IT·컴퓨터 (54) 썸네일형 리스트형 [컬럼] Digital pest - 지금은 더 힘든길로 진입 올해 초에 기고한 글이지만 지금의 상황은 더 적절하게 맞아 들어가고 있다. 예상이 맞아 들어간다는 것은 더 안 좋은 길로 최적의 코스로 진입하고 있음을 의미한다. 디지털 페스트 혹은 인터넷 상에 연결된 다수의 Agent (사용자 PC 및 기타 단말 - 스마트폰)에 번지는 악성코드의 흐름은 근본적인 원인 제거가 되지 않음으로 인해 향후에도 오랜기간 지속될 문제이고 비단 클라이언트 단위만의 문제가 아닌 더 심각한 흐름으로 전환이 될 것이다. 아이튠즈나 유투브의 xss 영향은 아주 미세한 일부분일 뿐이다. 이것과 관련된 내용도 곧 컬럼으로 게재할 예정이다. 2010.07 zdnet 컬럼 기고 글입니다. 디지털 페스트 디지털 페스트라는 용어 자체는 존재하지 않는다. 비유적인 의미에서 사용된 용어라고 할 수 있다.. 보안 전문가와 보안 관리자의 차이와 구분에 대해 보안전문가와 보안관리자의 차이와 구분에 대해 안녕하세요. 바다란입니다. 일전에 보안전문가에 대해서 한번 써보기로 했었는데 생각해 보니 범위도 매우 넓고 세부기술 단위도 많은 문제가 있었습니다. 그리고 보안이라는 부분이 모든 IT 관련된 기술 부분과 연관되다 보니 적용의 범위와 산업의 범위를 어디까지로 두어야 할지 경계가 모호하여 적지 못한 적이 있습니다. 오늘은 IT서비스 부분에 대해 전체의 범주는 아니지만 많은 부분 포함이 되는 범위 안에서 보안전문가와 보안관리자에 대해 써보도록 하겠습니다. 보안전문가와 보안관리자에 대해서 상당히 애매하게 접근을 하고는 합니다. 그러나 일반적으로 알려진 상식으로 구분을 해보면 보안전문가는 보안 관련된 기술을 깊이 있게 이해하고 있고 실제 적용이 가능한 상태로 만들 능력.. 베토벤 바이러스 그리고 보안 전문가 “베토벤 바이러스 그리고 보안전문가” - 2008. p4ssion *본 글은 zdnet 컬럼 기고글입니다. 베토벤 바이러스가 화제가 되고 있다. 드라마와 보안은 무슨 상관이 있을까? 바이러스라는 단어 외에는 보안이라는 용어와 관련이 없는데도 불구하고 이야기 하고 싶은 것은 전문가에 대한 단상 때문이다. 하나의 완성을 위해 끊임 없이 자신을 갈고닦고 스스로를 담금질 하는 모습과 때로는 사회와 격리된 듯한 이질감을 지니게끔 만드는 주인공의 모습을 보며 환호하는 것은 현실에서는 보기 어려운 모습이라고 여기기에 대리 만족을 하는 것은 아닌가 하는 생각이 든다. 그러나 실제 전문가로 살아 가고 열정을 다한다는 것은 동일한 고통과 노력이 있어야만 가능할 것이다. 드라마를 보면서 전문가에.. 공개] SQL Injection and XSS 진단 tool 안녕하세요. 바다란입니다. 2006년 작성내용입니다. XSS 진단 및 SQL Injection 진단 스크립트를 공개 합니다. 특별한 것은 아니구요.. 지난해에 급하게 작성하여 사용 했던 스크립트이니 참고 하시면 될 것 같습니다. 국내에서는 아직도 많은 사이트들이 해킹을 당하고 있는 실정입니다. 지금의 해킹은 페이지 변조가 아닌 내부 침입을 통해 정보를 가져 가거나 악성코드를 심는 형태로 나타나고 있는데 진입점을 막지 못하기 때문에 계속 문제가 될 수 밖에 없습니다. 이 스크립트는 완전하지는 않으나 100% 중에서 80% 이상의 문제 발견이 가능하므로 대응에 도움이 될 것입니다. 대기업이나 여력이 있는 기업에서는 상용 스캐너를 통해 문제의 진단 및 수정을 진행 하고 있으나 소규모 사이트들은 그런 여력이 없.. IT보안의 현재 위험과 대응에 대한 예상 현재의 취약성 및 위협 동향과 향후의 위협과 대응 최근 동향을 보면 다음과 같이 요약이 가능합니다. * 클라이언트 단위의 위험 증가 ( 개인 PC 에 대한 중점적인 공격 ) 해외에서는 피싱등을 이용한 공격이 증가하고 있고 국내에는 직접적인 클라이언트 PC 공격 및 취약성을 이용한 악성코드 설치가 주된 유형입니다. * 일반 Application에 대한 공격 증가 버그트랙이나 기타 메일링을 보아도 운영체제 등에 대한 취약성 보다는 운영체제 기반하에서 영리 목적이나 운영을 목적으로 코딩된 솔루션에 대한 취약성이 집중되고 있습니다.) * 보다 더 집중화된 Bot의 공격 일전에 Bot 관련된 언급을 하면서 Monster Bot 이라는 용어를 언급한 적이 있습니다. 취약성이 나올때 마다 공격 기능이 하나씩 더 추가.. Top 25 프로그래밍 에러 http://cwe.mitre.org/top25/index.html 여기를 참고 하시기 바랍니다. 2009년 한해에 발견된 프로그래밍 실수와 문제점들에 대해서 정리된 내용입니다. Failure to Preserve Web Page Structure ('Cross-site Scripting') Improper Sanitization of Special Elements used in an SQL Command ('SQL Injection') Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') Cross-Site Request Forgery (CSRF) Improper Access Control (Authorization) Relian.. SQL injection 공격 변화 & 중국발 해킹 요약 * 2010년 4월중에 이전 블로그의 글을 완전이전 하면서 링크 부분들을 손 본 내용입니다. 지금의 현실도 여전히 계속 됩니다. 해결 되지 않은 문제들입니다만 이전의 링크와 게시된 시간을 알고 싶으신 분은 blog.naver.com/p4ssion 으로 방문 하시면 됩니다. 앞으로의 모든 갱신은 본 사이트에서만 이루어 집니다. 감사합니다. 아래의 글에서 2007년 이후 부터 현재까지의 내용은 지금 이 시간에도 동일하게 적용 됩니다. 범위만 국내뿐 아닌 전 세계적으로 확장 되었을 뿐입니다. 이 점을 참고 하시면 될 것 같습니다. 2008.11.7 p4ssion. 한국은 바로미터다. 중국발 해킹의 전초 단계로서 향후의 전 세계로 확대되는 공격 양상을 짚어 볼 수 있는 중요한 척도점이 되어 있다. 그 시작은 2.. Sourceforge 등록 - 효과 있는 웹 스캐너 개발 참여 XSS : Cross site scripting - 현재 악성코드 설치 유형이 각 웹서버의 게시물에 대해 Cross site scripting을 이용하여 악성코드를 방문자에게 설치하는 유형이 매우 증가하고 있고 사용자의 쿠키를 외부로 빼내어가 인증 용도로 사용할 수 있는 문제점들이 있으므로 심화 진단하여 제거하는 것이 필요한 취약성 SQL Injection: 일반적인 SQL Injection이 아닌 URL 인자 단위마다 임의의 SQL command를 입력하여 데이터를 빼내어 가거나 DB 권한을 획득하여 정보를 유출 시킴.. 또한 획득한 DB 권한을 이용하여 웹서버의 소스코드를 직접 변경함. Type Error: 문자를 입력하지 않아야 될 곳에 문자가 입력되는 등의 Vb script error의 경우에도 .. 이전 1 2 3 4 ··· 7 다음