보안 위협의 구체적인 형태 기출위주 정리

--- 중요도★★★ ---

 

★★★ Zero Day Attack (제로 데이 공격)

보안 취약점이 발견되었을 때 그문제의 존재 자체가 널리 공표되기도 전에 해당 취약점을 악용하여 이루어지는 보안 공격으로, 공격의 신속성을 의미한다. 일반적으로 컴퓨터에 취약점이 발견되면 제작자나 개발자가 취약점을 보완하는 패치를 배포하고 사용자가 이를 내려받아 대처하는 것이 관례이나, 이것은 대응책이 공표되기 전에 공격이 이루어지기 때문에 대처 방법이 없다.

 

★★★ Typosquatting (타이포스쿼팅)

네티즌들이 사이트에 접속할 때 주소를 잘못 입력하거나 철자를 빠뜨리는 실수를 이용하기 위해 이와 유사한 유명 도메인을 미리 등록하는 것으로 URL 하이재킹(Hijacking)이라고도 한다. 유명 사이트들의 도메인을 입력할 때 발생할수 있는 온갖 도메인 이름을 미리 선점해 놓고 이용자가 모르는 사이에 광고 사이트로 이동하게 만든다.

 

★★★ APT (Advanced Persistent Threats, 지능형 지속 위협)

다양한 IT 기술과 방식들을 이용해 조직적으로 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤 때를 기다리면서 보안을 무력화시키고 정보를 수집한 다음 외부로 빼돌리는 형태의 공격을 말한다. 공격 방법에는 내부자에게 악성코드가 포함된 이메일을 오랜 기간 동안 꾸준히 발송해 한 번이라도 클릭되길 기다리는 형태, 스턱스넷(Stuxnet)과 같이 악성코드가 담긴 이동식 디스크(USB) 등으로 전파하는 형태, 악성코드에 감염된 P2P 사이트에 접속하면 악성코드에 감염되는 형태 등이 있다.

 

★★★ Pharming (파밍)

합법적으로 소유하고 있던 사용자의 도메인을 탈취하거나 DNS 이름을 속여 사용자들이 진짜 사이트로 오인하도록 유도하여 개인 정보를 훔치는 신종 인터넷 사기 수법이다. 피싱이 금융 기관 등의 웹 사이트에서 보낸 이메일로 위장하여 링크를 유도해 개인의 인증 번호나 신용카드 번호, 계좌 정보 등을 빼내는 반면, Pharming은 아예 해당 사이트가 공식적으로 운영하고 있는 도메인 자체를 탈취한다. 사용자들은 늘 이용하는 사이트로 인식하여 의심하지 않고 개인 ID, 패스워드, 계좌 정보 등을 노출하는 것이 특징이다.

 

★★★ Social Engineering (사회 공학)

컴퓨터 보안에 있어서, 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상 보안 절차를 깨트리기 위한 비기술적 시스템 침입 수단을 말한다. 우선 통신망 보안 정보에 접근 권한이 있는 담당자와 신뢰를 쌓고 전화나 이메일을 통해 그들의 약점과 도움을 이용하는 것이다. 상대방의 자만심이나 권한을 이용하는 것, 정보의 가치를 몰라서 보안을 소호히 하는 무능에 의존하는 것과 도청 등이 일반적인 Social Engineering적 기술이다.

 

★★★ 스턱스넷 (Stuxnet)

독일 지멘스사의 원격 감시 제어 시스템 (SCADA)의 제어 소프트웨어에 침투하여 시스템을 마비하게 할 목표로 제작된 악성코드이다. 원자력 발전소와 송 배전망, 화학 공장, 송유 가스관과 같은 산업기반 시설에 사용되는 제어 시스템에 침투하여 오동작을 유도하는 명령 코드를 입력해서 시스템을 마비시킨다.

 

★★★ 살라미 (salami) 기법

장기간 보관하여 두고 조금씩 얇게 썰어서 먹는 이탈리아 소시지에서 따 온 말로, 많은 대상으로부터 눈치 채지 못할 만큼의 적은 금액이나 양을 빼내는 컴퓨터 사기 기법을 의미한다.

 

★★★ 다크 데이터 (Dark Data)

수집된 후 저장은 되어 있지만 분석에 활용되지 않는 다량의 데이터를 의미한다. 다크 데이터는 향후 사용될 가능성이 있다는 이유로 삭제되지 않아 공간만 차지하고 있으며, 보안 위협을 초래하기도 한다.

 

★★★ 블록체인 (Blockchain)

P2P 네트워크를 이용하여 온라인 금융 거래 정보를 온라인 네트워크 참여자(peer)의 디지털 장비에 분산 저장하는 기술을 의미. p2p 네트워크 환경을 기반으로 일정 시간 동안 반수 이상의 디지털 장비에 저장된 거래 내역을 서로 교환 확인 승인하는 과정을 거쳐, 디지털 서명으로 동의한 금융 거래 내역만 하나의 블록으로 만든다. 이렇게 생성된 블록은 기존의 블록체인에 연결되고, 다시 복사되어 각 사용자의 디지털 장비에 분산 저장된다. 이로 인해 블록체인은 기존 금융 회사들이 사용하고 있는 중앙 집중형 서버에 거래 정보를 저장할 필요가 없어 관리 비용이 절감되고, 분산 저장으로 인해 해킹이 난해해짐에 따라 보안 및 거래 안전성도 향상된다. 비트코인이 블록체인의 가장 대표적인 예이며, 주식 부동산 거래 등 다양한 금융거래에 사용이가능하고, 현관 키 등의 보안과 관련된 분야에도 활용될 수 있어 크게 주목 받고 있다.

 

★★★ OWASP (the Open Web Application Security Project, 오픈 웹 애플리케이션 보안 프로젝트)

웹 정보 노출이나 악성 코드, 스크립트, 보안이 취약한 부분을 연구하는 비영리 단체. 2001년 9월9월 Mark Curphey에 의해 설립, 2004년을 시작으로, 7,10,13,17년에 각각 10대 웹 애플리케이션의 취약점을 Top Ten 이라는 이름으로 발표하고 문서도 공개. 10대 웹 애플리케이션 취약점은 보안이 취약한 부분 중에서도 빈도가 잦고, 보안에 미치는 영향이 큰 것을 기준으로 선정한 것.

 

 

★★★그레이웨어 (gratware)

제공하는 입장에서는 악의적이지 않은 유용한 소프트웨어라고 주장할 수 있지만 사용자 입장에서는 유용할 수 도있고 악의적일 수도 있는 애드웨어, 트랙웨어, 기타 악성 코드나 악성 공유웨어를 말한다. 정상적인 소프트웨어의 이미지인 백색과 악성 소프트웨어의 이미지인 흑색의 중간에 해당한다고 하여 이러한 명칭으로 불리게 되었다.

 

★★★ DDos (Distributed Denial of Service, 분산 서비스 거부 공격)

분산 서비스 거부 공격은 여러 대의 장비를 이용하여 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써, 특정 서버의 정상적인 기능을 방해하는 것을 말한다. 표적이 되는 서버는 데이터의 범람으로 결국 시스템의 가동이 멈추게 된다.

 

★★★ 스니핑 (Sniffing)

네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나로 수동적 공격에 해당한다. 네트워크 내의 패킷들은 대부분 암호화되어 있지 않아 스니핑 같은 해킹 기법에 이용당하기 쉽기 때문에 이를 보완하는 여러 기법이 개발 되고 있다.

 

 

--- 중요도★★ ---

 

★★ Cyber Bullying (사이버 협박)

개인이나 집단이 인터넷에서 상대에게 나타내는 적대 행위를 말한다. 전자 우편, 문자 메시지, 인터넷 메신저 따위로 모욕이나 위협을 주는 메시지를 보내거나, 소문을 퍼뜨리고, 모욕적인 사진을 공개하여 누군가를 괴롭히는 행위이다.

 

★★ Ransomware (랜섬웨어)

미국에서 발견된 스파이웨어 형태의 신종 악성 프로그램이다. 인터넷 사용자의 컴퓨터에 잠입해 내부 문서나 파일 등을 임의로 암호화해 사용자가 열지 못하도록 만든 후 암호 해독용 프로그램의 전달을 조건으로 사용자에게 돈을 요구 하기도 한다.

 

--- 중요도★ ---

 

★ 디지털 발자국 (Digital Footprint)

사람들이 온라인 활동을 하면서 남긴 로그인 정보, 결제 정보, 결제 방법, 구매 이력, SNS , E-mail 등의 다양한 디지털 기록 또는 흔적을 말한다. 이러한 디지털 발자국을 토대로 기업들은 고객 맞춤형 광고나 판촉이 가능하지만, 개인 정보 유출에 대한 피해 사례가 많아지고 개인 정보 보호에 대한 인식이 높아지면서 논란의 대상이 되고 있다. 최근에는 디지털 발자국을 지워주는 전문업체도 등장하였다.

 

★ Zeus

사용자의 온라인 뱅킹 계정 정보를 탈취하기 위해 개발된 상용 멀웨어이다. 2007년 러시아에서 개발된 것으로 추정되는 Zeus는 주로 이메일 등을 통해 전파되며, 감염된 컴퓨터는 사용자의 모든 키보드 입력 정보를 지정된 곳으로 보낸다.

 

★ Patent Troll (특허 괴물)

특허권을 비롯한 지적 재산권을 통해 로열티 수입만으로 이익을 창출하는 특허 관리전문 기업을 말한다. 실제로 제품을 만드는 회사가 아니므로 자신들이 보유한 특허로 다른 회사를 공격할 수는 있지만 다른 회사가 이들을 공격하여 피해를 줄 수있는 방법이 없다는 점을 악용하여 수익을 창출한다.

 

★ 악성 소프트웨어 (Malware; Malicious Software)

악의적인 목적을 위해 작성된 것으로 악성 코드(Malicious Code) 또는 악성 프로그램(Malicios Program) 등으로 불린다. 실행 가능한 코드에는 프로그램, 매크로, 스크립트 뿐만 아니라 취약점을 이용한 데이터 형태도 포함된다. 악성 소프트웨어는 광범위한 개념이며 자기 복제 능력과 감염 대상 유무에 따라 바이러스, 웜, 트로이 목마, 스파이웨어 등으로 분류된다. 최근의 악성 소프트웨어는 첨부파일을 열어 보거나, 소프트웨어를 다운받아 설치하는 종래의 통념을 벗어나 단지 검색 페이지의 링크나 이미지를 클릭하기만해도 원치 않는 소프트웨어가 설치되거나, 시스템이 하이재킹 당할 수 있어 주의를 요한다.

 

★ Ping of Death (죽음의 핑)

인터넷 프로토콜 허용 범위(65,536 바이트) 이상의 큰 패킷을 고의로 전송하여 발생한 서비스 거부 공격이다. 공격자의 식별 위장이 용이하고 인터넷 주소 하나만으로 공격이 가능하다. jolt, sPING, ICMP bug, IceNewk 등의 변종 공격에 대비하여 방화벽을 사용해 인터넷 제어 미시지 프로토콜(ICMP) 핑 메시지를 차단하는 기술이 개발되었다.

 

★ 사이버 스토킹 (Cyber Stalking)

정보 통신망을 이용해 악의적인 의도로 지속적으로 공포감이나 불안감 등을 유발하는 행위. 사이버 스토킹이 성립하려면 악의적인 행위가 정보통신망을 통해 이루어져야 하고 상대방의 의사와 관계없이 의도적, 반복적, 지속적으로 이루어져야 하며, 통상적인 판단력을 가진 사람이면 누구나 자신 또는 가족의 생명이나 신체의 안전에 위협을 느낄만한 내용이 있어야 한다.

 

★ 반달리즘 (Vandalism)

다수가 참여할 수 있도록 공개된 문서의 내용을 훼손하거나 엉뚱한 제목으로 변경하고 낙서를 하는일. 유럽 중세시대의 민족이동 당시에 악평이 자자하던 반달족의 무자비한 로마문화 파괴 및 약탈 행위를 비유하는 말.