해커들이 가장 고민하는 부분 중에 하나가 바로 찾아낸 취약점을 어떻게 처리하느냐의 문제다. 한국은 이 부분이 제대로 되지 않고 있기 때문에 기업들은 해커들로부터 자사 제품이나 서비스 그리고 웹사이트의 취약점 정보를 받지 못하고 있다. 이렇게 되면 과연 누가 손해를 보게 되는 것일까. 결론은 뻔하다. 기업들이 손해를 보는 것이다. 찾아낸 취약점을 처리하는 방안에 대해 여러 전문가들의 의견을 들어봤다. ◇김휘강 고려대 교수=김휘강 고려대학교 정보보호대학원 교수는 “TippingPoint의 ZDI 모델이 사실 가장 바람직한 모델이라 생각

CCTV도 네트워크에 물리면서 이에 대한 보안대책 마련이 필요한 상황이다. 숙명여자대학교 내부에 위치한 CCTV가 원격에서 인가받지 않은 자가 CCTV 화면을 실시간으로 볼 수 있는 취약점이 발견돼 학교측의 즉각적인 보안조치가 필요한 상황이다.(아래 이미지. 실제 숙명여대 CCTV 화면 캡쳐) 이 취약점을 발견하고 데일리시큐에 제보한 서천고등학교 1학년 박주찬 군은 “웹캠의 대다수가 /view/index.shtml을 사용한다. 그외에도 웹캠에 관한 URL이 많이 있다”며 “구글요청문 inurl:/view/index.shtml 요청문

오는 10일 마이크로소프트와 어도비는 자신들의 제품 취약점 패치를 업데이트할 예정이다. 마이크로소프트의 4월 패치발표는 윈도와 IE, .NET 프레임워크, 오피스, SQL서버, 마이크로소프트 서버, 개발자 툴들에 대한 원격 코드 실행 취약점과 관련된 패치들이다. 특히 오피스 관련 원격 코드실행 취약점과 Microsoft's Forefront United Access Gateway 취약점 등은 마이크로스프트 제품 대부분에 영향을 주는 취약점으로 크리티컬한 취약점이라고 한다. 어도비는 어도비 리더와 아크로뱃 9.5 및 초기 버전

핵티비스트 집단 어나니머스가 영국 정부와 의회, 법 기관 사이트를 대상으로 DDoS 공격을 시도했다. 4월 7일 밤부터 공격이 시작됐다. 어나니머스 그룹은 트위터를 통해 미리 공격에 대한 의사를 밝혔다. 이들은 영국 정부가 인터넷 이용자들의 다양한 정보와 활동을 검열하려는 시도를 비난하면서 정보 사이트를 대상으로 DDoS 공격을 하겠다고 선언했다. 실제로 7일부터 어나니머스는 number10.gov.uk 그리고 justice.gov.uk 등 사이트를 대상으로 DDoS 공격을 감행했다. 현재 해당 사이트들은 DDoS 공격으로부터 벗어

시큐리티 팀 웹-센터(Security Team Web-Center)는 줌스캔 보안 스캐너(Joomscan Security Scanner)를 업데이트하면서 4.4.2012 버전을 릴리즈했다. 새 버전에는 623개의 새로운 취약점이 업데이트됐다. 개발업체는 “이 스캐너는 웹 개발자와 웹 마스터에게 웹의 취약성을 점검하는데 도움을 줄 것”이라고 전했다. 또 “SQL인젝션, 명령실행, XSS, DOS 등 다양한 취약점으로부터 웹 사이트를 안전하게 보호해 줄 것”이라고 소개했다.-다운로드: thehackernews.com/2012/04/jo

[박춘식 교수의 보안이야기] 지불처리서비스 벤더인 미국 Global Payments는 4월1일 밤, 회사 처리 시스템에 불법 액세스에 의한 최대 150만 명의 신용카드번호 정보가 유출됐을 가능성이 있다는 사실을 밝혔다. 미국 결제 대기업인 Visa와 MasterCard는 미국내의 금융기관에 경계를 요청하고 있다. 시큐리티 관련 뉴스 사이트 전문가인 Brian Krebs는 지난달 30일자의 기사에서 최근의 대규모 정보 유출에 의해 1000만 명 이상이 영향을 받을 우려가 있다고 보도하였다. Brian Krebs는 지불처리업자의 이름을

[박춘식 교수의 보안이야기] 마이크로소프트는 CSA(Cloud Security Alliance)의 STAR(Security, Trust and Assurance Registry)에 마이크로소프트의 클라우드 플랫폼인 Azure를 추가했다. STAR는 클라우드 서비스 제공자가 자사 서비스의 시큐리티 기능에 관한 정보를 등록, 공개하는 레지트리. STAR는 2011년에 개설되었다. 단지 그 후 거의 반년이 경과하여도, 170건의 질문에 답하는 형식의 양식을 기입하고 정보를 등록한 클라우드 제공업자는 3개 밖에 없었다. 그 내역은 Micr

미국 에너지부(DOE) 내부 감사에 따르면, 포틀랜드에 있는 보너빌 전력 관리소는 시스템에 해킹이 가능한 사이버 보안 취약점을 가지고 있는 것으로 나타났다. 전문가들은 보너빌에서 발견된 문제점은 다른 정부 및 산업 시스템에도 똑같이 발견되었다고 밝혔다. 이번 감사에서는 11개의 보너빌 서버에서는 약한 패스워드를 사용하였고, 400개의 알려진 취약점이 패치되지 않고 있었다. 보너빌은 태평양 북부 지역에 약 30%의 전력을 제공하는 연방 전력회사이다. 이 문제는 국내 전력사 뿐만 아니라 각종 기간산업과 제어시스템에서도 마찬가지 일 것으

올해 SANS에서 실시한 모바일 보안에 대한 설문 조사에 따르면, 일부 회사에서는 직원들이 업무중에 본인 소유의 모바일 기기를 사용하도록 허용하고 있는 반면, 많은 회사에서는 직원들이 어떤 기기를 사용하고 있는지 알지도 못하고 있는 것으로 나타났다. 조사결과, 절반 이상의 조직에서 '본인 소유의 모바일 기기' 보안 및 사용 정책을 가지고 있다. 하지만 응답한 조직의 직원들을 대상으로 조사한 결과 9%만이 어떤 기기가 회사의 네트워크에 접속할 수 있는 지에 대해서 완전히 알고 있었다. 즉 직원들은 자신들이 사용하고 있는

머독 뉴스 회사에서 일부 소유하고 있는 스카이 뉴스에서 기자가 2번의 이메일 계정을 해킹하도록 승인한 것을 인정했다. 스카이 뉴스는 그 일이 공공의 이익을 위한 것이었다고 주장하지만, 영국의 컴퓨터 오용 법에는 예외는 없다. 이 메일 해킹을 한 사람은 스카이뉴스 영국북부 통신원인 제라드 텁이다. 첫 번째 해킹한 곳은 2002년 자신의 죽음에 대해서 속여, 와이프가 막대한 생명 보험 증권을 수령하도록 한 사람의 야후 이메일 계정에 침투했다. 또 다른 사건은 아동성애자의 이메일 계정에 접근한 것이다. -arstechnic

애플사는 맥OS X 자바 프로그램에서의 취약점 패치를 발표했으나, 이미 애플사의 운영체제 시스템을 목표로 한 악성코드로 50만대 이상의 컴퓨터가 감염 된 후였다. 플래시백 트로이목마 변종 프로그램이 취약한 맥을 여전히 감염 시키고 있다. 반면 윈도에서는 이미 한달 전에 자바 프로그램을 패치했다. 이번 업데이트는 맥OS X 10.6(스노우 레파드)과 10.7(라이언)을 대상으로 맥의 전체 취약점 중 가장 심각한 수준의 12개의 자바 취약점에 대해서 패치를 했다. 애플사는 악성코드의 확산으로 많은 공격이 명백해 진 후에 신속히 대처했지

어나니머스차이나(twitter.com/#!/AnonymousChin)의 활동이 활발해지고 있다. 중국의 정부기관 사이트 및 각종 산업 사이트들을 공격하고 있으며 명분은 중국 정부가 인터넷 자유를 침해하고 있다는 것이다. 뿐만 아니라 6일에도 어나미머스차이나는 우간다 국가 통계국 표준의(UNBS) 사이트도 해킹해 유저이름과 패스워드를 공개했다. 이들이 주로 해킹 사실을 공개하는 루트는 패스트베이(www.pastebay.net)와 패스트빈(pastebin.com) 사이트를 통해 공개되고 있다. 어나니머스차이나는 그들이 해킹한 사이트의

어나너머스는 지난 3월 30일 트위터를 통해 중국 정부기관과 단체 사이트를 공격할 것이라고 선포한 바 있다. 그 후 중국 성도와 대련의 웹사이트 등이 어나너머스 조직에게 공격을 받았다. 해킹된 사이트는 4일 저녁까지 복원되지 않았다고 한다. 어나너머스는 해킹한 웹페이지를 변조해 '중국 정부는 인터넷을 조작하고 검열한다'고 비난했다. -www.qnwqdj.gov.cn-cdcbd.gov.cn-tygtzy.gov.cn/index.php-www.bbdj.gov.cn-www.dzwqb.gov.cn 해킹된

오랜만에 데일리시큐에 필진으로 로그인해서 글을 남겨 봅니다. 오늘 제가 이야기 하려는 것은 보안의 기본중에 기본인 시스템 보안, 그 중에서 사용자 보안에 대해서 이야기 하려고 합니다. 그리고 시스템중에서도 특히 솔라리스 시스템에 대한 사용자 보안에 대해서 간략하게 보안 강화법을 제공해 볼까 합니다. 기회가 되면 추가적으로 솔라리스 시스템의 보안 기능에 대해서 포스팅 하도록 하겠습니다. 전통적으로 솔라리스와 같은 유닉스 시스템은 보안에 대해 윈도우 보다 강하다는 인식이 강했지만, 시스템의 보안은 결국은 관리자가 얼마나 관심있게 관

[박춘식 교수의 보안이야기] 트렌드마이크로는 2012년 3월 30일, 'Luckycat'이라고 불리는 일련의 공격을 조사한 리서치 리포트를 공개했다. 이 공격에 관해서는 4월 시만텍에 의해 처음으로 정보가 공개되었으나, 트렌드마이크로의 독자적인 조사를 통해 이 공격의 상세 내용뿐만 아니라 표적형 공격(APT)이 어떻게 이루어지고 있는 것인가를 분명히 확인할 수 있었다. 이번 조사에서 밝혀진 사실은 다음과 같다. ◇표적형 공격(APT)은 일련의 작전활동으로서 이루어지고 있다'표적형 공격'을 이해하기 위해서

파일럿 프로그램으로, 미국 정부 첩보 전문가 100여명은 민간 셀룰라 통신망을 통해 비밀 통신을 할 수 있는 안드로이드 스마트폰을 사용하고 있다. 이 파일럿 프로그램은 국가안보국(NSA) 레드팀 해커들이 보안이 적용된 통신이 해킹 가능한 지 시험하고 있다. 또한 핸드폰 음성 및 끊기거나 지연되는 통신 주파수 등의 품질에 대한 보안 수단 효과도 평가하고 있다. 다음에 해결되어야 할 이슈 중 하나는 미국 첩보 시설의 담을 통과하는 무선 전자파 신호를 잘 막아서 빌딩 안에서는 기기를 사용할 수 없도록 하는 것이다. 이 프로젝트의 이름은

국내 유명 포털 2곳에서 운영중인 몇몇 인터넷 커뮤니티 사이트에서 악의적인 기능을 가진 안드로이드용 앱이 무분별하게 배포되고 있는 것을 다수 발견됐다. 보안 전문기업 잉카인터넷(대표 주영흠 www.nprotect.com)은 시큐리티대응센터 대응팀을 통해 악의적인 기능을 가진 안드로이드용 앱이 무분별하게 배포되고 있는 것을 다수 발견했다고 5일 밝혔다. 최근까지 잉카인터넷 대응팀이 파악한 바에 의하면 회원수가 약 100만명에 육박하는 국내 포털 사이트의 대형 커뮤니티와 스마트폰 전문 인터넷 커뮤니티, 국내 파일 공유 서비스인 Torr

SK텔레콤(대표 사장 하성민 www.sktelecom.com)이 클라우드 컨퍼런스 ‘Cloud Inspire 2012’ 를 개최하며 B2B 클라우드 사업의 전략을 밝혔다. 이 컨퍼런스에서 SK텔레콤은 차별화된3대 B2B 클라우드 전략 방향을 제시했다. SK텔레콤은 B2B 클라우드 전략방향으로 ①모바일 최적화된 솔루션 제공 ②세계 최고 수준의 보안/안정성 보장 ③빅 데이터 대응 클라우드 솔루션 제공을 공개했다. SK텔레콤은 기존 확보한 휴대전화 솔루션 기술과 최고 수준의 LTE 네트워크에 클라우드 서비스를 결합해 기업 업무환경에서의

방송통신위원회(위원장 이계철, 이하 ‘방통위’)는 정보통신망법 개정(2012년 8월 18일 시행)에 따른 주민번호 수집·이용 제한정책의 이행방안을 논의하기 위해 4월 5일(오늘) 오후 2시에 양재동 엘타워에서 ‘주민번호 수집·이용 제한 관련 정책 토론회’를 개최한다. 공정위, 행안부, 여가부, 문화부 등 관계부처와 법조계·학계 등 법률 전문가, 이해 관계자 등이 참여하는 이번 토론회에서는 주민번호 관련 정책방향에 대해 발표하고, 관계부처, 법률 전문가, 이해 관계자들과 함께 주민번호 수집·이용 제한정책의 세부 이행방안에 대해 중점적

유동훈 아이넷캅 연구소장은 “스마트 플랫폼 보안의 심각한 위협 요소는 취약점으로 인한 보안 위협임에도 현재까지 국내 안드로이드 스마트폰 보안은 앱 관점에 집중되어 있는 문제가 있다”고 지난 3일 개최된 코드게이트 2012 보안컨퍼런스에서 지적했다. 더욱 심각한 문제는 취약점에 대한 개별적인 보안 업데이트가 가능한 PC와는 달리 스마트폰은 펌웨어 업그레이드를 통해 취약점을 일괄적으로 제거하는 방법 외에 보안 업데이트를 적용할 수 있는 방법이 존재하지 않는다는 점이다. 다행히 최근 펌웨어 업그레이드는 PC와 스마트폰을 USB로 연결하지