공군 정보보호병 면접 준비하자

2015/03/02 - [ARMY] - 육군/공군 정보보안특기병 지원하기

2015/03/25 - [ARMY] - 공군 정보보호병 면접 준비하자

2015/04/17 - [ARMY] - 공군 정보보호병 면접 후기

면접을 준비하는 과정에서 각종 자료나 면접 질문 예상한거 정리해보자

대전 계명대 제1정문

2015년 4월 2일(1차 합격 발표하고, 딱 8일 준다....)

어떻게 준비해볼까???

삭제

어떻게 진행되는가??

삭제

면접준비 1

Part 1. 지원동기 / 자기소개 / 프로젝트경험 / 등등

Q : 정보보호병이 하는 일?

[삭제처리]

Q : 군대에서 가장 중요하다고 생각되는 것?

[삭제처리]

Q : 자기소개/지원동기

[삭제처리]

Q : 자신의 특기나 장점

[삭제처리]

Q : 동아리 활동같은거 안했는가??

[삭제처리]

Q : 한미 동맹에 대해 어떻게 생각하는가?

[삭제처리]

Q : 프로젝트 참여 경험을 말해보라

[삭제처리]

Q : 애국가 불러봐

면접준비 2

Part 2. 우리나라의 역사(일제 강점기 이후 부터의 역사)

1910년 8월

경술국치조약으로 일제강점기가 시작됨

1945년 8월 15일

일본의 제 2차 세계 대전의 패망으로, 광복을 이룸

이후, 미국과 소련의 신탁통치로 인해 남과 북이 따로 정부를 수립하게 됨

1950년 6월 25일

북한이 먼저 우릴 공격함으로써 6.25전쟁 시작

1953년 7월 27일

휴전

2010년 3월 26일

백령도 앞, 해군의 초계함인 천안함이 북한의 어뢰를 맞고 침몰됨

2010년 11월 23일

서해 연평도의 우리 해병대 기지와 민간인 마을에 북한이 포격을 함

해병대원과 민간인을 포함해 총 4명이 숨짐

면접준비 3

Part 3-1. 기술면접에 대비한 이런저런 내용

OWASP(Open Web Application Security Project)

2004년부터 시작해서 3년마다 가장 심각한 웹 어플리에케이션 보안 위협 10가지를 발표함

(https://www.owasp.org/images/2/2c/OWASP_Top_10_-_2013_Final_-_Korean.pdf)

A1. 인젝션

공격자가 악의적으로 만든 데이터가, 명령어나 쿼리문의 일부분으로 인터프리터로 보내질 때 발생합니다.

이로 인해, 예상치 못한 명령이 실행되거나, 적적한 권한 없이 데이터에 접근이 가능해질 수 있습니다.

2004년 부터 발표한 OWASP TOP 10에 항상 포함되어 있기 때문에, 가장 경써야될 위협이 이라고 생각합니다.

인젝션 예방법으로는, 설계초기부터, (법적인 의무도 있는) 시큐어 코딩을 하는 것이 있습니다.

-- 시큐어코딩

--- 전체적으로 인터프리터가 해석하는 API가 아닌, 부분부분 해석하는 API 사용

--- 인젝션에 자주사용되는 특수문자들을 잘 처리한다. 예를들어 꺽쇄를 &lt, &gt로 변환

A2. 인증 및 세션 관리 취약점

인증을 한 클라이언트는 서버와 세션을 유지하게 되는데, 이 때 세션값을 제대로 관리하지 못한다면

공격자가 다른 사용자인척 공격이나 서비스요청이 가능해집니다.

A3. 크로스 사이트 스크립팅(XSS)

공격자가 작성한 악의적인 스크립트가 삽입된 게시물을 올려서, 사용자로 하여금 스크립트를 실행하게끔하는 공격입니다.

이를 통해 공격자는 사용자의 세션이나 쿠키를 탈취하거나 사용자를 엄한곳으로 리다이렉트시켜버립니다.

서버를 공격하는게 아니라, 서버를 경유해 클라이언트를 공격하는 것입니다.

A4. 취약한 직접 객체 참조

개발자가 파일,디렉토리, DB Key와 같은 객체를 직접 참조하는것을 노출시킬때 발생합니다.

접근 통제나 별다른 보호 수단이 없다면, 공격자는 허가없이도 데이터에 접근이 가능해집니다.

A5. 보안 설정 오류

기본값으로 제공되는 값들 중, 안전하지 않은 값들이 있어서 이에 대한 수정이 필요합니다.

A6. 민감 데이터 노출

웹 어플리케이션들이 신용카드정보같은 민감정보를 저장 또는 전송할 때 암호화같은 보호조치를 취해야 합니다.

A7. 기능 수준의 접근통제 누락

공격자가 URL이나 파라미터를 변조해 권한이 없는 페이지에 접근하더라도 인증을 통해 막을수 있어야 합니다.

A8. 크로스 사이트 요청 변조(CSRF)

XSS와 기본적인 내용은 동일하지만, 공격 대상이 서버라는게 차이점입니다.

공격자는 스크립트를 실행한 사용자의 권한으로 서버의 모든 기능에 대해 서비스를 요청할 수 있습니다.

A9. 알려진 취약점이 있는 컴포넌트 사용

취약점이 보고된 컴포넌트를 사용해서는 안됩니다.

A10. 검증되지 않은 리다이렉트 및 포워드

공격자가 사용자를 악성사이트로 리다이렉트나 포워드하여 악성코드를 설치하게 하는 등의 공경을 할수있습니다.

검증되지 않은 리다이렉트나 포워드는 사용하지 않는게 좋습니다.

최근 해킹사고

2011년 10월 26일(10.26 DDoS공격)

서울시장 재보궐선거 당일에 선거관리위원회 홈페이지와 박원순후보자의 홈페이지에 DDoS공격이 일어난 사건입니다.

당일날 유독 투표장소가 많이 변경된데다가 일어난 사건이라, 투표자들이 투표장소를 찾는데 있어서 불편하게 했습니다.

수사 결과 한나라당의 최구식의원의 비서인 공현민으로 들어났고,

이는 민주주의의 근간을 뒤흔드는 전대미문의 사건이 되었습니다.

2013년 03월 20일(3.20 전산대란)

주요 언론사와 기업의 전산망이 마비된 사건입니다.

기업 내부의 PMS(Patch Management Server)의 관리자 계정을 얻어

악성코드를 백신 프로그램(안랩, 하우리)의 구성요소처럼 위장해 유포시켰고

2013년 3월 20일 MBR과 VBR를 파괴하면서 전산망이 마비됬습니다.

이에 대해, 4월 10일 정부는 북한 정찰총국의 소행으로 추정된다고 결론내렸습니다.

2013년 06월 25일(6.25 사이버테러)

청와대 홈페이지와 주요 정부 기관이 사이버테러를 당한 사건입니다.

홈페이지 변조와 DDoS, 신상정보의 유출 등이 일어났습니다.

- 홈페이지 변조 : 웹쉘(w3b_avtix)

- DDoS는 DNS 요청으로

최근 보안이슈

하트블리드

2014년 4월에 발견된 매우 심각한 보안이슈로써,

OpenSSL에서 연결을 유지하기 위해쓰이는 하트비트라는 통신신호에서 취약점이 발견됬었습니다.

하트비트는 사용자가 무작위의 데이터와 해당 데이터의 길이값를 같이 보내고,

서버는 사용자가 알려준 데이터 길이값과 동일한 길이의 데이터를 보내는 방법으로 연결을 유지시킵니다.

이 때, 서버가 사용자가 보낸 데이터와 데이터의 길이값이 동일한지 검증하는 로직이 없다는게 원인입니다.

사용자는 1Byte의 데이터를 보내면서, 데이터 길이값으로 64KB를 서버로 보내게되면

서버는 메모리에서 1Byte뿐만이 아니라 64KB가 맞게끔 정보를 보내게 됩니다.

이 과정을 반복하면서 무수히 많은 정보가 새어나가게 됩니다.

(응용 프로그램의 최대 메모리인 64KB만큼씩 매 하트비트마다 빠져나가게 됨)

쉘 쇼크(Shellshcok) 또는 배시도어(Bashdoor)

Unix 배시에서 발생하는 보안 버그로 2014년 9월 24일 처음 밝혀졌습니다.

많은 인터넷 기반 서비스들이 배시를 이용해 명령을 처리하기에, 큰 문제점이 되었습니다.

http://unix.stackexchange.com/questions/157329/what-does-env-x-command-bash-do-and-why-is-it-insecure

면접준비 3

Part 3-2. 기술면접 예상 질문과 답

Q : XSS와 CSRF에 대해서 설명해봐

XSS와 CSRF는 공격대상이 다를 뿐, 공격절차는 유사합니다.

공격자가 악의적인 스크립트를 삽입한 게시물을 사용자들이 읽도록 유도해 사용자들이 스크립트를 실행하게 합니다.

이 때, XSS은 사용자의 쿠키나 세션을 탈취하거나 엄한곳으로 리다이렉트시켜버립니다. 즉, 공격대상이 사용자이고

CSRF는 사용자로 하여금 게시물을 작성한다거나 물품을 구매하는 등

의도치 않은 서비스를 서버로 요청하게 만듭니다. 즉, 공격대상이 서버입니다.

Q. 쿠키와 세션에 대해서 설명하고 악용될 우려가 있는지 설명해봐

쿠키와 세션은 HTTP의 비연결지향적인 단점을 보완해 상태정보를 유지하는 방법입니다.

쿠키는 서버에 접속한 클라이언트의 상태정보가 저장된 4KB이하의 작은 데이터로 클라이언트측에 저장됩니다.

쿠키가 저장된 이후로는 클라이언트가 서버로 요청을 할때 쿠키를 같이 보내는 방식으로 상태정보를 유지합니다.

세션은 쿠키와 달리 각각의 클라이언트의 상태정보가 객체로써 서버의 메모리에 상주합니다.

클라이언트는 자신의 세션ID값만 저장하고 있으면되고, 서버로 요청시마다 자신의 세션ID값으로 상태정보를 유지합니다.

여기서, XSS 등을 통해 클라이언트 측에 저장된 세션ID값이 유출되버리면

공격자는 해당 클라이언트인척 서버로 요청이 가능해집니다.

이에 대한 대응책으로, 패스워드 변경같은 중요한 요청을 할때에 다시 한번 인증을 받는 로직을 추가하는 방법이 있습니다.

Q : 무선랜 보안에 어떤것들이 있지??

인증기술에는

OPEN

SHARED

WPA / WPA-PSK

WPA2 / WPA-PSK

암호화기술에는

WEP

TKIP

AES(CCMP모드로 ; Counter + ECB)

Q : 해킹과 보안에 대해 아는대로 말해봐(자유주제)

높은 컴퓨터 보급률과 스마트폰으로 인해, 웹 서비스가 가장 주되고 활발한 기능이 되었습니다.

이에 따라, 웹 해킹의 비중이 커지면서 위험성 또한 커졌습니다.

웹 해킹의 가장 기본적인 대처는 시큐어 코딩이라고 생각합니다.

개발 초기 부터, 사용할 함수와 로직 등에 대해서 검증하고 코딩하는것이 가장 중요하다고 생각합니다.

최근에는 공공기관에서는 무조껀 시큐어코딩을하게끔 법적인 의무성도 띄고있고 제가 생각하기엔 더 확대될 것이라고 생각합니다.

또한, 개발 이후에도 웹 보안 솔루션을 도입해 보안을 강화하는것도 중요합니다.

대표적으로, 웹 방화벽이나 취약점 점검도구 등으로 보안을 강화시킬수 있습니다.