되도록 하는 기능을 사용하는 것도 효과적이다 . 동일 서브네트워크 이지만 , 지정한 호스트만 통신을 가능하도록 하는 사설 VLAN 기능을 활용하여 서로 통신할 필요가 없는 서버들을 격리시켜 운용한다 . 164. ARP 스푸핑 방지 대책 ( 그림 ) 사설 VLAN 개념도 17Reference e4u 영한사전 무선 네트워크해킹 방지 솔루션 ( 정보문화사 ) 정보보안 개론과 실습 ( 한빛미디어 ) – 12 장 스푸핑 해킹 , 침해사고 분석 ( 志嬋 ) – 7 장 ARP 스푸핑 인터넷 침해사고 동향 및 분석 월보 (KISA 인터넷침해 대응센터 ) - 2007 년 6 월호 “ARP Spoofing 공격 및 대책 ” 18Thank You !{nameOfApplication=Show}

공학/기술| 2012.06.13| 19페이지| 1,000원| 조회(276)

스푸핑, ARP스푸핑, 스푸핑탐지기법, 스푸핑 악성코드, 스푸핑 패킷, 스푸핑 A..

미리보기

닫기