1일차 공통 교육 과정(보안 업무 키워드)

 

용어 정의: 오해와 오역 예방 + 이견과 분쟁을 원활하게

 

보안 3 요소 CIA (기무가)

기밀성: 허가받지 않는 사람에게 노출되지 않음 - 외부에는 드러내면 안되는 비밀  (열람시)

무결성: 데이터의 흐름 중에 완전성과 정확성을 유지 - 인가 유무에따라 변경 가능 유무 (수정시)

가용성: 자산의 계속적 이용을 가능하게 하는것 - 시간의 제약 (삭제시) > 도스 디도스

 

자산 - 회사가 보유한 가치를 지닌것

영향 - 보안사고로 발생할 수 있는 정보자산에 대한 위험 및 비용

위협 - 버그, 오류, 결함 등으로부터 피해를 받을 수 있는 모든 경우

위험 - 주어진 위협이 자산의 취약점을 이용하여 자산의 손실과 손상을 유발시킬 수 있는 잠재력(측정될 수 있어야함)

 

스니핑 - 통신 상에서 감청, 도청하는 행위 (전부 악의적인것은 아님) > 기밀성 침해 

도청 - 정보의 불법적인 가로채기

스푸칭 - 인가된 것으로 '속이는' 행위

변조 - 인가 받지 않고 공격자가 임의로 파일을 변경하는 행위

 

사용자 - 서버에 접속하는자

서버 - 서버/클라이언트 관계에서 기다리고 있는 프로그램

패킷 - 네트워크 상에서 왔다리 갔다리 하는 정보 (소포)

감사 - 안전하게 운용되고 있는지 확인하기 위한 조사,분석 방법 (대상을 보고 관련된 내용을 대상자들에게 들으며 조사하는것`)

감사기록 - 증거가 되는 데이터를 시간 순으로 기록 저장하는 방법

로그 - 시스템 사용자에 관련된 전체의 기록

감사 추적 - 모든 활동을 재생, 검토, 조사할 수 있는 시스템 활동의 시간별 기록을 추적

 

데이터베이스 - DBMS 내의 테이블, 뷰, 데이터 등의 집합체를 나타내는 구조  

데이터 보안 - 보안 사고로부터 하드웨어 또는 소프트웨어의 자료 손실을 방지하고 보호하는 것

데이터베이스 보안 - 데이터베이스 및 데이터베이스 내 저장된 데이터를 보호하는 것

 

네트워크 노드 - 네트워크에 연결되어 있는 컴퓨터, 프린터, 네트워크 장비 및 시스템 등을 지칭

네트워크 시스템 - 라우터, 스위치 등 네트워크 연결 및 데이터 전송을 위한 시스템을 지칭

로드 밸런싱 - 1개의 서버나 방화벽에 트래픽이 집중되는 것을 분산시키기 위한 스위칭 기술

 

악성행위 관점에서 

백도어 - 시스템의 정상적인 보호 수단을 우회하기 위하여 사용하는 악의적인 소프트웨어

취약점 - 위협 요소로 남용할 수 있는 일개 자산 또는 자산들이 지닌 약점

멀웨어 - Malicious Software의 약어로 응용프로그램의 기능을 위협하는 등의 악의적인 행위를 수행하는 프로그램 (악성코드)

크랙 - 여러 복사방지 또는 접근 통제 기술이 적용된 소프트웨어의 비밀을 풀어서 불법으로 복제하는 행위

제로데이 - 취약점에 대한 패치가 나오지 않은 시점에서 이루어지는 공격

익스플로잇 - 소프트웨어나 하드웨어 및 컴퓨터 관련 전자 제품의 버그, 취약점 등의 설계상 결함을 이용해 공격자의 의도된 동작을 수행하도록 만들어진 절차나 일련의 명령, 스크립트, 프로그램, 조작을 이르기까지의 사용한 공격 행위

 

보안관리 관점에서 

관리적 보안 - 정보시스템과 데이터를 보호하기 위하여 수립하는 각종의 관리 절차나 규정으로 절차적 보안(procedural security)이 라고도 함

보안 대책 - 침해사고 및 보안사고로 인하여 발생할 수 있는 개별 위험을 최소화 할 수 있도록 대응하는 방법

보안 평가  - 기밀 정보를 안전하게 처리하기 위해 시스템에 부여하는 신뢰도를 평가하기 위한 일련의 수행 과정

보안 정책 - 조직의 관리 및 보호 방법과 중요 정보의 분배 방법을 규정한 법, 규칙, 관습의 집합

부인방지 - 행위나 이벤트의 발생을 증명하여 추후 행위나 이벤트를 부인할 수 없도록 하는 서비스

백업센터 - 업무의 장애나 전산본부 재난 시 전산처리 업무의 복구를 위해 구성된 특정 장소를 의미

접근 권한 - 서버나 응용시스템, 네트워크의 기능 및 서비스 사용 등을 위해 특정 사용자가 수행할 수 있는 작업을 정해 놓은 것

접근 통제 - 서버나 응용시스템, 네트워크의 기능 및 서비스 사용 등을 위한 사용자의 권한에 대한 제한

정보보호 감사 - 정보시스템본부 소속 임직원이 수립된 보안 지침 및 절차에 규정된 사항을 적절히 이행하고 있는지 확인하기 위하여 인터뷰, 문서검토 등 다양한 방법으로 증거를 수집하고 분석하여 개선사항을 제시하거나 이행을 권고하는 행위

정보보호 시스템 - 침입차단 시스템, 침입탐지 시스템 등을 포함하여 정보자산 보호를 주목적으로 하는 시스템

정보 시스템 - 컴퓨터의 본체, 주변장치 및 단말장치 등의 전부 또는 일부로서 구성되는 하드웨어 및 소프트웨어를 총칭

정보보호 전략 - 회사의 경영전략 항목에 연계하여 전략 사항을 추진하고 달성함에 있어 필요한 정보보호 측면의 지원사항

보안 관리 관점에서

침입 방지 시스템 - IPS(Intrusion Prevention System) 등의 장비로 네트워크 트래픽에서 발생하는 위협을 감시하여 잠재적 위협 탐지 시 즉각적인 대응을 하기 위한 기술이 적용된 차단 시스템을 의미

침입 차단 시스템 - 내부의 컴퓨터 시스템 혹은 내부 네트워크와 공중 인터넷 사이에서 트래픽을 통제하기 위해 사용되는 전용 시스템 을 의미

침입 탐지 시스템 - 대상 시스템이 비인가자에 의해 침입이 시도되는 때 침입 사실을 탐지하는 시스템으로 각종 해킹 수법을 이미 자체적으로 내장, 침입행동을 실시간으로 감지할 수 있는 기능 제공

터널링 - 개방된 인터넷 망을 안전한 네트워크의 일부로 사용하게 하는 방법으로 특정 사용자들만의 유효한 통신 채널을 형성하여 논리적인 터널을 만드는 것을 의미

통제 구역 - 당사 내의 정보보호를 위해 극히 중요한 구역으로 모든 출입자의 통제가 요구되는 구역

패치 - 운영체제 또는 소프트웨어 등의 결함을 제거하기 위해 보완하는 행위

 

방화벽 - 침입 차단 시스템

IDS(Intrusion Detection System) - 침입 탑지 시스템

IPS(Intrusion Preventing System) - 침입 방지 시스템