Domain 5 Domain 5 정보자산의 정보자산의 보호 보호 1. 정보보안 관리의 중요성 2. 논리적 접근의 노출 및 통제 3. 네트워크 인프라 보안 4. 정보보안 프레임워크 감사 5. 네트워크 인프라 보안에 대한 감사 6. 환경적 노출 및 통제 7. 물리적 접근 노출 및 통제 8. 모바일 컴퓨터 사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com 개요 개요 개요 • 주요내용 – 정보보호 관리의 중요성과 감사 (Importance of Information security Management) – 논리적 접근 노출과 통제와 감사 (Logical Access Exposures and Controls) – 네트웍 기반구조 보안과 감사 (Network Infrastructure Security) – 환경 노출과 통제의 설계, 구현 및 모니터링 평가 (Environmental Exposures and Controls) – 물리적 접근 노출과 통제의 설계, 구현 및 모니터링 평가 (Physical Access Exposures Controls) – 기밀정보의 저장, 검색, 전송 및 폐기를 위한 프로세스와 절차의 평가 • 학습 포인트 – 정보보호 통제에 대한 용어 및 기능에 대하여 숙지한다. – 17가지 지식에 대하여 감사 및 평가 방법을 확인 한다 • 전체 시험문제의 31% 출제(약 62문제)
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
Chapter 1 정보시스템 감사 프로세스
1
Domain 5 Domain 5 정보자산의정보자산의 보호보호
1. 정보보안 관리의 중요성
2. 논리적 접근의 노출 및 통제
3. 네트워크 인프라 보안
4. 정보보안 프레임워크 감사
5. 네트워크 인프라 보안에 대한 감사
6. 환경적 노출 및 통제
7. 물리적 접근 노출 및 통제
8. 모바일 컴퓨터
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
개요개요개요
• 주요내용– 정보보호 관리의 중요성과 감사
(Importance of Information security Management)– 논리적 접근 노출과 통제와 감사
(Logical Access Exposures and Controls) – 네트웍 기반구조 보안과 감사
(Network Infrastructure Security)– 환경 노출과 통제의 설계, 구현 및 모니터링 평가
(Environmental Exposures and Controls)– 물리적 접근 노출과 통제의 설계, 구현 및 모니터링 평가 (Physical
Access Exposures Controls)– 기밀정보의 저장, 검색, 전송 및 폐기를 위한 프로세스와 절차의 평가
• 학습 포인트– 정보보호 통제에 대한 용어 및 기능에 대하여 숙지한다.– 17가지 지식에 대하여 감사 및 평가 방법을 확인 한다
• 전체 시험문제의 31% 출제(약 62문제)
Chapter 1 정보시스템 감사 프로세스
2
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보보안 관리의 중요성정보보안정보보안 관리의관리의 중요성중요성
• 정보보호 관리의 핵심요소
• 정보보호 관리의 역할과 책임
• 정보자산의 목록 및 분류
• 시스템 접근 승인, 강제/임의적 접근통제
• 프라이버시 관리 이슈
• 정보보안 관리의 핵심성공요인
• 컴퓨터 범죄와 노출
• 정보보안 사고처리와 대응
5.1 정보보안 관리의 중요성
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보보안정보보안 관리관리
• 정보자산과 프라이버시의 보호에 있어서 가장 중요한 요소는 효과적인 정보 보호
관리를 위한 기반을 구축하는 것
-ISO 17799 : 정보보안관리에 대한 최선의 업무수행방법으로 구성된 종합적인 통제, 10개 범주의 127개 통제목표를 개발
- COBIT v4.0 : 34개 상위수준 목표아래 220개 통제를 포함한 4개 도메인으로 정의된 IT 프로세스의 모범사례 제시
• 조직이 확보해야 할 보안목적
– 컴퓨터 시스템에 저장된 정보의 무결성
– 중요한 데이터에 대한 기밀성
– 사생활 정보에 대한 신뢰와 의무에 대한 준수의 보장
– 정보시스템의 지속적인 가용성
– 법, 규정, 표준 등의 준수
– 저장 및 전송 중인 중요 데이터의 기밀성 보호
• 보안의 실패는 기업에 많은 비용을 발생 시킨다
잘 정의 된 보안 정책과 절차는 이러한 손실을 막고 비용을 절감
Chapter 1 정보시스템 감사 프로세스
3
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
ISO 17799ISO 17799
법적 요구 사항의 준거, 보안 정책 및 기술적 준거성 검토, 시스템 감사 고려사항준거성
업무 연속성 관리의 측면업무 연속성 관리
시스템 보안 요구사항, 어플리케이션 시스템 보안, 암호 통제시스템 파일 보안, 개발 및 지원 프로세스 보안
시스템 개발 및 유지보수
접근 통제 업무 요구사항, 사용자 접근 관리, 사용자 책임네트워크 접근 통제, 운영체제 접근 통제, 어플리케이션 접근 통제시스템 접근 및 사용 모니터링, 이동 컴퓨터 및 텔레워킹
접근통제
운영절차 및 책임, 시스템 계획 및 승인, 악성 소프트웨어로부터의 보호하우스 키핑, 네트워크 관리, 매체 취급 및 보안, 정보 및 소프트웨어의 교환
통신 및 운영 관리
보안 구역, 장비 보안, 일반적 통제물리적 보안 및 환경적 보안
직무 정의 및 인원 충원에서의 보안, 사용자 교육 훈련, 보안 사고 및 장애에 대한 대응
인사 보안
자산에 대한 책임, 정보 분류자산의 분류 및 통제
정보보안 기반 구조, 제 3자 접근 보안, 아웃소싱조직의 보안
정보보안 정책 문서, 검토 및 평가보안정책
내용항목
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보보호관리의정보보호관리의 핵심요소핵심요소(1/2)(1/2)
• 최고경영자의 관심 및 지원
– 정보보호 관리 프로그램의 성공적인 구축과 이행을 위해서 최고경영자의 관심과지원이 필요함
• 정책 및 절차
– 고위 경영진의 간략한 방침을 제공하는 일반적인 조직정책에서 출발
– 포함되어야 할 이슈
• 정보 자산의 중요성
• 보안의 필요성
• 보호해야 할 민감하고 핵심적인 자산 정의의 중요성
• 책임소재
– 정책이 승인되고, 역할과 책임이 할당되면, 표준, 측정지표, 업무수행방법, 절차등을 수립하는 것이 필요
• 조직
– 개별 자산들을 보호하고 특정 보안 프로세스를 수행하는 책임이 명확하게정의되어야 함
– 정보보안 정책은 조직에서 보안에 대한 역할과 책임을 할당하는데 대한 지침을제공해야 함
Chapter 1 정보시스템 감사 프로세스
4
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 보안 의식 및 교육(Security Awareness and Education)– 모든 임직원 및 조직과 관계 있는 써드 파티 사용자들은 보안의 중요성에 대해
적절한 교육과 정기적인 재교육
– 특히, 신입직원은 정보 시스템에 대한 접근 권한을 부여하기 이전에 교육 수행
※ 다음은 보안 의식을 활성화 하는 다양한 방안들 .• 문서화된 보안 정책의 배포 - 직원이 서명한 기밀누설금지 각서
• 보안의식의 확산을 위해서 다양한 매체의 사용(사보, 웹 페이지, 비디오 등)• 보안 규칙의 가시적인 집행 - 보안 절차의 향상을 위한 모의 보안 사고
• 보안 사고 징후 보고자에 대한 보상 -주기적인 감사
• 모니터링과 준수(Monitoring and Compliance)– 정보시스템 감사인은 보안 프로그램과 수립된 통제들의 효과성을 측정하는 조직의
모니터링 활동을 이해
– 운영 중 정보 자원이 변하게 되면, 보안 기준도 수정
• 사고 처리와 대응(Incident Handling and Response)– 보안 사고로부터의 피해를 최소화 하고 보안 사고를 통한 학습으로 공식적인 사고
대응 능력 확보
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
보안관리보안관리 역할역할 및및 책임책임 (1/2)(1/2)
• IS보안 위원회
– 다양한 수준의 관리자들로 구성, 보안 가이드라인, 정책 및 절차에 대한 현안을 논의하고보안 업무방법을 개발하고 승인, 회의록 유지
• 경영진(Executive Management)– 정보자산 보호에 대한 전체적인 책임
• 보안자문회의
– 조직의 정보보호계획에 대한 검토를 책임, 최고 보안전문가에게 이슈에 대한 의견제시
• 최고 프라이버시 관리자(CPO)– 고객 및 직원의 프라이버시 권리를 보호하기 위해 정책을 수립하고 강제 함.
• 최고 보안관리자(CSO)– 정보자산을 보호하는데 사용하는 정책을 작성하고 강제함
• 프로세스 소유자
– 자신의 책임하에 있는 업무 프로세스가 조직의 정책과 일치하는 적절한 보안이 제공되고유지됨을 보증
• 정보자산 소유자 와 데이터 소유자
– 소유권은 소유한 자산에 대한 책임을 수반 함
Chapter 1 정보시스템 감사 프로세스
5
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
보안관리보안관리 역할역할 및및 책임책임 (2/2)(2/2)
• 사용자
조직의 보안 정책에 포함된 다음 사항들을 준수하여야 함
– 기밀 정보에 관한 개인정보보호 규정 준수
• 외부기관
– 정보자산을 처리하는 제3공급자 및 거래파트너
• 보안전문가/자문가
– 조직의 보안 정책, 표준 및 절차의 설계, 구현, 관리, 검토에 대한 지원
– 관계자들에게 정책을 전파
• IT 개발자
– 응용시스템 내에 정보 보호를 구현 함
• 정보시스템 감사인
– 정보 보호 항목들에 대한 적절성과 효과성에 대해 경영자에게 독립적인 보증을 제공
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보자산의 목록 및 등급분류정보자산의정보자산의 목록목록 및및 등급분류등급분류
• 정보자산 목록에 포함될 항목
– 자산의 식별자 / 자산의 위치
– 자산의 보안/위험의 분류 / 자산그룹 / 자산소유자
• 자산의 등급 분류
– 정보자원에 등급을 부여함으로써 관리자들은 접근 통제의 수준에 대한 가이드라인수립
– 단순해야 함
– 현업부서의 관리자와 보안 운영자는 위험 평가 프로세스에 이러한 등급을 이용하여데이터의 접근 권한을 결정
– 보안과 경영 목적을 연계시켜, 정보자원에 대한 과보호로 인한 위험과 비용 절감
– 테스트 데이터, 또는 실행 데이터와 프로그램을 누군가가 접근해야 하는지 결정할때 중요
– 데이터나 프로그램에 대한 접근은 소유자가 허가
• 데이터 등급분류 시 정의사항
– 접근 권한을 가지고 있는 사람은?– 허가된 접근수준은 무엇인가? – 접근 권한 및 접근 수준의 결정 책임은 누구에게?– 접근에 필요한 승인은?
Chapter 1 정보시스템 감사 프로세스
6
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
시스템 접근 승인시스템시스템 접근접근 승인승인
• 시스템 접근
– 컴퓨터 자원에 어떤 작업을 할 수 있는 능력
– 알아야 할 필요성(need-to-know) 원칙을 바탕으로 논리적 접근과 물리적 접근에 대한문서로 할당
– 접근을 허용하기 위해서는 최소한의 특권 및 직무분리원칙을 기반으로 적법한 업무상의요구사항이 존재해야 함
– 네트워크, 플랫폼, DB, 어플리케이션 등 4개의 IT 계층
– 접근권한을 가진 비 고용인(계약직, 벤더측 프로그래머, 유지보수요원, 고객, 감사인, 컨설턴트 등)도 보안 정책 및 절차를 준수하도록 함
• 정보의 소유자/관리자
– 정보자원에 접근하려는 사용자를 서면으로 승인
– 관리자는 보안 관리자에게 승인서를 직접 전달
• 보안 운영부서
– 특정 자원을 어떤 사용자가 어떤 수준(예:읽기, 갱신, 실행)으로 접근할 권한이 있는지를명시하는 접근 규칙을 바탕으로 접근 역량을 구현
• 접근승인은 여전히 유효한 지, 정보의 소유자는 접근 통제를 주기적으로 검토
접근 원칙을 초과하는 모든 접근 권한은 탐지해서 수정되어야 함
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
강제적 및 임의적 접근통제강제적강제적 및및 임의적임의적 접근통제접근통제
• 강제적 접근통제
– 기업의 보안정책 또는 보안 규칙을 강제하는 메커니즘
– 금지적인 통제이며, 명시적으로 허용된 것 외에는 모두 금지됨
– 자원의 소유자가 아닌 관리자만이 정책에 근거하여 결정
– 관리적만이 자원의 범주를 변경할 수 있고 아무도 접근통제 정책이 명시적으로 금지한접근권한을 허가할 수 없음
– 시스템이 강제적 접근통제 정책을 사용할 때에는 이 정책과 더 많은 유연성을 제공하는임의적 정책을 구분하여야 함
• 임의적 접근통제
– 데이터소유자의 임의성을 허용함
– 데이터 소유자가 정보자원의 공유를 정의할 수 있게 하는 통제
– 강제적 접근통제에서 명시적으로 허용된 범위 내에서만 임의적 통제가 운영 됨
•
Chapter 1 정보시스템 감사 프로세스
7
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
프라이버시 관리이슈프라이버시프라이버시 관리이슈관리이슈
• 프라이버시 이슈
– 프라이버시 : 식별된 개인에 관한 정보 또는 개인을 식별할 수 있는 정보
– 어떤 정보를 보호해야 할 것인가에 대한 영향을 미침
– 많은 국가에서 프라이버시에 관한 법규 제정
적법하고 공평한 수단을 통해서, 필요 시 대상자의 인지와 동의 하에 입수를 의무화함
– 여러 문제를 해결하기 위해 프라이버시에 대한 영향 분석 및 평가가 수행되어야 함
• 프라이버시에 대한 영향 평가의 목표
– 업무 프로세스와 관련된 개인 신상 정보의 성격 식별
– 개인신상 정보의 수집, 사용, 공개, 파기의 문서화
– 경영진에게 프라이버시에 대한 위험과 위험 감소 대안을 이해하고 의사 결정을 내릴수 있는 도구 제공
– 프라이버시 이슈에 관한 책임 소재가 프로젝트에 명확하게 포함되도록 함
– 관련 규정의 기술적, 법적 준수 여부를 분석하기 위한 일관된 포맷과 구조적인프로세스 창출
– 프라이버시 준수를 위한 정보시스템의 수정 및 갱신을 감소
• 정보시스템 감사인의 역할
– 조직이 자신들의 프라이버시 요구를 적절하게 평가했는지의 여부를 검토
– 이러한 검토가 새로운 제품, 서비스, 시스템, 운영, 공급업체, 사업 파트너를 고려할 때지속적으로 수행되는지의 여부를 결정(국제적인 법규 고려 시 특히 중요)
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보보안관리의 핵심 성공요인정보보안관리의정보보안관리의 핵심핵심 성공요인성공요인
• 고위 경영진의 강력한 동의와 지원
– 보안에 대한 의지를 보여주어야 함공식적인 보안 의식 제고 프로그램 및 훈련을 승인하고 지원
– 정보시스템 보안 정책을 수립하는 것은 고의 경영진의 책임
– 필요한 통제의 구현을 적절한 수준의 관리자에게 이양
• 보안 정책과 절차
– 최신의 것으로 갱신/경영 목적을 반영
– 위험기반 접근 방법을 사용하여 민감하고 중요한 정보자원을 식별, 위협과 위험을명확하게 이해
– 정책의 목적 : 모든 종류의 위험(고의/우연)으로부터 정보 자산을 보호하는 것
– 정보시스템 보안 정책을 수립하고 집행하는 것은 조직의 생존과 발전에 중요
Chapter 1 정보시스템 감사 프로세스
8
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
컴퓨터컴퓨터 범죄범죄 이슈와이슈와 노출노출
• 컴퓨터 범죄의 특징
– 돈, 상품, 소프트웨어 또는 기업정보(예,고객 목록)의 절도에 컴퓨터 시스템의 이용
– 날짜를 변조하여 비 인가된 거래를 받아들이도록 함
– 컴퓨터 장비를 훔치는 것과 같이 단순하고 비전문적인 수법도 가능
– 컴퓨터 범죄는 아무것도 얻거나 훔치지 않고도 저질러진다.
– 단순히 컴퓨터화된 데이터를 보는 것만으로도 범죄자는 아이디어나 비밀정보를 훔침(지적 재산권)
• 컴퓨터 범죄가 사업에 미치는 위협
– 금전적 손실(직접 및 간접손실)
– 법적 영향 (감사인은 컴퓨터 관련 현안문제 검토 시 반드시 법적자문을
받아야 함)
– 신뢰성 또는 경쟁력 우위의 손실
– 협박/산업 스파이
– 기밀정보, 중요하거나 수치스러운 정보의 노출
– 업무방해(Sabotage) : 금전적 이득 없이 자기 만족을 위한 범죄
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
컴퓨터컴퓨터 범죄의범죄의 가해자가해자--11
• 해커
– 능력을 증명하기 위해 취약점을 테스트
– 파괴를 위해 컴퓨터에 접근 하지 않으나 시스템을 파손하기도 한다.– 스크립트 키디(Script Kiddies)
• 단순히 침투를 위해 다른 사람이 작성해 놓은 스크립트나 프로그램 사용(자기 스스로 스크립트 작성능력 없음)
– 핵티비스트(Hack-activists)• 정치적 목적을 위해 자신의 기술을 사용 후 정당화 – 법 위반
– 범죄적 해커(Criminal Hacker)• 개인적인 이득이나 만족을 위한 불순한 의도를 가지고 시스템에 접근 또는
이용하는 사람
• 크래커라고 부르며, hack과 crack은 서로 혼용된다.
• 크래커(Cracker) – 접근 권한이 없는 상태에서 타인 소유의 시스템에
접근 권한을 얻으려고 시도하고, 설치된 보안 대책을 깨뜨리려고 시도하는 사람
Chapter 1 정보시스템 감사 프로세스
9
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
컴퓨터컴퓨터 범죄의범죄의 가해자가해자--22
• 직원 (권한이 인가된 또는 비 인가된 직원) 및 현업사용자
– 신규직원에 대한 배경조사 필요
• IS직원
– 정보에 가장 쉽게 접근, 논리적인 접근통제 이외에 직무분리, 감독 등으로논리적인 접근 위반을 감소
• 전직 종업원(바람직하지 못한 관계로 떠난 직원)• 이해관계에 있거나 관련 지식이 많은 외부인
– 경쟁자, 외국, 조직 범죄
– 크랙커 : 제3자를 위해 일하는 해커 (파괴적)– 프랙커 : 전화/통신시스템 에 불법으로 접근을 시도하는 해커
• 시간제 또는 임시직 직원
• 공급업체 직원과 컨설턴트
• 비의도적인 위반자
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
정보보안정보보안 사고사고 처리와처리와 대응대응
• 사고 처리와 대응(Incident Handling and Response)– 보안 사고로부터의 피해를 최소화 하고 보안 사고를 통한 학습으로 공식적인 사고
대응 능력 확보
– 계획 및 준비 탐지 평가 봉쇄 대응 복구 종료 사후 검토 교훈
• 보안 사고 대응팀 구성
– 조정자(Coordinator) : 업무 프로세스 소유자들간의 연락을 담당
– 지휘자(Director) : 사고 대응 기능을 총괄 감독
– 관리자(Manager) : 개별 사고를 관리
– 보안 전문가(Security Specialists) : 사고의 탐지, 조사, 격리 및 복구
– 보안 이외의 기술전문가(Nonsecurity Technical Specialists) : 관계된 분야의 기술지원
• 보안사고 대응팀(CSIRT, CERT)의 역할
– 분명한 보고체계가 공식화되고 지원책임의 수립이 필요
– 효율적인 탐지기능 및 올바른 통제기능을 수행
– 사용자 에게 최신 보안위협, 보안 업데이트 같은 경보를 배포
– 단일창구를 통하여 모든 보안사고가 접수되도록 함
– 증거수집과 보호 프로세스에 대한 법률적 자문 고려
– 보안사고 관련된 대응절차를 포함한 공식화되고 문서화된 계획을 준비
Chapter 1 정보시스템 감사 프로세스
10
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적 접근 노출 및 통제논리적논리적 접근접근 노출노출 및및 통제통제
• 논리적 접근의 노출
• 조직의 IT환경파악
• 논리적 접근 경로
• 접근통제 S/W
• 식별 및 인증
• 사회적공학
• 권한부여 현안
• 기밀정보의 저장, 추출, 전송 및 폐기
5.2 논리적 통제
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적인논리적인 접근의접근의 노출들노출들 (1)(1)
• 기술적인 위험의 노출 가능성은 네트워크, 플랫폼, 데이터베이스, 응용수준에서
데이터와 소프트웨어를 승인받지 않고 구현하거나 수정하는 것 .
• 데이터의 유출(Data Leakage)– 디스크 파일을 종이로 덤프, 보고서 및 테이프를 훔치는 일
• 회선 도청(Wire Tapping)– 통신회선으로 전송되는 정보를 도청
• 트로이 목마 (Trojan Horse)– 인가된 프로그램에 악의를 가진 코드 숨김(자기복제 안됨)
• 바이러스(Viruses) – 정상적인 실행코드에 포함된 악의적 프로그램
– 다른 프로그램에 자기 자신을 복제하여 감염
• 웜(Worms) – 메모리, 네트워크등의 자원을 소모시키는 자기 복제 프로그램
– 바이러스처럼 다른 파일에 기생하지는 않음
Chapter 1 정보시스템 감사 프로세스
11
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적인논리적인 접근의접근의 노출노출 (2)(2)
• 논리폭탄(Logic Bomb)
– 특정한 조건과 일치하는 경우 동작 (자기복제 안됨)
• 서비스 거부/방해 공격 (Denial of Service)
– 서비스를 지연시키거나 완전히 두절 시키는 공격
• 컴퓨터의 셧다운
– 로그온 ID를 알고 있는 개인에 의해 발생, 과부하에 의한 발생
• 트랩 도어(Trap Doors)
– 프로그램 인터럽트와 같이 처리 중간에 데이터의 재검토를 허용하기 위하여
특별한 논리의 삽입을 허가하는 인가된 운영시스템 출구
– 때로는 불충분한 파라미터 점검에 의해 시스템오류가 발생할 수도 있음
• 비동기적 공격(Asynchronous Attack)
– 운영체제 기반의 공격으로 대기하고 있는 프로세스 데이터에 승인되지 않은
접근시도
– 매우 복잡하고 기술적인 노출이기 때문에 IS감사인은 전문가의 도움을 받아서
비공기적 공격을 감사함.
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적인논리적인 접근의접근의 노출노출(3)(3)
• 피기백 (Piggybacking)
– 승인된 사람을 뒤따라 들어감 –물리적
※ 이중 출입문 (Deadman Doors) : 피기백에 가장 효과적
– 전송을 가로채거나, 승인된 통신회선에 붙임 – 논리적
• 소수점 절사(Rounding Down)
– 소수점이하 단위의 작은 우수리를 잘라냄
• 살라미 기법(Salami Technique)
– 소액의 돈을 잘라 냄 (특정단위 이하의 돈을 전부 잘라냄)
• 기타
– 쓰레기통 뒤지기 (Scavenging) : 잔여 메모리 탈취
– 데이터 디들링 : 데이터 속임, 기술적인 노출 보다는 사회
공학적인 공격
Chapter 1 정보시스템 감사 프로세스
12
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
조직의조직의 ITIT환경환경 파악파악
• 논리적인 접근통제를 효과적으로 평가하기 위해서는 조직의 IT환경 이해가필수 적임
• 현행과 미래의 작업을 계획할 때 위험 측면에서 어떤 부문에 IS감사 노력을집중해야 하는 지 결정에 도움을 줌
• 조직의 IT정보시스템 아키텍쳐에 관련된 모든 보안 계층을 검토하는 것이포함됨
• 크게 네트워크, 운영체제 플랫폼, 데이터베이스, 응응의 4계층으로분류하며 각 계층마다의 관리적, 물리적, 기술적 보안환경 (특히 진입점)을파악해야 함.
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적논리적 접근접근 경로경로
• 일반적인 접근 방식(C/S 환경)
– 네트워크 연결
• PC를 통하여 조직의 네트워크 인프라에 접근
• 도메인 콘트롤러 서버에 의한 식별 및 인증
– 원격연결
• 원격에서 식별 및 인증으로 접근
• 광범위한 접근 포인트
• 전통적인 접근 방식(메인프레임 환경)
– 운영자 콘솔
• 컴퓨터 운영과 기능을 통제
• 물리적 접근 통제와 병행
– 온라인 워크스테이션 또는 단말기
• 사용자Id와 패스워드요구
• 대형 시스템의 경우는 별도의 보안 및 접근통제 소프트웨어가 필요함.
Chapter 1 정보시스템 감사 프로세스
13
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 접근통제 S/W의 목적 및 특징
– 목적 : 조직의 민감한 데이터에 대한 승인 받지 않은 접근 및 수정, 승인 받지 않은사용을 방지하여 정보자원의 기밀성, 무결성, 가용성을 보장하는 것임.
– 접근통제 소프트웨어를 적용하여 가장 높은 수준의 보호를 달성할 수 있는 것은네트워크와 플랫폼(운영체제)수준에 적용하는 것
• 일반적인 플랫폼플랫폼((운영체제운영체제) 접근 통제 기능
– 접근에 대한 로그온 ID 및 사용자 인증 기능
– 특정 터미널에 대해서 특정 로그온 아이디만 접근 할 수 있도록 접근 제한 설정 기능
– 사전에 정의된 시간에만 접근이 가능한 접근 제한 기능
– 특정 정보 자원에 대한 접근통제 규칙의 확립
– 개인의 책임 추적성(Accountability) 및 감사 수행성(Auditability) 기능
– 사용자 프로파일의 등록 및 변경 기능
– 사건의 기록(Logging)– 사용자 활동의 로그 기록
– 접근 통제 시스템 사용에 대한 보고서 작성 기능
접근통제 소프트웨어-1접근통제접근통제 소프트웨어소프트웨어--11
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
•• 데이터베이스데이터베이스//어플리케이션어플리케이션에서의 일반적인 접근 통제 기능
– 데이터 파일 및 데이터베이스 정보의 등록 및 변경
– 어플리케이션과 트랜잭션 레벨에서의 사용자 인가의 검증
– 어플리케이션 내에서의 사용자 인가의 검증
– 데이터베이스 내에서 필드 레벨의 변경에 대한 사용자 인가의 검증
– 파일 레벨에서 사용자에 대한 서브시스템 인가에 대한 검증
– 접근 위반을 모니터링하기 위한 데이터베이스 및 데이터 통신 접근활동에 대한로그기록
• 접근통제 소프트웨어는 정보시스템 아키텍쳐내에서 여러 가지 수준에서 제공
• 응용, 데이터베이스계층은 인프라 형태의 계층(N/W, 플랫폼)에 의존하고, 기능에 의한직무분리를 통해서 응용차원에서 필요한 보호기능을 제공함.
접근통제 소프트웨어-2접근통제접근통제 소프트웨어소프트웨어--22
Chapter 1 정보시스템 감사 프로세스
14
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
식별식별 및및 인증인증(I&A)(I&A)
• 논리적 접근통제 소프트웨어에서 식별 및 인증은 특정인의 신원을 확인하는 컴퓨터보안의 핵심적인 기능
• 대부분의 시스템의 경우 I&A는 첫번째 방어선임.
• I&A 기법
– 지식 기반 : 패스워드, PIN번호
– 소유 기반 : 토큰카드
– 존재 기반 : 생체공학적 특성
– 이중인증 기법 : 서로 다른 기반의 둘 이상 조합
• 로그 온 ID와 패스워드
– 신분 식별/확인(Identification) : 로그온 ID
– 사용자 인증/검증(Authentication) : 패스워드
– 사용자 인가(Authorization) : 접근 권한 부여
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
패스워드의패스워드의 특징특징
– 기억이 쉽고 추측이 어려워야 함
– 초기 패스워드 할당은 보안관리자가 개별적으로 할당하거나 시스템이 자체생성
– 초기 패스워드는 최초 로그인 시 강제로 사용자가 교체
– 오랫동안 사용하지 않는 ID와 패스워드는 사용중지
– 시도 횟수 제한과 로그인 시간 제한 ( 3 Strikes out)
– 패스워드는 내부적으로 일 방향 암호화되어야 함
– 패스워드 재 할당 시 주의 (신원 확인)
– 패스워드는 어떤 형태로든 보여서는 안됨
– 주기적인 변경(강제적인 최대, 최소 주기)
– 패스워드는 개인별로 유일
– 위의 특성들이 가이드라인으로 공식화되고 강제적요구사항으로 만들어 져야 함
Chapter 1 정보시스템 감사 프로세스
15
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
식별식별 및및 인증인증 최적실무최적실무
• 로그온 아이디(식별) 요구사항
– 오랫동안 사용하지 않는 ID는 사용중지
– 일정시간 동안 사용하지 않으면 자동으로 종료(타임아웃)
• 패스워드(인증) 구성원칙
– 이상적인 패스워드의 길이는 최소8자이어야 함
– 알파벳, 숫자, 대/소문자, 특수문자의 조합을 요구
– 사용자 신원과 동일 한 것은 사용하면 안 됨
– 이전에 사용했던 패스워드 다시 사용 못하게 함 (이력관리)
• 토큰장치, 일회용 패스워드
– 마이크로 프로세서가 통제하는 스마트카드 같은 것은 단 한번의 로그온에서만 사용가능한 일회용 패스워드를 생성
– 일회용 패스워드는 사용자가 갖고 있는 것과 알고있는 것을 포함한 두 요가 요소의인증기술
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
생체인식-1생체인식생체인식--11
• 생체인식을 통한 접근통제
– 인간을 유일하게 식별할 수 있는 속성에 근거한 인증의 최선의 수단
– 신체적인 특징이나 행동양식을 기반으로 접근을 제한
– 하드웨어의 효율성과 저장 능력의 증가로 가능성 증대
– 신체적인 특징의 변경 가능성으로 절대적으로 효과적이지는 않음
• 생체인식 통제장치의 성능
– 오 거부율(FRR:False Rejection Rate, Type I 에러)• 인가된 사용자가 인가받지 못하는 비율
• Type-I 오류율의 집합적 척도는 등록 에러율(FER:Failure-to-Enroll Rate)– 오 인식율(FAR:False Acceptance Rate, Type II 에러)
• 인가되지 않은 사용자가 인가되는 비율
– 동일 오류율(EER:Equal Error Rate)• FRR과 FAR이 같을 때의 비율로 낮을수록 효과적인 생체인식 장비임
– 가장 빠른 응답시간과 낮은 EER을 보유한 생체인식 장치의 순서
• 손바닥 손 모양 홍채 망막 지문 얼굴
Chapter 1 정보시스템 감사 프로세스
16
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
생체인식-2생체인식생체인식--22
- 비디오 카메라가 포착한 이미지를 처리- 빠르고 쉽기 때문에 사용자들의 수용성이 높으나 유일성이 부족함- DB의 크기가 증가하면서 높은 수준의 성능을 유지할 수 없음
얼굴
- 가장 많이 사용되나 다른 기법만큼 효과적이지는 못함- 가격이 저렴하고 기기가 작고, 기존 시스템과 통합이 용이함지문
- 광학기술을 이용하여 망막의 모세혈관의 패턴을 인식- 신뢰성이 매우 높고, 오인식률이 가장 낮음- 비용이 비싸고 눈을 접안시키는 부담으로 사용자가 기피하는 경향이 있음
망막
- 눈동자를 둘러싼 색 있는 부분에 있는 무늬- 기기에 직접 접할 필요가 없음- 가격이 비싸고, 사용자 식별에 필요한 저장공간이 많이 필요함
홍채
- 가장 오래된 생체인식 기법의 하나- 손과 손가락의 물리적인 특성(길이,넓이,두께,면적등)을3차원으로 측정- 손과 손가락을 적정 위치에 놓기 위한 5개의 지침봉을 사용- 사회적으로 받아들여지기 쉽고, 저장 공간이 매우 적음(10-20바이트)- 정보의 유일성이 부족하고, 상처가 난 손은 인식에 문제 발생 가능성
손 모양
- 손바닥의 홈, 융기선 등 손바닥에 관련된 물리적인 특성을 분석- 손바닥의 물리적 특성을 측정할 수 있는 스캐너에 손을 올려 놓는 것이 필요
손바닥(palm)
내용항목
• 물리적인 생체인식의 종류 (효과성 높은 것부터)
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
생체인식-3생체인식생체인식--33
- 음성의 청각적인 신호를 채취
- 특정 문장을 말하게 한 후 디지털 코드(1,500-3,000바이트)로 변환
- 전화에도 적용 가능하며, 추가적인 사용자 하드웨어가 필요 없으며, 사용자들의 수
용도가 높음
- 저장용량이 많이 필요하며, 목소리의 변화, 주변 잡음으로 인식을 방해할 수 있음
음성 인식
- 서명의 구체적인 특성과 서명 진행의 구체적인 특성(속도,압력, 방향, 펜이 종이에서
떨어지는 시간 등)을 분석
- 장점 : 빠르고 사용이 용이하며, 구현 비용이 낮으며, 다른 사람의 서명을 따라 해도
서명의 역학(dynamics)을 따라 하기는 불가능하거나 어렵다.- 단점 : 서명의 유일성으로 다른 생체인식 기법에 비해서 정확성이 크게 떨어짐
서명 인식
내용항목
• 행동 중심적인 생체인식의 종류 (효과성 높은 것부터)
• 생체인식의 관리
– 생체인식 데이터의 수집, 배포 및 처리등 전 생명주기 관리를 위한 효과적인보안이 필요
– 생체인식 기술의 사용, 응용의 통제
– 생체인식 데이터의 암호화, 안전한 전송, 물리적 H/W보관 통제
– 무결성 및 프라이버시 보호기법이 필요
– BIMS : 생체인식 정보관리 및 보호 정책 개발필요
Chapter 1 정보시스템 감사 프로세스
17
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
싱글사인온(SSO)싱글사인온싱글사인온(SSO)(SSO)
• 단 한번의 로그인만으로 기업의 각종 업무 시스템이나 인터넷 서비스에 접속할 수 있게
해주는 솔루션
• 네트워크상에 존재하는 많은 서버,어플리케이션의 각각의 아이디와 패스워드를
관리하는 부담 감소
• 사용자 편리성 및 관리효율성 증대
• SSO의 장점
– 사용자들은 강력한 패스워드를 선택한다. – 모든 관계된 시스템에서 사용자와 사용자 구성을 관리하는 관리자의 능력이 향상
– 다양한 플랫폼과 어플리케이션에서 사용자들의 패스워드 분실에 따른 관리자들의
부담이 감소
– 사용자가 여러 시스템에 로그인 하는 시간을 감소시킨다.
• SSO의 단점
– 모든 주요 운영체제와 환경의 지원이 어렵다
– 상당히 많은 인터페이스의 개발 및 유지가 요구되고 비용이 커질 수 있다.– 하나의 실패가 전체 정보자산에 영향을 미칠 수 있다
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
커버로스(KERBEROS)커버로스커버로스(KERBEROS)(KERBEROS)
• SSO의 한 예
• 1980년대 MIT에서 아테나 프로젝트를 통해서 개발된분산컴퓨팅환경(DCE:Distributed Computing Environment) 에서서비스와 사용자를 확인하는데 사용되는 인증 서비스
• 분산컴퓨팅환경에서 각자를 명확하게 식별하고 참여하기 위한 주체를허용 사용자만이 인증되는 것이 아니라 사용자와 서버 모두가 그들자신을 인증
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
서명확인
개인키(송)
비 대칭형 암호시스템(알고리즘)
비 대칭형 암호시스템(알고리즘)
공개키(송)
사전해쉬값
비교후
유,무효
확인사후 해쉬값 전자서명
복호화값(사전해쉬값
전자서명
•특징 : 암호화와 반대
전자서명 생성은 (=비밀키)와 서명확인(=공개키)
•해쉬함수
MD4(128 bit 결과), MD5(128 bit 결과), SHA(160 bit 결과)
Massage Digests
알고리즘
Massage Digests
알고리즘
원 문서
전자서명 흐름도전자서명전자서명 흐름도흐름도
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
복호화
개인키(수)Dyejsmldmnf
mdfnmd,sdd
fnfnfnlkfekkfe-
Dyejsmldmnf
mdfnmd,sdd
fnfnfnlkfekkfe-
Dyejsmldmnf
mdfnmd,sdd
fnfnfnlkfekkfe-
Dyejsmldmnf
mdfnmd,sdd
fnfnfnlkfekkfe-
공개키(수)
비밀키 (세션키)
암호화
대칭형 암호시스템(알고리즘)
대칭형 암호시스템(알고리즘)
비 대칭형 암호시스템(알고리즘)
비 대칭형 암호시스템(알고리즘)
비교
사전해쉬값
사후 해쉬값비밀키(세션키)
Massage Digests
알고리즘
암호화 된 문서, 비밀키및 전자서명
Massage Digests
알고리즘
암호화 및 전자서명암호화암호화 및및 전자서명전자서명
개인키(송)
전자서명복호화값
(사전해쉬값)
전자서명
공개키(송)
암호화된비밀키
Chapter 1 정보시스템 감사 프로세스
46
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
인증서라 함은 전자서명 검증키와 이를 소유하는 자연인 또는 법인
과의 귀속관계 등을 인증기관이 전자서명하여 확인,증명한 전자적
정보를 말한다.
인증서의 정의
전자서명 검증
소유주 : 갑돌이
주민등록번호 :700405-1xxxxxx
전자서명 검증키 : 인증기관의전자서명
생성키인증문서 전자서명
전자서명
소유주 : 갑돌이
인 증 서소유주 : 갑돌이
주민등록번호 :700405-1xxxxxx
전자서명 검증키 : 45:AC:01:01:08
유효기간 : 1998/05/10-1999/05/10
고유번호 : 1001
인증서의 정의인증서의인증서의 정의정의
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
송신자 수신자
송신자가 수신자에게 전자서명된 전자문서를 보내는 경우
전자문서+전자서명+송신자의 인증서
수신자의 검증 절차1. 송신자의 인증서를 검증
2. 송신자의 인증서가 맞다면 송신자의
전자서명 검증
결국 인증서를 이용하여 제3자의 위장 문제점을 해결할 수 있음
인증서의 필요성인증서의인증서의 필요성필요성
Chapter 1 정보시스템 감사 프로세스
47
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
인 증 서소유주 : 갑돌이
주민등록번호 :700405-1xxxxxx
전자서명 검증키 : 45:AC:01:01:08
유효기간 : 1998/05/10-1999/05/10
고유번호 : 1001 전자서명 검증키는 인증서 내에 포함되어 있으며, 전자서명 검증시 이것이 추출되어 이용된다.
인증기관이 날인한 전자서명
인증서의 구성및 내용
인증서의 구성 및 내용인증서의인증서의 구성구성 및및 내용내용
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
인증서(예)인증서인증서((예예))
Chapter 1 정보시스템 감사 프로세스
48
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
PKIPKI의의 개요개요 (1/2)(1/2)
• 공개키 기반 구조(Public Key Infrastructure)
– 공개키 암호 시스템을 사용하는 암호시스템에서 사용자의 공개키를 안전하고 신뢰성 있게 공표하는 수단을 제공
• PKI 출현 배경
– 공개키 암호의 출현
• 서명 검증
• 공개키 암호화
• 여러 공개키 응용
– 공개키 공개 시 문제점
• 공개된 공개키를 제 3 자가 변형(Man-in-the-middle Attack)• 여러 공개키의 관리 문제
• 공개키 취소 문제
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
PKIPKI의의 구성요소구성요소 (2/2)(2/2)
•CA의 운용을 통제하는 상세한 일련의 규정
인증실무
준칙
CPS
•CA가 책임지고 있는 인증서의 지속적인 유효성을 점검하기 위한 도구
•더 이상 유효하지 않은 인증서를 열거한 것
•CRL 갱신의 시간 간격이 매우 중요하고, 전자 인증서 검증의 위험 요소임
인증서
취소목록
CRL
•CA에서 분리된 부수적인 실체로 CA로부터 관리기능의 일부를 위탁 받아 수행
•가입자의 신분을 수립하거나 검증하는 관리 기능을 지원
- 주체가 제출한 정보의 검증/요청한 인증서의 주체의 권리검증/보유검증(POP)/
키손상이나 종료 보고/식별목적의 이름 부여/ CA와 등록프로세스 개시/ 등록초기 및 수령시 사용할 공유 비밀의 생성/개인키의 장기보관/
공개키 및 개인키의 생성/캐인키를 담고 있는 물리적 토큰의 배포
등록기관
RA
•공개키와 개인키쌍의 신뢰할 수 있는 공급자로 인증서 발행을 결정
•신청자의 신분을 증명하기 위하여 CA는 자신의 개인키로 인증서에 서명 후배포
•인증서를 생명주기동안 관리할 책임
내 용
인증기관
CA
구분
Chapter 1 정보시스템 감사 프로세스
49
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
응용응용 암호암호 기술기술 (1/5)(1/5)
SSL(Secure Socket Layer)– 웹 서버와 브라우저간의 안전한 통신을 위해 사용되는 프로토콜
– PKI를 통해 인터넷상의 트랜잭션을 보호하기 위해 해쉬, 비밀키 및공개키 암호화 프로세스를 혼합하여 사용
– 특징 : 세션계층에서 적용되며, 응용계층의 FTP, TELNET, HTTP 등의 프로토콜의 안전성 보장
S-HTTP(Secure-HTTP)– 배경 : 1994년 EIT, NCSA, RSA에 의해 HTTP의 안전성 확보를
위해 개발
– 특징 : 응용계층에서 적용되며, 다양한 표준(PGP, PEM 등) 포용
– SSL은 세션내의 모든 메시지를 보호하나 S-HTTP는 메시지나페이지 단위로 보호
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
응용응용 암호암호 기술기술 (2/5)(2/5)
Chapter 1 정보시스템 감사 프로세스
50
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
응용응용 암호암호 기술기술 (3/5)(3/5)
IPSEC• IETF에 의해 개발되어진 네트워크 계층의 보안 프로토콜
• 전송모드(Transport Mode) 및 터널모드(Tunnel Mode) 사용
- 전송모드에서는 캡슐화된 보안페이로드(ESP: Encapsulating Security Payload)라 불리는 각 패킷의 데이터 부분을 기밀성을위해서 암호화
- 터널모드에서는 ESP와 헤더까지 암호화
• 부인봉쇄 기능을 달성하기 위한 추가적인 인증헤더(AH: Authentication Header)를 적용
• 현재 VPN의 표준
• IPSEC 은 작동시 반드시 공개키를 공유하여야 함
S/MIME– 송신자와 수신자를 인증하고 메시지의 무결성을 증명하고 첨부물을
포함한 메시지 내용의 프라이버시를 보증하는 표준보안메일 규약
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
응용응용 암호암호 기술기술 (4/5)(4/5)
SSH– Secure Shell의 약자
– 안전하지 못한 네트워크에서 강력한 인증방법으로 안전하게 통신을 할 수있는 기능을 제공
– 전자인증서를 통해 상호 신뢰성을 검증하므로 telnet, ftp등의 서비스를스니핑등으로부터 보호하는데 유용함
– 네트워크 계층이 아닌 응용 계층에서 수행됨
– 일반 login프로그램과 달리 패킷 전송시 암호화하기 때문에 원격 관리의보안이 매우 안정적
SET– 1996년 2월 VISA, Master 공동연구 시작
– 인터넷 상에서 신용카드를 이용한 대금의 안전한 지불을 목적
– 거래 및 승인 동시성
– 지불 요청 관련 전과정 자동화
– 정보의 비밀성, 데이터의 무결성 보장
– 카드 소유자 인증, 상점 인증 및 상호 운용성 보장
– 신용정보, 상품거래 정보 비노출 : dual signature
Chapter 1 정보시스템 감사 프로세스
51
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스바이러스바이러스
바이러스의 공격 대상
– 실행 프로그램파일
– 파일 디렉토리시스템
– 부트 및 시스템 영역
– 데이터 파일
바이러스와 웜의 차이점
– 바이러스자신을 다른 프로그램에 물리적으로 부착하여(감염) 확산
– 웜운영체제나 어플리케이션의 취약점을 이용하여 확산
탐지 및 예방 (두가지방법을 다 포함하지않으면 효과적이지 않음)– 훌륭한 정책과 절차
– 바이러스 방지 소프트웨어를 설치
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스의바이러스의 종류종류 -- 11
매크로(Macro) 바이러스
– 응용 프로그램에 포함되는 매크로 기능을 이용하여 자신을 복제하는
바이러스
– 특징
1.운영체제의 영향을 받지 않는다
2.제작과 변형이 쉽다
3.변형 바이러스가 자동으로 만들어질 수 있다
4.파괴 증상보다 데이터 변형이 더 치명적이다
5.확산 속도가 빠르고 감염 사실을 모르는 경우가 많다
6.MS사의 SW에 대한 보안 취약점 공격이 계속되고 있다
스크립트 바이러스 (VBS Virus)– VBScrip및 JavaScript처럼 스크립트 언어로 작성된 바이러스
– 윈도우의 스크립팅 호스트(WHS)를 사용하여, 자신을 활성화하고 다른 파일을 감염
– 마이크로소프트 오피스 제품군의 경우 자동 실행의 기능으로 메일등의 내용을 보는 것만으로 감염될 수도 있음
Chapter 1 정보시스템 감사 프로세스
52
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스 통제-1바이러스바이러스 통제통제--11
바이러스 예방을 위한 관리 절차적인 통제– 깨끗한 원본을 이용하여 시스템 구축– 독립된 기기에서 점검 되기 전까지 디스크의 사용 허용 불가– 백신 소프트웨어를 자주 업그레이드 한다.– 모든 디스켓은 쓰기 방지– 데모는 제조사의 기계에서 시행한다– 검사하지 않은 쉐어웨어의 사용금지 규칙을 강화한다.– 상업용 소프트웨어도 설치되기 전에 점검한다. – 디스크 사용 전 데스크 시스템에서 조사– 워크스테이션과 서버용 바이러스 방지 소프트웨어의 사용– 모든 서버에 최신 바이러스 방지 소프트웨어의 설치– 암호화 후 실행 시 해독하는 방안을 고려– 브리지,라우터, 게이트웨어의 갱신이 인가되도록 함– 효과적인 백업계획이 있는지 확인한다– 사용자 교육을 수행– 바이러스 방지 정책과 절차는 최소 년1회 검토한다.– 바이러스 제거 절차를 마련하고 담당자 명시
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스 통제-2바이러스바이러스 통제통제--22
바이러스 예방을 위한 기술적인 통제
– 하드웨어
• 부트 바이러스 보호 대책 사용(펌웨어 기반의 바이러스 방지 기능)• 원격 부팅 사용(디스크 없는 워크스테이션)• 하드웨어 기반 암호 사용
• 플로피디스크에 쓰기 방지 탭
– 바이러스 방지 소프트웨어
• 가장 보편적인 바이러스 방지 도구
• 가장 효과적인 수단
• 예방 통제수단으로 사용
• 정기적으로 갱신되지 않으면 효과적이지 않음
Chapter 1 정보시스템 감사 프로세스
53
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스 통제-3바이러스바이러스 통제통제--33
스캐너(Scanners)– 바이러스프로그램의 전형적인 비트열을 조사, 주기적인 갱신 필요– 바이러스 마스크 또는 서명
• 바이러스 마스크와 서명을 기반으로 알려진 또는 새로운 바이러스를 검사• 다형성 바이러스의 검색을 위해 감염된 파일에서 존재하는 서명의 모든 조합을 검사
• 다형성 바이러스(Polymorphic Virus) : 자체 변형 바이러스– 휴리스틱 스캐너
• 스캔 코드의 명령문을 분석하여 통계적 확률을 바탕으로 악의적인 코드 여부를 결정• 결과는 가능성으로 표시 잘못된 인식 오류율이 높음
활성 모니터 (Active Monitors) – DOS의 ROM의 기본입출력시스템(BIOS)의 Call 해석하고, 활성 바이러스 조사– 정상적인 사용자 요구와 바이러스의 구별하기 어려움
무결성 검사기 (Integrity Checker)– 알려진 바이러스 없는 프로그램에 대한 이진수 값을 계산– 검사기는 프로그램 실행 시 순환적 중복검사(CRC)를 계산하여 데이터베이스의 숫자와 비교하여
바이러스 감염여부 검사– 가장 효과적인 유형 그러나 파일 복원엔 늦은 시점임
행동차단기(Behavior Blockers) – 부트 섹터나 마스터 부트 레코드에 쓰는 것 같은 의심스러운 행동을 탐지 하드웨어 기반
매커니즘
면역기(Immunizers) – 바이러스가 동작하는 것과 같은 방법을 파일에 적용하여 바이러스에 걸리지 않도록 하는 것– 모든 바이러스로부터 면역되어지는 것은 불가능하므로 항상 실용적인 것은 아님
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
바이러스 방지 소프트웨어 구현 전략바이러스바이러스 방지방지 소프트웨어소프트웨어 구현구현 전략전략
바이러스 방지 소프트웨어 설정방법
– 계획된 일정에 따른 바이러스 스캔(일별, 주별)– 사용자의 요청에 따라 바이러스 스캔이 이루어지는 수동/요구기반 스캔
– 파일이 처리되는 동안 스캔되는 지속적/동시 스캔
바이러스 월
– 바이러스 스캐닝 소프트웨어가 방화벽 기술의 일부분으로 사용
– 네트워크 진입 전에 바이러스를 적발하고 제거할 목적으로 인바운드 트래픽을 스캔
• SMTP 보호
• HTTP 보호
• FTP 보호
– 바이러스 월이 존재하여도 네트워크 내의 모든 컴퓨터에 바이러스 방지 소프트웨어는설치되어야 함
바이러스 스캐너의 특성
– 바이러스 탐지의 신뢰성 및 품질
– 메모리 상주 지속적인 검사
– 효율성 적정한 작업 속도
Chapter 1 정보시스템 감사 프로세스
54
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
VoIPVoIPVoIP
개요 -– 음성전용 통신만 대신에 인터넷 또는 전용IP 네트워크상에서 음성통화를 가능하게
하는 기술
– VoIP는 IP네트워크 위에서 음성 신호를 전달하는데 사용되는 프로토콜, – 소리는 IP패킷으로 디지털화 되고 네트워크 계층을 통해 전달된 후 원래의 음성으로
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
사설 교환기:PBX (1/2)사설사설 교환기교환기:PBX (1/2):PBX (1/2)
외부 전화회선을 모든 직원이 공유하고, 내부 사용자들간에 전화 연결을 위한전화교환시스템으로 아날로그 기술로 시작하였으나 현재는 디지털 기술 적용
• PBX 사용의 주요 목적- 직원 개인에게 일반 전화회선을 배정하는 비용을 절감하는 것
• PBX 포함 사항- PBX에서 종단 처리되는 전화 트렁크회선들- 통합된 음성/데이터 환경을 허용하는 디지털 전화기의 사용- PBX 내부의 호(call)를 교환하고 관리하는데 사용하는 컴퓨터 기반의 PBX
시스템- PBX 내의 회선 네트워크- 교환원을 위한 콘솔이나 스위치보드
• PBX에서의 위험- 통제되지 않는 DID(Direct Inward Dial)의 정의, 외부에서 내부로 직접 전화가
허용되면 인가되지 않은 장거리 전화의 사용이 가능- 장거리 전화에 대한 시스템 접근 통제(벤더의 디폴트 패스워드 변경)- 성인전화, 이동전화등에 대한 차단 통제의 결여- 팩스, 모뎀 번호에 대한 통제 결여- 트래킹 로그의 사용을 활성화 시키는 옵션을 선택하지 않은 경우
Chapter 1 정보시스템 감사 프로세스
55
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
사설 교환기:PBX (2/2)사설사설 교환기교환기:PBX (2/2):PBX (2/2)
• PBX시스템이 불법적 목적으로 사용될 수 있는 요소
– 상대방 모르게 대화를 도청– 다자간 통화를 도청– 특정 전화기로부터 원격지 번호로의 호출을 불법적으로 전달– 사용자의 전화기를 외부 호출이 도달하지 못하도록 미사용 번호로 전달
• 공격을 최소화하기 위한 통제– 전용관리 포트를 분리하여 구성하고 보안대책을 설치– 직접 내부 다이어링 회선의 정의를 통제한다– 시외전화에 대한 시스템 접근통제를 수립한다.– 특정 전화번호에 대한 장거리 전화호출의 차단통제– 팩스나 모뎀용 번호에 대한 통제수립– 통화추적 기록을 사용하는 통화등록 선택사항의 활성화
• PBX의 대표적 공격 및 취약점– 하드웨어 도청, 하드웨어 다자간 통화 , 원격접근– 유지보수용 서비스중단, 문서화 되지 않은 제조업체 고유의 취약기능– 숨겨진 제조업체의 개발 및 테스트 미흡기능– 소프트웨어 적재 및 갱신 변조– 크래시-재시동 공격, 패스워드의 부적절한 정의
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 문서화된 정책과 절차 및 표준의 검토• 논리적 접근 보안 정책
– “알아야 할 필요성”원칙 기반
• 공식적인 보안의식 제고와 훈련– 예방적인 통제– 신입사원 입문교육이나 연수과정– 회사 공람이나, 회의 중 간략한 주지
• 데이터의 소유권– 데이터요소를 분류, 완전하고 정확하게 유지하는 책임을 할당– 책임소재의 명확화– 직무기술서의 표본을 검토
• 데이터 소유자– 접근을 승인하고 접근규칙이 갱신되도록 보장– 접근규칙을 정기적으로 조사
• 데이터 보관인– 데이터를 저장하고 보관할 책임이 있는 시스템 분석가와 컴퓨터
운영자 등의 전산 요원
5.4 정보보안 프레임워크 감사
정보보안정보보안 프레임워크프레임워크//프로세스프로세스 감사감사--11
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 보안관리자
– 논리적, 물리적 보안에 대한 책임
• 데이터 사용자
– 실질적인 데이터의 사용자
– 보안관리자에 의해 통제되고 감시
• 문서화된 승인
– 데이터 소유자에 의한 문서화된 승인
– 승인 문서 검토
• 퇴직자의 접근
– 직원의 요청(자발적인 사직)– 일정기간 도래(정년, 계약기간 만료)– 특별한 경우 경영진에 의한 해고(비자발적)
비자발적인 퇴직의 경우 강력하게 권한 회수
• 접근 기준
– 정책적 요구 사항을 만족시키는지 검토
정보보안정보보안 프레임워크프레임워크//프로세스프로세스 감사감사--22
Chapter 1 정보시스템 감사 프로세스
57
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 보안 베이스라인 개요
– 보안베이스라인 계획은 IT보안의 첫 단계
– 전체보안평가와 계획에 따라야 함
• 보안 베이스라인 권고사항
• 보안베이스라인 평가 체크리스트 항목
– 환경 및 자산목록 / 바이러스 방역
– 패스워드 관리 / 패칭 / 시스템에서 제공하는 서비스의 최소화
– 취약점 관리,감사 / 백업과 업무연속성 / IT요원
정보보안정보보안 프레임워크프레임워크//프로세스프로세스 감사감사--33
훌륭한 시스템관리를 통해 많은 취약점을 제거하라취약점 관리
사용자의 실수와 하드웨어장애로 부터 복구를 백업용으로 용이하게 하라백업
장기적으로 시간을 절약하기위해 불필요한 서비스를 제거하라서비스 최소화
업무량 및 훼손가능성을 줄이기 위해 자동화 하라패칭
패스워드의 중요성을 인지하라패스워드
자동 갱신기능이 있는 바이러스방역 프로그램을 설치하라바이러스 방역
자산목록을 만들고 관리하라자산목록
목 표주제
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적 접근에 대한 감사-1논리적논리적 접근에접근에 대한대한 감사감사--11
• IT환경의 친숙화(Familiarization)– 감사의 첫 단계
– 기술적, 관리적, 물리적 환경을 명확하게 파악
– 면담, 워크스루, 문서와 위험 평가 자료의 리뷰
• 접근 경로의 문서화 검토
– PC물리적 보호 및 ID와 패스워드
– 통신 소프트웨어
시스템 소프트 웨어 분석가 도움 요구
– 트랜잭션 처리 소프트웨어
트랜잭션을 적용업무에 전달
– 응용소프트웨어
– 데이터베이스 관리시스템(DBMS)– 접근통제 소프트웨어
Chapter 1 정보시스템 감사 프로세스
58
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
논리적 접근에 대한 감사 -2논리적논리적 접근에접근에 대한대한 감사감사 --22
• 시스템 담당자들과의 면담
– 조직도와 직무 기술서를 검토중요인물 : 보안운영자, 네트워크 통제 및 관리자,
시스템소프트웨어관리자
– 책임과 직무를 확인하기 위해 질문
– 접근을 관리하고 감시하는 방법
• 접근통제 소프트웨어의 보고서 검토
– 충분한 정보가 제공 여부
– 보안 관리자가 효과적으로 보고서 검토를 수행 여부
– 실패한 접근 시도(시간과 단말기, 접근 시도된 데이터)• 응용시스템 운영 매뉴얼
– 개발, 구현, 운영, 사용을 위한 절차
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
보안 테스트-1보안보안 테스트테스트--11
• 보안 테스트 : 실증 테스트임
– 터미널 카드와 열쇠의 사용
– 터미널의 식별
• 단말기의 재고조사, 잘못되거나 누락 기록조사
– 로그 온 ID와 패스워드 사용
• 패스워드 추측 시도
• 노출된 패스워드의 확인
• 패스워드를 알려줄 것을 요청하여 안 알려주는 지 확인
• 패스워드 테이블 확인하여 보이는지 확인
• 접근 허가문서 검토
• 주기적인 변경요구
• 사용치 않은 패스워드 삭제
• 패스워드 작성규정
• 사용하지 않는 단말기의 자동로그오프
• 접근 시도 실패 후 단말기의 자동 사용중지
• 입력 시 패스워드가 감추어지는지 확인
Chapter 1 정보시스템 감사 프로세스
59
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
보안 테스트-2보안보안 테스트테스트--22
– 실행자원에 대한 통제
– 컴퓨터 접근 위반의 기록과 보고
• 접근이 승인되지 않은 트랜잭션 또는 데이터에 대한 접근을 시도하여실패하고 보안보고서에 나타남을 확인
– 접근 위반의 사후 검토
• 접근 위반의 조사와 추적 증거
– 컴퓨터범죄의 조사
• 많은 컴퓨터 범죄는 검출되지 않고 보고되지도 않는다
• 범죄직후 현장에서 증거를 수집하기 위해 적절한 절차를 사용하는 것이
중요
• 범죄 후에는 환경과 증거를 손대지 않고 법 집행관을 부름
– 증거의 보호 및 증거의 사슬
• 증거는 로그파일, 파일의 타임스탬프, 메모리 내용 등의 형태로 존재
• 공격을 당한 시스템의 하나이상의 이미지 복사필요
• 증거의 보호에 추가하여 관리체계를 준수하는 것이 중요
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
네트워크네트워크 인프라인프라 보안보안 감사감사
• IS감사인의 수행 사항
– 네트워크 구성도 검토
– 네트워크 설계 식별
– 네트워크 관리와 사용에 대한 정책, 표준, 절차, 지침 확인
– 보안 및 인터넷 접속의 운영에 대한 책임자 식별
– 인터넷 사용에서 발생 가능한 법적인 문제 고려 여부 확인
– 서비스의 위탁 운영 시 SLA검토
가용성, 서비스품질 및 보안 제공 여부 확인
– 새로운 취약점에 대응하여 업그레이드 되어 있는지 확인
5.5 네트웍 보안 감사
Chapter 1 정보시스템 감사 프로세스
60
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
원격접근원격접근 감사감사(1/4) (1/4)
• 기존 원격 접근 아키텍처를 감사하는 IS감사인
– 원격접근 진입점의 존재와 중앙 집중화된 통제의 필요 여부 평가
– VPN, 인증, 암호화, 방화벽, IDS등 적절한 통제 여부 검토
• 미래의 원격 접근 계획을 검토하는 IS감사인
– 원격접근방법의 설계와 개발이 사업 요구사항을 고려한 비용 효과적인 위험 기반
대책에 기초하는지 결정
• 여러가지 원격접근의 감사 목록
– 인터넷 출현점(Point of presense)의 감사
– 네트워크 침투 시험
– 완전한 네트워크 평가 검토
– LAN 네트워크 평가
– 네트워크 변경의 개발과 인가
– 승인받지 않은 변경
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
원격접근원격접근 감사감사(2/4) (2/4) • 인터넷 출현점(Point of presense)의 감사
– 전자우편, 마케팅. 영업채널/전자상거래
– 상품/서비스의 제공채널, 정보수집
• 네트워크 침투시험
– 해커와 같은 기술을 사용하는 절차의 조합
– 침투시험 시 언급해야 할 감사범위
• 테스트 IP 주소 , 제한된 호스트, 테스트 기법
• 모의시험 시점, 관련자의 연락처, 수집된 정보처리 방법 등
– 침투단계 : 계획 -> 발견 -> 공격 -> 보고 -> 추가적 발견
– 침투시험의 유형
• 외부시험 / 내부 시험
• 블라인드 테스트 / 이중 블라인드 테스트 / 타깃이 정해진 시험
– 경험 있고 자격 있는 전문가에 의해서만 수행되어야 함
– 최고 경영진의 사용 허가
– 보안 모니터링 직원에게는 알리지 않고 수행하는 것이 바람직
Chapter 1 정보시스템 감사 프로세스
61
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
원격접근원격접근 감사감사 (3/4)(3/4)
• 완전한 네트워크 평가 검토
– 보안 정책과 절차 검토
– 네트워크와 방화벽 구성 평가
– 직무분리 지원 확인
– 기타 확인사항
•IDS의 사용, 필터링, 암호화, 강력한 인증
•방화벽 설계, 응용수준방화벽에서 프락시 서버의 운영
•바이러스 스캐닝, 정기적인 침투테스트
•핵심시스템에 대한 감사기록 작성
•보안관리자가 최근의 CERT, CIAC, SANS 보고서 검토 여부
• LAN 네트워크 평가
– 특정 호스트 접근을 위한 LAN 네트워크 운영체제
– 호스트 운영체제 또는 접근통제시스템 소프트웨어
– 메뉴 필드나 특정 데이터에 대한 접근을 통제하는 응용시스템
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
원격접근원격접근 감사감사(4/4)(4/4)
• 네트워크 변경의 개발과 인가
– 관리자가 문서로 승인하여야 함
– 변경 통제 테스트: 변경 신처 표본 추출 적절한 승인 여부, 신청 내역과 장비의
일치 여부 확인
• 승인 받지 않은 변경
– 변경통제 절차의 목적
소프트웨어, 형상, 파라미터, 데이터 등에 승인받지 않은 변경이 일어나는 것을
예방하고 적발하는 것
– 통제 사항 : 소프트웨어 개발, 관리, 운영간의 직무 분리, 개발팀의 접근을
개발환경으로만 제한, 소스코드에 대한 접근 제한
• 컴퓨터 범죄수사
– 법적처리에서 합법적으로 받아들여 질 수 있는 방식으로 디지털 증거를 식별, 보존, 분석 및 제출하는 프로세스
– 증거의 사슬 포함정보 : 누가 증거에 접근, 증거 다루는 절차, 동일한 복사본 여부
– 4가지 고려사항: 식별 -> 보존 -> 분석 -> 제출
Chapter 1 정보시스템 감사 프로세스
62
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 전기적인 폭풍• 컴퓨터 시스템을 다운되게 하거나 단기적인 전압상승/하락과 유사한 손상
전자기파방해(EMI)
• 전압이 일시적으로 급속하게 상승하거나 하락하는 현상• 데이터 유실/파손, 전송 오류 또는 물리적인 손상
단기적인전압상승/하락(sags, spikes,
surges)
• 전기회사가 수용 가능한 범위 내에서 전력 공급을 못하는경우
• 전자기기에 큰 영향(기기 수명 감소나 영구적인 손상)
전압의심각한 감소(brownout)
• 한 건물이나 전체 지역의 완전 정전• 태풍, 지진등 자연 재해나 사용자의 수요를 충족시키지못하는 경우에 발생
완전 정전(blackout)
개념구분
환경적에환경적에 관련된관련된 이슈이슈 및및 노출노출--11
• 정전에 관련된 노출
5.6 환경적 접근노출 및 통제
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
Transient
BlackOut
무
SagSpike단
BrownOutSurge장
저고Voltage(전압)
• 전원교란의 예
환경적에환경적에 관련된관련된 이슈이슈 및및 노출노출--22
Chapter 1 정보시스템 감사 프로세스
63
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
• 환경에 관련된 이슈 및 노출
– 천재지변의 발생• 폭우, 지진, 화산 폭발, 태풍 등
– 정전
– 화재
– 물/홍수로 인한 피해
– 인재• 테러리스트의 위협
• 기물파손행위
• 기기고장
• 환경에 관련된 노출의 고려사항
– 전원이 제조업체사용대로 유지?– 요구하는 온도에 맞게 유지?– 정전기의 영향으로부터 보호?– 식음, 흡연이 회사 내 금지?– 테이프 등이 열, 물의 영향으로부터 보호?
환경적에환경적에 관련된관련된 이슈이슈 및및 노출노출--33
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
환경적환경적 노출에노출에 대한대한 통제통제(1/4)(1/4)
• 경보기 패널
– 도난/보안 시스템과 분리, 소방서 직원의 접근 용이
– 기후에 영향을 받지 않는 상자 속에 설치, 지정 온도요건 준수
– 통제된 방, 별도의 전원공급, 구역별 통제 가능, 규정 준수
• 습기 탐지기
– 컴퓨터실의 높여진 바닥(raised floor) 밑과 배수구 근처
– 관리인이 없는 모든 장비 보관 시설
– 탐지기 작동 시 경보음 발생
• 휴대용 소화기
– 시설 전체의 전략적 위치에 설치
– 매년 정기적인 점검 및 점검 표 부착
• 수동식 화재 경보장치
– 시설 전체의 전략적 위치에 설치
– 경비실에 연결되어 경보 발생
Chapter 1 정보시스템 감사 프로세스
64
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
환경적환경적 노출에노출에 대한대한 통제통제(2/4)(2/4)
• 연기 탐지기
– 천장 타일의 위, 아래, 컴퓨터실의 높여진 바닥(raised floor) 아래
– 탐지기 작동 시 경보음 발생 및 경비실 연결
• 컴퓨터실의 전략적 위치선정
– 지하에 위치하여서는 안됨
– 3,4,5,6층이 바람직
– 인접 시설 고려(공항, 화학공장 등)
• 소방서의 정기적 점검– 모든 화재 감지 장치들의 관련법 준수 여부 확인
• 컴퓨터실 주변의 방화벽, 방화 바닥, 방화 천정– 최소 2시간의 억제능력
• 과전압 보호기– 전압 조절기(AVR) : 전기 합선으로 인한 피해 위험 감소– UPS내에 설치
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
환경적환경적 노출에노출에 대한대한 통제통제(3/4)(3/4)
• 화재 진압 시스템
– 물(Water)• 스프링쿨러, 장비와 재산에 피해
• 정보시스템 설비에는 비 효과적
– 드라이파이프(Dry Pipe)• 파이프에 물이 안 들어 있는 스프링클러• 전기 차단용 자동 스위치 구비
– 할론(Halon)• 산소를 제거 시켜 진화, 장비의 피해가 없음• 가스 방출 전 경보와 지체시간 필요, 오존 층에 나쁜 영향
– FM-200• 타고 있는 물질의 표면에 흡수되어 온도를 낮춤• 환경 친화적, 효과적이고 안전한 방법
– 이산화 탄소 (Carbon Dioxide)• 인체에 위험• 자동 분사는 법적으로 금지 – 수동으로만 분사 허용• 소화전 추가적인 시간과 안내방송 필요
Chapter 1 정보시스템 감사 프로세스
65
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
환경적환경적 노출에노출에 대한대한 통제통제(4/4)(4/4)
• 무 정전 전원 장치 (UPS)– 비상시 장비에 전원을 공급(수 분 ~ 수 일)– 배터리나 가스 발전기로 구성
• 비상 전원 차단 스위치– 컴퓨터실의 화재나 비상 소개 시– 2개의 차단스위치(컴퓨터실의 안과 밖) – 실수 방지를 위한 봉인 필요
• 이중의 전원 공급– 물, 화재, 벼락, 굴착공사, 변압기 고장에 대비
• 전기 판넬과 도관에 있는 전선– 불연성 판넬과 도관 사용
• 정보처리 설비 내에서의 식음, 흡연 금지• 불연성 사무용품• 문서화되고 테스트된 비상 소개 계획
– 사람의 안전– 정보처리설비의 물리적인 보호
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
환경 통제 감사-1환경환경 통제통제 감사감사--11
• 환경통제에 대한 감사
– 습기 및 연기 탐지기
• 탐지기의 존재 여부
• 전원 등 동작 여부
– 휴대용 소화기
– 화재진압 시스템
• 테스트 받은 시스템임을 나타내는 문서 검토
– 소방서의 정기 점검
– 컴퓨터실 주변의 불연성 벽,바닥, 천장
• 건물 관리 부서로부터 가연성 등급 문서 검토
– 과전압 보호기
• 설치 여부 확인
– 이중의 전원 공급
• 건물 관리 부서의 관련 문서 검토
Chapter 1 정보시스템 감사 프로세스
66
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
– 문서화 되고 점검된 사업 연속 계획
– 전기 패널과 도관 내에 전선설치
– 무 정전 전원공급장치/ 발전기
• 시험결과 보고 검토
– 문서화 되고 테스트된 비상소개 계획
– 습도/온도 통제
• 습도/온도가 적정한지 측정
환경환경 통제통제 감사감사--22
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근접근 노출노출• 물리적 접근에 의한 노출들
– 비 인가된 입실
– 장비 또는 문서에 대한 손상
– 장비 또는 문서에 대한 고의적 파괴행위 또는 절취
– 중요한 장비 및 정보의 변경
– 중요한 정보의 공개
– 데이터 처리 자원의 악용, 남용
– 협박
– 횡령
• 가능한 범죄자
– 불만을 가진 직원, 파업중인 직원, 징계대상인 직원
– 낭비벽, 도박에 빠진 직원, 금전적, 정신적 문제에 처한 직원
– 해직이 통보된 직원
– 전직 직원
– 외부자(경쟁자, 도둑, 범죄조직, 해커)– 비의도적인 위반자
• 가장 큰 영향은 사기 의도를 가진 사람에서 발생하나 노출의 가장 큰 원천은사람의 실수임
5.7 물리적 접근노출 및 통제
Chapter 1 정보시스템 감사 프로세스
67
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근접근 노출노출
• 보호되어야 할 설비– 프로그래밍 영역– 컴퓨터실– 운영자 콘솔, 터미널– 테이프 라이브러리, 테이프, 디스크, 및 기타 자기 매체– 저장소 및 소모품– 원격지 백업파일 저장시설– 입출력 통제실– 통신실– 통신 장비(라디오, 위성, 유선, 모뎀, 외부네트웍 연결 등)– 마이크로컴퓨터, 개인용 컴퓨터– 전원– 폐기 시설– 미니컴퓨터 시설– 전용 전화/전용선– 통제장치 및 전위처리 장치– 휴대용 장비– 현장 및 원격지 프린터On-Site And Remote Printers– 근거리 통신망 (LAN)
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근통제접근통제--11
• 볼팅 출입문 잠금 장치
– 금속으로 된 열쇠요구
– 복제 불가 표시
• 번호조합 잠금 장치(암호 잠금 장치) – 숫자 키패드, 다이얼 사용
– 정기적 변경(허가된 직원의 전출,퇴직,징계 시 변경)• 전자 잠금 장치
– 마그네틱 카드, 플라스틱 카드, 토큰
– 위치 및 시간별 통제 가능
– 복제하기 어렵다
– 직원퇴직, 분실, 도난시 취소 용의
• 생물학적 잠금 장치
– 지문, 목소리, 눈동자 등
– 보안기능 뛰어남
– 민감한 시설 보호에 사용
Chapter 1 정보시스템 감사 프로세스
68
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근통제접근통제--22
• 수작업 기록
– 방문자, 방문 목적 등 기록, 신분증 제출
• 전자적 기록
– 모든 접근을 기록 실패한 시도는 알아보기 좋게 표시
• 사진 신분증
– 모든 사람들은 신분증을 반드시 패용
– 색깔을 달리하여 직원과 쉽게 구별
• 비디오 카메라
– 전략적 위치에 설치, 경비원의 감시
– 향후 필요에 대비 반드시 보관되어야 함
• 보안 경비원
– 추가적인 통제로 효과적임
– 손실로 부터 조직을 보호한다는 보증을 받아야 함
• 통제하의 방문객 접근
– 모든 방문객은 담당직원의 안내를 받아야 함
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근접근 통제통제--33
• 보증된 인력– 미화원, 서비스 계약직의 신원 보증– 물리적 보안성 보다는 조직을 경제적 손실로부터 보호
• 이중 출입문(Deadman Door)– 민감한 시설의 입구에 두개의 문으로 구성– 뒤 따라 들어 가는 것에 대한 위험(Piggybacking) 통제
• 민감한 지역의 위치를 공개 않음– 외부에서 보거나 확인 할 수 없어야 함
• 컴퓨터 터미널 잠금 장치• 통제된 단일 출입구
– 복수의 출입구는 비인가 접근의 위험 증대• 경보 시스템
– 사용되지 않는 출입구, 동작 감지기 및 역방향 출입 감지• 중요한 보고서 /문서 배포수레
– 덮개– 잠금 장치– 방치하지 않음
Chapter 1 정보시스템 감사 프로세스
69
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
물리적물리적 접근접근 감사감사
• 정보처리설비(IPF)를 둘러 봄
– 검토할 장비들의 전반적 이해
– 물리적 접근에 대한 제약조치를 검토할 수 있는 시발점
• 문서의 검토
– 비상소개절차, 점검표
– 화재 진압 시스템 테스트 결과
– 열쇠 관리 기록
• 물리적 접근 경로 평가.– 모든 출입문
– 유리로 된 창과 벽
– 이동 가능한 벽과 조립식 벽
– 천장 위와 바닥 밑
– 환 기구
– 커튼 뒤와 모조 벽
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com
모바일환경과모바일환경과 랩탑랩탑 컴퓨터컴퓨터 보안보안
• 모바일 컴퓨터환경의 특징
– 민감한 데이터를 PC와 디스켓, 랩탑에 보관하는 것이 일반적
– 이러한 장비의 논리적, 물리적 접근통제 구현이 어려움
– 계층화된 보안접근 방법과 랩탑보안정책 및 보안 실무라이드라인등이 필요
• 랩탑 컴퓨터의 통제.– 랩탑 컴퓨터에 회사 이름, 로고, 그리고 시리얼 넘버를 지워지지
않게 분명게 표식하라
– 케이블 잠금장치나 동작 감지 경보기를 사용하라.– 사무실에서는 회사 파일 서버등을 이용하여, 출장중에는 플로피
디스켓이나 온라인 백업 솔루션을 이용하는 등 정규 기준에의거하여 업무상 중요한 자료에 대한 백업을 실시하라
– 널리 알려진 암호화 프로그램을 이용해서 데이터를 암호화 해라
– 비인가 사용자들은 열어볼 수 없는개인 파일에다 패스워드를 넣어둬라.
– 절도 대응팀을 설립하고, 도난시 처리절차를 개발하라
5.8 모바일 컴퓨팅
Chapter 1 정보시스템 감사 프로세스
70
Copyright ⓒ 2005 삼성CISA협회Copyright ⓒ 2005 삼성CISA협회사람의 가치를 만드는 젊은기업 엔아이엠 서울 강남구 역삼1동 827-41 서원빌딩 3층, 553-3434 www.nimkorea.com