OSI 보안 구조, 기본 보안 용어
1. OSI 보안구조
ITU-U (International Telecommunication union Telecommunication, 국제전기통신연합, 구 CCITT) 권고안 X.800,
OSI 보안 구조는 관리자가 효율적으로 보안 문제를 조직화 할 수 있는 유용한 방법을 제공한다.
(1) OSI 보안구조
1. 보안 공격
2. 보안 메커니즘
3. 보안 서비스
(2) 보안 공격
1) 보안의 세가지 목표(기밀성, 무결성, 가용성)는 보안 공격에 의해 위협 받을 수 있다.
보안 목표와 관련하여, 세 개의 그룹으로 나눈 후,
다시 그 공격을 시스템에 미치는 영향에 따라, 두개의 유형으로 나눈다.
| Security Attacks | ||||
| Treat to Confidentiality | Snooping | Traffic analysis | ||
| Threat to integrity | Modification | Masquerading (가장, 신분위장) |
Replaying (재전송, 적극적 공격) |
Repudiation (부인) |
| Threat to availabilty | Deinal of service (서비스 거부, DoS) |
2) 소극적 공격과 적극적 공격
보안공격을 X.800 과 RFC2828에 따라 분류하면, 소극적 공격과 적극적 공격으로 나눌 수 있다.
소극적 공격 : 시스템으로부터 정보를 획득, 사용하려는 시도 이지만,
시스템 자원에는 영향을 끼치지 않는 공격 형태
적극적 공격 : 시스템 자원을 변경 하거나,
시스템 작동에 영향을 끼치는 공격 형태를 말한다.
| Attack | Passive/Active | Threatening |
| Snooping, Traffic analysis | Passive | Confidentiality |
| Modification, Masquerading, Replaying, Repudiation |
Active | Integrity |
| Denial of Service | Active | Availablity |
2. 기본 보안 용어
1) 자산
: 조직이 보호해야 할 대상으로서, 데이터 혹은 자산 소유자가 가치를 부여한 실체
2) 취약점(Vulnerability)
: 컴퓨터나 네트워크에 침입하여 환경 내의 리소스에 대한, 허가되지 않은 접근을 시도하려는 공격자에게
열린 문을 제공할수 있는 SW, HW, Process 혹은 인력상의 약점.
즉, 위협의 이용 대상으로, 관리적, 물리적, 기술적 약점
3) 위협
: 손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합
보안에 해를 끼치는 행동이나 사건
임의의 유협은 네가지 종류로 구분됨.
1) 가로채기(interception): 비인가된 당사자가 자산으로의 접근을 획득한 것을 의미(불법 복사, 도청 등)
2) 가로막음
3) 변조
4) 위조
4) 위협 주체
1. 취약점을 이용하는 존재.
2. 위협 주체는, 침입차단시스템의 포트를 통해 네트워크에 접근하는 침입자
보안 정책을 위반하는 방식으로 데이터에 접근하는 프로세스,
시설물을 파괴하는 태풍
의도하지 않은 실수로 기밀정보를 누설하거나 무결성을 손상시키는 직원
이 될수 있다.
5) 위험(Risk)
1. 위협 주체가 취약성을 활용할 수 있는 가능성과 그와 관련된 비즈니스 영향을 가리킨다.
만약 침입차단시스템이 다수의 개방된 포트를 가지고 있다면, 침입자가 허가되지 않은 방법으로 네트워크에 접근할 가능성이 높다.
2. 위협 주체가 취약점을 이용하여, 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가져올 가능성
위험 : 자산 X 위협 X 취약점 으로 표시됨.
6) 노출(Exposure)
1. 위협 주체로 인해서, 손실이 발생할수 있는 경우.
7) 대책/안전장치
8) 다계층 보안/심층 방어(Defense in Depth)
1. Multi layered securiry 라고도 불리며, 여러 계층의 보안대책이나 대응 수단을 구성하는 것.
2. 다계층 보안이므로, 한가지 통제가 실패하더라도, 전체 시스템을 위험에 빠뜨리지 않는다.
3. 시스템이 취할 수 있는 가장 최선의 보안 접근 방법.
4. 보호, 탐지, 대응으로 이루어진 보안 접근법.
9) 직무상의 신의성실, 노력
10) 사회 공학
1. 컴퓨터 보안에서 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여, 정상적인 보안 절차를 깨뜨리기 위한
비 기술적 침입 수단.
2. 우선 통신망 보안 정보의 접근권한이 있는 담당자와 신뢰를 쌓아, 전화나 이메일을 통해 도움을 받고, 약점을
이용한다.
11) 시점별 통제 (Control)
1. 예방통제 : 사전에 위협과 취약점에 대처하는 통제
2. 탐지통제 : 위협을 탐지하는 통제, 빠르게 대처할수록 대처하기 용이하다.
3. 교정통제 : 이미 탐지된 위협이나 취약점에 대처하거나, 위협이나 취약점을 감소시키는 통제.