주식회사 누리아이티

지문카드 및 정보자산 2차 인증 보안SW 전문기업

24 2021년 03월

24

▶ BaroSolution/기술문서 정보자산의 보안 강화를 위하여 다중인증을 도입해야 하는 이유

"정보자산의 로그인-ID/비밀번호가 유출이 되어도 대안이 있느냐?" 1. 보안 강화를 위하여 사용자 식별ㆍ인증을 위한 OTP 등을 활용한 2단계 인증체계 적용 가장 중용한 것은 정보자산의 보안 강화를 위하여 "사용자 식별.인증을 위한 OTP 등을 활용한 2단계 인증체계를 설정"하는 것임. 2단계 인증은 정보자산에 로그인 시 아이디/비밀번호 외에 도 추가적인 인증(2차 인증) 수단을 이용하기 때문에 단순히 계정 정보가 유출된 것만으로는 공격자는 이를 악용할 수 없음. 2차 인증 적용(예: ID/PW + OTP), 일정 횟수(예: 5회) 이상 인증 실패 시 접속 차단 및 인증수단을 특정하지는 않고 있으나, 지식기반.소유기반.특정기반 인증 수단 중 서로 다른 방식에 속하는 인증수단 2개를 조합해서 사용해야 함..

15 2021년 03월

15

▶ BaroSolution/기술문서 RADIUS 환경에서 사용자 식별 및 인증을 위한 다중인증 솔루션인 BaroPAM을 적용하는 방법

RADIUS(Remote Authentication Dial In User Service, 원격 인증 전화 사용자 서비스 위치)는 네트워킹 프로토콜로 사용자가 네트워크에 연결하고 네트워크 서비스를 받기 위한 중앙 집중화된 인증, 인가, 회계 (AAA, 회계 Accounting은 인증, 인가 후 각종 사후 처리를 맡는다.) 관리를 제공한다. RADIUS는 1991년 서버 접근 인증, 회계 프로토콜로써 Livingston Enterprises, Inc. 에서 개발했다. 그리고 후에 IETF표준으로 등재되었다. 지원 범위가 넓고 유비쿼터스 환경에서도 사용이 가능하기에 ISP와 기업들이 인터넷이나 인트라넷 접근을 관리하거나 무선 네트워크 인증, 통합 메일 서비스 등에 자주 쓰인다. 모뎀, 무선 액세스 포인트, ..

14 2021년 02월

14

▶ BaroSolution/기술문서 산업제어시스템에 대한 사이버공격에 대비하여 다중인증의 활용은 선택이 아닌 필수로 적용해야 할 솔루션

지난주 미국 플로리다 수질처리시설에 대한 사이버 공격의 세부정보가 공개됐다. 주요 인프라를 보호하는데 적절한 보안조치가 이루어지지 않아 발생한 피해라고 더해커뉴스가 보도했다. 이번 침해 사고는 수질 처리장의 SCADA(스카다) 시스템에 원격으로 액세스해 상수도의 수산화나트륨 투여량을 위험한 수준으로 늘리려는 공격자들의 시도였다. 다행히 공격은 성공하지 못했다. 해당 공격을 발견한 시스템 운영자가 신속하게 명령을 취소해 영향을 최소화해 큰 사고를 모면할 수 있었다. 매사추세츠 주에서 조사한 내용에 따르면, 사이버 범죄자들은 제어 시스템에 연결된 공장의 여러 컴퓨터 중 하나에 설치된 TeamViewer 소프트웨어를 통해 SCADA(Supervisory Control and Data Acquisition) 시..

06 2021년 02월

06

▶ BaroSolution/기술문서 CentOS를 AlmaLinux로 대체 필요

지난달 레드햇은 'CentOS Linux' 개발을 중단하고, RHEL 마이너 업데이트의 선행 버전격인 'CentOS 스트림'에 집중하겠다고 발표했다. 이에 RHEL의 안정성과 보안성을 누리면서 무료로 사용가능한 새로운 배포판을 찾는 목소리가 컸다. 레드햇의 발표 직후 CloudLinux는 연간 100만달러를 투자해 새로운 RHEL 클론 배포판을 만들겠다고 발표했다. 13일(현지시간) 미국 지디넷에 따르면, CloudLinux는 RHEL과 CentOS 코드에 기반한 '알마리눅스(AlmaLinux)' 배포판을 공개했다. AlmaLinux Beta 버젼의 ISO 파일(https://almalinux.org)을 다운로드 받아서 설치 후 정보자산 정보자산의 보안 강화를 위하여 인증이 필요한 다양한 운영체제와 애플..

23 2021년 01월

23

▶ BaroSolution/기술문서 클라우드 계정을 훔치는 공격인 클라우드 재킹에 대비하여 클라우드에 다중인증의 활용은 선택이 아닌 필수로 적용해야 할 솔루션

클라우드 계정을 훔치는 공격이 유행 중이다. 정상적인 계정으로 클라우드에 접근하기만 하면 온갖 데이터에 접근할 수 있기 때문에 공격자들로서는 ‘노다지’가 따로 없다. 새로운 위협이 떠오르고 있다. 바로 ‘클라우드 재킹.’ 클라우드 기술에 의존하는 개인과 기업이 늘어나면서 자연스럽게 생겨난 것으로, 조만간 사이버 범죄 시장의 주류 공격 기법이 될 것으로 보인다. 클라우드 재킹(cloud jacking)은 ‘클라우드 계정 하이재킹(cloud account hijacking)’이라고 불리기도 한다. 간단히 말해 클라우드 재킹이란, 기업이나 개인의 클라우드 접속 계정을 훔쳐내는 것을 말한다. 주로 소셜엔지니어링 기법이 활용된다. 계정을 훔친 공격자는 사실상 모든 일을 할 수 있다. 특히 클라우드에 저장된 데이터..

22 2021년 01월

22

▶ BaroSolution/기술문서 가장 쉽게 사용자에게 접근하는 해킹, 악성 이메일 유형과 2단계 인증 로그인 대응법

악성 이메일은 고객센터, 지인, 사회이슈 등 사칭해 사용자 속이고 악성 행위 시도 2단계 인증(2차 인증, 추가인증) 로그인, 보안 소프트웨어 사용 및 주기적인 업데이트 등 기본 보안수칙 준수 필요 사이버 공격자는 개인의 PC나 기업 시스템에 침투하기 위해 다양한 방법을 시도한다. 특히, 이메일을 이용한 방식은 사이버 공격자가 특별한 경로를 거치지 않고도 사용자에게 접근할 수 있는 수단이다. 악성 이메일을 이용한 사이버공격은 목적과 형태 역시 다양하다. 단순히 첨부 파일이나 링크를 통해 악성코드를 유포하는 것부터 시작해 특정 서비스를 사칭해 사용자의 ID/PW를 탈취하기도 한다. 특히 사회적 이슈를 이용해 악성 이메일을 수신한 사용자가 의심 없이 이를 열어보도록 하는 방식도 많이 쓰이고 있어 주의가 필요..

11 2021년 01월

11

▶ BaroSolution/기술문서 해킹 메일의 유형과 해킹메일을 예방하고 대응하기 위해서는 어떻게 해야 할까?

최근 사이버공격이나 랜섬웨어 공격 등 해킹메일은 대부분 피싱 메일로부터 시작하는 경우가 많다. 해킹메일에 대한 각별한 대응이 필요한 상황이다. ◆해킹메일의 유형 신뢰할 수 있는 포털 사이트의 고객센터를 사칭해 로그인 이력, 비밀번호가 유출되었다는 식으로 메일을 보낸 후, 로그인 위장 해킹 사이트로 접속을 유도해 계정정보를 탈취하는 방법이 있다. 또 공공기관이나 기업 또는 지인으로 가장하거나, 업무 메일(이력서, 연말정산, 연봉 계약서 등등)로 위장해 열람을 유도해 해킹 사이트로 접속하게 하는 것은 물론 코로나19 이슈를 악용해 사람들이 관심 있어 할 내용(치료법, 확진자 동선, 재난 지원금 관련 등)으로 열람을 유도해 악성 프로그램을 전산망에 심기도 한다. 메일 본문에 첨부파일이 있는 것처럼 위장한 링크..

09 2021년 01월

09

▶ BaroSolution/기술문서 크리덴셜 스터핑에 당하지 않으려면 웹사이트와 앱에 다중인증의 활용은 선택이 아닌 필수로 적용해야 할 솔루션

크리덴셜 스터핑은 기존에 다른 곳에서 유출된 아이디(ID)와 패스워드(Password)를 여러 웹사이트나 앱에 대입해 로그인이 될 경우 개인정보나 자료를 유출하는 방법이다. 복잡한 것을 싫어하는 많은 사람들이 모든 웹사이트나 앱에서 같은 아이디와 패스워드를 사용하는 것을 노린 방법으로, 최근 본지가 보도한 대로 홈플러스나 스타벅스 등에서 크리덴셜 스터핑을 이용한 공격으로 실제 피해를 입은 사건이 늘고 있다. 글로벌 보안기업 아카마이에 따르면 2017년 11월부터 2019년 4월까지 총 18개월 동안 금융 업계를 대상으로 일어난 크리덴셜 스터핑 공격이 35억 건에 달해 고객 개인정보와 금융정보가 위협에 노출됐다. 크리덴셜 스터핑에 당하지 않으려면 우선 사용하는 웹사이트나 앱마다 서로 다른 아이디와 패스워드..

03 2021년 01월

03

▶ BaroSolution/기술문서 정보자산에 대한 보안솔루션의 적용 방식

정보자산에 대한 보안솔루션의 적용 방식은 Gateway, Proxy, Sniffing, Agent, LKM, PAM 방식 등이 있다. ■ Gateway 방식(+Proxy 방식) Gateway 방식은 접속하기 위한 통로를 별도로 설치한 후 사용자가 해당 통로를 통해서만 접근하도록 하는 방식이다. 예를 들어, 자동차를 타고 고속도로에 진입하기 위해서 반드시 톨게이트를 거쳐 통행료 징수를 위한 체크를 하듯이 서버나 네트워크, DB에 접속, 로그인하거나 로그인 한 후에 프로세스를 수행하기 위해서는 반드시 Gateway를 거치도록 구성하여 모든 로그인과 철저하게 통제하는 방식이다. Proxy Gateway 방식은 별도의 서버(안전성을 위해 이중화 구성 필요)를 설치한 후에 독립적인 IP 및 포트를 부여하고, 접속..

26 2020년 12월

26

▶ BaroSolution/기술문서 현재, 정보자산(H/W, S/W)에 대한 보안의 잘못된 적용의 변화가 필요

현재, 정보자산(H/W, S/W)에 대한 정보자산의 보안은 반대로 되어 있다. 예를 들어, 아파트를 출입하는 1층에 Lock이 있고, 실제 집의 출입문에는 Lock이 없는 누구나 맘대로 들낙거릴 수 있는 오픈되어 있는 구조이다. 이 구조로는 도둑이 1층 출입문만 통과하면 실제 집의 출입문에는 열러 있는 구조라 얼마든지 이집 저집 다니면서 생명과 재산에 피해를 볼 수 밖에 없다. 생명과 재산을 그나마 보호 받을려면 1층 출입문 뿐만 아니라 각 집마다 출입문에 Lock이 설치 되어 있어야 한다. 결론은 간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것이다. 정보자산의 로그인-ID/비밀번호가 유출이 되어도 대안이 있느냐? 정보자산에 대한 2차 인증(추가 인증) 솔루션인 Ba..

27 2020년 11월

27

▶ BaroSolution/기술문서 랜섬웨어 감염 확산에 따른 기업 보안점검 권고

□ 개요 o 최근 기업 대상 랜섬웨어 감염 및 정보유출 사고가 지속적으로 발생하고 있어 각 기업의 철저한 보안 점검 및 대비 필요 □ 주요 사고 사례 o (서버) 보안 설정이 미흡하여 랜섬웨어 감염 및 주요 자료 유출 - [사례1] 쉬운 패스워드를 사용하거나 접근제어 정책 없이 외부에서 원격포트(3389, 22)로 접속 - [사례2] 내부망에 접근하기 위해 구축한 VPN 장비의 취약한 계정관리 및 보안 업데이트 미적용 - [사례3] 보안지원이 종료되거나 보안 업데이트가 적용되지 않은 운영체제 및 소프트웨어 사용 o (PC) 보안 수칙을 준용하지 않아 랜섬웨어 감염 및 주요 자료 유출 - [사례1] 공문, 이력서, 견적서 등으로 위장한 악성메일의 첨부파일(랜섬웨어) 실행 - [사례2] P2P 프로그램을 통..

14 2020년 11월

14

▶ BaroSolution/기술문서 서버보안과 접근통제 모델

1. 접근통제 개요 접근통제(Access Control)는 침입을 차단하고 침입에 성공한 뒤 해커가 수행하려 하는 공격행위를 차단하기 위한 보안시스템의 중요한 기능적 요구사항 중의 하나로 외부 사용자가 내부 네트워크 및 서버로 접근 또는 내부 사용자가 서버의 주요 자원에 대해 보안 정책에 위배되는 행위를 하려할 때, 정상적인 접근인지의 여부와 정상적인 접근일 경우 어떠한 접근 권한을 갖는지를 검사하여 접근 및 실행 허용여부를 결정한다. 따라서 네트워크 및 서버 내의 특정 자원에 대해서 접근 자격이 있는지를 검사한 후 접근 여부를 결정함으로써 불법 침입자에 의한 불법적인 자원 접근 및 파괴를 방지할 수 있다. 접근통제(Access Control)는 접근통제 규칙(Access Control Rule)에 의해..

11 2020년 10월

11

▶ BaroSolution/기술문서 블록체인은 분산 데이터 처리 기술이지 사용자 식별.인증 기술이 아니다.

"블록체인은 분산 데이터 처리 기술이지 사용자 식별.인증 기술이 아니다." 암호·인증 분야 보안 전문가들을 주축으로 블록체인을 사용자 인증 기술로 오해하면 안된다는 지적이 나오고 있다. ‘블록체인이 마치 공인인증서를 대체하는 인증기술’로 비춰지고 있다는 것이다. 블록체인은 그 자체로 개인을 식별·인증할 수 있는 기능은 없다. 인증에 사용되는 데이터, 예를 들어 공개키 유효성을 조회하거나 무결성을 검증하고 자격증명 발급이력을 기록하고 조회하는 데 활용할 수 있다고 전문가들은 설명한다. 개인 인증 수단은 널리 사용되고 있는 인증서나 생체인증·FIDO(Fast IDentity Online), 일회용비밀번호(OTP) 등이 담당한다. 2단계 보안 인증(2차 인증, 추가 인증)은 모바일 환경의 확산과 함께 비교적 ..

12 2020년 09월

12

▶ BaroSolution/기술문서 복잡한 비밀번호를 사용하고 주기적 재설정 해도 사이버 공격에 여전히 노출

국내 인터넷 관련 전문가 10명 중 4명, 온라인 계정 탈취 당한 경험 ‘있다’. 인터넷 보안 전문가는 “사용 중인 웹사이트에 비슷한 비밀번호를 적용해 오다가 해킹으로 탈취돼 비밀번호를 변경했으나, 나 자신 조차도 변경한 비밀번호를 기억하지 못하고 있다”고 말했다. 이어 “특수문자를 포함하라는 기준이 생겼지만, 기존에 수많은 곳에 적용한 비밀번호와 다르고, 가입하는 웹사이트마다 허용하는 특수문자의 제한이 있어서 이에 대한 기억을 일일이 하지 못한다. 자신이 변경한 비밀번호를 기억 못해 해당 비밀번호 재설정에 시간과 비용 낭비를 빈번하게 경험하고 있다”고 비밀번호 기반 로그인 기능 사용의 불편함을 토로했다. 미국립표준기술연구소(NIST)가 최근 발표한 패스워드 가이드라인에 따르면 주기적으로 비밀번호를 변경..