IT/Security

Description 원격 로그인 프로토콜인 Secure Shell(SSH) 구축에 사용되는 모듈 libssh 이용 서버의 인증 우회공격 취약점(로그인 인증 과정 없이 원격코드 실행 가능) 공격 호스트에서 “SSH2_MSG_USERAUTH_SUCCESS” 메시지를 전송하여 이미 인증이 성공적으로 이루졌다는 패킷 전달로 인증우회 CVE ID : CVE-2018-10933 VCSS 3.X Severity and Metrics: CNA : Red Hat, Inc. Base Score : 9.1 CRITICAL Vector : CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 영향받는 Version libssh version >= 0.6 libssh version < 0.7.6 l..

1. OSI 보안 구조 (1) 기본 개념(ITU-T 권고안 X.800, OSI) 관리자가 효과적으로 보안 문제를 조직화할 수 있는 유용한 방법을 제공한다. 1) 보안 공격(Security Attack) 기관이 소유한 정보의 안전성을 침해하는 제반 행위이다. 2) 보안 메커니즘(Security Mechanism) 보안 공격에 대한 예방통제, 탐지 통제를 수행하는 절차이다. 3) 보안 서비스(Security Service) 보안 공격에 대응하기 위한 것이며 하나 이상의 보안 메커니즘을 사용하여 서비스 제공한다. 2. 소극적 공격과 적극적 공격 1) 소극적 공격(Passive Attack) 시스템 자원에는 영향을 끼치지 않는 공격이다. (스누핑, 트래픽 분석) 공격자의 목표는 단지 정보를 얻는 것이다. 탐지보..

1. 정보보호 관리의 개념 정보는 기업이나 공공기관의 중요한 자산 중 하나로서 기업이나 조직의 전략과 목적을 달성하는데 필요한 요소 정보가 의도하지 않은 비인가자에게 노출되거나 탈취당하지 않도록 관리 1) 정보보호 관리와 대책 정보보호 관리는 기술적, 물리적, 관리적 보호대책으로 구분하여 아래와 같이 계층적으로 표현한다. (1) 기술적 보호대책 1. 정보 시스템, 통신망, 정보를 보호하기 위한 가장 기본적인 대책 2. 접근통제, 암호기술, 백업 체계, 정보시스템 자체에 보안성이 강화된 시스템 소프트웨어를 사용하는 등의 대책이 포함 (2) 물리적 보호대책 1. 화재나 지진 태풍과 같은 자연재해로부터 정보시설을 보호하기 위한 대책 2. 전쟁으로 또는 기타 파괴로부터 정보시스템을 보호하기 위한 출입통제, 시건..

정보보호의 목표 정보에 대한 위협이란 허락되지 않은 접근, 수정, 노출, 훼손, 파괴 등 이며, 정보위협의 주체는 외부의 해커가 될 수도 있고, 내부인이 될 수도 있다. 정보에 대한 위협은 나날이 늘어가고 있기 때문에 모든 위협을 나열할 수는 없으나, 전통적으로 다음의 세가지가 정보 보안의 주요한 목표이다. 1. 기밀성(Confidentiality) 데이터 기밀성 : 개인정보나 기밀 정보를 부정한 사용자가 이용하거나 그들에게 노출되지 않도록 하는 것 프라이버시 : 개인과 관련된 어떤 정보가 수집되고 저장되는 지, 누구에게 그 정보가 공개되는지, 누가 공개하는지 등을 통제하거나 영향을 미칠 수 있도록 하는 것 2. 무결성(Integrity) 데이터 무결성 : 규정에 따라서 또는 허가된 상태에서만 정보나 프..

정보보호(Information Security) 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단, 또는 그러한 수단으로 이루어지는 행위 기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적, 물리적, 관리적 보호대책을 강구하는 것 정보보호 시스템 정보보호의 관리, 컴퓨터 및 데이터 보안, 네트워크 보안과 정보보호 정책이 포함 정보의 가용성과 안정성 정보의 가용성과 보안 측면에서의 정보보호란 정보의 활용과 정보의 통제 사이에서 균형감각을 갖는 행위 사용 가능한 자원을 필요로 하는 사람들이 쉽게 얻을 수 있도록 하면서 정보에 위협이 되는 요소들을 최소화하는 것 정보의 활용은 정보의 가용성을 극대화 하는 것이며, 정보의..

1. 정의 시스템에 많은 장치를 공유하여 데이터, 주소, 제어 정보를 전달하는 전송라인으로, 한정된 자원. 버스를 획득하기 위한 경합이 많이 발생하는 장치이기 때문에 사용하는 방식에 따라 입출력 성능에 영향을 준다. 2. 버스의 종류 종류 내용 데이터 버스(Data Bus) 시스템 컴포넌트 간 처리 데이터를 전송하기 위한 용도 주소 버스(Address Bus) 기억장소의 위치 또는 장치 식별을 지정하기 위한 라인 라인의 비트 수에 따라 접속될 수 있는 장치의 용량이 결정 제어 버스(Control Bus) CPU와 기억장치 또는 I/O 장치 사이의 제어 신호를 전송하는 라인

1. 개념 입력장치로부터 Data를 입력 받아 연산 처리하고 그 결과를 출력장치로 보내는 과정을 제어하며 조정하는 장치로 컴퓨터의 두뇌와 같음 2. CPU의 구성요소 구성요소 상세 기능 ALU(연산장치) 각종 산술연산들과 논리연산들을 수행하는 회로 산술연산 : +, －, ×, ÷ 논리연산 : AND, OR, NOT, XOR Register(레지스터) CPU 내부의 소규모 데이터나 중간 결과를 일시적으로 기억해 두는 고속의 전용 영역 컴퓨터 기억장치 중 엑세스 속도가 가장 빠름 Control Unit(제어장치) 프로그램 코드(명령어)를 해석하고 실행하기 위한 제어 신호들(control signals)을 순차적으로 발생 내부 CPU 버스 ALU와 레지스터 간의 데이터 이동을 위한 경로 3. 내부 레지스터의 ..

1. 개요 통신 구간 암호화를 위해 많이 사용하는 OpenSSL 라이브러리에서 서버에 저장된 중요 메모리 데이터가 노출되는 HeartBleed라고 명명된 심각한 버그가 발견되어 시스템 및 소프트웨어에 대한 신속한 취약점 조치를 권고 2. 취약점 정보 시스템 메모리 정보 노출 취약점 CVE-2014-0160 (2014.04.07.) 영향 받는 버전 OpenSSL 1.0.1 ~ OpenSSL 1.0.1f OpenSSL 1.0.2-beta, OpenSSL 1.0.2-beta1 영향 받는 시스템 및 소프트웨어 취약한 OpenSSL 버전이 탑재된 시스템 서버(웹서버, VPN 서버 등), 네트워크 장비, 모바일 단말 등 다양한 시스템이 해당될 수 있음 취약한 OpenSSL 라이브러리가 내장된 소프트웨어 제품 영향 ..