01. 정보화 사회의 정보보호
(1) 정보보호
1) 정의
정보보호의 사전적 의미를 살펴보면 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생하는 정보의 훼손, 변조, 유출등을 방지하기 위한 관리적, 기술적 수단, 또는 그러한 수단으로 이루어지는 행위이다.
정보보호는 기밀성 , 무결성 , 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적·물리적·관리적 보호대책을 강구하는 것 이라고 할 수 있다.
*기밀성, 무결성, 가용성 중요 체크
2)정보의 가용성과 안정성(보안성)
정보보호란 정보의 활용과 정보의 통제 사이에서 균형감각을 갖는 행위이며, 정보의 활용은 정보의 가용성을 극대화함으로서, 정보의 통제는 위협 요소를 줄이고 안정성을 확보하기위해 최대한 통제를 하자는 의미이다.
3)정보보호의 목표
**(가) 기밀성(Confidentiality)
오직 인가된 사람, 인가된 프로세스, 인가된 시스템만이 알 필요성에 근거하여 시스템에 접근해야 한다는 원칙
위협요소: 도청, 사회공학
**(나) 무결성(Integrity)
정보의 내용이 불법적으로 생성 또는 변경되거나 삭제되지 않도록 보호되어야 하는 성질
위협요소: 논리폭탄, 백도어, 바이러스
**(다) 가용성(Availability)
정당한 사용자가 정보시스템의 데이터 또는 자원을 필요할 때 지체 없이 원하는 객체 또는 자원에 접근하여 사용할 수 있는 성질
위협요소: DoS, DDoS, 지진, 홍수, 화재
(라)인증성
접근 자격이나 객체의 내용을 검증
(마)책임추적성
개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 함
(바)부인방지
02. 정보보호 관리
1) 정보보호 관리의 개념
정보는 관리되어야 한다.
2) 정보보호 관리와 정보보호 대책
(가) 기술적 보호 대책
시스템 소프트웨어를 사용하는 대책
(나) 물리적 보호 대책
화재, 수해,지진 등과 물리적충격 같은 자연재해로 인한 대책
(다) 관리적 보호 대책
법,제도,규정을 확립하여 대책
03. OSI 보안 구조
보안 공격
보안의 세 가지 목표(기밀성, 무결성, 가용성)는 보안 공격에 의해 위협받을 수 있다.
1) 기밀성을 위협하는 공격
(가) 스누핑(Snooping)
데이터에 대한 비인가 접근 또는 탈취
(나) 트래픽분석(Traffic Analysis)
트래픽을 분석하여 정보를 얻을 수 있다.
2) 무결성을 위협하는 공격
(가) 변경(메세지 수정, Modification)
메시지의 일부를 불법으로 수정하거나 변경
ex) 약속시간 7시 → 5시로 수정
(나) 가장(Masquerading)
신분위장은 한 개체가 다른 개체의 행세를 하는 것이다.
ex) 나 누구누구인데 돈좀 빌려줘 와 같은 행위
(다) 재연(재전송, Replaying)
시간이 경과한후에 재전송함으로써 인가되지 않은 사항에 접근
(라) 부인(Repudiation)
1. 자신이 메시지를 보냈다는것을 부인
*2. 부인방지(부인 봉쇄, Nonrepudiation)
부인 봉쇄란 송수신한 사람이 송수신을 해놓고 그것에 대한 부인하지 못하도록 막는것
3) 가용성을 위협하는 공격
(가) 서비스 거부(Denial of Service, DoS)
서비스를 느리게하거나 완전히 차단할 수 있다.
**4) 소극적 공격과 적극적 공격
소극적 공격 : 시스템으로부터 정보를 획득하거나 사용하려는 시도를 말하고, 시스템 자원에는 영향을 끼치지 않는 공격 형태
EX) 기밀성(스누핑,트래픽분석)
적극적 공격 : 시스템 자원을 실질적으로 변경하거나 시스템 작동에 영향을 끼치는 공격 형태
EX) 무결성(수정,가장,재연,부인) , 가용성(DoS)
03. 기본 보안용어
1) 시점별 통제
예방통제 : 사전에 위협과 취약점에 대처하는 통제이다.
탐지통제 : 위협을 탐지하는 통제로, 빠르게 탐지할수록 대처하기에 용이하다.
교정통제 : 이미 탐지된 위협이나 취약점에 대처하거나, 위협이나 취약점을 감소시키는 통제이다.
