We looked at important key elements of information security and personal information to look around the year, introduced the security threats that threatened in 2018, and summarized future considerations.
안전한 스마트시티를 위한 IoT 보안 이슈와 대응 방안 (사물인터넷 보안)Hakyong Kim
현재 추진중인 스마트시티는 보안 측면에서 매우 취약합니다. 전통적인 인터넷 보안은 물론, 사물인터넷 기반의 CPS 보안에 대해 전혀 고려를 하지 않고 추진되고 있기 때문입니다. 물론, 일부 프로젝트에서는 그나마 인터넷 보안 특성을 고려하고 있지만, 그것만으로는 충분하지 않습니다. 사물인터넷 보안, CPS 보안은 과거의 인터넷 보안과는 그 특성이 다르기 때문입니다.
본 자료에서는 스마트 시티에서 발생할 수 있는 보안 사고에 대해 경각심을 일으킨 후, 이런 보안 사고를 유발할 수 있는 다양한 유형들에 대해 소개하고 그 대응 방안에 대해 이야기 하고 있습니다.
- “5년간 7천만 개인정보 유출…가장 큰 원인은 해킹”
- 사물인터넷, 홈캠 4년 새 90배 해킹 증가…보안대책 이대로 안된다
- 사이버 스파이? SW 공급망 공격 위험 '고조‘
- '유명 문서 편집프로그램 설치 파일로 위장 악성코드 유포 중…주의
- 안드로이드에서 통하는 랜섬웨어, 다크웹에서 활발히 거래 중
안전한 스마트시티를 위한 IoT 보안 이슈와 대응 방안 (사물인터넷 보안)Hakyong Kim
현재 추진중인 스마트시티는 보안 측면에서 매우 취약합니다. 전통적인 인터넷 보안은 물론, 사물인터넷 기반의 CPS 보안에 대해 전혀 고려를 하지 않고 추진되고 있기 때문입니다. 물론, 일부 프로젝트에서는 그나마 인터넷 보안 특성을 고려하고 있지만, 그것만으로는 충분하지 않습니다. 사물인터넷 보안, CPS 보안은 과거의 인터넷 보안과는 그 특성이 다르기 때문입니다.
본 자료에서는 스마트 시티에서 발생할 수 있는 보안 사고에 대해 경각심을 일으킨 후, 이런 보안 사고를 유발할 수 있는 다양한 유형들에 대해 소개하고 그 대응 방안에 대해 이야기 하고 있습니다.
- “5년간 7천만 개인정보 유출…가장 큰 원인은 해킹”
- 사물인터넷, 홈캠 4년 새 90배 해킹 증가…보안대책 이대로 안된다
- 사이버 스파이? SW 공급망 공격 위험 '고조‘
- '유명 문서 편집프로그램 설치 파일로 위장 악성코드 유포 중…주의
- 안드로이드에서 통하는 랜섬웨어, 다크웹에서 활발히 거래 중
[이찬우 강사] Gyeonggi Institute of Science & Technology Promotion_employee inform...Lee Chanwoo
[이찬우 강사] Gyeonggi Institute of Science & Technology Promotion_employee information security education_Cyber security trends 201802 - 제4차 산업혁명 시대를 맞이한 사이버 정보보안 이슈 및 동향
지난 12월 10일(목)에 강남 과학기술회관에서 개최되었던 2016 IT 이슈와 전망 컨퍼런스에서 발표했던 자료를 공유합니다. 제가 발표한 내용은 사물인터넷 비즈니스 트렌드와 보안 이슈에 대해 전망하는 것이었습니다.
일단 2015년 사물인터넷 산업에 나타난 대표적인 특징을 다섯가지로 정리했습니다.
1. 다양한 커넥티드 디바이스가 출시되었으나 성공적인 것은 많지 않았다.
2. 스마트워치가 본격적으로 출시되었으나, 이 시장이 제대로 개화할지는 잘 모르겠다.
3. 사물인터넷의 첫번째 격전지는 스마트홈이 되고 있고, 내년에도 계속될 것이다.
4. IoT 표준화 작업 경쟁이 가속화되고 있으며, OIC의 IoTivity가 득세하고 있다.
5. 단순 커넥티드 디바이스가 아닌 IoT 기반 비즈니스 사례가 속속 등장하고 있다.
개별 항목에 대해서는 첨부된 자료를 참조하시기 바랍니다.
그리고, 2016년에 본격화 될 사물인터넷 비즈니스 패러다임으로 프로비스(Provice)를 언급했습니다. Product와 Service의 결합인 이 개념은 사실 20년 정도 전부터 사용되던 Product Service Systems 개념과 사실상 같은 개념입니다. 스마트 디바이스를 기반으로 하다 보니 약간 달라지는 점들도 있겠죠. 어쨌거나, 이런 트렌드를 제시하면서, 가능한 사례들을 몇 가지 제시했습니다. 역시 자세한 내용은 첨부 자료를 보시기 바랍니다.
마지막 부분은 사물인터넷 보안 이슈인데요, 그동안 디바이스 관점에서 보안을 이야기하던 것을 탈피하여 서비스 관점에서 사물인터넷 보안을 이야기했습니다. 인터넷에 연결되는 사물들의 성능도 응용도 제각각이기 때문에, 단일화된 강한 보안 룰을 적용하는 것은 적합하지 않다는 내용입니다. 디바이스나 응용에 따라 차등화된 보안 정책을 적용할 것과, 디바이스에서 모든 보안 기능을 수행할 것이 아니라 시스템 전체에 보안 업무를 분산해서 처리하는 것이 필요하다는 이야기를 했습니다.
[이찬우 강사] Information security and digital sex crime_lecture(2020.09)Lee Chanwoo
Information security and digital sex crime, Digital Sex Crime Prevention Instructor Course, Definition and examples of information protection, definition of digital sexual crime and countermeasures
4차 산업혁명 시대의 세이프티 플랜이라는 주제로 개최된 "세이프티 SW 2017" 행사에서 발표한 자료를 공유합니다. 최근 들어
해킹 사고가 빈번하게 발생하는 이유를 소개했구요, 사물인터넷 보안과 인터넷 보안의 차이, 그리고 사물인터넷 보안 사고의 유형을 다양한 사례를 통해 살펴본 후 대응 방안을 몇 가지 언급했습니다.
아이씨엔 매거진(99) May 2015. Industrial Communication Network MAGAZINESeungMo Oh
LG CNS(대표: 김대훈 사장)가 4월 21일 서울 삼성동 그랜드 인터컨티넨탈 호텔에서 업계 및 학계 주요 관계자 1500여 명이 참석한 가운데 국내 최대 규모의 IT콘퍼런스 ‘엔트루월드(Entrue World) 2015’를 개최하고, 최근들어 이슈의 중심에 선 사물인터넷(IoT)의 미래 방향성을 제시했다. 그가 밝힌 사물인터넷 미래는 소프트웨어로 대변되는 서비스 중심으로 중심의 넘어가고 있다는 것.
이번 엔트루월드는 ‘스마트한 사물인터넷, 스마트 비즈니스로의 변화를 가속화하다’(The Internet of Smart Things: Accelerating Smart Business)라는 주제로, 스마트 기술의 융복합으로 구현되는 IoT솔루션과 서비스를 소개하고, IoT가 비즈니스에 가져올 변화를 제시했다.
The MAGAZINE of PLANT, MACHINE, POWER, AUTOMOTIVE, BUILDING & HOME COMMUNICATION NETWORKs
최근 화두인 마이데이터사업에 대한 정의를 살펴보고, 마이데이터 사업을 위한 네이버클라우드플랫폼 서비스 및 구성방안에 대해 안내해드립니다. | We will look at the definition of MyData business, which is a hot topic recently, and guide you on Naver Cloud Platform service and architecture for MyData business.
[이찬우 강사] Gyeonggi Institute of Science & Technology Promotion_employee inform...Lee Chanwoo
[이찬우 강사] Gyeonggi Institute of Science & Technology Promotion_employee information security education_Cyber security trends 201802 - 제4차 산업혁명 시대를 맞이한 사이버 정보보안 이슈 및 동향
지난 12월 10일(목)에 강남 과학기술회관에서 개최되었던 2016 IT 이슈와 전망 컨퍼런스에서 발표했던 자료를 공유합니다. 제가 발표한 내용은 사물인터넷 비즈니스 트렌드와 보안 이슈에 대해 전망하는 것이었습니다.
일단 2015년 사물인터넷 산업에 나타난 대표적인 특징을 다섯가지로 정리했습니다.
1. 다양한 커넥티드 디바이스가 출시되었으나 성공적인 것은 많지 않았다.
2. 스마트워치가 본격적으로 출시되었으나, 이 시장이 제대로 개화할지는 잘 모르겠다.
3. 사물인터넷의 첫번째 격전지는 스마트홈이 되고 있고, 내년에도 계속될 것이다.
4. IoT 표준화 작업 경쟁이 가속화되고 있으며, OIC의 IoTivity가 득세하고 있다.
5. 단순 커넥티드 디바이스가 아닌 IoT 기반 비즈니스 사례가 속속 등장하고 있다.
개별 항목에 대해서는 첨부된 자료를 참조하시기 바랍니다.
그리고, 2016년에 본격화 될 사물인터넷 비즈니스 패러다임으로 프로비스(Provice)를 언급했습니다. Product와 Service의 결합인 이 개념은 사실 20년 정도 전부터 사용되던 Product Service Systems 개념과 사실상 같은 개념입니다. 스마트 디바이스를 기반으로 하다 보니 약간 달라지는 점들도 있겠죠. 어쨌거나, 이런 트렌드를 제시하면서, 가능한 사례들을 몇 가지 제시했습니다. 역시 자세한 내용은 첨부 자료를 보시기 바랍니다.
마지막 부분은 사물인터넷 보안 이슈인데요, 그동안 디바이스 관점에서 보안을 이야기하던 것을 탈피하여 서비스 관점에서 사물인터넷 보안을 이야기했습니다. 인터넷에 연결되는 사물들의 성능도 응용도 제각각이기 때문에, 단일화된 강한 보안 룰을 적용하는 것은 적합하지 않다는 내용입니다. 디바이스나 응용에 따라 차등화된 보안 정책을 적용할 것과, 디바이스에서 모든 보안 기능을 수행할 것이 아니라 시스템 전체에 보안 업무를 분산해서 처리하는 것이 필요하다는 이야기를 했습니다.
[이찬우 강사] Information security and digital sex crime_lecture(2020.09)Lee Chanwoo
Information security and digital sex crime, Digital Sex Crime Prevention Instructor Course, Definition and examples of information protection, definition of digital sexual crime and countermeasures
4차 산업혁명 시대의 세이프티 플랜이라는 주제로 개최된 "세이프티 SW 2017" 행사에서 발표한 자료를 공유합니다. 최근 들어
해킹 사고가 빈번하게 발생하는 이유를 소개했구요, 사물인터넷 보안과 인터넷 보안의 차이, 그리고 사물인터넷 보안 사고의 유형을 다양한 사례를 통해 살펴본 후 대응 방안을 몇 가지 언급했습니다.
아이씨엔 매거진(99) May 2015. Industrial Communication Network MAGAZINESeungMo Oh
LG CNS(대표: 김대훈 사장)가 4월 21일 서울 삼성동 그랜드 인터컨티넨탈 호텔에서 업계 및 학계 주요 관계자 1500여 명이 참석한 가운데 국내 최대 규모의 IT콘퍼런스 ‘엔트루월드(Entrue World) 2015’를 개최하고, 최근들어 이슈의 중심에 선 사물인터넷(IoT)의 미래 방향성을 제시했다. 그가 밝힌 사물인터넷 미래는 소프트웨어로 대변되는 서비스 중심으로 중심의 넘어가고 있다는 것.
이번 엔트루월드는 ‘스마트한 사물인터넷, 스마트 비즈니스로의 변화를 가속화하다’(The Internet of Smart Things: Accelerating Smart Business)라는 주제로, 스마트 기술의 융복합으로 구현되는 IoT솔루션과 서비스를 소개하고, IoT가 비즈니스에 가져올 변화를 제시했다.
The MAGAZINE of PLANT, MACHINE, POWER, AUTOMOTIVE, BUILDING & HOME COMMUNICATION NETWORKs
최근 화두인 마이데이터사업에 대한 정의를 살펴보고, 마이데이터 사업을 위한 네이버클라우드플랫폼 서비스 및 구성방안에 대해 안내해드립니다. | We will look at the definition of MyData business, which is a hot topic recently, and guide you on Naver Cloud Platform service and architecture for MyData business.
최근 랜섬웨어(Ransomware)를 통한 공격이 늘어나고 있습니다. 이에 대비하여 AWS 클라우드를 사용하는 고객의 대응 방안에 대해 알려드리는 보안 특집 세미나입니다. 본 세션에서는 다원화되고 있는 랜섬웨어 공격 패턴과 WannaCry 같은 잘 알려진 공격 및 이에 대한 AWS 공식적인 보안 공지 및 대응 매뉴얼을 소개합니다. 또한, AWS 고객들이 랜섬웨어 공격에 미리 대비하기 위해 OS 패치 및 보안 관리를 위한 EC2 System Manager, VPC 보안 그룹 및 Flow Logs 활용 방법, AWS Inspector 를 통한 취약점 관리 등에 대해 상세히 설명합니다.
[2015년 11월 18일]
CISSP korea 협회에서 발표했던 사물인터넷주제로 발표를 진행했었는데요.
관련 자료 이오니 시간되실때 보시면 좋을거 같습니다.
영화를 통한 보안 이야기라고 생각하시고 편안히 보시면 좋을거 같네요.
[2015.11.18]
I was presented at the The CISSP korea chapter in seoul.
the title of name is internet of things with you future.
I hope this helped.
How do you think Internet of Things technology will change in the future?
i lecture special cissp korea chapter for 40 min.
contect title of name is Internet of thing with your future.
have a nice day~~~
최근 한국인터넷진흥원에서 "사물인터넷 보안 사례 및 대응 방안"이라는 주제로 발표자료를 공유합니다. 강연을 요청했던 곳과의 관계를 생각해서 원래 자료에서 일부 디테일한 내용들을 삭제하고 공개하는 점에 대해서는 양해 부탁드립니다.
.
자료의 구성은 다음과 같습니다. 먼저, 기존의 인터넷 보안과 사물인터넷 보안의 차이를 설명한 후 CPS 보안, 즉 사물인터넷 보안은 인터넷 보안뿐만 아니라 Cyber Physical Systems 관점에서 사물인터넷 보안을 생각해야 한다는 내용을 소개하고 있습니다.
.
그리고, 다양한 사물인터넷 보안 사고의 사례들을 소개하고 있습니다. 실제 강연에서는 조금 더 구체적으로 설명을 하는데, 간단한 설명만 있어서 도움이 될 지 모르겠지만, 관련 링크를 찾아보시면 될 것 같습니다.
.
마지막으로, 사물인터넷 보안이 중요한 문제가 되는 이유에 대해서 살펴보고 대응 방안, 대응 기술에는 어떤 것들이 있는지 살펴보고 있습니다. 참고로 무선 기술에서의 보안 기법은 소개하지 않습니다.
[Write Date : 2022.07.27]
[Written by James.yoo]
The purpose is to understand the future technology of the digital society that is changing due to the pandemic society. Among them, the overview, use cases, preparations, and considerations for Cybersecurity Mesh listed in Garter TOP 10 were considered.
If you want to know the changed society of the future, you should read it.
[Write Date : 2022.1.19]
[Written by James.yoo]
You must have come across the term metaverse a lot.
In order to do business through the metaverse in the future,
Please take a look at the same content.
It would be good to think about the security, privacy, and stability of Metaverse.
메타버스라는 용어를 많이 접해보셨을 겁니다.
앞으로의 메타버스를 통한 비지니스를 하기위해 다음과
같은 내용을 꼭 살펴보시길 바랍니다.
메타버스의 보안, 개인정보, 안정성에 대한 고민을 꼭 하시면 좋을거 같습니다.
[4th revolution] new technology security education material] android security...james yoo
Interest in mobile security is increasing due to the development of the future environment. Through the diagnostic criteria of mobile security, we have made the diagnostic case for beginners to study and study. I hope it helps many people.
In the era of the 4th industrial revolution, the mobile era is approaching. Therefore, when open banking is activated, those who research security and IT need basic knowledge to conduct a mobile diagnosis. That's why we basically want to share an environment that can be diagnosed without a smartphone.
스테가노그래피(Steganography)는 데이터 은폐 기술 중 하나이며, 데이터를 다른 데이터에 삽입하는 기술 혹은 그 연구를 가리킨다. 스테가노 그래피 실습을 통해 좀더 초보자의 이해를 돕기위해 작성하였습니다.
Steganography is one of the data concealment techniques, and refers to the technique of inserting data into other data or its research.
It was written to help beginner's understanding more through steganography practice.
3년전에 서울지역내의 모 구청에서 발표했던 자료 입니다.
시간이 어느정도 지났지만, 유용한 자료가 되실거 같아 공개합니다.
그때, 영상이 플레이가 안되어 연기를 한 기억이 아직도 생생하네요.
반응은 정말 대박~~~ 이였죠...
여러분도 만들어 보시길.....
참고로, 그 장표는 없습니다.
Before 3years, I went to go district office to presented 30 min for office staff members.
after i finished speech, all people was clapping to me.
Thank you, read it.
1. Privacy and Security
in a Hyper-connected world
보안연구실 이사
CISSP KOREA/유정훈
james.yoo@boanin.com
2. Before beginning
• How Safe Is the Future World?
(https://www.youtube.com/watch?v=4NXpEUFO_6o)출처:enewsTV
쿠팡, 배달의민족, 업비트, 코인원, 마켓
컬리, 푹(POOQ), 야놀자, 다방, 나이키
등 주요 온라인 서비스가 모두 마비
➔ 장애 원인은
A사의‘DNS 설정 오류’
[참고]: 도메인 등록은 효력이
발생하려면 24~48 시간소요
22일 AWS의 클라우드
서비스인 아마존 웹서비
스(AWS)의 장애로 인해
3. Agenda
• Hyperconnected world
• Main Control unit
• Problems through Future Technology
• 10 critical security threats in 2018
• Future Considerations
4. Hyper-connected world
• hyperconnected world is driven by the next generation of the Internet
of Things (IoT). The number of things connected to the Internet will
likely reach 50 billion or more in 2020. [ref. World Economic Forum]
5. Main Control unit
• What is the key device of modern society?
출처:SK인사이트
Smartphones are no longer just
a device, but a carry-on bomb.
6. Why is the problem in the future society?
The most important
element of future society is
personal information and
security.
7. Problems through Future Technology (1/2)
• 모든 중요 디바이스는 항시 연결되어 있음
• 인터넷이 빠를수록 정보를 빠른속도로 받아 볼 수 있
지만 멀웨어는 계속 변모 하고 있음 -> 모바일 멀웨어 증가
※ 참고: securitysales기사에 따르면, 기존 멀웨어변종 43%증가, 신규 멀웨어 32%증가
• 기술의 발전에 의해 새로운 프로그램 언어로 인해
점검자 입장에서 보안 테스팅 점검 방식도 어려워 짐
-> 과거의 지식으로는 수행 불가능
• 환경은 빠르게 변화되고 있지만, 보안관점과 절차에
있어서는 보안설계가 되어 있지 않거나 그대로 사용
• 미래기술은 파워풀하고 쉽게 개발되고 빨라졌으므로
패스워드도 주기적으로 변경이 필요한 시점
8. Problems through Future Technology (2/3)
• 자율 주행카 시대가 빠른 속도로 다가옴
=> 각종 IOT 센서 디바이스 : 블루투스 공격, 스푸핑공격 가능
• 스마트폰을 이용한 IoT 컨트롤러
- 악성코드 주입을 통해 스마트 공장 등을 마비시킴
• 공급망 보안 이슈
- Kaspersky – 자사 소프트웨어를 통한 민감정보 유출
- Google Store – 모바일 앱 을 통한 악성코드 주입
• 스케줄링을 통한 기관/기업내의 PMS 시스템 된다면
어떻게 될까? (예약 배치가 설정된 환경)
9. Problems through Future Technology (3/3)
• 관심만 가지만 어둠의 통로가 쉽게 접근 할수 있음
(Darkweb, Shodan, Censys 등)
• 다양한 Unit 을 통한 의료정보, 금융정보 등을 해킹
할수 있음 – 생명위험, 파산
• 기관/기업/가정 내의 예산 절약 또는 익숙함으로 인해
기존 제품을 오랜기간 사용
→ 오래된 가전제품과 보안 장비도 수년간 동작중
(냉장고 25년, 자동차 20년, 모 증권회사 방화벽 20년, CCTV 15년)
• 오픈소스 API는 과연 안전할까? (GItHub, Sourceforge 등)
10. 10 critical security threats in 2018 (1/3)
출처: https://www.synopsys.com
1. 데이터 유출
- 클라우드 고객에게 가장
중요한 관심사는 데이터 유출
2. 인재에 의한 오류
- 클라우드 보안 사고는
2020년까지는 95%로가
고객사의 실수로 발생 예상
3. 무백업으로 인한 데이터 손실
- 사고 재해는 데이터를 백업 할
의지가 없는 한 고객 데이터의
영구적인 손실 발생
-
11. 10 critical security threats in 2018 (2/3)
출처: https://www.synopsys.com
4. 내부자 위협
- 최근 조사에 따르면,
내부자 위협이 53%
5. DDOS 공격
- DDOS 공격을 통한
클라우드 고객 및 공급업체에
중대한 위험 증가
(명성손상, 고객데이터노출 포함 등)
6. 불안전한 API
- 일명 “현관문”의 성격으로,
API는 공격자의 초기 진입 점
=> 즉, 보안의 약점 요소임.
-
12. 10 critical security threats in 2018 (3/3)
출처: https://www.synopsys.com
7. 익스플로잇
- 클로우드 관점의 제로데이 공격
8. 계정 하이제킹
- 클라우드 서비스의 인증 탈취
* 훔친 인증 정보를 사용해서 클라우드
컴퓨팅 서비스의 중대한 영역에 접근,
* 해당 서비스의 기밀성과 무결성,
가용성 훼손
9. APT
- 시스템 침투를 통한 데이터 유출
-
10. 멜트다운과 스펙터
- 멜트다운: 공격자가 운영체제권한
영역을 훔쳐 볼 수 있는 취약점
- 스펙터는 공격자가 사용자의
중요정보를 훔쳐보는 취약점
13. Future Considerations
• 환경 변화와 조직의 문화 이해 필요(법, 기술 등)
• 지속적인 스킬(다양한 신기술) 과 프로그램 공부 필요
• Security By Design을 고려 필요
• 실무자를 의한 인식제고 교육 필요
• PSA 훈련 필요
(Problem Solving Approach = 문제 해결법)
• 공급망 보안 대책과 이상징후 모니터링 구축 고려
• 자사내 오픈소스 프로그램 점검 필요