01 소프트웨어 개발 보안 설계

1. 소프트웨어 개발 보안 설계 ⭐⭐⭐

학습 정리1

• SW 개발 보안 3대 요소 [2020 4회 기출] ❣️

  기무가 기밀성/무결성/가용성

  | 기밀성 (Confidentiality) | - 정보를 오직 인가(authorization)된 사람들에게만 공개하는 것

  • 인가되지 않은 개인/시스템 접근에 따른 정보 공개 및 노출 차단하는 특성 | | --- | --- | | 무결성 (Integrity) | - 데이터 베이스에 값이 정확하다는 것
  • 정당한 방법 따르지 않고서는 데이터 변경 불가하며, 데이터 정확성 및 완전성과 고의/악의로 변경/훼손/파괴되지 않음을 보장하는 특성 | | 가용성 (Availiability) | - 서버와 네트워크, 프로그램 등의 정보 시스템이 정상적으로 사용 가능한 정도
  • 권한 가진 사용자나 애플리케이션이 원하는 서비스 지속 사용 가능하도록 보장하는 특성 |

• SW 개발 보안 용어

  자위취위 자산/위협/취약점/위협

  자산(Assets)	조직 데이터/소유자가 가치 부여한 대상
  위협(Threat)	조직이나 기업의 자산에 악영향 끼칠 수 있는 사건이나 행위
  취약점(Vulnerability)	위협 발생 사전 조건으로 시스템의 정보 보증 낮추는데 사용되는 약점
  위험(Risk)	위협이 취약점 이용해 조직의 자산 손실 피해 가져올 가능성

• DoS 유형

  DoS	시스템 악의적으로 공격해 해당 시스템 자원을 부족하게 하여 원래 의도된 용도로 사용 불가하게 하는 공격
  DDoS	DoS의 또 다른 형태로 여러 대 공격자를 분산 배치해 동시에 동작하게 함으로써 특정 사이트 공격하는 기법
  DRDoS
  (Distributed Reflection DoS)	공격자는 출발지 IP를 공격 대상 IP로 위조해 다수의 반사 서버로 요청 정보 전송, 공격 대상자는 반사 서버로부터 다량의 응답 받아 서비스 거부(DoS)되는 공격

• DoS 공격 종류 [2020 1회 기출] ❣️

  SU스봉죽티랜

  | SYN 플러딩

  (SYN Flooding)	서버 동시 가용 사용자 수를 SYN 패킷만 보내 점유해 다른 사용자가 서버 사용 불가하게 하는 공격
  UDP 플러딩
  (UDP Flooding)	대량의 UDP 패킷 만들어 임의의 포트 번호로 전송하여 응답 메시지를 생성하게 해 지속해서 자원을 고갈시키는 공격(ICMP Destination Unreachable)
  스머프(Smurf)/
  스머핑(Smurfing)	출발지 주소를 공격 대상의 IP로 설정하여 네트워크 전체에게 ICMP Echo 패킷을 직접 브로드캐스팅하여 마비시키는 공격(Directed Broadcasting)
  봉크(Bonk)
  보잉크(Boink)	프로토콜 오류 제어 이용한 공격기법으로 시스템의 패킷 재전송과 재조립이 과부하 유발
  죽음의 핑
  (PoD;Ping of Death)	ICMP 패킷(Ping)을 아주 크게 만들어 다수의 IP 단편화가 발생하고 재조합 시 부하 발생해 정상적 서비스 하지 못하게 하는 공격 기법
  티어 드롭
  (Tear Drop)	IP 패킷의 재조합 과정에서 잘못된 Fragment Offset 정보로 수신 시스템이 문제 발생하게 만드는 공격 기법
  랜드 어택
  (Land Attack)	출발지(Source) IP와 목적지(Destination) IP를 같은 패킷 주소로 만들어 보내 수신자가 자기 자신에게 응답 보내게 해 시스템의 가용성 침해하는 공격 기법

• DDoS 공격 구성 요소

  핸들러(Handler)	마스터 시스템 역할을 수행하는 프로그램
  에이전트(Agent)	공격 대상에 직접 공격을 가하는 시스템
  마스터(Master)	공격자에게 직접 명령을 받는 시스템(에이전트들 관리)
  공격자(Attacker)	공격 주도하는 해커의 컴퓨터
  데몬 프로그램(Daemon)	에이전트 시스템의 역할을 수행하는 프로그램

• DDoS 공격 도구

  Trinoo	많은 소스로부터 통합된 UDP flood 서비스 거부 공격 유발하는데 사용되는 도구
  TFN
  (Tribe Flood Network)	trinoo와 거의 유사한 분산 도구로 많은 소스에서 하나 혹은 여러 개의 목표 시스템에 대해 서비스 거부 공격 수행할 수 있는 도구
  Stacheldraht	분산 서비스 거부 에이전트 역할을 하는 Linux 및 Solaris 시스템용 멀웨어 도구

• DRDoS 공격 절차

  출발지 IP 변조	공격자는 출발지 IP를 공격 대상자 IP로 spoofing하여 SYN 패킷을 공격 경유지 서버로 전송
  공격 대상자 서버로 응답	SYN 패킷을 받은 경유지 서버는 spoofing된 서버로 SYN/ACK를 전송
  서비스 거부	공격 대상자 서버는 수많은 SYN/ACK을 받게 되어 서비스 거부됨

• 세션 하이재킹(Session Hijacking) 개념 [2021 1회 기출]

  케빈 미트닉이 사용했던 공격 방법 중 하나로 정상적 연결을 RST 패킷을 통해 종료시킨 후 재연결 시 희생자가 아닌 공격자에게 연결하는 ~~~~TCP 세션 관리 취약점을 이용한 공격 기법(세션을 가로채다)

• 애플리케이션 공격 기법 HSRShHuHa

  HTTP GET Flooding	과도한 Get 메시지 이용해 웹 서버 과부하 유발시키는 공격
  Slowloris	HTTP GET 메서드를 사용해 헤더 최종 끝을 전송하지 않고 반만 전송해 웹 서버와의 연결 상태를 장시간 지속시키고 연결 자원 모두 소진시키는 서비스 거부 공격
  RUDY	요청 헤더의 Content-length 비정상적으로 크게 설정해 메시지 바디 부분 매우 소량으로 보내 계속 연결상태 유지시키는 공격
  Slow HTTP Read DoS	TCP 윈도 크기/데이터 처리율 감소(Zero Window Packet)시킨 상태에서 다수 HTTP 패킷 지속적 전송하여 연결상태 장시간 지속, 연결자원 소진시키는 서비스 거부 공격
  Hulk DoS	공격자가 웹 사이트 URL 지속적 변경시키며 다량으로 GET 요청 발생시키는 서비스 거부 공격
  Hash DoS	조작된 많은 파라미터를 POST 방식으로 웹서버에 전달해 다수의 해시 충돌 발생시키는 서비스 거부 공격

• 네트워크 공격 기법 [2020 4회 기출] [2021 3회 기출] ❣️

  IAIC네패스트

  | 스니핑

  (Sniffing)	공격대상에 직접 공격하지 않고 데이터만 몰래 들여다보는 수동적 공격 기법
  스푸핑(Spoofing)	승인받은 사용자인 것처럼 시스템에 접근하거나 네트워크상에서 허가된 주소로 가장하여 접근 제어 우회하는 공격 기법
  스누핑(Snooping)	스니핑과 유사한 단어로, 네트워크 상의 정보를 염탐하여 불법적으로 얻는 행위

  | IP 스푸핑

  (IP Spoofing)	타깃 시스템 정보 빼내기 위해 침입자가 자신의 패킷 헤더를 인증된 호스트의 IP주소로 위조해 타깃에 전송하는 공격 기법
  ARP 스푸핑
  (ARP Spoofing)	공격자 의도대로 희생자가 특성 호스트의 MAC 정보 위조해 특정 호스트로 나가는 패킷을 스니핑하는 기법
  ICMP Redirect 공격	ICMP Redirect 메시지를 공격자가 원하는 형태로 만들어 특정 목적지로 가는 패킷을 공격자가 스니핑하는 공격 기법
  네트워크 스캐너(Scanner), 스니퍼(Sniffer)	네트워크 HW/SW 구성의 취약점 파악 위해 공격자가 취약점 탐색하는 공격 도구
  패스워드 크래킹
  (Password Cracking)	사전/무차별 크래킹 기법 사용해 네트워크 패스워드 획득하는 공격
  스위치 재밍
  (Switch Jamming)	위조된 매체 접근 제어(MAC)주소를 지속적으로 네트워크로 흘려보내, 스위치 MAC 주소 테이블의 저장 기능을 혼란시켜 더미 허브처럼 작동하게 하여 네트워크 패킷 스니핑하는 기법
  트로이 목마
  (Trojan Horses)	겉보기엔 정상적이지만 악성 루틴이 숨어 있는 프로그램으로 실행 시 악성 코드 실행하는 프로그램

• 패스워드 크래킹 종류

  사무패레/단무결해

  | 사전 대입 공격

  (Dictionary Attack)	시스템 또는 서비스 ID와 패스워드 크랙위해 가능성 있는 단어 파일 만들고 대입하여 크랙하는 공격 기법
  무차별 대입 공격
  (Brute Force Attack)	랜덤 패스워드를 무작위로 패스워드 자리에 대입해 알아내는 공격 기법
  패스워드 하이브리드 공격
  (Password Hybrid Attack)	사전 공격과 무차별 대입 공격을 결합하여 공격하는 기법
  레인보우 테이블 공격
  (Rainbow Table Attack)	패스워드 별로 미리 생성한 해시 값 테이블에서 검색해 크래킹하여 역으로 패스워드 찾는 공격 기법

• 버퍼 오버플로우(Buffer Overflow) 공격

  메모리에 할당된 버퍼 크기 초과하는 양의 데이터 입력해 이로 인해 프로세스 흐름 변경시켜 악성 코드 실행시키는 공격 기법(스택/힙)

  | 스택 버퍼

  오버 플로우 공격	메모리 영역 중 Local Value나 함수의 return Address가 저장되는 스택 영역에서 발생하는 오버플로우 공격
  힙 버퍼
  오버 플로우 공격	프로그램 실행 시 동적으로 할당되는 힙 영역에 할당된 버퍼 크기 초과하는 데이터 입력해 메모리의 데이터와 함수 주소 등 변경, 공격자가 원하는 임의의 코드 실행하는 공격 기법

• 버퍼 오버플로우 공격 대응 방안

  가쉴A함제

  | --- | --- |