DaDa

○ GDPR은 자연인(natural person)에 관한 기본권과 자유 및 특히 개인정보보호에 대한 권리를 보호하고, EU 역내에서 개인정보의 자유로운 이동을 보장하는 것을 목적으로 함 ○ GDPR은 전문(Recital) 173개 항 + 본문 11장(Chapter) 99개 조항(Article)으로 이루어져 있음 본문 11장(Chapter) 제1장 일반 규정(General Provisions) 제2장 원칙(Principles) 제3장 정보주체의 권리(Rights of the Data Subject) 제4장 컨트롤러와 프로세서(Controller and Processor) 제5장 제3국 및 국제기구로의 개인정보 이전(Transfer of Personal Data to Third Countries of Int..

(중략) 이번 개정안의 주요 내용은 10개 정도, 즉 ①개인정보 전송요구권 도입, ②동의제도 개선, ③자동화된 결정에 대한 정보주체의 권리 도입, ④정보통신서비스 특례규정 정비, ⑤ 이동형 영상기기 개인영상정보 보호 근거 마련, ⑥개인정보 국외이전 방식 다양화와 중지 명령권 신설, ⑦형벌 중심의 제재를 경제제재 중심으로 전환, ⑧개인정보 자율보호 활성화, ⑨분쟁조정 관련 사실조사제 도입, ⑩개인정보 침해 조사 및 제재 기능 강화를 들 수 있다. (중략) ** 기사 전문보기 **

영향평가 사업은 사전준비 단계, 수행단계, 이행단계 등 3단계로 구성 영향평가 사전준비 단계 : 영향평가 사업계획을 수립하여 신규 또는 변경 사업 추진 시 타당성 검토 후 조직 내 영향평가 협력 조직 구성 및 영향평가 수행 방향을 수립하여야 함. 이후 필요한 예산 및 지원 인력 등의 자원을 확보하고 평가기관을 선정 -> 선정된 평가기관이 포함된 영향평가팀을 구성 영향평가 수행단계 : 선정된 평가기관이 개인정보 침해요인을 분석하고 개선계획을 수립하여 영향평가서를 작성 이행 단계 : 영향평가서의 침해요인에 대한 개선 계획을 반영하고 이를 점검

* 정량적 분석 - 위험을 금액으로 산정 가능 시 - 성능 평가 용이, 객관적 평가 기준 제공 - 계산 복잡, 비용 소요, 수작업 시 신뢰도는 벤더에 의존 (1) 수학공식법 > 위협의 발생빈도를 식으로 계산해 위험 예상 > 위험을 간결하게 표현 가능 > 기대손실을 추정하는 자료의 양이 적음 (2) 과거자료분석법 > 과거의 자료를 통해 위험 발생 가능성 예측 > 과거자료 많을수록 정확도 상승 > 발생빈도 낮을 경우 적용 어려움 (3) 확률분포법 > 미지의 사건 추정 시 확률적 편차 이용 > 최저, 보통, 최고의 단계로 위험평가 예측, 정확성 낮음 (4) 점수법 > 위험발생 요인에 가중치 두어 위험 추정, 분석 빠르나 정확도 낮음 (5) 연간예상손실 > 단일예상손실(SLE) = 자산가치 * 노출계수 > 연간..

(1) 물리적인 취약점 - 무선AP의 외부 노출 : 비인가자에 의한 장비의 파손, 리셋을 통한 설정 초기화 등 - 무선 단말기의 분실위험 및 정보유출 : 분실 시 저장 데이터 유출 및 무선랜 내부 보안설정이 함께 유출될 가능성 (2) 기술적인 취약점 - 암호화하지 않은 통신 데이터에 대한 도청 : 공기를 전송매체로 하여 브로드캐스트하는 특성 -> 도청/스니핑에 매우 취약 - 무선전파 전송 장비에 대한 서비스 거부 공격(DoS) : 무선랜 무력화 or 통신에 영향 - 비인증 AP(Rogue AP)를 통한 전송 데이터 수집 : 불법적으로 무선 AP 설치해 사용자 개인정보 등 전송 데이터 수집 (3) 관리적인 취약점 - 무선AP 장비에 대한 관리 미흡 : 관리 소홀로 장비 파손/도난 - 사용자의 보안의식 부족..

- SSID(Service Set Identifier) : 무선랜을 구분하기 위한 32byte 이름 - BSS(Basic Service Set) : 특성 무선AP와 AP에 연결된 스테이션이 결합된 논리적인 망 - BSSID(Basic Service Set Identifier) : BSS를 식별하기 위한 ID -> 무선AP의 48bit MAC 주소 - ESS(Extended Service Set) : 여러 BSS에 의해 구성된 네트워크 - ESSID(Extended Service Set Identifier) : ESS를 식별하기 위한 ID - DS(Distribution System) : 무선AP가 연결된 유선 네트워크를 의미

(1) 공격 방식 : 출발지 IP를 공격 대상의 IP로 위조(IP Spoofing)하여 다수의 반사서버(Reflector)로 요청정보를 전송 -> 공격대상은 반사서버로부터 다수의 응답을 받아 서비스 거부 상태에 빠짐 (2) 유형 - TCP의 3way-handshake 취약점 이용 - ICMP 프로토콜의 Echo Request와 Echo Response 이용 - UDP 프로토콜 서비스를 제공하는 서버를 반사서버로 이용 (2-1) UDP 서비스를 이용한 DRDoS 공격 유형 - DNS 증폭 DRDoS 공격 : DNS서버(반사서버)에 많은 양의 레코드 정보를 요구하는 DNS 질의타입(ANY, TXT 등)을 요청하여 공격대상에게 대량의 트래픽(증폭)을 유발 - NTP 증폭 DRDoS 공격 : NTP서버(반사서버..

(1) UDP/ICMP Flooding : 공격자는 다량의 UDP/ICMP 패킷을 서버로 전송, 서버가 보유한 네트워크 대역폭을 가득 채워 다른 정상적인 클라이언트의 접속을 원활하지 못하도록 유발 (2) DNS Query Flooding : 공격자는 UDP 프로토콜 기반의 서비스를 제공하는 DNS에 대해 DNS 쿼리 데이터를 다량으로 서버에 전송하여 DNS의 정상적인 서비스를 방해 (3) TCP SYN Flooding ⭐️ - 공격자는 다량의 SYN 패킷을 서버로 전달하여 서버의 대기큐(backlog queue)를 가득 채워 새로운 클라이언트의 연결요청을 무시하도록 함 * netstat 명령어로 공격대상측 소켓 상태 확인 시, SYN_RECV 상태의 tcp 소켓을 다수 확인 가능 (3-1) TCP SYN..

(1) 개요 - 공격 대상 시스템이 정상적인 서비스를 할 수 없도록 만드는 공격 - 유형 : 파괴 공격, 시스템 자원 소진 공격, 네트워크 자원 소진 공격 (2) Ping Of Death Attack - ICMP 패킷(ping)을 정상적인 크기보다 아주 크게 만들어 전송 -> MTU에 의해 다수의 IP 단편화 발생 - 수신측에서는 단편화된 패킷을 처리하는 과정에서 많은 부하 발생 or 재조합 버퍼의 오버플로우 발생 - 대응책 : 분할된 ICMP 패킷을 탐지 or 반복적으로 들어오는 일정 수 이상의 ICMP 패킷 무시 (3) Land Attack - 출발지 IP와 목적지 IP가 같은 패킷 -> 시스템 가용성 침해 - 대응책 : 출발지와 목적지가 같으면 무조건 drop(방화벽) (4) Smurf Attack..

(1) TCP Connect(Open) 스캔 - connect() 함수 사용 -> TCP 연결 설정 과정을 완전하게 수행 - 결과 정확하지만 시스템 로그 남음* 방화벽에 의해 필터링 될 경우, 메시지 받지 못하거나 ICMP Unreachable 수신 (2) TCP SYN(Half-Open) 스캔 - TCP 연결 설정 과정을 완벽하게 수행하지 않음 -> 시스템 로그 남지 않음(스텔스 스캔)* 방화벽에 의해 필터링 될 경우, 메시지 받지 못하거나 ICMP Unreachable 수신 (3) TCP FIN/XULL/Xmas 스캔 - TCP Header의 제어비트 사용 => FIN : FIN 제어비트 설정 / NULL : 제어비트를 아무것도 설정하지 않음 / Xmas : FIN, PSH, URG 제어비트 설정 (..