Part01 - 정보보호 개요

[sec01 정보보호관리의 개념]

 

1. 정보화 사회의 정보보호

 (1) 정보사회의 특성과 정보화 역기능

1) 정보사회의 특성

2) 정보화 역기능

 (2) 정보보호

1) 정의

정보보호의 사전적 의미를 보면[정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생하는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단, 또는 그러한 수단으로 이뤄진 행위]다.

 정보보호는 [기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적/물리적/관리적 보호대책을 강구하는 것]이라고 할 수 있다.

 

2) 정보의 가용성과 안전성(보안성)

 - 정보의 가용성과 보안 측면에서 보면, 정보보호란 [정보의 활용과 정보의 통제 사이에서 균형감각을 갖는 행위]라고 할 수 있다.

 - 사람들이 필요로 하는 사용 가능한 자원을 쉽게 얻을 수 있으면서도 정보에 위협이 되는 요소를 최소화하는 균형점을 찾는 것이다.

 - 정보의 활용은 정보의 가용성을 극대화하자는 뜻이며, 정보의 통제는 위협 요소를 줄이고 안정성을 확보하기 위해 최대한 통제를 하자는 뜻이다.

 

3) 정보보호의 목표

(가) 기밀성(비밀성, Confidentiality)

  - 오직 인가된 사람, 인가된 프로세스, 인가된 시스템만이 알 필요성에 근거하여 시스템에 접근해야 한다는 원칙이다.

 즉, 정보의 소유자가 원하는 대로 정보의 비밀이 유지되어야 한다는 원칙이다. 정보는 소유자의 인가를 받은 사람만이 접근할 수 있어야 하며, 인가되지 않은 정보의 공개는 반드시 금지되어야 한다.

 - 기밀성을 보장하기 위한 보안 기술에는 접근 제어, 암호화 등이 있다.

 

(나) 무결성(Integrity)

 - 정보는 정해진 절차에 따라, 그리고 주어진 권한에 의해서만 변경되어야 한다는 것이 무결성이다. 정보는 항상 정확성을 일정하게 유지하여야 하며 인가받은 방법에 의해서만 변경되어야 한다.

 - 무결성을 보장하기 위한 정책에는 정보 변경에 대한 통제뿐만 아니라 오류나 태만 등으로부터의 예방도 포함되어야 한다. 즉, 정보는 의도적이든, 우발적이든 간에 허가 없이 변경되어서는 안된다.

 - 무결성을 보장하기 위한 보안 기술에는 접근 제어, 메시지 인증 등이 있으며, 정보가 이미 변경되었거나 변경 위험이 있을 때에는 이러한 변경을 탐지하여 복구할 수 있는 침입 탐지, 백업 등의 기술이 필요하다.

 

(나) 가용성(Availability)

 - 정보 시스템은 적절한 방법으로 작동되어야 하며, 정당한 방법으로 권한이 주어진 사용자에게 정보 서비스를 거부하여서는 안된다는 것이 가용성이다. 사용자가 소유하고 있는 정보를 적시에 적절하게 사용할 수 없다면 그 정보는 이미 소유의 의미를 읽게 되거나 정보 자체의 가치를 상실하게 된다.

 - 정보는 지속적으로 변화하고, 인가된 자가 접근할 수 있어야 함을 의미한다. 정보의 비가용성은 조직에 있어 기밀성이나 무결성의 부족만큼이나 해롭다.

 - 가용성을 확보하기 위해서는 데이터의 백업, 중복성의 유지, 물리적 위협요소로부터의 보호 등의 보안 기술을 적용해야 한다.

 

(라) 인증성(인증, Authenticity, Authentication)

 - 진짜라는 성질을 확인할 수 있고, 확인 및 신뢰할 수 있다는 것을 의미한다. 그리고 전송 메시지, 메시지 출처 유효성에 대한 확신이다.

 - 사용자가 정말 그 사용자인지와 시스템에 도착한 자료가 정말로 신뢰할 수있는 출처에서부터 온 것인지를 확인할 수 있는 것을 의미한다.

 

(나) 책임 추적성(책임성, Accountability)

 - 보안 목적에는 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항이 포함되어야 한다. 여기에 부인봉쇄, 억제, 결함분리, 침입탐지 예방, 사후 복구와 법적인 조치 등이 포함된다.

 

2. 정보보호 관리

 

1) 정보보호 관리(Information Security Management)의 개념

 - 정보는 기업이나 공공기관의 중요한 자산 중하나로서, 기업이나 조직의 전략과 목적을 달성하는데 필수 불가결한 요소이다.

 - 정보가 의도하지 않은 비인가자에게 노출되거나 갈취당하게 되면 위험을 초래할 수 있다.

 

2) 정보보호 관리와 정보보호 대책

정보보호 관리는 기술적 보호대책, 물리적, 관리적 보호대책으로 구분하여 계층적으로 표현할 수 있다.

 

(가) 기술적 보호대책

정보 시스템, 통신망, 정보를 보호하기 위한 가장 기본적인 대책이다. 

접근통제, 암호기술, 백업 체제, 정보시스템 자체에 보안성이 강화된 시스템 소프트웨어를 사용하는 등의 대책이 기술적 보호대책에 속한다.

 

(나) 물리적 보호대책

화재, 수해, 지진, 태풍 등과 같은 자연재해로부터 정보시스템이 위치한 정보처리시설을 보호하기 위한 자연재해 대책이 있다.

또한 불순 세력이나 적의 파괴로부터 정보시스템을 보호하기 위한 출입통제, 시건 장치 등이 물리적 보안대책으로 구분된다.

 

(다) 관리적 보호대책

법/제도/규정/교육 등을 확립하고, 보안계획을 수립하여 이를 운영(보안등급, 액세스 권한 등)하며, 위험분석 및 보안감사를 시행하여 정보시스템의 안전성과 신뢰성을 확보하기 위한 대책이다.

조직체의 정보보호를 효과적으로 보장하기 위해서는 다양한 기술적 보호대책뿐만 아니라 이들을 계획하고, 설계하며 관리하기 위한 제도/정책/절차 등의 관리적 보호대책도 매우 중요하다.

특히 내부자의 부당행위를 방지하기 위한 교육은 무엇보다도 중요하게 취급되어야 한다.

 

3. OSI 보안 구조

 (1) 개요

1) 기본개념

ITU-T권고안 X.800, OSI 보안 구조는 관리자가 효과적으로 보안 문제를 조직화 할 수 있는 유용한 방법을 제공한다.

OSI 보안 구조 핵심은 보안 공격, 보안 메커니즘 그리고 보안 서비스인데 이들을 다음과 같이 간략하게 정의할 수 있다.

• 보안 공격(Security attack) : 기관이 소유한 정보의 안전성을 침해하는 제반 행위
• 보안 메커니즘 : 보안 공격을 탐지, 예방하거나 공격으로 인한 침해를 복구하는 절차.
• 보안 서비스 : 조직의 정보 전송과 데이터 처리 시스템의 보안을 강화하기 위한 처리 또는 통신 서비스. 이 서비스는 보안 공격에 대응하기 위한 것이며, 하나 또는 그 이상의 보안 메커니즘을 사용하여 서비스를 제공한다.

 

 (2) 보안 공격

1) 기밀성을 위협하는 공격

(가) 스누핑(Snooping)

 : 데이터에 대한 비인가 접근 또는 탈취를 의미한다. 예를들어 인터넷으로 전송된느 파일은 기밀 정보를 담고 있을 수 있다. 비인가자는 전송하는 메시지를 가로채고 자신의 이익을 위하여 그 내용을 사용할 수 있다.

스누핑 방지를 위해 암호화 기법을 사용함으로써 도청자가 데이터를 이해할 수 없게 할 수 있다.

 

(나) 트래픽 분석(Traffic Analysis)

비록 데이터를 암호화하여 도청자가 그 데이터를 이해할 수 없게 해도 도청자는 온라인 트래픽을 분석함으로써 다른 형태의 정보를 얻을 수 있다. 예를들어 도청자는 수신자 또는 송신자의 전자 주소를 알아내어 전송의 성향을 추측하는데 도움이 되는 질의와 응답의 쌍을 수집할 수 있다.

 

2) 무결성을 위협하는 공격

(가) 변경(메시지 수정, Modification)

 : 메시지 일부를 불법으로 수정하거나 메시지 전송을 지연시키거나 순서를 뒤바꾸어 인가되지 않은 효과를 노리는 행위를 말한다.

 

(나) 가장(Masquerading)

 : 신분위장은 한 개체가 다른 개체의 행세를 하는 것이다. 이 공격은 다른 형태의 적극적 공격과 병행해서 수행한다.

 

(다) 재연(재전송, Replaying)

적극적 공격의 하나로 획득한 데이터 단위를 보관하고 있다가 시간이 경과한 후에 재전송함으로써 인가되지 않은 사항에 접근하는 효과를 노리는 행위를 말한다.

 

(라) 부인(Repudiation)

부인 방지 : 송신자나 수신자 양측이 메시지를 전송했거나 수신한 사실 자체를 부인하지 못하도록 막는 것.

 

3) 가용성을 위협하는 공격

(가) 서비스 거부(Denial of Service)

시스템의 서비스를 느리게 하거나 완전히 차단할 수 있다. 공격자는 이를 수행하기 위해 다양한 전략을 사용한다.

 

4) 소극적 공격과 적극적 공격

(가) 개요

보안 공격을 X.800과 RFC2828에 따라 분류하면 소극적 공격과 적극적 공격으로 나눌 수 있다.

소극적 공격 : 시스템으로부터 정보를 획득하거나 사용하려는 시도이나 시스템 자원에는 영향을 끼치지 않는 공격 형태.

적극적 공격 : 시스템 자원을 변경하거나 시스템 작동에 영향을 끼치는 공격 형태를 말한다.

 

(나) 소극적 공격(수동적 공격, Passive Attack) ex) 스누핑, 트래픽 분석

 - 소극적 공격에서 공격자의 목표는 단지 정보를 획득하는 것이다. 이는 공격자가 데이터를 변경하거나 시스템에 해를 끼치지 않는다는 것을 의미한다.

 - 기밀성을 위협하는 스누핑, 트래픽 분석과 같은 공격은 수동적 공격이다.

 

(다) 적극적 공격(능동적 공격, Active Attack) ex) DoS

 - 적극적 공격은 데이터를 바꾸거나 시스템에 해를 입힐 수 있다. 무결성과 가용성을 위협하는 공격이 적극적 공격이다.

 - 치명적인 공격은 능동적 공격에 의해 이뤄지는 것이 일반적이다. 대부분의 능동적 공격은 상당 기간 동안의 수동적 공격 수행을 통해 수집된 정보를 바탕으로 수행된다.

 

4. 기본 보안용어 정의

1) 자산

 - 조직이 보호해야 할 대상으로서 데이터 혹은 자산 소유자가 가치를 부여한 실체이다.

2) 취약점

커뮤터나 네트워크에 침입하여 환경 내의 리소스에 대한 허가되지 않은 접근을 시도하려는 공격자에게 열린 문을 제공할 수 있는 s/w, h/w, 절차 혹은 인력상의 약점을 가리킨다.

3) 위협

손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합이다.

보안에 해를 끼치는 행동이나 사건이다.

임의의 위협은 네가지 종류로 구분된다.

• 가로채기
• 가로막음
• 변조
• 위조

4) 위험

위협 주체가 취약점을 활용할 수 있는 가능성과 그와 관련된 비즈니스 영향을 가리킨다. ex) IPS가 다수의 개방된 포트를 가지고 있는 경우 침입자가 허가되지 않은 방법으로 네트워크에 접근할 가능성이 높다. 

5) 노출

위협 주체로 인해서 손실이 발생할 수 있는 경우를 말한다. 취약점은 조직에 있어서 가능ㅇ한 피해를 노출시킨다.

만약 패스워드 관리가 허술하고 패스워드 규칙이 집행되지 않으면, 기업은 사용자들의 패스워드가 유출되어 허가되지 않은 방법으로 사용될 수 있는 가능성에 노출된다.

6) 대책/안전장치(Countermeasure/Safeguard)

대책 혹은 안전장치는 잠재적 위험을 완화시키기 위해 배치된다. 대책은 취약점을 제거하거나 위협 주체가 취약점을 이용할 수 있는 가능성을 감소시키기 위한 s/w설정, h/w 장비 또는 절차이다.

7) 다계층 보안/심층 방어(Defense in Depth)

 - Multi layered Security라고도 불리는 것으로 여러 계층의 보안 대책이나 대응 수단을 구성하는 것을 말한다.

 - 다계층 보안이므로 한 가지 통제가 대응에 실패하더라도 전체 시스템을 위험에 빠뜨리지 않는다.

 - 시스템이 취할 수 있는 가장 최선의 보안 접근 방법으로 보호/탐지/대응으로 이뤄진 보안 접근법이다.

 

8) 직무상의 신의성실, 노력(Due Care, Due Diligence)

1. Due : 특정 목적을 위하여 필요하거나 요구되는 적절하고 충분한 의무다.
2. Due care : 특정 목적을 위하여 필요하거나 요구되는 충분한 주의다.
3. Due Diligence : 특정 목적을 위하여 필요하거나 요구되는 풍분한 노력이다.

9) 사회공학(Social Engineering)

컴퓨터 보안에서 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 깨뜨리기 위한 침입 수단이다.

우선 통신망 보안 정보에 접근 권한이 있는 담당자와 신뢰를 쌓아 전화나 이메일을 통해 도움을 받고 약점을 이용한다.

10) 시점별 통제(Control)

공격자 : 시스템을 공격하거나 위협하는 존재

공격 : 시스템의 보안 서비스를 회피하여 보안 정책을 위반하려는 의도된 시도

대응 : 피해의 최소화 및 적절한 대응을 위해 탐지, 보고하여 위험, 노출, 공격을 제거하거나 방지하는 행위, 장비, 기법

위험 : 특정 위협이 가져올 피해가 확률적으로 표현되는 예상 손실

보안 정책 : 시스템이나 기관이 민감하고 중요한 시스템 자원에 보안 서비스를 제공하기 위해 명시한 규정과 업무

자산 : 정보 시스템 내의 데이터, 시스템의 서비스, 처리 기능, 통신 대역폭, 시스템 장비, 시스템 장비 설비

위협 : 보안을 침해하고 손해를 가져올 수 있는 상황, 행위, 이벤트가 존재할 때의 잠재적 보안 위반

취약점 : 시스템 보안 정책을 위반할 수 있는 시스템 설계, 구현 혹은 운영, 관리상의 오류 및 약점