시스템 강화와 보안 솔루션 | 정보보안기사 필기

1. 시스템 강화의 기본 원칙

보안 기준선은 해당 역할의 시스템이 유지해야 할 승인된 보안 상태다.

제품 기본값이 곧 안전한 기준선은 아니다. 서버·단말·업무 역할에 따라 필요한 설정이 다르다.

패치가 최신이어도 관리자 화면이 외부에 공개되면 위험하다. 설정이 안전해도 알려진 취약점이 남아 있으면 공격받을 수 있다.

애플리케이션 통제는 승인된 프로그램·스크립트·라이브러리만 실행되도록 제한한다.

대표 기준:

장점은 승인되지 않은 실행을 줄이는 것이다. 한계는 서명된 정상 관리 도구가 공격에 악용될 수 있고, 업데이트 시 정책 관리가 필요하다는 점이다.

백신과 EPP(Endpoint Protection Platform)는 파일·프로세스·웹·메일에서 악성코드를 예방·탐지·차단한다.

대표 방식:

서명 업데이트와 실시간 보호가 중요하지만, 새로운 공격·정상 도구 악용·사용자 계정 탈취를 모두 막지는 못한다.

탐지와 차단은 다르다. HIPS의 차단 정책이 지나치게 강하면 정상 업무를 막을 수 있으므로 보호 대상과 정책을 명확히 해야 한다.

EDR(Endpoint Detection and Response)은 엔드포인트의 행위를 수집하고 관계를 연결해 조사·대응하는 솔루션이다.

대표 관찰 정보:

대표 대응:

EDR이 설치돼 있다는 사실만으로 모든 단말이 정상 수집·정책 적용 상태라는 뜻은 아니다. 또한 모든 행위를 빠짐없이 보존하는 완전한 감사 로그와 같지 않다.

호스트 방화벽은 시스템에서 들어오고 나가는 통신을 주소·포트·프로그램·프로필 등에 따라 허용·차단한다.

네트워크 방화벽과 호스트 방화벽은 서로 다른 위치에서 통신을 통제하므로 함께 사용할 수 있다.

FIM(File Integrity Monitoring)은 중요 파일과 설정의 해시·권한·소유자·크기·시간 등의 변화를 탐지한다.

FIM 경고는 변경이 있었다는 증거이지 악성 변경을 자동 확정하는 것은 아니다. 패치·승인된 배포·관리자 작업 기록과 대조해야 한다.

DLP(Data Loss Prevention)는 중요 데이터의 저장·사용·전송 과정에서 비인가 유출을 예방·탐지한다.

대표 통제 경로:

DLP는 데이터 분류와 정책이 부정확하면 오탐·미탐이 발생할 수 있으며 화면 촬영 같은 모든 유출 경로를 완전히 막지는 못한다.