OWASP 에서 친절하게 다양한 도구들을 분류해 놓았다.

여기에 있는 도구들을 사용하고 사이트들에 대하여 방문만 하여도 족히 한달은 걸리지 않을까 싶다.
참고용으로 보기에는 좋은 정보인 듯 하다.
예전에도 이런 노가다 성 작업을 좀 했었는데, 이런 사이트가 있으면 노가다를 좀 덜어주니 참 고맙군. ㅋ

Phoenix/Tools

From OWASP

Jump to: navigation, search

컴퓨터 보안

⑴ 인터넷과 보안

인터넷과 개방된 구조를 가지고 있기 때문에 보안에 문제가 발생할 가능성이 높음
인터넷의 급속한 팽창으로 인해서 네트워크 해킹이 사회 문제화되고 있음
각 기관은 실정에 맞는 보안 정책을 수립하고, 보안 시스템을 구축할 필요가 있음
보안은 컴퓨터 시스템에 직접 침투하는 것을 방지하는 시스템 보안과 자료들에 대한 침투를 방지하는 자료 보안으로 분류

⑵ 시스템 보안(System Security)

컴퓨터 시스템의 운영체제, 응용 프로그램, 서버 등의 허점을 이용해서 불법적으로 사용하는 것을 방지하는 것
주로 방화벽을 설치해서 보안 시스템을 구축

1) 방화벽(Firewall)란?

내부의 신뢰성 있는 네트워크와 외부의 신뢰성 없는 네트워크 사이에 위치
외부의 불법 침입으로부터 내부의 정보 자산을 보호하고 외부로부터 유해 정보를 차단하기 위한 정책과 이를 지원하는 하드웨어와 소프트웨어를 총칭

2) 방화벽의 기능

인터넷 서비스별로 정보를 요청한 시스템의 IP 주소 및 포트번호를 이용하여 외부 접속을 차단
사용자 인증에 기초해서 외부 접속을 차단
네트워크로 들어오고 나가는 패킷의 IP와 TCP 헤더를 검사하여 패킷의 통과 여부를 결정(Packet Filtering)
내부 네트워크 사용자들이 외부로 접속할 때 방화벽을 통과하도록 설정하여 해커가 내부의 IP 주소를 도용하지 못하도록 방지

⑶ 자료 보안(Data Security)

시스템에 들어있는 자료를 보호하는 것
자료의 전송 도중에 가로채거나, 수정하는 행위로부터 자료를 안전하게 전달하는 것을 목표로 하고 있음
주로 암호화나 전자 서명을 이용

1) 침입 형태

① 가로막기(Interruption)

자료가 수신측으로 전달되는 것을 방해하는 행위
자료의 가용성(Availability)을 저해하게 됨

② 가로채기(Interception)

전송한 자료가 수신지로 가는 도중에 몰래 보거나 도청하는 행위
자료의 보안성이 떨어지게 됨

③ 수정(Modification)

원래의 자료를 다른 내용으로 바꾸는 행위
자료의 신뢰성이 손상됨

④ 위조(Fabrication)

자료가 다른 송신자로부터 전송된 것처럼 꾸미는 행위
자료의 무결성(Integrity)이 손상됨

2) 암호화(Encryption)

암호키를 이용해서 정보를 바로 해독할 수 없도록 변환하는 것으로 특정인만 해독할 수 있게 하는 것
자료의 기밀성(Confidentiality)을 보장하는 방법
자료에 특정한 처리를 통해서 침입자가 자료를 입수하더라도 해당 자료의 내용을 알 수 없도록 하는 작업
일반적으로 암호화는 키(Key)를 사용해서 암호 자료를 생성
암호화에 필요한 구성 요소 : 자료, 암호화하는 키(Key), 암호화된 자료(Cryped Data), 암호화된 자료를 원래의 자료로 복원시키는 키
암호화의 종류 : 개인키(Private Key)와 공개키(Public Key)등
■ 암호화 원칙
- 신원 확인(Identification) : 송신자가 실제로 그 사람인지를 확인하는 과정
- 인증(Authentication) : 암호문의 원래 송신자를 확인하고 메시지 전문이 제대로 전달되었는지 확인하는 절차
- 발신자 확인(Nonrepudiation) : 송신자가 전송한 사실을 부인할 수 없도록 하는 방법
- 확인(Verification) : 신원 확인과 인증을 한 번에 처리하는 기능
- 개인정보 보호(Privacy) : 정보 전송시 해킹으로부터 보호할 수 있는 기능
■ 암호방식의 종류

■ 주요 용어

비밀키 : 평문을 암호화 알고리즘에서 암호화하기 위해서 사용되는 키
암호문(Ciphertext) : 평문을 암호화 알고리즘을 사용해서 암호화한 자료
복호(Decryption) 알고리즘 : 비밀키를 사용해서 암호문을 원래의 평문으로 변환시키는 것으로 암호화 알고리즘과 역으로 작동
공개키(Public Key)와 비밀키(Private Key) : 암호화하는데 사용되는 키와 복호화에 사용되는 키를 분리시킴

3) E-mail에서 사용되는 보안

기밀성(Confidentiality) : 해당 수신자 이외의 사람은 내용을 볼 수 없게 하는 기능
메시지 인증(Message Integrity) : 메시지 전송 도중에 불법적으로 변경되었는지를 확인해주는 기능
사용자 인증(User Authentication) : 송신자가 실제로 메시지를 송신한 사람과 일치하는지 여부를 확인해주는 기능
송신부인 방지(Nonrepudiation of Origin) : 송신자가 메시지를 송신하고 송신 사실을 부인하는 것을 확인해주는 기능
수신부인 방지(Nondeniability of Receipt) : 메시지를 수신하고 수신 사실을 부인하는 것을 확인해주는 기능

메시지 재전송 방지(Message Reply Prevention) : 중간에 지나가는 메지시를 가로채서 재전송하는 것을 방지해주는 기능

암호화의 종류

PEM(Privacy Enhanced Mail) : E-mail을 전송하기 전에 자동으로 암호화하는 방법을 제공하며, RSA 방식을 사용해서 암호화
PGP(Pretty Good Rrivacy) : E-mail에서 필요한 보안 기능 중에서 기밀성, 메시지 인증, 사용자 인증, 송신부인 방지 기능을 지원

4) 디지털 서명

메시지를 송ㆍ수신하는 당사자간에 메시지의 신뢰성을 보증하기 위한 방법
메시지에 송신자의 신분을 보증하는 내용을 추가해서 암호화하는 방식
주로 공개키 암호 방식을 이용
기능 : 사용자 및 메시지 인증 기능, 송신 및 수신부인 방지 기능

⑷ 웹(Web)에서의 보안

1) 일반적인 WWW 보안 메커니즘

IP 주소 인증 : 웹서버를 설치할 때 서버에 접속할 수 있는 IP 주소 혹은 도메인명을 지정해서 설치하는 방법으로 해당되는 IP 주소 이외에는 접근이 불가
기본적인 인증 : 사용자 ID와 비밀번호를 사용해서 접근 허락 여부를 판단하는 방법
Massage Digest 인증 : 사용자 ID와 비밀번호를 암호화해서 기본적인 인증의 문제점을 해결하려는 방법

2) 프로토콜을 이용한 보안

S-HTTP(Secure-HTTP) : HTTP로 주고받는 자료에 대한 암호화와 디지털 서명을 지원
SSL(Secure Socket Layer) : 넷스케이프의 암호화에 사용하는 프로토콜로 전송 계층에서 수행되는 암호화 방식이기 때문에 HTTP뿐만 아니라 다양한 서비스(NNTP, SMTP, Telnet, FTP, Gopher 등)에서도 사용할 수 있는 장점이 있음
SEA(Security Extension Protocol) : S-HTTP의 기능을 수용하면서 구현은 W3C에서 제안한 PEP(Protocol Extension Protocol)을 이용하는 형태
STT(Secure Transaction Technology) : 마이크로소프트와 비자(VISA)가 개발한 프로토콜

'기타 > 툴 관련(리눅스)' 카테고리의 다른 글

Apache 자체 인증서 만든 후 SSL 테스트 (0)	2009.07.07
FreeBSD 에서 두개의 NIC 을 하나로 Bonding 하는 방법입니다. (0)	2009.06.18
원격접속 VNC Viewer (0)	2009.06.01
Linux/Unix date 명령어 공부 (1)	2009.05.08
SSH 자동 로그인(sshpass) (0)	2009.05.08

Free Style

OWASP - Phoenix/Tools 다양한 분석도구 팁

Phoenix/Tools

From OWASP

'기타 > 툴 관련(리눅스)' 카테고리의 다른 글

티스토리툴바

OWASP - Phoenix/Tools 다양한 분석도구 팁

Phoenix/Tools

From OWASP

'기타 > 툴 관련(리눅스)' 카테고리의 다른 글

관련글

티스토리툴바