[Computer] 정보보안과 윤리

정보 보안(Information Security)

- 정보를 외부로부터 안전하게 지키는 것
- 정보 보안은 공급자와 사용자 측면으로 구분

• 공급자 측면 : 하드웨어, 데이터베이스, 네트워크 등 정보 자신을 내외부의 위협 요인으로부터 안전하게 보호하고 운영
• 사용자 측면 : 개인정보 유출, 도용, 남용을 방지하기 위한 행위

 

* 악성코드(Malicious Code)

• 악의적인 목적을 띈 실행 가능 코드로, 컴퓨터에 악영향을 끼칠 수 있는 모든 소프트웨어
• 악성코드의 종류 : 바이러스, 웜, 트로이목마 등
• 악성코드의 감염 주요 증상
  • 네트워크 트래픽 발생
  • 시스템 성능 저하
  • 파일 삭제
  • 전자메일 자동 발송
  • 개인정보 유출

 

* 해킹(Hacking)

• 컴퓨터 전문가나 사용자가 다른 사람의 컴퓨터나 정보 시스템에 침입해 정보를 빼내는 행위
• 컴퓨터의 하드웨어, 소프트웨어, 네트워크 등 각종 정보체계가 설계자나 관리자가 의도하지 않은 동작을 일으키게하거나, 주어진 권한 이상으로 정보를 열람,복제,변경할 수 있게끔 하는 행위
• 해킹의 종류 : 디도스, 스푸핑, 스니핑 등
• 해킹의 유형 : 절취형 해킹, 변조형 해킹, 인터넷 해킹
• 크래킹(Cracking) : 범죄 행위에 사용된 해킹 (해커 vs 크래커: 악의적 목적)

화이트 해킹	악의가 없는 해킹 행위
블랙 해킹	정보 삭제, 신용카드 도용, 해적 판 제작 등 불법적인 해킹 행위
그레이 해킹	화이트 + 블랙 / 해킹한 후 관리자에게 취약점을 수정해주고 대가를 받음
블루해킹	특정 시스템을 본격적으로 구동하기 전에, 버그를 찾아내는 보안 컨설팅

 

 

* 개인정보 유출

계정 탈취	이용자들의 ID와 패스워드를 수집하고 도용
명의 도용	유출된 주민등록번호를 이용해 웹 사이트에 가입하거나, 무허가 상거래 등의 불법 행위
보이스피싱	유출된 전화번호로 송금, 보험 등의 2차 범죄를 일으킴
스팸 메일	유출된 이메일로 스팸 메일을 발송
프라이버시 침해	민감한 개인정보를 유출해 프라이버시를 침해

 

 

* 바이러스

• 프로그램이나 실행 가능한 부분을 몰래 변형해 자신 또는 자신의 변형을 복사한 뒤 컴퓨터에 감염시키는 프로그램
• 일단 감염이되면 복제, 전파 또는 데이터 파괴가 발생
• 양성 바이러스 : 복제 후에 전파하는 기능의 전파코드만 가지고 있으며, 데이터 파괴는 하지않는 코드
• 악성 바이러스 : 컴퓨터 시스템에 파일 삭제, 파일 변경, 데이터 파괴 등과 같은 직접적인 피해를 주는 바이러스

 

* 웜

• 자체적으로 실행되면서 인터넷을 통해서 다른 컴퓨터에 전파 가능한 프로그램
• 이메일 또는 채팅 프로그램 등 사용중인 프로그램을 통해서 스스로 전파

 

* 트로이 목마(Trojan Horse)

• 정상적인 프로그램으로 위장한 악성코드의 한 종류
• 몰래 컴퓨터 시스템에 숨어 들어와서 백도어(뒷문)을 만듦
  • 일반적으로 해킹의 도구로 사용
  • 개인정보 유출, 운영체제 파괴, 속도 저하, 시스템 파일 삭제, 부팅 등
• 트로이목마의 전파
  • 이메일의 첨부파일
  • 출처가 불분명한 프리웨어
  • 불법 파일이나 프로그램

 

* 목적에 따른 악성코드 분류

악성코드	설명
스파이웨어 (Spyware)	- 컴퓨터에 몰래 숨어있다가 정보를 빼가는 악성/유해 프로그램 - 주로 개인 및 시스템 정보, 인터넷의 사용 습관 등을 수집하는 목적
애드웨어 (Adware)	- 프리웨어나 쉐어웨어(Shareware) 등과 같이 광고 보는 것을 전제로 무료로 사용이 허용되는 프로그램 - 마케팅 목적을 위해 데이터를 수집하는 정당한 사용 목적이 있는 프로그램
랜섬웨어	- 사용자의 파일을 암호화하여 사용할 수 없게 한 뒤, 자료를 인질로 돈을 요구
스케어웨어	- 악성코드에 감염되지 않았는데도 악성코드를 탐지했다고 겁을 주면서 자사의 안티바이러스 제품 구매를 유도하는 프로그램

 

 

* 피싱, 파밍, 스미싱

• 피싱(Fishing) : 유명회사의 홈페이지를 위조한 뒤, 계좌번호나 주민번호등의 개인 정보를 보내도록 유인하는 행위
• 파밍(Pharming)
  • 피싱보다 한 단계 진화한 형태의 사기 수법 (피싱의 한 유형)
  • 합법적인 도메인을 탈취하거나, 도메인 네임 서버의 주소를 변조 -> 진짜 사이트를 들어가도, 가짜 사이트로 접속되도록
• 스미싱(Smishing)
  • 문자메세지를 이용한 휴대폰 해킹 수법
  • SMS + Fishing = Smishing
  • 해커가 보낸 메시지를 받는 휴대폰 사용자가 해당 웹 주소를 클릭하는 순간 악성코드가 깔림 -> 원격 조종하며 개인정보 탈취

 

---

* 암호화

• 평문의 메시지를 암호화시켜 특정 키를 가지고 있는 사람만이 그 내용을 알아볼 수 있게 하는 것
• 암호화(Encryption) : 평문을 암호문으로 변환
• 복호화(Decryption) : 암호문을 본래의 평문으로 복원
• 암호기법 분류
  • 대칭키 / 비밀키 : 스트림 암호화, 블록 암호화 (DES, IDEA)
  • 비대칭키 / 공개키 : RSA, Diffie-Hellman

 

* 공개키 암호화 기법

• 비밀키 암호의 문제점을 해결하고자 하는 시도로부터 발전
• 수학적으로 복잡한 과정을 거치는 암호화 방법
• 매우 큰 두 소수의 곱을 구하면, 그 수를 인수분해하기 어려운 점을 이용하여 암호화
• 평문을 암호화한 키와 복호화하는 키가 서로 다름
• 두개의 키 중 하나를 공개키(public key)라고 하고, 다른 하나를 비밀키(private key)라고 함

 

* 방화벽(Firewall)

• 외부 공격으로부터 시스템을 보호하고, 내부의 중요한 정보가 유출되지 않도록 경로를 차단하는 하드웨어와 소프트웨어

방화벽 유형		설명
네트워크 방화벽 (Network Firewall)	Packet Filtering Firewall	패킷의 출발지와 목적지 IP주소, 포트번호 등을 검사하여, 허용된 패킷만을 통과시키는 방식
	Stateful Inspection Firewall	패킷의 상태(State)를 추적하여, 연결 설정 단계에서 수행되는 인증 절차를 통과한 세션만을 허용하는 방식
	Next~Generation Firewall	패킷의 내용을 분석하여, 악성코드나 스팸 메일 등을 차단하는 기능 추가
애플리케이션 방화벽 (Application Firewall)	Web Application Firewall	웹 어플리케이션에서 발생할 수 있는 SQL Injection, XSS 등 공격을 차단
	Database Firewall	데이터베이스에 대한 접근을 제어하고, 공격을 차단
	Email Security Gateway	이메일 트래픽을 검사하여 스팸메일, 악성코드, 피싱메일 등을 차단

 

 

* 침입 탐지 시스템(IDS; Intrusion Detection System)

• 기존의 방화벽이 탐지할 수 없는 종류의 악의적인 네트워크 트래픽과 컴퓨터 사용을 탐지하기 위한 시스템
• 실시간으로 해당 구역에 외부인이 침투하는지 감시하고, 이를 관리자에게 보고하는 기능 수행
• 침입 차단 시스템(IPS; Intrusion Prevention System) : 내부 네트워크로 침입하려는 외부 네트워크 패킷을 찾아 제어하는 소프트웨어 또는 하드웨어

 

* 정보통신 윤리

• 정보통신망으로 연결된 사이버 공간이 모두에게 열린 공간이 되고 유익한 공간이 되기위해, 현실 세계에서와 같이 누구나 지켜야할 규칙과 규범

 

* 지식재산권(IP; Intellectual property rights)

• 인간의 창조적 활동 또는 경험 등을 통해 창출하거나 발견한 지식, 정보, 기술이나 표현, 표시 그 밖에 무형적인 것
• 재산적 가치가 실현될 수 있는 지적창작물에 부여된 재신에 관한 권리
• 저작권 / 산업재산권 / 신지식재산권