이론 목록
Secure SDLC·SSDF·위협 모델링
Secure SDLC가 요구·설계·구현·시험·운영에 보안을 통합하는 접근임을 이해한다. 대표 보안 개발 방법, 입력·오류·코드·캡슐화·API 약점 범주를 구분하고 SSDF와 STRIDE는 위협 분석의 보조 개념으로 연결한다.
입력 검증·출력 인코딩·인젝션 방어
입력 검증·출력 인코딩·매개변수화의 목적과 적용 위치를 구분한다. 서버 측 구문·의미 검증, SQL 구조와 값 분리, SQL 식별자의 고정 매핑, 운영체제 명령 호출 최소화로 인젝션 방어 원리를 이해한다.
XSS·CSRF·파일 업로드·경로 조작 방어
XSS의 코드 실행과 CSRF의 인증정보 악용 요청을 구분한다. 문맥별 출력 처리·CSRF 토큰·파일 내용 및 저장 위치 검증·서버 파일 ID 매핑으로 각 약점의 원인과 방어를 이해한다.
코드 안전성·인증·인가·세션 통제
경계·정수·널 참조·해제 후 사용·자원 누수와 경쟁 상태의 차이를 정리한다. 인증·인가·MFA를 구분하고 서버의 객체별 권한 검사, 세션 고정·탈취 방어, 갱신·만료·무효화의 원리를 이해한다.
암호·오류·로깅·캡슐화·API 보안
대칭키·공개키·해시·MAC·전자서명의 보호 목적과 대표 알고리즘을 비교한다. 안전한 오류 처리와 로그 보호, 내부 가변 데이터의 캡슐화, API 반환값·외부 데이터·허용 필드 확인을 정리한다.
시스템 보안 목표·인증·접근통제·심층 방어
CIA와 식별·인증·인가를 구분하고 SSO·Kerberos의 기본 원리를 정리한다. ACL·Capability, DAC·MAC·RBAC·ABAC와 대표 보안 모델을 비교하며 최소 권한·직무분리·심층 방어를 연결한다.
서비스 공격·DoS·DDoS·악성코드
스니핑·스푸핑·재전송·중간자·파밍을 구분하고 DoS·DDoS의 직접·반사·증폭 구조를 이해한다. SYN Flooding·Smurf·Teardrop·LAND와 악성코드의 복제·전파·위장 특성을 비교한다.
보안 프레임워크·방화벽·WAF·IDS·IPS·VPN
보안 프레임워크와 솔루션을 구분하고 방화벽 구축 구조·WAF·IDS·IPS의 역할을 비교한다. 오탐과 미탐, IPsec의 AH·ESP·전송·터널 모드, VPN과 인가의 차이를 정리한다.
보안 로그·이벤트 분석·취약점·패치
로그·이벤트·경보·사고를 구분하고 시간 동기화·로그 보호·상관분석의 목적을 정리한다. CWE·CVE·CVSS를 비교하며 취약점 적용 여부, 위험 우선순위, 패치 설치 후 실제 해결 검증을 이해한다.
사고 대응·네트워크 세분화·검증·운영 지표
보안 아키텍처·로그·취약점 관리를 연결하는 보조 이론이다. 사고의 격리·제거·복구, 네트워크 구역 간 접근통제, 통제·복원 검증, RTO·RPO와 운영 지표 해석의 기본 차이를 정리한다.