|
IT 실무에서 보안을 지키기 위해 필요한 지식은 너무나 광범위하죠. ● 네트워크 보안 이 책은 교과서적인 IT 보안 얘기를 하지 않는 대신, 일상에서 접할 수 있는 아래 IT 보안 토픽을 다루는 글들을 옴니버스식으로 엮었습니다. 클라우드 보안, IPS, IDS, 방화벽, DMZ, NAT, HTTPS, SSL/TLS, DNSSEC, 인증서, 목차는 다음과 같습니다. 1장. 네트워크 보안 2장. 프로토콜 보안 3장. 웹 보안 4장. API 보안 5장. 암호화(ENCRYPTION) 6장. IT 보안 위협의 형태 7장. IT 보안 트렌드 8장. 생활 속의 IT 보안 먼저 1장 1절의 '네트워크 보안의 미래는 클라우드에 있다"입니다. 일반적인 퍼블릭 클라우드 서비스 제공사들이 기본적으로 제공하는 네트워크 기반의 보안 기술과 클라우드사가 제공하는 보안 기술들이 궁극적으로 IT 보안의 어떤 목표를 충족하는지도 설명하였습니다. 또한, On-Premise 기반이 아닌 클라우드는 사용자에게도 역시 보안의 책임이 있는데, 이를 클라우드 책임 공유 모델이라고 합니다. 이에 대한 소개도 있습니다. 1장 3절의 "네트워크의 비무장지대, DMZ 네트워크"에서는 그동안 막연하게 알고 사용하던 DMZ나 NAT 환경이 왜 필요하고, 어떻게 구성되어 있는지를 설명합니다. 2장 3절의 "ROOT CA 인증서의 이해와 쓰임새" 내용입니다. SSL/TLS 인증서에도 3단계가 있고 그중 가장 최상위가 ROOT 인증서란 것 아시나요?역시 이 장도 웹 보안 내용 중 우리가 알게 모르게 사용하던 보안 기술을 설명합니다. 이 책은 결국 실생활에서 밀접하게 사용하는 보안 기술을 쉽게 설명하였습니다. 3장 웹 보안에서 다룬 CSP 내용입니다. CSP(Content Security Policy)는 주로 XSS 공격을 막기 위한 보안 기술인데 예상치 않는 외부 도메인의 실행을 브라우저상에서 막는 기술입니다. 8장 생활 속의 IT 보안에서는 QR 체크인, 재택근무 솔루션, 인스턴스 메신저 등 생활 속에 녹여있는 IT 보안 기술을 설명합니다. 많은 사람들이 COVID-19 시대에 QR 체크인을 하면서도 그것을 통해 나의 어떤 정보가 전달되는 것인지 모르고 사용하고 있죠. 이 부분에 대한 명쾌한 설명이 인상적이라 할 수 있습니다. 마지막 절은 최근 금융권의 화두인 마이데이터(MyData)를 다루었습니다. 마이데이터를 통해 우리가 꿈꿀 수 있는 서비스들과, 이를 개발하기 위한 API 보안을 어떻게 지킬 수 있는지가 주 내용입니다. 이 책은 보안의 시작과 끝이 아닌, 보안의 구현체들 중 일부를 다루었지만, 어렵고 지루하게 느껴져왔던 IT 보안을 조금이나마 편하게 전철이나 버스에서 출퇴근 시간에 읽을 수 있는 포켓 사이즈입니다. 편하게 읽을 수 있는 분량과 문장이지만, 본연의 IT 업무와 보안 업무에는 많은 도움이 되리라고 생각합니다.
|
|
IT기술 전문가인 저자가 보안 영역의 기본 기술부터 최신 기술까지 핵심적인 내용을 설명하고 있는 책이다. 요새 디지털 전환으로 인해 클라우드 환경에서만 사용하는 보안 기술인 CASB, SASE 등이 각광받고 있는데, 특히 SASE는 사용자의 접속 경로와 열람 데이터를 일일이 추적하고 검증하는 제로 트러스트, 통합 인증 등 민첩하고 확장 가능한 보안을 제공하고 있다고 설명한다. 이제 기업들은 전통적인 온-프레미스 기반의 보안 솔루션 대신 클라우드에서 운영되는 보안 서비스를 이용하고 있다면서 완전 관리형 SECaaS 형태를 도입한다면 온-프레미스 방식에 비해 좀 더 방어 용량이나 보안 솔루션 성능의 확장에 대해 유연함을 가져갈 수 있고 반대로 관리 인력은 줄일 수 있다고 말한다. 물론 최신 보안 위협 기술을 방어하기 위한 새로운 보안 룰셋의 추가, 솔루션 프로비저닝 및 업데이트, 유지 보수, 모니터링에 대한 시간과 작업량을 줄일 수 있고 반대로 오탐은 낮출 수 있다고 언급한다. 이 책을 통해 기본적인 IT보안 관련 상식부터 넓힐 수 있었는데, 일반적으로 IPS는 트래픽 흐름에 대한 시그니처와 이상 징후 기반 탐지와 분석을 수행하며, IDS는 네트워크를 통과하는 트래픽을 수동적으로 감시하는 방식이라 말한다.
한편 HTTPS 전달 구간 중간에 해커가 중간자 공격을 수행할 수 있는 취약점이 있다면 전달 내용이 고스란히 노출될 수 있기에 인스턴스 메신저 등의 서비스에서는 메시지 전달 과정에서 HTTPS를 적용하면서도 종단 간 암호화 기술을 추가적으로 적용하여 HTTPS가 무력화되어도 노출된 데이터는 암호화를 유지하도록 해야 한다거나 만약 DNS가 잘못된 정보를 제공한다면 가짜 피싱 사이트로 사용자를 유도하여 IP/PW를 탈취하거나 이메일을 엿보고 인터넷 통화를 엿듣는 등 문제가 발생할 수 있기에 DNSSEC 기술을 활용해야 한다는 것, 요새 많이 활용하는 API 인증에 몇 가지 방식이 있으며 API 중요도에 맞는 보안 강도를 다르게 가져가야 한다고 설명하고 있다. 즉, API 인증에는 문자열의 해시값을 사용한 HMAC 기술이나 timestamp를 활용해 유효 시간이 지나면 API 호출 자체를 무효화 시키도록 설정하는 기술 등이 있는데, 모든 API 요청에 대해 서버가 HMAC 계산과 timestamp가 지났는지 확인하는 과정을 수행할 때 서버의 리소스가 예상보다 심각하게 소비될 수 있다고 한다. 따라서 어떤 API는 key 방식으로, 어떤 API는 token으로, 또 어느 API는 메시지 무결성까지 확인할 지 미리 결정해야 한다고 조언한다.
보통 해싱을 사용하는 경우가 몇 가지가 있는데, 암호화된 메시지를 복호화 한 후 메시지가 변조되지 않았다는 메시지 무결성을 확인하기 위해 사용하거나 디지털 서명과 같은 암호화에 내가 서명한 내용이 변조되지 않도록 사용할 수 있다고 말한다. 물론 많은 양의 데이터를 해시 값으로 작게 변환시켜 빠른 데이터 비교가 가능하게 만들거나 데이터의 중복 방지를 위해 임의의 문자열을 추가하여 해시값을 만들어 저장하는 방법도 활용된다고 말한다. 그 밖에도 짧은 시간에 많은 패킷을 전달해야 하는 오디오, 비디오를 사용하는 UDP 기반의 통신을 위한 전달 레이어에서의 보안 DTLS나 SSL 인증서와 SSL 핸드셰이크에 탑재된 기술들도 설명해주고 있으며, 특히 암호화된 메시지의 변조 여부를 확인하는 메시지 무결성 알고리즘도 언급하고 있다. 물론 기본적인 대칭키 암호화 방법이나 공개키 암호화 방식 같은 것도 도식을 통해 자세히 설명해주고 있다. 또한 네트워크 장비 등 핵심 시스템의 보안 취약점이 발견된 뒤 이를 막을 수 있는 패치가 발표되기 전에 그 취약점을 이용한 악성코드나 해킹 공격을 감행하는 제로데이 공격도 상세히 설명하고 있다.
특히 S/W업체들이 패치를 발표한 당일에 그 패치를 분석하거나 업데이트된 버전의 diff 정보를 분석하여 어떤 취약점을 어떻게 수정하였는지 발견하고 아직 패치가 완료되지 않은 시스템을 대상으로 그 취약점을 공격하는 방식인 원데이 공격도 있다고 언급하고 있다. 마지막으로 양자 암호화 통신에 대해서도 설명해주고 있는데, 기본적으로 원거리의 두 사용자가 동일한 비밀 키를 갖는 방식이라고 말한다. 다만 비밀 키 생성을 위해 정보를 주고받는 과정이 바로 양자 상태에서 이루어지기 때문에 제삼자는 키에 대한 정보를 알 수 없다면서 말이다. 원래 양자의 대표적인 특징은 동일한 양자 상태의 복제가 불가능하고 한번 양자를 측정하여 그 값을 구하면 측정 이전의 상태로 되돌릴 수 없다는 점인데, 따라서 암호 키를 가진 두 사람만이 암호화된 정보를 복호화 할 수 있다고 설명한다. 만약 이 키를 제삼자가 탈취하려면 양자 상태가 전송되는 채널에서 측정을 해야 하는데, 측정 순간 양자 상태가 변화하면서 훼손된다고 말한다. 이때 수신자는 도청 시도를 즉시 파악하게 되고, 그 시점까지 수신된 정보를 파기해야 한다면서 말이다. 전반적으로 IT보안 쪽 기술들을 일별하기에 좋은 책이었다. |