Feccle 의 IT자료 모음

Ⅰ. 보안 평가 기준의 역사 ⅰ. TCSEC (미국, 1983년 발표 – 오렌지북) 1) 사유: 미국 국방부가 군사 정보 보호를 위해 기밀성 중심의 보안 평가 기준을 만들 필요가 있었음 2) 역사: 세계 최초의 공식 컴퓨터 보안 평가 기준으로, 시스템을 7단계 보안 등급(D~A1)으로 구분 → 기밀성 중시, 무결성과 가용성은 고려되지 않음 ⅱ. ITSEC (유럽, 1990년대 초 발표) 1) 사유: TCSEC는 기밀성만 다루고, 유연성이 부족해 유럽 국가 간 통합된 보안 기준이 필요했음 2) 역사: 기능성과 보증을 분리하고, 기밀성, 무결성, 가용성 등 다양한 속성 반영 → 유럽 내 상호 인증 가능, 다양한 시스템 환경 적용 가능 ⅲ. CTCPEC (..

Ⅰ. IT 자산의 노후화란? 정보 기술(IT) 자산(하드웨어, 소프트웨어, 네트워크 장비 등)이 시간이 지남에 따라 기술적, 기능적, 또는 운영적 효율성이 감소하는 과정을 의미합니다. 주로 솔루션 및 장비 수명(EOL)이 다하거나, 기술지원 종료(EOS) 및 새로운 기술과의 호환성이 떨어지는 경우에 발생합니다.  Ⅱ. IT자산의 노후화 기준 평균적으로 솔루션 및 장비에서는 5년~7년 사이에 EOL/EOS 로 인해 제조사의 지원이 종료되거나, 5년이 넘어가게 되면 노후화된 장비로 구분하고 있습니다.구분설명예시 사용 연한(수명 주기) IT 자산은 제조사나 업계 표준에 따라 평균적인 수명이 정해져 있습니다. 1) 데스크톱 및 노트북: 3~5년2) 서버 및 네트워크 장비: 5~7년3) 스토리지 시스템: 3~7..

Ⅰ. CVE (Common Vulnerabilities and Exposures)란? 소프트웨어 및 하드웨어의 보안 취약점을 표준화된 방식으로 식별하고 관리하기 위한 시스템입니다. CVE는 보안 취약점을 고유하게 식별할 수 있는 ID를 제공하여 보안 전문가, 조직, 도구 간에 동일한 취약점을 명확히 참조할 수 있도록 돕습니다. CVE는 MITRE Corporation이 관리하며, 미국 국토안보부(DHS) 산하의 사이버보안 및 인프라 보안국(CISA)이 지원합니다. Ⅱ. CVE(Common Vulnerabilities and Exposures) 주요 특징 ⅰ. CVE ID : CVE ID는 각 취약점을 고유하게 식별하는 번호입니다.기본 형식: CVE-연도-번호 CVE-2024-12345 연도: 취약점이 등..

Ⅰ. 정보보안(Information Security)이란?정보의 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 보장하여 정보 자산을 보호하는 기술과 관리적 활동을 의미합니다. 이는 디지털 환경뿐만 아니라 물리적, 조직적 환경에서 정보의 안전을 유지하기 위한 총체적인 접근 방식을 포함합니다. Ⅱ. 정보보안 (Information Security) 핵심 목표 (CIA)항목설명예시기밀성 (Confidentiality)정보에 접근할 권한이 있는 사람만이 해당 정보에 접근할 수 있도록 보호.데이터 암호화, 접근 제어, 인증.무결성 (Integrity)정보가 인가되지 않은 변경 없이 정확하고 완전하게 유지되도록 보장.데이터 서명, 체크섬, 버전 관리.가용성 (..

Ⅰ. CC 인증(Common Criteria) 이란? IT 제품의 보안성을 검증하는 데 필수적인 인증 체계로, 공공 기관과 민간 기업에서 제품을 선택할 때 중요한 요소로 작용하고 있습니다. 정보기술(IT) 제품 및 시스템의 보안성을 평가하는 국제 표준 인증 체계입니다. 공식 명칭은 공통 평가 기준 또는 CC(Common Criteria for Information Technology Security Evaluation)로, 주로 정보통신기술 제품의 보안성을 검증하기 위해 사용됩니다. CC 인증은 IT 제품이 특정 보안 요구 사항을 얼마나 충족하는지 평가하고, 평가 결과를 바탕으로 인증을 부여하는 체계로, 전 세계적으로 보안성을 인정받기 위한 표준화된 방법입니다. Ⅱ. CC 인증(Common Criteri..

Ⅰ. 비밀번호 스프레이 공격이란? 공격자가 여러 사용자 계정에 대해 일반적으로 사용되는 비밀번호를 시도하는 방식의 공격입니다. 이 공격은 특정 계정에 대해 여러 비밀번호를 시도하는 대신, 여러 계정에 대해 소수의 비밀번호를 시도하는 것이 특징입니다. 이렇게 하면 계정 잠금과 같은 보안 메커니즘을 우회할 수 있습니다.Ⅱ. 비밀번호 스프레이 공격 특징ⅰ. 낮은 탐지 가능성: 여러 계정에 대해 소수의 비밀번호를 시도하기 때문에 계정 잠금 정책을 우회할 수 있습니다.ⅱ. 일반적인 비밀번호 사용: "password123", "123456", "qwerty"와 같은 흔히 사용되는 비밀번호를 시도합니다.ⅲ. 대규모 공격: 많은 사용자 계정을 대상으로 하기 때문에 대규모 데이터 유출 사건에서 자주 발생합니다.ⅳ. 자동..

Ⅰ. 개인정보란? 개인을 식별할 수 있는 정보로, 특정한 개인과 연결되거나 해당 개인을 직접적으로 또는 간접적으로 식별할 수 있는 모든 정보를 의미합니다. 개인정보는 법적, 사회적, 경제적 맥락에서 매우 중요한 요소이며, 개인의 권리와 자유를 보호하는 데 핵심적인 역할을 합니다. Ⅱ. 개인정보의 특징ⅰ. 식별 가능성: 특정한 개인을 구별할 수 있는 정보 ⅱ. 연관성: 해당 정보가 개인과 연관될 수 있는 가능성 ⅲ. 개인적 성격: 개인의 신원, 특성, 행위 등과 관련된 정보 Ⅲ. 개인정보의 종류ⅰ. 일반 개인정보  1) 이름: 개인을 직접적으로 식별하는 정보  2) 주소: 개인의 거주지나 사업장이 포함된 정보  3) 전화번호: 개인의 연락처 정보  4) 이메일 주소: 개인의 전자우편 주소  5) 생년월일:..

Ⅰ. 모의해킹(Penetration Testing, Pentest) 이란? 실제 해킹 공격을 모방하여 시스템, 네트워크, 애플리케이션 등의 보안 취약점을 식별하고 평가하는 과정입니다. 이를 통해 취약점이 악용되기 전에 보완하고, 조직의 보안 상태를 현실적인 관점에서 평가하고 강화하는 데 매우 유용한 도구입니다. 정기적으로 모의해킹을 실시하고 보안 패치를 적용하는 등 지속적인 보안 관리가 필요합니다.모의해킹은 보안 정책이 잘 적용되고 있는지 확인하고, 외부 또는 내부의 잠재적 공격 경로를 미리 찾아내기 위해 수행됩니다. Ⅱ. 모의해킹의 특징ⅰ. 실제 공격 시뮬레이션모의해킹은 실제 해커의 공격을 모방하여 시스템의 취약점을 테스트합니다. 다만, 해킹과 달리 피해를 주지 않고 공격 시도를 통해 문제점을 찾아내는..

Ⅰ. BIA(Business Impact Analysis) 란? BIA(Business Impact Analysis, 비즈니스 영향 분석)는 비즈니스 연속성 관리의 핵심 절차로, 예상치 못한 중단 사태가 발생했을 때 각 비즈니스 프로세스에 미치는 영향을 분석하고, 이들 프로세스를 복구하는 데 필요한 우선순위를 설정하는 데 사용됩니다. 단순한 일회성 분석이 아닌, 지속적으로 업데이트되고 검토되어야 하는 동적인 절차입니다. BIA는 기업이 재해, 사고, 시스템 오류, 사이버 공격 등 여러 종류의 리스크에 대비해 신속하고 효율적으로 대응할 수 있도록 도와줍니다.Ⅱ. BIA(Business Impact Analysis) 주요 단계 각 단계는 기업의 상황에 따라 다를 수 있지만, 일반적인 과정은 다음과 같습니다...

Ⅰ. 개인정보 보호법령 및 하위 고시에 따른 개인정보 로그 보관  개인정보 보호법과 하위 고시는 개인정보의 안전한 관리를 위해 다양한 요구사항을 규정하고 있습니다. 특히, 개인정보 로그 보관에 관한 규정은 개인정보 처리 활동의 투명성을 확보하고, 개인정보 유출 사고 발생 시 추적 및 대응을 용이하게 하기 위한 중요한 조치입니다. Ⅱ. 개인정보 보호법령 및 하위 고시에 따른 개인정보 로그 보관 관련 법령 및 고시ⅰ. 개인정보 보호법 개인정보 보호법 자체는 로그 보관에 대해 구체적으로 규정하고 있지 않지만, 개인정보의 안전한 관리를 위해 필요한 조치를 규정하고 있습니다. 이 법의 취지에 따라 로그 보관의 필요성이 강조됩니다.  개인정보의 안전성 확보조치 기준 (행정안전부 고시) 제5조(접근통제): 개인정보 ..