Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

[INFOREVER] 시큐리티 프레임웍 #6

1,523 views

Published on

[INFOREVER] 시큐리티 프레임웍 #6

  • Be the first to comment

  • Be the first to like this

[INFOREVER] 시큐리티 프레임웍 #6

  1. 1. Contents Security -0- ㈜ 인포레버컨설팅 교육사업본부
  2. 2. 10-1. 스팸방지기술 Preview 항목 상세내역 개요 원치 않는 통신에 대한 거부방안 기출여부 71 관련KeyWord 기술적/제도적 대응방안 추천사이트 기술발전 개별솔루션 대응제도에 기반한 사업자간 협력체계 RoadMap 기타 -1- ㈜ 인포레버컨설팅 교육사업본부
  3. 3. Spam 방지기술 개요 – 스팸: 수신자가 원치 않는 메일/메시지, 기타 컨텐츠의 일방적 발송행위 – 확산사유: 송신저비용, 수신자획득비용 저렴, 메일의존도 증가 – 문제점: 네트워크 부하, 시간/비용 허비, 정상활동 피해 스팸 유형 – 중계방식별: 직접, 중계 – 내용별: 광고, 장난, 사기… – 형식별: 메신저, 메일, 문자, 팝업, 전화 등… 기술적 대응방안 – 발신자 차단: IP, URL, ID… – 메시지 필터링: 제목, 본문 – 인공지능: 스팸 패턴 학습 후 이를 통한 필터링 – 암호화 우표: 전자우표 검증 제도적 대응방안 – 메일헤더 의무화, 미성년전용 메일ID, 온라인우표제 (대량발송 시 구매), 벌금/ 단속(발송1천만원 가중처벌) – SPF(Sender Policy Framework): 발신 URL과 실제 URL의 비교 – 유동 IP 발송금지 – OPT-IN, OPT-OUT – 대부분 사용자 신고에 의지하여 실효성이 떨어짐, 외국 메일서버 이용 시 우회 가능 -2- ㈜ 인포레버컨설팅 교육사업본부
  4. 4. Spam 방지기술 운영상의 방지대책 – 관리자: Spam House이용, Relay설정여부 감시, 계정관리, 메일 전송량 제한 등 – 사용자: 스팸신고, 게시판 글 쓰기 유의(메일정보 노출) 향후 발전된 스팸차단을 위한 보안 주체별 역할 분담 방안 – 정부: 메일인프라 재설계, 해외표준 연계, Spam관련 벌금의 포상금화 – ISP: 스팸차단 GW 설치 (특히 해외: 신인도 하락, Black List 등록 우려) – 기업: CERT활동, 시스템 도입, 프로세스화 – 개인: 스팸 신고, 가입 시 메일주소 주의 -3- ㈜ 인포레버컨설팅 교육사업본부
  5. 5. 10-2. SPF Preview 항목 상세내역 개요 전송여부를 발신자에게 확인하여 스팸을 방지하는 기술체계 기출여부 관련KeyWord DNS TXT Field 추천사이트 기술발전 RoadMap 기타 -4- ㈜ 인포레버컨설팅 교육사업본부
  6. 6. SPF(Sender Policy Framework)  개념 – 전송여부를 발신자에게 확인하여 스팸을 방지하는 기술체계 – 발신자 위조메일대처 가능 – SMTP 취약성(검증경로가 없음)에 대해 일정부분 대처 가능 – 비용대비 효과가 매우 좋음  동작 개념도 2. 거기서 보낸 3. 우리 아닌데? 메일 확실해? 4. 스팸 차단!!! 1. 스팸 메일 발송 -5- ㈜ 인포레버컨설팅 교육사업본부
  7. 7. SPF(Sender Policy Framework)  SPF에 대한 주체별 준비 사항 – 메일 발송업체: DNS Record SPF정보 삽입 – 메일 Forwarding/발송대행 업체: Mail From에 자신의 SPF정보 삽입 – 메일수신업체: SPF확인절차 구현, White List구현(발송 대행업체, 포워딩 업체 등)  SPF의 보안위협 – 악성 SPF Record 출판: DoS공격 효과 (메일의 특성 상 현실에서 큰 위협사례는 아직 없음)  SPF 보안위협 대응방안 – 메일당 DNS Lookup 제한 – DoS, DDoS 방지장치 도입  효율적 SPF도입을 위한 고려사항 – 포털 외 기타업체도 의무화 확대 – Customizing된 Open Source 메일 서버 배포 -6- ㈜ 인포레버컨설팅 교육사업본부
  8. 8. 10-3. 디지털 컨텐츠 보호기술 유형 Preview 항목 상세내역 개요 컨텐츠 보호 및 관리기술 컴포넌트 소개 기출여부 74, 75, 83, 84, 91 관련KeyWord 추천사이트 기술발전 국제/부문별 표준CP별 표준 RoadMap 기타 -7- ㈜ 인포레버컨설팅 교육사업본부
  9. 9. Digital Contents 보호기술의 유형 INDECS DOI •메터데이터 등록/검색 •DC 검색 URL제공 User DRM Digital Contents •인증/과금/관리 •컨텐츠 보호방안 제공 Watermark 사용자 제어 기술 – 컨텐츠 식별체계: 체계적 관리/이용 (DOI) – 메타 데이터: 컨텐츠 요약정보 (INDECS) – 권리 표현기술: 컨텐츠권리 규칙 (REL-XrML) 저작권 보호 기술 – 암호화: RSA, Elgamel, Seed, Secure Container(암호화된 컨텐츠 구조표현) – 위변조 방지: Temper-Proof, Temper-Resistance – Watermarking: 가시/비가시 영역에 정보 삽입 (Finger Printing은 소비자 정보 삽입) -8- ㈜ 인포레버컨설팅 교육사업본부
  10. 10. 10-4. DRM Preview 항목 상세내역 개요 디지털컨텐츠의 유통과정에서의 저작권 보호 방안 기출여부 74, 83 관련KeyWord Clearing House, 배포방식 추천사이트 기술발전 국제/부문별 표준CP별 표준 RoadMap 기타 -9- ㈜ 인포레버컨설팅 교육사업본부
  11. 11. DRM (Digital Right Management)  개념 – 디지털 컨텐츠의 생성에서 이용까지 전 과정에서 적법성이 유지되어 저작권을 보호하는 기술 – 디지털의 복제특성 때문에 더욱 필요, NW도입으로 활성화  DRM의 유통 개념도 – 컨텐츠의 생성에서 소멸까지 전체 프로세스를 관할 CP CD Customer •Contents •Contents •사용정보 •컨텐츠 사용내역 •Contents 관리정보 •라이센스 요청 •라이센스 발급 Clearing House  DRM의 기능 – 불법유통/복제 방지, 저작권 인식/인증 – 전송/제한/추적 – Digital Contents 식별체계, 보안/과금 - 10 - ㈜ 인포레버컨설팅 교육사업본부
  12. 12. DRM (Digital Right Management)  DRM의 다양한 컨텐츠 배포방식 – Forward Look: 다운된 Contents의 타 Device이용불가 – Combined Delivery: 1회 미리 보기 – Separate Delivery: 컨텐츠/사용권한의 분리 후 송신 – Super Distribution: 라이센스 기반 컨텐츠, 수신자의 고유속성으로 라이센스 암호화  향후 전망 – MPEG21의 DID (Digital Item Declaration)로 통일 전망(표준화 자체는 부진함) – 문서보안, e-Learning, DMB, 음악서비스, UCC… – Domain단위 적용으로 발전예정, Value Chain전체 적용은 회의적 - 11 - ㈜ 인포레버컨설팅 교육사업본부
  13. 13. DRM (Digital Right Management)  DRM의 기능개념도 ③ Content Packaging ④ Content Package (EK(C)) Content Provider Content Ser ver Workstation ② Sym . Key (K) ① Content (C) Info ⑥ Purchase Info ⑦ Download (EK(C)) ⑤ Purchase & Paym ent ⑨ License (K, Right Description) EK(C) DRM Ser ver User A PC User B PC ⑧ User & H/ W Authentication ⑩ Decr yption & Viewing - 12 - ㈜ 인포레버컨설팅 교육사업본부
  14. 14. 10-5. DOI Preview 항목 상세내역 개요 컨텐츠 등록관리번호 체계 기출여부 74, 83 관련KeyWord UCI, COI 추천사이트 http://dckorea.co.kr/tt/39 기술발전 RoadMap 기타 - 13 - ㈜ 인포레버컨설팅 교육사업본부
  15. 15. DOI (Digital Object Identifier: ISO/DIS 26324)  개념 – 미국 출판업계와 CNRI가 주축이 되어 만든 URN기반 전자출판물 주소관리 체계 – International DOI Foundation에서 관리 (Agency 4000개, 5000만+α Contents) – 디지털 컨텐츠의 고유식별체계(영구접근성 확보), 위치추적 접근기술 (URL의 적정성 문제에서 출발) – 논문의 Cross Reference Service가 DOI의 RA임  DOI의 동작 개념도 등록 관리기관 1.등록 2.DOI 3.URL 등록 4.요청 사용자 기관 5.이용  식별체계 10.802 / ISBN-471 /3218888888 http://dx.doi.org/10.1000/182 Prefix Sufix 등록기관번호+등록관리기관번호 컨텐츠 고유 번호 CNRI: Corporation for National Research Initiatives - 14 - ㈜ 인포레버컨설팅 교육사업본부
  16. 16. DOI (Digital Object Identifier)  국가 URN (Uniform Resource Name)체계인 UCI (Universal Contents Identifier) – URN: URL로 Digital Object표현, IETF 제정 – UCI: (구)전산원이 개발한 국가 URN 식별 체계 – 필요성: 독자정책, 산업활성화 등록관리기관 UCI센터 응용서비스 •국가지식DB: KEMS •메타표준화 •Digital Contents Mall •DTV컨텐츠: KBS •Registry •지식자원 검색 •Mobile: SKT, KTF •운영정책 부가기능 •DRM, 전자결재, 거래인증  UCI VS. COI – COI (Contents Object Identifier): 문체부(구 문광부)에서 개발한 URN식별체계로 UCI+확장체계의 구조 – 저작권 등 문화 컨텐츠에 대한 내용이 추가됨, 국제 표준은 아님 – 2008년 UCI로 통합 (현재 약 5,000만 건 등록) – 개선점: 저작권 관리기능, 콘텐츠 간 연계서비스 창출, 지원체계 - 15 - ㈜ 인포레버컨설팅 교육사업본부
  17. 17. 10-6. INDECS Preview 항목 상세내역 개요 전자상거래 메타데이터 모델 기출여부 83 관련KeyWord RDF, semantic 추천사이트 http://www.doi.org/topics/indecs/indecs_framework_2000.pdf 기술발전 RoadMap 기타 - 16 - ㈜ 인포레버컨설팅 교육사업본부
  18. 18. INDECS (Interoperability of Data in e-Commerce System)  개념 – 전자상거래에서 정보교환을 지원하는 메타데이터 모델(메타데이터 프레임워크) – EC와 음악/저작권/출판/작가/도서관 등 단체들의 공동 출자로 진행된 프로젝트(2000년 종료) – DOI와 호환가능한 메타데이터구조 제공, Semantic Interoperability에 초점  INDECS의 특징 – RDF화: 유통, 저작권 등 실제 운영과정 자체를 RDF화 – 이벤트 중심의 상거래 관점으로 메타데이터 표현(생성, 유통, 이전, 이용, 획득 등)  활용개념도  INDECS의 정의 Semantic – Element: 메타데이터 아이템 – Entity: 식별되는 대상으며 3 View로 존재, Entity마다 attribute 소유 – Attribute: Entity의 특성, Entity 소유속성 – Value: Attribute의 Instance – iid: INDECS Framework내에서 Element에 부여된 Unique Identifier – Element Role: Entity/Attribute/Type/Value로 쓰일 수 있음. - 17 - ㈜ 인포레버컨설팅 교육사업본부
  19. 19. INDECS (Interoperability of Data in e-Commerce System)  INDECS Framework의 주요 기본개념 – INDECS Semantic – Relations: Entity간의 관계 – Roles: Agent, Input, Output, Context – Event: Creating, Transforming, Using… – Parties: Human, Animal, Plant, Organization, Ensemble(Group of Creators)  INDECS의 역할 – 상거래 Transaction 거래내역 확인, 자동화 기초 – 한국 DB진흥센터에 DOI+INDECS적용 - 18 - ㈜ 인포레버컨설팅 교육사업본부
  20. 20. INDECS - Views of entityPeople make stuff. People use stuff. People do deals about stuff. • General View • Commerce View-1 • Commerce View-2 •Legal View - 19 - ㈜ 인포레버컨설팅 교육사업본부
  21. 21. 10-7. Watermark Preview 항목 상세내역 제거 및 인지하기 어려운 방법으로 컨텐츠 소유자의 사인을 컨텐츠에 삽입 개요 하는 방법 기출여부 69, 74, 84 관련KeyWord Watermark의 종류 http://kor.markany.com/product/data/ppt-MAIM2.pdf http://scien.stanford.edu/pages/labsite/2001/ee368/projects2001/dropbox/project06/ 추천사이트 http://ki-it.or.kr/paper/paper_01_02/13. (황재호) HVS를 이용한 디지털 영상의 워터마킹 기법.pdf sadespair.springnote.com/pages/329267/attachments/2400331 기술발전 가시적비가시적 RoadMap 기타 Finger Print와의 차이점 - 20 - ㈜ 인포레버컨설팅 교육사업본부
  22. 22. Watermark Watermark의 개념 – 제거 및 인지하기 어려운 방법으로 컨텐츠 소유자의 사인을 컨텐츠에 삽입하는 방법 Watermark 요구사항 – 비인지성(Imperceptibility): 소비자 side 요구사항, 삽입전과 후의 품질 유지 – 강인성(Robustness): 공급자 side요구사항, 공격이 있더라도 검출 기능이 유지되야 하며 제거 시는 심 각한 품질저하가 일어나야 함. (압축/포멧변환/이펙트/회전/크기변환/크로핑 등등….) – 삽입량(Capacity): 사용자, 공급자 정보 등 필요, 적은 삽입량은 강인성 유지가 힘 듬. – 검출률(False Negative/Positive Alarm): 가급적 작게 설계 Watermark의 종류 – 인지여부 별: 가시적/비가시적 – 활용도 별(비가시적 data only): • 강성(데이터 파괴 시만 파괴): 소유권 판별 목적에 사용 – Blind: 검출 시 원 컨텐츠 사용 / Non-Blind: 검출 시 원 컨텐츠 사용하지 않음 – Public: 누구나 검출 가능 / Private: 권한 소유자만 검출 가능 • 연성(작은 변경에도 파괴): 원본 확인 필요 시 사용 – 삽입 방식 별 • 공간영역(Spatial Domain) – LSB기법: Pixel의 Luminance value의 LSB(Least Significant Value)에 삽입, 잡음/압축에 약함 – Bit Plane기법: 잡음과 같은 형태를 가지게 되어 시각에 덜 민감한 하위 비트 플래인에 영상 삽입 • 주파수변환: 원본/워터마크아나로그 변환 후 삽입 (고속 퓨리에 알고리즘-FFT, 이산코사인 변화법-DCT 등 이용) • 기타 압축영역/비압축영역, 전체영역/블록영역 등 분류방법 다양함 - 21 - ㈜ 인포레버컨설팅 교육사업본부
  23. 23. Watermark Watermark의 입력과 검출 Process Watermark 공격방안 – 단순공격: 영상전체 조작 DoS – 검출불능 공격: 워터마크와 검출기 사이의 상관관계 제거 – 모호성 공격: 위조 워터마크 삽입 – 제거공격: 워터마크 이전 이미지 추측/제거 활용방안 & 향후 방향 – 저작권 보호, 불법복제 추적, 방송 모니터링(광고시간 준수 등) – 무결성유지, 위/변조 대응 – Dual watermarking / Dual Finger Printing - 22 - ㈜ 인포레버컨설팅 교육사업본부
  24. 24. Watermark - Steganography 개념 – 워터마크 기법을 이용한 정보은닉 – Cover image속에 목적 이미지를 숨겨서 전송하는 방법 - 23 - ㈜ 인포레버컨설팅 교육사업본부
  25. 25. [참조] Watermark 삽입방식 별 변환방법• FFT(Fast Fourier Transform): Audio사용, 시간영역에서 주파 수 영역으로 변환• DCT(Discrete Cosine Transform): 영상사용, 공간영역신호를 블럭단위 주파수 영역정보로 변환• DWT(Discrete Wavelet Transform): 입력 신호를 시간/진동수 측면에서 양측 모두 좋은 신호로 분해 - 24 - ㈜ 인포레버컨설팅 교육사업본부
  26. 26. 10-8. MPEG21 Preview 항목 상세내역 개요 컨텐츠 가치사슬 체계 프레임워크 기출여부 관련KeyWord http://ettrends.etri.re.kr/PDFData/17-6_163_172.pdf 추천사이트 http://mpeg.chiariglione.org/standards/mpeg-21/mpeg-21.htm http://manifesto.dmpf.org/dmm.htm 기술발전 RoadMap 기타 - 25 - ㈜ 인포레버컨설팅 교육사업본부
  27. 27. MPEG21 개념 – 멀티미디어 컨텐츠의 생성/전달/소비/보호/관리 등 가치사슬 전과정의 인프라가 통합/체계화 될 수 있는 Framework – 상호운영, 투명성, 저작권확보 측면에서 필요 MPEG21 Framework 구조 – 기술서비스: Digital Contents표현, 단말 & 네트워크 – 분배서비스: Digital Contents아이템 정의, Digital Contents 관리/운영 – 금융서비스: 지적 자산 관리/보호 – Directory 서비스: Digital Contents 아이템 인식/기술 – 정규적 서비스: 이벤트 리포팅 MPEG21 Framework 요소기술 – DID (Digital Item Declaration): 가급적 많은 포멧의 수용 및 상호연동 가능성 고려, XML기반 표현법 및 스키마를 근간으로 발전시킬 예정 – DII&D(Identification & Description): ISBN/DOI 등 기존 시스템을 포괄하는 국제표준 고려, 메타 데이터는 RFD, 더블린 코어, MPEG-7 등 다양한 방식 사용 가능 – Contents Representation: 매체 부호화 표준, MPEG1~2/SMIL/VRML/HTML 등 기존 수단 사용 – Digital Item Mgt. & Usage: 생성/검색/접근/저장/전송의 Interface와 규약 – IPMP(Intellectual Property Mgt. & Protection): DRM, XrML기반 표준화(사용권, 사용조건 기술) – 단말기 & 통신망: MPEG-DMIF(Delivery Multimedia Framework), DIA(Adaptation)-사용자 환경정보 표 준화 – 이벤트 리포팅: 보고를 위한 사건정보, 측정단위, 인터페이스 표준화 - 26 - ㈜ 인포레버컨설팅 교육사업본부
  28. 28. MPEG21 MPEG21의 근래 활동 – DMM (Digital Multimedia Menifesto): 디지털 멀티미디어 환경 문제점 전반에 대한 반성 • 기존 압축중심 접근의 문제점 • 산업화 사용상의 문제점 • DMP 선행작업 – DMP (Digital Media Project): DMM에 의해 출발, 사용편의성/정책과 기술의 조화에 초점 • DRM은 독자표준으로 진행하고 나중에 필요부분만 연동하는 것이 대세이기 때문에 General Framework이 동작할지는 미지수임 - 27 - ㈜ 인포레버컨설팅 교육사업본부
  29. 29. 10-9. CAS Preview 항목 상세내역 개요 가입자별 제한방송 송출 솔루션 기출여부 관련KeyWord EMM, ECM, CW, PoD 추천사이트 기술발전 Broadcasting용 CAS 양방향용 CASDRM통합 RoadMap 기타 - 28 - ㈜ 인포레버컨설팅 교육사업본부
  30. 30. CAS (Conditional Access System)  개념 – 스크램블링 기법을 이용, 시청자격이 있는 가입자에 한하여 선별적으로 시청권한을 부여해 주는 체계 – 방송(Broadcasting)기반 솔루션, 양방향(VOD)기반은 DRM이 대표적 – SP의 수익기반 제공  구성도 및 구성요소 – EMM (Entitlement Management Message) EMM/ECM비교 • 전체 가입자들의 가입현황 데이터 • 예> 조현혁은 확장팩 1에 가입되어 있음. – ECM (Entitlement Control Message) • 수신조건 정보, CW Seed • 예> 본 월드컵 실황은 확장팩2, 3, 4에 한하여 시청 가능함 CW Seed스마트카드CW – CW (Control Word) • CW Seed가 스마트카드를 거치면 CW로 변환 • 컨텐츠 Scrambling, Descrambling Key – PoD (Point of Deployment): 수신제한카드 적용위치 – 스마트카드: 신원증명, CW생산 컨텐츠  CAS의 전망 Descrambling – 전망: 현재는 DRM과 분리, 향후 단일화 예상(좁은 의미의 DRM에 해당) – 미국 Open Cable 정책으로 수출기회 증가(CAS, POD 분리) – 사이멀 크래프트(복수 CAS) 전환국 증가로 수출기회 증가` - 29 - ㈜ 인포레버컨설팅 교육사업본부
  31. 31. CAS(Conditional Access System) - 30 - ㈜ 인포레버컨설팅 교육사업본부
  32. 32. 예상문제 개인정보보호 관련 최근 개정된 법률 및 정부의 움직임, 서비스 업체의 준비대책 개인정보보호법이 발효될 경우 파급효과나 부작용 DDoS 발생현황 및 실질적 대응방안 VoIP보안 DB보안 (개인정보 관련) NAC의 기반기술 및 한계점 Ubiquitous Security (미래 보안기술에 대한 시각점검 측면) ISMS의 한계 (인터넷 쇼핑몰 A의 케이스) SQL Injection (최근 가장 보편적이고 파급효과가 큰 해킹기법) ESM, TMS, RMS의 차이점 인식 및 상호 연동방안 DLP - 31 - ㈜ 인포레버컨설팅 교육사업본부

×