안전한 정보통신 환경 구현을 위한 네트워크 구축 가이드라인
해당 문서는 국가보안기술연구소에 저작권이있으며,이 pdf 파일을 홈페이지에 게재하고, 누구나 다운로드 받을 수 있도록 하는 행위는국가 보안저작권의 복제권, 전송권 등을 침해하는 행위라는 공문을 받았습니다.이에 해당 문서의 게재를 중단하고 삭제 처리하였습니다.
VPN Security Architecture (작성중)
VPN 개요 VPN(Virtual Private Network)는 공중망상에 사설망을 구축하여 이용자가 마치 자기의 사설 구내망 또는 전용망같이 이용할 수 있게하는 네트워크 서비스다. *위와 같은 보안 위협에 대해 아래와 같은 보안 아키텍처로 대응해야 한다. VPN 보안 아키텍처 Site to Site VPN 보안 가이드 완화된 보안위협 인터넷단 Router와 VPN Router의 적합한 설정 -인터넷 접점라우터를 통해 1차 필터링: 외부로부터 특정
A금융사 ISO27001 & BS10012 인증 컨설팅 사례
고객사: A금융그룹 8개사 (금융기업)프로젝트 기간– 7개 금융계열사 – 2011년 6개월간 수행, ISO27001과 BS10012 인증획득– 추가 1개 금융계열사 – 2012년 2.5개월간 수행, ISO27001과 BS10012 인증획득 프로젝트 배경 및 주제Global수준의 정보보안 및 개인정보보호 목표 달성이라는 금융그룹 정책에 따라 8개 계열사들이 정보보안 국제표준인 ISO27001인증과 개인정보 BSI표준인 BS10012인증 획득을 위한 컨설팅을 의뢰하였다. 최초 7개 금융계열사가 순차적으로 2개의 인증 컨설팅을
A앱/콘텐츠 플랫폼 운영사 ISMS 인증(최초) 상주 컨설팅 사례
고객사: A앱/콘텐츠 플랫폼(게임과 앱, 모바일커머스, 이북 및 영상 콘텐츠 마켓운영)프로젝트 기간2016년 1년간 최초심사 컨설팅, ISMS 인증획득2017년 8개월간 사후심사(1차) 컨설팅2018년 6개월간 사후심사(2차) 컨설팅 프로젝트 배경 및 주제고객사는 2016년 모회사로부터 분사하면서 ISMS인증을 유지해야 하는 정보통신망법에 따른 ISMS인증 의무대상기업이다.ISMS 인증을 획득한 모회사와는 별도로 인증을 획득해야 했기 때문에 회사 규모에 맞는 관리체계 구축부터 운영에 이르는 컨설팅을 의뢰하였다. IT 및
A 금융사 정보시스템 개발 보안컨설팅 사례
고객사: A금융사(제1금융권 금융업체)프로젝트 기간: 2013년 약 6개월간 수행 프로젝트 배경 및 주제제1금융권인 고객사는 전자금융감독규정에 따라 정보시스템 개발 또는 구축시 보안성심의를 하도록 규정하고 있으며, 신규 개발되는 정보시스템은 스마트폰을 이용한 금융서비스가 주요 내용이기 때문에 기존의 감독규정이외에도 신규로 하달되는 각종 지침, 종합대책 등과 같은 Compliance측면의 (개인)정보보호요건들을 분석, 설계, 개발, 테스트 단계에 반영하여 보안상의 안전성을 확보하는 것이 목적이다. IT
A사 보안솔루션 취약점 진단 사례
고객사: A금융회사 (금융회사)프로젝트 기간: 2012년, 1개월 프로젝트 배경 및 주제A금융회사는 정보보안 추진계획에 따라 DB 접근통제 솔루션을 비롯하여 몇 종의 보안솔루션 구축사업을 진행하였다. 금융감독규정에 따라 도입되는 모든 보안솔루션은 CC인증획득 솔루션이며, 도입 솔루션중에 하나인 DB접근통제 솔루션은 A사의 요구에 따라 대대적인 커스터마이징 요구를 한 상태이다.DB접근통제 솔루션의 커스터마이징 요구에 따라 솔루션의 아키텍처를 비롯하여 많은 부분의 개발이 필요하게 되었으며 그에
어플리케이션 소스코드 취약점 진단 시 전용툴과 함께 사용할 유용한 툴
대부분의 어플리케이션 소스 취약점 진단작업은 다량의 소스파일을 받아 취약점 진단을 수행하게 된다.Fortify와 같은 소스 취약점진단 전용 툴을 이용하는 정적진단과 전문 컨설턴트의 동적 수작업 진단을 병행하는것이 대부분이다.이런 상황에서 수작업 진단시 많은 양의 소스들을 육안으로 확인하는 것은 상당히 어렵기 때문에 몇 가지 유용한 도구들을 활용하는 것이 일반적이다. 1. 문자열 검색 툴 많은 파일들 중에서 특정 문자열을 검색해주는
A평가원 연간 취약점 진단 및 보안컨설팅 사례
고객사: A평가원 (업태:공공기관)프로젝트 기간: 2013년 1년간 수행 프로젝트 배경 및 주제대부분의 공공기관은 다수의 상위기관들로부터 감독을 받는 입장에 있으며 정보보안 예산을 확보하는데도 어려움이 뒤따른다. 고객사인 A평가원도 국가정보원을 비롯하여 다수의 상위기관으로 부터 감독을 받고 있으며 수시로 정보보안과 관련된 각종 지침이 하달되고 있는 상황이다. 특히 정기적인 국가정보원의 정보보안 실태점검은 기관장에 대한 평가에도 영향을 받기 때문에 기관입장에서는 그 평가
A금융사 방화벽 정책 최적화 수립 컨설팅 사례
고객사: A금융사 (금융업)프로젝트 기간: 2013년 약 2개월간 수행 프로젝트 배경 및 주제A금융사는 년간 2회 이상의 기술적 취약점 진단을 수행하고 있었으며, 매회 때마다 정기적인 취약점 진단이외에 심층진단 이슈를 한가지씩 정하고 진행하였다. 당해의 심층진단 이슈는 대부분의 네트워크 방화벽 실무자에게 고민거리인 보안정책의 최적화이다.방화벽 정책의 최적화는 보안점검 항목의 일부분이기도 하지만 모든 서비스의 내용과 특성을 잘 파악하고 있지 못하는 방화벽운영자
최전방 Router의 ACL설정 변경관리 취약점을 이용한 권한획득 사례
1. 진단 개요 공격자의 위치는 인터넷 외부에 위치하고, 대상은 DMZ에 위치한 대상시스템 들이다.본 모의해킹 진단은 DMZ에 위치한 시스템의 권한획득을 시도하는 시나리오로써, 경유 공격이 가능한 상황이다.DMZ에는 DNS, Web, Mail 서버 등이 운영되고 있으며, 인터넷 최전방에 라우터가 위치하여 허용되지 않은 접근은 ACL과 네트워크 방화벽으로 허용되어 있지 않은 접근을 차단하고 있다.DMZ의 대상 시스템의 권한을 획득을 시도하는 과정에서 최전방 라우터의