접근통제 보안위협 및 대응책
패스워드 크래커(Password Cracker)
- 사전 공격(Dictionary Attack)
패스워드 사전 파일을 이용하여 접속 계정을 알아내는 해킹 방법이다. 공격 대상의 개인 정보 등을 충분히 알고 있다면 매우 효율적인 공격 방법이다.
공격자들은 패스워드의 해시된 값 혹은 패스워드 파일을 포착하며 포착 후에 소프트웨어 툴 자체에 이미 포함된 단어와 포착된 패스워드가 일치할 때까지 비교 작업을 수행한다.
- 무차별 공격(Brute force Attack)
성공할 때까지 가능한 모든 조합의 경우의 수를 시도해 공격하는 해킹 방법이다. 이 경우 정확한 패스워드가 드러날 때까지 가능한 모든 문자의 나열을 시도하는 툴이 사용된다.
- 크리덴셜 스터핑(Credential Stuffing)
공격자가 확보한 아이디와 비밀번호를 임의의 다른 서버의 로그인 정보로 대입해 보는 공격
- 레인보우 테이블을 이용한 공격
레인보우 테이블은 하나의 패스워드에서 시작해 특정한 변이 함수로 변이된 형태(salting)의 여러 패스워드를 생성한다. 그리고 변이된 각 패스워드의 해시를 고리처럼 연결하여 일정 수의 패스워드와 해시로 이루어진 체인을 무수히 만들어 놓은 테이블이다. 사전 공격 또는 무차별 대입 공격보다 훨씬 적은 시간이 소요된다.
사회공학(Social Engineering)
사회공학 공격은 신뢰할 수 있는 개인이나 조직을 사칭하여 공격대상의 민감한 정보를 빼내는 작업을 통칭한다.
- 인간기반 사회공학 공격
공격 대상자에게 전화를 걸어 조직의 보안 책임자 등으로 가장하여 보안 설정 변경 목적을 빙자한 사용자 ID와 패스워드 빼내기, 대출기관의 담당자를 가장한 비밀번호와 보안카드번호 빼내기 등이 대표적인 인간 기반 사회공학 공격 유형이다.
- ICT 기반 사회공학 공격
· 피싱 (Phishing)
피싱은 개인정보(private data)와 낚시(fishing)의 합성어로 개인정보를 낚는다는 의미이다.
수신자에게 email을 발송하여 phisher들이 운영하는 위조된 사이트로 이동시킨 후 이들에게 사이트 개편 등을 이유로 고객정보를 요구하는 방법이다.
· 파밍 (Pharming)
파밍은 해당 사이트가 공식적으로 운영하고 있는 도메인 자체를 중간에서 탈취하는 수법이다.
파밍은 진본 사이트와 유사하게 잘 꾸며진 위조 사이트를 개설한 다음 공격 대상자의 진본 웹사이트 접속 요청을 몰래 위조 사이트로 전달하기 위해 redirecting을 한다.
피싱의 경우는 주의 깊게 살펴보면 알아차릴 수 있지만 파밍은 아무리 도메인 주소나 URL 주소를 주의 깊게 보더라도 속을 수 밖에 없다. 따라서 피싱보다 피해를 당할 우려가 더 크다.
· 스피어 피싱(spear phishing)
조직 내의 신뢰할 만한 발신인으로 위장해 ID 및 패스워드 정보를 요구하는 일종의 피싱 공격이다.
· 스미싱 (Smishing)
SMS와 Phishing 공격이 결합된 용어로, SMS을 통해 사용자를 속여 트로이목마 등 악성 소프트웨어 설치를 유도하고 설치된 악성 소프트웨어를 통해 민감한 개인정보를 빼내거나 소액결제 등을 실행하여 금전적인 손해를 입히는 신종 휴대폰 사기수법이다.
ICT 사회공학 공격에 대응하기 위해 침투하는 악성 소프트웨어의 탐지 및 제거, 접속한 사이트와 DNS 서버에 대한 진위 인증 등의 대응이 요구된다.
은닉 채널(Covert Channel)
엔티티가 허가되지 않은 방식으로 정보를 얻는 방법이다. 이것은 보안 메커니즘에 의해 통제되지 않는 정보 흐름이다.
정보흐름 모델은 은닉 채널이 존재하지 않는다는 것을 보장하는 방법에 대한 규칙을 만든다. 하지만 시스템 내에 수많은 정보흐름이 존재하므로 은닉 채널을 찾아내서 막기는 어렵다.
방어법으로는 로그분석과 HIDS(호스트 기반 IDS) 탐지, 통신대역폭에 대한 엄격한 제한, 시스템 자원 분석이 있다.
방사(Emanation)
공격자들이 정보를 훔치기 위해 사용하는 방법으로 컴퓨터와 장치로부터 방출되는 전기적 신호를 가로채는 방법이다. 이를 통해 해당 전기적 신호를 발생시킨 원래 데이터를 알아낼 수 있다.
- 대응책
·템페스트 : 차폐 물질로 방사되는 신호 억제
·백색 잡음 : 무작위적 전기 신호를 의도적으로 방출
·통제 구역 : 전기적 신호가 새어나가지 않게 끔 함