위험관리 이론

  • 위험관리 개요
정보기술의 자산은 반드시 보호를 필요로 함
자산에 대한 보호를 체계적으로 하기 위해 자산을 식별
이것을 위협으로 부터 어느정도 위험에 처해있는지 측정
위험수준을 적절한 정도로 낮추기 위해 보안대책을 수립


  • 위험의 종류
물리적 피해
인간 상호작용
장비 고장
내부 및 외부의 공격


  • 전체위험과 잔여위험
전체위험 = 위협 * 취약점 * 자산
잔여위험 = (위협 * 취약점 * 자산) * 통제격차
잔여위험 : 100% 안전한 시스템은 존재하지 않음. 위험을 수용할 수 있는 수준으로 감소하는데 목적을 둔다(한정된 예산). 여기서 남겨진 위험(수용할 수 있는)을 잔여위험이라 함.


  • 자산(Asset)
정보(데이터), 소프트웨어, 물리적 자산, 서비스, 인력 등 조직에서 보유하고 있는 가치가 있는 모든 것


  • 위험에 대한 대책
위험회피 : 위험이 존재하는 프로세스나 사업을 수행하지 않고 포기함
위험수용 : 현재의 위험을 받아들이고 잠재적 손실 비용을 감수함
위험전이 : 보험이나 외주 등으로 잠재적 비용을 제3자에게 이전하거나 할당함
DoA유지 비용이 지나치게 높을 경우 선택하는 경우
위험감소 : 위험을 감소시킬 수 있는 대책을 채택하여 구현함. 소요되는 비용과 실제 감소되는 위험의 크기를 비교 비용효과 분석을 실시한다.
(정보보호대책의 효과 = 기존 ALE - 대책 구현 후 ALE - 연간 대책 비용)이 +라면 정보보호대책을 선택한다



  • 위험분석
위험관리의 가장 핵심적인 부분
보호되어야 대상 정보시스템과 조직의 위험을 측정
측정된 위험이 허용가능한 수준인지 판단
위험관리와 위험분석의 개념

<위 그림은 저자 조상진님의 알기사 책을 참고하였습니다>



  • 위험평가
정보자산에 대한 잠재적 및 알려진 위협과 취약성으로 나타날 수 있는 조직의 피해와 현재 구현된 정보보호대책의 실패 가능성 및 영향을 평가(수용가능한 위험수준을 진단)
정보자산의 위험을 관리할 수 있는 적절한 정보보호대책을 선택 및 우선순위를 확보하는 것이 목표


  • 국내 보안성평가(CC)기관
한국인터넷진흥원(KISA)
한국산업기술시험원(KTL)
한국시스템보증(KOSYAS)
한국아이티평가원(KSEL)
한국정보통신기술협회(TTA)



  • TCSEC(Trusted Computer Sysstem Evaluation Criteria)
미국에서 1985년 최초로 만들어진 일명 '오렌지북'이라고 불림. TCSEC에서는 정보제품의 보안성에 영향을 줄 수 있는 보안요구를 보안정책, 책임성, 신뢰성, 문서화로 분류해 기본요구사항을 명시하고 보안등급을 7단계로 나누어 규정함


  • ITSEC(Information Technology Security Evaluation Criteria)
1991년에 유럽 각국의 기준과 미국의 TCSEC의 내용을 참조하여 새로운 유럽 공통 평가 기준인 ITSEC를 공동으로 만들었음


  • 정성적 위험분석
구성요소와 손실에 숫자와 화폐적 가치를 부여하는 대신 다양한 위험 가능성의 시나리오에 정성적 요소를 투영하는 방법. 자산의 중요성이 우선. 숫자랑 안친함

- 델파이법 : 전문가 집단의 의견과 판단을 추출하고 종합. 전문가들에게 설문조사를 실시. 짧은 시간안에 결론도출 가능. 시간과 비용이 절약되지만 정확도가 낮다는 단점이 있음. 주간적인 견해가 개입될 수 있음.

- 시나리오법 : 어떠한 사실도 기대대로 되지 않는다는 베이스. 특정 시나리오를 통해 발생 가능한 위협의 결과를 도출. 정확성이 낮음

- 순위결정법 : 비교우위순위 결정표에 위험 항목들의 서술적 순위를 결정. 정확도가 낮음


  • 정량적 위험분석
위험에 대한 분석을 숫자나 금액등으로 객관적 표시. 많은 시간과 인력이 필요

- 과거자료분석법 : 과거자료를 통해 위험 발생 가능성을 예측. 자료가 많을수록 정확도는 높아짐. 과거 사건이 미래발생 가능성이 낮아질 수 있는 환경에선 적용이 어려움

- 수학공식접근법 : 위협 발생빈도를 계산하는 식을 이용하여 위험을 계량화하는 방법. 기대손실을 추정하는 자료의 양이 적다는것이 단점

- 확률분포법 : 미지의 사건을 확률적으로 편차를 이용하여 위험평가를 예측. 정확도가 낮음



  • 접근방식에 따른 위험분석 기법 종류

- 베이스라인 접근법 : 위험분석을 수행하지 않고 모든 시스템에 대하여 표준화된 대책을 체크리스트 형태로 제공. 보안관리를 수행하기 어려운 소규모 조직이나 대규모 조직의 중요하지 않은 일반 자산에 대해서 사용하는 편


- 벨-라파듈라(Bell-Lapadula) 모델 : 미 국방부의 다수준 보안정책으로 부터 개발. 객체애 대한 기밀성을 유지하는데 중점. 무결성하고 가용성은 관심없음. 분류된 정보가 덜 안전한 수준으로 이관하거나 전송하는 것을 방지.


- 비바(Biba) 모델 : 비군사적 조직에 있어서 무결성은 기밀성보다 중요하다. 기밀성과 가용성이 아닌 무결성에만 집중.


- 클락 윌슨(Clark-Wilson) 모델 : 무결성 관점에서 접근통제 모델. 주체는 객체에 대한 직접적인 접근을 가지지 않음. 객체는 오직 프로그램을 통해서만 접근가능. 휴율적 업무처리+임무분할 두가지 원칙. 효과적 무결성 보호.


  • 정량적 예상손실액
단일예산손실액(SLE) = 자산가치 * 노출계수
연간예상손실액(ALE) = 회사자산가치 * 노출계수 * 연간발생률, SLE * 연간발생률


  • 보안평가수준 7단계
1. 관리적 부문 : 정보보호관리체계에 준하여 관련된 분야를 선별, 설문 및 면담하고 평가한다
2. 물리적 부문 : 서버 및 네트워크 장비의 물리적 보안상태에 대하여 평가
3. 네트워크 부문 : 네트워크 장비의 기술적 보안 현황에 대한 평가
4. 시스템 부문 : 각 업무 프로세스별 서버들의 기술적 보안현황에 대한 평가
5. 응용시스템 부문 : 각 업무 프로세스별로 업무 수행을 위해 사용되는 응용시스템의 기술적 보안현황 평가
6. 데이터베이스 부문 : 각 업무 프로세스별로 업무 수행을 위해 사용되는 데이터베이스 기술적 보안현황 평가
7. PC 및 기타 단말기 : PC 및 기타 단말기들의 기술적 보안현황에 대한 평가


댓글

댓글 쓰기

이 블로그의 인기 게시물

ping 일반오류 (General failure)를 고쳐보자

이미지
시작 일반적으로 인터넷이 안될 때 "ping" 명령어를 이용한다 이때 보게 되는 문구가 PING 전송하지 못했습니다. General failure 일반오류 요청 시간이 만료되었습니다 이것을 구분하려면 icmp의 속성에 대해서 조금 이해가 필요하다 다음은 일반적으로 가정집에서의 네트워크 구조이다 셋탑박스나 IPTV등이 빠져있으나 이번에는 그게 중요한게 아니니 패스 가정집 뿐 아니고 대부분의 경우 가운데 검정색 장비 즉 공유기. 이 공유기가 gateway 역할을 하게 되는데 이 gateway가 가장 중요하다 그래서 보통 인터넷이 잘 안되면 본인의 IP주소를 확인하고 gateway로 ping 체크를 시도한다 여기서 ping이란게 컴퓨터에서 공유기로 뭔가 신호를 보내서 시도하는걸 말하는데 컴퓨터 -> 공유기...   이런 개념이 사실 아니다. 핑 체크가 정상적으로 성공하면 위 그림중에 "192.168.1.10의 응답 바이트=32 시간<1ms TTL=64" 이런식으로 결과가 나오는데 이 결과 한줄이 신호의 왕복을 이야기한다 단순해 보이지만 아주 중요한 개념이다 그럼 이 이야기를 왜 하느냐? 위의 3가지 문구는 크게 2개로 분류할 수 있다. 컴퓨터 -> 공유기로 ping 시도한다는 가정하에 1. 컴퓨터 자신의 문제 2. 공유기의 문제 (LAN 케이블의 문제) 2번은 컴픂터 자신의 문제가 아닌경우 라고 요약할 수 있다 PING 전송하지 못했습니다. General failure 일반오류 이 2가지는 컴퓨터의 문제. 즉 1번 요청 시간이 만료되었습니다 이건 랜케이블 혹은 공유기의 문제이다 여기서 '문제'는 워낙 다양하기 때문에 뭐다! 라고 특정할 수 없다 장애마다 그 원인이 다 다를 수 있다. 빈도의 차이는 있지만 워낙 다양하다 그럼 어떻게 해
Read more »

Windows 10. 공유폴더 쉽게 삭제하기 (feat. CMD)

이미지
시작 IT 자산관리나 보안쪽 이슈중 하나인 보안감사가 있다 말그대로 정보보안을 얼마나 잘 지키면서 근무를 하나 감사를 실시하는건데 사실, 거창하게 서류를 뒤지고 하는 행위보다는 기본적인 보안사항에 대해 초점을 맞추고 진행하는 경우가 대부분이다 그중 가장 취약한 항목이 Windows에서 사용하는 공유폴더 얼마전 내가 근무하는 곳 중 한곳에서도 이것때문에 큰 일을 치뤘다 그래서 오늘은 Windows에서 내 PC에 설정된 공유폴더 리스트 확인 그리고 삭제하는 법등에 대해서 포스팅을 해본다 탐색기보다 COMMAND를 이용하자 탐색기가 마우스를 이용하는 익숙한 환경에 초보자도 쉽게 이용할 수 있다는 이미지가 있지만 공유폴더를 만들때는 그렇다 하지만 지울때는 COMMAND창에서 하는게 더 쉽다는 이야기 1. 공유폴더 확인 CMD창을 불러오는 방법은 윈도우 키를 누른 후 "cmd"라고 입력하면 한글로 명령프롬프트 라는 프로그램이 리스트업된다 이걸 실행하거나 [윈도우키]+[R]을 누른 후 명렁어 창에 "cmd"라고 입력하고 엔터를 누르면 된다 cmd를 실행한 후 위 화면처럼 net share 라고 입력하면 현재 나에게 설정되어 있는 공유폴더 리스트가 나온다 위 화면은 default로 설정되어 있는 폴더들이다. IPC$는 특히 보안에 취약하다. 원격 컨트롤 시 사용하게 되는 폴더로 공유기능 사용시 파이프 역할을 하는 폴더라고 생각하면 된다 만약 본인의 컴퓨터가 원격 데스크탑 서비스를 해야한다면 (원격 허용) 삭제하지 말아야 한다 2. 공유폴더 삭제하기 명령어는 간단하다 net share "공유이름" /delete 해서 위에는 net share ADMIN$ /delete라고 입력했는데 엑세스가 거부되었다고 나온다 무엇? 바로
Read more »

Piolink TiFront Switch password recovery (파이오링크 스위치 비밀번호 초기화)

이미지
파이오링크 TiFront G24 Switch 패스워드 초기화 방법 방법 생각보다 쉽다 1. 우선 스위치의 전원을 켜기 전 Console 연결까지 준비한다음 전원을 올린다 2. 전원을 키자마자 !를 열나게 누른다 즉 Shift + 1을 누른다는 이야기 그럼 위 화면처럼 새로운 프롬프트가 생성되며 Cisco의 ROMMON모드처럼 긴급모드로 진입한다 3. 명령어 setenv default_passwd yes saveenv 이렇게 입력하면 패스워드를 초기 패스워드로 설정하고 flash에 저장하게 된다 4. 시스코에서는 "boot"라고 입력했지만 여기선 run bootcmd 라고 입력해야 긴급모드에서 바로 부팅을 시도하게 된다 5. 가장중요하다 Default ID & Password는 root admin 생각보다 쉽다.
Read more »