본문 바로가기

분류 전체보기

 (121)
[AWS] Chapter7. 클라우드 취약점 진단 심화 1. 클라우드 인증 정보01. AWS 자격증명IAM- AWS 리소스에 대한 액세스를 제어할 수 있는 서비스- 인증 및 권한 부여된 대상을 제어액세스 키(Access Key)- IAM 사용자, Root 사용자에 대한 자격 증명- CLI 또는 API에 대한 요청 및 서명- 액세스 키 ID(AWS_ACCESS_KEY)와 보안 액세스 키(AWS_SECRET_KEY)로 구성IAM 임시 보안 자격 증명(SESSION TOKEN)- STS(Security Token Service)- 리소스에 대한 액세스를 제어할 수 있는 임시 보안 자격 증명- 지정 기간 후에 만료됨IAM - Access Key- Access key는 사용자 별 최대 2개- 발급 시에만 Secret 키 쌍 제공- 사용하지 않는 key는 비활성화, 삭..
[AWS] Chapter6. 인증 및 API 진단 1. 인증 및 인가 서비스 Cognito01 개요AWS Cognito - 웹 및 모바일 앱에 대해 인증, 권한 부여 및 사용자 관리 제공- 사용자는 로그인하기 위해 아이디/비밀번호 또는 Google, Facebook 등의 권한 부여자를 통해 로그인02. 취약점 발생 원리비밀번호 오류횟수 제한- 비밀번호 오류횟수 제한 로직이 존재하지 않아 무작위대입 공격을 통해 타 사용자 비밀번호 획득 가능한 취약점- 금융위원고시 전자금융감독규정 - 비밀번호 5회 실패 시 계정을 잠그고 비밀번호 재부여 또는 초기화 지시- Cognito는 임시 잠금 기능을 통해 일부 대응참 고로그인 시도의 실패는 5회까지 허용되며 그 후의 각 실패에 대해서는 1초부터 시작하여 약 15분까지 두 배씩 기하급수적으로 증가한 시간만큼 임시 잠금..
[AWS] Chapter5. S3 및 불필요 리소스 진단 1. 불필요한 Public 설정01 개요공개 설정을 하는 이유- S3 정적 웹 호스팅- 민감도가 낮은 데이터- 공유가 필요한 데이터S3에 포함도리 수 있는 정보- AWS CloudTrail 로그- 코드 형상관리 ( CodeCommit ) - 코드 배포 (Pipeline, Elastic Beanstalk)- S3 백업 파일 (S3 Versioning)02. 시나리오공개 설정된 S3- S3는 REST 웹 서비스 인터페이스를 통해 파일 전송- 공격자는 S3 버킷 주소를 통해 접속하여 파일 목록 읽기, 파일 다운로드 가능발생할 수 있는 위협- 리소스에 대한 권한 나열    -> 계정에 따른 AWS 리소스 사용 권한 획득   -> 최소 권한 부여 원칙이 적용되지 않은 경우 획득한 권한을 이용하여 인스턴스 제어 가..
[AWS] Chapter4. 서버&서버리스 진단 - 5 6. XXE01. XXE 개요 - XML 타입의 데이터를 웹 요청을 통해 전송, 서버에서 XML 외부 엔티티 처리가 가능할 때 발생 - 사용자가 웹 애플리케이션으로 전달되는 XML 데이터를 직접 업로드/수정 가능   -> 파일과 같은 서버 내부의 정보 탈취/SSRF 등 공격 수행 - XML 외부 엔티티 선언 형태- 사용자가 브라우저를 통해 XML 데이터를 입력 후 서버(lambda)로 전송 - 서버의 함수는 XML 데이터를 파싱하며, XXE 공격 발생 - XML 구문 분석기의 입력 값 검증 누락으로 발생02. 시나리오진단방안 - 전제 조건   -> 서버 요청 시 DTD(Document Type Definiton)를 선언할 수 있어야 함03. 진단방법XXE 파서 취약성 - XML 구문 분석에 사용되는 py..
[AWS] Chapter4. 서버&서버리스 진단 - 4 5. Command Injection01. 개요Command Injection- 취약한 애플리케이션을 통해 호스트 운영 체제에서 임의 명령을 실행    -> 양식, 쿠키, HTTP 헤더 등의 인자를 조작하여 시스템 쉘에 전달- 실행되었을 때 명령은 애플리케이션 권한으로 동작- 불충분한 입력 유효성 검사가 원인02. 취약점 발생 원리Faas 환경에서 사용자 관리 범위와 서비스 제공자 관리 범위의 차이 존대- FaaS 환경에서 사용자는 호스트 운영 체제에 관여할 수 없음   -> AWS에서 가상 환경을 구성하며 Amazon Linux, Amazon Liunx 2 사용- 사용자가 지정한 런타임 가상환경에서 임의 명령을 실행   -> Node, Python, Ruby, Java, Go 등 런타임 가상환경 사용 ..
[용어/개념] Product Life cycle (EOS,EOL,EOD,EOSL) 비교 Product Life Cycle상용 H/W 및 S/W를 사용하다 보면 Life Cycle를 체크하여 공식 지원이 언제까지 지원되는지 확인할 필요가 있다.이 때, 사용되는 용어가 EOS, EOL로 일반적으로 제품의 생산 중단을 선언할 때에는 EOS이고 공식 지원 중단을 선언할 때에는 EOL을 공지한다.제품을 생산 중단한다고 해서 공식 지원까지 같이 중단해버린다면 기존에 제품을 구매했던 사용자들의 불만이 높아지기 때문에 EOS 공지 이후 일정 기간을 둔 다음에 EOL을 공지하게 됩니다.H/W Product LifeCycleEOS (End of Sale)제조사에서 공식적으로 제품 생산을 더 이상 하지 않지만 파트너사에 남은 재고 물량이 있다면 구매할 수는 있습니다. 제품 생산만 중단한 것이며, 해당 제품에 ..
[용어/개념] PKI (Public Key Infrastructure) 특징/구조 및 전자 서명 공개키 기반의 인프라 구조, PKI의 개요가. PKI(Public Key Infrastructure)의 정의1) 인증기관(CA) 에서 공개키와 개인키를 포함하는 인증서(Certificate)를 발급받아 네트워크상에서 안전하게 비밀통신을 가능하게 하는 기반구조2) 공신력 있는 제3 인증기관에 의한 거래주체의 인증, 거래정보의 무결성과 기밀성, 거래의 부인방지 기능을 담당하는 공개키 기반의 인프라3) 공신력 있는 인증기관에서 사용자의 키와 인증서를 발급하고 관리함으로써 공중망에서 전자거래 시 상대방을 인증하고 데이터의 안전한 교환을 위한 공개키 기반 인프라나. PKI의 특징특징내용부인봉쇄- 상거래 당사자가 수행한 상거래 행위를 부인할 수 없도록 하는 기능- 전자서명 기술을 사용인증- 비대면 거래의 문제를 해..
[AWS] 클라우드 구현 모델(프라이빗/퍼블릭/하이브리드 클라우드) 비교 A. 프라이빗 클라우드1. 프라이빗 클라우드의 이점비용감소프라이빗 클라우드를 사용하면 워크로드의 효율성을 유지하며 IT 인프라 비용을 대폭 줄일 수 있습니다. 또한, 퍼블릭 클라우드 제공업체가 제공하지 않는 기능도 지원합니다. 효율성과 제어클라우드 벤더는 기업별 환경을 생성하기 위해 온사이트 데이터 센터 또는 타사에서 임대한 데이터 센터에 프라이빗 클라우드를 호스팅합니다. 이러한 인프라를 사용할 경우 데이터와 인프라를 보다 확실히 제어하면서 필요한 경우 즉시 개입할 수 있습니다.커스텀기술 및 비즈니스 요구 사항은 각각의 상호 작용에 따라 다르며 비즈니스 목표, 회사 규모 및 산업에 좌우됩니다. 프라이빗 클라우드에서는 네트워크 특성, 특정 스토리지와 같은 인프라 요소에 초점을 맞추고 개별 요구 사항을 충족..
[AWS] 클라우드 서비스 종류(IaaS, PaaS, SaaS) 비교 A. 클라우드 개요1. 클라우드란?클라우드란 언제나, 어느곳에서나 원하는 만큼의 IT 리소스를 손쉽게 사용할 수 있게 하는 서비스입니다. 이러한 클라우드 컴퓨팅 환경이 널리 보급 되면서 기업체에서는 온프레미스 IT 솔루션 대신 aaS(as-a-Service) 형태로 제공되는 소프트웨어, 플랫폼, 컴퓨팅 인프라로  전환하기 시작했습니다. 클라우드의 서비스 종류는 IaaS, Paas, SaaS가 있습니다.  2. aaS(as-a-Service)란? 서드파티 벤더(AWS, Google, 등등)가 제공하는 클라우드 컴퓨팅 서비스를 의미합니다.  3. 클라우드의 이점클라우드를 사용하게 되면 기업은 주요 비즈니스 기능, 고객 관계 등 더 중요한 업무에 집중할 수 있습니다. 이 3가지 클라우드 컴퓨팅 모델 각각에서는..
[용어/개념] 암호 시스템 특성/구성 및 암호화 알고리즘(DES,SEED,AES,ARIA) 비교 정리 I. 데이터 안전한 교환과 저장을 위한 보안 알고리즘, 암호화의 개요가. 암호화(Cryptography)의 정의메시지의 내용이 불명확하도록 평문(Plain text)재구성하여 암호화된 문장 (Cipher text)으로 만드는 과정나. 암호화의 특성특 성기 능적용 기술인증(Authentication)PKI 사용자에 대한 신원 확인 기능인증서기밀성(Confidentiality)송/수신자 이외는 송신내용 인지불가암/복호화무결성(Integrity)정보의 조작 및 변경 여부 확인해쉬함수부인봉쇄(Non-repudiation)송수신자의 송수신 사실 부인 봉쇄전자서명가용성(Availability)정합한 요구시 서비스 제공암호/인증 II. 암호 시스템가. 암호화/복호화 개념도- 침해자는 암호키가 없기 때문에 암호문을 파..
[용어/개념] IPsec 개념 및 프로토콜(AH/ESP/IKE) 종류 비교 정리 Secure ProtocolsTCP/IP 5계층의 보안 프로토콜 1) Application Layer - HTTPS, SSH, PGP, S/MIME 2) Transport Layer - SSL/TLS 3) Network Layer - IPsec, VPN 4) Data Link Layer - L2TP =>  IPsec 는 네트워크 계층의 보안 프로토콜 중 하나   IPsec IPsec는 Internet Protocol Security의 약자이다.Network layer에서 IP패킷을 암호화하고 인증하는 등의 보안을 위한 표준이다.안전한 인터넷 프로토콜(IP) 통신을 위한 인터넷 프로토콜들의 모음이다.IPSec가 제공하는 보안 서비스의 범위는 호스트나 보안게이트웨이 사이이다.VPN을 구현하는데 사용되는 프로..
[FCF] Fortinet Certified Fundamentals 정보 및 취득 후기 Fortinet 사의 기존 NSE 자격 단계에서 2023년 말 변경된 자격 증명의 여러 단계 중 가장 기초가 되는 Fortinet Certified Fundamentals(FCF)를 취득하고 그 후기를 적어보았습니다. 일단, 위의 Description 과 자격 요건을 보면 알듯이, entry-level 단계로 cybersecurity에 관심이 있거나 이해가 필요한 분들은 온라인 Lesson 을 듣고, 퀴즈를 통과하여 취득할 수가 있습니다. 해당 과정은  1Core + 2 Elective 과정으로 구성되어있고, 취득 기준은 1 Core + 1 Elective Course 통과입니다.Core Exams - Introduction to the Threat Landscape (통과)Elective Exams -..
[FCF] Cybersecurity 2.0 - Lesson 15 : SASE (Quesion&Answer) Q. What are two benefits of SASE? (Choose two) Select one or more: - Limits “Bring-Your-Own-Device” behavior in the organization - Optimized paths for all users to all clouds to improve performance and agility - Consistent security for mobile workforces - Limits the number of remote off network users connecting to cloud-based applications  - Shift from operating expense to capital expense Q. Wha..
[FCF] Cybersecurity 2.0 - Lesson 15 : SASE(Secure Access Service Edge) A. SASE 개요1. SASE란? SASE는 네트워킹 및 네트워크 보안 기능을 단일 클라우드 서비스로 결합하는 네트워크 보안 접근법입니다. SASE와 기존 네트워크 보안의 주된 차이점은 SASE의 경우 보안 정책을 적용하기 위해 모든 트래픽을 데이터 센터로 다시 라우팅하는 대신 사용자와 엔드포인트가 연결되는 네트워크 엣지에 더 가깝게 보안 기능과 기타 서비스를 제공한다는 것입니다. SASE 모델은 네트워크 보안을 강화하고, 네트워크 성능 관리를 간소화하고, 전반적인 사용자 경험을 향상할 수 있는 잠재력이 큽니다.디지털 혁신을 추구하고 클라우드 환경, 엣지 컴퓨팅, 재택 근무 또는 하이브리드 업무 수행 모델을 도입하는 조직이 증가하면서, 기존의 네트워크 경계 외부에서 업무를 수행하는 사용자와 IT 리소스..
[FCF] Cybersecurity 2.0 - Lesson 14 : Cloud Service Models (Quesion&Answer) Q. Complete the sentence. Cloud computing is the practice of Select one: - building LANs comprised of virtual servers and connected by routers to form a virtual WAN. - connecting various computers and other network devices together using switches and routers. - using a network of remote servers hosted on the internet to store, manage, and process data.- simultaneously running multiple datacenter..

티스토리툴바