정보보호 개론 정보보호 분야에 대한 전반적인 개념 이해.

Presentation on theme: "정보보호 개론 정보보호 분야에 대한 전반적인 개념 이해."— Presentation transcript:

1 정보보호 개론 정보보호 분야에 대한 전반적인 개념 이해

2 1 정보보호의 의미와 용어 이해 1 2 정보보안의 위협 요소 이해 2 3 정보보안의 목표 이해 3

3 정보사회 정보사회란? 정보사회의 현상 정보통신에 대한 의존도 증가
정보통신기술을 통해 인간이 보편적으로 사용하던 생활의 기본적 요소를 혁신적으로 변화시켜 정보의 처리, 가공, 축적, 활용을 통해 정보와 지식이 중요 재화로 인식되는 사회 정보사회의 현상 전통 산업에 IT가 접목되어 생산성 향상, 고부가가치산업 구조로 변환 사회, 문화적으로 정보교환 및 의사소통이 활발 수평적 쌍방향 커뮤니케이션 활성화로 권위주의가 약화되고 다양성, 개방성은 증대 온라인 쇼핑, 원격교육, 온라인 미디어 등의 급속한 확산으로 생활의 변화 인터넷의 정치적 영향력 증가 정보통신에 대한 의존도 증가 이미 정치, 경제, 사회, 문화 등 국민생활 전반에 신경계로서 자리잡고 있다. 국가발전을 촉진하는 새로운 원동력으로 자리매김하고 있다.

4 정보보호 배경 IT에 대한 의존도 증가 인터넷의 급속한 확산에 따른 사이버 공간의 폐해 인터넷을 통한 위협(threat) 증가
통신시스템, 교통통제시스템, 금융결재시스템, 방송시스템 등 인터넷의 급속한 확산에 따른 사이버 공간의 폐해 인터넷의 익명성, 비 대면성, 빠른 전파성, 시공간의 비 제약성 인터넷을 통한 위협(threat) 증가 자동화, 에이전트화, 광역화, 다형화, 전파력 증가 유비쿼터스 기술에 의한 다양한 기반 및 접근기술 증가 취약점 증가 (SW 버그가 SW 사이즈 만큼 증가하는 것 처럼) Off-line과 on-line의 경계 모호 Off-line 영역의 on-line화 증가와 공존 사이버 윤리 및 법적 규제와 대응의 필요 내부자 공격의 위협

5 정보보호의 필요성 유비쿼터스 컴퓨팅 시대에 과도한 개인정보 노출 공격 기술의 다양화, 악성화 공격기술 일반화 대책의 한계
가입 사이트별 개인신상 및 사용실적 보유 (쇼핑몰, 병원 등) 개인 식별을 위한 주민등록번호 의존도 증가 공격 기술의 다양화, 악성화 시스템 마비, 네트워크 마비, 서비스 방해, 크래킹 바이러스, 웜, 스파이웨어 등 악성루머 유포, 스팸메일 등 피싱 등 금융 관련 악성 피해 공격기술 일반화 인터넷을 통한 빠른 공격 기술 전파 대책의 한계 예방기술의 한계에 의한 사후약방문 유비쿼터스 컴퓨팅 시대에 대비한 보안 대책 필요 개인의 사생활 정보보호 필요성 증대

6 정보보호 정의 보안(Security) 정보보호 정보보안의 목표 (보안의 3요소) Confidentiality Integrity
자산의 본래 가치가 손상되지 못하도록 위협으로부터 자산을 적절한 방법으로 보호하는 것. 정보보호 각종 정보데이터 및 전산망에서의 자원들을 고의적으로 또는 실수에 의한 불법적인 노출, 변조, 파괴, 서비스지체로부터 보호하는 것. 정보보안의 목표 (보안의 3요소) 기밀성(Confidentiality) 무결성(Integrity) 가용성(Availability) Confidentiality Integrity Availability

7 보안 요소 (1) 위협(Threat) 취약성(Vulnerability) 위험(Risk)
정보시스템이나 통신망에 피해를 입힐 수 있는 잠재적 가능성을 갖고 있는 이벤트나 활동 - 자연적 또는 물리적: 화재, 홍수, 지진, 정전 - 부주의: 사전 지식이 없는 사용자에 의한 사고 - 고의: 공격자, 테러리스트, 산업스파이, 악성코드 취약성(Vulnerability) 안전 장치의 부재 또는 미비 물리적, 자연적: 잠그지 않은 문, 고장 난 시스템 하드웨어/소프트웨어: 업데이트 되지 않은 바이러스 백신 소프트웨어 통신: 암호화 되지 않는 프로토콜 위험(Risk) 정보시스템이나 통신망의 피해나 손실에 대한 잠재적 가능성

8 보안 요소 (2) 기밀성(Confidentiality) 무결성(Integrity) 가용성(Availability)
정보의 소유자가 원하는 대로 비밀이 유지되어야 한다는 원칙 허가받지 않은 비인가자나 프로세스에게 정보가 노출되지 않도록 하는 것을 보장 비밀성을 보장하기 위한 수단에는 접근통제, 암호화 등이 있음. 무결성(Integrity) 비인가자에 의한 정보의 변경, 삭제, 생성을 보호하여 정보의 정확성과 완전성 보장 무결성을 통제하기 위한 수단에는 물리적 통제, 접근통제, 인증 등이 있음. 가용성(Availability) 정보시스템은 적절한 방법으로 작동되어야 하며, 정당한 방법으로 권한이 주어진 사용자에게 정보서비스를 거부해서는 안 된다는 원칙 가용성확보를 위한 통제 수단에는 데이터백업, 중복 유지, 물리적 위협으로부터 보호 등이 있음.

9 정보보호의 위협 요소 불법 접근(Illegal Access) 데이터 도청(Interception)
데이터 가로막기(Interruption) 데이터 변조(Modification) 데이터 위조(Fabrication) 데이터 송수신 부인(Non-Repudiation) 서비스 방해

10 정보보호의 위협 유형 (1) 비인가자의 접근 접근이 정상적으로 허락되지 않은 사용자가 접근 요구되는 보안 요소: 인가
인가(Authorization) 컴퓨터 자원에 대해서 정당한 접근권한을 부여하고 관리하는 절차

11 정보보호의 위협 유형 (2) 데이터 도청(Interception)
네트워크 장비나 응용 프로그램을 이용하여 원치 않는 제3자가 중간에 정보를 조회하여 비밀성을 침해하는 수법 요구되는 보안 요소: 비밀성(암호화) *Sniffing: 네트워크 상에 흘러 다니는 패킷을 엿듣는 행위

12 정보보호의 위협 유형 (3) 데이터 가로막기(Interruption)
출발지로부터의 정보가 특정한 이유로 분실되거나 목적지에 도착하지 못하는 경우 요구되는 보안 요소: 가용성

13 정보보호의 위협 유형 (4) 데이터 변조(Modification) 정보의 일관성(integrity)을 침해할 수 있는 위협
요구되는 보안 요소: 무결성

14 정보보호의 위협 유형 (5) 데이터 위조(Fabrication)
허가되지 않은 사용자가 허위정보를 삽입하거나 시스템에 위장된 자료를 보내는 경우 요구되는 보안 요소: 인증 *Spoofing: 송신자 신분을 위조하는 공격 인증(Authentication) 전송 주체가 되는 송.수신자간에 상대방이 실제로 신고된 바로 그 대상인지를 판단하는 과정

15 정보보호의 위협 유형 (6) 데이터 송수신 부인봉쇄(Non-Repudiation)
데이터를 송신하거나 수신하였을 때, 송수신 사실 부인 전자상거래나 전자문서 송수신 경우 요구되는 보안 요소: 부인방지 온라인주문 (딸기 한상자 보내주세요) 보냈습니다. 수신 거부*반송 (주문한적 없습니다) 부인방지(Non-repudiation) 전송 주체가 되는 송.수신자가 송.수신 사실을 부인하지 못하게 하는 절차

16 정보보호의 위협 유형 (7) 서비스 방해 의미 없는 서비스 요구를 필요 이상으로 빈번히 발생시켜 서버가 정상적인 서비스를 수행하지 못하도록 방해 요구되는 보안 요소: 가용성

17 보안 및 해킹의 최신 경향 다양성 분산화 사회공학(Social Engineering) 보안 입문 연령층(10~50대)
피해 분야: PC나 서버 시스템, 네트워크 시스템, 휴대폰, 기타 전자기기 등 특정 호스트에서 네트워크나 도메인 전체 또는 불특정 다수를 대상 분산화 여러 개의 중계 PC를 이용한 DDoS(Distributed Denial of Service) 공격 직접 공격이 아닌 우회 공격 사회공학(Social Engineering) 기술이 아닌 사람의 심리, 느낌, 감정 등 인간이 가지고 있는 취약점을 이용한 공격 예) Voice Phishing 공격 내부자에 의한 피해 증가

18 최근 보안 핫 이슈 키보드 보안 피싱(Phishing) DRM(Digital Right Management)
사용자의 키보드 입력 정보를 도청 주로 주민등록번호, 계좌번호, ID, 비밀번호 등을 도청 피싱(Phishing) 전자메일에 첨부된 인터넷 주소를 클릭하면 실제 사이트와 동일해 보이는 위장 사이트로 접속되게 하여 사용자 개인 정보를 획득함. DRM(Digital Right Management) 디지털 콘텐츠의 지적 자산에 대한 권리를 지속적으로 관리 및 보호하는 기술 DDos(Distributed Denial of Service) 공격 서비스를 제공하는 서버에 불필요한 서비스 요구를 지속적으로 증가시켜 정상적인 서비스를 제공하지 못하도록 방해하는 공격 방법인 DoS공격을 여러 대의 분산된 PC를 이용해 수행하는 공격

19 7.7 디도스 인터넷 대란 특징 2009년 7월 7일, 국내 및 미국 주요 사이트에 대한 대량 트레픽을 유발하는 공격이 발생 공격 목표가 다수 (1차 21개, 2차 26개, 3차 14개, 4차 7개 사이트) 국가기관이 공격 대상에 포함 공격에 동원된 좀비 PC가 최소 3~18만대로 추정 과도한 UDP 또는 TCP Syn을 유도하는 공격 유형에서, 좀비 수자를 늘리고 정상접속으로 보이는 슬로우 공격을 감행 HTTP Get 플러딩 공격 및 CC(cache control) 공격이 핵심 공격 유형 대부분 좀비 PC는 한국에 위치 스케줄에 따른 순차 공격 (대상 공격 사이트 다변화) 공격 대상 사이트 2차(7.7 18: :00): 국내 12개(청와대, 국방부, 국회, 외교통산부, MSN, 농협, 외환은행, 신한은행, 조선일보, 한나라당, 주한미군), 미국 14개 사이트 공격 3차(7.8 18: :00): 국내 13개(청와대, 국방부, 국정원, 전자민원, MSN, 다음, 하나/ 우리/국민은행, 조선일보, 안철수연구소, 주한미군), 미국 1개 사이트 공격

20 보안 분야 (1) 시스템 보안 네트워크 보안 정의: 운영체제의 취약성을 이용한 공격
기업 업무의 온라인화로 기업 외부 사용자들의 접근이 용이하여 공격에 노출 계정에 의한 접근제어, 권한 관리, 로그, 네트워크 제한, 호스트기반 침입탐지에 의한 보호 네트워크 보안 네트워크 프로토콜의 취약성을 이용한 공격 서비스 거부 공격(Denial of Service), 분산 서비스 거부 공격(Distributed DoS), Spoofing 공격, Sniffing 공격, Session Hijacking 공격 방화벽, 침입탐지시스템을 설치하여 보호

21 보안 분야 (2) 어플리케이션 보안 데이터 보안 물리적 보안
어플리케이션 코드의 불완전성(bug), 웹서버, DBMS서버의 취약성을 이용한 공격 버퍼 오버플로우, 인증 우회, SQL코드 삽입, 쿠키 조작 공격 등 어플리케이션에 의한 사용자 인증, 권한관리, 암호화, 로그 기록 등을 통한 보호 데이터 보안 시스템 결함 또는 고의적인 공격에 의한 데이터의 변경, 삭제, 삽입, 유출로부터 보호 접근제어, 권한관리, 데이터 암호화, 데이터 백업, 데이터 이중 유지, 감사 활동으로 보호 물리적 보안 정보 시스템 자산을 절도, 파괴, 화재 등과 같은 갇종 물리적인 위협으로부터 보호하는 방법 관리적 통제: 시설 관리, 인적 관리, 교육, 비상 훈련 등에 의한 보호 기술적 통제: 접근통제, 침입탐지(센서, CCTV), 화재탐지 및 진압, 백업, 항온항습 장치 물리적 통제: 담장, 잠금 장치, 시설

22 정보보호 개념의 변화 정보보호 개념 변화 변화 통신보안(Communication Security)
컴퓨터보안(computer Security) 네트워크보안 (Network Security) 정보보안(Information Security) 정보전(Information Warfare) 정보보증(Information Assurance) 변화 정보전(Information Warfare)  정보보증(Information Assurance) 암호기술 및 서비스 중심에서 정보의 가용성을 중시 정보전이란 “우리 자신의 정보, 정보체계는 방어하는 한편 적의 정보, 정보체계에 영향을 미쳐 정보우위를 달성하기 위해 취하는 행위” 정보보증이란 “정보 및 정보체계의 가용성, 무결성, 기밀성, 인증 및 부인방지를 포함해 정보 및 정보체계를 보호하고 방어하는 정보작전으로 보호, 탐지 및 대응능력을 동원 함으로서 정보의 복구능력을 제공한다”

23 정보보안 정책 관리적 보안 정책 기술적 보안 정책 물리적 보안 정책 보안정책, 인원관리 절차관리 사고대책관리
서버(시스템 보안), 데이터베이스 보안 네트워크 보안 응용시스템 보안 물리적 보안 정책 전산실 출입통제 및 콘솔 접근통제

24 정보보호관리체계 인증제도 등급: K0, K1, K2, K3, K4, K5, K6, K7 법적근거 인증제도 인증대상
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조: 정보보호관리체계의 인증 인증제도 기관: 한국정보보호진흥원(KISA: Korea Information Security Agency) 보안전문가들에 의한 인증 심사 후 등급 부여 등급: K0, K1, K2, K3, K4, K5, K6, K7 인증대상 정보체계 시스템