KISA 안내 해설제 2013-16 호 모바일오피스정보보호안내서 2013. 12 수탁기관 : ( 주 ) 마크로밀엠브레인
제 개정이력 순번제 개정일변경내용발간팀연락처 1 2013. 12. 30 제정기업정보보호팀 02)405-6521
Contents 목차 서문 05 제 1 장모바일보안위협 06 제 1 절모바일오피스구성 06 제 2 절위협유형에따른분류 08 1. 개인정보침해 10 2. 도청 10 3. 피싱 (Phishing) 및파밍 (Pharming) 11 4. 서비스거부 (DoS/DDoS) 11 5. 권한탈취 12 6. 악성코드 해킹 13 7. 정보유출 14 제 3 절보안위협시나리오 18 1. 단말기주요기능조작을통한개인정보및업무정보침해 18 2. 취약한무선네트워크사용에따른정보유출 19 3. 스미싱을이용한인증정보탈취 20 4. 권한상승을통한악성코드배포 23 5. 사용자부주의로인한악성코드감염 해킹 24 6. 단말기키로거감염또는관리소홀로인한정보유출 26 제 2 장모바일오피스보호대책 29 제 1 절보안유형별모바일오피스보호대책 29 1. 기술적보호대책 30 2. 관리적보호대책 32 제 2 절정보유형별모바일오피스보호대책 34 1. 인증정보보호대책 34 2. 개인정보보호대책 35 3. 업무정보보호대책 35 4. 금융정보보호대책 35
Contents 목차 제 3 절모바일오피스보안점검항목 36 1. 운영자를위한보안점검항목 36 2. 사용자를위한보안점검항목 40 결론 41 용어정리 42 참고문헌 44 부 록 제 1 장모바일오피스현황및분류 46 제 1 절모바일오피스시장및서비스현황 46 제 2 절모바일오피스유형분류 50 제 2 장보안위협및보안대책매칭표 53 그림목차 그림 1-1 모바일오피스구성도 06 그림 2-1 단말기주요기능조작을통한개인정보및업무정보침해 18 그림 2-2 가짜 (Fake) AP를이용한도청 19 그림 2-3 스미싱을이용한악의적인애플리케이션설치유도 21 그림 2-4 권한상승을이용한악성코드배포 23 그림 2-5 웹애플리케이션기반에서 XSS 공격을이용한악성코드감염 24 그림 2-6 테더링사용에의한업무용 PC 공격 25 그림 2-7 키로거를통한업무정보유출 26 그림 2-8 관리소홀로인한업무정보유출 28
서문 모바일오피스정보보호안내서 모바일오피스정보보호안내서 는모바일오피스운영자와사용자의보안인식 수준을제고하고, 모바일오피스의안전한구축및운영방법을안내하기위해제작 되었습니다. 모바일오피스는스마트폰과같은모바일단말기의이동성, 개방성, 다양성을기반으로제공되는새로운형태의업무서비스로서기업의비용절감, 효율성증대등다양한측면에서긍정적인효과를가져올것으로기대되고있습니다. 하지만단말기분실및도난, 악성코드감염등의보안위협으로개인정보및기업기밀정보유출, 불법과금등여러형태의보안사고가발생할수있으며, 이로인한피해는더욱커질것으로예상됩니다. 이에본안내서에서는모바일오피스보안위협분석결과를토대로모바일오피스구축및이용시고려해야할보안문제들을이해하기쉽게시나리오형태로다루고있으며, 안전한모바일오피스도입 운영이이루어질수있도록기술적 관리적보호대책을마련하였습니다. 아울러운영자및이용자가스스로모바일오피스보안수준을진단해볼수있도록보안점검항목을제시하고있습니다. 본안내서의구성은다음과같습니다. 1 장에서는모바일오피스보안위협에대해서설명하고, 2 장에서는모바일오피스 보안위협에대응하기위한보호대책을제시하고있습니다. 서문 5
제 1 장모바일오피스보안위협 제 1 절모바일오피스구성 모바일오피스 (Mobile office, 이동사무실 ) 는언제, 어디서나모바일단말기 ( 이동통신기기 ) 를이용 하여외부에서사내업무를처리할수있는업무환경을말한다. 1) 모바일오피스는별도의단말기나네트워크를구성할필요없이사용자가소유하고있는모바일 단말기와무선인터넷 ( 이동통신망, Wi-Fi, WiBro 등 ) 을사용하여서비스되며, 모바일단말기, 모바 일응용프로그램, 무선네트워크, 그리고기업업무와관련된내부시스템으로구성된다. 그림 1-1 모바일오피스구성도 모바일단말기 모바일단말기는직원개개인이소유한휴대용기기로서, 스마트폰, 태블릿 PC 등그종류가다양 하다. 모바일단말기는하드웨어 (H/W), 운영체제 (OS) 로구성되어있다. 운영체제는모바일단말기 1) 방송통신위원회, 한국인터넷진흥원, 안전한모바일오피스도입과운영을위한정보보호수칙, 2012. 6 모바일오피스정보보호안내서
모바일오피스정보보호안내서 내다양한응용프로그램들의설치및실행을관리하는역할을수행한다. 현재많이사용되는모바일 운영체제는구글의안드로이드, 애플의 ios, 마이크로소프트의윈도우 / 윈도우폰등이있다. 모바일응용프로그램 모바일응용프로그램은모바일운영체제상에서설치및실행되는서비스프로그램으로서, 개발 방식에따라 모바일웹 (Mobile Web) 과 모바일앱 (Mobile App) 으로분류된다. 무선네트워크 케이블, 광케이블등의유선전송매체를사용하지않고무선네트워크를활용하여데이터를전 달하는기술로서, 이동통신망 (3G/4G, WiBro 등 ) 과무선랜 (WiFi) 등이활용되고있다. 내부시스템 모바일오피스업무가실제로처리되는내부시스템영역으로, 인증서버, 데이터베이스 (DB) 등 으로구성된다. 제 1 장모바일오피스보안위협 7
제 2 절위협유형에따른분류 모바일오피스보안위협은단말기자체에내재된취약점또는단말기사용부주의로발생할수있 다. 모바일오피스보안위협의유형은크게개인정보침해, 도청, 피싱및파밍, 서비스거부 (DoS/ DDoS), 권한탈취, 악성코드및해킹, 정보유출과같이분류할수있다. 위협내용위협코드 (MTE) 개인정보침해 - 위치정보탈취를통한개인정보침해 MTE-101 - 카메라, 마이크등단말기의하드웨어자원을이용한개인정보침해 MTE-102 도청 - 네트워크로전송되는데이터패킷도청 MTE-201 - mvoip 사용시음성및영상통화도청 MTE-202 피싱및파밍 - 악의적인사이트를이용한사용자정보입력유도 MTE-301 - 문자메시지, 이메일등을이용하여악성애플리케이션설치유도 MTE-302 서비스거부 (DoS/DDoS) - 지속적인통화연결및데이터전송요청등을통한배터리소진등단말기서비스거부공격 - 좀비 PC, 좀비모바일단말기등을이용한내부서버대상의서비스거부공격 - 단말기-내부시스템간중간자 (Man-in-the-Middle) 공격을통한사용자권한획득 MTE-401 MTE-402 MTE-501 - SQL 인젝션 (Injection) 공격을통한인증우회 MTE-502 권한탈취 - 단말기루팅, 탈옥을통해관리자 (Root) 권한탈취 MTE-503 - 버퍼오버플로우공격을통한관리자권한탈취 MTE-504 - 단말기와내부시스템간에맺어진세션탈취 MTE-505 8 모바일오피스정보보호안내서
모바일오피스정보보호안내서 위협내용위협코드 (MTE) - 악의적인스크립트실행으로공격자가악성코드를삽입한 웹사이트접속 MTE-601 - 불필요한서비스 ( 포트 ) 사용취약점 MTE-602 악성코드 ㆍ 해킹 - 모바일애플리케이션소스코드분석 ( 리버스엔지니어링 ) 을통한취약점분석 - 단말기에서제공하는테더링기능을사용하여서버보안정책우회및공격경로로활용 MTE-603 MTE-604 - 단말기를 USB 이동저장매체로사용하여악성코드전파 MTE-605 - 내부자에의한기업내부정보자산유출 MTE-701 - 단말기분실, 도난, 양도, 공공장소사용에따른내부정보유출 MTE-702 - 단말기녹음, 녹화, 화면캡처, 메모기능을통해생성 저장된 정보유출 MTE-703 정보유출 - 비인가 AP 를통한정보유출 MTE-704 - 키로거 (Key Logger) 감염에의한사용자입력정보탈취 MTE-705 - 블루투스및 Wi-Fi Direct 취약점을이용한정보유출 MTE-706 - 비인가애플리케이션설치에따른정보유출 MTE-707 - 비인가자의정보획득및업무처리기능접근 MTE-708 MTE : Mobile office security Threats Enumeration 제 1 장모바일오피스보안위협 9
1. 개인정보침해 개인정보침해위협은모바일오피스단말기를통해특정개인을식별할수있거나프라이버시를 침해할수있는정보가유출되는위협이다. MTE-101 위치정보탈취를통한개인정보침해 - 공격자는모바일단말기에악성프로그램을설치하여, 단말기에내장된위치기반서비스 (LBS, Location Based Service) 기능을이용해사용자의위치정보를수집하고, 이를통해사용자의 이동경로, 생활패턴등을파악할수있다. MTE-102 카메라, 마이크등단말기의하드웨어자원을이용한개인정보침해 - 공격자는악성프로그램을이용해단말기하드웨어사용권한을획득한후, 카메라, 마이크등을 원격제어하여사용자의사생활침해또는업무활동등을감시할수있다. 2. 도청 도청공격은모바일오피스애플리케이션을통해전송되는업무정보 ( 문서, 음성 영상정보등 ) 를 탈취하는공격이다. MTE-201 네트워크로전송되는데이터패킷도청 - 무선네트워크를통해사용자단말기에서회사내부시스템으로데이터패킷전송시이를중간에 서탈취하는도청 ( 스니핑 :Sniffing) 이가능하다. MTE-202 mvoip 사용시음성및영상통화도청 - 사용자단말기에악성프로그램을설치하여, 모바일인터넷전화 (mvoip) 사용시음성 / 영상통화내용을도청하는공격이다. - 애플리케이션계층에서동작하는 mvoip 프로그램의음성 / 영상패킷이암호화되지않은경우또는가짜 AP를통한중간자공격을통해도청이이루어질수있다. 10 모바일오피스정보보호안내서
모바일오피스정보보호안내서 3. 피싱 (Phishing) 및파밍 (Pharming) 모바일오피스이용자의부주의를악용한공격으로, 주로사회공학적기법을활용한개인정보및 업무정보유출, 또는후속공격을위한악성코드삽입등의공격으로분류될수있다. MTE-301 악의적인사이트를이용한사용자정보입력유도 - 사용자개인정보및업무정보를취득하기위해공격자가악성코드를삽입한악의적인웹페이지 를정상적인것처럼위장하여사용자가정보를입력하도록유도하는공격이다. MTE-302 문자메시지, 이메일등을이용하여악의적인애플리케이션설치유도 - 공격자는근무하는회사또는관련업체인것처럼가장하여문자메시지, 이메일등에악의적인웹사이트주소 (URL) 를삽입하여전송한다. - 사용자가웹사이트에접속하면, 악의적인애플리케이션설치, 악성코드감염, 모바일결제등이실행된다. 4. 서비스거부 (DoS/DDoS) 모바일오피스를이용하는단말기나내부시스템의서비스가용자원을소모시켜정상적인동작이 불가능하도록만드는공격이다. MTE-401 지속적인통화연결및데이터전송요청등을통한배터리소진등단말기서비스 거부공격 - 사용자의단말기에악성프로그램을설치하여배터리소모, 지속적인통화요청, 네트워크사용 금지등업무처리가불가능하도록단말기를마비시키는공격이다. MTE-402 좀비 PC, 좀비모바일단말기등을이용한내부서버대상의서비스거부공격 - 악성코드에감염된단말기를통해내부시스템이처리할수없을정도로큰용량의쿼리 (Query), 정보요청등을지속적으로전송함으로써시스템을마비시키는공격이다. 제 1 장모바일오피스보안위협 11
5. 권한탈취 공격자가단말기, 애플리케이션, 네트워크영역에서모바일오피스사용자계정 (ID/PW), 쿠키, 세션등인증및권한정보를탈취하여정상적인사용자로위장하는공격이다. MTE-501 단말기 - 내부시스템간중간자 (Man-In-The-Middle) 공격을통한사용자권한획득 - 권한탈취공격은일반적으로단말기와내부시스템사이에서정보를탈취하는중간자 (Man-In- The-Middle, MITM) 공격을통해이루어진다. - 단말기와내부시스템이통신을시작할때, 공격자는단말기에게자신이내부시스템, 또는내부시스템에게자신이단말기인척하여중간에서전송되는모든정보를수집 열람할수있는권한을획득할수있다. MTE-502 SQL 인젝션 (Injection) 공격을통한인증우회 - 웹애플리케이션의입력값검증취약점을이용하는공격중하나이다. - 웹애플리케이션의사용자입력값 ( 계정정보등 ) 으로데이터베이스조회언어인 SQL 구문을 프로그램에강제로삽입할경우사용자인증우회를통한권한획득및데이터유출이가능하다. MTE-503 단말기루팅, 탈옥을통해관리자 (Root) 권한탈취 - 루팅또는탈옥을수행한단말기의경우, 공격자가해당단말기의관리자권한을쉽게획득할수 있으며, 이를통해모바일오피스를이용하면서전송 저장되는업무정보를탈취할수있다. 루팅, 탈옥 : 안드로이드또는 ios 기반단말기에서관리자 (Root) 권한을획득하는해킹기술 MTE-504 버퍼오버플로우 (Buffer Overflow) 공격을통한관리자권한탈취 - 프로그램의메모리스택또는힙영역에예상치못한값을보내어오버플로우를일으킴으로서에러를유발시키는공격이다. - 프로그램에에러를유발시킬때특정코드또는특수한실행프로그램을넣어두면, 에러가발생한프로그램이관리자권한으로동작하게됨으로써, 관리자인증을우회하여서비스를이용할수있다. 12 모바일오피스정보보호안내서
모바일오피스정보보호안내서 MTE-505 단말기와내부시스템간에맺어진세션탈취 - 단말기와내부시스템간에유지하고있는세션 (Session) 을공격자가가로채는공격으로세션 하이젝킹 (Session Hijacking) 이라불린다. 6. 악성코드 해킹 모바일오피스단말기의물리적 관리적운영소홀로인한악성코드감염및내부시스템으로의 전파, 해킹을통한내부시스템불법접근등의공격이이루어질수있다. MTE-601 악의적인스크립트실행으로공격자가악성코드를삽입한웹사이트접속 - 대표적인스크립트삽입공격으로 XSS(Cross Site Scripting) 가존재한다. - 공격자는모바일웹또는하이브리드기반의모바일오피스애플리케이션에탑재된게시판, 이메일등에악성스크립트를삽입한후, 사용자가해당게시물이나메일등을클릭했을때스크립트가동작하도록유도한다. MTE-602 불필요한서비스 ( 포트 ) 사용취약점 - 모바일서비스제공자가운영하는서버운영플랫폼의미사용서비스포트를통해내부시스템에대한정보수집 ( 스캐닝 ) 이가능하다. - 공격자는스캐닝으로수집한내부시스템정보 ( 운영체제, 네트워크상태등 ) 를통해취약점분석및 2차공격을수행할수있다. MTE-603 모바일애플리케이션소스코드분석 ( 리버스엔지니어링 ) 을통한취약점분석 - 공격자는앱스토어, 마켓을통해공개된모바일오피스애플리케이션을다운로드후, 소스코드분석 ( 리버스엔지니어링 ) 을수행할수있다. 리버스엔지니어링 : 애플리케이션을소스코드및기계어수준으로역분석함으로써, 애플리케이션의내부동작과설계를추적하는방법 - 이과정에서공격자는해당애플리케이션에내재된취약점을발견하여애플리케이션의내부프로세스의임의변조및악성코드삽입이가능하다. 제 1 장모바일오피스보안위협 13
MTE-604 단말기에서제공하는테더링기능을사용하여서버보안정책우회및공격경로로활용 - 단말기의테더링기능을사용하여네트워크에접속할경우, 내부시스템에정의된보안정책을우회하여외부서버로의접근이가능하다. - 테더링을통한보안정책우회및악의적인사이트등에접속하게될경우업무용 PC에악성코드감염등이이루어질수있다. MTE-605 단말기를 USB 이동저장매체로사용하여악성코드전파 - 모바일단말기는 USB 이동저장매체로활용될수있으며, 이로인해 PC 에존재하는악성코드가 단말기로감염될수있다. 악성코드감염단말을업무용 PC 에연결할경우내부시스템으로의추 가감염 전이가이루어질수있다. 7. 정보유출 모바일오피스단말기와내부시스템에저장된정보가기술적 관리적부주의로인해비인가된 제 3 자에게유출되는보안위협이다. MTE-701 내부자에의한기업내부정보자산유출 - 내부직원이모바일오피스용단말기또는내부시스템의정보자산을악의적인목적으로유출할 수있다. MTE-702 단말기분실, 도난, 양도, 공공장소사용에따른내부정보유출 - 공공장소에서모바일오피스를이용해업무를처리할때타인이그과정을지켜보거나, 단말기 를분실및도난, 또는타인에게대여및양도할때사용자부주의로인한정보유출이발생할수 있다. MTE-703 단말기녹음, 녹화, 화면캡처, 메모기능을통해생성 저장된정보유출 - 업무의신속성및편의를위해업무정보를녹음, 녹화, 화면캡처등의기능을사용하여단말기에 저장한경우, 이는단말에설치된악성코드, 악성애플리케이션등을통해유출될수있다. 14 모바일오피스정보보호안내서
모바일오피스정보보호안내서 MTE-704 비인가 AP 를통한정보유출 - 비인가 AP를이용할경우, 모든업무정보가공격자의 AP를경유하여전송되기때문에공격자가이를도청하거나외부로유출할수있다. 비인가 AP : 기업에서정상적인목적으로허가하여설치및운영하지않는, 보안이적용되지않은 AP를지칭하며, 주로공격자가악의적인목적으로설치하여운영 MTE-705 키로거 (Key Logger) 2) 감염에의한사용자입력정보탈취 - 키로거에감염될경우, 모바일단말기사용자가입력하는키패드정보 ( 인증정보, 패스워드, 모바일뱅킹정보등 ) 값이유출될수있다. MTE-706 블루투스및 Wi-Fi Direct 취약점을이용한정보유출 - 보안이적용되지않은블루투스, Wi-Fi Direct 등의무선통신기술을사용하여정보를공유및 전송시킬경우정보가외부로유출될수있다. MTE-707 비인가애플리케이션설치에따른정보유출 - 비인가애플리케이션내에는공격자가심어놓은악성코드가포함되어있을수있으며, 이를통해업무정보가유출될수있다. 비인가애플리케이션 : 공식앱마켓, 앱스토어가아닌블랙마켓을통해배포되는서명인증이이루어지지않은애플리케이션 MTE-708 비인가자의정보획득및업무처리기능접근 - 모바일오피스기능에따라사용권한을설정하지않거나, 업무정보에대한접근권한이설정되 지않은경우, 비인가자에의한정보열람및외부유출이이루어질수있다. 2) 키로거 (Key Logger) : 사용자의키보드입력값을탈취하는프로그램 제 1 장모바일오피스보안위협 15
모바일오피스구성요소 ( 단말기, 애플리케이션, 네트워크, 내부시스템 ) 에따라보안위협을분류하 면다음과같다. 구성 요소 보안위협 대분류소분류 MTE 개인정보 침해 - 위치정보탈취를통한개인정보침해 MTE-101 - 카메라, 마이크등단말기의하드웨어자원을이용한개인정보침해 MTE-102 도청 - mvoip 사용시음성및영상통화도청 MTE-202 피싱및파밍 - 악의적인사이트를이용한사용자정보입력유도 MTE-301 - 문자메시지, 이메일등을이용하여악성애플리케이션설치유도 MTE-302 단 말 기 서비스거부 - 지속적인통화연결및데이터전송요청등을통한 (DoS/DDoS) 배터리소진등단말기서비스거부공격 MTE-401 권한탈취 - 단말기루팅, 탈옥을통해관리자 (Root) 권한탈취 MTE-503 악성코드 - 단말기에서제공하는테더링기능을사용하여서버보안정책우회및공격경로로활용 MTE-604 ㆍ해킹 - 단말기를 USB 이동저장매체로사용하여악성코드전파 MTE-605 - 내부자에의한기업내부정보자산유출 MTE-701 정보유출 - 단말기분실, 도난, 양도, 공공장소사용에따른내부정보유출 - 단말기녹음, 녹화, 화면캡처, 메모기능을통해생성 저장된정보유출 MTE-702 MTE-703 - 키로거 (Key Logger) 감염에의한사용자입력정보탈취 MTE-705 16 모바일오피스정보보호안내서
모바일오피스정보보호안내서 구성 요소 보안위협 대분류소분류 MTE - SQL 인젝션 (Injection) 공격을통한인증우회 MTE-502 권한탈취 - 버퍼오버플로우공격을통한관리자권한탈취 MTE-504 애플 리케 이션 악성코드 ㆍ 해킹 - 악의적인스크립트실행으로공격자가악성코드를삽입한웹사이트접속 - 모바일애플리케이션소스코드분석 ( 리버스엔지니어링 ) 을통한취약점분석 MTE-601 MTE-603 - 비인가애플리케이션설치에따른정보유출 MTE-707 정보유출 - 비인가자의정보획득및업무처리기능접근 MTE-708 - 네트워크로전송되는데이터패킷도청 MTE-201 도청 - mvoip 사용시음성및영상통화도청 MTE-202 네트 워크 권한탈취 악성코드ㆍ 해킹 - 단말기-내부시스템에대한중간자 (Man-in-the-Middle) 공격을통한사용자권한획득 MTE-501 - 단말기와내부시스템간에맺어진세션탈취 MTE-505 - 불필요한서비스 ( 포트 ) 사용취약점 MTE-602 정보유출 - 비인가 AP 를통한정보유출 MTE-704 - 블루투스및 Wi-Fi Direct 취약점을이용한정보유출 MTE-706 내부 시스 템 서비스거부 - 좀비 PC와좀비모바일단말기등을이용한내부서버대상의 MTE-402 (DoS/DDoS) 서비스거부공격정보유출 - 내부자에의한기업내부정보자산유출 MTE-701 제 1 장모바일오피스보안위협 17
제 3 절보안위협시나리오 1. 단말기주요기능조작을통한개인정보및업무정보침해공격자는단말기의카메라, 마이크등의하드웨어자원제어권한을획득하여사용자의사생활침해및업무활동을감시할수있다. 공격자는카메라를이용해사진또는영상을촬영 전송하거나, 마이크를이용해사용자뿐아니라주변의대화도엿들을수있다. 그림 2-1 단말기주요기능조작을통한개인정보및업무정보침해 Phase 1 하드웨어자원제어권한획득 1 공격자는모바일오피스서비스를위한단말기원격관리애플리케이션에하드웨어제어및정보전송을수행하는악성코드를숨겨넣어앱마켓 (App Store) 에등록한다. 2 사용자는공격자가앱마켓에등록한단말기원격관리애플리케이션을구매하여자신의업무용단말기에설치한다. 3 단말기원격관리애플리케이션은사용자단말에설치되는과정에서단말기하드웨어자원사용권한의확인및승인을요구한다. 단말기원격관리애플리케이션의하드웨어자원사용권한 - 단말기도난및분실시위치추적을위한위치정보수집 활용권한 18 모바일오피스정보보호안내서
모바일오피스정보보호안내서 - 단말기도난및분실시통화차단을위한음성및영상통화제어권한 - 단말기도난및분실시 SMS 알림을위한 SMS 제어권한 4 사용자는애플리케이션의자원사용권한요청을수락하며, 해당애플리케이션은단말기에성공적으로설치된다. Phase 2 단말기하드웨어자원무단사용에따른개인정보및업무정보침해 1 공격자는하드웨어제어악성코드를이용하여사용자가인지할수없도록마이크, 카메라등의기능을동작시킨후, 사용자의주변대화, 통화, 회의내용, SMS 등의정보를전송받는다. 공격자가하드웨어자원을지속적으로이용할경우단말기의배터리가급격하게소모되어사용자가공격을인지할수있기때문에, 특정시간에맞춰공격을수행할수있다. 2 공격자는지속적인공격을통해사용자의생활및업무패턴, 회의내용, 업무관련통화내용등을수집한다. 2. 취약한무선네트워크사용에따른정보유출 그림 2-2 가짜 (Fake) AP 를이용한도청 제 1 장모바일오피스보안위협 19
1 A씨는외부에서모바일오피스로회사업무를수행할때, 업무관련정보를단말기에저장한다. 단말기에업무관련정보를저장하는방법은다음과같다. - 파일다운로드 - 처리화면을캡처 - 통화내용또는회의내용을녹음 - 메모등의기능을사용 단말기에저장되는정보는모바일오피스애플리케이션을통해저장될경우암호화가되어저장될수있으나, 일반적인단말기의메모기능, 음성녹음기능, 화면캡쳐기능을통해저장된정보나, 이메일로다운받은파일의경우암호화가적용되지않는다. 2, 3 A씨는단말기의무선랜 (Wi-Fi) 기능을활성화하여사내에서제공하는무선 AP에접속및데이터통신을시도한다. A씨는평소에단말기의 Wi-Fi 기능을끄지않으며, 외부에있을때 Wi-F의자동접속기능을통해과거접속한이력이있는이름의무선 AP에자동적으로접속을실행하게된다. 4 A씨는사내에서제공하는무선랜에정상적으로접속하였다고인지한후, 단말기에저장된업무파일등의정보를타사, 타부서또는팀원등에게전송한다. 사용자는단말기의 Wi-Fi 자동접속기능때문에사내에서제공하는 Wi-Fi에정상적으로접속하였는지인지하지못한다. 5 A씨가접속한무선 AP는사내에서설치한무선랜과동일한네트워크이름 (SSID) 을가지고있는공격자의가짜 (Fake) AP로, A씨가무선랜을통해전송하는모든업무정보를도청및탈취한다. 단말기에저장되어있던정보중일부업무정보는애플리케이션을통해저장되지않아암호화가되지않은상태이기때문에, 공격자는암호를해독할필요없이업무정보를손쉽게수집할수있다. 3. 스미싱을통한인증정보탈취 피싱 파밍의대표적인공격으로스미싱 (Smishing) 3) 을통한악의적인애플리케이션설치유도 및정보유출이이루어질수있다. 3) 스미싱 (Smishing) : 문자메시지 (SMS) 와피싱 (Phishing) 의합성어로, 문자메시지내인터넷주소를클릭하면악성코드가설치되 어피해자가모르는사이에소액결제또는개인 금융정보를탈취하는수법 20 모바일오피스정보보호안내서
모바일오피스정보보호안내서 그림 2-3 스미싱을이용한악의적인애플리케이션설치유도 Phase 1 소스코드분석 ( 리버스엔지니어링 ) 을통한모바일애플리케이션취약점도출 1 A사는자사의모바일오피스애플리케이션을공개된앱마켓에등록하여직원들이다운받아사용할수있도록한다. 2 공격자는앱마켓에서 A사가등록한모바일오피스애플리케이션을다운로드받아리버스엔지니어링을통해애플리케이션의 API, 함수등동작원리, 인증방식등주요기능을분석한다. 3 공격자는리버스엔지니어링을통해얻은자료들을기반으로 A사의모바일오피스애플리케이션과동일한인터페이스를가진악의적인가짜애플리케이션을제작한다. 4 공격자는자신이제작한 A사의가짜모바일오피스애플리케이션을앱마켓에등록한다. 제 1 장모바일오피스보안위협 21
Phase 2 스미싱을통해가짜애플리케이션설치유도 1 공격자는자신이제작한가짜모바일오피스애플리케이션을 A사의직원들이다운받을수있도록문자메시지를전송한다. 공격자는사용자가이미모바일오피스애플리케이션을설치하였을경우를고려하여, 애플리케이션업데이트를가장한문자를보낸다. OOO 모바일오피스애플리케이션이업데이트되었습니다. 보다빠르고정확한업무처리를위해업데이트를해주시길바랍니다. http://play.gxxx.com/xxx - OOO 기술지원팀 - OOO 모바일오피스의안전한사용을위해, XXX사의보안프로그램을설치해주시길바랍니다. http://itunxx.xxx. com/xxx - OOO 기술지원팀 - 2 직원 B씨는공격자가보낸문자의 URL을통해공격자가제작한가짜모바일오피스애플리케이션을다운로드하여설치한다. Phase 3 악성코드가삽입된애플리케이션을통한인증정보탈취 1 직원 B씨는모바일오피스로업무를수행하기위해설치한가짜모바일오피스애플리케이션을실행한다. 2 직원 B씨는모바일오피스사용자인증을위해자신의계정정보 (ID/PW 등 ) 를입력한다. 3 직원 B씨가입력한계정정보는가짜모바일오피스애플리케이션을통해공격자에게전송된다. 가짜안티바이러스프로그램의경우백그라운드에서동작하며, 사용자가이를인지할수없는스파이웨어형태로제작된다. 직원 B가실제모바일오피스프로그램을사용하면서수행한모든업무정보는백그라운드에서동작하는애플리케이션을통해공격자로전송될수있다. 4 공격자는직원 B씨의인증정보를취득하고, 직원 B씨의단말기화면에에러메시지를보여준뒤, 정상적인애플리케이션을실행시켜인증정보취득사실을인지하지못하게한다. 공격자는사용자가공격여부를알지못하도록다음과같이할수있다. - 에러메시지출력 - 설치가잘못되었습니다. 재설치해주세요. 라는메시지를출력하고, A사의정상적인모바일오피스애플리케이션을설치할수있는페이지로이동 - 가짜모바일오피스애플리케이션삭제 - 가짜모바일오피스애플리케이션강제종료후, 실제모바일오피스애플리케이션실행 22 모바일오피스정보보호안내서
모바일오피스정보보호안내서 4. 권한상승을통한악성코드배포 공격자는악성코드를이용해단말기의관리자 (Root) 권한을획득할수있으며, 이를통해공격자 는단말기내모든기능을제어할수있다. 그림 2-4 권한상승을이용한악성코드배포 Phase 1 단말기관리자 (Root) 권한탈취 1 공격자는단말기권한상승악성코드가삽입된루팅 4) 제어애플리케이션을배포한다. 루팅제어애플리케이션 ( 테그라크커널, SuperSu 등 ) 은루팅된단말기에서루팅의활성화와비활성화를제어할수있다. 2 사용자는단말기를루팅한후, 공격자가배포한루팅제어애플리케이션을다운받아설치한다. 3 루팅제어애플리케이션에삽입된권한상승악성코드가실행되어, 사용자단말기의관리자 (Root) 권한을탈취한다. 4) 루팅 (Rooting) : 안드로이드운영체제를탑재한모바일기기에서관리자권한을획득하는것을말한다 ( 아이폰에서는 탈옥 이라 고함 ). 제 1 장모바일오피스보안위협 23
Phase 2 탈취한권한을이용한악성코드배포 1 공격자가관리자권한으로단말내에설치된안티바이러스소프트웨어를무력화시킨후, 공격자의명령제어서버에연결한다. 2 공격자는사용자단말에악성코드를삽입하며, 단말기의위치정보를지속적으로수집한다. 3 공격자는수집한위치정보를통해직원이사내에위치하였음을인지한후, 단말기의무선랜기능을활성화시켜사내무선 AP에접속시킨다. 4 공격자는단말기내에저장된악성코드를사내무선 AP에접속한모든직원의단말기로전파시킨다. 공격자는 SMS, 메신저, 이메일등을사용해악성코드를배포할수도있으며, 모든송 수신과정은사용자가인지할수없도록제어가능하다. 5. 사용자부주의로인한악성코드감염 해킹 모바일오피스애플리케이션의약 75% 이상은웹애플리케이션형태로구현되어있기때문에 5) 스 크립트변조가이루어질수있으며, 이를통한단말기악성코드감염및전파가이루어질수있다. 가. 웹애플리케이션기반악성코드감염공격 그림 2-5 웹애플리케이션기반에서 XSS 공격을이용한악성코드감염 5) KISA, " 모바일오피스보안운영현황조사, 2013 24 모바일오피스정보보호안내서
모바일오피스정보보호안내서 1 공격자는 A사의업무관련이슈를소재로한게시물을스크립트 (Script) 로작성한후, 이를실행시악성코드가단말기에심어질수있도록하였다. 웹또는하이브리드기반으로제작된모바일오피스애플리케이션은게시판, 이메일, 전자결재기능등에서스크립트를작성하거나실행할수있다. 2 공격자는 A사홈페이지에서직원이메일을검색한후, 이들에게악의적인스크립트가포함된메일을전송한다. 공격자는내부직원불특정다수에게이메일을보내거나, 여러명이열람할수있는게시판을이용할수도있다. 3, 4 이메일을수신한직원이이를확인하면스크립트가실행되며, 모바일단말기는악성코드에감염된다. 나. 테더링사용에의한업무용 PC 공격 A사의내부시스템은방화벽, IPS 등의물리적보안장치를통해외부로부터의침입을차단하고, 보안정책을통해내부직원의업무용 PC에서허가받지않은서버 ( 웹하드, 유머사이트, 상용이메일서버등 ) 로접속하는것을차단한다. 그림 2-6 테더링사용에의한업무용 PC 공격 제 1 장모바일오피스보안위협 25
1 A사의내부직원 B씨는업무용 PC를통해허가되지않은웹하드사이트에접속하기위해, 단말기의테더링기능을이용하여무선네트워크에접속한다. 2 테더링으로연결된 PC는 A사의물리적보안장치나보안정책으로통제되지않은네트워크채널을생성하게되고허가받지않은웹하드사이트에접속할수있게된다. 3 B씨는웹하드를통해악성코드가삽입된콘텐츠를다운받아업무용 PC에서이를설치및열람하여사내망으로악성코드가유입된다. 6. 단말기키로거감염또는관리소홀로인한정보유출모바일오피스정보유출공격으로는키로거 (key logger) 를통한입력정보유출또는단말기관리소홀로인한업무정보유출이이루어질수있다. 가. 키로거를통한업무정보유출 그림 2-7 키로거를통한업무정보유출 26 모바일오피스정보보호안내서
모바일오피스정보보호안내서 Phase 1 키로거악성코드삽입 1 공격자는 A사의업무와관련된각종문서파일을제작한후해당파일에키로거악성코드를삽입한다. 2 공격자는 A사에근무하는모든직원에게이메일에악성코드가삽입된문서를첨부하여전송한다. 공격자는사용자가메일을확인하도록업무와관련있는청구서, 결재문서, 참고자료등으로위장한이메일을전송한다. 3 직원이이메일을확인하고, 첨부된문서파일을실행하면문서에숨겨져있던키로거악성코드가실행된다. Phase 2 키로거를통한입력정보탈취 1 직원은단말기에키로거악성코드가설치된사실을인지하지못한채, 모바일오피스애플리케이션을통해업무를수행한다. 2 직원이업무를수행하면서입력하는모든정보는키로거를통해서공격자에게전송된다. 직원이모바일오피스애플리케이션에접속하기위해입력하는 ID와 Password 등의인증정보뿐아니라, 업무를위한금융거래정보, 기업의회계정보, 고객정보등모바일오피스를이용하면서사용자가입력하는모든정보들이유출될수있다. 가상키보드를지원하는경우에는가상키보드자판을캡쳐한이미지와직원이누른위치 ( 화면의좌표값 ) 를전송받아, 두개의정보를대조하여직원이입력한정보를획득할수있다. 나. 관리소홀로인한업무정보유출 1 A씨는모바일오피스애플리케이션을이용해업무를수행할때, 업무의신속성과편의를위해업무관련정보를단말기내외장메모리에저장한다. 단말기에업무관련정보를저장하는방법은다음과같다. - 파일다운로드 - 처리화면을캡처 - 통화내용또는회의내용을녹음 - 메모등의기능을사용 단말기에저장되는정보는모바일오피스애플리케이션을통해저장될경우암호화가되어저장될수있으나, 일반적인단말기의메모기능, 음성녹음기능, 화면캡쳐기능을통해저장된정보나, 이메일로다운받은파일의경우암호화가이루어지지않는다. 제 1 장모바일오피스보안위협 27
모바일오피스정보보호안내서 그림 2-8 관리소홀로인한업무정보유출 2 A씨는단말기의메모리공간부족을해결하기위해, 기존외장메모리보다저장공간이큰신규외장메모리로교체한다. 3 A씨는기존외장메모리내저장된업무관련정보를삭제한후, 타인에게양도및판매한다. 4 외장메모리를양도및구입한제 3자는시중에유통되는메모리복구프로그램을사용해, 외장메모리에서삭제된업무관련정보를복구할수있다. 일반적인외장메모리내데이터삭제및초기화시실제데이터가삭제되는것이아니라, 데이터가저장된주소값을삭제하는효과밖에없기때문에이를복구할수있다. 28 모바일오피스정보보호안내서
제 2 장모바일오피스보호대책 제 1 절보안유형별모바일오피스보호대책 본장에서는지금까지살펴본모바일오피스보안위협에대한대책들을살펴본다. 모바일오피스 보안대책은크게사용자인증, 단말기관리, 플랫폼및소프트웨어보안, 콘텐츠및정보자산보안, 악성코드및해킹대응, 통신망보안, 보안정책으로분류할수있다. 사용자인증 비인가사용자의모바일오피스서비스이용또는비인가단말기에서서비스가이용되는보안위 협을막기위한대책이다. 단말기관리 사용자가단말기의기능을잘못이용하거나, 관리부주의로인해내부자산이유출및탈취될수 있는위협을막기위한대책이다. 플랫폼및소프트웨어보안 모바일오피스단말기의플랫폼및소프트웨어에서발생할수있는보안위협에대응하기위한대 책이다. 콘텐츠및정보자산보안 모바일오피스서비스에서이용되는내부정보자산및콘텐츠의기술적 관리적문제로인한유 출을방지하기위한대책으로, 단말기영역및내부시스템영역에서의보안대책으로분류된다. 악성코드및해킹대응 모바일오피스단말기에악성코드가설치되거나, 외부공격자의시스템침입및유해행위에대 응하기위한보안대책이다. 통신망보안 모바일오피스데이터전송채널로사용되는무선랜, 이동통신망등통신망에서발생할수있는 비인가자의정보탈취및외부유출등의보안위협으로부터대응하기위한대책이다. 제 2 장모바일오피스보호대책 29
보안정책 이다. 모바일오피스관리부주의로인한보안위협이발생하지않도록운영자가수행해야할보안대책 1. 기술적보호대책 대분류소분류세부내용 MME - 단말기구동시사용자인증수행 MME-101 사용자 인증대책 - 일정시간단말기미사용시자동잠금 MME-102 - 일정횟수이상사용자인증오류시사용차단 MME-103 - 기기인증서또는단말기고유정보를이용한단말기인증 MME-104 - 분실, 도난단말기에대한원격잠금및삭제기능제공 MME-201 단말기보안 단말기관리대책플랫폼보안대책 - 이동저장매체사용제한 MME-202 - 테더링사용제한 MME-203 - GPS, 카메라, 마이크등하드웨어자원접근통제 MME-204 - 플랫폼위ㆍ변조방지를위한무결성검증 MME-301 콘텐츠 보안대책 - 업무관련파일에 DRM 등저작권보호기술적용 MME-401 - 단말기내시스템메모리및내장메모리데이터암호화저장 MME-402 - 화면캡처제한 MME-403 악성코드 ㆍ 해킹대응 - 안티바이러스설치및백그라운드동작 MME-501 - 가상키패드보안프로그램사용 MME-502 - 허가되지않은외부서버접속차단 MME-503 30 모바일오피스정보보호안내서
모바일오피스정보보호안내서 대분류소분류세부내용 MME - 애플리케이션구동시사용자인증수행 MME-601 애플리케이션보안 사용자인증대책소프트웨어보안 - 일정시간미사용시자동접속종료 MME-602 - 일정횟수이상사용자인증오류시사용차단 MME-603 - ID/PW외인증서, OTP 등을이용한복합인증 MME-604 - 신뢰된기관으로부터의서명이존재하지않거나, 비인가된 S/W 설치제한 MME-701 - 소프트웨어위ㆍ변조방지를위한무결성검증 MME-702 - 비인가네트워크를통한 S/W 설치및업데이트금지 MME-703 악성코드ㆍ 해킹대응 - 시큐어코딩적용 MME-801 - 불법 AP, 애드혹연결차단및탐지 MME-901 네트워크보안 통신망보안대책통신망암호화대책 - 비인가 AP 접속차단및탐지 MME-902 - 블루투스연결시사용자인증수행 MME-903 - 비인가장치와의통신제한 MME-904 - 안전한암호화통신채널 (SSL/TLS, WPA2-PSK(AES) 등 ) 사용 MME-1001 - mvpn을이용한인증및보안채널사용 MME-1002 내부시스템보안 악성코드 ㆍ 해킹대응 - 불필요한서비스 ( 포트 ) 차단 MME-1101 - 허가되지않은스크립트사용제한 MME-1102 - 방화벽, IPS 등보안장비구축및운영 MME-1103 - 내부시스템및애플리케이션에서의로그및보안이벤트기록 MME-1104 제 2 장모바일오피스보호대책 31
대분류소분류세부내용 MME - 내부시스템접근시사용자인증수행 MME-1201 내부시스템보안 사용자인증대책정보자산보안대책 - 일정시간미사용시자동접속해제 MME-1202 - ID/PW외인증서, OTP 등을이용한복합인증 MME-1203 - 내부시스템저장정보암호화 MME-1301 - 내부시스템정보의위ㆍ변조방지를위한무결성검증 MME-1302 MME : Mobile office Measures Enumeration 2. 관리적보호대책 대분류소분류세부내용 MME 사용자인증대책단말기관리대책 - 추측하기어려운패스워드사용 MME-105 - 주기적인패스워드변경 MME-106 - 보안담당자의통제하에단말기수리및교체 MME-205 단말기보안 플랫폼ㆍ S/W 보안대책 - 업무용소프트웨어도입전, 취약점분석및보안조치적용 MME-302 - 주기적인무결성검증, 보안패치및업데이트수행 MME-303 - 업데이트미수행시서비스접속제한 MME-304 콘텐츠보안 - 보안필름사용 MME-404 - 주기적인보안패치및업데이트수행 MME-504 악성코드 ㆍ 해킹대응 - 주기적인취약점점검, 안티바이러스점검등보안성검증 / 보안조치 MME-505 - 업데이트미수행시서비스접속제한 MME-506 32 모바일오피스정보보호안내서
모바일오피스정보보호안내서 대분류소분류세부내용 MME 애플리케이션보안 사용자 인증대책 S/W 관리 - 추측하기어려운패스워드사용 MME-605 - 주기적인패스워드변경 MME-606 - 공개앱스토어를통한모바일오피스관련 S/W 배포금지 MME-704 - 업무용소프트웨어도입전, 취약점분석및보안조치수행 MME-705 - 주기적인무결성검증, 보안패치및업데이트수행 MME-706 - 업데이트미수행시서비스접속제한 MME-707 - 주기적인보안패치및업데이트수행 MME-1105 내부시스템보안 악성코드ㆍ해킹대응사용자인증대책 - 주기적인모의해킹, 취약점점검등보안검증 / 보안조치적용 MME-1106 - 내부시스템및애플리케이션로그및보안이벤트분석 MME-1107-24시간보안관제 MME-1108 - 추측하기어려운패스워드사용 MME-1204 - 주기적인패스워드변경 MME-1205 보안정책 정책수립및조직, 권한정의감사및모니터링 - 모바일오피스보안정책수립및주기적검토 MME-1401 - 모바일오피스보안담당자지정및수행역할정의 MME-1402 - 모바일오피스의주요기능과정보자산접근권한체계정의및적용 MME-1403 - 보안정책의실효성에대한주기적검토및모니터링수행 MME-1404 - 보안정책및체계에대한주기적인내부감사를수행하고결과를반영 MME-1405 사고대응 - 모바일오피스침해사고대응매뉴얼개발 MME-1406 보안교육 - 모바일오피스이용자대상의정기교육, 훈련계획수립및이행 MME-1407 제 2 장모바일오피스보호대책 33
제 2 절정보유형별모바일오피스보호대책 정보유형에따른모바일오피스보호대책은구축, 개발단계에서고려되어야하며, 이는모바일 오피스에이용되는중요정보 ( 사용자인증, 개인정보, 업무정보, 금융정보등 ) 를보호하기위함이다. 1. 인증정보보호대책 인증정보는모바일오피스이용시적합한사용자또는단말기인지여부를식별및인증하기위해 사용되는정보로각유형별세부보호대책은다음과같다. 가. 접근통제및서비스제한 - 단말 / 사용자에대한식별 인증정보를이용해모바일오피스기능별사용권한, 정보열람권한부여등접근통제를적용해야한다. - 단말 / 사용자에대한식별 인증정보의등록은오프라인에서이루어져야하며, 모바일오피스애플리케이션상에서변경이불가능해야한다. 나. 인증정보구성 - 아이디는영문대 소문자, 숫자등의문자열을조합하여만들어야하며, 이름, 직원번호, 이메일주소등공격자가유추하기쉬운단어를사용하지않아야한다. - 패스워드는영문대 소문자, 숫자, 특수문자등의문자열을조합하여사용해야하며, 주민등록번호뒷자리, 직원번호등공격자가쉽게유추할수있는단어는사용하지않아야한다. 다. 인증정보입력및관리 - 키로거, 입력상태창훔쳐보기, 단말기자판훔쳐보기등을통해인증정보가유출되지않도록가상키보드, 화면캡쳐제한, 단말기자판임의 (random) 배열등과같은입력방식보호기술을적용하는것이안전하다. - 인증정보는단말기에저장하지않아야하며, 평문으로전송하지않아야한다. - 쿠키 (cookie) 정보로인증정보를대체하여사용할경우평문으로저장하지않아야하며, 모바일애플리케이션종료또는일정시간이지난후삭제되어야한다. - 인증정보분실로인한임시아이디또는패스워드를제공하는경우, 이메일또는 SMS 등을이용하여제공하는것이안전하다. 34 모바일오피스정보보호안내서
모바일오피스정보보호안내서 2. 개인정보보호대책개인정보는성명, 주민등록번호, 전화번호등특정개인을식별할수있는정보를의미하며, 모바일오피스환경에서개인정보의불법수집 관리가이루어지지않도록다음과같은보호조치가적용되어야한다. - 모바일오피스애플리케이션개발시단말기에저장된연락처, 사진, 위치정보등의개인정보를사용자동의없이변경또는삭제되지않도록해야한다. - 모바일오피스애플리케이션을통한개인정보수집시사용자의동의를얻어야하며, 수집한개인정보를단말기내에저장하거나내부시스템으로전송시암호화가이루어져야한다. - 모바일오피스애플리케이션을통해개인정보를취급시사용자가동의한목적내에서만취급되어야한다. 3. 업무정보보호대책업무정보는이메일, 결재정보, 메신저내용, 문서파일등의업무수행시이용되는모든정보를통칭하며, 업무정보가외부에유출되지않도록다음과같은보호대책들이마련되어야한다. - 업무정보는단말기에저장되지않고뷰 (View) 기능을통해서만열람되는것이안전하다. - 업무정보를단말기에저장해야할시암호화등의보호조치가이루어져야하며, 비인가된기기에서정보를열람할수없도록 DRM 등과같은암호화및접근통제기술이적용되는것이안전하다. - 업무정보가모바일애플리케이션과내부시스템간에전송될경우, 암호화하여전송하는것이안전하다. - 업무정보의취급은모바일애플리케이션을통해서만이루어져야하며, 일반이메일애플리케이션, 정보공유애플리케이션, 업무용 Office 애플리케이션등을통해취급되지않아야한다. - 모바일애플리케이션에서업무정보취급시내부시스템과동일하게서비스이용, 정보접근 처리등과관련한로그를기록및보관하여업무정보이력관리를수행해야한다. 4. 금융정보보호대책금융정보는모바일오피스를활용한전자상거래시취급되는정보로, 이에대한보호대책은다음과같다. - 금융정보는단말기에저장되지않아야한다. - 금융정보가모바일애플리케이션과내부시스템간전송될경우, 암호화하여전송해야한다. 제 2 장모바일오피스보호대책 35
제 3 절모바일오피스보안점검항목 지금까지살펴본모바일오피스보호대책을기반으로, 다음과같은보안점검항목들의검토를통 해안전한모바일오피스구축및운영이가능할것이다. 1. 운영자를위한보안점검항목 대분류소분류세부내용 Yes No 사용자 인증 대책 - 일정횟수이상인증오류시사용차단을하고있습니까? - 사용자의단말기인증을하고있습니까? 단말기인증 : 기기인증서, 단말기고유정보등 - 사용자가주기적으로패스워드를변경할수있도록하고있습니까? 단말기보안 단말기 관리 대책 플랫폼ㆍ S/W 보안 대책 콘텐츠 보안 대책 - 단말기분실, 도난에대처할수있는보안기술을제공하고있습니까? 원격잠금및원격데이터삭제등 - 단말기를이동저장매체로사용하지못하도록하고있습니까? - 단말기의테더링기능을사용하지못하도록하고있습니까? - 단말기의하드웨어자원에대한통제를하고있습니까? GPS, 카메라, 마이크등 - 사용자의단말기수리및교체시정보유출을방지할수있도록관리하고있습니까? - 사용자단말기의플랫폼이위ㆍ변조되었는지검증하고있습니까? 루팅, 탈옥등 - 업무용소프트웨어도입전, 취약점분석및보안조치수행하고있습니까? - 주기적으로플랫폼및 SW의무결성검증및보안패치, 업데이트를수행하고있습니까? - 플랫폼및 SW가보안패치및업데이트미수행시서비스접속제한하고있습니까? - 업무문서를보호하기위한기술을적용하고있습니까? DRM, Forensic Marking, Water Marking, Digital Finger Print 등 - 단말기내데이터를암호화하여저장하고있습니까? - 단말기의화면캡처기능을사용하지못하도록하고있습니까? 36 모바일오피스정보보호안내서
모바일오피스정보보호안내서 대분류소분류세부내용 Yes No - 안티바이러스가백그라운드에서동작하도록제공하고있습니까? 단말기보안 악성코드ㆍ해킹대응 - 가상키패드보안프로그램사용하고있습니까? - 허가되지않은외부서버접속을차단하고있습니까? - 바이러스검사후서비스를이용할수있도록하고있습니까? - 안티바이러스프로그램이최신버전이아닐경우서비스접속을제한하고있습니까? - 애플리케이션구동시사용자인증을수행하고있습니까? ID/Password, OTP, 보안카드, 인증서등 - 애플리케이션을일정시간미사용시접속이종료되도록하고있습니까? 애플리케이션보안 사용자인증대책 S/W 관리 - 일정횟수이상인증오류시사용차단하고있습니까? - 사용자인증을 ID/Password 이외에다른인증서, OTP 등을이용한복합인증이이루어지고있습니까? - 사용자의 Password를영문, 숫자, 특수문자를조합하여사용하도록하고있습니까? - 사용자의 Password를주기적으로변경하도록하고있습니까? 사용자교육, 강제변경기술 - 신뢰할수없는 S/W의설치를제한하고있습니까? 신뢰된기관으로부터의서명이존재하지않은 SW, 허가받지않은 S/W, 블랙마켓의 SW 등 - 주기적으로 S/W의위ㆍ변조여부를검사하고있습니까? S/W 무결성검증 - 신뢰되지않은네트워크를통한 S/W 설치및업데이트를금지하고있습니까? - 모바일오피스서비스관련 S/W를기업용앱스토어를통하여배포하고있습니까?( 공개용앱스토어를통한배포금지 ) - S/W 및패치파일을도입전취약점분석및보안조치를수행하고있습니까? 시큐어코딩, 취약점점검등 - S/W가최신버전이아닐경우서비스접속을제한하고있습니까? 악성코드ㆍ해킹대응 - 시큐어코딩을적용하고있습니까? 제 2 장모바일오피스보호대책 37
대분류소분류세부내용 Yes No 네트워크보안 통신망 연결 대책 통신망암호화대책 - 신뢰되지않은네트워크의접속을차단하고있습니까? 불법 AP, 애드혹연결차단및탐지 - 블루투스연결시사용자인증을수행하고있습니까? - 비인가장치와의통신을제한하고있습니까? - 안전한암호화통신채널을사용하고있습니까? SSL/TLS, WPA2-PSK(AES) 등 - mvpn을이용한인증및보안채널사용하고있습니까? - 불필요한서비스 ( 포트 ) 차단하고있습니까? 내부시스템보안 악성코드ㆍ해킹대응사용자인증대책정보자산보안대책 - 허가되지않은스크립트사용을제한하고있습니까? - 보안장비구축및운영하고있습니까? 방화벽, IPS 등 - 내부시스템및애플리케이션을이용한작업내역로그및보안이벤트기록및분석하고있습니까? - 서버시스템및서버보안프로그램들의주기적인보안패치및업데이트를수행하고있습니까? - 주기적인모의해킹, 취약점점검등보안검증 / 보안조치후서비스실시하고있습니까? - 24시간보안관제를수행하고있습니까? - 내부시스템접근시인증을수행하고있습니까? - 일정시간미사용시내부시스템접속을종료하고있습니까? - ID/Password 이외인증서, OTP 등을이용한복합인증을사용하고있습니까? - 사용자의 Password를영문, 숫자, 특수문자를조합하여사용하도록하고있습니까? - 주기적으로패스워드를변경하고있습니까? - 정보자산에암호화적용하고있습니까? - 정보자산무결성검증을통한위ㆍ변조방지기술을적용하고있습니까? 38 모바일오피스정보보호안내서
모바일오피스정보보호안내서 대분류소분류세부내용 Yes No - 모바일애플리케이션서비스이용에따른정보보안정책수립하고, 주기적으로검토하고있습니까? 보안정책 정책수립및조직, 권한정의감사및모니터링 - 모바일애플리케이션서비스정보보안담당자를지정하고, 임무및역할을정의하고있습니까? - 모바일애플리케이션서비스기능과정보자산에대한접근 권한체계를정의하고적용하고있습니까? - 주기적인보안정책의효율성검토및모니터링을수행하고있습니까? - 보안정책및체계에대한주기적인내부감사를수행하고결과를 반영하고있습니까? 사고 대응 - 모바일애플리케이션침해위협에대한대응매뉴얼개발하여 수행하고있습니까? 보안 교육 - 모바일애플리케이션사용자를대상으로정기적인교육과훈련계획 수립하고, 이행하고있습니까? 제 2 장모바일오피스보호대책 39
모바일오피스정보보호안내서 2. 사용자를위한보안점검항목 대분류 세부내용 Yes No - 단말기구동시사용자인증을수행하고있습니까? Password, 패턴잠금등 - 단말기를일정시간미사용시자동잠금또는재인증을하고있습니까? - 단말기에서일정횟수이상인증오류시단말기사용을차단하고있습니까? - 신뢰되지않은 S/W 를다운로드하지않았습니까? 단말기 사용 - 신뢰하지않은사이트나, URL 에접속하지않습니까? - 플랫폼을위 변조하지않았습니까? - 단말기를이동저장매체로사용하지않습니까? - 주기적으로안티바이러스프로그램을사용하여검사하고있습니까? - 보안필름을사용하고있습니까? - 주기적으로플랫폼과, 안티바이러스, 모바일오피스관련 S/W를업데이트하고있습니까? - 안전한경로를통해모바일오피스와관련된 S/W를다운로드받았습니까? 애플리 케이션 사용 - 모바일오피스의인증 Password 를영문, 숫자, 특수문자를혼합하여 사용하고있습니까? - 모바일오피스의인증 Password 를주기적으로변경하고있습니까? - 업무내용에관련된파일을단말기에저장해두고있지않습니까? 문서, 녹음, 화면캡쳐이미지등 - 신뢰되지않은네트워크를이용하지않습니까? 네트워크 사용 - Wi-Fi, 블루투스를사용할때에만기능을켜놓고있습니까? ( 항상 On 상태를유지하지않음 ) - 단말기의테더링기능을사용하지않습니까? 40 모바일오피스정보보호안내서
결론 모바일오피스정보보호안내서 모바일오피스는단말기, 애플리케이션, 네트워크, 내부시스템으로분류할수있 으며, 각구성요소의취약점으로인해개인정보침해, 정보유출, 악성코드등의보 안위협이나타날수있다. 본안내서에서는모바일오피스환경에서발생할수있는보안위협들을도출하여 이를이해하기쉽도록시나리오형태로구성하고, 이에대한보안대책을제시하고 있다. 모바일오피스보안대책은기술적 관리적측면에서각구성요소뿐아니라모바일오피스가취급하는정보유형별로설명하고있으며, 이에대한보안점검항목을마련하여모바일오피스정보보호수준을손쉽게점검하고보안대책을마련할수있도록하였다. 본안내서는기업을위한첫번째모바일오피스정보보호안내서로, 운영자및사 용자가본안내서를통해모바일오피스의안전한구축및운영에대한정보를습득 함으로써, 국내모바일오피스정보보호수준이향상될것으로기대한다. 결론 41
용어정리 BYOD (Bring Your Own Device) - 개인소유의노트북이나스마트폰같은정보단말기를업무에활용하는것을 뜻하는용어 MME - Mobile office security Measures Enumeration - 모바일오피스보안대책목록 MTE - Moble office security Threats Enumeration - 모바일오피스보안위협목록 모바일인터넷전화 (mvoip) - mobile Voice over Internet Protocol - 이통통신망, Wi-Fi 등무선망을통해음성및영상통화서비스를 제공하는것 가짜 (Fake) AP - 공격자가설치한무선 AP 로써, 이용자는공격자가설치한 AP 인지 확인할수없음 리버스엔지니어링 (Reverse Engineering) - 이미만들어진시스템을역으로추적하여처음의문서, 파일구조등의 자료를얻어내는행위 보이스피싱 - 전화를통하여신용카드번호등의개인정보를알아낸뒤이를범죄에 이용하는전화금융사기수법 서비스거부 (DoS/DDoS) - "Denial of Service/Distributed Denial of Service" 의약어로, 시스템을 악의적으로공격해해당시스템의자원을부족하게하여원래의도된 용도로사용하지못하게하는공격 세션 (Session) - 두대의기기간통신을위한논리적연결을의미 42 모바일오피스정보보호안내서
용어정리 스마트워크 (Smart Work) - 시간과장소에얽매이지않고언제어디서나 (Anytime, Anywhere) 편리하고효율적으로일을할수있는미래지향적인업무환경 - 재택근무, 모바일근무, 스마트워크센터등 스택영역 (Stack Area) - 프로그램의함수호출시생성되는지역변수와매개변수가저장되는영역 악성코드 (Malicious Code) - 맬웨어, 악성프로그램이라고도함 - 악의적인목적을위해작성된실행가능한코드의통칭으로자기복제능력과 감염대상유무에따라바이러스, 웜, 트로이목마등으로분류 쿠키 (Cookie) - 인터넷사용자가어떠한사이트를방문할경우, 그사이트가사용하고있는 서버에서인터넷사용자의컴퓨터에설치하는작은기록정보파일 파밍 (Pharming) - 새로운피싱기법 - 사용자가정확한웹페이지주소를입력해도가짜웹페이지에접속하게하여 인증정보, 신용카드정보, 개인정보등을탈취하는공격 패킷 (packet) - 데이터가네트워크를통해전송하기쉽도록분할한데이터의전송단위 피싱 (Phishing) - 이메일, 메신저등을사용해서신뢰할수있는사람또는기업이보낸메시지인것처럼가장하여공격 - 인증정보및신용카드정보, 개인정보등기밀을요하는정보를탈취하거나, 악성코드를설치하도록함 힙영역 (Heap Area) - 프로그래머의필요에의해서메모리공간이할당및소멸되는메모리영역 용어정리 43
참고문헌 [1] 방송통신위원회, 한국인터넷진흥원, 안전한모바일오피스도입과운영을위한 정보보호수칙, 2012. [2] 방송통신위원회, 스마트워크활성화추진계획, 2011. [3] 한국인터넷진흥원, 모바일오피스보안이슈, Internet & Security Focus, 2013. [4] 한국인터넷진흥원, 모바일오피스보안운영현황조사결과보고서, 2013. [5] 한국인터넷진흥원, 모바일클라우드서비스보안침해대응방안, 2010. [6] 한국인터넷진흥원, 신규 IT 서비스보안위협분석및대응방안연구, 2012. [7] 한국인터넷진흥원, 안전한스마트오피스구축, 운영을위한보안대책, 2010. [8] 행정안전부, 모바일전자정부서비스보안가이드라인, 2011. 44 모바일오피스정보보호안내서
부록 제 1 장모바일오피스현황및분류 46 제 1 절모바일오피스시장및서비스현황 46 제 2 절모바일오피스유형분류 50 제 2 장보안위협및보안대책매칭표 53
제 1 장모바일오피스현황및분류 제 1 절모바일오피스시장및서비스현황 국내스마트폰가입자가약 3,500만명 (2012.12 기준 ) 을넘어가면서, 스마트폰기반의모바일오피스시장이본격적으로활성화되고있다. 모바일오피스시장은 2010년행정용모바일오피스의도입으로형성되기시작하였으며, 미래창조과학부 ( 구방송통신위원회 ) 는 2015년까지국내 30% 이상근로자의모바일오피스사용을목표로하는 스마트워크활성화추진계획 (2010) 을세우는등모바일오피스시장은지속적으로성장할것으로기대되고있다. 이러한기대감에힘입어 2012년국내기업모바일시장약 6조 1천억원중모바일오피스가차지하는비중은 70% 이상으로약 4조 4,200억원규모를나타냈으며 6) 2014년약 5조 4,500억원에서, 2017년까지약 6조 4,800억원규모로성장할것으로예상되고있다. 7) 그림 1-1 국내모바일오피스시장전망 6) IDC(International Data Corporation), 국내엔터프라이즈모빌리티시장전망, 2013. 7) KT 경제경영연구소, 모바일오피스시장동향및기업고객 Needs 조사, 2010. 46 모바일오피스정보보호안내서
모바일오피스정보보호안내서 모바일오피스서비스는제조, 금융, 유통, 교육등다양한분야및업종에서도입하여운영되고있 다. 업종에따라전세계모바일오피스도입 운영기업들을분류하면 제조업 (22.9%) 이가장많았 으며, 그뒤로 유통업 (21.9%), 정부 / 교육 (19.7%), 금융업 (6.5%), 운송업 (5.1%) 순으로나타났다. 8) 그림 1-2 업종별세계모바일오피스서비스현황 국내의경우, 세계시장과유사하게 제조업 (23.4%) 이가장큰비중을차지하고있고, 그뒤로 도 소매 / 물류업 (22.5%), 영상방송 / 정보전문 (18.9%), 교육 / 의료 (15.3%), 금융 / 보험 과 사업지원 / 협 회 / 단체및기타서비스 가각각 8.1% 를차지하는것으로나타났다. 9) 그림 1-3 업종별국내모바일오피스서비스현황 8) KT경제경영연구소, 모바일오피스시장동향및기업고객 Needs 조사, 2010. 9) KISA, 모바일오피스보안운영현황조사, 2013. 부록 47
또한, 전세계기업들의업무유형에따른모바일오피스이용현황을살펴보면, 판매 / 마케팅 (31%), A/S(30%), IT/R&D(22%), 구매 / 물품 (19%), 재무 / 자산관리 (17%) 순으로나타나고 있다. 그림 1-4 업무별세계모바일오피스서비스현황 국내의경우, 판매 / 마케팅 (35.1%), 인적자원관리 (30.6%), IT/R&D(27.9%), 구매 / 물품 (23.4%) 과 생산 / 운영 (23.4%), 재무 / 자산 (22.5%) 순으로나타나고있다. 그림 1-5 업무별국내모바일오피스서비스현황 48 모바일오피스정보보호안내서
모바일오피스정보보호안내서 이렇듯모바일오피스가널리사용될것으로예상되는가운데, 최근스마트폰의해킹이나악성코드가증가하고분실 / 도난등에대한문제들이제기되면서, 모바일오피스보안문제에대한우려도점차커지고있다. 국내모바일오피스를도입한회사를대상으로모바일오피스를도입및운영함에있어침해가예상되는보안위협에대해조사한결과, 대다수의기업에서 외부로부터의서버불법접속을통한업무유출 (67.6%), 단말기도난 / 분실로인한업무정보유출 (66.7%), 내부직원의업무정보외부유출 (62.2%) 을우려하고있는것으로나타났다. 이외에도 단말기악성코드감염 (41.4%), 무선통신구간에서정보가로채기 ( 패킷스니핑 )(30.6%) 등다양한보안위협들이발생할것으로예상되고있다. 그림 1-6 모바일오피스보안위협 부록 49
제 2 절모바일오피스유형분류 앞서살펴본것처럼모바일오피스는다양한업종및분야에서활용되고있다. 모바일오피스서 비스는 [ 표 1-1] 과같이다양한기준에따라유형을분류할수있다. 표 1-1 모바일오피스유형분류 유형분류기준업종업무형태수행기능 세부유형 - 제조업, 운수업, 시설관리, 교육, 의료, 도 소매업등 - 그룹웨어서비스, 현장업무서비스 - 인증, 조회, 입력, 파일저장, 파일업로드등 먼저, 모바일오피스서비스는제조업, 운수업, 교육, 의료, 도 소매업, 영업관리등과같이업 종에따라분류할수있다. 각업종별로특화된서비스에따라모바일오피스유형을분류하면 [ 표 1-2] 와같다. 표 1-2 업종별특화서비스에따른모바일오피스분류 제조업운수업 ( 택배, 철도등 ) 시설관리교육의료도ㆍ소매업 ( 판매 ) 영업관리 자재관리, 생산스케줄관리, 협업부유형물품관리, 배차관리, 물품배송, 차량위치추적, 금융결제시설물관리, 위치정보활용강의시간관리, 학생정보, 강의자료관리, 출석및성적관리의료진정보관리, 진단, 환자정보, 시설예약물품관리, 매출관리, 금융결제고객관리, 녹취 / 청취, 금융결제 모바일오피스를업무형태에따라분류하면, [ 표 1-3] 과같이크게그룹웨어서비스와현장업무서비스로구분할수있다. 그룹웨어서비스는메일, 전자결재등의일반적인업무를처리할수있는환경을제공하며, 대부분의모바일오피스에서기본적으로제공하고있다. 현장업무서비스의경우, 기업특성및업무형태에따라서비스를다르게제공한다. 50 모바일오피스정보보호안내서
모바일오피스정보보호안내서 표 1-3 업무형태에따른분류 그룹웨어서비스 메일, 전자결재, 회계처리등의일반업무를모바일단말기로제공하는서비스 현장업무서비스 현장단속, 시설물관리, 보험상담등기업의현장업무를모바일단말기로 제공하는서비스 모바일오피스를이용한업무형태를보다세분화하면 [ 표 1-4] 와같이분류할수있다. 표 1-4 세분화된업무형태에따른분류 이메일 업무를위한메일작성및확인, 전송등의기능을제공하는서비스 그룹웨어 메일, 전자결재등을제외한사내공지, 일정관리등기업의일반적인 업무를제공하는서비스 전자결재 기업내부전자문서결재요청, 승인등전자결재서비스 현장업무 시설물관리, 단속등과같이현장에서수행하는업무를위해제공하는서비스 고객관리 고객정보입력 / 조회, 상담내용기록등고객관리를위해제공하는서비스 주문 / 배송관리 물품의주문, 판매, 배송을확인하기위해제공하는서비스 문서작성 / 편집 고객 / 협력사와 커뮤니케이션 한글 (Hwp), 엑셀 (Excel) 등문서파일의작성, 편집, 열람등의기능을 제공하는서비스 고객 / 협력사와의원활한커뮤니케이션수행을위한게시판, 메신저등의서비스 매출관리 물품구매 / 판매내역파악등을위한매입 / 매출관리서비스 설비관리 시설물사용예약, 수리등록등시설관리업무처리서비스 부록 51
모바일오피스정보보호안내서 금융결제 기업자금결제및이체등업무를위한금융서비스 모바일영상회의 모바일단말기의카메라기능을이용한원격영상회의서비스 연구과제관리 연구내용및실적, 결과물등을입력 / 편집 / 조회서비스 교육모바일회의자료공유항만물류 내부직원을교육을위한영상, 문서파일제공서비스 회의내용, 파일등의공유및확인서비스 선박운항, 항만시설관리, 화물정보등의확인서비스 마지막으로, 모바일오피스는제공하는서비스기능에따라분류할수있다. 서비스기능이란업 무를처리하기위해단말기에서수행되는행위를말하며, [ 표 1-5] 와같이인증, 조회, 입력및편 집, 단말기에파일저장, 파일업로드로분류할수있다. 표 1-5 서비스기능에따른분류 인증 모바일오피스단말또는애플리케이션사용자가인가받은정당한사용자인지식 별및검증하는기능으로 ID/Password, PIN(Personal Identification Number) 등을이용가능 조회입력및편집단말기내파일저장파일업로드 모바일오피스애플리케이션을통한업무처리정보를확인하는기능으로, 해당정보를단말기로다운로드받지않고뷰 (View) 형태로조회하는기능도포함모바일오피스애플리케이션을통해업무처리를위한정보의입력 / 편집을수행하는기능모바일오피스애플리케이션을통해업무용문서, 이미지, 실행파일, 음성파일등을단말기에저장하는기능모바일단말기에저장되어있는업무용문서, 이미지, 영상, 음성등의파일을내부업무서버로전송하는기능 52 모바일오피스정보보호안내서
제 2 장보안위협및보안대책매칭표 구성요소 보안위협 기술적보안대책 보안대책관리적보안대책보안정책외 보안정책 MTE-101 MME-204 MME-501 MME-701 MME-801 MME-302, MME-303, MME-304 MME-504, MME-505, MME-506 MME-705, MME-706, MME-707 MTE-102 MME-204 MME-501 MME-701 MME-801 MME-302, MME-303, MME-304 MME-504, MME-505, MME-506 MME-705, MME-706, MME-707 단말기 MTE-202 MTE-301 MTE-302 MTE-401 MME-204 MME-501 MME-701 MME-801 MME-503 MME-503 MME-701 MME-204 MME-501 MME-701 MME-302, MME-303, MME-304 MME-504, MME-505, MME-506 MME-705, MME-706, MME-707 MME-704 MME-302, MME-303, MME-304 MME-504, MME-505, MME-506 MME-1401 MME-1402 MME-1403 MME-1404 MME-1405 MME-1406 MME-1407 MME-1408 MTE-503 MME-301 MME-303 MTE-605 MTE-701 MME-202 MME-202 MME-401 MME-403 MME-1104 MME-1301 MME-1107, MME-1108 부록 53
보안대책 구성요소 보안위협 기술적보안대책 관리적보안대책보안정책외 보안정책 MME-101, MME-102 단말기 MTE-702 MTE-703 MME-103, MME-201 MME-202, MME-401 MME-402, MME-403 MME-601, MME-602 MME-603, MME-604 MME-1104 MME-202, MME-204 MME-401, MME-402 MME-403, MME-1104 MME-105, MME-106 MME-205, MME-404 MME-605, MME-606 MME-1107, MME-1108 MME-1107, MME-1108 MTE-705 MME-501, MME-502 MME-302, MME-303, MME-304 MME-504, MME-505, MME-506 MME-302, MME-303, MME-304 MTE-504 MME-301, MME-801 MME-504, MME-505, MME-506 MME-705, MME-706, MME-707 애플리케이션 MTE-502 MME-301, MME-801 MME-302, MME-303, MME-304, MME-504, MME-505, MME-506 MME-705, MME-706, MME-707 MTE-601 MME-302, MME-303, MME-304, MME-501, MME-503 MME-504, MME-505, MME-506 MME-801, MME-1102 MME-705, MME-706, MME-707 MTE-603 MME-703, MME-801 MME-704 MTE-708 MTE-707 MME-101, MME-102 MME-103, MME-601 MME-602, MME-603 MME-604 MME-701, MME-703 MME-105, MME-106 MME-605, MME-606 MME-1107, MME-1108 54 모바일오피스정보보호안내서
모바일오피스정보보호안내서 보안대책 구성 요소 보안위협 기술적보안대책 보안정책외 관리적보안대책 보안정책 MTE-201 MME-1001, MME-1002 MME-901, MME-902 MTE-202 MME-904, MME-1001 MME-1002 네트워크 MTE-501 MTE-505 MTE-602 MTE-704 MTE-706 MME-1001, MME-1002 MME-1001, MME-1002 MME-1101, MME-1103 MME-901, MME-902 MME-904, MME-1001 MME-1002 MME-204, MME-903 MME-904 MME-1105, MME-1107 MME-1108 MME-1401 MME-1402 MME-1403 MME-1404 MME-1405 MME-1406 MME-1407 MME-1408 MME-204, MME-301 내부시스템 MTE-402 MTE-701 MME-501, MME-503 MME-701, MME-702 MME-1103, MME-1104 MME-1103, MME-1104 MME-1201, MME-1202 MME-1203, MME-1301 MME-1105, MME-1106 MME-1107, MME-1108 MME-1105, MME-1106 MME-1107, MME-1108 MME-1204, MME-1205 부록 55
모바일오피스정보보호안내서 발행처 : 미래창조과학부 한국인터넷진흥원 경기도과천시관문로정부과천청사 미래창조과학부 TEL : ( 국번없이 ) 1335 서울특별시송파구중대로 109 대동빌딩 한국인터넷진흥원 TEL : (02) 405-4118 ( 비매품 ) 본안내서내용의무단전재를금하며, 가공 인용할때에는반드시미래창조과학부 한국인터넷진흥원 모바일오피스정보보호안내서 라고출처를밝혀야합니다.