공부

보안 담당자들의 관심사는 언제나 핵심적인 것 하나가 있다. 무언가의 합격을 위한 보안, 인증을 위한 인증에서 벗어나, 실질적인 보안 강화를 꿈꾸는 것이다. A인증에서 100점으로 합격하고 사고 1번 발생하는 것보다는 A인증에서 80점을 받는다 해도 사고가 발생하지 않는 것이 좋은 건 당연지사다. 사실 많은 담당자들은 진단을 맡겼을 때 점수가 너무 높은 걸 꺼리기도 한다. 아무튼 각설하고, 담당자들은 사건사고를 0으로 줄이기 위한, 실제 환경에서 적용 가능한 방안을 원하는데, 그렇다면 담당자가 알아야 할 것 4가지는 무엇이 있을까?1. 제로트러스트몇 년 전부터 꾸준히 어디서나 들을 수 있는 용어고, 앞으로도 계속 들어야 할 용어다. 대한민국 주도로 제로트러스트가 25년~28년 동안 연구될 예정이며, 연구를..

1. 문자열 배열의 개념C++에서 문자열은 일반적으로 NULL 문자 '\0'으로 끝나는 문자의 배열이다. 문자열은 문자의 1차원 배열이고 문자열의 배열은 각 행이 일부 문자열을 포함하는 문자의 2차원 배열이다. C++에서 문자열 배열을 만드는 방법으로는 5가지가 있다.① 포인터 사용 ② 2D 배열 사용 ③ 문자열 클래스 사용 ④ 벡터 클래스 사용 ⑤ 배열 클래스 사용2. 포인터 사용포인터는 주소를 상징적으로 나타내는 것이다. 간단히 말해서 포인터는 변수의 주소를 저장하는 것이다. 이 방법에서 문자열 리터럴의 배열은 각 포인터가 특정 문자열을 가리키는 포인터의 배열로 만들어진다. 예시:// C++ program to demonstrate  // array of strings using // pointers..

모 정부출연기관 프로젝트를 마쳤다. 작년에도 진단을 진행한 곳이기에 2023년의 자료 및 결과물을 확인할 수 있었다. 그리고 느낀 것은 ISO 27001이건, ISMS-P건, 무엇이건, 결국 중요한 건 나의 능력이라는 점이었다. 예를 들어, 한 항목에 대해 작년과 같은 스크립트 값을 얻었지만, 작년의 담당자는 양호로 판단했고, 나는 그것을 취약으로 판단했다. 가이드라인에는 양호와 취약에 대한 명확한 설명이 되어있으나, 실제 현장은 문서와 다소 차이가 있는 탓에 이런 일이 발생했다고 생각한다. ① A 프로그램을 가이드라인에서는 취약한 프로그램으로 여긴다. 그런데 이 프로그램은 도무지 일반적인 방식으로는 삭제가 되질 않는다. 삭제가 되지 않는 프로그램인 A가 계속 남아있는데, 이것을 취약으로 주어야 할까? ..

1. std:: string의 개념C++는 일련의 문자를 클래스의 객체로 나타내는 방법을 갖고 있다. 이 클래스는 std:: string이라고 불린다. 문자열 클래스는 문자를 바이트의 시퀀스로 저장하고 단일 바이트 문자에 대한 접근을 허용하는 기능을 한다. 문자열(String)과 문자 배열(Character Array)의 차이가 헷갈릴 수 있는데, 이를 정리하면 다음과 같다.StringCharacter Array문자열은 문자 스트림으로 표현되는 개체를 정의하는 클래스다. 문자 배열은 단순히 Null 문자로 종료할 수 있는 문자 배열이다. 문자열의 경우 메모리가 동적으로 할당된다. 더 많은 메모리가 필요할 때 실행 시간에 할당될 수 있다. 그리고 메모리가 미리 할당되지 않으므로 메모리가 낭비되지 않는다. ..

보안 사고의 유형을 분류하는 방법은 다양하다. 그러나 그중 가장 단순한 분류 중 하나가 ① 외부자의 공격으로 인한 사고 ② 내부자의 고의 또는 실수로 인한 사고일 것이다. 보통 70~80%가 ①에 속하고, 20~30%가 ②에 속한다. 무시하기에는 내부에서 발생하는 비율도 만만치 않은 것이다. 그렇기에 각 조직의 보안 담당자는 외부와 내부의 사고 가능성을 모두 고려해야만 한다. 그리고 여기서는 내부자로 인한 사고에 대해 집중한다. 조직원이 사고를 칠, 그러니까 부정적 행동을 하도록 만드는 동기는 무엇일까? 조직원이 불확실성을 느끼기 때문이다. 그리고 보안 컴플라이언스를 지키지 않는 조직원은 조직 중심이 아닌, 개인 중심의 행동을 할 가능성이 커지게 된다. 그렇기에 이 논문에서는 개인적인 행동을 하게 만드는..

1. 고통의 피라미드의 개념 고통의 피라미드는 2013년에 제시된 것이다. 고통의 피라미드는 피라미드의 일부 지표가 다른 지표보다 적들을 더 괴롭힌다는 것을 보여준다. 아래로 갈수록 공격자에겐 점점 수월한 일이 되는 것이다. 이를 통해 각 기업의 보안 담당자는 대응 방식에 대해 고안할 수 있다.2. 고통의 피라미드의 각 지표① 해시 값(Hash Values): 특정 의심스럽거나 악성 파일에 해당하는 SHA1, MD5 또는 기타 유사한 해시다. 해시 값은 특정 악성 코드 샘플이나 침입과 관련된 파일에 대한 고유한 참조를 제공하는 데 자주 사용된다. 공격자 활동을 에뮬레이션하고 보안 제어를 검증하는 방법⑴ 파일 해시값을 기반으로 악성코드 샘플을 검색한다.⑵ 네트워크를 통해 한 엔드포인트에서 다른 엔드포인트로..

[5주차] 위험 관리를 위한 기타 접근법 및 도구학습목표1. 비용 편익 분석의 요소와 위험 관리에 사용되는 방법을 정의한다.2. 위험 관리에 대한 FAIR, OCTAVE 및 ENISA 접근 방식의 기본 특징을 설명한다.3. 문서 기반 위험 관리 애플리케이션의 기본 기능과 용도를 설명한다.4. 컴퓨터화된 위험 관리 애플리케이션의 기본 기능과 용도를 설명한다.[5-1] 비용 편익 분석경제적 타당성 조사나 분석으로 알려진 리스크 관리를 위한 비용-편익 분석 접근법은 전통적인 경영자들이 쉽게 이해할 수 있다는 큰 장점을 가지고 있다. 이전 방법론의 위험 중 하나는 정보 기술과 사이버 보안 영역을 벗어난 경영자들이 보안에 대한 위험 관리 접근법의 적용을 완전히 파악하지 못할 수 있다는 것이다. 수년 동안 보안 위..

[4주차] ISO 위험 관리 접근법학습목표1. 위험 관리에 대한 ISO 접근 방식을 정의한다.2. ISO 31000 표준과 위험 관리에 사용되는 방법을 설명한다.3. ISO 27000 시리즈와 위험 관리에 대한 적용에 대해 설명한다.[4-1] ISO 위험 관리 정의앞서 언급했듯이 ISO에는 위험 관리를 다루는 두 가지 계열의 간행물이 있다. 시간이 지나면서 이 둘은 서로를 향해 나아갔고, 그 결과 매우 유사한 방법론이 탄생했다. 이 중 첫 번째는 ISO 31000이다. 이는 사이버 보안 위험 관리에 특별히 중점을 두지 않고, 일반적인 위험 관리에 중점을 둔다. 이 중 두 번째는 ISO 27005 표준으로, 현재 우리가 사이버 보안이라고 부르는 보안에 관한 ISO 27000 시리즈의 일부인 것이다. ISO..

[3주차] NIST 위험 관리 프레임워크학습목표1. NIST 위험 관리 프레임워크의 구조와 사용에 대해 논의한다.2. 사이버 보안에 대한 국제 표준을 수립하는 데 있어 ISO와 IEC의 역할을 설명한다.3. 위험 관리를 관리하는 기준을 설명한다.4. NIST 위험 관리 프레임워크 프로세스 및 위험 처리 대한 운영에 대해 논의한다.5. NIST 위험 관리 프레임워크를 설명한다.6. 위험 관리에 대한 NIST 접근 방식을 설명한다.7. 위험 평가를 위한 NIST 리스크 관리 프레임워크 프로세스 및 운영에 대해 논의한다.[3-1] NIST 위험 관리 프레임워크 개요NIST 위험 관리 프레임워크(RMF)는 미국 정부의 컴퓨터 시스템이 정보를 안전하게 저장, 사용 및 전송할 수 있도록 보장하기 위한 노력의 진화다..

[1주차] 주요 위험 관리 표준 및 프레임워크이 과정에서, 우리는 위험 관리 경험과 위험 관리 경험이 거의 없는 조직들이 리스크 관리 노력을 설계하고 구현하는 데 있어 어떻게 국내 및 국제 기관에 지침을 제공하고 싶어하는지에 대해 학습한다. 이 분야에 지침을 제공하는 두 개의 주요한 조직이 있다. NIST라고 자주 불리는 미국 국립 표준 기술 연구소와 ISO로 줄여 불리는 국제 표준 기구다. 이 과정에서는 이 두 조직이 제공하는 리스크 관리 프레임워크와 표준을 검토한 다음, 사용 가능한 다른 접근 방식에 대해 논의하는 것으로 마무리한다.[2주차] 주요 위험 관리 표준 프레임워크: NIST & ISO학습목표1. 사이버 보안에 대한 국제 표준을 수립하는 데 있어 ISO와 IEC의 역할을 설명한다. 2. 위험..