CISA Domain 5 전력 통제, 환경 통제, 클라우드 통제, 방화벽, IDS, PKI

전력 불안정 유형

• 전력의 손실(Power loss)
  • 폴트 (Fault) : 순간적인 파워 손실
  • 블랙아웃 (Blackout) : 완전한 파워 손실 = 전압이 0(태풍, 지진 등)
  • 대안 : UPS, 발전기, 대체 전력 공급원
• 전력의 감소(Power Degradation)
  • 세그 (Sag) : 순간적인 전압 하강
  • 브라운아웃 (Brownout) : 계속적인 저전압 = 전자기기 노후화
  • 대안 : 자동 전압 조정기
• 전력 초과(Power Excess)
  • 스파이크 (Spike) : 순간적인 전압 상승(번개)
  • 서지 (Surge) : 계속적인 고전압(데이터 유실/파손, 하드웨어 물리적 손상 야기)
  • 대안 : 서지 보호기, Power Line Conditioner

 

환경적 노출에 대한 통제

• 습기 탐지기
  • Raised Floor 밑과 배수구 근처에 설치
  • 직원 비상주시 반드시 설치
• 연기 탐지기
  • 천장 타일 위, Raised Floor 아래
  • 작동 시 소방서 연결
• 과전압 보호기(서지 프로텍터)
  • 전기 합선으로 인한 장비 피해 감소
  • 보통 UPS안에 설치
• 비상 전원 차단 스위치
  • 컴퓨터실 내/외 각각 1개씩 존재
  • 쉽게 보여야 하며 불빛으로 잘 보이도록 해야한다.

이산화탄소 (Light out 환경에서 사용)

• 방출하기 전 경보 및 안내 필요(자동분사는 법 금지)

물 (환경 친화적)

• 습식 파이프 : 화재 발생 시 신속 대처, 동파 위험
• 건식 파이프 : Delay Time, 잘못된 경보에 대처 가능, 자동스위치와 연결

FM-200 (환경 친화적)

• 전산실(IPF)의 경우 FM-200이 효과적/안전

---

클라우드 컴퓨팅 관련 위험

• 물리적 보안
  • CSPs(클라우드 서비스 플랫폼) 재해복구 프로그램 요구, 재해 후 필요한 조치 요구(가용성)
  • CSPs와 고객보안 정책 수준 일치하도록 계약서 포함
• 데이터 처리
  • CSPs에 기술 설명서 요구
  • 계약 만료 시 정보가 삭제될 수 있도록 계약 조건 추가
• 신원 확인 및 접근 관리
  • 계약서에 감사 조항 추가, SLA 요구

Shadow IT

• 비인가된 클라우드 앱, 서비스를 구입해 사용하며, 책임자가 파악하지 못하는 현상
• 조치 : 쉐도우 IT 기준 정립, 생산성 높히는 앱은 허용
• 데이터 유출 방지 : DLP, NAC
• 데이터 유실 : BCP
• 개인정보보호 : 민감 데이터 분류

재생 공격(Reply Attack)

• 프로토콜 상 유효 메시지만 골라 복사한 후 나중에 재전송하는 방법으로 정당한 사용자로 위장
• 대안 : 암호 통신, VPN, OTP

서비스 거부 공격

• 외부 공격에 의해 정상적으로 서비스가 동작하지 않는 현상
• Ex) TCP Syn Flooding, Tear Drop, 스머프 공격, DDoS

방화벽 동작 방식 분류 (https://itwiki.kr/w/방화벽)

• 패킷 필터링 방화벽
  • 가장 오래된 방화벽 형태
  • 패킷 헤더로 판별, 보안성이 낮음
  • 속도는 빠르나 IP 스푸핑에 취약
• 어플리케이션 레벨 방화벽
  • 가장 안전한 방화벽 형태
  • 프록시 (전체 패킷 검사)
  • 네트워크 성능 영향 미칭

방화벽 종류

• 패킷 필터링
• 프록시
• 응용 게이트 웨이
• 서킷 게이트 웨이
• 상태 기반 조사

방화벽 구성 종류

• 스크리닝 라우터
• 베스천 호스트
• 듀얼 홈드 게이트웨이
• 스크린드 호스트 게이트웨이
• 스크린드 서브넷 게이트 웨이

침입탐지 시스템(IDS)

구분	네트워크 기반	호스트 기반
탐지 대상	네트워크 통과 패킷	시스템 내부 사용자 활동
기반 기술	패킷 캡쳐링	프로세스 모니터링
장점	실시간 탐지 및 대응 가능 네트워크 트래픽 탐지	내부사용자의 서버 공격 탐지 사용자 활동 감시
탐지 가능한 공격	도스 공격, 스캐닝 공격	트로이 목마, 백도어 파일 변조

---

바이러스 통제

• 스캐너
  
  • 시그니처 : 알려진 바이러스를 찾는데 효과적, 변종 미탐지
  • 휴리스틱 : 코드 분석 해 통계젹 확률 바탕으로 학습, 잘못된 인식 오류율 높음
• 무결성 검사기
  • 파일 변경 여부 점검
  • 감염을 탐지하는데 효과적

국정원 공공기관 무선 가이드라인

• WEP 사용 금지, WPA3 인증 사용
• 기본 SSID 변경
• 무선 네트워크 영역과 유선 네트워크 영역 분리
• WIPS를 이용하여 복잡한 무선 네트워크 위협에 대응
  • WIPS(Wireless Intrusion Prevention Sytstem) : Rogue AP, egg등 제어, Hot Spot 등 제어
• 무선 AP는 방화벽 뒤나 분리된 VLAN에 위치해 트래픽 감시 및 필터링

 

VOIP(Voice over IP)

• 인터넷을 통해 IP주소 기반 음성 신호 및 데이터 전달
• 고려사항
  • QoS
  • 대역폭 향상
  • SRTP 사용(VoIP 보호, 기밀성, 인증, 재생 방지 제공
• 위협 : DDoS

암호화

• 알고리즘 : 공개
• 암호화 키 : 비공개
• 키 길이 : 공개 (길수록 안전, 쓰로풋(처리량)과 반비례)

대칭키( = 비밀키)

• 속도 빠름
• 키 전달, 배포 문제
• AES, IDEA

비대칭키( = 공개키, 공용키 )

• 공개키, 개인키로 쌍 이룸
• 대칭키( = 비밀키) 보다 1000배 속도 느림
• 키 분배 문제 해결 가능(수신자의 공개키로)
• 중간자 공격에 취약
• Ex) RSA, ECC
  • RSA : 인수분해 문제로 대표적인 공개키
  • ECC : 타원곡선암호, 강력함 암호(가장 빠름)

전달자 > 받는자

• 송신자 개인키 > 송신자 공개키 : 디지털 서명(부인방지)
• 수신자 공개키 > 수신자 개인키 : 디지털 봉투(기밀성)

디지털 서명(부인 방지)

디지털 봉투(기밀성)

 

데이터 암호화할때 사용한 대칭키를 전달하는 방법

1. 수신자의 공개키로 대칭키를 암호화
2. 암호화된 문서와 함께 전달
3. 수신자의 개인키로 복호화 : 대칭키 획득
4. 암호화된 문서 대칭키로 복호화
5. 평문 획득

해시 알고리즘

• 데이터/정보의 무결성 검증 가능
• Ex) MD5, SHA-1, 메시지 다이제스트

PKI(공개키 기반 구조)

• 믿을 수 있는 공인 기관이 공개키 소유자의 신원을 보증하는 기반 구조
• CA (인증기관)
  • 공개키 증명서 발행/생명주기 관리
  • 인증서 등록/발급/취소목록 관리
    • 개인키가 공개 되었을 경우 인증서폐기목록(CRL, Certificate Revocation List)에 등록
• RA(등록기관)
  • 가입자 신원 입증
  • CA사이의 중개인

IPSEC VPN

• AH(Authentication Header) : 무결성과 데이터 원본 인증 제공, 일련번호로 인한 재생공격 보호
• ESP(Encapsulation Security Payload) : 데이터 기밀성과 패킷단위 무결성, 일련번호 인한 재생공격 보호
•  * IPSEC / SSL VPN 차이 참고

SSL(Secure Socket Layer)

• Client와 Server사이의 안전한 통신(웹상 안전한 거래)
• 대칭키 암호화(트래픽을 암호)와 비대칭키 암호(대칭키를 암호)를 혼합 사용
  • 인증 : 클라이언트가 접속하는 서버가 신뢰할 수 있는지 확인, 서버는 클라이언트가 허가된 사용자인지 확인(전자서명과 인증서의 검증)
  • 무결성 : 해쉬 함수 사용
  • 기밀성 : 대칭키 암호화 사용 - 트래픽 암호
  • 부인 방지 : 전자서명