Security

기존 v1.x, v2.x 버전의 리눅스 서버 취약점 점검/진단 도구에 대한 아래와 같은 문제점을 도출하여 개선하고자 하였으며, 개발해온 구조를 유지하면서 소스 전체 수정하여, 이후 취약점 점검 평가 기준 적용 및 소스 유지보수를 원활히 할 수 있도록 전반적인 전체소스를 새로운 구조로 새롭게 제작함. (현재 1만줄 이상 소스 코드 ㅜ..ㅜ)리눅스(Linux) 서버 취약점 점검 도구 v3.x - Dev. History취약점 점검 도구 v3.x 버전 개선 및 변경사항- 취약점 점검 항목을 유연하게 수정, 변경, 제외를 할 수 있도록 클래스화 및 전체 소스 새로 제작 (2018년도 ~ 2021년도)- 취약점 점검 도구 실행시 운영체제를 식별하게 해당 운영체제의 설정 항목에 맞게 분기하도록 개선- 많은 취약점 점..

이메일 모의훈련시 행위에 대한 정보수집을 위한 웹서버를 구축하고, 모의훈련을 위한 대상 이메일 정보를 통해 대량으로 훈련용 메일 발송을 위한 클라이언트 도구 개발​개발된 기능(클라이언트)이메일 정보를 시스템에 보관시 암호화(정보 악용 방지)하고, 훈련시 해당 정보를 복호화하여 훈련용 메일 발송경우에 따라 암호화된 정보를 복호화할수 있는 기능 추가CSV파일을 통해 대량으로 정보 Import 기능 추가

기존 개발된 소스들을 최대한 활용하여 MySQL/Maria DB 취약점 점검도구 v1.0 개발HTML 형태로 결과물 저장취약점 평가/조치 기준 취약점 진단 항목별 표시양호/취약 판정은 v2.0 버전에 개발 반영 예정개별 항목별 점검 옵션 명령 v2.0 버전에 개발 반영 예정도움말 제공 v2.0 버전에 개발 반영 예정점검 결과 tar.gz 압축점검도구 사용 기한 제한 및 점검도구 사용시 다양한 정보가 표출되므로, 실행시 패스워드 입력하도록 함.DB 접속 정보 ID/PWD를 입력받도록하여 시스템내 기록(History 등)이 되지 않도록 함.

기존 리눅스(Linux) 서버에 대한 취약점 점검 및 기준 평가가 시스템 담당자가 판단하여 보안조치가 필요할 경우 조치를 하는 구조로 진행하고 있었으며, 취약점 점검/진단 도구를 어떻게 개발할지 고민하기 위해 "위험분석 및 평가"를 진행할떄 샘플링하여 취약점 평가 사항 및 시스템 보안 설정 상황을 파악해보자는 생각으로 "위험분석 및 평가"시 문제점 도출을 위해 시작하는 계기가 됨. 취약점에 대한 기준이 오래된 기준이긴 하지만 일부 참고가 가능하나, 보안설정 및 조치에 대한 기준이 표준화 되어 있지 않아 평가가 같은 항목내에서도 다르게 해석되었으며, 보안조치가 필요한 사항이 조치가 되지 않은 상태(점검자는 양호, 양호로 판단된 사유 없음)로 유지되고 있거나 제대로된 기준을 제시해주지 않아 보안조치가 미루어..

2016년도는 ISMS 인증심사 준비 및 대응을 보안팀에서 자체적으로 수행을 하다보니 갖추어야 하는 회사내 보안 관리체계 정비가 너무 많은 가운데 PC 취약점 점검/진단 도구를 먼저 개발하게 됨. 리눅스(Linux) 서버는 내가 오기전부터 존재하던 Linux용 취약점 점검 스크립트가 존재하였으나, 해당 스크립트는 점검자의 역량에 따라 그나마 정보가 추출된 서버의 설정값을 가지고 점검자가 진단을 하나 평가 기준이 상이하고, 운영체제 환경이 맞지 않을 경우 정보가 추출되지 않는 문제가 있었음. 또한 해당 설정값이 대한 점검자가 컨설팅 업체를 통하지 않다보니 이를 보안팀에서 수집하여 서버 설정에 대한 취약점 평가에는 어려움이 발생하여, 서버 담당자가 해당 추출된 정보로 주관적 평가로 시스템의 보안설정을 유지하..

취약점 점검/진단 도구를 매년 본격적인 ISMS 인증심사 전 1분기때 개선이 필요한 것들을 몰아서 진행하거나 필요한 평가 기준 수립등을 하고 있음. 금년도도 어김없이 새로운 평가 기준 반영, 오류 수정등 PC 취약점 점검/진단 도구를 개선했으며, 취약점 점검 결과를 관리시스템과 연동하게 된것이 큰 변화라고 할 수 있음. 기존 윈도우 명령 프롬프트에서 리눅스 처럼 글자색 표현이 자유롭지 않았으나, 최신 운영체제에 해당 기능이 일부 지원이 되어 이를 적극 할용하여 취약점 점검/진단 도구 가독성을 높임. PC 취약점 점검 도구 v4.1.x - Dev. History 취약점 점검 도구 v4.1.0 버전 상세 기준 및 변경사항 - AD와 연동된 시스템에서 취약점 점검/진단 도구가 오류로 강제 종료되는 문제 수정 ..

개인 블로그를 시작한지는 얼마 되지 않았다. 오랜 기간동안 빈공간으로 자리하던 블로그에 나이가 들어서 그런지 지금까지 해왔던 일들을 기록하고 블로그에 남겨보고자 시작하게 되었다. ​ 다양한 업무를 수행하면서, 지금까지 개선, 발전시켜온 내용을 블로그에 기록해 보자라는 맘이 생긴것이 어찌보면 나를 소개해보자는 취지가 큰듯 하다. 뭐 한편으론 열정을 쏟아가며 진행해왔던 거들이 시간이 지남에 따라 열정이나 관심, 내 존재가 점점 사라져가는게 무서워서 기록하는게 아닌가 싶다. ​ 어찌되었든 지금은 너무나 흔한 기술 또는 노하우 등이 보편화된 내용이나 지금은 빠르게 변화하는 시대에 뒷쳐진 내용일 수 있지만 그동안 해왔던 일들을 하나하나 기록하고자 하고, 이런 부분을 다른이와 소통해보면 좋지 않을까 생각해 본다. ..

지금까지 취약점 점검/진단 도구를 통한 점검 결과 확인은 HTML보고서를 통해 보안설정이 필요한 사항을 확인하고 조치를 점검자가 진행하여, 관련 결과 파일을 별도로 전달하는 방식으로 관리함. 사용자 입장에서는 HTML 보고서에서 제공하는 취약점 관리, 보안 설정 등의 정보로 해당 시스템의 보안 예방 및 설정 조치 관리가 가능한 수준으로 되어있지만 관리자 입장에선 전체를 지속적으로 관리하지 못해 취약점에 대한 정보관리의 필요성이 개인적으로 대두됨. 또한 ISMS대응을 위해 정보자산에 대한 위험분석 및 평가를 자체적으로 하고 있는 입장에서 매년 수행되는 결과물에 대해 취합하여 평가하고 있지만 이 또한 관리시스템의 부재로 오는 불편함이 매년 업무 수행시 개선이 필요하다고 생각함. 결국, 위와 같은 이유로 틈날..

ISMS 인증심사시 macOS(OSX)에 대한 취약점 점검 및 평가 기준 미흡 결함으로 취약점 점검 기준을 수립하는 계기가 되어 개발하게됨. 해당 취약점 평가 기준 및 취약점 점검 항목에 대한 명령어 및 정보 추출 등의 정보를 수집하고, 국내엔 참고할만한 기준이 없어 계정 관리, 서비스 관리, 보안 관리 등의 KISA 가이드라인의 카테고리 분류체계를 참고하여 취약점 점검 항목을 분류함. 수집된 취약점 평가 기준 및 점검 명령어를 기존 개발하였던 리눅스 서버 취약점 점검/진단 도구의 소스를 활용하고, macOS(OSX) 운영체제는 특이하게도 Apple script라는 것을 지원하여 이를 통해 시스템의 설정 UI 접근등이 가능하여 이를 적극활용하여 취약점 점검/진단 도구를 개바함. macOS(OSX) 취약점..

일부 ISMS 보안결함사항중 기술적으로 통제가 가능한 항목은 취약점 점검/진단 도구에 반영하여 평가하고 보호대책이 적용이 될 수 있도록 하여 잘 사용하여 왔으나, 기술지원 종료 운영체제 및 응용프로그램 등으로 인해 기존 취약점 진단 및 평가 기준으로 보호대책 운영이 어렵다고 판단하여, 최신 운영체제(Windows 10/11)와 이에 따른 보안 트랜드에 맞춰 취약점 평가 기준 연구 및 취약점 점검/진단 도구를 새롭게 개발하게 됨. 2023년도 ISMS 인증심사 준비 및 대응을 문서적으로 하지 않고 실제 업무 수행한 증빙자료로 심사를 준비 및 대응을 하다보니 약간 여유가 생기는 1분기내에 보안정책 및 지침, 보호대책, 정보자산에 대한 취약점 평가 기준 수립 등을 이때 마련하여 인증심사 준비 및 대응도 하면서..