[CISSP] Domain 5. 시스템 운영 보안

▶ 통제
  - 운영보안통제 : 통제 적용 시점에 따른 분류(예방, 탐지, 교정)
      - 예방통제 : 의도되지 않은 오류의 횟수 및 영향 감소
                       인가되지 않은 침입 통제
                       사전 방지를 위한 예방
      - 탐지통제 : 위협이 현실화 될 때 탐지하기 위한 활동, Eg) IDS
                       Logging을 통한 감사 증적(Audit Trail, 감사추적)
      - 교정통제 : 복구통제
                       위협의 현실화를 통한 사고가 발생한 후 손실의 영향을 최소화
                       사고 후 복구활동, 대응절차, Eg) BCP DRP

      - 응용프로그램 통제 : 응용프로그램의 불법 동작을 감지, 영향을 최소화
                                    입력통제 - 편집통제(CISSP에서는 같은 의미)
                                    처리통제 - 연산통제(프로그램 로직), 데이터파일 통제(DB), 편집통제
                                    출력통제
      - 트랜잭션 통제 : 응용프로그램 통제와 같은 의미, Transaction Flow Control
                              변경통제 - 소스코드 변경(형상) 관리와는 다른 의미
                              테스트 통제
      - 저지통제 : 다른 통제가 부족해 보완하기 위해 사용, 보완통제

  - 오렌지북통제 (TCSEC)
      - 가장 초창기에 만들어 진 보안 통제 기준
      - 데이터의 기밀성 중심, 네트워크는 고려되지 않음
      - TCSEC(Trusted Computer Security Evaluation Criteria)
      - 운영 보안 통제 + 수명(개발) 주기 보안 통제
      - 보안성 수준을 7가지 보안 등급으로 구분
          - A1 : Covert Storage & Timing Channel 모두 존재하지 않아야 함
                   신뢰된 복구 지원
                   형상관리가 SDLC 전체에서 준수되어야 함
                   검증된 설계, 극비 정보 취급
          - B3 : Covert Storage & Timing Channel 모두 존재하지 않아야 함
                   신뢰된 복구 지원
                   형상관리가 개발, 유지보수 기간동안 준수되어야 함
                   은닉채널 보호, 중요 정보 취급
          - B2 : Covert Storage Channel 가 존재하지 않아야 함
                   신뢰된 복구를 지원하지 않음
                   형상관리가 개발, 유지보수 기간동안 준수되어야 함
                   은닉 스토리지 채널만 보호, Trap Door 보호
          - B1
          - C2
          - C1
          - D

      - Covert Channel : 기본채널에 기생하는 통신채널
                                 시스템 보안정책을 위배하는 비 정상적인 통신채널
                                 ACK CMD, ICMP 통신
      - Covert Storage Channel : 시스템에 저장된 정보를 변경하여 정보 전달
      - Covert Timing Channel : 시스템 자원의 타이밍을 수정하거나 성능을 변화시켜 정보 전달

  - CC(Common Criteria) : 국가마다 서로 다른 정보보호시스템 평가 기준을 표준화

  - 관리통제 : IT 자원을 관리하는 직원에 대한 통제
                   직원보안, 직무분리, 직무순환
                   최소 권한의 원칙
                   최소 지식의 원칙
                   변경/형상관리 통제

  - 운영통제
      - 문서화
      - 하드웨어 통제
      - 소프트웨어 통제
      - 매체통제
      - 물리적 접근 통제

▶ 모니터링
  - 특정 대상의 현재 상황이나 상태 변화를 주기적 관찰하여 이상 유무를 판단

  - 모니터링 기법 : 침입탐지(Intrusion Detection System), 침투테스트(Penetration Test)
                          Eg) Scanning, War Dialing, Dumpster Diving, Social Engineering, Sniffing

  - 침입탐지 : 방화벽과 같이 사용되어짐
                   단점 보완을 위해 침입방지시스템(IPS)를 주로 사용
                   단점 - 오인 탐지, 미탐지, 자동화 곤란

  - 침투테스트 : 보안 수준 진단을 위해 발생 가능한 침입 행위를 실제 구현하여 테스트
                      윤리적 해킹

  - 침투테스트 수행 단계 : 계획 -> 발견 -> 공격 -> 보고
     계획 단계에서 조직 내의 보안규칙(label)을 확인하고 경영진의 승인을 얻어야 하며 테스트 목적이 필요함
     발견 단계에서는 취약점 분석을 수행함

  - 침투테스트 종류 : 블루팀(보안 관리자에 통보 후 테스트) / 레드팀(보안 관리자가 모르게 테스트)
                              레드팀의 경우 경영진의 승인이 반드시 필요(시스템 가용성 훼손의 가능성)
                              테스트 후 보안담당자에게 사용 한 시스템 목록을 통보

  - 위반분석 : 비 정상적 사용자의 행위를 추적
                   일반 오류라고 용인 될 수 있는 범위(Clipping Level)를 벗어난 경우 침해사고로 판단, Logging

  - 클리핑 레벨(Clipping Level) : 시스템 보안 정책에 허용된 임계치
                                              로그관리 편의와 위반 사항을 찾기 위한 기준선

▶ 감사
  - 감사 추적(Audit Trail, 감사 증적)
      - 시스템 및 응용프로그램에 대한 변경 이력이나 실행결과, 이벤트를 분석
      - 책임 추적성(Accountability)을 강화
      - 개별 추적성, 사건 재구성, 문제 감시, 침입 탐지

  - IDS
      - Network-Based IDS : 일반적인 IDS
                                       Network Packet 을 분석해서 침입을 판단

      - Host-Based IDS : Host 장비에 Software 적으로 설치되는 일종의 침입탐지기능
                                 일반적으로 IDS라 부르지는 않음
                                 Audit Trail, System Call 을 분석해서 침입을 판단

  - 보안 감사
       - 정기적으로 외부의 IT 감사자(Eg : CISA)에 의뢰
       - 백업 통제, 시스템과 Tx 통제, Data library 절차, 시스템 개발 표준, 데이터센터 보안, 비상계획