[기출] 정보보안기사 24년 2회차 실기 복원 (feat. 정보기 26회)

0. 들어가기

- 난이도 : 안정적?? 기본에 충실했다면, 합격!!!
- 아래 내용은 실제 문제와 차이가 있을 수 있습니다. 아래 내용은 참고하는 용도로 봐주시기 바랍니다.

[단답형]

1. 리눅스에서 패스워드의 최소 8자리로 정책을 지정하기 위한 파일명과 생성 방법은?

파일위치 : /etc/(A)
설 정 값  : (B) (C)

 
정답 : (A) login.defs (B) PASS_MIN_LEN (C) 8

 

2. CSMA/CA에서 타임아웃 설정이 어느 신호에 표기되는가? [보기]

보기 :  CTS, DATA, RST, SYN, ACK

 

정답 : (A) CTS(Clear to Send)와 (B) RTS (Request to Send)
해설 :

CSMA/CA 통신에서 타임아웃 설정은 주로 CTS(Clear to Send)와 RTS(Request to Send) 신호에 표기이 두 신호는 네트워크에서 데이터 충돌을 방지하기 위해 사용됩니다.

RTS (Request to Send): 송신 장치가 전송할 준비가 되었음을 수신 장치에 알리는 신호입니다.

CTS (Clear to Send): 수신 장치가 송신 장치에게 전송할 준비가 되었음을 알리고, 충돌을 방지하기 위해 다른 장치들이 일정 시간 동안 전송하지 말 것을 지시하는 신호입니다.

 

3. DNS 조회 시 IP에 해당하는 DNS를 자신의 영역에 (A) DNS서버에서 IP를 찾고 없으면 (B) DNS서버에서 찾는다.

** 후기마다 문제가 달라 추후 수정하겠습니다.

정답 : (A) 로컬(local), (B) 권한 있는(Authoritative)
해설 : 

로컬 DNS 서버: 이전에 조회된 DNS 정보를 캐시에 저장하고, 캐시된 정보가 있을 경우 이를 반환

권한 있는 DNS 서버(Authoritative DNS 서버): (B) DNS 서버는 권한 있는 DNS 서버입니다.

만약 로컬 DNS 서버의 캐시에 해당 정보가 없다면, 로컬 DNS 서버는 상위 DNS 서버로 쿼리를 보냅니다.

이 과정에서 먼저 루트 DNS 서버, 다음으로 TLD DNS 서버, 그리고 최종적으로 해당 도메인에 대한 권한 있는 DNS 서버에 조회 요청을 보냅니다. 

 

4. 공격자는 Content-Length와 Transfer-Encoding 헤더의 해석 차이를 악용하여 악성 HTTP 요청을 숨겨서 서버에 전달하는 공격입니다. 해당공격은? [보기]

정답 : HTTP Request Smuggling

 

5. IDS 장비들의 공격 행위 탐지 결과에 대한 설명이다. 아래 지문을 확인하여 알맞은 보기를 골라 쓰시오 [보기]

(A)： 공격 행위가 아닌 것을 공격 행위로 탐지하는 판정 오류
(B)： 공격 행위를 탐지하지 못하는 판정 오류
보기 : true positive, false positive, true negative, false negative

 

정답 : 오탐(false(false positive), 미탐(false negative)

 

6. XML 조회를 위한 질의문(XPath, XQuery 등) 생성 시 사용되는 입력값과 조회 결과에 대한 검증 방법(필터링 등) 설계하고 유효하지 않은 값에 대한 처리방법을 설계할 때 고려해야 할 사항에 대한 설명이다. 설명에 대한 내용을 확인하고 보기에서 찾아 쓰시오.

정답 및 보기

(A) 공통 검증 컴포넌트를 이용한 입력값 필터링
외부입력값에서 XML삽입 공격이 가능한 문자열들을 필터링하는 Validator 컴포넌트를 개발하여 XML조회를 수행하는 애플리케이션 작성 시 입력값에 대한 검증 작업이 일괄 적용되도록 설계한다.

(B) 필터 컴포넌트를 이용한 입력값 필터링
Filter컴포넌트에서 XML 삽입 공격에 활용될 수 있는 입력값(", L, 1, /, =, @)을 필터링하도록 작성하여 전체 요청 또는 XML필터링이 요구되는 요청에 대해 프레임워크에서 일괄 적용하도록 설계한다.

(C) 개별 코드에서 입력값 필터링하도록 시큐어코딩 규칙 정의
각각의 컴포넌트에서 입력값에 대해 XML삽입을 발생시킬 수 있는 문자열(", ", [,1,/=, @ 등)을 제거 또는 안전하게 치환하여 사용할 수 있도록 시큐어코딩 규칙을 정의한다.

(D) 안전한 API를 사용하도록 시큐어코딩 규칙 정의
XML 조회를 수행하는 질의문 작성 시 외부입력값이 질의문의 구조를 바꿀 수 없는 API(예. Java APIXQuery)를 사용하도록 시큐어코딩 규칙을 정의한다

 

7. 특정 대상을 겨냥해 다양한 공격 기법을 동원하여 장기간 지속적으로 공격하는 기법을 무엇이라 하는가? [보기]

정답 : APT(Advanced Persistent Threat)

8. 공격자가 다수의 HTTP 요청에 대한 서버 응답에 대해 조작된 'TCP Zero Window 패킷’을 천천히 지속해서 전송하여 HTTP 응답 데이터 수신을 지연시킴으로써 웹서버와의 연결을 장 시간 지속시켜 연결자원을 모두 소진시키는 형태의 도스(DoS) 공격 기법은? [보기]

정답 : Slow HTTP Read DoS

9. 다음은 XSS 공격기법에 대한 설명이다 설명에 맞는 XSS공격을 쓰시오

(A): 서버 응답으로 즉시 반사되어 실행되는 스크립트
(B): 서버에 영구적으로 저장되어 여러 사용자가 요청할 때마다 실행되는 스크립트
(C): 클라이언트 측에서 DOM을 조작하여 실행되는 스크립트

 

정답 : (A) 반사형 XSS (Reflected XSS) (B) 저장형 XSS (Stored XSS) (C) DOM 기반 XSS (DOM-based XSS)

10. 아래 IDS에 대한 설명을 확인하여 보기에서 골라 답하시오.

(A) 기반 IDS: 버퍼 오버플로우, 권한 상승 등의 내부 시스템 문제 탐지
(B) 기반 IDS: 방화벽과 일부 기능이 겹치며 네트워크 트래픽을 분석하여 공격 탐지

보기 : 호스트, 서버, 네트워크, 라우터 등

 

정답 : (A) 호스트 (B) 네트워크

11. 다음보기는 위험 관리의 구성 요소에 대한 설명이다. 빈칸 ( A ), ( B ), ( C )에 적절한 용어를 쓰시오.

( A ) ： 조직이 보호해야 할 대상으로 정보, 하드웨어, 소프트웨어, 시설 등을 말하며 관련 인력, 기업 이미지 등의 무형자산을 포함하기도 한다.
( B ) ： ( A )에 손실을 초래할 수 있는 원치 않는 사건의 잠재적 원인(source)이나 행위(agent)를 말한다.
( C ) ： ( A )의 잠재적 속성으로 ( B )의 이용 대상으로 정의하나 때로는 정보보호대책의 미비로 정의하기도 한다.

정답 : (A) 자산, (B) 위협, (C) 취약점

 

12. 다음 빈칸 ( A ), ( B ), ( C )에 적절한 용어를 쓰시오.

**아래 보기는 13회 기출입니다. 이번 시험에서는 유형은 같으나, 아래와 비슷한 문제로 나왔습니다.

조직이 필요로 하는 정보보호 요구사항들이 무엇인지를 분석하기 위해서 정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생 가능성 등을 평가하는 과정을 ( A )라고 한다. 이 과정의 결과를 통해 정보보호의 위협을 인식하고, 적절한 비용 이내에서 필요한 통제방안을 선택함으로써 위협을 적절히 통제하는 과정을 ( B )라고 한다. 또한, 선택된 통제의 목적과 통제방안이 무엇인지, 그리고 이렇게 선택한 이유 등을 문서로 정리한 것을 ( C )라고 한다.

정답 : (A) 위험 분석 (B) 위험 관리 (C) 정보보호대책 명세서

 

[서술형]

13. 윈도우 사용자 계정 컨트롤 팝업 창

문제에서는 팝업창 하단에 관리자 암호 입력 요청 및 :예"비활성화

 

13-1. 사용자의 의도는?

보통 공격자가 권한 상승을 방지하거나 시스템 변경을 차단하려는 경우

13-2. 왜 팝업창이 발생하고 “예”를 누를 수 없는가?

팝업창이 발생하는 이유는:

• 사용자 계정 컨트롤(UAC): UAC는 시스템에 중요한 변경 사항을 적용하려고 할 때 사용자에게 권한 승인을 요청합니다. 따라서 권한이 필요한 작업이나 애플리케이션이 실행되면 UAC 팝업이 나타나게 됩니다.

“예” 버튼을 누를 수 없는 이유는:

• 비활성화된 암호 입력 요청: UAC 팝업의 하단에 관리자 암호 입력 요청이 비활성화된 상태로 표시되는 경우는 다음과 같은 이유일 수 있습니다:
  • 시스템 설정 문제: 시스템의 설정 문제로 인해 관리자 암호 입력 요청이 비활성화될 수 있습니다.
  • 권한 관련 문제: 사용자가 필요한 권한을 보유하지 않거나, 팝업이 잘못 조작된 경우, 암호 입력 필드가 비활성화될 수 있습니다.
  • 악의적인 조작: 공격자가 권한 상승을 방해하기 위해 UAC 팝업을 조작하거나 시스템의 보안 설정을 변경할 수 있습니다.

 

14. PIA 고려사항 5가지

 

15. XSS 관련 문제

- 정의: 사용자 입력을 적절하게 검증 및 필터링 하지 않아 악성 스크립트가 다른 사용자에게 전달되는 취약점
- 종류 2가지  : 저장형, 반사형... 단답형 9번 참조 (근데 겹쳐서 나왔다는게 믿기지 않음)
 

16. 시스템 관리자는 리눅스 시스템의 로그파일（/var/log/messages）을 점검한 결과 다음과 같은 결과를 확인하였다. 다음 각 질문에 답하시오.

[root@Fedorall conf]# cat /var/log/messages | grep promiscuous
Nov 1 00:08:33 Fedorall kernel: device ethl entered promiscuous mode

1） 로그 상에 기록된 promiscuous mode의 의미를 쓰시오.

네트워크 인터페이스의 promiscuous mode（무차별 모드）는 유입된 프레임（패킷）의 목적지 주소（MAC 주소）와 무관하게 모든 프레임（패킷）을 수신하는 동작 모드를 말한다.

2） promiscuous mode로 진입 시 발생할 수 있는 공격은 무엇인가?

네트워크 인터페이스가 promiscuous mode（무차별 모드）로 설정되면 자신이 목적지가 아닌 프레임（패킷）도 모두 수신하기 때문에 스니핑（sniffing） 공격이 발생할 수 있다.

3） 해당 공격에 대응하는 방안을 1가지 이상 쓰시오.

1. 스니핑을 통해 통신내용을 알 수 없도록 암호화 프로토콜 또는 암호화 프로그램을 사용하여 통신에 사용되는 모든 데이터를 암호화
2. 허브（더미 허브） 장비에 비해 상대적으로 네트워크 스니핑 공격에 안전한 스위치（스위칭 허브） 장비를 이용한다.
3. 스니핑 탐지 도구를 이용하여 악의적인 목적의 스니핑이 발생하는지 지속해서 점검한다.
 
 

17. DB 권한

1) 일반사용자에게 절대 부여하면 안되는 권한 3가지
- DBA, 슈퍼, 시스템
2) 최소 권한 설정 방법 4가지

18. SSL 취약점

자세한 내용은 출처를 통해 확인하세요.
출처: https://blog.alyac.co.kr/76 [이스트시큐리티 알약 블로그:티스토리])

18-1.  취약점명 : heartbleed

18-2. [시스템 측면 대응방안]

1. OpenSSL 버전을 1.0.1g 버전으로 업데이트
서비스 운영환경에 따른 소프트웨어 의존성 문제 고려, 업데이트 방법을 선택하고 반드시 먼저 테스트 수행
* 아래 보안 패치 방법은 CentOS/Fedora 및 Ubuntu의 예제로 각 운영체제 별로 업데이트 방법이 상이할 수 있음
-   CentOS/Fedora
(1) 전체 시스템 업데이트(OpenSSL을 포함한 시스탬 내의 소프트웨어 전부 업데이트) 

(2) OpenSSL 업데이트

 
- Ubuntu
(1) 전체 시스템 업데이트(OpenSSL을 포함한 시스탬 내의 소프트웨어 전부 업데이트)

(2) OpenSSL 업데이트 

 
2. 운영환경의 특수성 때문에 패키지 형태의 업데이트가 어려운 경우, Heartbeat를 사용하지 않도록 컴파일 옵션을 설정하여 재컴파일 가능
* OpenSSL 소스코드를 처음 다운받아 컴파일하는 경우 라이브러리   의존성 문제가 발생하여 추가적인 작업이 필요한 경우도 존재

 

18-2. [서비스 관리 측면 대응 방안] 

1. 서버 측 SSL 비밀키(Secret Key)가 유출되었을 가능성이 있기 때문에 인증서 재발급을 운영자가 검토
2. 취약점에 대한 조치 완료 후, 사용자들의 비밀번호 재설정을 유도하여 탈취된 계정을 악용한 추가 피해 방지 방안 고려
 

** 아래는 추가적인 내용
[네트워크 보안 장비 측면 대응 방안]
취약점 공격 탐지 및 차단 패턴 적용 
* 아래의 Snort 탐지 룰(rule)을  참고하여 침입탐지시스템 및 침입차단 시스템에 패턴 업데이트 적용 권고
* 차단 패턴 적용은 서비스 및 네트워크 영향도를 고려하여 적용

 

이상......
화이팅!