태터데스크 관리자

도움말
닫기
적용하기   첫페이지 만들기

태터데스크 메시지

저장하였습니다.

바다란입니다.

 

* 작은 방향을 가르키는 전략은 변화무쌍하게 구사하고 있으나 큰 미래와 방향성을 결정하는 Strategy 측면에서는 모두가 보는 부분이 부족하지 않나 생각 됩니다.


지난달 말 부터 IT서비스에 대한 위험과 대응에 대한 글들을 작성 하였습니다.

한번에 집중하여 작성을 못한 관계로 글이 길어졌습니다. 따라서 현안들에 대한 요약이 필요할 것 같습니다.

 

상세한 내용은 첨부한 파일을 참고 하시기 바랍니다.

 

현재의 위험 상황

 

-> 웹을 통한 악성코드 유포 및 DDos 공격 , 개인 PC에 대한 완벽 제어

   http://www.etnews.co.kr/news/detail.html?id=200711070178

-> 안전하지 못한 웹 서비스를 통한 악성코드 유포의 일반화

 

-> IT서비스 환경 근간을 위협하는 트래픽 공격

 

-> 백신 및 보안 서비스의 전역적인 대응 효과 미비

 

-> 인터넷 환경의 급격한 개선에 따라 향후 위험성은 전 세계 서비스로 확대 될 것임

    현재는 가장 빠르고 구조적인 인프라를 보유한 국내를 대상으로 지속적인 해킹 시도

 

-> 국내 개인 PC 인프라 장악 이후 공격에 이용 : 탐지 및 차단의 어려움

 

 

향후를 위한 대응

 * 방향성: 단기간의 공격에는 당할 수 밖에 없으나 그 이상은 당하지 않으며 공격도구의 분석을 통한 전역적인 대응으로 도구의 상실을 기획 하여야 함

 

-> 전역적인 대응 체제 구성의 절대적 필요성

   사용자 개개인에게 보안패치와 백신의 설치 권고만으로는 해결이 불가능함

 

-> ISP 와 분석기관 , 대응 기관의 절대적 협업 필요

    정보획득 -> 분석 -> 대응의 일원화된 프로세스 필요

 

-> 개인 PC 환경의 획기적인 보안성 강화 필요

    트래픽 이상유무 감지 혹은 과다 증가 검출 루틴 필요

    전국적인 대응 체제가 가능한 협의체 ( AV 업체의 연합) 또는 무료백신의 필요성

 

-> Secure한 웹서비스를 위한 Validation check 서비스의 일반화

   국내 웹 App의 80% 이상이 URL 인자 단위의 문제를 포함하고 있음

  ( XSS , SQL Injection 등) 따라서 악성코드 유  포지로서 이용되지 않도록 IT서비스 차원의 특화된 대응 필요

  단기: Validation check 서비스 활성화를 통한 일정규모 이상의 서비스 검수

  장기: Secure programming 의 일반화를 위한 Awareness 확대 - 서적 , 교육 등등

 

이상과 같이 정리가 됩니다.

대응체제 정립이 안될 경우 이제 더 큰 위험들에 IT서비스 부분이 직접 노출이 될 것으로 예상 됩니다.

이 위협은 전 세계의 모든 서비스가 해당이 될 것입니다.

IT서비스의 위험과 향후 대응 -20071101-p4ssion.pdf

IT 서비스의 위험과 향후 대응 PDF

 

* 첨부한 파일을 끝까지 읽을 수 있는 무한한 인내심을 지니신 분에게 경의를 표합니다. ^^;

 

감사합니다.

Posted by 바다란

안녕하세요. 바다란입니다.

 

본 문서는 올해 상반기에 여러 컨퍼런스에서 발표한 자료입니다. 이미 공개적으로 문서화 되어서 배포가 된 내용인데 블로그에 올리는 것을 깜빡 했습니다.

제목은 Trustworthy web service for web 2.0 입니다. Web 2.0 서비스에서의 신뢰할만한 웹 서비스에 대해 정리한 내용입니다.

 

전체 내용은 다음과 같습니다.

 

Web 2.0의 확산에 따른 UCC의 어뷰징 유형을 보이며 어떤 문제들이 있을 수 있는지를 짚어 봅니다.

더불어 Web service Application에 대한 Attack들을 보이며 근래에도 계속 문제가 되고 있는 URL 인자들의 필터링 관련된 문제도 다루고 있습니다.

 

문제들이 있다면 해결책을 제시하는 것은 당연합니다.

문제들을 해결 하기 위해 서비스 분야별로 어떤 대응이 필요한지에 대해서 정리 하였으며 SDLC의 적용이 주기가 빠른 Web Application에 대해서는 적용이 어려우므로 전문인력을 통한 보안 검수 체제에 대해서 설명을 하고 있습니다.

 

보안 검수 체제를 통해 존재하는 서비스에 대한 진단과 신규 개발 서비스에 대한 진단 체제를 갖출 수가 있습니다. 물론 중요한 것은 전문성을 지닌 인력의 확보 이겠죠.

 

의문 사항 있으시면 답글 달아 주세요.

 

그럼 좋은 하루 되세요들.

 

* 파일업로딩이 잘 안되네요.부득이하게 두개의 문서로 짤랐습니다.

Posted by 바다란

안녕하세요. 바다란입니다.

 

본 문서는 올해 상반기에 여러 컨퍼런스에서 발표한 자료입니다. 이미 공개적으로 문서화 되어서 배포가 된 내용인데 블로그에 올리는 것을 깜빡 했습니다.

제목은 Trustworthy web service for web 2.0 입니다. Web 2.0 서비스에서의 신뢰할만한 웹 서비스에 대해 정리한 내용입니다.

 

전체 내용은 다음과 같습니다.

 

Web 2.0의 확산에 따른 UCC의 어뷰징 유형을 보이며 어떤 문제들이 있을 수 있는지를 짚어 봅니다.

더불어 Web service Application에 대한 Attack들을 보이며 근래에도 계속 문제가 되고 있는 URL 인자들의 필터링 관련된 문제도 다루고 있습니다.

 

문제들이 있다면 해결책을 제시하는 것은 당연합니다.

문제들을 해결 하기 위해 서비스 분야별로 어떤 대응이 필요한지에 대해서 정리 하였으며 SDLC의 적용이 주기가 빠른 Web Application에 대해서는 적용이 어려우므로 전문인력을 통한 보안 검수 체제에 대해서 설명을 하고 있습니다.

 

보안 검수 체제를 통해 존재하는 서비스에 대한 진단과 신규 개발 서비스에 대한 진단 체제를 갖출 수가 있습니다. 물론 중요한 것은 전문성을 지닌 인력의 확보 이겠죠.

 

의문 사항 있으시면 답글 달아 주세요.

 

그럼 좋은 하루 되세요들.

 

* 파일업로딩이 잘 안되네요.부득이하게 두개의 문서로 짤랐습니다.

Posted by 바다란

바다란입니다.

 

* 작은 방향을 가르키는 전략은 변화무쌍하게 구사하고 있으나 큰 미래와 방향성을 결정하는 Strategy 측면에서는 모두가 보는 부분이 부족하지 않나 생각 됩니다.

 

지난달 말 부터 IT서비스에 대한 위험과 대응에 대한 글들을 작성 하였습니다.

한번에 집중하여 작성을 못한 관계로 글이 길어졌습니다. 따라서 현안들에 대한 요약이 필요할 것 같습니다.

 

상세한 내용은 첨부한 파일을 참고 하시기 바랍니다.

 

현재의 위험 상황

 

-> 웹을 통한 악성코드 유포 및 DDos 공격 , 개인 PC에 대한 완벽 제어

   http://www.etnews.co.kr/news/detail.html?id=200711070178

-> 안전하지 못한 웹 서비스를 통한 악성코드 유포의 일반화

 

-> IT서비스 환경 근간을 위협하는 트래픽 공격

 

-> 백신 및 보안 서비스의 전역적인 대응 효과 미비

 

-> 인터넷 환경의 급격한 개선에 따라 향후 위험성은 전 세계 서비스로 확대 될 것임

    현재는 가장 빠르고 구조적인 인프라를 보유한 국내를 대상으로 지속적인 해킹 시도

 

-> 국내 개인 PC 인프라 장악 이후 공격에 이용 : 탐지 및 차단의 어려움

 

 

향후를 위한 대응

 * 방향성: 단기간의 공격에는 당할 수 밖에 없으나 그 이상은 당하지 않으며 공격도구의 분석을 통한 전역적인 대응으로 도구의 상실을 기획 하여야 함

 

-> 전역적인 대응 체제 구성의 절대적 필요성

   사용자 개개인에게 보안패치와 백신의 설치 권고만으로는 해결이 불가능함

 

-> ISP 와 분석기관 , 대응 기관의 절대적 협업 필요

    정보획득 -> 분석 -> 대응의 일원화된 프로세스 필요

 

-> 개인 PC 환경의 획기적인 보안성 강화 필요

    트래픽 이상유무 감지 혹은 과다 증가 검출 루틴 필요

    전국적인 대응 체제가 가능한 협의체 ( AV 업체의 연합) 또는 무료백신의 필요성

 

-> Secure한 웹서비스를 위한 Validation check 서비스의 일반화

   국내 웹 App의 80% 이상이 URL 인자 단위의 문제를 포함하고 있음

  ( XSS , SQL Injection 등) 따라서 악성코드 유  포지로서 이용되지 않도록 IT서비스 차원의 특화된 대응 필요

  단기: Validation check 서비스 활성화를 통한 일정규모 이상의 서비스 검수

  장기: Secure programming 의 일반화를 위한 Awareness 확대 - 서적 , 교육 등등

 

이상과 같이 정리가 됩니다.

대응체제 정립이 안될 경우 이제 더 큰 위험들에 IT서비스 부분이 직접 노출이 될 것으로 예상 됩니다.

이 위협은 전 세계의 모든 서비스가 해당이 될 것입니다.

 

* 첨부한 파일을 끝까지 읽을 수 있는 무한한 인내심을 지니신 분에게 경의를 표합니다. ^^;

 

감사합니다.

Posted by 바다란