개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 지난 3월 27일 제6회 전체회의를 열고, 개인정보보호 법규를 위반한 ㈜디지털대성과 ㈜하이컨시에 대해 총 8억 9,300만 원의 과징금과 1,350만 원의 과태료를 부과하기로 의결했다.이들 2개 사업자는 인터넷 강의 사업자로, 입시를 준비하는 청소년이 주로 이용하고 있어 개인정보 유출에 각별한 주의를 기울일 필요가 있으나, 개인정보 보호법에 따른 안전조치와 개인정보 유출 통지 등의 의무를 위반하여 과징금과 과태료 부과 처분 등을 받게 되었다.우선 ㈜디지털대성의 경우 해커의 ‘

◇ProxyM IoT 봇넷 ProxyM이라고 알려진 사물인터넷(IoT) 봇넷이 SQL 인젝션, 크로스사이트 스크립팅(XSS), LFI 등의 공격 중계 지점으로 사용돼 웹 애플리케이션에 대한 공격을 숨기고 있다. ProxyM은 2017년 2월부터 존재해 왔으며 5월과 6월 한번에 약 1만개의 감염된 기기에 접근했다. ◇NIST, 사이버보안 프레임워크 2차 초안 발표 미국 국립 표준기술연구소(NIST)는 핵심 인프라의 사이버보안을 향상하기 위한 프레임워크의 두 번째 초안을 발표했다. 새로운 초안 문서에는 사이버보안 위험 자체 평가...

구글은 개발자들이 크로스사이트 스크립팅(XSS) 에러를 줄이는 정책이 효과적인지 평가할 수 있는 새로운 도구를 발표했다.콘텐츠 보안 정책(CSP) 평가도구는 정책의 효과에 대한 아이디어를 얻기 위해 구글 엔지니어들이 사용한 것이다.구글은 크롬에 CSP 완화 확장프로그램을 발표했다. 개발자들은 이를 이용해서 애플리케이션이 CSP를 준수하는 지 알 수 있다.★정보보안 & IT 대표 미디어 데일리시큐!★[외신. 2016. 9. 27. & 28. SANS Korea / www.itlkorea.kr]

전 세계 오픈소스 기반 웹, 애플리케이션, 소프트웨어 보안 표준 기술을 선도하고 있는 OWASP의 한국 챕터는 개발된 코드 보안문제를 분석할 수 있는 “OWASP 코드 리뷰 가이드 V1.1“ 공식 한글판을 발간했다고 밝혔다. 현재 많은 조직에서 사업적인 목적으로 자체적인 애플리케이션을 개발하고, 보안 취약점을 방어하기 위해 침투시험, 보안장비 설치 등의 방어책을 적용하고 있지만, 보안 위험성을 완전히 해결하였는 지에 대해서는 자신하지 못하고 있으며, 외부의 공격에 노출되어 있다. 애플리케이션의 보안 문제를 확실히 해결할 수 있는 방

씨디네트웍스(대표 김종찬)가 2014년 디도스(DDoS) 공격 동향 및 2015년 디도스 공격 전망 보고서를 발표했다. 씨디네트웍스 보안실 홍석범 이사는 “전년도 디도스 공격은 횟수와 트래픽 규모 모두 양적으로 증가했으며, 특정 프로토콜의 취약점을 이용해 공격에 악용하는 증폭 공격이 두드러졌다. 또한 전세계적으로 분포된 클라우드 서비스를 이용해 공격 대상의 위치에 따라 가상머신(VM)을 확보하여 공격하는 패턴이 관찰됨으로써, 진화하는 공격 방식에 대해 철저한 대비가 필요하다”고 말했다. 씨디네트웍스가 분석한 2014년 디도스 공격

미국의 날씨 채널(Weather Channel)은 자사 웹사이트 링크의 3/4이 크로스사이트 스크립팅(XSS) 공격에 취약해, 방문자들이 공격에 노출되고 있다는 것을 인정했다. 웹 사이트 관리자는 이 취약점에 대한 정보를 받았으며 최근 취약점을 해결했다. XSS 취약점은 웹 애플리케이션에 스크립트를 포함시킬 수 있는 것으로 OWASP 탑 10 취약점 중 3번째로 위험한 것이다. -www.theregister.co.uk/2014/12/01/weather_/ [외신. 2014. 12

모바일 앱당 4.8개의 보안 취약점이 발견되었다는 분석결과가 나왔다. 그 중 가장 많이 발견된 보안 취약점은 일반적인 웹 보안 취약점 통계와 유사하게 OWASP Mobile Top10 Risk 기준으로 신뢰할 수 없는 입력에 의한 보안 결정 취약점인 ‘사용자 입력값 검증 부재’로 나타났다. 정보보안 전문 커뮤니티 시큐리티플러스(SecurityPlus, 대표 박형근)는 2014년 11월 11일부터 13일까지 지속적으로 증가하는 모바일 위협에 대해 현재 모바일 앱의 보안 현황을 진단하기 위해 국내에서 가장 많이 사용하는 국내·외 안드로

화이트햇 보안 보고서에 따르면 프로그래밍 언어 종류별 발견되는 취약점 개수에는 큰 차이가 없으나, 언어별 패치하는데 걸리는 시간은 다르게 나타났다. ASP에 있는 취약점이 다른 프로그래밍 언어에 있는 취약점보더 더 오래 패치되지 않고 있다. ASP 취약점은 약 139일간 패치되지 않고 있었으며 PHP는 129.5일, 자바는 90.9일이었다. 이번 조사에서 크로스사이트 스크립팅(XSS)이 .NET을 제외한 모든 언어에서 발견되는 최고 취약점이었다. -www.scmagazine.com/research-shows-vulnerabi

OWASP 한국 챕터에서 번역한 OWASP Top 10 2013 한글 버전 초안이 공개됐다. 챕터 관계자는 “아직 다소 매끄럽지 못한 부분이 있어 공개 의견수렴을 하고자 한다. 의견수렴 기간은 8월 13일~8월 23일까지인 만큼 많은 의견을 바란다. 최종본은 8월 26일경에 공개할 예정이다”라고 밝혔다. 2010년도 버전 대비 2013년 버전 변경 사항을 보면, Top 10 기준으로 ‘훼손된 인증 및 세션관리’가 상향조정 되었으며, ‘크로스사이트 요청 변조’가 A8로 하향 조정되었으며 ‘제한된 URL 접근 실패’가 ‘함수 수준의 접

애플은 사파리 브라우저 업데이트 버전인 사파리6을 발표했다. OS X(라이온)기반의 사파리6은 크로스사이트 스크립팅(XSS) 공격, 임의 코드 실행 및 파일 절도와 같은 공격이 가능했던 사파리 5.x 버전에 존재하는 120개 이상의 보안 취약점을 패치했다. 사파리6는 '스마트 검색 필드'와 같은 새로운 기능을 추가했다. 스마트 검색 필드 기능은 사이트 주소 검색 및 입력할 수 있으며, 오프라인 방문 목록 기능은 인터넷이 연결되지 않았을 때 사용자들이 읽은 페이지를 저장할 수 있다. 인터넷스톰센터 : htt

아메리칸 익스프레스(AmEx) 웹사이트에서 크로스사이트 스크립팅(XSS) 취약점이 발견되어, 로그인 데이터가 노출돼 피싱 공격에 사용될 가능성이 있다는 것이 발견됐다. 이 취약점은 인터넷에서 접근할 수 있는 디버깅 기능에서 존재한다. 이번 문제점을 발견한 연구원은 AmEx가 홈페이지에 대한 보안 문제점에 대해서 컨택할 수 있는 정보가 없어서 회사에 보고하지 않았다. 어메리칸 익스프레스는 문제가 있는 페이지를 삭제했으며, 고객데이터는 노출되지 않았다는 공지를 발표했다. -www.h-online.com/security/news

최근 SQL 인젝션 및 크로스사이트 스크립팅(XSS) 취약점을 이용한 민감한 정보를 해킹하는 공격이 빈번한 가운데, OWASP 한국지부(이하 OWASP)에서 오는 10월 19일 삼성동 코엑스에서 웹 보안 위협과 대응이라는 주제로 세미나를 개최한다. OWASP 한국지부는 2010년 11월에 설립 위원회를 구성하여 첫 회의를 가진 후, 2011년 1월에 OWASP 코리아챕터 이사회를 구성하여 본격적인 활동을 하고 있다. OWASP 코리아챕터는 글로벌 조직과 동일하게 7개의 분과로 구성되어 있으며 분과별로 다양한 업무를 담당하고 있다.

권위있는 정보보호 교육 SANS Korea 2011(11월 7일 ~ 12일, 서울 삼성동 코엑스) 1차 조기 등록이 다음 주 수요일(9월 28일)까지 마감이다. 조기 등록 시 정가의 최대 12%까지 할인을 받을 수 있다. SANS Korea 2011은 전세계에서 가장 유명한 SANS 공인강사로 구성되었으며, 하니팟 시스템을 개발한 조지 바코스가 SEC 504과정을, 미국 정부기관을 대상으로 네트워크 컨설팅 업무를 수행하고 있는 세스 마이저너가 SEC 542 과정을 진행한다. ◇해킹 기법, 공격 및 사고 대응방법(SEC 504)이 과

마이크로소프트사는 사용자의 메시지와 연락처를 훔칠 수 있는 핫메일 보안 취약점을 수정했다고 발표했다. 이번 취약점은 공격자가 악성 스크립트가 포함된 특정 목표로 이메일을 발송하면 이메일 수신자는 이메일을 열어보거나 미리보기를 하면 컴퓨터가 악성코드에 감염되는 형식이다. 감염된 컴퓨터는 악성코드가 메시지와 연락처를 원격 서버로 업로드한다. 이 공격은 이번에 패치가 된 크로스사이트 스크립팅(XSS) 취약점이 원인인 것으로 밝혀졌다. [원문]-www.computerworld.com/s/article/9217032/Hackers_steal