정보보안기사&산업기사 필기 1장 요약 - 정보보호 개요

* 2020 조현준 정보보안기사 산업기사 필기 + 핵심기출 1200제 정보보안기사 & 산업기사 필기 교재를 기반으로 요약하였습니다.

Section 01. 정보보호관리의 개념

1. 정보보호

1) 정의

• 사전적 의미 : 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생하는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수잠, 또는 그러한 수단으로 이루어지는 행위

• 기밀성, 무결성, 가용성, 인증성, 부인방지를 보장하기 위해 기술적, 물리적, 관리적 보호대책을 강구하는 것

• 가용성과 보안측면 : 정보의 활용과 정보의 통제 사이에서 균형감각을 갖는 행위

2) 정보의 가용성과 안전성(보안성)

• 사용 가능한 자원을 쉽게 얻으면서도 정보에 위협이 되는 요소를 최소화하는 균형점을 찾는 것

• 정보의 활용 = 가용성 극대화

• 정보의 통제 = 안정성 확보하기 위해 최대한 통제

3) 정보보호의 목표

(가) 기밀성(Confidentiality)

→ 오직 인가된 사람, 프로세스,시스템만이 알 필요성에 근거하여 시스템에 접근해야 한다는 원칙

→ 기밀성을 보장하기 위한 보안 기술 : 접근 제어, 암호화

(나) 무결성

→ 정보의 내용이 불법적으로 생성 또는 변경되거나 삭제되지 않도록 보호되어야 하는 성질

→ 무결성을 보장하기 위한 보안 기술 : 접근 제어, 메시지 인증

(다) 가용성

→ 필요시 권한이 있는 사용자(합법적 사용자)가 이용할 수 있어야 한다.

→ 가용성 확보하기 위한 기술 : 데이터 백업, 중복성 유지, 물리적 위협요소로부터의 보호

(라) 인증성

→ 진짜라는 성질을 확인할 수 있고, 확인 및 신뢰할 수 있다는 것

(마) 책임추적성

→ 보안 목적 : 부인 봉쇄, 억제, 결함 분리, 침입 탐지 예방, 사후 복구 - 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항이 포함

→ 보안 침해에 대한 책임이 있는 곳까지 추적할 수 있는 것

※ 부인봉쇄(부인방지): 메시지의 송수신이나 교환 후 또는 통신이나 처리가 실행된 후에 그 사실을 사후에 증명함으로써 사실 부인을 방지하는 보안 기술

2. 정보보호 관리

★ TIP!

정보보호 : 정보의 수집/가공/저장/검색/송수신 중에 발생하는 정보의 훼손,변조,유출 등을 방지하기 위한 관리적/기술적 수단

정보보호 관리 시스템 : 정보통신망의 안정성 및 신뢰성을 확보하여 정보자산의 CIA Triad를 실현하기 위한 관리적/기술적 수단과 절차 및 과정을 체계적으로 관리, 운영하는 체계

▶ 기술적 보호 대책 : 정보 시스템, 통신망, 정보를 보호하기 위한 가장 기본적인 대책(접근통제, 암호기술, 백업체제, 정보시스템 자체에 보안성이 강화된 시스템 소프트웨어)

▶ 물리적 보호 대책 : 자연재해로부터 정보시스템이 위치한 정보처리시설을 보호하기 위한 자연재해 대책, 외부 파괴로 부터 대책(출입통제,잠금 장치)

▶ 관리적 보호 대책 : 법/제도/규정/교육 등을 확립하고, 보안 계획을 수립하여 이를 운영하며, 위험분석 및 보안감사를 시행하여 정보시스템의 안전성과 신뢰성을 확보하기 위한 대책

3. OSI 보안 구조

1) OSI 보안 구소 핵심

• 보안 공격 : 기관이 소유한 정보의 안전성을 침해하는 제반 행위

• 보안 서비스 : 조직의 정보 전송과 데이터 처리 시스템의 보안을 강화하기 위한 처리 또는 통신 서비스

• 보안 메커니즘 : 보안 공격을 탐지, 예방하거나 공격으로 인한 침해를 복구하는 절차

2) 보안 공격

• 적극적 공격 : 파일이나 메시지를 수정하거나, 서비스 거부 공격(시스템 자원, 작동에 영향을 끼치는 것)

• 소극적 공격 : 파일이나 메시지를 불법적으로 읽거나, 트래픽을 분석하는 것(시스템 자원에는 영향을 끼치지 않지만 획득하거나 사용하는 시도)

▶ 소극적/적극적 공격의 분류

▶ 보안 목표와 관련된 공격의 분류

2-1) 기밀성을 위협하는 공격

• Snooping : 데이터에 대한 비인가 접근 또는 탈취

• Traffic Analysis : 데이터를 암호화하더라도 온라인 트래픽을 분석함으로써 다른 형태의 정보를 얻는 것

2-2) 무결성을 위협하는 공격

• Modification : 적법한 메시지의 일부를 불법으로 수정 또는 인가되지 않은 효과를 노리는 행위

• Masquerading : 다른 형태의 적극적 고역과 병행해서 수행 / 한 개체가 다른 개체의 행세를 하는 신분위장

• Replaying : 획득한 데이터 단위를 보관하고 있다가 시간이 지난 후 재전송함으로써 인가되지 않은 사항에 접근하는 효과

• Requdiation : 자신이 보낸 메시지를 부인하거나 받은 것을 부인하는 것

2-3) 가용성을 위협하는 공격

• Denial of service: 시스템의 서비스를 느리게하거나 완전히 차단하는 것

[보안용어 정의]

· 자산(Asset) : 데이터 혹은 자산 소유자가 가치를 부여한 실체

· 취약점(Vulnerability) : 위협의 이용대상으로 관리적, 물리적, 기술적 약점을 의미

· 위협(Threat) : 손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합

· 가로채기 : 비인가된 당사자가 자산으로의 접근을 획득한 것 → 기밀성에 영향

· 가로막음 : 시스템 자산은 손실되거나, 사용 불가능하게 됨 → 가용성에 영향

· 변조 : 비인가된 당사자가 접근하여 그 내용을 변경 → 무결성에 영향

· 위조 : 불법 객체의 위조 정보를 생성 → 무결성에 영향

· 위협주체(Treat agents) : 취약점을 이용하는 존재

· 위험(Risk) : 공격자(위협 주체)가 취약점을 이용하여 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가지고 올 가능성

· 노출(Exposure) : 위협 주체로 인해 손실이 발생할 수 있는 경우

· 대책/안전장치(Countermeasure/Safeguard) : 잠재적 위험을 완화시키기 위해 배치

· 다계층 보안/심층 방어 : 여러 계층의 보안대책이나 대응 수단을 구성하는 것

· 직무상의 신의성실, 노력

· Due : 특정 목적을 위해 필요하거나 요구되는 적절하고 충분한 의무

· Due care : 특정 목적을 위하여 필요하거나 요구되는 충분한 주의

· Due Diligence : 특정 목적을 위하여 필요하거나 요구되는 충분한 노력

· 사회공학 : 어떤 사람을 속임으로써 허가되지 않은 접근을 획득하는 것

[시점별 통제]

• 예방통제 : 사전에 위협과 취약점에 대처하는 통제

• 탐지통제 : 위협을 탐지하는 통제. 빠르게 탐지할수록 대처하기 용이

• 교정통제 : 이미 탐지된 위협이나 취약점에 대처/감소시키는 통제

→ 예방→탐지→교정순으로적용