26회 정보보안기사 실기시험 문제분석(모범답안, 고득점 포인트)[출처] 26회 정보보안기사 실기시험 문제분석(모범답안, 고득점 포인트)|작성자 온계절

[단답형]

1. 리눅스에서 패스워드 최소 길이를 8자리 이상으로 설정하려고 한다. 패스워드 설정을 위한 파일명(A)과 설정 내용(B,C)을 기술하시오.

#cat /etc/ ( A )

( B ) ( C )

(답) login.defs, PASS_MIN_LEN, 8

* 수험서에 포함되어 있는 기본 토픽이고 기출문제(24회)로도 출제된 바 있습니다. 3점 모두 얻어야 합니다.

​

2. 무선 네트워크에서는 다중 접속시 상호 충돌을 회피하기 위하여 CSMA/CA 프로토콜을 사용한다. 이 경우, 타임아웃 설정은 어느 신호에 포함되는지 보기에서 2개를 선택하여 답하시오.

(보기) CTS, DATA, RST, SYN, ACK, RTS

(답) RTS, CTS

* 수험서에는 CSMA/CA의 기본 개념만 포함되어 있어 맞추기 어려운 문제 였습니다. 하지만, 보기가 제시되었기에 유추하여 부분점수 1점 정도는 맞춰볼 수는 있는 문제였습니다.

* 참고로 CSMA(Carrier Sense Multiple Access)/CA(Collision Avoidance)은 무선 네트워크에서 충돌을 회피하기 위한 프로토콜입니다. 유선 네트워크는 프레임을 전송하고 나서 전위의 변화로 충돌을 감지(CSMA/CD:Collission Detection)할 수 있으나, 무선 네트워크는 공기중으로 전송하기 때문에 충돌을 감지할 수 없어, 상대노드에게 현재 수신 받을 수 있는 상황인지 물어보고(RTS:Request to Send), 수신받을 수 있으니 보내라는 응답(CTS:Clear To Send)을 받고 프레임을 전송함으로서 충돌을 회피(CA)하는 메카니즘으로 동작합니다.

* 참조 : CSMA/CA (ktword.co.kr)

​

3. Domain Name(URL) 에 대한 IP정보를 찾아주는 DNS는, 먼저 클라이언트 영역에 위치한 ( A ) DNS 서버에 질의하여 IP정보를 찾고, 없으면 ( B ) DNS서버에 추가로 요청하여 IP정보를 찾는다.

(답) Recursive (Cache), Authoritive

​* 수험서에 있는 내용이나, 이 정도까지 깊게 공부하신 분들은 드물것으로 예상됩니다. DNS 스푸핑시 많이 언급되는 Cache DNS 는 답변하여 최소 1점 이상은 얻어야 하는 문제 입니다.

​

4. 공격자가 HTTP 패킷의 헤더(Content-Length, Transfer Encoding: Chunked 등)를 변조하여 일반 사용자가 접근할 수 없는 Back-end 서버로 직접 보내 중요 정보 획득, XSS 공격유도, 서버 웹 캐시 포이즈닝 등을 수행하는 공격 기법을 무엇이라 하나?

(보기) XSS, CSRF, SQL Injection, HTTP request smuggling

(답) HTTP request smuggling

* 신규로 출제되었고, 수험서에서도 다루어지지 않은 공격 기법입니다. 하지만, 보기에 제시된 나머지 기법들이 모두 정답이 아님을 쉽게 알 수 있기 때문에 3점 획득이 충분히 가능한 문제 입니다.

* 참조 : HTTP request smuggling 개념 정리 및 실제 공격 (velog.io)

​

5. 침입 탐지 시스템에서 공격이 아닌데 공격이라고 오판하는 것을 ( A )라 하고, 공격인데 공격이 아니라고 오판하는 것을 ( B ) 라고 한다.

(답) 오탐(False Positive), 미탐(False Negative)

* 수험서와 기출에서 모두 다루어진 문제입니다. 3점 모두 얻어야 합니다.​

* 참고로 공격인데, 공격이라고 정확히 판정한 것을 True Positive라 하며, 공격이 아닌데, 공격이 아니라고 정확히 판정한 것을 True Negative라고 합니다.​

​

​6. XML 문서를 조회하는 기능을 구현해야 하는 경우 XML 쿼리에 사용되는 파라미터는 반드시 XML 쿼리를 조작할 수 없도록 필터링해서 사용하거나, 미리 작성된 쿼리문에 입력값을 자료형에 따라 바인딩해서 사용해야 한다. 관련하여 다음은 SW 설계시 고려해야할 사항이다. ( )에 들어갈 용어를 기술하시오.

(ㄱ) ( A ) 컴포넌트를 이용한 입력값 필터링 : 외부입력값에서 XML삽입 공격이 가능한 문자열들을 필터링하는 Validator 컴포넌트를 개발하여 XML조회를 수행하는 애플리케이션 작성시 입력값에 대한 검증 작업이 일괄 적용되도록 설계한다.

(ㄴ) 개별 코드에서 입력값 ( B ) 하도록 시큐어코딩 규칙 정의 : 각각의 컴포넌트에서 입력값에 대해 XML삽입을 발생시킬 수 있는 문자열(“, [, ], /, =, @ 등)을 제거 또는 안전하게 치환하여 사용할 수 있도록 시큐어코딩 규칙을 정의한다.

(ㄷ) 안전한 ( C ) 를 사용하도록 시큐어코딩 규칙 정의 : XML 조회를 수행하는 쿼리문 작성시 외부입력값이 쿼리문의 구조를 바꿀 수 없는 ( C ) (예. Java API‐ XQuery) 를 사용하도록 시큐어코딩 규칙을 정의한다.

(답) 공통 검증, 필터링, API

* 지난 회차에 이어 SW 보안 약점 진단 가이드에서 연속 출제되었습니다. 수험서에는 없는 내용이나, 문제 지문을 통해 유추하여 1~2점 획득은 가능한 문제 입니다.

​

7. 공격자들이 표적으로 삼은 조직 네트워크망에 침투한 후 오랜 기간 탐지를 회피하여 정보를 수집해 빼돌리는 고도의 지능형 표적 공격을 무엇이라 하나?

(답) APT(Advanced Persistent Threat)

* 수험서와 기출에서 모두 다루어진 문제입니다. 3점 모두 얻어야 합니다.

​

8. 공격자가 자신의 TCP 윈도우 사이즈를 0으로 설정한 후 다수의 HTTP 패킷을 송신하여 웹서버가 정상적으로 응답하지 못하도록 만드는 공격 기법을 무엇이라 하나?

(답) Slow Read Attack

* 수험서에는 Slow HTTP Read Dos로 설명된 내용이나 보기에는 Slow Read attack으로 제시되었습니다. 기본 토픽이므로, 3점 모두 얻어야 합니다.

​

9. XSS 취약점 유형에 대한 설명이다. ( )안에 들어갈 용어를 기술하시오.

(1) ( A ) : 공격자의 입력 값이 서버에 저장되지 않고 HTTP 응답에 그대로 포함되도록 허용되는 경우, 사용자가 공격자가 전달한 악의적인 링크에 접속할 때 발생

(2) ( B ) : 서버가 충분한 검증 없이 공격자로 부터 입력받은 값을 저장한 뒤 다른 사용자에게 표시해 줄 때 발생

(3) ( C ) : 스크립트(일반적으로 자바스크립트)가 DOM 을 제어하는 과정을 공격자가 조작 가능할 때 발생

(답) Reflected XSS, Stored XSS, DOM based XSS

* 수험서에 있는 내용이며 기본 토픽입니다. 3점 모두 얻어야 합니다.

​

10. 침입탐지 시스템에는 호스트 컴퓨터의 내부 상태 또는 저장된 로그를 분석하여 침입을 탐지하는 ( A ), 통신망을 통해 전송되는 패킷 데이터를 분석하여 침입 여부를 판정하는 ( B ) 가 있다.

(답) HIDS(호스트기반 IDS), NIDS(네트워크기반 IDS)

* 수험서와 기출에서 모두 다루어진 기본 토픽 입니다. 3점 모두 얻어야 합니다.

​

11. 위험을 구성하는 요소에 대한 설명이다. ( )에 들어갈 용어를 기술하시오.

( A ) : 조직 내에서 가치를 가지고 있는 모든 것으로 보호해야 할 대상

( B ) : 자산에 손실을 초래할 수 있는 원치 않는 사건의 잠재적인 원인 또는 행위자

( C ) : 위협의 이용 대상이 되는 자산의 잠재적인 약점

(답) 자산(Asset), 위협(Threat), 취약성 or 취약점(Vulnerability)

* 수험서와 기출에서 모두 다루어진 문제입니다. 3점 모두 얻어야 합니다.

​

12. ( A ) 는 조직의 자산에 대한 위험을 감수할 수 있는 수준으로 유지하기 위하여, 위험을 분석하고, 비용대비 효과적인 대책을 마련하는 일련의 과정이다. ( A )의 단계는 ( B ), 위험 평가, ( C ) 이다.

( B ) 는 잠재적으로 식별된 위험이 조직의 목표 및 운영에 미칠 가능성과 잠재적 영향을 분석하는 단계이다.

( C ) 는 식별된 위험을 완화, 이전, 수용 또는 방지하기 위한 위험 처리 방안을 결정하는 단계이다.

(답) 위험관리, 위험분석, 위험 처리(보호대책 선정)

* 정보보안 = 위험 관리라고 할 만큼 실무에서도 중요하게 다루어지고 있습니다. 기본토픽이자 기출문제이므로, 3점 모두 얻어야 합니다.

​

[서술형]

13. 사용자가 윈도우 명령 처리기(cmd.exe)를 실행하려고 할 때 다음과 같이 사용자 계정 콘트롤(UAC) 팝업창이 표시되었다. 관련하여 질문에 답하시오.

[사용자 계정 콘트롤 팝업창]

-----------------------------------------------------------------------------------------

다음 프로그램이 이 컴퓨터를 변경할 수 있도록 허용하시겠습니까?

- 프로그램 이름 : Windows 명령 처리기

- 확인된 게시자 : Microsoft Windows

- 파일 일원본 : 이 컴퓨터의 하드 드라이드

-----------------------------------------------------------------------------------------

계속 하려면 관리자 암호를 입력하고 [예]를 클릭하십시오.

* [예 버튼]은 비활성화 상태이고 [아니오 버튼]만 활성화되어 있음 .

1) 사용자가 윈도우 명령 처리기를 실행한 의도는 무엇인가?

2) 사용자 계정 콘트롤 팝업창에서 [예 버튼]이 비활성화된 이유는 무엇인가?

(답)

1) 윈도우 명령 처리기를 관리자 권한으로 실행하여, 사용자의 현재 권한으로 실행할 수 없는 명령어를 처리하기 위함이다.

2) 윈도우 관리자 계정이 정상이 아닌 경우(비활성화, 삭제) 또는 윈도우 시스템 파일이 손상된 경우

* 수험서와 기출문제에서 다루어지지 않는 신규 문제입니다. 상식으로 접근이 필요한데, [예 버튼]이 비활성화된 이유를 정확히 기술하기는 어려웠을 것 같습니다. 문제의 정확한 출제 배경도 궁금하네요. 하지만, 5~6점 부분점수라도 얻어내겠다는 마음을 가져야 합니다.

* 참고로, UAC는 윈도우 보안의 핵심으로, 관리자 권한으로 실행되는 악성코드를 차단하여 컴퓨터를 보호하는 역할을 합니다.

​

14. 개인정보 처리가 수반되는 사업 추진 시 해당 사업이 개인정보에 미치는 영향을 사전에 분석하고 이에 대한 개선방안을 수립하여 개인정보 침해사고를 사전에 예방하기 위하여 개인정보 영향 평가를 수행한다. 개인정보 영향 평가 수행 시 고려해야 할 사항 5가지를 기술하시오.

(답)

1. 처리하는 개인정보의 수 (개보법)

2. 개인정보의 제3자 제공 여부 (개보법)

3. 정보주체의 권리를 해할 가능성 및 그 위험 정도 (개보법)

4. 민간정보 또는 고유식별정보의 처리 여부 (개보법 시행령)

5. 개인정보 보유기간 (개보법 시행령)

* 개인정보보호법 제 33조(개인정보 영향평가) 및 개인정보 보호법 시행령 제37조(영향평가 시 고려사항)에 기술된 사항을 묻는 질문입니다. 수험서에서 다루어진 내용이고, 기출문제(필기)로도 출제된 바가 있어서 6~7점은 얻어야 하는 문제입니다.

​

15. 시스템 로그 점검 중 다음과 같은 로그가 발견되었다. 관련하여 다음 질문에 답하시오.

[로그]

device eth0 entered Promiscuous mode

1) Promiscuous mode의 의미는?

2) 해당 모드로 진입 시 수행 가능한 공격은?

3) 공격에 대응할 수 있는 방법은?

(답)

1) 네트워크 카드의 eth0 인터페이스로 들어오는 모든 패킷을 수신하게 됨(목적지가 해당 인터페이스로 설정된 패킷이 아니더라도 drop하지 않고 모두 읽게 됨)

2) 패킷의 내용을 훔쳐보는 스니핑 공격이 가능함

3-1) 통신 시 SSH, HTTPS와 같은 암호화 통신 수행

3-2) 허브가 아닌 지능형 스위치 운용을 통하여 불필요한 브로드캐스팅 최소화

3-3) ifconfig eth0 -promic 설정으로 무차별 모드 해제

3-4) 스니핑 탐지 도구(**)를 이용하여 스니핑 발생여부 지속 점검

​* 19회 기출문제와 동일한 문제가 출제되었습니다. 따라서, 12점 모두 획득할 수 있어야 합니다.

** 어떤 단말이 무차별 모드로 실행 중인지 확인할 수 있는 도구로는 MS의 PromqryUI 와 NMAP의 스크립트 엔진 등을 이용할 수 있습니다. 또한 스니핑을 탐지하는 방법(Ping, ARP, DNS 이용)은 계속 문제로 출제되고 있으니 이번 기회에 다시 한번 복습해 보시면 좋겠습니다.

​

16. XSS(Cross Site Script) 공격의 정의와 공격 기법 2가지를 설명하시오.

(답)

1) XSS 공격 정의 : 웹페이지에 악의적인 스크립트를 포함시켜 사용자 측에서 실행되도록 유도함으로써 이득을 취하는 공격

2) XSS 공격 기법 2가지

2-1) Reflected XSS : 검색 결과, 에러 메시지 등을 통해 서버가 외부에서 입력받은 악성 스크립트가 포함된 URL 파라미터 값을 사용자 브라우저에서 응답하도록 허용할 때 발생한다. 공격 스크립트가 삽입된 URL을 사용자가 쉽게 확인할 수 없도록 변형하여, 이메일, 메신저, 파일 등을 통해 실행을 유도하는 기법이다.

2-2) Stored XSS : 웹 사이트의 게시판, 코멘트 필드, 사용자 프로필 등의 입력 Form을 통해 악성 스크립트를 삽입하여 DB 저장한다. 이후 사용자가 사이트를 방문하여 저장된 페이지(예:게시글)를 열람할 때, 저장된 악성 스크립트가 로딩되어 사용자 브라우저에서 실행되도록 하는 기법이다.

2-3) DOM based XSS : 외부에서 입력받은 악성 스크립트가 포함된 URL 파라미터 값이 서버를 거치지 않고, DOM 생성의 일부로 실행되면서 공격이 이루어진다.

* 단답형 문제가 서술형으로 확장되어 출제되었습니다. 공격 기법은 3개 중 자신 있는 2개를 선택하여 답하면 됩니다. 단답형의 지문을 참조할 수 있고, 기본 토픽이므로 12점 모두 얻어야 합니다.

​

​[실무형]

17. 데이터 베이스 권한 관리가 미흡한 경우, 비인가자가 DB에 접근하여 정보 유출, 훼손, 파괴 등 악의적인 행위가 이루어질 수 있다. 1) DBA가 일반사용자 또는 원격 사용자에게 부여하면 안 되는 권한 3가지와 2) 접근권한을 최소화할 수 있는 방법 4가지를 기술하시오.

(답)

1) 일반 사용자 또는 원격 사용자에게 부여하면 안 되는 권한(오라클 예시)

1-1) CREATE USER : 사용자를 생성할 수 있는 권한

1-2) DROP USER : 사용자를 삭제할 할 수 있는 권한

1-3) DROP ANY TABLE : 모든 테이블을 삭제할 수 있는 권한

1-4) BACKUP ANY TABLE : Export 유틸리티를 사용해서 임의의 테이블을 백업할 수 있는 권한

​

2) 접근권한 최소화 방법

2-1) 원격에서 DB 서버로의 접속을 지정된 IP에서만 가능하도록 제한

2-2) DBA외에 인가되지 않은 사용자가 시스템 테이블에 접근할 수 없도록 설정

2-3) 응용프로그램 또는 DBA 계정의 Role 이 Public으로 설정되지 않도록 설정

2-4) OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로 설정

2-5) 데이터베이스에 대해 최신 보안패치와 벤더 권고사항을 모두 적용

* 신규 문제로 주요정보통신기반시설 기술적 취약점 분석 평가 방법 가이드에 답을 유추할 수 있는 내용들이 담겨 있습니다. 본 문제를 대비하여 학습하신 분들은 드물 것이라 판단되며, 대부분의 수험생분들은 18번 문제를 선택하셨을 것 같습니다.

​

18. 아래 취약점 점검 결과를 기반으로, 다음 물음에 답하시오.

[취약점 점검 결과]

# openssl version -a

OpenSSL 1.0.1 14 May 2012

​

#openssl s_client -connect domain.com:8443 -tlsextdebug -debug -state | grep -i heatbeat

SSL_connect:before SSL initialization

SSL_connect:SSLv3/TLS write client hello

SSL_connect:SSLv3/TLS read server hello

TLS server extension "heartbeat" (id=15), len=1

....................

1) 취약점 명은?

2) 시스템적으로 해당 취약점을 조치하는 방법은?

3) 서비스적으로 해당 취약점을 조치하는 방법은?

(답)

1) 하트블리드(Heart Bleed)

2-1) OpenSSL 버전을 취약점이 패치된 상위 버전(예:1.0.1g)으로 업데이트

2-2) 운영 환경의 특수성으로 인하여 패키지 형태의 업데이트가 어려운 경우, Heartbeat를 사용하지 않도록 컴파일 옵션을 설정하여 재컴파일

3-1) 서버측 SSL 비밀키가 유출되었을 가능성이 있으므로, 서버 인증서 재발급 검토

3-2) 취약점 조치 완료 후 사용자들의 비밀번호 재설정을 안내하여 탈취된 계정을 악용한 추가 피해 방지

​​* 수험서에 포함된 기본 토픽으로, 최소 10점 이상 얻을 수 있어야 합니다. 참고로 네트워크 보안 장비 측면 대응 방안으로 침임탐지시스템 및 침입차단 시스템에 패턴 업데이트(Snort Rule)를 하여 대응하는 방안도 있습니다. 하트 블리드를 탐지하는 Snort Rule 문제는 13회 실기 시험에서도 출제된 바 있습니다.

* 참조 : 세계 최고의 인터넷 전문기관 (kicassl.com)

[출처] 26회 정보보안기사 실기시험 문제분석(모범답안, 고득점 포인트)|작성자 온계절