[정보처리기사 실기] 06. 소프트웨어 개발 보안 구축 - SW 개발 보안 설계

배경색 되어 있는 부분은 암기해야 해요(암기할게 많네요ㅠ)

1. 소프트웨어 개발 보안 설계

SW 개발 보안의 개념

- 소스 코드 등에 존재하는 보안 취약점을 제거하고, 보안을 고려하여 기능을 설계 및 구현하는 등
소프트웨어 과정에서 지켜야 할 일련의 보안 활동을 말한다.

SW 개발 보안의 구성요소

SW 개발 보안의 3대 요소

- 기밀성(Confidentiality) : 인가되지 않은 개인 혹은 시스템 접근에 따른 정보 공개 및 노출을 차단하는 특성

- 무결성(Integrity) : 정당한 방법을 따르지 않고서는 데이터가 변경 될 수 없으며, 데이터의 정확성 및 완전성과 고의/악의로 변경되거나 훼손되지 않음을 보장

- 가용성(Availability) : 권한을 가진 사용자나 애플리케이션이 원하는 서비스를 지속해서 사용할 수 있도록 보장하는 특성

SW 개발 보안 용어

- 자산(Assets) : 조직의 데이터 또는 조직의 소유자가 부여한 대상

- 위협(Threat) : 조직이나 기업의 자산에 악영향을 끼칠 수 있는 사건이나 행위

- 취약점(Vulnerability) : 위협이 발생하기 위한 사전 조건

- 위험(Risk) : 위협이 취약점을 이용해 조직의 자산 손실 피해를 가져올 가능성

SW 개발 보안을 위한 공격기법의 이해

DoS 공격

- 시스템을 악의적으로 공격해서 해당 시스템의 자원을 부족하게 하여 원래 의도된 용도로 사용하지 못하게 하는 공격

Dos 공격의 종류

- SYN Flooding : TCP 프로토콜의 구조적 문제를 이용한 공격, SYN 패킷만 보냄

- UDP Flooding : 대량의 UDP 패킷을 만들어 임의의 포트 번호로 전송

- 스머프(Smurf)/스머핑(Smurfing) : 출발지 주소를 공격 대상의 IP로 설정하여, 네트워크 전체에게 ICMP Echo 패킷을 직접 브로드 캐스팅해 마비시킴

- 죽음의 핑(PoD; Ping of Death) : ICMP 패킷(핑)을 정상적인 크기보다 아주 크게 만들어 전송

- 랜드 어택(Land Attack) : 출발지 IP와 목적지 IP를 같은 패킷 주소로 만들어 보내, 수신자가 자기 자신에게 응답(루프)

- 티어 드롭(Tear Drop) : IP 패킷의 재조합 과정에서 잘못된 Fragment Offset 정보로 인해 수신 시스템이 단편화된 패킷의 재조합 과정에서 문제를 발생하도록 만드는 Dos 공격 / IP 헤더가 조작된 일련의 IP 패킷 조각(IP Fragment)들을 전송

- 봉크(Bonk) / 보잉크(Boink) : 프로토콜의 오류 제어를 이용한 공격기법으로 시스템의 패킷 재전송과 재조립이 과부하를 유발

봉크(Bonk) : 같은 시퀀스 번호를 계속 보냄
보잉크(Boink) : 일정한 간격으로 시퀀스 번호에 빈 공간 생성

DDoS (Distrivuted DoS)

- 여러 대의 공격자를 분산 배치하여 동시에 동작하게 함으로써 특정 사이트 공격

DDoS 공격 도구

- Trinoo : 많은 소스로부터 통합된 UDP flood 서비스 거부 공격을 유발하는 데 사용되는 도구

- TNF (Tribe Flood Network) : Trinoo와 비슷한 분산 도구로 많은 소스에서 하나 혹은 여러 개의 목표 시스템에 대해 서비스 거부 공격을 할 수 있는 도구

- Stacheldraht : 분산 서비스 거부 에이전트 역할을 하는 Linux 및 Solaris 시스템용 멀웨어 도구

DRDoS 공격

DRDoS (Distributed Reflection DoS) 공격의 개념

- 공격자는 출발지 IP를 공격대상 IP로 위조하여 다수의 반사 서버로 요청 정보를 전송, 공격 대상자는 반사 서버로부터 다량의 응답을 받아서 서비스 거부(DoS)가 되는 공격

세션 하이재킹

- 세션 하이재킹은 케빈 미트닉이 사용했던 공격 방법 중 하나로 TCP의 세션 관리 취약점을 이용한 공격기법

세션 하이재킹 특징

- TCP Sequence Number의 보안성 취약점으로 발생

- Victim과 Server 사이의 패킷을 스니핑하여 Sequence Number를 휙드하고, 공격자는 데이터 전송 중인 Victim과 Server 사이클 비동기화 상태로 강제적으로 만들고, 스니핑하여 획득한 Client Sequence Number를 이용하여 공격하는 방식

- 비동기화 상태로 패킷이 유실되어 재전송 패킷이 증가한다.

- 세션 하이재킹을 통해 ACK Storm 증가, 네트워크 부하 증가 현상이 발생한다.

애플리케이션 공격기법

애플리케이션 공격은 HTTP와 관련된 공격이 주를 이룹니다.

최소한 밑줄 친 핵심 내용은 암기해야 할 것 같아요. ㅜ

- HTTP GET Flooding : 과도한 Get 메시지를 이용해 웹 서버의 과부하를 유발시키는 공격

- Slowloris (Slow HTTP Header DoS) : HTTP GET 메서드를 사용해 헤더의 최종 끝을 알리는 개행 문자열을 전송하지 않음

- RUDY (Slow HTTP POST DoS) : 요청 헤더의 Content-length를 비정상적으로 크게 설정하고 메시지 바디 부분을 매우 소량을 보내 계속 연결상태를 유지시키는 공격

- Slow HTTP Read DoS : TCP 윈도 크기와 데이터 처리율을 감소시킨 상태에서 다수 HTTP 패킷을 지속적으로 전송,
대상 웹 서버의 연결상태가 장시간 지속하면서 연결자원을 소진시키는 서비스 거부 공격

- Hulk DoS : 공격자가 공격대상 웹사이트 URL을 지속적으로 변경하면서 다량으로 GET 요청을 발생시키는 공격

- Hash DoS : 조작된 많은 수의 파라미터를 POST 방식으로 웹서버로 전달하여 다수의  해시 충돌을 발생시켜 자원을 소모시키는 서비스 거부 공격

웹서버는 클라이언트 HTTP 요청을 통해 전달되는 파라미터(매개정보)를 효율적으로 저장하고 검색하기 위한 자료 구조로 해시테이블을 주로 사용 / 이러한 특성을 악용한 공격 기법이 Hash DoS 이다.

네트워크 공격

- 스니핑 (Sniffing) : 공격대상에게 직접 공격 하지 않고 데이터만 몰래 들여다보는 수동적 공격 기법

- 네트워크 스캐너(Scanner), 스니퍼(Snifer) : 공격자가 HW, SW 구성의 취약점을 탐색하는 공격 도구

- IP 스푸핑(Spoofing) : 침입자가 인증된 컴퓨팅 시스템인 것처럼 속여 정보를 빼내기 위해 본인의 패킷 헤더를 인증된 호스트의 IP 어드레스로 위조해 타깃에 전송

- ARP 스푸핑(Spoofing) : 공격자가 특정 호스트의 MAC 주소를 자신의 MAC 주소로 위조한 ARP Reply를 만들어 희생자에게 지속적으로 전송

- ICMP Redirect 공격 : 스니핑 시스템을 네트워크에 존재하는 또 다른 라우터라고 알림으로써 패킷으 흐름을 바꾸는 공격 기법

- 트로이 목마(Trojan Horses) : 악성 루틴이 숨어 있는 프로그램, 겉보기에는 정상적인 프로그램처럼 보이지만 실행하면 악성 코드를 실행하는 프로그램

• 패스워드 크래킹 / 공격 (Password Cracking)
  • 사전(Dictionary) 공격 : ID와 패스워드가 될 가능성이 있는 단어를 파일로 만들어 놓음
  • 무차별(Brute Force) 대입 공격 : 패스워드로 사용 될 수 있는 영문자, 숫자, 특수 문자 등을 무작위로 패스워드 자리에 대입해 패스워드를 알아내는 공격 기법
  • 패스워드 하이브리드 공격 : 사전 공격 + 무차별 대입 공격
  • 레인보우 테이블 공격 : 패스워드 별로 해시 값을 미리 생성해 테이블에 모아 놓음, 크래킹 하고하 하는 해시 값을 해당 테이블에서 검색해서 패스워드를 찾는 공격기법

버퍼 오버플로우(Buffer Overflow) 공격

버퍼 오버플로우 공격은 메모리에 할당된 버퍼 크기를 초과하는 양의 데이터를 입력해 공격

버퍼 오버플로우 공격 유형

- 스택 버퍼 오버플로우 공격 : 메모리 영역 중 Local Value나 함수의 Return Address가 저장되는 스택 영역에서 발생하는 오버플로우 공격

- 힙 버퍼 오버플로우 공격 : 프로그램 실행 시 동적으로 할당되는 힙 영역에 할당된 버퍼 크기를 초과하는 데이터를 입력하여 메모리의 데이터와 함수 주소 등을 변경, 공격자가 원하는 임의의 코드를 실행하는 공격기법

버퍼 오버플로우 공격 대응 방안

- 스택가드 (Stackguard) : 카나리(Canary)라고 불리는 무결성 체크용 값을 복귀 주소와 변수 사이에 삽입해 두고, 버퍼 오버플로우 발생 시 카나리 값을 체크, 변할 경우 복귀 주소를 호출하지 않는 방식

- 스택쉴드 (Stack Shield) : 함수 시작 시 복귀 주소를 Global RET라는 특수 스택에 저장해 두고, 함수 종료 시 저장된 값과 스택의 RET 값을 비교해서 다를 경우 오버플로우로 간주하고 프로그램 실행을 중단

백도어(Backdoor)

- 어떤 제품이나 컴퓨터 시스템, 암호시스템 혹은 알고리즘에서 정상적인 인증 절차를 우회하는 기법

주요 시스템 보안 공격기법

- 포맷 스트링 공격(Format String Attack) : 외부로부터 입력된 값을 검증하지 않고 입출력 함수의 포맷 스트링을 그대로 사용하는 경우 발생하는 취약점 공격법

- 레이스 컨디션 공격(Race Condition Attack) : 둘 이상의 프로세스나 스레드가 공유 자원을 동시에 접근 할 때 실행되는 프로세스가 임시파일을 만드는 경우 악의적인 프로그램을 통해 그 프로세스의 실행 중에 끼어들어 임시파일을 심볼릭 링크 하여 악의적인 행위를 수행하게 하는 공격

- 키로거 공격(Key Logger Attack) : 컴퓨터 사용자의 움직임을 탐지해 저장해, 개인의 중요한 정보를 몰래 빼가는 해킹 공격

- 루트킷(Rootkit) : 시스템 침입 후 침입 사실을 숨긴 채 차후의 침입을 위한 백도어, 트로이 목마 설치 등 주로 불법적인 해킹에 사용되는 기능을 제공하는 프로그램의 모음

보안 관련 용어

- 스피어피싱 (Spear Phishing) : 사회 공학의 한 기법, 메일을 지속적으로 발송하여 본문 링크나 첨부된 파일을 클릭하도록 유도하여 사용자의 개인정보를 탈취하는 공격기법

- 스미싱 (Smishing) : 문자를 이용해서 신뢰할 수 있는 사람 흉내를 내어 개인 비밀정보를 요구하거나 소액 결제 유도하는 피싱 공격

- 큐싱 (Qshing) : 큐알 코드를 이용한 공격 기법

- 봇넷 (Botnet) : 악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 상태

- APT 공격 (Advanced Persistent Threat) : 특정 타깃을 목표로 해 다양한 수단을 통한 지속적이고 지능적인 맞춤형 공격 기법

- 랜섬웨어(Ransomware) : 감염된 시스템의 파일들을 암호화해 인질처럼 잡고 몸값을 요구하는 악성 소프트웨어

- 제로데이 공격 : 보안 취약점이 발견되어 널리 공표되기 전에 해당 취약점을 악용하여 이루어지는 보안 공격기법

- 공급망 공격 (Supply Chain Atack) : 소프트웨어 개발사의 네트워크에 침투하여 소스 코드의 수정 등을 통해 악의적인 코드를 삽입하거나 배포 서버에 접근하여 악의적인 파일로 변경하는 방식을 통해 사용자 PC에 소프트웨어를 설치 또는 업데이트 시에 자동적으로 감염되도록 하는 공격기법

- 웜 (Worm) : 스스로를 복제하여 네트워크 등의 연결을 통하여 전파하는 악성 소프트웨어 컴퓨터 프로그램

- 악성 봇 (Malicious Bot) : 스스로 실행되지 못하고, 해커의 명령에 의해 원격에서 제어 또는 실행이 가능한 프로그램 혹은 코드

- 이블 트윈 (Evil Twin) 공격 : 무선 WiFi 피싱 기법, 합법적인 WiFi 제공자처럼 행세해 정보를 탈취하는 무선 네트워크 기법

접근 통제 기법

- 인증(Authentication) : 주체의 신원을 검증하기 위한 활동

- 인가(Authorization) : 인증된 주체에게 접근을 허용하는 활동

인증 기술의 유형

- 지식기반 인증 : 사용자가 기억하고 있는 지식, ID/PW

- 소지기반 인증 : 소지하고 있는 사용자 물품, 공인인증서

- 생체기반 인증 : 고유한 사용자와 생체 정보, 홍채, 정맥, 얼굴, 지문

- 특징기반 인증 : 사용자의 특징 활용 서명, 발걸음, 몸짓

서버 접근 통제 유형

- 임의적 접근 통제 (DAC; Discretionary): 시스템에 대한 접근을 사용자/그룹의 신분 기반으로 제한

- 강제적 접근 통제 (MAC; Mandatory Access Control) : 시스템에 대한 접근을 시스템 정보의 허용등급을 기준으로 제한

- 역할 기반 접근 통제 (RBAC; Role Based Access Control) : 시스템에 대한 접근을 조직 내 맡은 역할을 기반으로 제한

3A (Authentication, Authorization, Accounting)

- 인증 (Authentication) : 접근을 시도하는 가입자 또는 단말에 대한 식별 및 신분을 검증

- 권한 부여 (Authorization) : 검증된 가입자나 단말에게 어떤 수준의 권한과 서비스를 허용

- 계정 관리 (Accounting) : 리소스 사용에 대한 정보를 수집하고 관리하는 서비스

접근 통제 보호 모델

- 벨-라파듈라 모델(BLP) : 미 국방부 지원 모델, 기밀성 강조

- 비바 모델 : 벨-라파듈라 모델 단점을 보안한 무결성 강조

암호 알고리즘

암호 알고리즘 개념 : 데이터의 무결성 및 기밀성 확보를 위해 정보를 쉽게 해독할 수 없는 형태로 변환하는 기법

양방향(암호화, 복호화)

• 대칭 키 암호 방식 = 비밀키 암호 방식 (암호화 키 = 복호화 키)
  • 블록 암호 방식 : DES, AES, SEED, ARIA, IDEA
  • 스트림 암호 방식 : RC4, LFSR, SEAL

일방향(암호화)

• 해시 암호 방식 : MAC, MDC

대칭 키 암호화 알고리즘

- DES : 1975년 미국 연방 표준국(NIST)에서 발표 / 블록 크기 64bit

- SEED : 1999년 한국인터넷진흥원(KISA)에서 개발 / 블록 크기 128bit 키 길이에 따라 256 bit, 16회 라운드

- AES : 2001년 미국 표준 기술 연구소(NIST)에서 발표, DES 상위호환 / 블록 크기 128bit 키 길이에 따라 128, 192, 256 bit

- ARIA : 2004년 국가정보원과 산학연구협회가 개발 / 블록 크기 128bit 키 길이에 따라 128, 192, 256 bit

- IDEA : DES를 대체하기 위해 스위스 연방 기술 기관에서 개발

- LFSR : 선형 되먹임 시프트 레지스터, 선형 함수로 계산

비대칭 키 암호화 알고리즘

- 디피-헬만 : 최초 공개키 알고리즘, 이산대수

- RSA : 1977년 3명의 MIT 수학 교수가 고안, 소인수 분해하는 수학적 알고리즘

- ECC : RSA 암호 방식에 대한 대안, 타원 곡선 암호

- ElGamal : 이산대수의 계산이 어려운 문제를 기본원리로 함

해시 암호화 알고리즘

- MD5 : MD4를 개선한 알고리즘, 프로그램이나 파일의 무결성 검사에 사용

- SHA-1 : NSA에서 미 정부 표준으로 지정, DSA에서 사용, 160비트의 해시 값 생성

- SHA-256/384/512 : SHA 알고리즘의 한 종류로 256비트의 해시값을 생성하는 해시함수

- HAS-160 : 국내 표준 서명 알고리즘을 위해 개발된 해시 함수, MD5 장점 + SHA-1 장점

IPSec (Internet Protocol Security)

- IP계층에서 무결성과 인증을 보장하는 인증 헤더와 기밀성을 보장하는 암호화를 이용한 IP 보안 프로토콜

- 인증, 암호화, 키 관리 프로토콜로 구성

SSL/TLS (Secure Socket Layer / Transport Layer Security)

- 전송계층과 응용계층 사이에서 클라이언트 서버 간의 웹 데이터 암호화, 상호 인증 및 전송 시 데이터 무결성을 보장하는 보안 프로토콜

S-HTTP (Secure Hypertext Transfer Protocol)

- 웹상에서 네트워크 트래픽을 암호화하는 중요 방법, 클라이언트와 서버 간 전송되는 모든 메시지를 각각 암호화해 전송하는 기술