[정보보안기사] 정보 보호의 개요

Section 1. 정보보호관리의 개념

정보 보호(Information Security)
: 정보의 수집, 가공, 저장, 검색, 송수신 중에 발생하는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단 또는 그러한 수단으로 이루어지는 행위

정보 보호는 기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적, 물리적, 관리적 보호대책을 강구하는 것

정보의 가용성과 안정성(보안성)측면에서, 정보보호는 정보의 활용과 정보의 통제 사이에서 균형 감각을 갖는 행위
사람들이 필요로 하는 사용 가능한 자원을 쉽게 얻을 수 있으면서도, 정보에 위협이 되는 요소를 최소화 하는 균형점을 찾는 것
- 정보의 활용 = 가용성 극대화
- 정보의 통제 = 위협 요소 감소 및 안정성 확보

정보 보호의 목표
1. 기밀성(Confidentiality)
: 오직 인가된 사람, 프로세스, 시스템만이 알 필요성(Need-to-know)에 근거하여 시스템에 접근해야 한다
- 데이터 처리의 모든 접속점에서 필요 수준의 비밀 엄수가 강제
- 허가받지 않은 정보 유출을 예방하는 것을 보장
- 데이터가 네트워크 내의 시스템과 장비에 보관되어 있을 때나, 데이터가 전송될 때, 데이터가 목적지에 도달한 이후에도 유지해야 함
- 보안 기술 : 접근 제어, 암호화

2. 무결성(Integrity)
: 네트워크를 통하여 송수신되는 정보의 내용이 불법적으로 생성 또는 변경되거나 삭제되지 않도록 보호되어야 하는 성질
- 무결성 왜곡 : 악의적인 행동의 결과, 시스템 중단(ex. 전력 차단)
- 보안 기술 : 접근 제어, 메시지 인증
- 정보가 변경되었거나, 변경 위험이 있을 때 - 이런 변경을 탐지해서 복구할 수 있는 침입 탐지, 백업 기술 필요

3. 가용성(Availability)
: 시스템이 지체 없이 동작하도록 하고, 합법적 사용자가 서비스 사용을 거절당하지 않도록 하는 것
- 정보는 지속적으로 변화하며, 인가된 자가 접근할 수 있어야 함
- 정보의 비가용성 : 조직에 있어 기밀성이나 무결성의 부족만큼 해롭다
- 보안 기술 : 데이터의 백업, 중복성의 유지, 물리적 위협 요소로부터의 보호

※ CIA Triad(CIA 삼각형) = Data & Services
①. 가용성
②. 무결성
③. 기밀성

4. 인증성(인증, Authenticity, Authentication)
: 진짜라는 성질을 확인할 수 있고, 신뢰할 수 있는 것
: 전송 메시지, 메시지 출처 유효성에 대한 확신
- 사용자가 정말 그 사용자인지, 시스템에 도착한 자료가 정말로 신뢰할 수 있는지를 확인할 수 있는 것

5. 책임 추적성(책임성, Accountability)
: 개체의 행동을 추적해서 찾아낼 수 있어야 함
- 보안 기술 : 부인봉쇄, 억제, 결함 분리, 침입 탐지 예방, 사후 복구와 법적인 조치
- 보안 침해에 대한 책임이 있는 곳까지 추적할 수 있어야 함
- 시스템은 반드시 이들의 활동 상황을 기록하고, 포렌식 분석을 해서 보안 침해를 추적할 수 있거나 전송관 관련된 분쟁을 해결할 수 있어야 함

※ 추가 정보보호 목표
- CIA Triad에 보안 실무 필드에서 필요한 개념(인증성, 책임 추적성)을 추가

※ 부인봉쇄(부인방지)
: 메시지 송수신이나 교환 후, 통신이나 처리가 실행된 후, 그 사실을 사후에 증명함으로 써 사실 부인을 방지하는 기술

정보 보호 관리(Inforamtion Security Management)
- 정보는 기업이나 공공기관의 중요한 자산 중 하나, 기업이나 조직의 전략과 목적을 달성하는데 필수 불가결한 요소
- 정보가 비인가자에게 노출, 갈취되면 위험을 초래할 수 있다 => 정보는 관리되어야 함

정보 보호 관리 시스템
:정보 통신 서비스 제공자가 정보통신망의 안정성 및 신뢰성을 확보하여 정보자산의 기밀성, 무결성, 가용성을 실현하기 위한 관리적, 기술적 수단과 절차, 과정을 체계적으로 관리, 운영하는 체계
- 2010년부터 행정 기관은 정보보호관리 시스템(ISMS) 인증을 의무적으로 받아야 함

정보보호 관리와 정보보호 대책
- 정보보호 관리: 기술적 보호대책 ⊂ 물리적 보호대책 ⊂ 관리적 보호대책

1. 기술적 보호대책
: 정보 시스템, 통신망, 정보(데이터)를 보호하기 위한 가장 기본적인 대책
- 접근 통제, 암호 기술, 백업 체제, 정보시스템 자체의 보안성이 강화된 시스템 소프트웨어

2. 물리적 보호대책
: 자연재해로부터 정보시스템이 위치한 정보처리시설을 보호하기 위한 자연재해 대책
+ 불순 세력, 적의 파괴로부터 정보시스템을 보호하기 위한 출입 통제, 잠금 장치

3. 관리적 보호대책
: 법, 제도, 규정, 교육 등을 확립하고, 보안계획을 수립하여 이를 운영(보안 등급, 액세스 권한)
: 위험 분석 및 보안 감사를 시행하여 정보시스템의 안정성과 신뢰성을 확보하기 위한 대책
- 내부자의 부당행위를 방지하기 위한 교육도 중요

OSI 보안 구조
: ITU-T 권고안 X.800, OSI 보안 구조는 관리자가 효과적으로 보안 문제를 조직화 할 수 있는 유용한 방법을 제공
- 보안 공격(Security Attack) : 기관이 소유한 정보의 안정성을 침해하는 제반 행위
- 보안 메커니즘(Security Mechanism) : 보안 공격을 탐지, 예방 / 공격으로 인한 침해를 복구하는 절차
- 보안 서비스(Security Service) : 정보 전송과 데이터 처리 시스템의 보안을 강화하기 위한 처리 또는 통신 서비스. 보안 공격에 대응하기 위한 것. 하나 또는 그 이상의 보안 메커니즘을 사용하여 서비스를 제공

1. 보안 공격
- 보안의 세가지 목표(기밀성, 무결성, 가용성)은 보안 공격에 의해 위협받을 수 있음

(1) 기밀성을 위협하는 공격
- 스누핑(Snooping) : 데이터에 대한 비인가 접근 또는 탈취
ex) 비인가자가 전송하는 메시지를 가로채고 자신의 이익을 위하여 사용
- 트래픽 분석(Traffic Analysis) : 트래픽을 분석함으로써 다른 형태의 정보를 얻음
ex) 수신자 또는 송신자의 전자 주소를 알아내어, 전송의 성향을 추측하는데 도움이 되는 질의와 응답의 쌍을 수집

(2) 무결성을 위협하는 공격
- 변경(메시지 수정, Modification) : 적법한 메시지의 일부를 수정하거나 메시지 전송을 지연 또는 순서를 바꾸어 인가되지 않은 효과를 노리는 행위
- 가장(Masquerading, 신분 위장) : 한 개체가 다른 개체의 행세를 하며, '적극적 공격'과 병행해서 수행
- 재연(Replaying, 재전송) : 적극적 공격, 획득한 데이터 단위를 보관하고 있다가 시간이 경과한 후 재전송함으로써 인가되지 않은 사항에 접근하는 효과를 노리는 행위
- 부인(Repudiation) : 송신자는 차후에 자신이 메시지를 보냈다는 것을 부인할 수 있고, 수신자는 차후에 메시지를 받았다는 것을 부인할 수 있다.

(3) 가용성을 위협하는 공격
- 서비스 거부(Denial of Service) : 일반적인 공격, 시스템의 서비스를 느리게 하거나 차단시킴

(4) 소극적 공격과 적극적 공격
- 보안 공격을 X.800과 RFC 2828에 따라 분류
- 소극적 공격 : 시스템으로부터 정보를 획득하거나 사용하려는 시도, 시스템 자원에는 영향을 끼치지 않는 공격 형태
- 적극적 공격 : 시스템 자원을 변경하거나 자동에 영향을 끼치는 공격 형태

소극적 공격(수동적 공격, Passive Attack)
- 공격자의 목표 : 정보 획득 / 공격자가 데이터를 변경하거나 시스템에 해를 끼치지 않는다는 것
- 기밀성을 위협하는 스누핑, 트래핑 분석
- 정보의 노출은 메세지의 송신자나 수신자에게 해를 끼칠수 있지만, 시스템은 영향을 받지 않음
- 송신자나 수신자는 제 3자가 메시지 패턴을 관찰하는 지 알 수 없음 => 소극적 공격은 탐지보다 예방에 더 신경을 써야함

적극적 공격(능동적 공격, Active Attack)
: 데이터를 바꾸거나 시스템에 해를 입힘
- 무결성과 가용성을 위협하는 공격
- 방어보다 탐지가 쉬움
- 치명적인 공격
- 상당 기간의 수동적 공격 수행을 통해 수집된 정보를 바탕으로 수행

※ 공격 발원지에 따른 구분
내부 공격
: 보안 경계 내부의 존재에서 시작된 공격
- 내부자에게 자원 접근은 허가되거나 허용된 권한 이상으로 사용할 때 발생
외부 공격
: 보안 경계 외부에서 허가되지 않은 불법적인 사용자에 의해 시작된 공격
- 공격자 : 인테넷 상의 아마추어, 조직화된 범죄자, 국제 테러리스트, 적국의 정부

기본 보안용어 정의
(1) 자산(Asset)
: 조직이 보호해야할 대상
- 데이터, 자산 소유자가 가치를 부여한 실체

(2) 취약점(취약성, Vulnerability)
: 리소스에 대한 허가되지 않은 접근을 시도하려는 공격자에게 열린 문을 제공할 수 있는 소프트웨어, 하드웨어, 절차, 인력상의 약점
- 위협의 이용대상
- 관리적, 물리적, 기술적 약점

(3) 위협(Threat)
: 손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합
- 보안에 해를 끼치는 행동이나 사건
- 임의의 위협
-- 가로채기(Interceotion) : 비인가된 다아자가 자산으로의 접근(불법 복사, 도청)을 획득 => 기밀성 영향
-- 가로막음(Interruption) : 자산이 손실되거나, 손에 넣을 수 없거나, 사용 불가능하게 됨(하드에어 장치의 악의적 파괴, 파일 삭제, 서비스 거부) => 가용성 영향
-- 변조(Modification) : 비인가된 당사자가 접근하여 내용을 변경(데이터 베이스 특정값 변경, 특정 프로그램 변경) => 무결성 영향
-- 위조(Fabrication) : 비인가된 당사자가 시스템 상에 불법 객체의 위조 정보를 생성(네트워크 통신에 가짜 거래 정보 만듦) => 무결성 영향

(4) 위협 주체(위협원, Threat agents)
: 취약점을 이용하는 존재
- 침입차단시스템의 포트를 통해 네트워크에 접근하는 침입자
- 보안 정책을 위반하는 방식으로 데이터에 접근하는 프로세스
- 시설물을 파괴하는 태풍
- 의도하지 않는 실수로 기밀정보를 누설하거나 파일의 무결성을 손상시키는 직원

(5) 위험(Risk)
: 위협 주체가 취약성을 활용할 수 있는 가능성과 그와 관련된 비즈니스 영향
- 위협 주체가 취약점을 이용하여 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가져올 가능성
- 위험 = 자산 * 위협 * 취약점

(6) 노출(Exposure)
: 위협 주체로 인해서 손실이 발생할 수 있는 경우
- 취약점은 조직에 있어서 가능한 피해를 노출 시킴

(7) 대책/안전장치(Countermeasure / Safeguard)
: 잠재적 위험을 완화시키기 위해 배치
- 대책 : 취약성을 제거하거나, 취약성을 이용할 수 있는 가능성을 감소시키기 위한 소프트웨어 설정, 하드웨어 장비 또는 절차

(8) 다계층 보안/심층 방어(Defense in Depth, Multi Layered/Level Security)
: 여러 계층의 보안 대책이나 대응 수단을 구성
- 한가지 통제가 대응에 실패하더라도 전체 시스템을 위험에 빠뜨리지 않음
- 시스템이 취할 수 있는 가장 최선의 보안 접근 방법
- 보호/탐지/대응으로 이루어진 보안 접근법

(9) 직무상의 신의성실, 노력(Due Care, Due Diligence)
- Due : 특정 목적을 위하여 필요하거나 요구되는 적절하고 충분한 의무
- Due care : 특정 목적을 위하여 필요하거나 요구되는 충분한 주의
- Due Diligence : 특정 목적을 위하여 필요하거나 요구되는 충분한 노력

(10) 사회 공학(Social Engineering)
: 컴퓨터 보안에서 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 깨트리기 위한 침입 수단
- 보안 정보에 접근 권한이 있는 담당자와 신뢰를 쌓아 전화나 이메일을 통해 도움을 받고, 약점을 이용

(11) 시점별 통제(Control)
- 예방 통제(Preventive Control) : 사전에 위협과 취약점에 대처하는 통제
- 탐지 통제(Detective Control) : 위협을 탐지하는 통제 / 빠르게 탐지할 수록 대처에 용이
- 교정 통제(Corrective Control) : 이미 탐지된 위협이나 취약점에 대처 / 위협이나 취약점을 감소시키는 통제

※ 보안은 불공정한 게임
- 방어를 하는 측은 모든 취약점을 다 알아내야 하지만, 공격자는 하나의 취약점이라도 발견하면 되는 비대칭성을 갖고 있음

※ 가장 약한 링크 원칙(Principle of weakness link)
- 보안은 가장 약한 링크보다 더 강할 수 없다.
- 어떤 하나의 제어수단의 실패가 전체 보안 실패를 야기함