인증·접근통제·로그 분석·취약점 분석

🎯 이 강의 학습 목표

23강이 공격을 다뤘다면 이번 강은 막는 쪽입니다. 누구인지 확인하고(인증), 무엇을 허용할지 정하고(접근통제), 조직 차원의 관리 체계를 세운 뒤, 로그와 보안 솔루션·취약점 진단으로 그 통제가 실제로 지켜지는지 확인하는 흐름으로 정리합니다. 4과목 이론의 마지막 강입니다.

• 인증 요소 세 가지와 다중 인증의 조건, Kerberos·RADIUS·OTP·OAuth 2.0을 구분할 수 있다.
• DAC·MAC·RBAC와 벨-라파둘라·비바 모델의 규칙, 참조 모니터·제로 트러스트·ISO/IEC 27001·ISMS-P를 비교할 수 있다.
• 리눅스·윈도우 로그, 방화벽·IDS·IPS 등 보안 솔루션, CVE·CWE·CVSS를 짝지어 답할 수 있다.

출제기준 위치: [4과목 정보시스템 구축관리 › 3. 시스템 보안 구축 › 1. 시스템 보안 설계(서버 인증·서버 접근통제·보안 아키텍처·보안 프레임워크) · 2. 시스템 보안 구현(로그 분석·보안 솔루션·취약점 분석)]

💡 서버 인증 — 「누구인가」를 확인하는 방법

접근 통제는 식별 → 인증 → 인가 순서로 진행되고 모든 행위를 기록하는 책임 추적성이 뒤따릅니다. 인증·인가·기록(Accounting)을 묶어 AAA라고 부릅니다. 인증 요소는 비밀번호·PIN 같은 지식, OTP 기기·스마트카드 같은 소유, 지문·얼굴 같은 생체 세 유형이며, NIST SP 800-63B는 서로 다른 유형을 둘 이상 쓰는 것을 다중 인증(MFA)으로 봅니다. 비밀번호와 보안 질문은 둘 다 지식이라 단계는 둘이어도 다중 요소가 아닙니다.

기술	핵심
OTP	HOTP(카운터, RFC 4226)·TOTP(시간, RFC 6238은 30초 간격 권고)
Kerberos	신뢰하는 제3자 KDC가 티켓 발급, AS가 TGT를 주고 TGS가 서비스 티켓을 줌, 시간 동기화 중요
RADIUS	접속 장비가 중앙 서버에 인증·인가를 묻는 프로토콜, UDP 1812
OAuth 2.0	비밀번호를 넘기지 않고 제3자 앱에 권한(인가) 위임, 로그인 용도는 OpenID Connect를 얹음
SSO	한 번 인증으로 여러 시스템 이용(Kerberos·SAML 등)

💡 접근통제·보안 아키텍처·보안 프레임워크

세 접근통제 모델은 「권한을 누가 정하는가」로 가릅니다. DAC(임의적)는 객체 소유자가 재량으로 부여하며 ACL과 유닉스 rwx 권한이 대표입니다. MAC(강제적)는 시스템이 보안 등급(레이블)과 사용자 허가 등급을 비교해 강제하므로 소유자도 바꿀 수 없습니다. RBAC(역할 기반)는 관리자가 권한을 역할에 주고 사용자를 역할에 배정해, 인사이동 때 역할만 바꾸면 됩니다. 속성 조합으로 판단하는 ABAC도 있고, 바탕 원칙은 최소 권한과 직무 분리입니다.

MAC의 근거 모델은 짝으로 외웁니다. 벨-라파둘라(BLP)는 기밀성 모델로 No Read Up·No Write Down, 비바(Biba)는 무결성 모델로 규칙이 정반대인 No Read Down·No Write Up입니다. 클락-윌슨은 정해진 절차로만 데이터를 바꾸게 하는 상업용 무결성 모델입니다.

모든 접근을 중재하는 추상 개념이 참조 모니터, 그 구현이 보안 커널, 정책 집행을 책임지는 구성요소 전체가 TCB입니다. 여러 계층에 통제를 겹치는 것이 심층 방어이고, 제로 트러스트(NIST SP 800-207)는 물리적·네트워크 위치만으로 암묵적 신뢰를 주지 않고 요청마다 정책 엔진이 판단합니다. 조직 단위의 관리 체계로는 ISMS 요구사항을 정한 국제 표준 ISO/IEC 27001(2022년판 부속서 A 통제 93개, 구현 지침은 27002), KISA가 인증하는 국내 ISMS-P(관리체계·보호대책·개인정보 처리 단계 3영역), Govern을 더해 6기능이 된 NIST CSF 2.0이 있고, 조직이 아니라 보안 제품을 평가하는 것은 CC(ISO/IEC 15408, EAL 등급)입니다.

💡 로그 분석·보안 솔루션·취약점 분석

syslog(RFC 5424) 심각도는 0 Emergency부터 7 Debug까지이며 숫자가 작을수록 심각합니다. 리눅스 로그인 기록은 바이너리 파일이라 전용 명령으로 봅니다.

파일	내용	명령
/var/log/wtmp	로그인·로그아웃 이력	last
/var/log/btmp	실패한 로그인 시도	lastb
utmp(/var/run/utmp)	현재 로그인 중인 사용자	who, w
/var/log/lastlog	사용자별 마지막 로그인	lastlog

인증 텍스트 로그는 Red Hat 계열 /var/log/secure, Debian·Ubuntu 계열 /var/log/auth.log에 남습니다. 윈도우 보안 로그의 이벤트 ID 4624는 로그온 성공, 4625는 실패라 4625가 한 주소에 몰리면 무차별 대입을 의심합니다. DAC의 대표 구현인 유닉스 권한도 함께 확인해 둡니다(Ubuntu bash 실행 결과).

umask 027; mkdir logs; touch app.log
stat -c "%A %a %n" logs app.log

drwxr-x--- 750 logs
-rw-r----- 640 app.log

디렉터리 기본값 777, 파일 기본값 666에서 umask 027(그룹 쓰기·기타 전체)을 빼면 각각 750과 640이 됩니다.

보안 솔루션은 「어디서, 무엇을 보고, 탐지만 하나 차단까지 하나」로 가릅니다. 방화벽은 규칙으로 허용·차단(패킷 필터링·상태 기반·애플리케이션 게이트웨이), IDS는 탐지·경보(오용 탐지·이상 탐지, NIDS·HIDS), IPS는 인라인으로 놓여 차단, WAF는 웹 공격, VPN은 암호화 터널(IPsec의 AH는 무결성·인증, ESP는 암호화까지), NAC는 접속 전 단말 정책 검사, SIEM은 로그 상관 분석, DLP는 정보 유출 차단, EDR은 단말 행위 분석, 허니팟은 유인 시스템입니다. 정상을 공격으로 판정하면 오탐(False Positive), 공격을 놓치면 미탐(False Negative)입니다.

취약점 분석은 자산 식별 → 진단 → 위험 평가 → 조치·이행 점검 순서이고, 실행하지 않고 검사하는 정적 분석(SAST), 실행 중 반응을 보는 동적 분석(DAST), 무작위 입력의 퍼징, 허가받은 모의 침투로 진단합니다. CVE는 개별 취약점 번호, CWE는 약점 유형 분류, CVSS는 0.0~10.0 심각도 점수이며 v4.0 정성 등급은 Low 0.1~3.9, Medium 4.0~6.9, High 7.0~8.9, Critical 9.0~10.0입니다.

⚠️ 시험에 나오는 함정

• 2단계 vs 2요소: 같은 유형 두 개는 다중 요소 인증이 아닙니다.
• OAuth 2.0은 인증이 아니라 인가 위임 프로토콜입니다.
• BLP vs Biba: 기밀성은 위로 못 읽고 아래로 못 쓰기, 무결성은 아래로 못 읽고 위로 못 쓰기입니다.
• ISMS vs CC: 조직 관리체계 인증 vs 보안 제품 평가입니다.
• wtmp·btmp·utmp: 이력(last)·실패(lastb)·현재 접속자(who)입니다.
• IDS vs IPS: 탐지·경보 vs 인라인 차단입니다. syslog는 0이 가장 심각합니다.

📝 핵심 요약 — 암기표

주제	꼭 기억할 것
인증	지식·소유·생체, 다른 유형 2개 이상 = MFA, HOTP·TOTP, Kerberos 티켓·RADIUS UDP 1812
접근통제	DAC 소유자·ACL / MAC 시스템·레이블 / RBAC 역할, BLP 기밀성·Biba 무결성
아키텍처·체계	참조 모니터·TCB, 제로 트러스트(SP 800-207), ISO/IEC 27001(93개)·ISMS-P·NIST CSF 2.0·CC(EAL)
로그	syslog 0~7, last·lastb·who·lastlog, secure·auth.log, 4624·4625
솔루션	방화벽·IDS(탐지)·IPS(차단)·WAF·VPN(AH·ESP)·NAC·SIEM·DLP·EDR
취약점	SAST·DAST·퍼징·모의 침투, CVE 번호·CWE 유형·CVSS 점수(High 7.0~8.9)

이 주제의 자세한 이론과 실전문제 8문항은 필기+실기 과정 혜택 교재 「정보처리기사 필기 완전정복 50강」의 47·48강에서 다룹니다.

다음 25강 「4과목 핵심 점검 20문항과 합격 전략」에서는 네 과목을 과목당 5문항씩 점검하고, 과락을 피하는 점수 설계와 시간 배분을 정리합니다.

📋 확인 문제

1. NIST SP 800-63B의 기준으로 다중 인증(MFA)에 해당하는 조합은?
   ① 비밀번호 + 보안 질문 답변 ② 비밀번호 + 스마트폰 인증 앱의 TOTP ③ PIN + 비밀번호 ④ 오른손 검지 지문 + 왼손 검지 지문
2. 낮은 무결성 등급의 정보를 읽지 못하게 하고(No Read Down), 높은 무결성 등급의 객체에 쓰지 못하게 하는(No Write Up) 보안 모델은?
   ① 벨-라파둘라 모델 ② 클락-윌슨 모델 ③ 비바 모델 ④ RBAC 모델
3. 리눅스에서 umask를 007로 설정한 뒤 새 디렉터리를 만들었을 때 그 디렉터리의 권한은?
   ① 770(drwxrwx---) ② 660(drw-rw----) ③ 700(drwx------) ④ 007(d------rwx)
4. CVSS v4.0 명세의 정성 등급 기준으로 기본 점수 7.5인 취약점의 등급은?
   ① Medium ② Critical ③ Low ④ High
5. 현재 서버에 로그인해 있는 사용자를 확인하려 한다. 정보가 기록된 파일과 확인 명령의 짝으로 옳은 것은?
   ① wtmp — last ② utmp — who ③ btmp — lastb ④ lastlog — lastlog

✅ 정답과 해설

1. 정답 ② — 비밀번호(지식)와 인증 앱의 TOTP(소유한 기기)는 서로 다른 유형이라 다중 인증입니다. ①③은 지식 두 개, ④는 생체 두 개로 같은 유형이라 단계만 늘었을 뿐 다중 요소가 아닙니다.
2. 정답 ③ — No Read Down·No Write Up은 무결성을 지키는 비바 모델입니다. 벨-라파둘라는 기밀성 모델로 No Read Up·No Write Down이고, 클락-윌슨은 잘 구성된 트랜잭션과 직무 분리 중심의 상업용 무결성 모델, RBAC는 역할 기반 접근통제입니다.
3. 정답 ① — umask 007은 기타(other)의 읽기·쓰기·실행을 모두 뺍니다. 디렉터리 기본값 777에서 빼면 770, 기호로 drwxrwx---입니다(Ubuntu에서 실행 확인). 660은 같은 umask에서 일반 파일(기본 666)이 받는 권한, 700은 umask 077일 때의 디렉터리 권한이며, umask 값 자체가 권한이 되는 것은 아닙니다.
4. 정답 ④ — High는 7.0~8.9이므로 7.5는 High입니다. Medium은 4.0~6.9, Critical은 9.0~10.0, Low는 0.1~3.9입니다.
5. 정답 ② — 현재 접속자는 utmp에 있고 who(또는 w)로 봅니다. wtmp·last는 로그인 이력 전체, btmp·lastb는 실패한 로그인, lastlog는 사용자별 마지막 로그인 시각입니다.

📚 참고 자료

• 한국산업인력공단 큐넷, 정보처리기사 출제기준(2027.1.1~2029.12.31)
• NIST SP 800-63B (인증 요소·다중 인증)
• RFC 6238 (TOTP) · RFC 4120 (Kerberos V5) · RFC 6749 (OAuth 2.0)
• NIST SP 800-207 (Zero Trust Architecture)
• ISO/IEC 27001:2022 · KISA — ISMS-P 인증 제도
• RFC 5424 (The Syslog Protocol) · Linux man-pages — utmp, wtmp
• FIRST — CVSS v4.0 Specification