대부분의 어플리케이션 소스 취약점 진단작업은 다량의 소스파일을 받아 취약점 진단을 수행하게 된다.Fortify와 같은 소스 취약점진단 전용 툴을 이용하는 정적진단과 전문 컨설턴트의 동적 수작업 진단을 병행하는것이 대부분이다.이런 상황에서 수작업 진단시 많은 양의 소스들을 육안으로 확인하는 것은 상당히 어렵기 때문에 몇 가지 유용한 도구들을 활용하는 것이 일반적이다. 1. 문자열 검색 툴 많은 파일들 중에서 특정 문자열을 검색해주는 […]
고객사: A평가원 (업태:공공기관)프로젝트 기간: 2013년 1년간 수행 프로젝트 배경 및 주제대부분의 공공기관은 다수의 상위기관들로부터 감독을 받는 입장에 있으며 정보보안 예산을 확보하는데도 어려움이 뒤따른다. 고객사인 A평가원도 국가정보원을 비롯하여 다수의 상위기관으로 부터 감독을 받고 있으며 수시로 정보보안과 관련된 각종 지침이 하달되고 있는 상황이다. 특히 정기적인 국가정보원의 정보보안 실태점검은 기관장에 대한 평가에도 영향을 받기 때문에 기관입장에서는 그 평가
고객사: A금융사 (금융업)프로젝트 기간: 2013년 약 2개월간 수행 프로젝트 배경 및 주제A금융사는 년간 2회 이상의 기술적 취약점 진단을 수행하고 있었으며, 매회 때마다 정기적인 취약점 진단이외에 심층진단 이슈를 한가지씩 정하고 진행하였다. 당해의 심층진단 이슈는 대부분의 네트워크 방화벽 실무자에게 고민거리인 보안정책의 최적화이다.방화벽 정책의 최적화는 보안점검 항목의 일부분이기도 하지만 모든 서비스의 내용과 특성을 잘 파악하고 있지 못하는 방화벽운영자
1. 진단 개요 공격자의 위치는 인터넷 외부에 위치하고, 대상은 DMZ에 위치한 대상시스템 들이다.본 모의해킹 진단은 DMZ에 위치한 시스템의 권한획득을 시도하는 시나리오로써, 경유 공격이 가능한 상황이다.DMZ에는 DNS, Web, Mail 서버 등이 운영되고 있으며, 인터넷 최전방에 라우터가 위치하여 허용되지 않은 접근은 ACL과 네트워크 방화벽으로 허용되어 있지 않은 접근을 차단하고 있다.DMZ의 대상 시스템의 권한을 획득을 시도하는 과정에서 최전방 라우터의
개요 VPN은 Remote Access, Site-to-Site 등 여러 가지 구축방법이 있으나, 공격자 관점에서 볼때 중요한 것은 VPN만 뚫으면 내부 네트워크로 진입하는 중요한 통로에 진입할수 있다는 매력적인 해킹 대상이라고 볼수 있다.실제, site:vpn.*co.kr 로 구굴링을 해보면 vpn으로 시작하는 많은 국내 사이트들을 검색할 수 있는데, 재택근무, 원격진료 등으로 많은 기업이나 기관에서 VPN Service를 많이 하고 있어서 보안상의 위협이 점점
고객사: A공단 (공공기관)프로젝트 기간: 2014년 1개월간 수행, 전년대비 약 15점의 상위 평가결과 획득 프로젝트 배경 및 주제고객사는 매년 실시되는 국정원의 정보보안 실태평가의 현장평가 대상 기관이 되고 전년도 평가 결과가 이전의 자체평가때보다 상당히 낮은 결과로 평가되었다.여타 공공기관들 처럼 상위기관의 감독결과는 기관장을 비롯하여 관계자들에게는 민감하나 전문성이 떨어지는 내부 인력만으로 높은 평가결과를 기대하기 어려웠기 때문에 좀더 좋은 평가결과를
고객사: A정유회사 (정유회사)프로젝트 기간: 2013년 3개월간 수행 프로젝트 배경 및 주제고객사는 석유산업 분야의 대표적인 기업으로서 지방에 보유한 대형 정유공장의 공정제어시스템에 대한 보안성을 확보하기 위하여 국제수준의 객관적 관련표준을 바탕으로 정보보호 현황을 파악하여 개선방안을 도출하고 단계적 개선전략을 수립해야할 필요성이 대두되어 이에 대한 컨설팅을 의뢰하였다.공정제어시스템은 일반기업의 정보시스템과 상이한 구성요소들이 있기 때문에 국제적 수준의 표준화된 기준을 적용하게 되었으며, 미국
고객사: A 출연기관 (분류: 공공기관)프로젝트 기간: 2013년 2개월간 수행 프로젝트 배경 및 주제고객사는 정부 출연기관이며, 국정원의 정보보안 실태평가 등 정기적인 상위기관의 감독을 받으면서 중장기 정보보안계획의 부재가 지적되었다.상위감독기관의 감독규정과 더불어서 중장기에 대한 청사진 확보, 단계적 정보보안 로드맵과 예산확보 등 내부 관리상의 필요에서도 정보보안 계획의 필요성을 인지하고 있었다.기술적 취약점 진단 업무는 반기별로 외부 전문업체가 수행하고 있었기 때문에
고객사: A중앙행정기관 (분류: 행정기관)프로젝트 기간: 2014년 3개월간 수행 프로젝트 배경 및 주제고객사는 다수의 소속 및 산하기관의 보안관련 관리감독을 해야 하는 역할과 책임을 갖고 있는 중앙행정기관이다.또한, 해당분야의 대표성을 갖는 중앙행정기관이기 때문에 보안뿐만 아니라 개인정보보호 등 관련된 각종 기관의 감독과 규정하에 있는 상황이다.따라서 고객사는 일차적으로 각종 보안감독과 관련 규정에 유연하게 대응하기 위하여 정보보안 체계에 대한 종합적인 마스터플랜
고객사: A기관(분류:미래창조과학부 산하기관)프로젝트 기간: 2015년 4개월 간 프로젝트 배경 및 주제고객사는 타 기관에 비해 상당히 이른 시기인 2003년에 ESM시스템을 기반으로 통합보안관제시스템을 도입하였다. 약 13년간 보안관제운영을 하면서 보안관제시스템 고도화와 업그레이드, 사업장 지방이전 등의 이슈들이 있었다. 각종 보안정책과 가이드에 따라 도입된 보안시스템은 약 29종으로 이에 대한 효율적 운영방안 수립의 필요성이 제기 되었다. 또한, 기존 침입탐지방식의 한계극복을 위한
