호이대학교병원 보안 구축 및 검증

1. 호이대학교병원
보안 구축 및 검증
ㅎStory팀
김지환, 윤근희, 이상덕, 이상헌

2. 01
Project
02
솔루션 구축
01 정보 수집 및 스
캔
02 취약점 공격
03 DoS
04 웹 해킹
03
모의 해킹
04
After
01 방화벽
02 웹 방화벽
03 IDS
04 VPN IPsec
05 HTTPS 구현
01 팀원 소개
02 주안점
03 구현 기술
04 개발 환경
01 토폴로지
02 체크리스트
03 Q&A

3. 01
Project
01 팀원 소개
02 주안점
03 구현 기술
04 개발 환경

4. 01. 팀원 소개
이름
김지환
이름
윤근희
이름
이상덕
이름
이상헌
| 팀원 소개 | 주안점 | 구현 기술 | 개발 환경 |

5. 02. 주안점 | 팀원 소개 | 주안점 | 구현 기술 | 개발 환경 |
철저한 방화벽 정책 설정을 통한 통제
웹 방화벽을 사용하여 접속량이 많은 웹 사이트를 보호
IPsec을 사용한 통신이 안전한 VPN 구축
모의 해킹을 통한 각 솔루션 검증
Step. 1
▶
Step. 2
▶
Step. 3
▶
Step. 4
▶

6. CA
Sophos
Snort
WAPPLES
Sophos/Pfsense
03. 구현 기술 | 팀원 소개 | 주안점 | 구현 기술 | 개발 환경 |
방화벽 웹 방화벽 IDS VPN HTTPS

7. 04. 개발 환경 | 팀원 소개 | 주안점 | 구현 기술 | 개발 환경 |

8. 02
솔루션 구축
01 방화벽
02 웹 방화벽
03 IDS
04 VPN IPsec
05 HTTPS 구현

9. 01. 방화벽 – 구현 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
▼ Sophos UTM 구현 사진 ▼ Pfsense 구현 사진

10. 01. 방화벽 – 정책 설정 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
▼ Sophos UTM 정책 사진 ▼ Pfsense 정책 사진

11. 02. 웹 방화벽 - 구현 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
◀ WAPPLES 구현 사진

12. 02. 웹 방화벽 – 정책 설정 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
◀ WAPPLES 정책 사진

13. 03. IDS - 구현 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
▼ IDS 실행
▼ IDS 버전 확인
▼ Rule 적용

14. 04. VPN IPsec - 구현 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
▼ VPN 연결 확인 ▼ 본원 행정실과 통신 확인

15. 05. HTTPS 구현 | 방화벽 | 웹 방화벽 | IDS | VPN IPsec | HTTPS 구현 |
◀ Root CA
◀ Sub CA
▼ HTTPS 구현 확인

16. 03
모의 해킹
01 정보 수집 및 스캔
02 취약점 공격
03 DoS
04 웹 해킹

17. 01. 정보 수집 및 스캔 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
가. Host Discovery
보안 구축 전
▼ Kali nmap 사용한 Host Discovery
보안 구축 후
▼ Kali nmap 사용한 Host Discovery

18. 01. 정보 수집 및 스캔 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
나. Port Scan
보안 구축 전
▼ Kali nmap 사용한 Port Scan
보안 구축 후
▼ Kali nmap 사용한 Port Scan

19. 01. 정보 수집 및 스캔 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
다. Service Detection
보안 구축 전
▼ Kali nmap 사용한 Service Detection
보안 구축 후
▼ Kali nmap 사용한 Service Detection

20. 01. 정보 수집 및 스캔 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
라. OS Detection
보안 구축 전
▼ Kali nmap 사용한 OS Detection
보안 구축 후
▼ Kali nmap 사용한 OS Detection

21. 02. 취약점 공격 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
보안 구축 전
▼ Nessus 취약점 스캔
▼ Exploit
보안 구축 후
▼ Nessus 취약점 스캔

22. 03. DoS | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
가. TCP SYN Flooding
▼ Kali hping3 툴 사용한 공격
▼ WireShark 이용한 패킷 확인
보안 구축 전
▼ IDS 탐지 확인
보안 구축 후

23. 03. DoS | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
나. UDP Flooding
▼ Kali 에서 UDP Flooding 공격
▼ WireShark 이용한 패킷 확인
보안 구축 전
▼ IDS 탐지 확인
보안 구축 후

24. 03. DoS | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
다. ICMP Flooding
▼ Kali hping3 툴 사용한 공격
▼ WireShark 이용한 패킷 확인
보안 구축 전
▼ IDS 탐지 확인
보안 구축 후

25. 03. DoS | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
라. Slowloris
▼ Kali Slowhttptest 툴 사용한 공격
▼ WireShark 이용한 패킷 확인
보안 구축 전
▼ IDS 탐지 확인
보안 구축 후

26. 04. 웹 해킹 – 보안 구축 전 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
가. SQL Injection
▼ SQL Injection 공격 ▼ SQL Injection 공격 성공

27. 04. 웹 해킹 – 보안 구축 후 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
가. SQL Injection
▼ SQL Injection 공격 ▼ SQL Injection 공격 실패

28. 04. 웹 해킹 – 보안 구축 전 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
나. XSS
▼ XSS 공격 ▼ XSS 공격 성공

29. 04. 웹 해킹 – 보안 구축 후 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
나. XSS
▼ XSS 공격 ▼ XSS 공격 실패

30. 04. 웹 해킹 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
다. File Upload
보안 구축 전 보안 구축 후
▼ 웹 사이트에 악성 파일 업로드 ▼ 악성 파일 업로드 실패

31. 04. 웹 해킹 | 정보 수집 및 스캔 | 취약점 공격 | DoS | 웹 해킹 |
라. Web Shell
보안 구축 전 보안 구축 후
▼ Web Shell 실행 ▼ Web Shell 실행 실패

32. 04
After
01 토폴로지
02 체크리스트
03 Q&A

33. 01. 토폴로지 | 토폴로지 | 체크리스트 | Q&A |

34. 02. 체크리스트 | 토폴로지 | 체크리스트 | Q&A |
점검 항목 비고
패스워드 규칙 준수 양호
DNS 취약점 점검 미흡
/etc/내 중요 파일 소유 권한 점검 양호
사용하지 않는 서비스 비활성화 미흡
특수 권한이 부여된 파일 점검 양호
Before After
Server Check List
점검 항목 비고
패스워드 규칙 준수 양호
DNS 취약점 점검 양호
/etc/내 중요 파일 소유 권한 점검 양호
사용하지 않는 서비스 비활성화 양호
특수 권한이 부여된 파일 점검 양호

35. 02. 체크리스트 | 토폴로지 | 체크리스트 | Q&A |
점검 항목 비고
보안 장비 계정관리 양호
보안 장비 최신 업데이트 양호
보안 장비 로그 관리 양호
최소한의 정책, 서비스만 사용 양호
보안 장비 원격 관리 접근 통제 양호
Session timeout 설정 양호
점검 항목 비고
보안 장비 계정관리 미흡
보안 장비 최신 업데이트 미흡
보안 장비 로그 관리 양호
최소한의 정책, 서비스만 사용 양호
보안 장비 원격 관리 접근 통제 양호
Session timeout 설정 양호
Before After
Security Equipment Check List

36. 02. 체크리스트 | 토폴로지 | 체크리스트 | Q&A |
Before After
Web Check List
점검 항목 비고
운영체제 명령 실행 미흡
SQL Injection 미흡
디렉토리 인덱싱 미흡
XSS 미흡
CSRF 미흡
쿠키 변조 미흡
데이터 평문 전송 미흡
세션 고정 미흡
점검 항목 비고
운영체제 명령 실행 양호
SQL Injection 양호
디렉토리 인덱싱 양호
XSS 양호
CSRF 양호
쿠키 변조 양호
데이터 평문 전송 양호
세션 고정 양호

37. Q&A
감사합니다.