한국어
메뉴

사이버 공격과 방어의 실무

사이버 킬 체인과 MITRE ATT&CK, 초기 접근, C2 통신, 권한 상승, 측면 이동, 환경 기생형 공격, 제로 트러스트와 NIST SP 800-207, ZTNA와 VPN, EDR, SIEM·SOAR·SOC, IDS와 IPS, WAF, 미끼를 이용한 탐지, 인시던트 대응의 단계, 증거 수집 방법과 증거 보관의 연속성(Chain of Custody), IoC와 IoA, CSIRT와 PSIRT, 로그의 시각 맞추기, 취약점 수정의 우선순위, 침투 테스트와 레드팀 훈련, 조정된 취약점 공개, SBOM과 공급망 공격, 클라우드 설정 오류, MFA 피로 공격과 패스키, 세션 탈취, 특권 접근 관리를 계산 문제를 섞은 객관식 문제로 학습합니다.

10문제 연습하기이 분야에서 무작위 10문제 · 약 5분 이 분야 연습하기이 분야의 모든 문제를 무작위 순서로 풀어요 취약 문제최근에 틀린 문제만 다시 풀어요

사이버 공격과 방어의 실무: 핵심 정리

사이버 공격은 약점 하나를 파고드는 것으로 끝나지 않고, 침입, 거점 확보, 권한 확대, 내부 이동, 목적 실행으로 단계를 밟아 진행됩니다. 방어하는 쪽도 입구에서 막는 것만 생각할 것이 아니라, 침입당한다는 전제 아래 빨리 발견하고, 확산을 막고, 증거를 남기며 원인을 제거하고, 다음에 살리는 구조를 조직으로서 갖추는 것이 요구됩니다. 여기서는 조직이 실제로 어떻게 공격받고 어떻게 지키고 있는지를 방어하는 쪽의 시점에서 학습합니다.

먼저 사이버 킬 체인과 MITRE ATT&CK로 공격의 흐름을 정리하고, 초기 접근의 수법, C2 통신의 단서, 권한 상승, 측면 이동, 정규 도구를 악용하는 환경 기생형 공격을 다룹니다. 이어서 방어의 구조로서 제로 트러스트의 원칙과 NIST SP 800-207의 정책 결정 지점·시행 지점, VPN과 ZTNA의 차이, EDR, SIEM·SOAR·SOC의 역할, IDS와 IPS, 시그니처형과 어노멀리형 탐지, WAF, 미끼를 이용한 탐지를 학습합니다. 인시던트 대응에서는 NIST SP 800-61의 단계, 휘발성 순서와 증거 보관의 연속성(Chain of Custody), IoC와 IoA, CSIRT와 PSIRT, 로그 시각 차이의 보정을 확인합니다. 후반에서는 CVSS와 악용 상황을 함께 고려한 수정의 우선순위, 침투 테스트와 레드팀 훈련, 조정된 취약점 공개, SBOM, 의존성 혼동이나 정규 업데이트를 이용하는 공급망 공격을 다루고, 클라우드와 ID 분야로서 스토리지 공개 설정의 오류, 지나치게 넓은 권한, MFA 피로 공격, 패스키가 피싱에 강한 이유, 세션 쿠키의 탈취, 특권 접근 관리, 리포지토리에 넣은 비밀 정보를 학습합니다. 마지막으로 평균 탐지 시간, 대책의 투자 대비 효과(ROSI), IDS 경고 중 실제 공격의 비율, 필요한 분석가 인원수를 계산으로 확인합니다. IT 자격시험의 보안 분야 학습에도 도움이 됩니다. 계산 문제의 값은 오답 선택지의 값도 포함하여 Python으로 계산해 확인했습니다. 연도나 판을 적은 규격과 사건은 그 시점의 정보입니다. 정보 보안의 3요소, 위험 대응, 악성코드와 피싱, 웹 애플리케이션의 취약점, CVE와 CVSS의 기본, 랜섬웨어에 감염되었을 때의 첫 대응은 '정보 보안 기초', 암호와 인증서는 '암호 기술의 기초와 응용', 하드웨어의 다층 방어와 보안 부팅은 '하드웨어 보안', 방화벽과 VPN의 기본은 '네트워크 기초', 공동 책임 모델은 '클라우드와 컨테이너의 기초', ITIL의 인시던트 관리는 '서비스 관리와 시스템 감사' 분야에서 다룹니다.

사이버 공격과 방어의 실무 전체 문제 (40)
  1. 록히드 마틴사가 2011년에 제시한 사이버 킬 체인은 표적형 공격의 흐름을 7개 단계로 나눈다. 단계의 순서로 올바른 것은?
  2. MITRE ATT&CK는 실제 공격에서 관측된 수법을, 공격자의 목적을 나타내는 '전술(Tactics)'과 그 목적을 달성하는 구체적인 방법을 나타내는 '기법(Techniques)'으로 나누어 정리한 지식 베이스이다. 관측된 행동과 그것이 해당하는 전술의 조합으로 올바른 것은?
  3. 공격자가 조직의 네트워크에 처음 들어오는 '초기 접근'의 수법에 해당하는 것은?
  4. 사내 네트워크의 통신 기록을 조사했더니 다음과 같은 통신이 발견되었다. 악성코드가 외부 지령 서버(C2 서버)와 통신하고 있을 의심이 가장 강한 것은?
  5. 웹 애플리케이션의 취약점을 파고든 공격자가 웹 서버 프로그램과 같은 일반 사용자 권한으로 명령을 실행할 수 있게 되었다. 이후 공격자가 수행하는 '권한 상승'의 예로 올바른 것은?
  6. 직원 PC 한 대가 공격자에게 탈취되더라도, 거기서 사내의 다른 PC나 서버로 침해가 퍼지는 '측면 이동'을 어렵게 하는 대책으로 가장 적절한 것은?
  7. 침입한 공격자가 독자적인 악성코드를 되도록 사용하지 않고, PowerShell이나 WMI, 표준 원격 관리 기능 등 원래 OS에 들어 있는 정규 도구로 활동하는 수법을 '환경 기생형(Living off the Land)'이라고 한다. 이 수법에 대한 대책의 사고방식으로 가장 적절한 것은?
  8. 제로 트러스트의 사고방식에 기반한 접근 제어의 설명으로 올바른 것은?
  9. NIST SP 800-207의 제로 트러스트 아키텍처에서는 접근을 허가할지 판단하는 '정책 결정 지점(PDP)'과 판단을 실행하는 '정책 시행 지점(PEP)'을 나누어 생각한다. 직원이 업무 애플리케이션에 접근할 때 두 가지의 역할에 대한 설명으로 올바른 것은?
  10. 재택근무 직원이 사내 시스템을 사용하기 위한 방식으로서, 기존의 원격 접속 VPN과 ZTNA(Zero Trust Network Access)를 비교한 설명으로 올바른 것은?
  11. 기존의 백신 소프트웨어와 비교한 EDR(Endpoint Detection and Response)의 특징으로 올바른 것은?
  12. 보안 감시 체제에서 사용되는 SIEM, SOAR, SOC의 역할의 조합으로 올바른 것은?
  13. IDS(침입 탐지 시스템)와 IPS(침입 방지 시스템)의 차이에 대한 설명으로 올바른 것은?
  14. IDS의 탐지 방식 중 시그니처형(오용 탐지형)과 어노멀리형(이상 탐지형)을 비교한 설명으로 올바른 것은?
  15. WAF(웹 애플리케이션 방화벽)에 대한 설명으로 올바른 것은?
  16. 사내 파일 서버에 업무에서는 아무도 사용하지 않는 '미끼' 파일이나, 어느 시스템에서도 사용되지 않는 미끼 관리자 계정을 두고, 그것들에 대한 접근을 감시한다. 이 대책의 주된 이점은?
  17. 미국 NIST가 2012년에 공개한 인시던트 대응 지침 SP 800-61 제2판(Rev. 2)은 인시던트 대응을 4개 단계의 반복으로 제시한다. 단계의 순서로 올바른 것은?
  18. 인시던트가 일어난 서버에서 조사를 위한 증거를 수집한다. 증거를 사라지기 쉬운 순서(휘발성이 높은 순서)로 수집한다는 사고방식에 따른 순서로 가장 적절한 것은?
  19. 인시던트 조사에서 디스크 복제본 등의 증거를 나중에 소송이나 경찰 신고에도 사용할 수 있도록 다루고 싶다. 증거 보관의 연속성(Chain of Custody)이라는 사고방식에 따른 취급으로 가장 적절한 것은?
  20. 위협 탐지에서 사용되는 IoC(Indicator of Compromise)와 IoA(Indicator of Attack)에 대한 설명으로 올바른 것은?
  21. 조직 안에 두는 CSIRT와 PSIRT의 역할 차이로 올바른 것은?
  22. 침입 조사에서 서버 2대의 로그를 대조한다. 웹 서버의 로그는 협정 세계시(UTC)로 기록되었고, 시계는 NTP로 정확하게 맞춰져 있었다. 파일 서버의 로그는 일본 시간(UTC+9시간)으로 기록되었고, 시계는 정확한 시각보다 4분 빨랐다. 웹 서버의 로그에는 수상한 로그인이 01:52(UTC), 파일 서버의 로그에는 대량의 파일 읽기가 10:58(일본 시간)로 기록되어 있었다. 파일 읽기가 실제로 일어난 것은 수상한 로그인의 몇 분 후인가?
  23. 같은 주에 취약점 3개의 수정이 공개되었다. 운영 담당자는 하루에 하나씩만 수정을 적용할 수 있다. 가장 먼저 수정을 적용해야 할 것과 그 이유의 조합으로 가장 적절한 것은?
  24. 조직의 방어를 확인하는 방법 중 취약점 스캔, 침투 테스트, 레드팀 훈련의 차이에 대한 설명으로 올바른 것은?
  25. 외부 보안 연구자가 어떤 기업의 제품에서 공표되지 않은 취약점을 발견했다. 조정된 취약점 공개(Coordinated Vulnerability Disclosure)의 사고방식에 따른 진행 방법으로 가장 적절한 것은?
  26. SBOM(소프트웨어 자재 명세서)을 만들어 관리하는 주된 목적으로 올바른 것은?
  27. 어떤 기업은 사내 패키지 저장소(프라이빗 레지스트리)에 사내 전용 라이브러리 acme-utils를 두고 사용하고 있다. 공격자가 공개 패키지 저장소에 같은 이름 acme-utils로 더 큰 버전 번호의 패키지를 등록했더니, 빌드 설정에 따라서는 사내 빌드 환경이 공격자의 패키지를 가져와 버린다는 것이 밝혀졌다. 이 '의존성 혼동(dependency confusion)'에 대한 대책으로 가장 적절한 것은?
  28. 2020년 12월에 드러난 SolarWinds사 사건에서는 IT 관리용 소프트웨어의 빌드 환경에 공격자가 들어와 정규 업데이트 프로그램에 부정한 코드가 섞여 들어갔다. 이 업데이트는 개발사의 정규 코드 서명이 붙은 상태로 배포되었다. 이 사건에서 얻을 수 있는 교훈으로 가장 적절한 것은?
  29. 클라우드의 오브젝트 스토리지에 둔 고객 정보 파일이 인터넷의 누구나 읽을 수 있는 상태였다는 것이 밝혀졌다. 이러한 정보 유출의 전형적인 원인과 재발을 막는 대책의 조합으로 적절한 것은?
  30. 클라우드에서 동작하는 배치 처리에, 모든 조작을 허가한 관리자 권한의 액세스 키(장기간 유효한 인증 정보)를 설정 파일에 적어 넘기고 있었다. 이 키가 유출되었을 때의 피해를 작게 하기 위한 재검토로 가장 적절한 것은?
  31. 공격자가 직원의 비밀번호를 입수하고 로그인을 수십 번 반복하여, 직원의 스마트폰에 승인을 요구하는 알림을 대량으로 보냈다. 직원은 귀찮아져서 그만 '승인'을 눌러 버렸다. 이 공격에 대한 대책으로 가장 적절한 것은?
  32. FIDO2(WebAuthn)의 패스키에 의한 인증이 일회용 비밀번호(OTP)와 비교하여 피싱에 강하다고 여겨지는 이유로 올바른 것은?
  33. 어떤 웹 서비스에서 서로 다른 많은 IP 주소로부터, 각각 다른 사용자의 ID와 비밀번호 쌍으로 로그인이 대량으로 시도되었고 일부가 성공했다. 시도된 쌍의 대부분은 다른 서비스에서 유출된 것과 일치했다. 이 공격의 이름은?
  34. 다요소 인증을 사용하는 클라우드 메일 서비스에서, 직원이 진짜와 똑같은 로그인 화면으로 유도되어 비밀번호와 일회용 비밀번호를 입력했다. 공격자는 그 화면을 진짜 서비스와의 중계에 사용하여, 로그인 후에 발급된 세션 쿠키를 훔쳐 직원으로 사칭했다. 이 공격과 대책에 대한 설명으로 가장 적절한 것은?
  35. 서버의 관리자 계정을 지키기 위한 특권 접근 관리(PAM)의 사고방식으로 가장 적절한 것은?
  36. 개발자가 클라우드 서비스의 API 키를 포함한 설정 파일을 실수로 공개 Git 리포지토리에 커밋해 버렸다. 알아챈 즉시 그 파일을 삭제하는 변경을 커밋했다. 이후에 해야 할 대응으로 가장 적절한 것은?
  37. 어떤 조직에서 일어난 인시던트 4건에 대해 발생부터 탐지까지의 시간과 탐지부터 봉쇄까지의 시간은 건 1이 10시간과 4시간, 건 2가 30시간과 2시간, 건 3이 2시간과 6시간, 건 4가 6시간과 4시간이었다. 발생부터 탐지까지의 평균 시간(MTTD)과 탐지부터 봉쇄까지의 평균 시간(MTTC)의 조합으로 올바른 것은?
  38. 랜섬웨어 피해에 대해 1회 피해액(SLE)을 4000만 엔, 연간 발생 횟수(ARO)를 0.5회로 추정했다. 대책 A는 연간 비용이 600만 엔이며 발생 횟수를 연 0.2회로 낮춘다. 대책 B는 연간 비용이 300만 엔이며 발생 횟수는 바뀌지 않지만 복구를 앞당겨 1회 피해액을 2400만 엔으로 낮춘다. 연간 예상 손실액(ALE) = SLE × ARO, ROSI = (ALE 감소액 − 대책의 연간 비용) ÷ 대책의 연간 비용으로 할 때, ROSI가 큰 쪽의 대책과 그 값의 조합으로 올바른 것은?
  39. 어떤 IDS는 하루에 100만 건의 접속을 조사한다. 그중 실제 공격은 100건이다. 이 IDS는 공격의 99%를 탐지하고, 공격이 아닌 접속의 0.1%를 잘못 공격으로 판정한다. IDS가 낸 경고 중 실제로 공격인 것의 비율에 가장 가까운 것은?
  40. 어떤 SOC에서는 SIEM이 하루에 1440건의 경고를 내고, 경고는 하루 동안 균등하게 발생한다. SOAR의 자동 처리로 75%의 경고가 분석가의 확인 없이 처리되고, 나머지 경고에는 1건당 평균 10분의 분석가 작업이 필요하다. 분석가는 쉬지 않고 작업할 수 있는 것으로 할 때, 경고를 발생 속도에 뒤처지지 않고 처리하기 위해 항상 배치해야 하는 분석가의 최소 인원수는?

네트워크와 보안의 다른 분야