국내 PHP 기반의 공개 웹어플리케이션 게시판인 ‘그누보드’에 대한 다수의 취약점이 발견되었다이번에 취약점을 발견한 국제정보보안교육센터(이하 i2sec)에서는 해당 웹어플리케이션 사용자들에게 주의를 당부하고 보안패치 적용과 최선버전 설치를 권고했다. 이번에 밝혀진 취약점들은 XSS, 검증되지 않은 리다이렉트, Session 관련 취약점들이 발견되었고 해당 취약점들이 발견된 버전은 그누보드 4.34.22과 그 이하의 버전도 영향을 받는다. ◇XSS 취약점Cross Site Scripting 취약점으로, 게시판에 악의적인 스크립트를 삽

고성능 네트워크 보안 솔루션 전문기업 포티넷(www.fortinet.com)이 총판과 리셀러 지원을 위한 새로운 채널 프로그램을 발표했다. 이번에 발표된 채널 프로그램은 포티넷의 총판과 리셀러들에게 지속적인 가치 창출을 비롯해, 약속 이행을 지원하고자 하는 목적에 의해 발표되었다. 채널 프로그램 전략의 일환으로 발표된 새로이 포함된 프로그램은 유럽과 APAC에 걸친 포티넷의 채널 파트너의 전문지식과 수익성 향상을 돕고자 교육, 수익 및 접근성이라는 3가지 부분에 초점이 맞춰져 있다. 3가지 특징을 살펴보면 아래와 같다. ◇교육적인

시만텍(www.symantec.co.kr)이 컨수머 사업부 노턴(Norton) 브랜드와 자사가 인수한 베리사인(VeriSign)의 체크마크(CheckMark)를 결합한 새로운 ‘노턴 시큐어드 씰(Norton™ Secured Seal)’을 공식 발표했다. 베리사인 체크마크는 기업 및 개인 사용자들에게 방문하고자 하는 웹사이트의 신뢰도가 높고 안전하다는 것을 보장해 주는 표시로, 이번 브랜드 통합을 통해 ‘노턴 시큐어드 씰’은 전세계 170여 국가에서 웹사이트 및 브라우저의 검색 결과에 매일 5억회 이상 노출되는 마크로, 온

차세대 통합보안관리 기업 이글루시큐리티(대표 이득춘 www.igloosec.co.kr)가 오는 5월 2일(수) 서울 양재동에 위치한 엘 타워에서 차세대 통합보안관리 컨퍼런스인 ‘Next Wave for Security 2012’를 개최한다고 밝혔다. 이번 행사는 빠르게 변화하는 기업 환경에 맞서 최소 비용으로 최대의 보안 효과를 누릴 수 있는 ‘차세대 통합보안관리 방안’을 주제로 진행된다. 특히 빅 데이터 시대의 도래와 더욱 정교해진 보안 위협 앞에 효과적인 보안 대책 마련에 고심 중인 기업 및 기관의 보안담당자에게 최신 통합보안관

구글이 해커가 찾아준 취약점에 대한 보상금액을 2만 달러로 올렸다. 구글의 이러한 보상제도는 2010년 11월부터 시작됐다. 구글측은 구글 웹 애플리케이션에서 발견된 원격 코드 취약점을 찾아 준다면 2만 달러를 지급할 예정이다. 구글은 원격코드 실행 취약점을 가장 심각한 취약점으로 분류하고 있다. SQL인젝션 취약점이나 중요권한 패스 취약점, 데이터 유출 취약점에 대해서는 1만 달러를 지급할 예정이다. 구글은 지난 3월 열린 Pwnium 콘테스트에서 크롬 브라우저를 공격할 수 있는 사람에게 6만 달러를 지급하기도 했다. 실제로 두

북한이 연일 남한에 선전포고를 하고 있다. 한국의 이명박 정권을 비난하고 특정 언론사까지 거론하며 “3~4분, 그보다 더 짧은 순간에 지금까지 있어본 적이 없는 특이한 수단과 우리 식의 방법으로 모든 쥐새끼 무리들과 도발 근원들을 불이 번쩍나게 초토화해 버리겠다”고 위협하고 있다. 특히 북한이 타깃으로 공언한 언론사는 동아일보, KBS, MBC, YTN 등 4개 언론사다. 이에 서울지방경찰청은 타깃으로 거론된 언론사 및 보수 언론사인 조선일보와 중앙일보 등에 경찰관 35~70명씩을 배치하는 등 특별 경계근무에 돌입했다. 한편 민주통

[박춘식 교수의 보안이야기] 호텔POS단말에 불법 액세스하여 숙박객의 신용카드 정보를 훔쳐내는 공격 툴이 언더그라운드 포럼에서 판매되고 있다고 한다. 이 사실은 시큐리티 기업인 Trusteer가 4월 18일 블로그에서 전했다. 이 회사에 따르면, 이 툴에는 호텔의 프론트 데스크의 컴퓨터에 트로이목마를 설치해 원격에서 액세스를 가능하게 한 후 POS 어플리케이션의 스크린샷을 취하는 방법으로 숙박객의 신용카드 등의 정보를 훔쳐낸다고 한다. 판매 가격은 280달러로 바이러스 방지 소프트웨어에는 탐지되지 않는다는 보증도 되어있다. 트로이

[박춘식 교수의 보안이야기] Doctor Web Pacific(Dr.WEB)은 4월 19일, 140만대 이상의 감염된 컴퓨터에 의한 봇넷의 구축을 가능하게 하는 바이러스 ‘Win32.Rmnet.12’의 대규모 확산에 대해서 발표했다. Win32.Rmnet.12는, Windows PC를 감염시켜 백도어로 기능해 일반적인 FTP 클라이언트에 의해 보존된 패스워드를 훔치게 된다. 이들 패스워드는 나중에 네트워크 공격을 시도하거나 웹 사이트를 감염시킬 목적으로 사용되는 경우가 있다. 또한 원격 서버로부터 받은 명령을 실행하는 것도 가능하지

클라우드 보안전문기업 소프트포럼(대표 김상철 www.softforum.com)은 보안관제 전문기업 롯데정보통신(대표 오경수)과 함께 4월 24일 소공동에 위치한 롯데호텔 사파이어볼룸에서 ‘모바일 핵심보안정책 안내 및 대응방안 시연 세미나’를 개최했다. ‘모바일 보안’을 주제로 열린 이번 세미나에서는 사회 전반으로 확대되고 있는 모바일 서비스 시장 에서 보안에 대한 필요성이 점차 대두됨에 따라 이와 관련한 정부기관의 정책발표와 보안전문기업들이 대응책을 마련하는 자리로 꾸려졌다. 우선 행정안전부 차건상 박사가 모바일을 비롯, SNS 및

지난 4월 15일 건양대학교 정보보호학과 2학년 이준형씨는 네이버 메일의 XSS 취약점을 네이버측에 제보했다. 네이버측은 이씨의 취약점 제보를 받고 19일 패치를 완료한 상태다. 해커들의 취약점 제보가 기업에 긍정적 도움을 주고 있다는 것을 기업들은 알아야 하고 해커들의 지적을 오픈마인드로 받아 들어야 한다. 이준형씨는 현재 보안커뮤니티 ‘보안프로젝트’(www.boanproject.com)에서 디지털 포렌식 PM(MaJ3stY)으로 활동하고 있다. 이준형 PM은 해당 취약점에 대해 “정상적인 파일을 첨부할 때 파일 이름을

안랩(대표 김홍선 www.ahnlab.com)은 24일 자사의 모바일 보안 관련 기술 2종 ‘AP접속 승인 시스템 및 방법’과 ‘단말 장치 및 상기 단말 장치의 보안 문서 실행 방법, 문서 관리 서버 및 방법’이 국내 특허를 획득했다고 발표했다. 이 두 가지 특허 기술은 스마트폰, 태블릿PC 등의 모바일 기기를 좀더 안전하게 사용할 수 있도록 해준다. 우선 ‘AP(엑세스 포인트, Access Point)접속 승인 시스템 및 방법’은 단말기가 AP를 통해 무선 네트워크를 사용하고자 할 때 보안을 강화하고 네트워크 품질을 향상시킬 수

최근 4월 14일 자로 세계적 권위의 컴퓨터 해킹 저널지인 프랙(Phrack) 68호가 발표되었다. 이번호에 한국의 유동훈(29) 아이넷캅 스마트플랫폼 보안기술 연구소장의 논문이 게재돼 주목을 받고 있다. 프랙은 해커들뿐만 아니라 컴퓨터 보안 전문가들에게도 널리 알려진 학술지로 1985년 최초 1호가 발간된 이후 27년간 신규 취약점 공격 방법들이 최초로 공개되는 전 세계 해킹 전문지 중 가장 권위를 인정받는 저널지로 유명하다. 운영진의 말을 인용하자면, 이번 유 소장의 논문게재가 프랙 27년을 통틀어 세번째 한국인이었다고 한다.

최근 성인 동영상 파일로 위장한 악성파일이 웹 하드 사이트 등을 통해서 지속적으로 유포가 이루어지고 있다. 지난번에도 블로그를 통해 공개한 바 있듯이 유포처가 주로 국내 웹 하드 사이트이고, 해당 악성파일이 자극적인 내용의 파일명으로 위장되어 있어 일반 사용자들의 경우 인터넷을 통해 파일을 다운로드할 때 각별한 주의가 필요한 상태이다. 특히 이러한 성인 동영상 위장형 악성파일의 경우 파일 크기가 일반적인 동영상 파일 크기 수준이며, 확장명이 .exe 형태이나 실행 시 .avi 등의 동영상 파일을 재생하는 것이 특징이므로 이점 또한

중국에서는 최근 많은 사람들이 은행 계좌 이체를 요구하는 스팸 메시지를 받고 있다. 그러나 사업자에게 스팸 메시지로 신고해도 정식 답변을 받지 못하였다는 소식을 빈번하게 접하게 된다. 중국의 보안전문가들은 이동결제 시스템을 표준화해서 통일하면 금융 보안에 유리하며 휴대폰 결제 시스템이 달라서 발생하는 위협요소를 감소시킬 수 있다고 한다. 최근 'China UnionPay(中???)' 집행부 총재 시홍봉(柴洪峰)은 이동식 결제 차세대 제품 형세는 NFC 휴드폰 결제방식이 주류가 될 것이라고 했다. 이는 China Uni

사진 공유 앱(App)인 인스타그램(Instagram)의 인기를 이용해 가짜 인스타그램 웹 사이트를 만들어 안드로이드 모바일 단말기에 악성코드를 전파하는 공격이 발생했다. 인스타그램은 최근 몇 주 동안 굉장한 관심을 받았다. 원래 iOS 단말기를 위해 개발된 인스타그램은 4월초에 안드로이드 버전이 발표되었으며, 발표 하루 만에 1백만 건이 다운로드 되었다. 지난 주 페이스북은 인스타그램을 개발한 회사를 인수했다. 가짜 인스타그램 사이트 중 하나는 러시아어가 포함되어 있으며 안드로이드 단말기에 트로이목마 프로그램을 설치하도록 한다.

미국 에너지부(DOE) 한 연구소는 사이버 공격정보를 수집할 수 있는 오픈소스 도구를 발표했다. 국립태평양북서연구소(PNNL)는 혼(Hone)이라는 이름의 도구는 네트워크에서 악성코드 활동의 근원지를 정확히 찾아낼 수 있는 도구를 개발한 것이다. 혼은 호스트 기반의 센서로 자동적으로 어떤 응용 프로세스 또는 통신하고 있는 외부의 어떤 네트워크가 컴퓨터를 감염시켰는지 찾는 기능을 가지고 있다. -gcn.com/articles/2012/05/07-www.darkreading.com/advanced-threats[정보제공.

모바일 보안 솔루션 전문기업 인포섹(대표 신수정 www.skinfosec.com)은 KDB대우증권의 스마트워크 환경에 최적화된 단말 관리 및 보안을 위해 자사 MDM 솔루션인 M-쉴드를 적용 완료했다고 밝혔다. 스마트워크 활성화와 다양한 스마트 기기의 폭발적 확산에 따라 업무 유연성과 효율성은 높아지고 있으나 역기능으로 이동 단말의 분실 등에 따른 보안 위협이 증가하고 있어 이에 대한 적극적인 대책 마련이 요구되고 있다. KDB대우증권의 경우 다양한 업무 분야에 효율성을 제고하는 방안으로 스마트워크 환경을 구축 시 발생 가능한 단말

통합도면보안 전문기업 아이큐패드(대표 김성욱 www.iqpad.com)가 조만간 신개념 ‘도면문서보안’ 신제품을 출시한다고 밝혔다. 아이큐패드는 문서중앙화, 워크스페이스가상화, 보안USB, 기업용 파일서버, 도면보안 등 보안솔루션을 통해 대기업 뿐만 아니라 중소기업에 사용하기 쉽고 안전한 통합도면보안 컴퓨팅 환경을 제공하는 보안전문기업이다. 2000년 3월 `아이큐 패드닷컴`으로 설립됐고, 2002년 주식회사 아이큐패드로 법인명 변경 및 이전했다. 아이큐패드는 마이크로소프트와 최고 파트너 레벨인 Gold Partnership 계약이

방송통신위원회가 지난 2월17일 공표한 정통망법 개정안과 관련, 오는 8월18일부터 '주민등록번호' 수집을 단계적으로 금지토록 하고 또 2014년부터는 저장중인 모든 주민번호를 원칙적으로 파기토록 하겠다는 정책방침을 최근 ‘주민번호 수집?이용 제한 정책 토론회’에서 재확인했다. 현 시점에서 행정안전부의 개인정보보호법과 상위되는 몇몇 부분 때문에 다소 혼란스럽기는 하지만 추진하려는 방향만은 큰 틀에서 맞는 방향이다. 문제는 그 부작용이다. 특히 보험-금융업 등 일부 사업자들은 수집이 금지되는 8월 이전에 가능한 한 더

지식정보보안산업협회(회장 조규곤 www.kisia.or.kr)는 지난해부터 서울여자대학교와 순천향대학교 정보보호학과에서 회원사가 한 학기동안 진행하고 있는 ‘산학협력 인력양성 프로그램’이 학교와 학생들로부터 높은 인기를 얻고 있다고 밝혔다. 협회는 지난해 2학기부터 서울여자대학교 정보보호학과에 이어 올해는 순천향대학교 정보보호학과에서 파수닷컴, 이글루시큐리티, 닉스테크, 윈스테크넷, 롯데정보통신 등 13개 회원사가 매주 1회씩 커리큘럼을 구성해 3~4학년을 대상으로 정보보안 전반에 대한 시장동향과 기술트랜드를 비롯하여 최신인증기술,