이제 시작이야! 정보 보안의 이해: THE BASICS

 

 

 

 

이제 시작이야! 정보 보안의 이해

 

:THE BASICS 철통보안 시리즈 006

 

저자: 제이슨 안드레스

역자: 융합보안연구회(CSS)

출판사: 비제이퍼블릭

 

출간일: 2012년 5월 29일(화)

정가: 20,000원

페이지: 240p

 

판형: 175 x 230

ISBN: 978-89-94774-14-5 (93560)

원서정보: The Basics of Information Security

 

 

 

책 소개

 

이론과 실습을 통해 정보 보안의 기초 이해하기

 

"이 책은 정보 보안에 입문하고자 하는 사람들을 위한 최고의 입문서로, 이해하기 쉬운 구성으로 핵심 원리를 체계적으로 다루고 있다. 직장이나 사회 환경의 정보 보안을 지적으로 논의하고자 하는 사람들에게 이 책을 추천한다."

 

-       STEVE WINTERFELD

CYBER WARFARE의 저자(CISSP/PMP)

 

 

따분하고, 따분하고, 다시 봐도 따분하다. 정보보호의 기초 서적을 볼 때 떠오르는 말이다. 단조로운 이론, 딱딱한 설명, 간결하고 불충분하기까지 한 주제들, 그리고 여러분은 절대 암호전문가로 미국 국가정보국(NSA)에 고용되지 못할 것이라는 사실까지 알고 있다. 사실 지금까지의 5시간이 아니라 30분 안에 잠들게 하는 책들이 바로 여러분이 본 전부다. 인내해야 하는 것은 필요악이다. 과연 그런가? 예비보안전문가 여러분, 이제부터는 아닐 것이다.

 

 

《이제 시작이야! 정보 보안의 이해: THE BASICS》는 여러분에게 정보 보안의 이론과 실무에 대한 기초지식을 제공한다. 기밀성, 가용성, 무결성과 같은 정보 보안의 핵심 개념뿐만 아니라 더욱 향상된 고급연구를 위한 팁과 추가 자료를 다루고 있다. 이 책은 또한 운영, 물리, 네트워크, 운영체제, 응용프로그램의 보안에 대한 실제 응용을 담고 있고, 각 장의 끝에 연습문제를 수록하여 교재로 사용되기 위한 충분한 내용을 포함한다.

 

 

이 책의 특징

 

l  방대한 매뉴얼을 살펴볼 필요 없이 이 책만으로도 정보 보안에 대해서 충분히 배울 수 있다.

 

l  각 장마다 각 개념에 대한 유용한 구현을 보여주는 실제 사례를 포함하였다.

 

l  현업종사자, 학생 그리고 배우고자 하는 열정을 지닌 모든 이들에게 정보 보안 분야에 대한 대한 넓은 시야를 제공한다.

 

 

독자 대상

 

이 책은 보안 전문가뿐 아니라 네트워크와 시스템 관리자 등의 업무를 시작하려는 독자에게 도움이 될 수 있는 귀중한 정보를 담고 있다. 이 책은 정보 자산을 어떻게 지키고 공격에 대응하며, 그러한 개념들을 실무에 어떻게 적용할 것인가에 대한 내용을 담고 있다. 관리자들은 자신들의 조직 구성원들의 전체적인 보안업무를 향상시킬 수 있다는 점에서 이 책이 도움이 될 것이다. 이 책에서 다루는 개념들은 보안 프로젝트와 정책을 운영하기 위해 사용될 수 있고, 적용하는 시스템의 주요 보안 이슈들의 위험성을 감소시키는 데 도움을 줄 것이다.

 

 

 

저자소개

 

제이슨 안드레스

 

업계와 학계 모두에서 깊이 있는 식견을 갖춘 정보 보안 전문가다. 그는 현재 굴지의 소프트웨어 회사에서 국제적인 정보 보안 관리와 모의해킹, 위험평가, 회사 자산 보호를 위한 규정준수를 지도하고 있다. 2005년부터 보안 과정의 학부생과 대학원생을 가르치고 있으며, 데이터 보안 분야의 컴퓨터공학 박사 학위를 가지고 있다. 그는 데이터 보안, 네트워크 보안, 모의해킹, 디지털 포렌식에 대한 주제로 여러 권의 저서를 발간하기도 하였다.

 

 

 

역자소개

 

융합보안연구회(CSS)

 

국광호 (서울과학기술대학교 산업정보시스템공학과 교수, 융합보안연구회 지도교수)

박원형 (극동대학교 정보경영학과 교수, CISSP, ACE, CHFI, MCSE, OCP, CIW Security Analyst)

임영환 (서울과학기술대학교 IT정책대학원 박사, 서울테크노파크 선임연구원, CISSP, CISA, ACE)

허건일 (SK인포섹 침해사고대응팀, CISSP, ACE)

박찬욱 (연세대학교 정보대학원 석사, CISSP, ACE)

유홍렬 (융합보안연구회 연구팀장, OCJP, ACE)

김윤영 (융합보안연구회 연구원, 정보처리기사)

김남훈 (융합보안연구회 연구원, ACE)

서동혁 (융합보안연구회 연구원, LPIC, ACE)

김대호 (융합보안연구회 연구원, ACE)

박승찬 (융합보안연구회 연구원)

 

 

 

 

목차

 

1장. 정보 보안

 

보안이란 무엇인가?

보안 이슈 논의를 위한 모형

공격

계층방어

요약

연습문제

 

2장. 식별과 인증

 

식별

인증

요약

연습문제

 

3장. 인가와 접근통제

 

인가

접근통제

접근통제 방법론

요약

연습문제

 

4장. 책임추적성 및 감사

 

책임추적성

감사

요약

연습문제

 

5장. 암호기법

 

역사

현대 암호기법의 도구들

정지 중, 이동 중, 사용 중의 데이터 보호

요약

연습문제

 

6장. 운영 보안

 

운영 보안의 유래

운영 보안의 과정

운영 보안의 법칙

실생활에서의 운영 보안

요약

연습문제

 

7장. 물리 보안

 

물리 보안 통제

인명 보호

데이터 보호

장비 보호

요약

연습문제

 

8장. 네트워크 보안

 

네트워크의 보호

네트워크 트래픽의 보호

네트워크 보안 도구

요약

연습문제

 

9장. 인가와 접근통제

 

운영체제 강화

악성코드로부터 보호하기

소프트웨어 방화벽과 호스트 침입탐지

운영체제 보안 도구

요약

연습문제

 

10장. 어플리케이션 보안

 

소프트웨어 개발 취약점

웹 보안

데이터베이스 보안

어플리케이션 보안 도구

요약

연습문제

 

 

 

출판사 리뷰

 

 

이 책의 구성

 

이 책은 독자들이 기초적인 보안 지식을 쉽게 이해할 수 있도록 논리적인 순서에 따라 구성되었기에 각 장을 순서대로 공부하는 것이 좋다. 책 속에서 다른 장에 언급되어있는 내용을 다룰 경우 어디에서 그 정보를 찾을 수 있는지 알려주기 위해 최선을 다했다. 다음은 각 장에서 다루는 주요 내용이다.

 

1장: 정보 보안

 

1장에서는 정보 보안의 가장 기초적인 개념에 대해서 학습한다. 개인과 기관에 관련된 수많은 정보가 여러 컴퓨터 시스템에 저장되고 이것을 직접 통제할 수 없는 현시대에서 정보 보안은 필수적인 요소다. 이 장에서는 위험과 통제의 기본 개념뿐만 아니라 보안과 생산성이라는 반대되는 개념, 그리고 기밀성, 무결성, 가용성의 3요소와 파커리안(Pakerian) 6요소 등 보안 개념을 쌓는 데 도움이 되는 내용을 다룰 것이다. 마지막으로 심층적인 방어와 그것의 정보 보안에서의 위치에 대해서 다룰 것이다.

 

2장: 식별과 인증

 

2장에서는 식별과 인증에 관련된 보안법칙에 대해서 학습한다. 특정한 당사자의 신분 증명이 타당한지 아닌지 확인하는 과정인 식별에 대해서 논의할 것이다. 또한 신분 제시가 유효한지 확인하는 수단인 인증에 대해서도 논의할 것이다. 인증 과정의 신뢰성을 높이는 다중요소 인증, 생체인식, 하드웨어 토큰에 대해서도 다룰 것이다.

 

3장: 인가와 접근통제

 

3장에서는 인가와 접근통제에 대해서 학습한다. 인가는 특정 주체에게 객체에 대한 접근을 허용하는 과정의 마지막 단계다. 임의적 접근통제, 강제적 접근통제, 역할 기반 접근통제와 같은 시스템을 만들 때 사용하는 다양한 접근통제 모델들에 대해서 다룬다. 또한 벨-라파둘라(Bell LaPadula), 비바(Biba), 클락 윌슨(Clark Wilson), 브류어-내쉬(Brewer and Nash)와 같은 다단계 접근통제 모델에 대해서도 다룰 것이다. 논리적인 접근통제의 개념뿐만 아니라 물리적 접근통제에서 볼 수 있는 전문적인 응용프로그램에 대해서도 살펴본다.

 

4장: 감사 및 책임추적성

 

4장에서는 감사와 책임추적성에 대해서 학습한다. 기업에 있는 자원이나 민감할 수 있는 개인 정보에 접근할 때 접근자의 책임에 관해 논의할 것이다. 또한 사용자의 환경이 법이나 규정, 그리고 정책 등 감사에 의해 속박될 수 있는 요인들에 저촉되지 않는지를 확인하기 위한 절차들을 다룬다. 마지막으로 감사와 책임추적성, 로그기록과 모니터링 등의 감시 활동에 도움이 될 수 있는 도구에 대해서 다룰 것이다.

 

5장: 암호기법

 

5장에서는 암호에 대해서 학습한다. 간단한 대체 암호로부터 최초의 현대 컴퓨터 시스템이 출현하기 이전까지 쓰여온 복잡한 전자기계에 대해서 다루면서 이러한 원시적인 암호 작성 기술들이 현대 암호기법 알고리즘의 배경에 영향을 주었는지에 대해서 살펴볼 것이다. 그리고 3가지 주요 암호기법 알고리즘인 대칭키 암호기법과 비대칭키 암호기법, 해시 함수 알고리즘을 다룰 것이다. 또한 데이터가 임의적으로 수정되지 않음을 보장하고 비대칭키를 통해서 송신자를 인증하는 디지털 서명에 대해서 논의할 것이다. 마지막으로 정적이거나 동적인 데이터를 안전하게 보호하기 위한 메커니즘에 대해서 다룰 것이다.

 

6장: 운영 보안

 

6장에서는 운영 보안에 대해서 학습한다. 운영 보안은 고대 6세기 손자부터 조지 워싱턴에 이르기까지 오랜 역사를 가졌고 일반 기업, 미국 정부의 정식 방법론에까지 쓰인다. 운영 보안에는 중요정보 식별, 위협 분석, 취약점 분석, 위험 결정, 대응 계획 설정에 이르는 5가지 주요 절차가 있다. 이 책에서는 Kurt Haas가 작성한 OPSEC의 법칙을 따르고 있다. 세계의 기업과 정부에서 운영 보안의 운용에 대해 다루는 내용과 운영 보안이 비공식적인 우리의 개인적인 삶에 어떻게 적용이 되는가에 대해서 살펴볼 것이다.

 

7장: 물리 보안

 

7장에서는 물리 보안에 대해서 학습한다. 저지, 탐지, 예방책을 포함하는 물리적 보안통제의 주요 부분에 대해서 이야기하고, 이러한 통제가 어떻게 실무에 적용되고 물리 보안 문제를 해결할 수 있는지에 대해 다룬다. 직원의 안전을 보장하고 데이터와 장비가 어떻게 교체될 수 있고 언제 적절히 조심해야 하는지 등, 사람들이 바꾸기 매우 힘든 물리 보안의 가장 중요한 논점에 대해 논의한다. 또한 직원의 안전을 보장하는 것에 비하면 부차적인 데이터 보호에 관한 내용과 이러한 것이 고도의 기술을 기반으로 하는 기업들에게 얼마나 중요한 활동인지에 대해서 다룬다. 마지막으로 시설 내외적으로 장비를 보호하는 내용을 다룰 것이다.

 

8장: 네트워크 보안

 

8장에서는 어떻게 네트워크를 보호할 수 있는지 다양한 관점에서 살펴볼 것이다. 트래픽을 제어할 수 있는 적절한 체크 포인트를 설정하고 필요한 곳에 이중화를 하기 위해서는 안전한 네트워크 설계과 세분화를 적절히 검토해야 한다. 방화벽과 침입탐지시스템 같은 보안장비들의 작동과 가상사설망(VPN)을 통한 네트워크 트래픽의 보호, 무선네트워크를 위한 특별한 보안조치, 보안 프로토콜의 사용에 대해 논의한다. 또한 키스멧, 와이어샤크, 앤맵, 허니팟과 같은 다양한 보안 도구에 대해 다룬다.

 

9장: 운영체제 보안

 

9장에서는 운영체제 보안에서 가장 중요한 도구인 운영체제 강화(hardening)에 대해서 학습한다. 그리고 사용자의 시스템을 외부의 다양한 공격으로부터 보호하기 위해서 사용하는 안티 악성코드 도구, 소프트웨어 방화벽, 호스트 기반의 IDS 등 추가적인 보안 소프트웨어에 대해서 검토한다. 마지막으로 운영적인 관점으로 사용하는 보안 도구와 포트 스캐닝 도구인 앤맵, 취약점 분석 도구인 네서스(Nessus)와 취약점 공격을 위한 프레임워크인 메타스플로잇 등에 대해서 살펴볼 것이다.

 

10장: 어플리케이션 보안

 

10장에서는 어플리케이션을 보호하기 위한 다양한 방법들을 학습한다. 그리고 버퍼 오버플로우, 자원에 대한 경쟁 상황, 입력 유효성 공격, 인증 공격, 인가 공격과 암호 공격 등의 소프트웨어 개발 절차 중에 발생할 수 있는 공통적인 취약점들에 대해서 다룰 것이고, 이러한 사항들을 보안 코딩 가이드라인을 통해 어떻게 완화할 수 있을지에 대해서 살펴볼 것이다. 다음으로, 서버 단과 클라이언트 단 양쪽 모두를 포함하는 웹 보안의 논점에 대해 논의한다. 그리고 데이터베이스와 프로토콜의 보안 이슈, 비인가된 접근, 임의 코드 실행과 권한 상승에 대해서 다룬 후에 이러한 이슈들을 완화 시킬 방법에 대해서 알아볼 것이다. 마지막으로 어플리케이션의 관점에서 스니핑 도구인 와이어샤크, 마이크로소프트가 개발한 퍼징 도구, 어플리케이션 보안강화를 목적으로 하는 버프 스위트(Burp Suite) 등의 어플리케이션 분석 도구 등에 대해서 논의할 것이다.