한국어
메뉴

사이버 공격과 방어의 실무

위협 탐지에서 사용되는 IoC(Indicator of Compromise)와 IoA(Indicator of Attack)에 대한 설명으로 올바른 것은?

  1. AIoC는 공격자의 행위나 의도에 주목한 것이고, IoA는 악성코드의 해시값이나 C2 서버의 IP 주소 같은 구체적인 흔적이다
  2. BIoC는 악성코드의 해시값이나 C2 서버의 IP 주소 같은 침해의 구체적인 흔적이고, IoA는 인증 정보 탈취 시도 같은 공격자의 행위에 주목한 것이다
  3. CIoC도 IoA도 취약점의 심각도를 0.0~10.0의 수치로 나타낸 것으로, 수정을 적용할 순서를 정하는 데 사용한다
정답과 해설 보기

정답: B. IoC는 악성코드의 해시값이나 C2 서버의 IP 주소 같은 침해의 구체적인 흔적이고, IoA는 인증 정보 탈취 시도 같은 공격자의 행위에 주목한 것이다

IoC(침해 지표)는 침해가 일어났음을 나타내는 구체적인 흔적으로, 악성코드 파일의 해시값, C2 서버의 IP 주소나 도메인 이름, 특유의 파일 이름 등이 있습니다. 다른 조직이나 위협 인텔리전스 제공처와 공유하고, 자기 조직의 로그나 단말과 대조하여 같은 공격을 받고 있지 않은지 조사하는 데 사용합니다. 다만 해시값이나 IP 주소는 공격자가 쉽게 바꿀 수 있으므로, 인증 정보 탈취 시도나 정규 도구를 사용한 내부 이동처럼 공격자가 바꾸기 어려운 행위에 주목하는 IoA(공격 지표)와 조합하여 사용합니다.

이 분야 연습하기 분야로 돌아가기

사이버 공격과 방어의 실무의 다른 문제

  1. 조직 안에 두는 CSIRT와 PSIRT의 역할 차이로 올바른 것은?
  2. 침입 조사에서 서버 2대의 로그를 대조한다. 웹 서버의 로그는 협정 세계시(UTC)로 기록되었고, 시계는 NTP로 정확하게 맞춰져 있었다. 파일 서버의 로그는 일본 시간(UTC+9시간)으로 기록되었고, 시계는 정확한 시각보다 4분 빨랐다. 웹 서버의 로그에는 수상한 로그인이 01:52(UTC), 파일 서버의 로그에는 대량의 파일 읽기가 10:58(일본 시간)로 기록되어 있었다. 파일 읽기가 실제로 일어난 것은 수상한 로그인의 몇 분 후인가?
  3. 같은 주에 취약점 3개의 수정이 공개되었다. 운영 담당자는 하루에 하나씩만 수정을 적용할 수 있다. 가장 먼저 수정을 적용해야 할 것과 그 이유의 조합으로 가장 적절한 것은?
  4. 조직의 방어를 확인하는 방법 중 취약점 스캔, 침투 테스트, 레드팀 훈련의 차이에 대한 설명으로 올바른 것은?
  5. 외부 보안 연구자가 어떤 기업의 제품에서 공표되지 않은 취약점을 발견했다. 조정된 취약점 공개(Coordinated Vulnerability Disclosure)의 사고방식에 따른 진행 방법으로 가장 적절한 것은?