보안 취약점

3. 취약점과 위험

취약점은 시스템 보안 정책을 위반하는 데 악용될 수 있는 설계, 구현, 운영 및 관리상의 결함 또는 약점이다.^[5] 이는 프로그램이나 설정 오류, 설계상 고려 부족, 유지보수를 위해 고의로 만든 기능의 기밀 누설 등 다양한 원인으로 발생한다.^[51] 소프트웨어나 하드웨어 결함, 재해, 악의적인 관리자의 공격(소셜 엔지니어링) 등도 보안 취약점에 포함된다.^[51]

컴퓨터 네트워크 발달로 인해 많은 컴퓨터가 네트워크를 통한 공격에 노출되어 위협도가 높아지고 있다.^[51] 취약점이 있으면 권한 없는 사용자가 권한을 초과하는 조작을 하거나, 비공개 정보가 유출되는 등 정보 보안상 결함이 발생할 수 있다.^[51]

취약점의 영향은 매우 커질 수 있으며, IT 관리자가 취약점을 알고도 조치를 취하지 않으면 법적 책임을 질 수 있다. 개인 정보 보호법에 따라 관리자는 보안 위험을 줄이기 위해 조치를 취해야 하며, 정보 기술 보안 감사나 침투 테스트를 통해 보안 상태를 검증받을 수 있다.

정보 보안 강화를 위해 심층 방어 원칙을 적용하여 다층적인 방어 시스템을 구축해야 한다. 여기에는 악용 방지, 공격 탐지 및 차단, 위협 에이전트 추적 및 기소가 포함된다. 침입 탐지 시스템은 공격 탐지에 사용되는 시스템의 한 예이며, 물리적 보안은 정보 자산을 물리적으로 보호하는 조치이다.

3. 1. 위험 모델

3. 2. OWASP 모델

4. 정보 보안 관리 시스템 (ISMS)

정보 보안 관리 시스템(ISMS)은 위험 관리 원칙에 따라 보안 전략을 관리하기 위해 개발된 정책들의 집합이다. 이러한 대책들은 보안 제어라고도 부르지만, 정보 전송에 적용할 경우에는 보안 서비스라고 부른다.^[52] IT 리스크를 전문적으로 관리하는 적절한 방법은 ISO/IEC 27002나 Risk IT와 같은 정보 보안 관리 시스템을 채택하고, 상층부가 정한 보안 전략에 따라 이에 준수하는 것이다.^[32]

4. 1. 보안 제어 및 서비스

5. 분류

취약점은 관련된 자산의 종류에 따라 분류될 수 있다.^[53] 주요 분류는 다음과 같다:

• 하드웨어
• 소프트웨어
• 네트워크
• 인적 자원
• 물리적 위치
• 관리 기관

5. 1. 하드웨어 취약점

• 하드웨어
• 습도에 대한 민감성
• 먼지에 대한 민감성
• 오염에 대한 민감성
• 보호되지 않은 저장소에 대한 취약성

5. 2. 소프트웨어 취약점

5. 3. 네트워크 취약점

5. 4. 인적 취약점

5. 5. 물리적 위치 취약점

• 홍수 위험 지역^[20]
• 불안정한 전력 공급^[20]

5. 6. 관리 기관 취약점

6. 원인

보안 취약점은 다양한 원인으로 인해 발생할 수 있다. 주요 원인은 다음과 같다.

• 사람: 대부분의 취약점은 사용자, 운영자, 설계자 등 사람에 의해 발생한다.^[62] 사회공학은 점차 중요해지는 보안 고려 사항이다.
• 프로그램 및 설정 오류: 프로그램이나 설정의 오류, 설계상 고려 부족, 보수를 위해 고의로 만들어진 기능에 관한 기밀 누설 등이 보안 취약점을 야기할 수 있다.
• 기타 결함: 소프트웨어뿐만 아니라 하드웨어 결함, 재해에 대한 취약성, 악의적인 관리자의 소셜 엔지니어링 등도 보안 취약점에 포함될 수 있다.

6. 1. 시스템 복잡성

6. 2. 익숙함

6. 3. 연결성

6. 4. 비밀번호 관리 결함

6. 5. 운영체제 설계 결함

6. 6. 인터넷 웹사이트 검색

6. 7. 소프트웨어 버그

6. 8. 확인되지 않은 사용자 입력

6. 9. 과거 실수 반복

7. 취약점 공개

취약점 공개는 보안 커뮤니티에서 논쟁적인 주제이다.

존경받는 저자는 취약성과 그것들을 악용하는 방법에 대한 책을 출판하고 있는데, "해킹: 악용의 예술 제2판"이 좋은 예이다.

사이버 전쟁 또는 사이버 범죄 업계의 요구에 부응하는 보안 연구자들은, 이러한 공개 방식이 그들의 노력에 충분한 수입을 제공하지 않는다고 말하며, 제로데이 공격을 가능하게 하는 익스플로잇을 비공개로 제공하기도 한다.^[34]

새로운 취약점을 찾아 수정하는 끝없는 노력은 컴퓨터 보안이라고 불린다.

7. 1. 책임 있는 공개

7. 2. 완전 공개

7. 3. 대한민국 현황

8. 취약점 식별과 제거

컴퓨터 시스템의 취약점을 발견하고 제거하는 데 도움이 되는 다양한 도구와 방법들이 존재한다. 이러한 도구들은 감사자에게 취약점에 대한 개요를 제공하지만, 사람의 판단을 완전히 대체할 수는 없다. 스캐너에만 의존하면 오탐이 발생하거나 시스템 문제의 전체 범위를 파악하기 어려울 수 있다.

윈도우, macOS, 다양한 Unix 및 Linux 배포판, OpenVMS 등 주요 운영 체제에서 취약점이 발견되고 있다.^[37] 이러한 시스템에서 취약점이 악용될 가능성을 줄이기 위해서는 지속적인 주의가 필요하다. 여기에는 신중한 시스템 관리 (예: 소프트웨어 패치 적용), 운영상의 모범 사례 (예: 방화벽 및 접근 통제 사용), 개발 및 운영 중 감사가 포함된다.

8. 1. 취약점 스캐너

8. 2. 수동 분석

8. 3. 지속적인 관리

9. 취약점 예시

취약점은 다양한 시스템 구성 요소에서 발견될 수 있다. 여기에는 다음이 포함된다.

순수한 기술적 접근만으로는 물리적 자산조차 보호할 수 없다는 것은 분명하다.

다음은 취약점 악용의 몇 가지 예시이다.

• 공격자가 오버플로우 취약점을 찾아 악용하여, 멀웨어를 설치하고 기밀 데이터를 내보내는 경우.
• 공격자가 사회 공학적 기법을 사용하여 멀웨어가 첨부된 이메일 메시지를 열도록 사용자를 유도하는 경우.
• 내부자가 강화된 암호화 프로그램을 USB 플래시 드라이브에 복사하여 집에서 이를 크래킹하는 경우.

9. 1. 하드웨어

9. 2. 소프트웨어

• 메모리 안전성 위반
• 버퍼 오버플로 및 오버리드^[17]
• 허상 포인터^[17]
• 입력 유효성 검사 오류:
• 코드 인젝션^[17]
• 웹 애플리케이션의 사이트 간 스크립팅^[17]
• 디렉터리 트래버설^[17]
• 이메일 인젝션^[17]
• 포맷 스트링 버그^[17]
• HTTP 헤더 인젝션^[17]
• HTTP 응답 스플리팅^[17]
• SQL 삽입^[17]
• 경쟁 상태^[17]
• 검사 시점 대 사용 시점 버그^[17]
• 심볼릭 링크 경쟁^[17]
• 권한 혼동 버그:
• 웹 애플리케이션의 사이트 간 요청 위조^[17]
• 클릭재킹^[17]
• FTP 바운스 공격^[17]
• 권한 확대^[17]
• 사이드 채널 공격^[17]
• 타이밍 공격^[17]
• 사용자 인터페이스의 장애^[17]
• 피해자 비난 및 사용자에게 응답하는 데 충분한 정보를 제공하지 않고 사용자에게 보안 결정을 유도^[40]
• 경쟁 조건^[41][42]
• 경고 피로^[43] 또는 사용자에 의한 조정

9. 3. 네트워크

9. 4. 인적 요소

• 공격자가 사용자가 악성코드가 들어있는 이메일 메시지를 열게 만든다.^[17]
• 내부자가 보호되고 암호화된 프로그램을 USB 플래시 드라이브에 담아와서 집에서 크랙한다.^[17]

참조

_[1] 웹사이트 基礎知識　セキュリティホールとは？ https://www.soumu.go[...] 2020-09-19
_[2] 웹사이트 脆弱性（ぜいじゃくせい）とは？｜どんな危険があるの？｜基礎知識｜国民のための情報セキュリティサイト https://www.soumu.go[...] 2020-09-19
_[3] 간행물 Information technology -- Security techniques-Information security risk management ISO/IEC
_[4] 간행물 Information technology -- Security techniques -- Management of information and communications technology security -- Part 1: Concepts and models for information and communications technology security management British Standard Institute
_[5] 표준 Internet Security Glossary, Version 2 Internet Engineering Task Force
_[6] 웹사이트 CNSS Instruction No. 4009 http://www.cnss.gov/[...] 2020-12-21
_[7] 웹사이트 FISMApedia http://fismapedia.or[...] 2020-12-21
_[8] 웹사이트 Term:Vulnerability http://fismapedia.or[...] 2020-12-21
_[9] 문서 NIST SP 800-30 Risk Management Guide for Information Technology Systems http://csrc.nist.gov[...]
_[10] 웹사이트 Glossary http://www.enisa.eur[...] 2020-12-21
_[11] 간행물 Technical Standard Risk Taxonomy The Open Group 2009-01
_[12] 문서 An Introduction to Factor Analysis of Information Risk (FAIR) http://www.riskmanag[...] Risk Management Insight LLC 2020-12-21
_[13] 서적 Data & Computer Security: Dictionary of standards concepts and terms Stockton Press
_[14] 보고서 A Critical Analysis of Vulnerability Taxonomies Department of Computer Science at the University of California at Davis 1996-09
_[15] 서적 Handbook of INFOSEC Terms, Version 2.0 Idaho State University & Information Systems Security Organization 1996
_[16] 웹사이트 NIATEC Glossary http://niatec.info/G[...]
_[17] 표준 Internet Security Glossary, Version 2 Internet Engineering Task Force
_[18] 문서 ISACA THE RISK IT FRAMEWORK http://www.isaca.org[...] ISACA
_[19] 서적 Computer and Information Security Handbook Elsevier Inc
_[20] 간행물 Information technology -- Security techniques-Information security risk management ISO/IEC
_[21] 보고서 Technical Report CSD-TR-97-026 The COAST Laboratory Department of Computer Sciences, Purdue University 1997-04-15
_[22] 뉴스 Just give up: 123456 is still the world's most popular password https://www.theregis[...] The Register 2017-01-17
_[23] 서적 Computer and Information Security Handbook Elsevier Inc
_[24] 서적 Computer and Information Security Handbook Elsevier Inc
_[25] 웹사이트 The Six Dumbest Ideas in Computer Security http://www.ranum.com[...] 2020-12-21
_[26] 웹사이트 The Web Application Security Consortium / Web Application Security Statistics http://projects.weba[...] 2020-12-21
_[27] 보고서 Why Cryptosystems Fail University Computer Laboratory, Cambridge 1994-01
_[28] 서적 When Technology Fails: Significant Technological Disasters, Accidents, and Failures of the Twentieth Century Gale Research Inc. 1994
_[29] 서적 Hacking: The Art of Exploitation Second Edition
_[30] 서적 Information systems security: facing the information society of the 21st century Chapman & Hall
_[31] 서적 Computer and Information Security Handbook Elsevier Inc
_[32] 서적 Computer and Information Security Handbook Elsevier Inc
_[33] 웹사이트 The new era of vulnerability disclosure - a brief chat with HD Moore http://www.thetechhe[...] 2010-08-24
_[34] 웹사이트 Browse - Content - SecurityStreet http://blog.rapid7.c[...] 2020-12-21
_[35] 웹사이트 A Call for Better Coordinated Vulnerability Disclosure - MSRC - Site Home - TechNet Blogs http://blogs.technet[...] 2015-01-12
_[36] 웹사이트 Category:Vulnerability http://www.owasp.org[...] 2020-12-21
_[37] 웹사이트 Operating System Vulnerabilities, Exploits and Insecurity https://www.welivese[...] 2015-03-10
_[38] 웹사이트 Most laptops vulnerable to attack via peripheral devices http://www.scienceda[...] University of Cambridge
_[39] 간행물 Exploiting Network Printers https://oaklandsok.g[...] Institute for IT-Security, Ruhr University Bochum
_[40] 웹사이트 blaming the victim http://blog.mozilla.[...] 2007-10-21
_[41] 웹사이트 Jesse Ruderman » Race conditions in security dialogs http://www.squarefre[...] 2020-12-21
_[42] 웹사이트 lcamtuf's blog http://lcamtuf.blogs[...] 2020-12-21
_[43] 웹사이트 Warning Fatigue http://www.freedom-t[...] 2020-12-21
_[44] 웹사이트 ネットワークセキュリティ関連用語集（アルファベット順）：IPA 独立行政法人 情報処理推進機構 https://www.ipa.go.j[...] 2020-09-19
_[45] 웹인용 The Three Tenets of Cyber Security https://web.archive.[...] U.S. Air Force Software Protection Initiative 2009-12-15
_[46] 문서 Vulnerability Management
_[47] 간행물 Information technology -- Security techniques-Information security risk management ISO/IEC
_[48] 간행물 Information technology -- Security techniques -- Management of information and communications technology security -- Part 1: Concepts and models for information and communications technology security management British Standard Institute
_[49] 간행물 Internet Security Glossary Internet Engineering Task Force
_[50] 간행물 Internet Security Glossary Internet Engineering Task Force
_[51] 웹인용 ISACA THE RISK IT FRAMEWORK (registration required) http://www.isaca.org[...] 2015-11-09
_[52] 서적 Computer and Information Security Handbook https://archive.org/[...] Elsevier Inc
_[53] 간행물 Information technology -- Security techniques-Information security risk management ISO/IEC
_[54] 웹인용 Technical Report CSD-TR-97-026 The COAST Laboratory Department of Computer Sciences, Purdue University 1997-04-15
_[55] 웹사이트 An Introduction to Factor Analysis of Information Risk (FAIR) http://www.riskmanag[...] Risk Management Insight LLC 2006-11
_[56] 서적 Computer and Information Security Handbook https://archive.org/[...] Elsevier Inc
_[57] 웹인용 The Six Dumbest Ideas in Computer Security http://www.ranum.com[...]
_[58] 웹인용 The Web Application Security Consortium / Web Application Security Statistics http://projects.weba[...]
_[59] 문서 Ross Anderson
_[60] 문서 Neil Schlager
_[61] 서적 Hacking: The Art of Exploitation Second Edition
_[62] 서적 Information systems security: facing the information society of the 21st century Chapman & Hall, Ltd
_[63] 서적 Computer and Information Security Handbook https://archive.org/[...] Elsevier Inc
_[64] 웹인용 The new era of vulnerability disclosure - a brief chat with HD Moore https://web.archive.[...] 2015-11-09