오픈소스를 이용한 대학 정보보안 향상 방안

다국어 초록 (Multilingual Abstract)

The university is highly dependent on IT technology throughout its information service and work, and has large-scale data such as academic and research data. Cyber threats such as hacking, intrusion attempts, malware infections, web hacking, denial of service attacks, exploitation of university resources as waypoints and personal information leakage have also increased rapidly, posing a serious threat to university academic and administrative affairs.

In order to cope with the growing cyber threat, the university makes a lot of budget and effort for establishing information security policies, purchasing information security equipment and information security activities such as introducing ISMS-P(Personal Information & Information Security Management System) and conducting annual information protection level diagnosis.

In spite of the university's efforts, it is impossible to block malicious attacks if the security equipment fails to perform its function due to obstacles or other problems. In addition, serious violations caused by vulnerabilities not found during regular security checks can lead to major accidents such as leakage of personal information by university members, posing a serious threat to university information assets.

This paper is designed to allow university information security officers to directly access university information assets regardless of the blocking policy of security equipment such as firewalls by placing simulated attacks and vulnerability check systems inside the server network or the campus network using open sources. Through this, they can directly checks the presence of vulnerabilities in critical IT resources such as servers, applications, and network equipment in the university and terminals used by members if security equipment fails to perform its functions.

In addition, when a vulnerability is discovered, the attack code for the corresponding vulnerability can be executed to determine whether hacking is possible, and the vulnerability can be analyzed and supplemented. Also, the information security officer can perform vulnerability checks directly to enable detailed checks of information assets that may be omitted from regular vulnerability checks, thereby preventing information security accidents such as hacking and personal information leakage that may occur in the future.

국문 초록 (Abstract)

대학은 정보화 운영과 업무 전반에 IT 기술의 의존도가 매우 높고, 학적 데이터나 연구자료 등 대규모의 자료를 보유하고 있다. 이런 정보자산들에 대한 해킹, 침입 시도, 악성코드 감염, 웹 해킹, 서비스 거부 공격, 대학의 자원들을 경유지로 악용 그리고 개인정보 유출 등 사이버 위협도 급속하게 증가하여 대학의 학사·행정 업무에 중대한 위협 요소로 대두되고 있다.

대학은 증가하고 있는 사이버 위협에 대응하기 위하여 “정보보호 및 개인정보보호 관리체계 인증(ISMS-P)” 도입 및 매년 정보보호 수준진단을 수행하는 등 정보보안 정책 수립 및 정보보안 장비를 구축하고 정기적으로 보안 취약점 점검을 수행하는 등 정보보안 활동에 많은 예산과 노력을 기울이고 있다.

이런 대학의 노력에도 불구하고 보안장비가 장애나 기타 문제로 제 기능을 수행하지 못하여 악의적인 공격을 차단하지 못하거나 정기적인 보안 취약점 점검 시 발견되지 않은 취약점으로 인하여 심각한 침해사고 발생 시 학생들의 개인정보 유출 등 대형 사고로 발전될 수 있어 대학의 정보자산에 심각한 위협이 되고 있다.

본 논문에서는 대학의 정보보안담당자가 오픈소스를 이용하여 모의 공격 및 취약점 점검 시스템을 서버 망이나 학내 망 내부에 배치하여 방화벽과 같은 보안장비의 차단 정책과 관계없이 직접 대학의 정보자산에 접근할 수 있도록 구축하여 보안장비가 제 기능을 수행하지 못하는 경우 발생할 수 있는 대학 내 보안장비, 서버나 애플리케이션, 네트워크 장비 등 중요 IT 자원 및 구성원들이 사용하는 단말기들의 취약점 존재 여부를 직접 확인할 수 있도록 하였다.

또한, 취약점 발견 시 해당하는 취약점에 대한 공격코드를 실행하여 직접 해킹이 가능한지 여부를 판단하고, 그 취약점에 대해 분석 및 보완 조치를 할 수 있도록 하였다. 그리고 정보보안담당자가 직접 취약점 점검을 수행함으로 정기적인 취약점 점검에서 누락 될 수 있는 정보자산에 대한 세부적인 점검이 가능하도록 하여 앞으로 발생 될 해킹 및 개인정보 유출 등 정보보안 사고를 사전에 예방하여 대학의 정보보호 업무 수준을 향상할 수 있도록 하였다.

목차 (Table of Contents)

• 제 1 장 서 론 1
• 제 2 장 관련 연구 4
• 2.1 Metasploit Framework를 이용한 관련 연구 4
• 2.2 Nmap을 이용한 관련 연구 6
• 2.3 OpenVAS를 이용한 관련 연구 10
• 2.4 sqlmap을 이용한 관련 연구 13
• 제 3 장 대학 정보시스템 취약점 스캔 및 공격 방법 15
• 3.1 대학의 정기 취약점 점검과 오픈소스 취약점 스캔 15
• 3.2 취약점 스캔, 공격 대상 및 시나리오 17
• 3.3 취약점 스캔, 공격 호스트 테스트 환경 19
• 제 4 장 취약점 점검 결과 및 대응방안 21
• 4.1 대상별 취약점 점검 및 공격 테스트 21
• 4.1.1 대학 내 서버(운영체제 별) 보안 취약점 스캔 21
• 4.1.2 대학 내 애플리케이션(제공 서비스 및 데이터베이스 등) 28
• 4.1.3 대학 내 보안장비(방화벽/IPS, 웹방화벽, DB 접근제어 등) 32
• 4.1.4 대학 내 네트워크 장비(라우터, 백본 및 워크그룹 스위치 등) 33
• 4.1.5 대학 구성원들의 업무용/실습용 단말기(PC, 노트북 등) 37
• 4.2 대응 방안 43
• 4.2.1 대학 내 서버(운영체제 별) 보안 취약점 스캔 및 공격 43
• 4.2.2 대학 내 서비스 및 데이터베이스 취약점 스캔 및 공격 44
• 4.2.3 대학 내 보안장비(웹방화벽 등) 취약점 스캔 및 공격 46
• 4.2.4 대학 내 네트워크 장비 취약점 스캔 및 공격 47
• 4.2.5 대학 구성원들의 단말기 취약점 스캔 및 공격 49
• 제 5 장 결 론 50
• [참고 문헌] 52