본문 바로가기

ETC & TIP/◆모의해킹 QA

포기하는것도 능력이다. 본 내용은 조정원 저자님의 블로그 내용입니다. 우리는 하루하루 하고싶은 것이 많다. 여행도 가고 싶고, 책도 읽고 싶고, 편안하게 잠에 빠져보기도 싶다. 하지만, 대부분 포기를 하고 일터로 나간다. 일을 해야 경제적인 것을 버틸 수 있고 중간중간 휴식을 취할 수 있다. 또한, 하고 싶은 많은 것을 한번에 할 수 없다. 하나르 선택하면 다른것은 미뤄야 하거나 포기를 해야한다. 나는 책 읽는것을 즐긴다. 책을 좋아한다고 하더라도 수십만권, 수백만권의 책을 모두 볼 수 없다. 1중일에 많이 읽으면 3권이다. 3권을 선택하는 동안 나는 나머지의 책들은 포기해야 한다. 그만큼 할 것도 많고, 하고 싶은것도 많지만 모두 할 수 없다. 보안도 마찬가지이다. IT인프라, 플랫폼 서비스 등 모든 영역에 관련된 업무이지만.. 더보기
직업 순서 정확하게 말하면 " 이야기를 들어보니 컨설턴트로 바로 가기 힘드니 관제업무 -> 서트업무 -> 컨설팅업무로 가는게 좋다. 라는 이야기를 하는 사람들이 간혹 있다. 아마 이분들은 학원영업사원의 상담을 잘 들었거나, 혹은 선배들이 이야기 한 것을 잘못 이해했을 가능성이 높다. 밖에서 제일 보안직군으로 나눈다면 많이 듣는 관제업무, 서트업무, 컨설팅업무는 일에 연관성은 조금씩 있을지라도 분명히 업무영역은 확연하게 다르다. 어떤것이 상위권에 있는 것이 아니라, 서로 협력을 통해 이상적인 보안체계/프로세스를 만들어가야 한다. 어느 누가 빠져도 그 빈자리를 채우기에는 힘들다. 어떤 업무를 하더라도 경력이 많아질수록 자신이 책임져야 하는 영역은 넓어집니다. 예를 들어, 관제업무에서 신입때는 한두가지의 장비를 가지고 .. 더보기
모의해커가 갖춰야 할 소양 국내에서 모의해커라고 한다면 대부분 '컨설턴트'업무에 속한 인원을 의미한다. 물론 모의해커라는 의미가 '취약점 진단' '버그 헌터'라는 기술적인 의미에서도 속하지만 직업에서 봤을 때 대 부분 '컨설턴트'로 의미를 받아들인다. 어떤 업체의 서비스를 진단하고 미리 평가하는 것은 어떤 타이틀을 걸더라도 고객에서 자산의 위험성을 가이드해주는 것이기 때문에 컨설턴트 라는 단어가 보기 좋다. '컨설턴트'는 상담사 이다. 자산설계에 가이드가 필요할 때는 '보험설계사'를 만나 상담을 하고, 정신적 치료가 필요 할 때는 '심리 상담사'를 만나 상담을 받는다. 이와 같이 IT인프라에 외부/내부적으로 침투 가능성을 점검을 받으면서, 실제 문제가 발생하기 전에 미리 인지를 하고 패치할 수 있도록 하는 가이드를 제시하는 것은 .. 더보기
해커 등급 해커에도 등급이 있다? 해커 레벨 유명 해커출신이었으나 지금은 보안 컨설턴트를 하고있는 길버트 아라베디언이 나눈 5가지 등급의 해커 레벨. 5등급 레이머(Lamer) 해킹을 하고 싶다는 생각은 간절하나, 체계적 교육을 받지 못해 기술과 경험이 없는 부류 구글이나 딥웹등 초보자들도 보기 쉬운 GUI툴을 사용하나 지식이 전무하고 할 수 있는 것들이 제한적. 어설픈 툴로 불법 크래킹을 시도하면 정보보안전문가들에게 걸릴 확률이 높다. 4등급 스크립트 키디(Script Kiddies) 프로그래밍, 네트워크 혹은 시스템에 약간에 이해를 가지고 툴이 어떻게 작동하는지 원리를 아는 사람들이 속한 등급. 도스 공격이나 간단한 웹해킹 등을 툴로 시도하기 때문에 해커라고 하기엔 부족한 수준 3등급 디벨롭트 키디(Develo.. 더보기
모의해킹 과 워게임의 관계 더보기
사이버 해킹/보안 전문가 과정 사이버 해킹/보안 전문가 과정 [네트워크 해킹 / 웹 해킹 / 시스템 해킹] 사전 준비할 항목 리눅스 기초 과정 이수자 CCNA / CCNP 자격증 과정 이수자 파이썬 프로그래밍 과정 이수자 혹은 그에 상응하는 다른 과정을 이수한자 학습수준 및 난이도 나이 제한 : 없음 난이도 :★★★★★ 선수강과목 : CCNA / CCNP / 리눅스 기초 과정 / 파이썬 프로그래밍 과정 취업분야 및 전망 취업분야: 관제 및 CERT 업무 / 모의해킹 / 악성코드 분석 관련회사: 보안 전문 회사( SK infosec, A3 Security, 이글루 시큐리티, 이스트 소프트 등 ) 일반 기업의 보안파트( 병원, 학교, 연구소, 은행, 관공서, 게임 등 ) 정부 기관( 경찰청, 검찰청, 기무사, 등 ) [ 네트워크해킹: 네.. 더보기
웹해킹? 웹 해킹(영어: web hacking)은 웹 사이트의 취약점을 공격하는 기술적 위협으로, 웹 페이지를 통하여 권한이 없는 시스템에 접근하거나 데이터 유출 및 파괴와 같은 행위를 말한다. 유형으로는 웹 엔진 취약점을 이용한 해킹과 웹 애플리케이션의 취약점을 이용한 해킹, 각종 웹 서버 및 미들웨어 기본 제공 샘플 파일을 이용한 해킹 등이 있다. 웹 애플리케이션을 통해서 발생되는 해킹이 주로 일어나는데 이를 OWASP에서 10대 웹 애플리케이션의 취약점을 발표하였다. 웹 애플리케이션 해킹으로 가장 빈도가 많이 발생하고, 보안상 영향을 크게 줄 수 있는 것들로는 SQL 삽입(영어: SQL Injection), XSS, CSRF 웹 셸 업로드 등이 있다. 웹과 해킹이 합쳐진 말로 최근 발생하는 Hacking중 .. 더보기
포트 점검의 중요성 외부에 오픈 되어 있는 서비스를 점검할 때 제일 기본이자 중요한 것을 포트 점검이다. 포트는 서버에 작동되고 있는 서비스(프로세스)와의 연결고리이다. 80포트는 웹서버라고 표준으로 명시하고 있지만, 꼭 지킬 이유는 없다 8080으로 사용해도 되고 8081로 사용해도 된다. 개발자는 임의로 포트를 사용하고 외부에 공개할 수 있다. 방화벽이 해당 포트를 허용하고 있다면 외부에서 접근할 수 있다. 방화벽 정책이 완벽하게 관리되어 있다 생각하면 오산이다. 사람이 하는 작업에는 항상 홀이 있고 운영상 필요한 포트를 그룹으로 관리하는 게 아니고 전체에 적용하면 언제든지 위험은 있다. 이런 위험이 언제 발생할지 모르기 때문에 모의해킹 할 때 항상 포트 점검이 시작되어야 한다. 또한, 프로젝트 기간이 허용되는 대로 두.. 더보기
실무에서 모의해킹 업무들의 차이점 모의해킹 실무를 하는 재직자까지 자신이 하고 있는 모의해킹 업무가 컨설턴트 회사에서 하는 모의해킹 업무가 맞는지? 관리 실무에 가면 모의해킹 업무를 하지 못하는 것인가? 등의 질문을 많이 받는다. 이것은 회사의 주력 사업 부서에 따라 업무가 다르게 접근하기 때문이다. 컨설팅 지정 업체에서는 컨설팅이 주 사업이고 인력도 많기 때문에 모의해킹 팀이 별도로 구성되는 경우가 많다. 신생 기업에서는 팀이 분리가 안되어 있기 때문에 모든 업무를 협동하여 하는 경우도 있다. 관제 지정 업체, 개인정보영향평가 업체, 감리전문 업체 등 모두 업무 성격이 다르다. 관제팀 모의해킹과 컨설팅 모의해킹 업무의 차이 모의해킹 사업은 2000년 초반에 시작하면서 관리적 컨설팅 분야와 계속 성장했다. 컨설팅 분야의 한 분야로 인력이.. 더보기
정보보안의 꽃 리버스 엔지니어링 촉망받는 정보보안 전문가가 되기 위해서는 남들과 다른 나만의 무기가 꼭 필요하다. 해킹기술은 나날히 발전하고 새로운 기법들이 매일매일 생겨난다. 그런 최신 사례들을 항상 접하면서 새로운 것을 습득하고 발전해야 한다. 정보보안 전문가가 갖춰야할 여러가지 소양 중에서 리버스 엔지니어링을 소개한다. 리버스 엔지니어링이란? 소프트웨어 공학의 한 분야로, 이미 만들어진 시스템을 역으로 추적하여 처음의 문서나 설계기법 등의자료를 얻어내는 일을 말한다. 단순하게 어떠한 시스템은 출발점을 통해서 도착점으로 가는 도로는 하나밖에 없다고 가정한다(실제 그렇게 만들었다) 방화벽만 통제한다면 아무도 들어오지 못하게 설계되어 있다. 하지만 해커에 의해서 새로운 방향에서 방화벽을 우회하여 도착점에 도달하는 방법이 발견되었다. 실.. 더보기

티스토리툴바