Security Q&A BEST 100 용어 정리
Security Q&A BEST 100 용어 정리
(2013년, 보안뉴스)
<Q5> ISMS, ISO27001과 금융권 정보보호관리체계 인증
- ISO27001, ISMS는 모든 산업분야에 적용될 수 있는 정보보호관리체계(Information Security Management System)이다
- ISMS는 국내용, ISO27001은 국제용
- 위 두 인증은 정보통신 서비스 제공자를 초점에 두고 만들어졌기에, 금융업과는 잘 맞지 않는 부분이 있음.
- 따라서 정부는 금융권에 적합한 정보보호체계를 만들려고 함.
* 2013년 7월 '금융전산 보안강화 종합대책' 발표
>> 일정 규모 이상의 금융회사에 대해서는 인증을 의무화 하겠다고 함.
- 아직 구체화된 내용은 없음
>> 우선 '정보통신망법 제 47조'에 의거, 모든 금융회사는 2014.02.18까지 ISMS인증을 의무적으로 획득해야 함
<Q8>무선 칩임방지 시스템(WIPS, Wireless Intrusion Prevention System)
WIPS은 인가되지 않은 무선단말기의 접속을 차단하고 보안에 취약한 AP(무선공유기)를 탐지하는 솔루션이다. 즉, WIPS는 유선 방화벽(Firewall)과 유사하게 외부 공격으로부터 내부 시스템을 보호하기 위해 무선랜 환경에서의 보안 위협을 탐지하고 대응하는 시스템이라고 할 수 있다.
<Q9>금융전산 보안강화 종합대책 (2013.07)
- 매년 정보기술 부문 계획(서)을 수립 후, 금융위원회에 제출 의무화
- 총자산 2조원& 종업원 수 300명 이상의 금융회사는 자체전담반을 구성, 매년 취약점 분석 및 평가 수행을 의무화
- CISO의 임직원에 대한 정보보안 교육 책무 명시
- 정보처리 시스템 접근시 ID/PW 외 추가 인증 의무화
- 금융회사 전산실 망분리 의무화
- 전산업무에 대한 외부주문 규정의 세분화 및 명확화; ‘금융기관의 업무위탁 등에 관한 규정’ 內 위탁 전산업무 개인정보보호에 관한 사항을 별도의 규정으로 신설
<Q27> 방화벽의 종류
(1)웹 방화벽(Web Application Firewall)
웹 어플리케이션의 취약점 공격을 방어
Clinet와 Server를 중개하는 Proxy Server의 원리로 작동되며, 방화벽을 거치는 HTTP Request/Reply의 Packet을 검사하여 중요 정보의 유출을 막음
최근 웹 어플리케이션에 대한 공격이 많아지며 대두 됨
(2)F/W(Fire Wall)
TCP/IP Layer에서 IP와 Port의 정보를 갖고 방어 (Network Protocols中)
(3)IDS(Intrusion Detection System)/IPS(Intrusion Prevention System)
Application Protocols의 Packet 내용을 문자열 비교에 의해 침입시도를 감시하고 차단하는 역할을 함 (Network Protocols中)
>> IDS, IPS, 웹 방화벽은 유사하나, 문자열 비교시 비교하는 DATA 종류가 다르다는 것이 가장 큰 차이점 임
(4)UTM(Unified Threat Management)
하나의 장비에서 여러 보안 기능을 통합적으로 제공
방화벽(F/W), 가설사설망(VPN), 침입탐지/방지(IDS/IPS), Anti Virus/Spyware/Spam, Web Filtering, 무선 랜 보안 등의 기능을 가짐
*ESM(Enterprise Security Management)
SIEM(Security Information & Event Management)
<Q27>웹셸이란?
웹쉘(Webshell)이란 클라이언트의 명령을 서버에서 실행시켜주는 프로그램입니다.
주로 SSS(Server Side Script)로 작성됨 (PHP, asp, jsp)
웹 해킹의 대부분의 경우를 차지함.
서버에 파일을 업로드 함으로써 작동하므로, 업로드 파일의 확장자(*화이트리스트 권장) 및 실행권한 제한을 통해 방어할 수 있음.