01. 정보보호의 개요

제1장  정보보호의 개요

제1절 정보보호관리(Information Security)

제1항 정보보호

(１) 개념

1) 정보의 수집 및 가공, 저장, 검색, 송신, 수신 중에 발생하는 정보의 훼손 및 변조,유출 등을 방지하기 위한 관리적, 기술적 수단 또는 그러한 수단으로 이루어지는 행위를 말한다.

2) 정보보호는 “기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적,물리적,관리적 보호 대책을 강구하는 것”이라고 할 수 있다.

3)

가장 약한 링크 원칙 보안에서는‘Chain Rule’이란 것이 있다. 쇠사슬 양쪽 끝에서 잡아당기면 가장 약한 부분이 끊어진다. 쇠사슬의 전체 강도는 가장 강한 부분이 아닌 가장 약한 부분에 따라 결정된다. 보안도 마찬가지다.

정보 보안(Information Security)은 정보의 고전적 의미로서 정보 자체의 안전성과 무결성을 강조한 영역이고,정보 보호(Information Protection)는 정보의 보장적 의미로서 정보 내용의 기밀성,비밀성을 강조한 영역이라고 할수 있다.</w:wrap>

 

4) 고객의 자산을 보호하고 허용 가능한 위험 수준까지 낮추는 것이 목적이다.

5) 정보보호는 조직의 관리 활동에 있어 적절한 주의의무(Due care)가 포함되어야 한다.

6) 직무상의 신의성실, 노력

① Due

ü 특정 목적을 위하여 필요하거나 요구되는 적절하고 충분한 의무이다.

② Due care

ü 특정 목적을 위하여 필요하거나 요구되는 충분한 주의이다.

③ Due diligence

ü 특정 목적을 위하여 필요하거나 요구되는 충분한 노력이다.

 

(２) 정보 보호의 특성

1) 완벽한 보안은 100% 달성할 수 없다.

2) 보안을 강화할수록 시스템 성능은 낮아지거나 비용이 증가한다.

3) 보안 위험은 제거하는 것이 아니라 허용 가능한 수준으로 낮추는 것이 목적이다.

4) 조직에서 허용 가능한 수준(DoA, Degree of Assurance)에 따른다.

 

제2항 정보보호관리

(１) 정보보호 관리(Information Security Management)의 개념

1)

정보보호관리 정보보호 관리는 기업과 조직의 비즈니스 목적을 충족시키면서 수용 가능한 수준으로 위험을 낮추는 것이다.

정보는 기업이나 공공기관의 중요한 자산 중 하나로서, 기업이나 조직의 전략과 목적을 달성하는데 필수불가결한 요소이다.

 

2) 정보가 의도하지 않은 비 인가자에게 노출되거나 갈취 당하게 되면 위험을 초래할 수 있다.

3) 정보보호 관리는 기업과 조직의 비즈니스 목적을 충족시키면서 수용 가능한 수준으로 위험을 낮추는 것이다. 위험은 식별되거나 감소될 수는 있지만 완전히 제거될 수는 없으며, 위험은 제거대상이 아닌 관리대상이다.

4) 정보보호 관리를 위해서는 최고 경영진의 지원과 관심이 반드시 필요하다.

 

(２) 정보 보호의 통제

1) 기능에 의한 통제의 분류

정보는 기업이나 공공기관의 중요한 자산 중 하나로서, 기업이나 조직의 전략과 목적을 달성하는데 필수불가결한 요소이다.

 

② 기술적 통제

ü 정보 시스템, 통신망, 정보(데이터)를 보호하기 위한 가장 기본적인 대책이다.

ü 접근통제, 암호기술, 백업 체제, 정보시스템 자체에 보안성이 강화된 시스템 소프트웨어를 사용하는 등의 대책이 기술적 보호대책에 속한다.

ü 기술적 통제 항목

• 네트워크 접속 및 변경 관리

• 접근 통제,인증

• 시스템,서버, PC보안

• 모바일 장비 보안

• 바이러스 방지

• 운영 관리

• 문서 보안

• 데이터베이스 보안

 

③ 물리적 통제

ü 화재, 수해, 지진, 태풍 등과 같은 자연재해로부터 정보시스템이 위치한 정보처리 시설을 보호하기 위한 자연재해 대책이 있다.

ü 또한 불순 세력이나 적의 파괴로부터 정보시스템을 보호하기 위한 출입통제, 시건(잠금) 장치 등이 물리적 보안대책으로 구분된다.

ü 물리적 통제 항목

• 시설 관리

• 출입통제

• 전산센터의 입지 조건 및 주위환경

• 방재 및 내부 설비 관리

• 전산 장비 관리

• 시스템 시설 보호

• 백업 및 자료 보관

• 물리적 재해

 

④ 관리적 통제

ü 법, 제도, 규정, 교육 등을 확립하고, 보안계획을 수립하고 이를 운영(보안등급, 액세스 권한 등)하며, 위험분석 및 보안감사를 시행하여 정보시스템의 안전성과 신뢰성을 확보하기 위한 대책이다.

ü 조직체의 정보보호를 효과적으로 보장하기 위해서는 다양한 기술적 보호대책 뿐만 아니라 이들을 계획하고, 설계하며, 관리하기 위한 제도, 정책, 절차 등의 관리적 보호대책도 매우 중요하다.

ü 특히 내부자의 부당행위를 방지하기 위한 교육은 무엇보다도 중요하게 취급되어야 한다.

ü 관리적 통제 항목

• 정책 및 조직관리

• 정보보호 정책과 지침의 수립 및 관리

• 보안 조직의 구성 및 운영

• 보안 교육 실시

• 인원 관리

• 업무순환 계획

• 퇴직자,해고자 관리

• 입사시 신원조회

• 절차관리

• 사고대책관리

 

2) 행위에 의한 통제의 분류

① 예방적 통제(Preventive Control)

ü 컴퓨터 사기,절도,불법 침입,시스템 오류,부주의에 의한 파일 삭제등 컴퓨터와 관련된 모든 위해 요소를 사전에 예방하기 위한 행위

ü 논리적 접근 통제,파일 백업,보안 라벨링,물리적 보안 통제,임무 분리,최소 권한 정책,직원 훈련 및 보안 의식,위험 관리,위험 분석,침입 테스트,환경 통제 등

 

② 탐지적 통제(Detective Control)

ü 시스템 안전에 영향을 미치는 위해 요소를 탐지하기 위한 통제이며,예방 통제가 제대로 이루어졌는지를 판단하여 예방 통제 영역을 조정해 주는 역할 수행

ü 감사추적,침입탐지시스템,로그기록,바이러스 탐지,시스템 성능 모니터링 등

 

③ 교정(수정)적 통제(Corrective Control)

ü 탐지된 에러와 부주의에 의한 파일 삭제등 시스템에 발생한 피해를 원상회복하기 위한 통제

ü 복구 절차,연속성 계획,사고 처리,화재 진압등

 

 

제2절 정보보안 (Information Security)

제1항 정보보안의 개념

(１) '정보의 기밀성, 무결성, 가용성의 보존, 추가적으로 진정성(authenticity), 책임성(accountability), 부인방지(non-repudiation), 그리고 신뢰성(reliability)와 관계가 있을 수 있다.' (ISO/IEC 27000:2009)

(２) '인가되지 않은 접근, 사용, 폭로, 붕괴, 수정, 파괴로부터 정보와 정보 시스템을 보호해 기밀성, 무결성, 가용성을 제공하는 것' (CNSS, 2010)

(３) '인가된 사용자(기밀성)만이 정확하고 완전한 정보(무결성)로 필요할 때 접근할 수 있도록(가용성) 하는 일련의 작업' (ISACA, 2008)

 

제2항 정보보안의 3요소

(１) 기밀성(Confidentiality)

1) 인가된(authorized) 사람과 단체, 인가된 프로세스, 인가된 시스템만이 알 필요성(Need-to-know)에 근거하여 시스템에 접근해야 한다는 원칙이다.

2) 정보 소유자의 인가를 받은 사람만이 정보 접근이 가능하다.

3) 기밀성을 보장하기 위한 보안 기술에는 접근제어, 암호화 등이 있다.

 

(２) 무결성(Integrity)

1) 네트워크를 통하여 송수신되는 정보의 내용이 불법적으로 생성 또는 변경되거나 삭제되지 않도록 보호되어야 하는 성질을 말한다.

2) 무결성 왜곡이 항상 악의적인 행동의 결과로 나타나는 것은 아니다. 전력 차단과 같은 시스템 중단이 정보에 예상치 못한 변형을 일으킬 수 있다.

3) 무결성을 보장하기 위한 보안 기술에는 접근제어, 메시지 인증 등이 있으며, 정보가 이미 변경되었거나 변경 위험이 있을 때에는 이러한 변경을 탐지하여 복구할 수 있는 침입탐지, 백업 등의 기술이 필요하다.

 

(３) 가용성(Availability)

1) 시스템이 지체 없이 동작하도록 하고,합법적 사용자가 서비스 사용을 거절당하지 않도록 하는 것이다.

2) 정보는 지속적으로 변화하며,이는 인가된 자가 접근할 수 있어야 함을 의미한다.정보의 비 가용성은 조직에 있어 기밀성이나 무결성의 부족만큼이나 해롭다.

3) 가용성을 확보하기 위해서는 데이터의 백업,중복성의 유지,물리적 위협요소로부터의 보호 등의 보안 기술을 적용해야 한다.

 

제3항 정보보안 관련 용어정리

(１) 자산(Asset)

1) 데이터 혹은 자산의 소유자가 가치를 부여한 개체(개인정보, 영업비밀, 기자재 등)를 말한다.

2) 컴퓨터 시스템의 자산은 다음과 같이 분류된다.

① 하드웨어

ü 컴퓨터 시스템과 데이터 처리, 저장, 통신 장비

② 소프트웨어

ü 운영체제, 시스템 도구, 어플리케이션

③ 데이터

ü 파일, 데이터베이스, 암호 파일과 같은 보안 관련 데이터

④ 통신 설비와 네트워크

ü 지역과 광역 네트워크 통신 연결, 브리지, 라우터 등

 

(２) 취약점(Vulnerability)

1) 위협의 이용대상으로 관리적, 물리적, 기술적 약점이다. (정보보호 대책 미비)

2) 위협이 발생하기 위한 사전 조건이나 상황(평문전송, 입력값 미검증, 비밀번호 공유) 등을 말한다.

 

(３) 위협(Threat)

1) 자산에 대한 위협원의 공격 행동(해킹, 위, 변조, 삭제, 파손, 유출)으로 나타난다.

2) 임의의 위협은 네 가지 종류로 구분된다.

①

<!--[endif]--> interception : 기밀성에 영향 interruption : 가용성에 영향 modification : 무결성에 영향

Interception(가로채기)

 

ü 비 인가된 당사자가 자산으로의 접근을 획득(불법 복사, 도청 등)한 것을 의미한다. 기밀성에 영향을 미침

② Interruption(가로막음)

ü 하드웨어 장치의 악의적 파괴나 파일 삭제, 서비스 거부 공격 등으로 시스템 자산이 손실되거나, 손에 넣을 수 없거나, 사용 불가능하게 된다. 가용성에 영향을 미침

③ Modification(변조)

ü 비 인가된 당사자가 컴퓨팅 시스템상에서 불법 객체의 위조정보를 생성한다. 무결성에 영향을 미침

 

(４) 위협원(Threat agents)

1) 정보 자산에 해를 끼치는 행동을 할 수 있는 주체(해커, 일반 사용자, 컴퓨터 프로세스, 재난)를 말한다.

2) 위협원은 전문지식, 자원, 기회, 동기 측면에 따라 다변화되어 표현될 수 있다.

 

(５)

위험(Risk) 위험(Risk) = 자산(Asset) * 위협(Threat) * 취약점(Vulnerability) 위험은 제거대상이 아닌 관리대상이며, 위험은 식별되거나 감소될 수 있지만, 제거될 수는 없다.

 

1) 예상되는 위협에 의해 자산에 발생할 가능성이 있는 손실의 기대치, 자산의 가치 및 취약점과 위협 요소의 능력, 보호 대책의 효과 등에 의해 영향을 받는다.

2) 위협원이 취약점을 이용하여 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가져올 가능성이다.

 

(６) 노출(Exposure)

1) 위협 주체에게 손실(losses)을 드러내 보이는 경우를 말한다. 취약점은 발생 가능한 피해를 노출시킨다.

2) 패스워드 관리가 느슨하고 패스워드 규정이 집행되지 않으면, 사용자들의 패스워드가 유출되고 허가되지 않은 방법으로 사용될 가능성에 노출될 수 있다.

 

(７) 잔여 위험(Residual Risk)

1) 정보보호대책을 구현한 후에 남아 있는 위험이다.

2) 기업에서 받아들일 수 있을 만큼의 수준으로 위험을 감소시키기 위한 보안 대책이나 대응수단을 구현하고 난 후에 남는 위험을 말한다.

 

             자산 내에 크고 작은 보안 취약점들이 존재하며, 해커 또는 악의적인 내부자 등             위협원에 의한 해킹, 정보 유출, 시스템 파괴 등의 위협이 발생합니다. 위험이 발생할         확률은 자산의 가치가 높을수록, 취약점이 많을 수록, 위협의 대상에 노출될 수록   증가하며 위험으로 인해 자산에 악영향을 미칩니다.

 

(８) 사회공학

1) 컴퓨터 보안에서 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 깨뜨리기 위한 비 기술적 침입 수단이다.

2) 우선 통신망 보안 정보에 접근 권한이 있는 담당자와 신뢰를 쌓아 전화나 이메일을 통해 도움을 받고, 약점을 이용한다.

3) 가장 약한 링크 원칙(principle of weakness link)

① 보안은 가장 약한 링크보다 더 강할 수 없다. 이것이 방화벽에 전력을 공급하는 전원장치이건, 보안 응용 기반으로 동작하는 운영체제이건, 또는 제어 수단을 기획, 실현하고 관리하는 사람들이건 간에, 어떤 하나의 제어 수단의 실패가 전체 보안 실패를 야기한다.

 

 

제3절 OSI 보안 구조

제1항 개요

(１) 기본 개념

1)

X.800 오픈 시스템의 통신 프로토콜 계층의 보안 서비스로 정의되며, 시스템 혹은 데이터 전송의 적절한 보안을 보장

ITU-T 권고안 X.800, OSI 보안 구조는 관리자가 효과적으로 보안 문제를 조직화 할 수 있는 유용한 방법을 제공한다.

 

2) 보안 구조가 국제적으로 표준화되어 있기 때문에 컴퓨터나 통신장비 생산업체는 권고된 서비스와 메커니즘의 구조화된 정의에 따라 제품과 서비스에 보안 규정을 적용시킨다.

 

(２) OSI 보안 구조

1) 보안공격(Security Attack)

① 기관이 소유한 정보의 안전성을 침해하는 제반 행위를 말한다.

보안공격 지적인 위협을 수반하는 시스템 보안에 대한 침범을 말한다. 지적인 위험이란 보안 서비스를 교묘히 피하거나 시스템 보안 정책을 위반하는 정교한 시도를 말한다.

 

2) 보안 메커니즘(Security Mechanism)

① 보안 공격을 탐지, 예방하거나 공격으로 인한 침해를 복구하는 절차를 말한다.

3) 보안서비스(Security Service)

① 조직의 정보 전송과 데이터 처리 시스템의 보안을 강화하기 위한 처리 또는 통신 서비스. 이 서비스는 보안 공격에 대응하기 위한 것이며, 하나 또는 그 이상의 보안 메커니즘을 사용하여 서비스를 제공한다.

 

제2항 보안공격(Security Attack)

(１) 개요

1) 보안의 세가지 목표(기밀성, 무결성, 가용성)는 보안 공격에 의해 위협받을 수 있다. 보안 목표와 관련하여 세 개의 그룹으로 먼저 나누고, 다시 그 공격을 시스템에 미치는 영향에 따라

 

2) 보안의 세가지 목표(기밀성, 무결성, 가용성)는 보안 공격에 의해 위협받을 수 있다. 보안 목표와 관련하여 세 개의 그룹으로 먼저 나누고, 다시 그 공격을 시스템에 미치는 영향에 따라

 

(２) 기밀성(Confidentiality Attack) 침해 기술

기밀성 침해 기술은 인가되지 않은 사람 또는 시스템이 타인의 통신 과정에서 메시지를 몰래 엿볼 수 있는 기술을 말한다.

1) Snooping(스누핑)

① Sniffing vs. Snooping

ü Sniffing

• 스니핑의 사전적 의미는 '코를 킁킁거리다', '냄새를 맡다' 등의 뜻이 있다. 네크워크 상에서 자신이 아닌 다른 상대방의 패킷 교환을 엿듣는 것을 의미한다. 간단히 말하면 네트워크 트래픽을 도청(eavesdropping)하는 과정을 말한다.

ü Snooping(스누핑)

• Sniffing은 주로 몰래 엿듣는 의미가 강하고, Snooping은 합법적 도청을 의미한다.

 

 

② Sniffing의 원리

스니핑은 네트워크사에서 전송자와 수신자 사이에 주고 받는 데이터를 패킷 수준으로 분석하여 계정, 비밀번호, 프로토콜, 시스템정보 등 유의미한 내용을 알아내기 위한 해킹 기법입니다.

 

ü 이더넷 네트워크 내의 모든 호스트는 동일한 선을 공유하도록 설계되었으며, 호스트를 식별하기 위해서 MAC 주소를 사용한다.

ü 송신자는 자신의 MAC주소와 수신자 MAC주소 및 데이터를 함께 전송하게 되는데, 로컬 네트워크 내의 모든 호스트는 MAC 주소를 확인하여 본인이 아닐 경우 해당 패킷을 폐기한다.

ü 랜카드의 모드를 Promiscuous로 변경하게 되면 모든 패킷을 버리지 않고 해당 호스트에 전송이 된다.

 

 

2) Traffic Analysis(트래픽 분석)

① 데이터가 암호화되어서 도청자가 그 데이터를 이해할 수 없어도 도청자는 온라인 트래픽을 분석함으로써 다른 형태의 정보를 얻을 수 있다.

② 도청자는 수신자 또는 송신자의 전자 주소를 알아낼 수 있으며, 전송의 성향을 추측하는데 도움이 되는 질의와 응답의 쌍들을 수집할 수 있다.

 

(３) 무결성(Integrity) 침해 기술

1) Modification(변경, 메시지 수정)

① 메시지 수정이란 적법한 메시지의 일부를 불법적으로 수정하거나 메시지 전송을 지연시키거나 순서를 뒤바꾸어 인가되지 않은 효과를 노리는 행위를 말한다.

2) Masquerading(가장)

① 신분위장은 한 개체가 다른 개체의 행세를 하는 것이다. 이 공격은 다른 형태의 적극적 공격과 병행해서 수행된다.

3) Replaying(재연, 제전송)

① 재전송은 적극적 공격의 하나로, 획득한 데이터 단위를 보관하고 있다가 시간이 경과한 후에 재전송함으로써 인가되지 않은 사항에 접근하는 효과를 노리는 행위를 말한다.

4) Repudiation(부인)

① 메시지의 송신자는 차후에 자신이 메시지를 보냈다는 것을 부인할 수 있고, 메시지의 수신자는 차후에 메시지를 받았다는 것을 부인할 수 있다.

 

(４) 가용성(Availability) 침해 기술

1) Denial of Service(서비스 거부)

① DoS(서비스 거부)는 매우 일반적인 공격이다. 이 공격은 시스템의 서비스를 느리게 하거나 완전히 차단할 수 있다. 공격자는 이를 수행하기 위하여 다양한 전략을 사용할 수 있다.

(５) 소극적 공격과 적극적 공격

1)

RFC 2828 시스템 자원에 대한 보호의 구체적인 종류를 제공하기 위해 시스템에 의해 제공되는 프로세싱이나 통신 서비스, 보안 서비스는 보안 정책을 구현하고 보안 메커니즘에 의해 구현됨

Security Attack(보안 공격)을 X.800과 RFC 2828에 따라 분류하면 Passive Attack(소극적 공격)과Active Attack(적극적 공격)으로 나눌 수 있다.

 

 

 

 

① Passive Attack(소극적 공격)이란 시스템으로부터 정보를 획득하거나 사용하려는 시도이나 시스템 자원에는 영향을 미치지 않는 공격 형태를 의미한다.

② Active Attack(적극적 공격)이란 시스템 자원을 변경하거나 시스템 작동에 영향을 끼치는 공격 형태를 말한다.

 

 

2) Passive Attack(소극적 공격)

① Passive Attack에서 공격자의 목표는 단지 정보를 획득하는 것이다. 이는 공격자가 데이터를 변경하거나 시스템에 해를 끼치지 않는다는 것을 의미한다.

② 기밀성을 위협하는 Snooping, Traffic analysis과 같은 공격들은 Passive attack이다. 정보의 노출은 메시지의 송신자나 수신자에게 해를 끼칠 수 있지만 시스템은 영향을 받지 않는다.

 

3) Active Attack(적극적 공격)

① Active Attack으로 데이터를 바꾸거나 시스템에 해를 입힐 수 있다. 무결성과 가용성을 위협하는 공격이 Active Attack이다.

② Active Attack은 공격자가 다양한 방법들을 사용하기 때문에 일반적으로 방어하기 보다 탐지하는 것이 더 쉽다.

 

(６) 공격의 발원지에 따른 구분

1) 내부공격

① 보안 경계 내부의 존재에서 시작된 공격으로 내부자에게 시스템 자원 접근은 허가되나 허용된 권한 이상으로 사용하는 것을 말한다.

 

2) 외부공격

① 보안 경계 외부에서 허가되지 않은 불법적인 사용자에 의해 시작된 공격으로 인터넷상의 아마추어부터 조직화된 범죄자, 국제 테러리스트, 적국의 정부 등을 들 수 있다.

 

 

제3항 보안서비스(Security Service)

(１) 개요

1) X.800에서 보안 서비스란 시스템의 적절한 보안이나 데이터 전송의 보안을 보장하는 통신 개방 시스템의 프로토콜 계층에 의해서 제공되는 서비스이다.

2) 보안 서비스는 보안 정책(Security policy)을 구현하고 보안 메커니즘(Security mechanism)에 의해서 구현된다.

 

(２) Confidentiality(기밀성)

1) Confidentiality이란 소극적 공격으로부터 데이터를 보호하는 것을 말한다. 합법적인 실체만 읽을 수 있도록 보호하는 서비스를 말한다.

2) 메시지 내용 공개, 트래픽 흐름 분석, 도청으로부터 전송되는 메시지를 보호한다.

3) 암호 알고리즘을 이용한다.

 

(３) Integrity(무결성)

1) 합법적인 실체만 수정할 수 있도록 보호하는 서비스를 말한다.

2) 해시함수, 디지털 서명, 암호 알고리즘을 이용한다.

 

(４) Availability(가용성)

1) X.800과 RFC 2828에서 가용성이란 인가된 시스템이 자원에 접근할 필요가 있을 경우 사용하고자 할 때 시스템의 성능에 따라 시스템 자원에 접근할 수 있도록 하는 것을 말한다.

 

(５) Authentication(인증)

1) 이 서비스는 통신의 상대편에 대한 인증을 제공한다.

2) 연결지향(Connection-oriented) 통신에서 연결 성립 시 송신자 또는 수신자에 대한 인증(Peer entity authentication)을 제공하고, 비 연결지향(connectionless) 통신에서는 데이터의 출처를 인증한다.

① 대등 개체 인증(Peer entity authentication)

ü 통신하는 상대방의 신원을 확인시켜준다. 연결을 설정할 때와 데이터를 전송하는 과정 중에 이 인증 서비스를 사용한다.

② 데이터 출처 인증(Data origin authentication)

ü 데이터 단위의 출처에 대한 확인을 할 수 있다.

 

(６) Non-repudiation(부인방지, 부인봉쇄)

1) Non-repudiation이란 송신자나 수신자 양측이 메시지를 전송했거나 수신한 사실 자체를 부인하지 못하도록 막는 것을 말한다.

2) 어떤 메시지가 송신되었을 때 수신자는 그 메시지가 실제로 송신자라고 주장하는 주체로부터 송신되었음을 확인할 수 있다.

3) 어떤 메시지가 수신되었을 때 송신자는 그 메시지가 실제로 수신자라고 주장하는 주체에 의해서 수신되었음을 확신할 수 있다.

 

(７) Access Control(접근제어)

1) 네트워크 보안에서 Access control이란 통신 링크를 통한 호스트 시스템과 응용 간의 접근을 제한하고 통제할 수 있는 능력을 말한다.

2) 접근 시도를 하는 각 개체에 대해 우선 신원을 확인하거나 인증해야 하고, 이에 따라서 해당 개체에 적합한 접근 권한을 부여한다.

 

제4항 보안 메커니즘(Security Mechanism)

(１) 특정 프로토콜에 구현되는 보안 메커니즘

1) 암호화(Encipherment)

2) 디지털 서명(Digital Signature)

3) 접근제어(Access Control)

4) 데이터 무결성(Data Integrity)

5) 인증 교환(Authentication Exchange)

6) 트래픽 패딩(Traffic Padding)

7) 라우팅 제어(Routing Control)

8) 공증(Notarization)

 

(２) 특정한 프로토콜 계층이나 보안 서비스에 관련이 없는 메커니즘

1) 신뢰할 수 있는 기능(Trusted Functionality)

2) 보안 레이블(Security Label)

3) 이벤트 탐지(Event Detection)

4) 보안 감사 추적(Security Audit Trail)

5) 보안 복구(Security Recovery)

 

(３) 보안 서비스와 보안 메커니즘의 관계

 

 

제4절 해커(Hacker)

제1항 해킹(Hacking)

(１) 기본 개념

1) 넓은 의미에서는 해커들의 모든 불법적인 행위들을 해킹이라고 하며,좁은 의미에서는 정보시스템 전산망에서의 보안 침해사고를 발생시키는 행위들을 의미한다.

① 불법 침입

ü 인가 받지 않은 다른 정보시스템에 불법으로 접근

② 불법 자료 열람

ü 허가되지 않은 불법 접근을 통해 주요 정보를 열람

③ 불법 자료 유출

ü 개인이나 조직의 주요 정보를 불법으로 유출

④ 불법 자료 변조

ü 시스템 내의 자료나 개인의 자료를 변조

⑤ 불법 자료 파괴

ü 시스템의 자료를 불법으로 파괴하는 행위

⑥ 정상 동작 방해

ü 시스템의 정상적인 동작을 방해하거나 정지

 

제2항 해커(Hacker)

(１) 고전적 의미

1) 해커(Hacker)

① 컴퓨터 시스템의 내부 구조와 동작 따위에 심취하여 이를 알고자 노력하는 사람으로 대부분 뛰어난 컴퓨터 및 통신 실력을 가진 사람

 

2) 크래커(Cracker)

① 침입자(intruder) 또는 공격자(invader)라고도 하며,다른 사람의 컴퓨터 시스템에 무단으로 침입하여 정보를 훔치거나 프로그램을 훼손하는 등의 불법 행위를 하는 사람

 

(２) 일반적 의미

1) 다른 컴퓨터에 불법으로 침입하여 자료의 불법 열람,변조,파괴 행위를 하는 침입자, 파괴자를 통칭하는 부정적인 의미로 더 많이 사용되며, 이러한 침입자, 파괴자라는 점에서 해커는 크래커와 혼동되기도 한다.

 

제3항 해커의 분류

(１) Elite

1) 엘리트 해커는 해킹하고자 하는 시스템에 존재하는 취약점을 찾아내고 그것을 이용해 해킹에 성공하는 최고 수준의 해커

2) 해킹을 시도하는 목적은 단지 자신이 해당 시스템을 아무런 흔적 없이 해킹할 수 있다는 것을 확인하기 위함

 

(２) Semi Elite

1) 세미 엘리트 해커들은 컴퓨터에 대한 포괄적인 지식과 운영체제 시스템을 이해하고 있으며,운영체제에 존재하는 특정한 취약점을 알고, 그 취약점을 공격할 수 있는 코드를 만들 수 있을 정도의 최소한의 지식으로 무장되어 있다.

2) 이들은 해킹 흔적을 남겨서 추적을 당하기도 한다.

 

(３) Developed Kiddle

1) 보통 십대 후반의 학생들로 대부분의 해킹 기법들에 대해 알고 있으며,해킹 수행 코드가 적용될 수 있을 만한 취약점을 발견할 때까지 여러 번 시도함으로써 시스템 침투에 성공하는 경우도 있다.

2) 보안상 취약점을 새로 발견하거나 최근 발견된 취약점을 주어진 상황에 맞게 바꿀만한 실력은 없다.

 

(４) Script Kiddle

1) 네트워킹이나 운영체제에 관한 기술적인 지식이 부족한 이들은 GUI 운영체제 바깥 세상으로 나와 본 적이 없으며,이들의 해킹은 보통 잘 알려진 트로이 목마를 사용해 평범한 인터넷 사용자를 공격하고 괴롭히는 것이다.