I 개인정보유출사고사례분석 Ⅱ 인증및접근권한강화방안 Ⅲ 정보보호최고책임자관리 Tip
I 개인정보유출사고사례분석
개인정보유출사고사례 Ⅰ. 개인정보유출사고사례분석 4
인터넷해킹사고 Ⅰ. 개인정보유출사고사례분석 해킹사고접수처리현황 - 2012 년말부터다소감소추세에있지만, 여전히많은피해사례를나타내고있음 피해기관유형별로분류해보면, 유동 IP 가포함된개인 60.0%, 기업 38.0% 등의유형이 98.0% 로대부분을차지 참고자료 : 한국인터넷진흥원 인터넷침해사고대응통계 5
주요개인정보침해사고및대응 Ⅰ. 개인정보유출사고사례분석 7.7 DDoS 공격 3.4 DDoS 공격 CIH Virus 옥션, GS 칼텍스개인정보유출 농협전산망해킹 현대캐피탈, SK 컴즈개인정보유출 KT, 중앙일보홈페이지해킹 3.20 전산망대란 KISA 설립, KrCERT/CC, ConCERT 운영 개인정보보호법제정 (3.29) 개인정보보호법시행 (9.30) 정보통신망법시행 (2.18) 정보통신망법개정 (2.17) - 제 23 조의 2( 주민등록번호의사용제한 ) - 제 27 조의 3( 개인정보누출등의통지 신고 ) - 제 30 조의 2( 개인정보이용내역의통지 ) - 제 45 조 ( 정보통신망의안정성확보등 ) - 제 45 조의 2( 정보보호사전점검 ) - 제 45 조의 3( 정보보호최고책임자의지정등 ) - 제 47 조 ( 정보보호관리체계의인증 ) 6
3.20 전산망대란 (1/3) Ⅰ. 개인정보유출사고사례분석 사건개요 2013.03.20 14:00 국내금융권및방송사 PC 를대상으로한대규모악성코드공격발생 해당공격으로금융권및방송사 PC 의마스터부트레코드 (MBR) 와볼륨부트레코드 (VBR), 하드디스크데이터가손상되어 PC 부팅이불가능한심각한전산장애발생 사건주요내용 공격자 ( 해커 ) 악성코드제작 ( 트로이목마 방식의악성코드심음 ) 방송 / 금융권패치관리시스템 (PMS : 개벌 PC 의 S/W Upgrade & OS 패치관리서버 ) 을통해악성코드배포 특정시점에동시다발적악성코드유포 전산망내 PC 부팅영역 (MBR) 파괴, 방송 / 금융 6 개사의 PC, Server 32,000 대피해 7
3.20 전산망대란 (2/3) Ⅰ. 개인정보유출사고사례분석 사건분석 전산망이마비되는대형보안사고는대부분 APT 공격을통해자행되는경향을보임 APT(Advanced Persistent Threat) : 특정타깃을정해다양한기술과방법을이용해지속적 지능적으로공격하는형태 방송사및금융사관리자계정을탈취한악성코드가내부네트워크에설치된백신제작사의패치관리서버 (PMS) 를통해클라이언트 PC 로배포 악성코드에심어져있는명령 ( 특정시각에 MBR/VBR 및하드디스크데이터파괴 ) 이수행되어사용자 PC 가불능상태가됨 특히하나의침투대상의관리자권한을 APT 공격을통해확보되면다수의하위공격대상장비로공격을실행하는악성코드를유포할수있는 중앙집중관리시스템 을해킹하려는시도가증가할것으로예상 8
3.20 전산망대란 (3/3) Ⅰ. 개인정보유출사고사례분석 재발방지대책 1. 사이버안보컨트롤타워등거버넌스체계확립 2. 국가중요시설등에대한망분리의무화확대 3. 방송사등주요기관의보안전문인력대폭확충 4. 백신프로그램의취약점관리및검증철저 5. 주요기업 / 기관의보안관리자계정및접근권한관리강화 6. 사이버보안위협에대한정보공유및교육활성화 7. 주요기업 / 기관의보안정책및프로세스재점검 구분문제점해결방안 계정관리측면 인증및접근권한측면 계정관리에대한일원화된관리미흡 - 시스템관리자에의해임의적으로생성 - root 권한을소유한사용자들에의해임의적으로생성 신규 / 변경 / 폐기등 Life cycle에따른관리미흡 - 계정생성이후관리체계부재 - 생성했던담당자변경시서비스가용성에대한영향때문에임의삭제불가 직무에따른계정사용현황파악불가 - 업무상필요한계정여부파악불가 - 계정을사용하고있는사용자파악불가 - 미사용계정여부파악불가 접근통제및통제정책에의한사용자계정통제필요 - 시스템자원접근에대한통제방안부재 - 명령어실행통제방안부재 - 시스템계정을소유한경우시스템자원접근가능 - super-user 통제방안부재 ( 권한남용가능 ) 권한분리방안부재 - 일원화된권한관리방안미흡 - 시스템운영자, 보안담당자, 업무담당자 super-user 권한분리방안부재 - 특수계정 (DB계정등 ) 의공유계정권한관리방안부재 보안강화된계정관리및접근권한체계마련 계정신청내역, 자연인기반시스템로그인로그분석을통한계정사용내역파악 9
Ⅱ 인증및접근권한강화방안
기업규모별보안솔루션분류 (1/2) Ⅱ. 인증및접근권한강화방안 기업규모별보안단계분류 구분보안등급설명비고 Step 1 1 Level ( 기본 ) 조직을안전하게운영하기위한최소한의보안솔루션 소기업 (10 명이하 ) 비영리기관 Step 2 2 Level ( 보통 ) 소규모의조직에서효과적인보안체계를갖추기위한보안솔루션중소기업 (10~100 명 ) Step 3 3 Level ( 중간 ) 중규모의조직에서효과적인보안체계를갖추기위한보안솔루션중소기업 (100~300 명 ) Step 4 4 Level ( 높음 ) 대규모조직에서관리및통제를효율적으로하기위한보안솔루션대기업 (300 명이상 ) Step 5 5 Level ( 아주높음 ) 군사, 주요정부기관, 핵심사업부등고도의보안수준을요구하는조직을위한보안솔루션 기밀정보를다루는주요조직 기본, 보통, 중간, 높음, 아주높음의보안등급을 5 Level 로분류하여적용함 참고자료 : 한국인터넷진흥원 CERT 구축운영안내서 ( 기업규모별보안솔루션맵 ) 11
기업규모별보안솔루션분류 (2/2) Ⅱ. 인증및접근권한강화방안 기업규모별보안솔루션로드맵 분류 Step 1 Step 2 Step 3 Step 4 Step 5 네트워크보안 방화벽 (FireWall) 방화벽 (FireWall) 침입탐지시스템 (IDS) 침입방지시스템 (IPS) DMZ 및가상사설망 (VPN) 네트워크접근통제 (NAC) 망분리시스템 시스템보안 바이러스백신 바이러스백신서버보안 OS 바이러스백신서버보안 OS 패치관리시스템 (PMS) 시스템취약점분석툴 애플리케이션보안 - 웹방화벽 (WAF) 스팸메일차단솔루션 DB 보안솔루션문서저작권관리 (DRM) 웹스캐너 ( 취약점분석 ) 취약점스캔 Appliance 소스코드분석도구 통합보안관리 - 로그관리및분석도구보안구성관리 (SCM) 통합보안시스템 (UTM) 전사적보안관리 (ESM) 위협관리시스템 (TMS) 위험관리시스템 (RMS) 포괄적위협관리 (CTM) 보안사건, 정보관리시스템 (SIM/SEM) 인증및접근권한 ID/PW (Strong Password) ID/PW (Strong Password) 공개키기반인증 (PKI) I-PIN, 휴대폰본인확인싱글사인온 (SSO)/ 통합접근관리 (EAM) 통합 OTP, 2 채널인증, 하드웨어토큰계정관리 (EIM) 바이오인식시스템 ( 지문, 정맥, 홍채등 ) PC 보안 안티바이러스 안티스파이웨어개인용 PC 방화벽 개인정보파일암호화개인용안티스팸 통합 PC 보안 모바일보안 - 무선랜보안모바일보안 보안서비스 - 상위의 Step 보안솔루션구성요소는하위의 Step 내용을포함 참고자료 : 한국인터넷진흥원 CERT구축운영안내서 ( 기업규모별보안솔루션맵 ) 12 솔루션유지보수업무연속성계획 (BCP) 재해복구계획 (DRP) RFID 보안모바일단말보안 (MDM) 보안관제보안교육훈련보안컨설팅 기업정보유출방지
휴대폰본인확인 (1/2) Ⅱ. 인증및접근권한강화방안 현재주민등록번호대체수단으로는휴대폰, 범용공인인증서, I-PIN 이있으며, 정보통신망법시행, 이동통신사와공인인증기관이본인확인기관으로지정됨에따라휴대폰및인증서본인확인서비스가확대 13
휴대폰본인확인 (2/2) Ⅱ. 인증및접근권한강화방안 이동통신사와연계하여생년월일을활용하는휴대폰본인확인서비스를제공하며, 인터넷웹사이트, 모바일웹 / 앱, ARS 를이용한본인확인기능을제공 휴대폰인증 이름, 생년월일, 휴대폰번호, 휴대폰으로발송되는승인번호를이용하여본인확인 본인확인요청 회원사 본인확인요청 본인인증대행사 본인확인요청 본인확인기관 인터넷이용자 성명, 성별, 생년월일, 통신사, 휴대폰번호 휴대폰본인확인서비스 본인확인결과전송 드림시큐리티 본인확인결과전송 웹방식 소켓방식 표준창 ( 팝업 ) 통신망 인터넷이용자 웹사이트 인터넷또는모바일이용자 회원사 본인확인대행사 이용자에게본인확인표준창을팝업형태로본인확인서비스제공 웹사이트적용 회원사업무시스템과본인확인대행사 ( 드림시큐리티 ) 간소켓방식으로본인확인서비스제공 웹사이트, 모바일웹 / 앱적용 14
싱글사인온 (SSO)/ 통합접근관리 (EAM)(1/2) Ⅱ. 인증및접근권한강화방안 한번의사용자인증 (Single Sign On) 을통해기업의각종업무시스템이나인터넷서비스에접속할수있는보안응용솔루션 사용자 연계시스템 SSO 인증서버인증확인수단 ID/PW 인증서 SD토큰 통합로그인 (Magic SSO/EAM) 업무시스템업무시스템업무시스템 Magic AS 사용자정보확인 인증서유효성검증 DB 또는 LDAP 공인인증기관 정부인증기관 Magic Pass SSO API 드림시큐리티솔루션 기능 Magic SSO/EAM -Magic Pass -SSO API -Magic AS SSO 통합보안솔루션제품군사용자단말에서단일로그인을수행하기위한앱서비스페이지에설치되어단일로그인및인증토큰전송 DB와연계하여사용자인증정보확인후인증토큰생성 15
싱글사인온 (SSO)/ 통합접근관리 (EAM)(2/2) Ⅱ. 인증및접근권한강화방안 특장점 구분내용 사용자편의성 인증정보보안성강화 향후시스템연계용이성 서비스의안정성 다양한지원환경 ID/PW, 인증서 (NPKI, GPKI) 등의다양한인증방식제공으로강력한사용자인증제공 플랫폼, 어플리케이션, 도메인에이르는 Single Sign On 제공 ID/PW 및인증토큰등전송데이터에대해전체또는부분암복호화기능수행 PKI 기반의강력한사용자인증 ID/PW 및인증토큰등전송데이터에대해전체또는부분암복호화기능수행 암호시사용되는 Key 를매번생성하여유출되더라도위험이없음 사용자에대한인증정보정보및 Data 는메모리에서휘발성으로관리하며보안성강화를위해저장매체에기록하지않음 국내외암호알고리즘, 국정원암호모듈검증을통한암호모듈사용 응용시스템과연계시표준화된개방형의 API 제공으로고객의환경에적합하도록최적화지원 인증정보는인증토큰 (ACL) 검증으로하며, 매번인증토큰을생성하지않고사용자세션에서관리하여성능향상 C/S, Mobile Web 등다양한응용시스템을단일인증서비스로통합하여최소한의수정으로시스템연계 Pure Java 기반의표준화 API 를적용하여 WAS, Web Server 의종류및버전에상관없이적용하여플랫폼의독립성보장 LDAP Gateway 의 Thread Pool 및 Connection Pool 구조를통해대량의조회 Transaction 을안정적으로처리 인증 Transaction 의 load balancing 기능이있어최적의상태로부하분산, 안정적인인증성능보장 3-Tier 구조의 Transaction 처리구조 Watch Dog process 기능으로시스템의상태를감시하며시스템다운시재실행 인증서버의다양한 OS 제공 다양한데이터저장소지원 : LDAP(SunONE, Aphilion, AD), RDBMS(Oracle, MSSQL, Sybase), MDB(Altibase, MMDB) 업무시스템의 WAS : TMax-JEUS, IBM-WebSphere, BEA-WebLogic, Apache-Tomcat 16
2 채널인증 (1/2) Ⅱ. 인증및접근권한강화방안 등장배경 17
2 채널인증 (2/2) Ⅱ. 인증및접근권한강화방안 1 채널 vs. 2 채널 기존서비스 일반서버 2 채널서비스 중계서버 ( 드림시큐리티구축 ) 1 채널 2 채널 인터넷 인터넷 이통망 ID/PW 입력 인증번호출력 ID/PW 입력 인증번호출력 푸쉬알림 인증번호전송 1234 1234 인증번호휴대폰입력 PC 인증번호키보드입력전송 Phone PC Phone PC 에서만입력하는 1 채널서비스 인증번호전송 휴대폰 ( 이통망 ) 을통해입력하는 2 채널서비스 PC 해킹을통한계정도용, 노출및피싱가능 OTP 등타기기휴대의불편함과분실우려 본인확인불가 피싱방지및완벽한보안성제공 항상휴대하는휴대폰이외의별도기기가필요없음 본인확인가능 18
하드웨어토큰 (HSM: Hardware Security Module) Ⅱ. 인증및접근권한강화방안 전자서명생성키등인증서비밀정보를안전하게저장및보관. 기기내부에프로세스및암호연상장치가있어전자서명키생성, 전자서명생성및검증등을수행하는하드웨어장치. 드림시큐리티 Magic XToken 드림시큐리티 Magic Token 인증서버 A 은행인터넷뱅킹서버 서명할데이터 서명된데이터 USB Micro SD 인증서 공개키및개인키 Magic XToken : 스마트카드, USB 등각기다른형태로제공되는보안토큰의응용인터페이스를 PKCS#11 규격으로사용할수있게하는 API 프레임워크 Magic Token : USB/Micro SD 기반의보안토큰 (HSM) 19
하드웨어토큰응용 -MagicSSH(1/3) Ⅱ. 인증및접근권한강화방안 Telnet/FTP 사용으로 ID/Password 와데이터노출발생 SSH 프로그램을통한전송데이터암호화 계정정보탈취 Telnet Client 불법접속 인터넷 사용자는 Telnet 을통하여평문형태의 ID/Password 를서버로전송 Applications server SSH Client 불법접속 계정정보탈취 인터넷 MITM 공격 SSH 적용 Applications server 해커 방화벽 Web server 해커 방화벽 Web server 도청 Telnet Client 도청방어 SSH Client 해커 Network appliance 해커 Network appliance 문제점 사용자는접속과정에키로거, 악성코드등에의해 ID/Password를해커에게탈취당함 해커는탈취한 ID/Password를사용하여서버에불법접속 문제점 내부사용자에의한계정정보의유출위험 최근 APT공격에의한 SecureCRT, PuTTy의 ID/Password 유출위험대두 안전하지않은암호알고리즘의운용, 사용의취약점 20
하드웨어토큰응용 -MagicSSH(2/3) Ⅱ. 인증및접근권한강화방안 드림시큐리티 MagicSSH 프로그램적용을통한암호화 보안문제해결 MagicSSH Client 해커 접속차단 계정보호 인터넷 방화벽 MITM 방어 MagicSSH TM 적용 MagicSSH Server Applications server MagicSSH Server Web server 매직키 (HSM) 로보호되는사용자의계정정보는취약한사용자 PC의계정노출위험을해결 매직키를가진사용자만이원격서버접속을수행할수있어퇴사자등이발생하는경우매직키의회수를통하여쉽게계정의회수가가능하여관리편의성이향상 전송되는데이터는검증된암호모듈과강력한암호화모드로운영되어기존 SSH 프로그램이가진암호알고리즘보안취약점문제를해결 도청차단 MagicSSH Client SSH 프로토콜에대한널리알려진취약점은물론최근밝혀진취약점을제거하여프로토콜취약점문제를해 해커 MagicSSH Server Network appliance 결 MagicSSH TM 프로그램에대한정적분석과동적분석방 지를통하여해커의 APT 공격을방어 21
하드웨어토큰응용 -MagicSSH(3/3) Ⅱ. 인증및접근권한강화방안 MagicSSH 를활용한 3.20 악성코드공격방어 악성코드 공격 방어대책 SSH v1, v2 접속프로그램취약점공격 저장된 ID/PWD 유츨 접속 계정 MagicSSH TM 보안 매직키 (HSM) 적용 위장접속서버삭제 인증 강력한인증 22
개인정보파일암호화 Ⅱ. 인증및접근권한강화방안 개인정보의안전한관리를위한파일, 폴더암호화및복호화. 암호화파일은정당한소유 ( 수신 ) 자만복호화가능 드림시큐리티매직키센터매직키시스템디렉토리서버 매직키발급사용자정보 드리시큐리티포탈시스템 자동업데이트 매직가드 - 파일암 / 복호화 포탈시스템 - 자동업데이트 - 사용자등록 - 매직키전달 - 매직키획득 매직키센터 (ASP 모델, 구축모델선택 ) - 매직키발급드림시큐리티매직가드 웹서버 사용자등록 매직키전달 상대방매직키획득 사용자 (A) B 의매직키로파일암호화 사용자 (B) 매직키로파일암호화 매직키로파일복호화 23
Ⅲ 정보보호최고책임자관리 Tip
정보보호최고책임자의업무 Ⅲ. 정보보호최고책임자관리 Tip 정보통신망이용촉진및정보보호등에관한법률제 45 조의 3 의 2 항정보보호최고책임자는다음각호의업무를총괄한다. 정보보호업무총괄 1. 정보보호관리체계의수립및관리 운영 현업이실천할수있는정책수립 2. 정보보호취약점분석 평가및개선 3. 침해사고의예방및대응 보안전문가활용또는내부전담인력양성 4. 사전정보보호대책마련및보안조치설계 구현등 주기적사고모의훈련실시및보완 5. 정보보호사전보안성검토 6. 중요정보의암호화및보안서버적합성검토 사고발생을대비한신속한보고체계수립 7. 그밖에이법또는관계법령에따라정보보호를 위하여필요한조치의이행 보안의시작은관리자의업무용단말인터넷접속금지부터 25
정보보안행동수칙 (1/2) Ⅲ. 정보보호최고책임자관리 Tip 컴퓨터보안 통신보안 1 2 3 4 5 6 7 소프트웨어는항상정품만을사용한다. 운영체제및각종애플리케이션은최신보안패치를적용한다. PC 부팅, 윈도우, 화면보호기암호를설정하고, 주기적으로변경한다. 시스템을사용하지않을때나자리를비울경우반드시로그아웃을한다. 백신프로그램은초기동작시작동토록하며, 항상최신버전을유지한다. 외부파일을다운로드및복사할경우바이러스감염여부를검사한다. 주요파일은암호화하며, 공유폴더에는기밀자료를보관하지않는다. 1 2 3 4 5 윈도우 PC 방화벽을설정하고및인터넷브라우저보안레벨을업무에맞게적정한수준이상으로설정한다. 메일을전송할때는반드시회사계정만을사용하며, 사내기밀자료메일송부시첨부파일은반드시암호화하여전송한다. 출처가불분명한이메일은열람하지않고삭제하au, 메신저로 URL이나파일이첨부되어올경우함부로클릭하거나실행하지않는다. 업무용 PC로웹하드, P2P 등파일공유사이트접속을금지하며, 해킹의우려가있는이메일이나웹상에서중요정보를공유하지않는다. 웹서핑시특정프로그램을설치하라는창이뜰때는신뢰할수있는기관의서명이있는경우에만 ' 예 ' 를클릭한다. 문서 / 자료보안 출입보안 1 2 민감한문서는가급적복사하지않고이면지로사용하지않는다. 기밀내용이포함된문서나폐지등은반드시세절하여소각한다. 1 2 사무실은반드시인가된자만이인증을거친후출입할수있도록한다. 주요자료가보관된별도의실은퇴근시반드시잠금장치를하도록한다. 3 전출또는퇴직시보유하고있는모든비밀문서및자료는업무인수인계절차에따라반드시반납한다. 3 외부방문객의사내출입시반드시안내자가동행하도록하며, 면회실등지정된장소를이용하도록한다. 4 자리를비울때는책상위에방치되는자료가없도록하고, 중요문서나정보저장매체는캐비닛 ( 서랍 ) 에보관하며반드시잠금장치를한다. 4 출입이금지된통제구역은인가된인원만출입가능하도록하며, 외부인력출입시반드시보안서약서를받도록한다. 참고자료및사이트 : 행정안전부, 한국인터넷진흥원 정보보호생활가이드, 산업기밀보호센터 (http://service4.nis.go.kr/) 업무시산업보안행동수칙 26
정보보안행동수칙 (2/2) Ⅲ. 정보보호최고책임자관리 Tip 영업비밀보호의무준수 시스템보안 1 업무를수행함에있어취득하거나알게되는회사의모든정보를사전승낙없이제 3 자에게공개또는누설, 제공하지않는다. 1 서버에서불필요한사용자계정및서비스를제거한다. 2 3 4 5 1 2 3 4 " 너만알고있어 " 식의비밀누설을엄금하고작은정보라도경쟁사에큰도움이될수있다는것을명심하여보안을생활화한다. 사내상주외부인이민감정보를요청할때에는반드시공식절차를거치도록하며, 정보는엄격히선별하여제공한다. 비밀유출의주된경로는항상내부에있음을명심하며, 사내보안의식을항상숙지하고업무를수행한다. 업무수행관련지식이나노하우는문서화하여지적재산으로등록후활용한다. 사내생활보안 수시로신뢰할수있는보안관련웹사이트나보안사고뉴스를확인한다. 사내에서는무단촬영 ( 스크린샷, 휴대폰, 디지털카메라등 ) 을금지한다. 보안취약부분발견시반드시보안부서에통보하여조치하며, 보안사고는은폐하지말고즉시보고하여대처할수있도록한다. 주변에누군가기밀을탐지할수있음을명심하고보안상의허점은없는지점검한다. 2 3 4 5 6 7 8 9 최신업데이트현황등안티바이러스대비상황을점검한다. 사내모든서버및컴퓨터의운영체제, 애플리케이션에최신보안패치를적용한다. 사용하지않는서버나장비는네트워크에서분리하여외부의침입으로부터안전한환경을구축한다. 연휴동안서비스하지않는시스템의경우, 네트워크보안장비에서 ' 차단 ' 으로정책을변경해둔다. 사용중인애플리케이션의로깅가동, 중요파일에대한무결성검사, 감사기능등을설정해두고, 중요서버의보안상태를주기적으로사전점검한다. 방화벽, 분산서비스거부 (DDoS) 대응장비등네트워크보안장비의정책과 ACL(Access Control List), 임계치등이올바르게설정되어있는지확인한다. 주요시스템의데이터를사전백업하고필요시분산보관하며, 비상상황발생시의대응프로세스, 비상연락망등을점검하고최신화하도록한다. 보안문제발생시에대비해비상연락체계를구축하며, 보안관제서비스를받고있는경우는해당보안관제업체의 24 시간상황실연락망을공유한다. 참고자료및사이트 : 행정안전부, 한국인터넷진흥원 정보보호생활가이드, 산업기밀보호센터 (http://service4.nis.go.kr/) 업무시산업보안행동수칙 27
Question & Answer