Upload
others
View
2
Download
0
Embed Size (px)
Citation preview
양성침입과심각한침입
• 양성(benign) 침입
• 손상을초래하지는않는장난수준
• 많은사람이단순히무엇이있는지보기위해인터넷을탐색하는행위
• 심각한(serious) 침입
• 권한이부여된데이터를권한없이읽으려고시도하는행위
• 데이터를불법적으로수정하거나혹은시스템을방해하는행위
목포해양대해양컴퓨터공학과
3
침입목록
• 원격루트로이메일서버침해시도
• 웹서버화면변경
• 패스워드추측및크래킹
• 신용카드번호데이터베이스복사
• 허가없이민감정보열람하기
• 워크스테이션에서패킷스니퍼구동하기
• 익명 FTP 서버의허가오류이용하기
• 다이얼링모뎀을통한미보안네트워크접속하기
• 최고관리자의이메일패스워드리셋및새패스워드알아내기
• 잠시자리를비운사이로그인상태의워크스테이션허가없이이용하기
목포해양대해양컴퓨터공학과
4
침입자행동패턴 (5)
• 해커의동기
• 스릴
• 자신의위치 (실력주의)
• 목표를찾아공격하고그정보를공개
• 예: 대형금융기관침입
• 시만텍의 pcAnywhere 응용프로그램(원격통제) 이용
• 해커위협을막기위한수단
• 침입탐지시스템(IDS: intrusion detection system)
• 침입예방시스템(IPS: intrusion prevention system)
• 컴퓨터비상대응팀(CERT: Computer Emergency Response Team)
목포해양대해양컴퓨터공학과
9
침입자행동패턴 (6)
• CERT (Computer Emergency Response Team)
• 목적
• 시스템취약점에대한정보수집
• 시스템관리자에게배포
• 신속한패치설치의필요성
• 해커도 CERT 보고서참조
• 자동화된패치업데이트필요
• 패치발표시기불분명
• 시스템의복잡성
• 여러계층의방어막필요
• IT 시스템에대한보안위협에대응
목포해양대해양컴퓨터공학과
10
침입자행동패턴 (7)
• 범죄자
• 해커범죄조직
• 기업, 정부또는느슨하게조직된해커집합체
• DarkMarket.org나 theftservices.com 같은음성적인포럼을통해서
접촉
• 데이터나유용한정보를교환하고공격에협력
• 목표
• 전자상거래서버에있는신용카드파일
• 공격자는루트권한의획득
• 수사방해
• 카드번호를이용하여고가상품을구매하고카드번호를
거래하는사이트서공유
• 사용흔적을애매모호하게만들어서수사하기어렵게함
목포해양대해양컴퓨터공학과
11
침입자행동패턴 (8)
• 범죄자에대한방어수단
• 침입탐지시스템(IDS: intrusion detection system)
• 침입예방시스템(IPS: intrusion prevention system)
• 고객정보데이터베이스암호화필요
• 신용카드정보암호화절대필요
• 전자상거래사이트
• 전자상거래조직은반드시지정된서버사용
• 제공자의보안서비스에대한면밀한모니터링필요
목포해양대해양컴퓨터공학과
12
침입자행동패턴 (9)
• 내부공격자
• 가장감지하기어렵고방어하기어려운존재
• 접근권한을가지고있고, 시스템의구조와내용도알고있음
• 동기
• 복수심
• 그럴만한자격이있다는감정
• 사례
• 정보통신관계자해고시기능마비
• 회사의데이터복사하여경쟁사로이직 목포해양대해양컴퓨터공학과
13
침입자행동패턴 (10)
• 내부공격자방어방법
• 침입탐지시스템(IDS: intrusion detection system)
• 침입예방시스템(IPS: intrusion prevention system)
• 권한최소화
• 업무를수행에필요한자원에만접속
• 로그세팅으로접근기록보관
• 민감한자료접근은인증을통해제공
• 자료이용종료즉시접근차단
• 종료즉시재접근이전에하드드라이브미러이미지작성
• 정보가경쟁사로넘어갔을경우이를증거로사용.
목포해양대해양컴퓨터공학과
14
침입기법 (1)
• 침입자의목적
• 시스템접근허락
• 시스템에대한접근허용범위확대
• 목적달성방법
• 보호된정보획득
• 패스워드파일획득
• 제일중요한것은패스워드파일보호
• 일방향암호화(One-way encryption):
• 접근제어(Access control):
목포해양대해양컴퓨터공학과
15
침입기법 (2)
• 일방향암호화 (One-way encryption):
• 일반적패스워드사용법
• 사용자패스워드암호화된형태로저장
• 접근허락받기
• 사용자: 패스워드입력
• 시스템: 패스워드암호화후저장된값과비교
• 실제의경우
• 시스템: 일방향변환후패스워드로암호화함수에사용할키
생성
• 접근제어(Access control):
• 한사람이나극소수의사람에게만패스워드파일에대한
접근을허용
목포해양대해양컴퓨터공학과
16
침입기법 (3)
• 패스워드알아내기기술
• (추측)
1. 시스템설치시사용했던표준계정의기본패스워드를시도(예: admin, abc 등)
2. 짧은패스워드모두시도(한문자에서세개의문자로구성되는패스워드)
3. 시스템온라인사전에있는단어나흔히사용할것같은패스워드시도
4. 사용자와관련된정보수집
• 사용자의 full name, 배우자나아이들의이름, 사무실의사진, 취미와관련된사무실안의책같은
5. 사용자의전화번호, 사회보장번호(Social Security number), 방번호
6. 거주지의합법적자동차번호판번호시도
목포해양대해양컴퓨터공학과
17