3

• FTP 능동 모드 ( 액티브 ) : 21 번 , 20번 포트 이용 (클라이언트는 1024 이상)

• FTP 수동 모드 ( 패시브 ) : 21번, 1024 상 데이터 연결 포트

• tftp 디텍터리 제한 설정 옵션 : -s

• ftp 로그가 저장되는 로그 파일 : /var/log/xferlog

• ftp 계정 별로 사용할 수 없도록 설정하는 파일 : etc/ftpusers

• FTP 보안 위협

• 바운스 어택 : 익명 FTP 를 경유하여 포트스캔

• tftp 공격 : 불필요한 정보 유출 될 수 있음

• 어나니머스 ftp : 익명의 사용자에게 FTP 서버로의 접근 허용

• 스니핑에 의한 계정 비번 노출

• FTP 보안 대책

• 어나니머스 사용자의 루트 디텍터리, bin . etc. pub 디텍터리의 소유자 퍼미션 관리

• root/etc/passwd 파일에서 어나니머스 ftp 에 불필요한 항목 제거

• tftp 가 불필요한 경우 제거

• PGP 는 필 짐머만이 개발한 것으로 키관리는 RSA , 데이터 암호화는 IDEA 를 이용한다.

• PGP 와 S/MINE 은 mime 객체에 암호화와 전자서명 기능을 추가한 암호화 프로토콜이다.

• DRAC : 센드메일에서 동적인 IP 주소를 가진 호스트들의 릴레이 설정을 가능하게 함.

• SSL

• 핸드쉐이크 프로토콜이 수행되는 절차: 보안능력 협상 -> 서버 인증 - > 클라이언트 인증 -> 메시지교환

• 아파치 웹 서버 포트 변경 : /usr/local/apache/conf/httpd.conf

• DNS 에 대한 역검색을 하지 않기 위해서는 : hostnameLookups off 설정 함

• 취약한 인증과 세션 관리

• 개념 : 공격자가 다른 사용자의 아이덴티티로 가장 할 수 잇도록 패스워드, 키, 세션 토큰체계를 위태롭게 하거나 구현된 다른결함들을 악용할 수 있도록 하는 것

• 예방 : 강력한 인증 및 세션 관리 통제의 단일화

• 로그인 후 오랜 시간 작업이 없을 경우 로그아웃 처리

• XSS (크로스 사이트 스크립팅) 예방

• 활성 브라우저 콘텐츠와 신뢰할 수 없는 데이터를 항상 분리해야 함

• 중요한 정보는 쿠키에 저장 하지 않는다

• 사용자가 입력 가능한 문자를 정해놓고 그 문자열이 아니면 모두 필터링 한다.

• 사용자의 입력이 필요한 부분에 HTML 포맷의 입력은 사용할 수 없도록 설정한다.

• 안전하지 않은 직접 객체 참조

• 예방: 제한된 자원을 직접 참조할 때, 요청한 자원에 대해 사용자에게 접근 권한 검증 필요

• 간접 참조일 경우, 직접 참조에 대한 맵핑은 반드시 기존 사용자에게 허용된값으로 제한

• 사용자가 선택할 수 있는 간접 객체 참조 방식을 사용 함

• 보안상 잘못된 구성

• 예방

• 소프트웨어 업데이트 와 패치를 최신으로 유지

• 정기적인 스캐닝과 감사 수행

• 불필요한 서비스, 페이지, 계정 권한등을 정지 혹은 제거

• CSRF

• 개념

• 취약한 웹페이지에 자신의 권한이 아닌 다른 USER 의 권한을 도용해 가짜 요청문을

• 서버로 전송하여 그 권한이 실행되도록 유도하는 방식

• 예방

• CSRF 를 근본적으로 해결하기 위해 사용자 세션마다 고유한 토큰 값을 발생시키는 것이 필요

• 고유 토큰을 히든 필드에 포함 시킨다

• IIS 으루 운영되는 시스템에서 접속하는 방문자의 웹 브라우저의 타입 , O/S , 화면 해상도 등에 대한 정보를 제공하는 로그 파일은 무엇인가 ?

• AGENT LOG

• DNS 는 domain 이름과 ip 를 변환하여 주는 거대한 분산 네이밍 시스템이다. 그리고 그 내용은 Zone 에 저장된다

• TCP/IP 및 네트워크 설정은 /etc/ 이고

• DNS 검색 하기 전에 우선 검색되는 파일로 /etc/hosts 가 있고 , DNS 설정파일은 /rec/resolv.conf 가 있음

• 디폴트 라우트 설정 경로는 : /etc/defaultrouter

• DNS 서버인 BIND 서버 운영시 해당 정보를 보이지 않기 위한 설정 파일 : /etc/named.conf

• 데이터베이스 보안 제어 3가지

• 흐름제어

• 추론 제어

• 접근 제어

• 전자상거래 등의 e-비지니스 환경에서 공개키 암호화 기술을 지원하는 기반구조인 PKI

• 이를 무선 환경으로 확장한 WPKI

• ITU-T 에서 개발한 X.509 가 있음

• SET : 비자와 마스터카드사가 합동 개발함. 이중기술과 RSA 암호화 사용 함

• SET 참여주체 : 사용자, 가상 상점, 카드 발급사, 지불처리은행, 지불게이트웨이, 인증기관

• FSB : 실제 메모리 번지 공격하여 루트 권한 획득 공격기법

• 버퍼오버플로우 : 스택에서 리턴 어드레스 수정하여 흐름 바꿈

• 대응책 : 경계값 체크나 파라미터 체크를 통해 방지 함.

• 레이스컨디션 : 임시파일 생성 하는 프로그램에서 자주 사용함

• 바이러스 처럼 보이나 실제 해를 입히지 않는 프로그램 : 조크 프로그램 , hoax