보안·신기술

기밀성은 권한 없는 열람 방지, 무결성은 허가 없는 변경 방지·탐지, 가용성은 필요할 때 이용 가능함이다. 인증은 누구인지, 인가는 무엇을 할 수 있는지 판단한다.

헷갈리는 지점 감사 로그·부인 방지·책임 추적은 CIA와 관련되지만 같은 용어가 아니다.

대칭키는 같은 비밀키로 암복호, 공개키는 키쌍을 사용한다. 해시는 임의 길이 입력을 정해진 길이 값으로 요약하며 역복원을 목적으로 하지 않는다. 전자서명은 개인키로 서명하고 공개키로 검증한다.

헷갈리는 지점 해시만으로 송신자 인증이 되지 않는다. MAC/HMAC은 공유 비밀키로 무결성과 인증을 제공한다.

SQL Injection은 입력이 SQL 구조에 섞임, XSS는 신뢰하지 않은 스크립트가 브라우저에서 실행됨, CSRF는 사용자 인증 상태를 악용한 요청 유도, SSRF는 서버가 공격자가 유도한 주소로 요청하게 하는 공격이다.

헷갈리는 지점 CORS는 인증·인가를 대신하지 않는다. XSS와 CSRF를 “스크립트 공격”으로 뭉뚱그리지 않는다.

스니핑은 도청, 스푸핑은 위장, 세션 하이재킹은 정상 세션 탈취다. SYN Flood는 반개방 연결 자원 소진, Smurf는 위조된 출발지로 ICMP 반사 증폭, LAND는 출발지·목적지 주소/포트를 동일하게 조작하는 형태다.

헷갈리는 지점 공격의 결과가 서비스 거부라고 해서 전부 같은 세부 이름은 아니다. 패킷·주소·연결의 단서를 읽는다.

바이러스는 숙주 감염, 웜은 네트워크 자기 전파, 트로이목마는 정상인 척 악성 동작, 랜섬웨어는 암호화 등으로 협박한다. APT는 특정 대상에 장기·지속적 공격, 제로데이는 알려진 대응이 준비되기 전 취약점 악용이다.

헷갈리는 지점 백신이나 WAF 하나만으로 모든 공격을 막는다고 쓰지 않는다. 통제의 범위가 다르다.

ISMS는 정보보호 관리체계, ISMS-P는 개인정보 보호까지 통합한다. Secure SDLC는 요구·설계·구현·검증·운영에 보안을 반영한다. 버퍼 오버플로는 경계 밖 쓰기, TOCTOU는 검사와 사용 사이 상태 변화 문제다.

헷갈리는 지점 salt는 같은 비밀번호의 동일 해시 노출과 사전 계산 공격을 줄이지만 그 자체가 비밀키는 아니다.

IaaS는 인프라, PaaS는 실행 플랫폼, SaaS는 완성 서비스. 컨테이너는 호스트 커널을 공유하는 격리, VM은 가상 하드웨어 위 게스트 OS를 실행한다. 엣지는 데이터 발생지 가까이에서 처리한다.

헷갈리는 지점 클라우드는 운영 책임을 전부 없애지 않는다. 서비스 유형에 따라 사용자의 책임 범위가 달라진다.

마이크로서비스는 하나의 시스템을 독립 배포 가능한 작은 서비스로 나눈 구조이며, API Gateway는 여러 마이크로서비스 앞단에서 라우팅·인증·속도 제한을 담당하는 단일 진입점이다. 컨테이너 오케스트레이션(쿠버네티스)은 다수 컨테이너의 배포·확장·자동 복구를 관리한다. LLM은 방대한 텍스트로 학습해 다음 토큰을 예측하는 거대 언어 모델이고, RAG(검색 증강 생성)는 답변 전에 외부 문서를 검색해 근거를 덧붙여 환각을 줄이는 기법이다. 제로 트러스트는 내부·외부를 구분하지 않고 모든 접근을 검증한 뒤 최소 권한만 허용하는 보안 모델이다.

헷갈리는 지점 마이크로서비스가 항상 모놀리식보다 빠르다고 일반화하지 않는다. 서비스 호출이 늘면 네트워크 지연이 증가할 수 있다. 방화벽 하나만으로 제로 트러스트를 구현했다고 보지 않는다.

기밀성은 허가 없는 열람을 막고 무결성은 허가 없는 변경을 막거나 탐지하며 가용성은 필요할 때 서비스를 사용할 수 있게 하는 것이다. 개인정보 유출은 기밀성, 거래 내역 변조는 무결성, 서비스 마비는 가용성의 전형적인 사례다.

인증은 누구인지 확인, 인가는 그 주체가 어떤 자원을 사용할 수 있는지 결정한다. 다중요소 인증은 지식(암호)·소유(토큰)·생체 같은 서로 다른 요소를 결합한다. 비밀번호 두 개는 모두 지식 요소라 두 요소 인증과 다르다.

헷갈리는 지점 로그인한 사용자라고 다른 사람의 주문을 조회할 권한이 생기는 것은 아니다.

대칭키는 같은 비밀키로 암호화·복호화하므로 빠르지만 비밀키 공유가 필요하다. 공개키 방식은 공개키와 개인키를 사용하며 키 배포·서명 등에 쓰인다. 해시는 입력을 고정 길이 값으로 요약하는 단방향 목적의 함수다.

서명은 송신자의 개인키로 만들고 공개키로 검증해 무결성·인증·부인 방지를 돕는다. 기밀 전송은 수신자의 공개키로 암호화하고 수신자의 개인키로 복호화한다. 인증서는 공개키와 주체의 연결을 CA 서명으로 확인하는 수단이다.

헷갈리는 지점 “개인키로 암호화”를 모든 전자서명 알고리즘에 공통인 정확한 절차처럼 쓰지 않는다. 서명·검증으로 표현한다.

DAC는 소유자의 재량으로 권한을 부여하고 MAC는 보안 등급·정책을 강제한다. RBAC는 역할, ABAC는 주체·자원·환경 등의 속성으로 결정한다. 최소 권한은 업무에 필요한 권한만 주는 원칙이다.

Bell-LaPadula는 기밀성 중심으로 상위 등급 읽기 금지(No Read Up), 하위 등급 쓰기 금지(No Write Down)를 기억한다. Biba의 엄격 무결성 모델은 무결성 중심으로 하위 등급 읽기 금지(No Read Down), 상위 등급 쓰기 금지(No Write Up)를 다룬다.

헷갈리는 지점 보안 등급과 무결성 등급의 뜻을 구별한다. Biba의 모든 변형이 같은 규칙은 아니다.

XSS는 공격자 스크립트가 피해자 브라우저의 신뢰 문맥에서 실행되는 공격이다. 저장형은 게시물 등에 저장, 반사형은 요청 입력이 응답에 반사, DOM 기반은 클라이언트 처리에서 발생한다. CSRF는 로그인 상태를 악용해 의도하지 않은 요청을 보내게 한다.

SQLi는 데이터 입력이 SQL 명령 구조로 해석되는 문제이고 SSRF는 서버를 시켜 내부·외부 주소에 요청하게 한다. 경로 탐색은 ../ 등으로 허용 범위를 벗어난 파일 접근을 노린다. 대응은 각 신뢰 경계에 맞춰 적용한다.

헷갈리는 지점 입력 검사 하나나 CORS 설정만으로 모든 공격을 막는다고 설명하지 않는다.

SYN Flood는 반개방 연결 자원 소진, Smurf는 위조 출발지로 ICMP 반사 증폭, Ping of Death는 전통적인 비정상 크기 ICMP 처리 문제, Teardrop은 겹치는 IP 단편의 재조립 문제, LAND는 출발지·목적지를 동일하게 조작하는 공격의 단서를 본다.

피싱은 신뢰 주체 사칭, 스피어 피싱은 특정 대상 맞춤, 파밍은 가짜 사이트로 연결을 돌리는 기법이다. 워터링 홀은 대상이 자주 찾는 사이트를 감염시키고 공급망 공격은 신뢰하는 공급·업데이트 경로를 이용한다. 바이러스는 숙주, 웜은 자기 전파, 트로이목마는 정상 위장, 루트킷은 은폐·권한 유지에 초점을 둔다.

헷갈리는 지점 전통적 공격 원리와 현재 시스템 취약성을 동일시하지 않는다. 현행 안전성 판정은 별도다.

버퍼 오버플로는 저장 범위를 넘는 쓰기로 메모리를 손상시키는 문제다. TOCTOU는 검사한 뒤 실제 사용하기 전 상태가 바뀌는 경쟁 조건이다. 입력 검증·경계 검사·안전한 API·최소 권한·비밀 분리 등은 개발 단계부터 적용한다.

IDS는 탐지, IPS는 차단, WAF는 웹 응용 요청 방어, NAC는 네트워크 접근통제, DLP는 정보 유출 방지, SIEM은 보안 이벤트 수집·상관 분석이다. ISMS는 정보보호 관리체계, ISMS-P는 개인정보 보호를 통합한다. 위험은 자산·위협·취약성·영향을 연결해 평가한다.

헷갈리는 지점 해시 salt는 비밀키가 아니며 동일 암호의 같은 해시·사전 계산 공격을 줄이기 위한 개별 값이다.

IaaS는 인프라, PaaS는 실행·개발 플랫폼, SaaS는 완성 응용 서비스를 제공한다. VM은 가상 하드웨어 위 게스트 OS, 컨테이너는 호스트 커널을 공유하는 격리 구조다. 엣지 컴퓨팅은 발생지 가까이에서 처리해 지연·전송 부담을 줄인다.

SDN은 네트워크 제어·데이터 평면 분리, NFV는 네트워크 기능의 소프트웨어 가상화다. 빅데이터의 전통적 3V는 Volume·Velocity·Variety, Hadoop의 HDFS는 분산 파일 저장, MapReduce는 분산 처리 모델이다. NoSQL은 문서·키값·컬럼 계열·그래프 등 관계형과 다른 모델을 묶는 용어다.

헷갈리는 지점 NoSQL을 SQL 문법이 절대 불가능한 모든 시스템이라는 뜻으로 좁히지 않는다.

XSS는 악성 스크립트가 사용자의 브라우저에서 실행되는 공격이다. CSRF는 로그인된 사용자의 브라우저가 의도하지 않은 요청을 보내게 한다. SQL Injection은 입력이 SQL 구문으로 해석되게 하며, SSRF는 서버가 공격자가 의도한 대상에 요청하도록 만든다.

2026.10.14 재확인: OWASP CSRF

헷갈리는 지점 XSS 방어는 문맥에 맞는 출력 인코딩·안전한 DOM API, SQLi 방어는 매개변수화 질의다. CSRF 토큰만으로 XSS를 해결하지 못한다.