보안, 신기술 요약 (2/2)

MY-PIN

2014년 8월 7일 개인정보보호법 개정안의 시행에 따라 법적 근거 없는 주민번호 수집이 금지되면서 도입된 무작위 번호이다.

온라인 상에서 사용되는 I-PIN과 달리 오프라인 상에서 주민번호 대신하며, 유출된 경우 폐기 가능, 연 5회 변경 가능 3년 유효기간을 갖는다.

지능형 사이버 위협 대응 (CTI; Cyber Threat Intelligence)

조직의 인프라와 지적 재산을 보호하기 위해 과거 조직 내부뿐만 아니라 외부의 다양한 정보들에 기초하여 각종 위협에 대응하는 방법을 말한다. 사이버 범죄, 사이버 행동 주의, 지능형 지속 위협(APT)과 같은 영역의 동향과 기술적 발전을 연구하고 분석하는 것이다.

CAPTCHA (자동계정 생성방지기술, Completely Automated Public Turing test to tell Computers)

웹 페이지에서 악의적으로 회원가입을 하거나 스팸 메시지를 보내기 위해 사용되는 bot을 차단하기 위해 만들어 졌다.

백업 방식

(전체) 백업 : 데이터 전체를 대상으로 백업 수행

(증분) 백업 : 백업 대상 데이터 중 변경되거나 증가된 데이터 만을 대상으로 수행

(Differential Incremental) - 변화가 있는 데이터 대상

(Cumulative Incremental) - 차별 증분과 유사하나 전체백업 이후 변경분을 누적하여 백업

Cyber Bullying

개인이나 집단이 인터넷에서 상대에게 나타내는 적대행위를 말한다.

TCP/IP (Transfer Control Protocol / Internet Protocol)

인터넷에 연결된 서로 다른 기종의 컴퓨터들 간에 데이터를 주고 받을 수 있도록 하는 표준 프로토콜로 인트라넷이나 익스트라넷 같은 사설망에도 사용된다. 신뢰성 있는 통신 규약

Ransomware (랜섬웨어)

미국에서 발견된 스파이웨어 형태의 신종 악성 프로그램, 인터넷 사용자의 컴퓨터에 잠입해 내부 문서나 파일 등을 임의로 암호화하고, 사용자에게 돈을 요구한다.

DDos (Distributed Denial of Service, 분산 서비스 거부 공격)

여러 대의 장비를 이용하여 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써, 특정 서버의 정상적인 기능을 방해하는 것을 말한다.

Greyware (그레이웨어)

바이러스를 포함하지 않으며 명백한 악성은 아니지만 사용자를 방해하거나 피해를 줄 수 있는 프로그램. 예를 들어 해킹 도구, 액세스웨어, 스파이웨어, 애드웨어, 다이얼러 및 장난 프로그램이 해당된다.

Digital Footpring (디지털 발자국)

사람들이 온라인 활동을 하면서 남긴 로그인 정보, 결제 정보, 결제 방법, 구매 이력, SNS, E-mail 등의 다양한 디지털 기록 또는 흔적을 말한다.

프로토콜(Protocol)

네트워크에서 서로 다른 컴퓨터들 간에 정보 교환을 할 수 있게 해주는 표준화된 통신 규약이다.

프로토콜은 네트워크 기능을 효율적으로 발휘하도록 하기 위한 협정

Watering Hole

표적으로 삼은 집단이 주로 방문하는 웹 사이트를 감염시켜, 피해 대상이 해당 사이트를 방문하는 것을 기다린다.

Back Door (=Trap Door)

시스템 보안이 제거된 비밀 통로로, 서비스 기술자나 유지보수 프로그램 작성자의 액세스 편의를 위해 시스템 설계자가 고의로 만들어 놓은 것. 대규모의 응용 프로그램이나 운영 체제를 개발할 때는 프로그램 보수의 용이성으 ㄹ위해 코드 중간중간에 중단부분을 설정하는 것

VoIP 보안 위협

음성 패킷을 불법으로 수집 및 조합해 통화내용을 재생하고 도청(Sniffing)하는 위협이다.

서비스 관련 시스템 자원 고갈 및 비정상 패킷의 다량 발송을 통한 회선마비 등의 서비스거부(DoS)공격이 있다.

Smurfing (스머핑)

IP나 ICMP의 특성을 악용하여 엄청난 양의 데이터를 한 사이트에 집중적으로 보냄으로써 네트워크의 일부를 불능 상태로 만드는 공격 방법이다.

Zero Day Attack

보안 취약점이 발견되었을 때 그 문제의 존재 자체가 널리 공표되기도 전에 해당 취약점을 악용하여 이루어지는 보안 공격

Typosquatting (타이포스쿼팅)

웹사이트에 접속할 때 주소를 잘못입력 하거나 철자를 빠뜨리는 실수를 이용하기 위해 이와 유사한 도메인을 미리 등록하는 것으로 URL Hijacking이라고도 한다. 유명한 도메인과 비슷한 도메인 이름을 미리 선점해 놓고 이용자가 모르는 사이에 광고 사이트로 이동하게 만든다.

Hacktivism (핵티비즘)

정치적 목적을 달성하기 위한 수단으로 자신과 노선을 달리하는 정부나 기업, 단체 등의 인터넷 웹사이트를 해킹하는 일체의 활동을 말한다.

Tvishing

스마트 TV에 악성 소프트웨어를 설치해 스마트 TV에 대한 최고 접근 권한을 획득하는 해킹 기법이다.

U-Health (ubiquitous-Health, 유헬스)

물리적 공간과 네트워크로 연결된 첨단 보건의료 기술의 전자적 공간을 연결하여 보건 의료 대상자의 삶과 진료가 중심이 되도록 하는 것을 의미한다.

APT (지능형 지속 위협)

다양한 IT 기술들과 방식들을 이용해 조직적으로 특정기업이나 조직 네트워크에 침투해 화동 거점을 마련한 뒤 때를 기다리면서 보안을 무력화하고 정보를 수집한 다음 외부로 뺴돌리는 형태의 공격을 말한다.

공격 방법에는 내부자에게 악성코드가 포함된 이메일을 오랜 기간동안 꾸준히 발송해 한번이라도 클릭하기 기다리는 형태, stuxnet과 같이 악성코드가 담긴 USB 등으로 전파하는 형태 등이 있다.

Pharming (파밍)

합법적으로 소유하고 있던 사용자의 도메인을 탈취하거나 DNS 이름을 속여 사용자들이 진짜 사이트로 오인하도록 유도하여 개인 정보를 훔치는 신종 인터넷 사기 수법

Social Engineering (사회 공학)

인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 컴퓨터 보안 절차를 깨트리기 위한 비기술적 시스템 침입 수단을 말한다.

Zeus (제우스)

사용자의 온라인 뱅킹 계정 정보를 탈취하기 위해 개발된 상용 Malware 이다. 2007년 러시아에서 개발된 것으로 추정되는 (_______)은 주로 이메일을 통해 전파되며, 감염된 컴퓨터는 사용자의 모든 키보드 입력 정보를 지정된 곳으로 보낸다.

Botnet

악성 프로그램에 감염되어 향후에 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태를 말한다.

Zombie

다른 프로그램이나 다른 사용자를 조종하도록 악성코드에 감염된 컴퓨터를 말한다. 이러한 컴퓨터는 주로 DDoS 공격 등에 이용된다.

Patent Troll (특허 괴물)

특허권을 비록한 지적 재산권을 통해 로열티 수입만으로 이익을 창출하는 특허 관리 전문 기업을 말한다.

실제로 제품을 만드는 회사가 아니므로 자신들이 보유한 특허로 다른 회사를 공격할 수는 있지만 다른 회사가 이들을 공격하여 피해를 줄 수 있는 방법이 없다는 점을 악용하여 수익을 창출한다.

악성 소프트웨어 (Malware; Malicious Software)

실행 가능한 코드에는 프로그램, 매크로, 스크립트 뿐만 아니라 취약점을 이용한 데이터 형태도 포함된다. 이것은 광범위한 개념이며 자기 복제 능력과 감염 대상 유무에 따라 바이러스, 웜, 트로이 목마, 스파이웨어 등으로 분류된다.

LAN (근거리 통신망)

자원 공유를 목적으로 회사, 학교, 연구소 등의 구내에서 사용하는 통신망이다. 전송거리가 짧고 고속 전송이 가능하며, 에러 발생률이 낮다.

Trackback (트랙백)

다른 사람의 글을 읽고 그 글에 직접 댓글을 올리는 대신에 내 블로그에 글을 올리고 내 글의 일정부분이 다른 사람의 댓글로 보이도록 (______)핑을 보내는 것을 말한다.

Stuxnet (스턱스넷)

2010년 6월에 발견된 웜바이러스다. 윈도우를 통해 감염되어, 지멘스 산업의 소프트웨어 및 장비를 공격한다. 산업시설을 감시하고 파괴하는 최초의 악성 소프트웨어이다. 원자력 발전소와 송,배전망, 화확공장 같은 산업기반 시설에 사용되는 제어 시스템에 침투하여 오작동을 유도하는 명령 코드를 입력해서 시스템을 마비시킨다.

Attack Toolkit

네트워크에 연결된 컴퓨터를 공격하기 위해 악성 코드 프로그램을 모아 놓은 것이다.

Ping of Death (죽음의 핑)

인터넷 프로토콜 허용범위(65536 bytes) 이상의 큰 패킷을 고의로 전송하여 발생한 서비스 거부 공격이다.

공격자의 식별 위장이 용이하고 인터넷 주소 하나만으로도 공격이 가능하다.

Jolt, sPING, ICMP bug, IceNewk 등의 변종 공격에 대비하여 방화벽을 사용해 인터넷 제어 메시지 프로토콜(ICMP) 핑 메시지를 차단하는 기술이 개발 되었다.

망중립성 (Network Neutrality)

모든 네트워크 사업자와 정부들은 인터넷에 존재하는 모든 콘텐츠를 동등하게 취급하고 어떠한 차별도 하지 않아야 한다는 뜻이다.

이 용어는 2003년 컬럼비아 학교의 Tim Wu가 만들었따. 중립성을 보장하기 위해 비차별, 상호 접속, 접근성 등 3가지 원칙이 모든 통신망에 동일하게 적용되어야 한다.

IP Spoofing (IP 스푸핑)

다른 사람의 컴퓨터 시스템에 접근할 목적으로 IP 주소를 속여서 침입하는 크래킹 기술이다. 목표 호스트와 신뢰관계를 맺고 있는 다른 호스트로 공격자의 IP 주소를 속여서 패킷을 보내는 방식이다. 이 문제를 해결하기 위해, 종단 인증의 방법이 있다.

Sniffing (스니핑)

네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나. 수동적 공격에 해당하며, 도청할 수 있도록 설치되는 도구를 스니퍼(Sniffer)라고 한다. 

네트워크 내의 패킷들은 대부분 암호화되어 있지 않아 해킹에 이용당하기 쉽기 때문에 이를 보완하는 여러 기법이 개발되고 있다. 

스위치 재밍 공격

위조된 MAC 주소를 네트워크 상으로 지속적으로 흘려 보내 스위치 저장 기능을 혼란시켜 더미 허브(dummy hub)처럼 작동하도록 하는 공격

스위칭 허브는 넘쳐나는 MAC 주소로 인해 주소 테이블이 Overflow 되면 주소 테이블을 재설정 하기 위해 네트워크 상의 컴퓨터들에게 MAC 주소를 확인하여 주소 테이블을 새롭게 생성하게 된다. 이 과정에서 해커의 MAC 주소도 포함시킨다.

GIS (Geographic Information System, 지리정보시스템)

지리적으로 자료를 수집, 저장, 분석, 출력할 수 있는 컴퓨터 응용 시스템으로 위성을 이용해 모든 사물의 위치 정보를 제공해 주는 것을 말한다.

Spam (스팸)

인터넷 상에서 다수의 수신인에게 무작위로 송신된 이메일 메시지를 의미한다.

직접 (_____) : 본인이 직접 이용하는 ISP의 메일 서버를 통해 불특정 다수에게 보내는 것

중계 (_____) : 임의의 다른 메일 서버를 중계 서버로 이용해 마치 중계 서버 사용자가 보내는 것처럼 위장하여 필터링 차단 방식을 피하는 방식이다.

Cyber Stalking

인터넷을 이용해 악의적인 의도로 상대방의 정보를 훔쳐보면서 지속적으로 공포감이나 불안감 등을 유발하는 행위이다.

Phishing

신뢰할 수 있는 사람, 기업이 보낸 메시지(메일)로 가장하여 사용자의 개인 신용 정보를 빼내는 수법을 의미한다. Social Engineering 의 한 종류이다.

Bitcoin

온라인에서 사용되는 가상의 디지털 화폐로, 2009년 만들어졌으나 개발자는 분명치 않다. 계좌를 '지갑'이라고 부르는데 사용자들은 인터넷에서 다운로드 한 '지갑'을 프로그램을 이용하여 인터넷 뱅킹으로 계좌 이체 하듯 (______)을 주고 받는다.

Snooping (스누핑)

네트워크 상에서 남의 정보를 염탐하여 불법으로 가로채는 행위이다. 소프트웨어 프로그램을 이용하여 원격으로 다른 컴퓨터의 정보를 엿보면서 개인적인 메신저 내용, 로그인 정보를 몰래 획득한다. 네트워크 트래픽을 분석하기 위해 사용되기도 한다.

Dyre Malware

인터넷 뱅킹 정보를 탈취하는 악성코드로, 트로이 목마의 한 종류이다. 주로 이메일의 첨부파일 형태로 유포되어 사용자가 첨부파일을 실행시키면 컴퓨터의 정보를 수집하고 보안 프로그램을 무력화 하는 프로그램이 설치된다.

Dropper

정상적인 파일 등에 트로이 목마나 웜, 바이러스를 숨기고 있는 Malware 구성의 프로그램이다.

Memory Hacking

컴퓨터 메모리(주기억장치)에 있는 데이터를 위조, 변조하는 해킹 방법으로 정상적인 인터넷 뱅킹 사이트를 이용했음에도 이제 거래과정에서 수취인의 계좌번호를 변조하거나 보안카드의 비밀번호를 빼내어 돈을 빼돌린다.

Smishing (스미싱)

무료 쿠폰이나 모바일 초대장 등의 문자메시지를 보낸 후 메시지에 있는 인터넷 주소를 클릭하면 악성코드를 설치하여 금융정보를 빼내는 행위이다.

Spyware

적절한 사용자 동의 없이 사용자 정보를 수집하는 프로그램 또는 적절한 사용자 동의 없이 설치되어 불편을 야기하거나 사생활을 침해할 수 있는 프로그램을 의미한다.

Worm

네트워크를 통해 연속적으로 자신을 복제하여 시스템의 부하를 높임으로서 결국 시스템을 다운시키는 바이러스의 일종이다.

DDoS, 버퍼 오버플로 공격, 슬래머 등이 (_______)의 한 형태이다.

VoIP (Voice over Internet Protocol)

인터넷 프로토콜 상의 음성 전송이란 의미로서, 인터넷을 통하여 통화할 수 있는 기술이다. 여러 사람이 동시에 사용할 수 있을 뿐만 아니라 확장성도 뛰어나며, 기존 전화에 비하여 요금도 저렴하다.

Cracking

어떤 목적을 가지고 타인의 시스템에 불법으로 침입하여 정보를 파괴하거나 정보의 내용을 자신의 이익에 맞게 변경하는 행위이다.

Trojan Horse

정상적인 기능을 하는 프로그램으로 가장하여 프로그램 내에 숨어 있다가 해당 프로그램이 동작할 때 활성화되어 부작용을 일으키는 것으로, 자기 복제 능력은 없다.

Hoax

실제로는 악성코드로 행동하지 않으면서 겉으로는 악성코드인 것처럼 가장하여 행동하는 소프트웨어이다.

Ad-hoc (애드혹)

재난현장과 같이 별도의 고정된 유선망을 구축할 수 없는 장소에서 모바일 호스트만을 이용하여 구성한 네트워크로 망을 구성한 후 단기간 사용되는 경우나 유선망을 구성하기 어려운 경우에 적합하다. 유선망과 기지국이 필요 없고 호스트의 이동에 제약이 없어 빠른 망 구성과 저렴한 비용이 장점이다.

데이터 마이닝 (Data Mining)

데이터 웨어하우스에 저장된 데이터 집하베서 사용자의 요구에 따라 유용하고 가능성 있는 정보를 발견하기 위한 기법이다.

군집화

상화간에 유사한 특성을 갖는 데이터들을 집단화(Clustering)하는 방법이다.

m-커머스

무선으로 상품을 구매하거나, 은행 업무 등을 할 수 있는 (_______)의 발달로 바이럴마케팅을 이용해 광고된 제품을 SNS를 하던 스마트폰에서 그대로 결제하여 구매할 수 있게 되면서 SNS 마케팅에 대한 기업들의 관심이 점점 더 커지고 있다.

e-마켓 플레이스

인터넷 상에서 다수의 기업 간, 공급과 수요 간에 유발되는 비즈니스 거래를 총칭하는 가상시장을 의미한다.

제품, 서비스, 정보 등 기업의 구매 및 판매와 관련된 모든 서비스를 제공하고, 공급 기업과 구매 기업을 연결시켜서 통합하는 혁신적인 개념으로서 B2B 전자 상거래 커뮤니티를 의미한다.

특정 산업에 따라서 수직적으로 전문화하거나 특정 기능이나 비즈니스 프로세스에 따라서 수평적으로 전문화 할 수 있다.

프라이버시 마스킹 (Privacy Masking)

대량의 데이터가 수없이 흘러가는 정보통신 시대에서 개인을 식별할 수 있는 단초가 될 수 있는 '이름', '사진', '주민번호', '주소' 등의 민감한 정보들을 볼 수 없도록 처리하는 기술을 (______)라고 한다. 영상 또는 이미지 등을 통해 노출되는 민감한 정보를 암호화하거나 모자이크 처리 또는 기록되는 것을 막아 식별할 수 없게 함으로써 개인정보 노출로 발생하는 사고를 미연에 방지한다.

CCTV 및 블랙박스 영상, 신분증 스캐너 등에 이 기술을 적용하여 일상생활 속에 노출되어 있는 개인의 민감한 정보들에 대한 보안성을 높일 수 있다.

SSO

한 번의 로그인으로 개인이 가입한 모든 사이트를 이용할 수 있게 해주는 시스템을 말한다. 개인의 경우, 사이트에 접속하기 위하여 아이디와 패스워드는 물론 이름, 전화번호 등 개인정보를 각 사이트마다 일일이 기록해야 하던 것이 한 번의 작업으로 끝나므로 불편함이 해소되어, 기업에서는 회원에 대한 통합관리가 가능해 마케팅을 극대화 시킬 수 있다는 장점이 있다.

AR (증강현실)

실제 촬영한 화면에 가상의 정보를 부가하여 보여주는 기술이다. 이것은 편리할 뿐만 아니라 감성적 측면에서의 만족도도 대단히 높기 떄문에 방송은 물론 게임, 교육, 오락, 패션 등 다양한 분야에서 응용이 가능하다. 스포츠 중계 시 등장하는 선수가 소속된 국가나 선수의 ㅈ어보를 보여주거나 화장한 자신의 모습을 미리 보고, 옷도 가상으로 입어보고 구매할 수 있다. 모바일 분야에서는 위치기반 서비스(LBS) 분야에서 이용이 활발하다. 스마트폰으로 거리를 비추면 커피숍이나 약국 등의 정보가 화면에 부가적으로 표시되는 것이 그 예이다.

VR (가상현실)

컴퓨터 등을 사용한 인공적인 기술로 만들어낸 실제와 유사하지만 실제가 아닌 어떤 특정한 환경이나 상황 혹은 그 기술 자체를 의미한다. 이때, 만들어진 가상의 환경이나 상황 등은 사용자의 오감을 자극하며 실제와 유사한 공간적, 시간적 체험을 하게함으로서 현실과 상상의 경계를 자유롭게 드나들게 한다.

자신과 배경, 환경 모두 현실이 아닌 가상의 이미지를 사용한다.