실기형 단답·서술 집중훈련

단답형 40문제
서술형 20문제
상황형 10문제
모범답안
채점 키워드
감점 포인트
답안 압축 훈련

모범답안: 실제 답안으로 쓸 수 있는 예시 문장
채점 키워드: 답안에 반드시 포함되어야 할 핵심 용어
부분점 기준: 핵심 요소별로 점수를 받을 수 있는 기준
감점 포인트: 혼동하거나 누락하면 감점되는 요소
답안 구조: 서술형 답안을 구성하는 문장 순서

개념 정의
→ 위험 또는 발생 원인
→ 대응 방안

SQL Injection은 사용자 입력값에 악의적인 SQL 구문을 삽입하여 DB를 비정상적으로 조회, 수정, 삭제하거나 인증을 우회하는 공격이다. 주로 사용자 입력값을 SQL 문자열에 직접 결합할 때 발생하며, 대응 방안으로 Prepared Statement, 입력값 검증, DB 권한 최소화, 오류 메시지 노출 제한, WAF 적용이 있다.

정의가 있어야 한다.
핵심 원인이 있어야 한다.
피해 또는 위험이 있어야 한다.
대응 방안이 3개 이상 있어야 한다.

최소권한 원칙은 사용자나 프로세스에 업무 수행에 필요한 최소한의 권한만 부여하는 보안 원칙이다.

필요한 최소 권한
업무 수행 범위
권한 오남용 방지

업무 수행에 필요한 최소 권한만 부여한다는 취지를 쓰면 기본점
사용자 또는 프로세스의 권한 범위를 제한한다고 쓰면 핵심점
권한 오남용, 피해 확산, 내부자 위협을 줄인다는 효과를 쓰면 가점

권한을 많이 주면 편리하다는 운영 편의 관점으로만 설명하면 감점
인증이나 비밀번호 정책으로만 설명하고 권한 범위 제한을 쓰지 않으면 감점

책임추적성은 시스템에서 발생한 행위의 주체를 로그 등을 통해 식별하고 추적할 수 있는 성질이다.

행위 주체 식별
로그
추적 가능성

로그는 침해사고 탐지, 원인 분석, 책임추적성 확보, 감사 증적 확보에 필요하다.

탐지
분석
책임추적성
감사

SetUID 파일은 실행 시 파일 소유자의 권한으로 동작하므로, root 소유 SetUID 파일에 취약점이 있으면 권한 상승이 발생할 수 있다.

파일 소유자 권한
root 권한
권한 상승

시스템 하드닝은 불필요한 계정, 서비스, 포트를 제거하고 보안 설정을 강화하여 시스템의 공격 표면을 줄이는 작업이다.

불필요 기능 제거
보안 설정 강화
공격 표면 축소

TCP는 연결 지향 프로토콜로 신뢰성, 순서 보장, 재전송을 제공한다. UDP는 비연결 지향 프로토콜로 신뢰성은 낮지만 빠르고 단순하다.

TCP = 연결 지향
UDP = 비연결 지향
신뢰성
속도

ARP는 동일 네트워크에서 IP 주소에 대응하는 MAC 주소를 알아내기 위한 프로토콜이다.

IP 주소
MAC 주소
변환
동일 네트워크

ARP Spoofing은 거짓 ARP 응답을 보내 IP 주소와 MAC 주소의 매핑을 조작하는 공격이다.

거짓 ARP
IP-MAC 매핑 조작
스니핑 또는 MITM 가능

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 공격이다.

TCP 3-Way Handshake
SYN 요청
ACK 미전송
자원 고갈

IDS는 침입 시도나 이상 행위를 탐지하고 경고하는 시스템이고, IPS는 침입을 탐지한 후 실시간 차단까지 수행하는 시스템이다.

IDS = 탐지·경고
IPS = 탐지·차단

IDS가 침입을 탐지하고 경고한다는 점을 쓰면 기본점
IPS가 탐지 후 차단까지 수행한다는 점을 쓰면 핵심점
두 장비의 차이를 실시간 차단 여부로 구분하면 가점

IDS와 IPS를 모두 방화벽으로만 설명하면 감점
탐지와 차단의 차이를 쓰지 않으면 감점

일반 방화벽은 IP, 포트, 프로토콜을 기준으로 접근을 통제하고, WAF는 HTTP/HTTPS 요청을 분석하여 SQL Injection, XSS 등 웹 공격을 탐지·차단한다.

일반 방화벽 = IP·포트
WAF = 웹 요청 분석
SQL Injection
XSS

일반 방화벽의 판단 기준을 IP·포트·프로토콜로 쓰면 기본점
WAF의 판단 기준을 HTTP/HTTPS 요청 내용 또는 웹 애플리케이션 계층으로 쓰면 가점
SQL Injection, XSS 등 웹 공격 탐지·차단 예시를 1개 이상 쓰면 가점

WAF를 단순히 성능 좋은 방화벽으로만 설명하면 감점
IP 차단과 웹 요청 내용 분석의 차이를 구분하지 못하면 감점

HTTP는 이전 요청 상태를 자동으로 기억하지 않고 각 요청을 독립적으로 처리하는 무상태 프로토콜이다.

이전 요청 상태 기억하지 않음
각 요청 독립 처리
쿠키·세션 필요

GET은 요청 데이터가 URL에 포함될 수 있어 로그나 브라우저 기록에 남기 쉬우므로 민감정보 전송에 부적절하다. POST는 요청 본문에 데이터를 담지만, HTTPS가 없으면 암호화가 보장되지 않는다.

GET = URL 노출
POST = Body
HTTPS 필요

쿠키는 클라이언트 브라우저에 저장되는 데이터이고, 세션은 서버가 사용자 상태를 관리하기 위한 정보이다.

쿠키 = 클라이언트
세션 = 서버
상태 유지

HttpOnly는 JavaScript의 쿠키 접근을 제한하고, Secure는 HTTPS에서만 쿠키가 전송되도록 하며, SameSite는 다른 사이트에서 발생한 요청에 쿠키가 자동 전송되는 것을 제한한다.

HttpOnly = JavaScript 접근 제한
Secure = HTTPS
SameSite = CSRF 완화

인증은 사용자의 신원을 확인하는 절차이고, 인가는 인증된 사용자가 특정 자원이나 기능에 접근할 권한이 있는지 확인하는 절차이다.

인증 = 신원 확인
인가 = 권한 확인

SQL Injection은 사용자 입력값을 검증하지 않고 SQL 문자열에 직접 결합하여 입력값이 SQL 명령어처럼 해석될 때 발생한다.

입력값 검증 미흡
SQL 문자열 직접 결합
명령어로 해석

사용자 입력값이 원인임을 쓰면 기본점
입력값을 SQL 문자열에 직접 결합한다는 구조를 쓰면 핵심점
입력값이 데이터가 아니라 SQL 명령어로 해석된다는 결과를 쓰면 가점

단순히 DB 오류 또는 해킹이라고만 쓰면 감점
XSS처럼 브라우저에서 스크립트가 실행된다고 쓰면 오답 처리 가능

Prepared Statement는 SQL 구조와 사용자 입력값을 분리하고 입력값을 파라미터로 바인딩하여 SQL 명령어가 아닌 데이터로 처리하기 때문이다.

SQL 구조와 입력값 분리
파라미터 바인딩
데이터로 처리

Prepared Statement의 핵심
→ SQL 구조와 사용자 입력값 분리
→ 파라미터 바인딩으로 입력값을 데이터로 처리
→ 악의적 SQL 구문이 실행되지 않음

입력값 검증과 같은 의미로만 설명하면 감점
문자열 치환 또는 특수문자 제거만 쓰고 파라미터 바인딩을 누락하면 감점

XSS는 웹 애플리케이션이 사용자 입력값을 안전하게 처리하지 않아 악성 스크립트가 사용자 브라우저에서 실행되는 공격이다.

악성 스크립트
사용자 브라우저
쿠키 탈취·피싱 가능

XSS 대응의 핵심은 사용자 입력값을 출력 위치의 문맥에 맞게 인코딩하여 브라우저가 코드가 아닌 문자로 처리하도록 하는 것이다.

출력값 인코딩
문맥별 처리
코드 실행 방지

CSRF는 사용자가 로그인된 상태를 악용하여 사용자가 의도하지 않은 요청을 서버에 전송하게 만드는 공격이다.

로그인 상태 악용
원치 않는 요청
요청 위조

CSRF Token 검증, SameSite 쿠키 설정, Origin/Referer 검증, 중요 기능 재인증, GET 방식의 상태 변경 금지 등이 있다.

CSRF Token
SameSite
Origin/Referer
재인증

CSRF Token 검증을 쓰면 핵심점
SameSite 쿠키 또는 Origin/Referer 검증을 쓰면 가점
중요 기능 재인증, GET 방식 상태 변경 금지 등 보완책을 쓰면 추가점

출력값 인코딩만 쓰면 XSS 대응과 혼동한 답안으로 감점
로그인 상태를 악용한 요청 위조라는 취지를 빠뜨리면 감점

파일 업로드 취약점은 웹셸이나 악성 파일이 서버에 업로드·실행되어 서버 명령 실행, 파일 조작, 정보 유출, 서버 장악으로 이어질 수 있다.

웹셸
서버 실행
명령 실행
서버 장악

취약점 원인: 업로드 파일 검증 미흡
위험: 웹셸·악성 파일 업로드와 서버 측 실행
피해: 명령 실행, 파일 조작, 정보 유출, 서버 장악

악성 파일 저장만 쓰고 서버에서 실행될 수 있다는 점을 누락하면 감점
확장자 검증만 대응으로 쓰고 실행 권한 제거, 웹 루트 외부 저장을 빠뜨리면 감점

IDOR는 사용자가 요청 파라미터의 객체 식별자를 조작하여 권한 없는 타인의 자원에 접근하는 접근통제 취약점이다.

객체 식별자 조작
타인 자원 접근
권한 검증 누락

JWT는 서명을 검증하고 만료시간을 설정해야 하며, Payload에 민감정보를 저장하지 않고 HTTPS로 전송해야 한다.

서명 검증
만료시간
민감정보 금지
HTTPS

암호화는 기밀성 보호를 위해 평문을 암호문으로 변환하고 키로 복호화할 수 있는 방식이다. 해시는 임의 길이 데이터를 고정 길이 해시값으로 변환하는 일방향 함수로 원칙적으로 원문 복원이 불가능하다.

암호화 = 복호화 가능
해시 = 일방향
무결성

대칭키 암호는 암호화와 복호화에 같은 비밀키를 사용하여 빠르지만 키 분배가 어렵다. 공개키 암호는 공개키와 개인키 한 쌍을 사용하여 키 분배와 전자서명에 유리하지만 상대적으로 느리다.

대칭키 = 같은 키, 빠름
공개키 = 키쌍, 느림
키 분배

전자서명은 서명자 인증, 데이터 무결성, 부인방지를 제공한다.

인증
무결성
부인방지

PKI는 공개키 암호를 안전하게 사용하기 위해 CA, RA, 인증서, CRL, OCSP 등을 통해 공개키와 사용자 신원을 관리하는 공개키 기반 구조이다.

공개키 신뢰
CA
RA
인증서
폐지 확인

DAC는 객체 소유자 기준, MAC는 보안등급과 중앙 정책 기준, RBAC는 역할 기준, ABAC는 사용자·자원·환경 등 속성 기준으로 접근을 통제한다.

DAC = 소유자
MAC = 보안등급
RBAC = 역할
ABAC = 속성

Bell-LaPadula 모델은 기밀성 보호를 목표로 하며, 낮은 등급이 높은 등급을 읽지 못하게 하는 No Read Up과 높은 등급이 낮은 등급에 쓰지 못하게 하는 No Write Down 규칙을 사용한다.

기밀성
No Read Up
No Write Down

Biba 모델은 무결성 보호를 목표로 하며, 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 No Read Down과 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 No Write Up 규칙을 사용한다.

무결성
No Read Down
No Write Up

위험관리는 자산에 대한 위협과 취약점을 식별하고 위험을 분석·평가하여 적절한 보호대책을 수립·적용하며 잔여위험을 관리하는 과정이다.

자산
위협
취약점
분석·평가
잔여위험

위험 처리 방법에는 위험 감소, 위험 회피, 위험 전가, 위험 수용이 있다.

감소
회피
전가
수용

BCP는 재해나 장애 상황에서도 핵심 업무를 지속하거나 복구하기 위한 전체 업무 관점의 계획이고, DRP는 서버, DB, 네트워크, 데이터 등 IT 시스템 복구를 위한 계획이다.

BCP = 업무연속성
DRP = IT 복구

BCP를 핵심 업무 지속 또는 업무연속성 계획으로 쓰면 기본점
DRP를 서버, DB, 네트워크 등 IT 시스템 복구 계획으로 쓰면 기본점
BCP가 더 넓고 DRP가 그 하위 또는 연계 계획임을 쓰면 가점

BCP와 DRP를 모두 백업 계획으로만 설명하면 감점
업무 관점과 IT 복구 관점을 구분하지 못하면 감점

RTO는 장애 발생 후 서비스를 얼마 안에 복구해야 하는지를 나타내는 복구 시간 목표이고, RPO는 어느 시점의 데이터까지 복구해야 하는지를 나타내는 복구 시점 목표이다.

RTO = 시간
RPO = 시점

개인정보는 처리 목적을 명확히 하고 목적에 필요한 최소한만 수집해야 하며, 목적 범위 내에서 이용하고 안전하게 보관하며 보유기간이 지나거나 목적이 달성되면 파기해야 한다.

목적 명확화
최소 수집
목적 내 이용
안전성 확보
파기

제3자 제공은 제공받는 자가 자신의 목적을 위해 개인정보를 이용하는 것이고, 위탁은 개인정보처리자의 업무를 수탁자가 대신 수행하는 것이다.

제3자 제공 = 받는 자 목적
위탁 = 내 업무 대행

개인정보 안전성 확보조치에는 내부관리계획, 접근권한 관리, 접근통제, 암호화, 접속기록 보관·점검, 악성프로그램 방지, 물리적 안전조치가 포함된다.

내부관리계획
접근권한
접근통제
암호화
접속기록
악성프로그램
물리보호

관리적 조치인 내부관리계획을 포함하면 기본점
기술적 조치인 접근권한 관리, 접근통제, 암호화, 접속기록 보관·점검 중 3개 이상 쓰면 핵심점
물리적 안전조치 또는 악성프로그램 방지를 포함하면 가점

암호화만 쓰면 항목형 문제의 답안으로 부족하여 감점
접근권한 관리와 접속기록 보관·점검을 모두 누락하면 큰 감점

ISMS-P는 정보보호 관리체계와 개인정보보호 관리체계를 통합하여 정보보호와 개인정보 처리 단계별 보호조치가 적절히 수립·운영되는지 인증하는 제도이다.

정보보호
개인정보보호
관리체계 인증

계정 관리를 위해 불필요한 계정, 기본 계정, 퇴사자 계정, 휴면 계정을 삭제하거나 비활성화해야 한다. 또한 공유 계정 사용을 제한하고 사용자별 개별 계정을 부여하여 책임추적성을 확보해야 하며, 관리자 권한은 최소한의 사용자에게만 부여하고 계정 생성·변경·삭제 이력을 기록해야 한다.

불필요 계정 제거
퇴사자·휴면 계정
공유 계정 제한
관리자 권한 최소화
이력 관리

“비밀번호를 어렵게 한다”만 쓰고 계정 생명주기 관리가 없음
공유 계정 위험을 언급하지 않음
관리자 권한 최소화를 쓰지 않음

로그는 침해사고 탐지, 원인 분석, 책임추적성 확보에 필요한 핵심 자료이다. 따라서 인증, 권한 변경, 관리자 작업, 오류, 보안 이벤트 로그를 수집하고, 시간 동기화, 접근통제, 무결성 보호, 보관기간 설정, 정기 점검을 적용해야 한다.

탐지
원인 분석
책임추적성
시간 동기화
무결성 보호
접근통제

로그 수집만 쓰고 보호·점검을 쓰지 않음
무결성 보호를 누락
시간 동기화 누락

ARP Spoofing은 거짓 ARP 정보를 보내 IP 주소와 MAC 주소의 매핑을 조작하는 공격이다. 이를 통해 피해자의 트래픽을 공격자에게 유도하여 스니핑이나 중간자 공격이 발생할 수 있으며, 대응 방안으로 정적 ARP 설정, Dynamic ARP Inspection, DHCP Snooping, ARP 변경 모니터링, 네트워크 분리, 암호화 통신을 적용할 수 있다.

거짓 ARP
IP-MAC 매핑 조작
스니핑·MITM
DAI
DHCP Snooping
암호화 통신

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 공격이다. 대응 방안으로 SYN Cookie 적용, 연결 대기 큐와 타임아웃 조정, SYN 요청 Rate Limiting, 방화벽·IPS 탐지, 출발지 IP 필터링, DDoS 방어 서비스 활용 등이 있다.

TCP 3-Way Handshake
ACK 미전송
Half-open
SYN Cookie
Rate Limiting
DDoS 방어

일반 방화벽은 주로 IP 주소, 포트 번호, 프로토콜을 기준으로 네트워크 접근을 통제하는 장비이다. WAF는 HTTP/HTTPS 요청의 URL, 파라미터, 쿠키, 헤더, 본문을 분석하여 SQL Injection, XSS, 파일 업로드 공격 등 웹 애플리케이션 공격을 탐지·차단하는 7계층 보안장비이다.

일반 방화벽 = IP·포트·프로토콜
WAF = HTTP 요청 분석
SQL Injection
XSS
7계층

SQL Injection은 웹 애플리케이션의 입력값에 악의적인 SQL 구문을 삽입하여 데이터베이스를 비정상적으로 조회, 수정, 삭제하거나 인증을 우회하는 공격이다. 대응 방안으로 SQL 구조와 입력값을 분리하는 Prepared Statement를 사용하고, 입력값 검증, DB 권한 최소화, 오류 메시지 노출 제한, WAF 적용, 로그 모니터링을 수행해야 한다.

SQL 구문 삽입
DB 조회·수정·삭제
인증 우회
Prepared Statement
입력값 검증
DB 권한 최소화
오류 메시지 제한

XSS는 웹 애플리케이션이 사용자 입력값을 안전하게 처리하지 않아 악성 스크립트가 다른 사용자의 브라우저에서 실행되는 공격이다. 이를 통해 쿠키 탈취, 세션 하이재킹, 피싱, 화면 변조가 발생할 수 있으며, 대응 방안으로 출력값 인코딩, 입력값 검증, CSP 적용, HttpOnly·Secure 쿠키 설정, WAF 적용 등이 있다.

악성 스크립트
사용자 브라우저
쿠키 탈취
출력값 인코딩
CSP
HttpOnly

CSRF는 사용자가 웹사이트에 로그인된 상태를 악용하여 사용자가 의도하지 않은 요청을 서버에 전송하게 만드는 공격이다. 대응 방안으로 예측 불가능한 CSRF Token을 생성해 서버에서 검증하고, SameSite 쿠키 설정, Origin/Referer 검증, 중요 기능 재인증, GET 방식의 상태 변경 금지를 적용해야 한다.

로그인 상태 악용
원치 않는 요청
CSRF Token
SameSite
Origin/Referer
재인증

파일 업로드 취약점은 업로드 파일의 확장자, 내용, 크기, 저장 위치, 실행 권한 등을 검증하지 않아 웹셸이나 악성 파일이 서버에 업로드·실행될 수 있는 취약점이다. 대응 방안으로 허용 확장자 방식, MIME Type과 파일 시그니처 검증, 파일 크기 제한, 파일명 난수화, 웹 루트 외부 저장, 업로드 디렉터리 실행 권한 제거, 접근통제, 악성코드 검사를 적용해야 한다.

웹셸
악성 파일
허용 확장자
시그니처 검증
웹 루트 외부 저장
실행 권한 제거

API 보안을 위해 모든 요청에 인증을 적용하고, 사용자가 요청한 자원에 접근할 권한이 있는지 서버 측에서 검증해야 한다. 또한 입력값 검증, 응답 데이터 최소화, Rate Limiting, 토큰 만료와 폐기 정책, Mass Assignment 방지, CORS 제한, 오류 메시지 노출 제한, API 호출 로그 기록을 적용해야 한다.

인증
인가
입력값 검증
Rate Limiting
토큰 관리
Mass Assignment 방지
로그 기록

암호화는 기밀성 보호를 위해 평문을 암호문으로 변환하고 올바른 키로 복호화할 수 있는 방식이다. 반면 해시는 임의 길이 데이터를 고정 길이 해시값으로 변환하는 일방향 함수로, 원칙적으로 원문 복원이 불가능하며 무결성 검증과 비밀번호 저장에 활용된다.

암호화 = 기밀성
복호화 가능
해시 = 일방향
무결성
비밀번호 저장

전자서명은 송신자가 자신의 개인키로 메시지 또는 메시지 해시값에 서명하고, 수신자가 송신자의 공개키로 이를 검증하는 기술이다. 이를 통해 서명자 인증, 데이터 무결성, 부인방지를 제공할 수 있다.

개인키로 서명
공개키로 검증
인증
무결성
부인방지

DAC는 객체 소유자가 접근 권한을 설정할 수 있는 임의적 접근통제 방식이고, MAC는 보안 등급과 중앙 정책에 따라 접근을 강제로 통제하는 방식이다. RBAC는 역할에 권한을 부여하고 사용자를 역할에 배정하는 방식이며, ABAC는 사용자·자원·행위·환경 속성을 조합하여 접근 여부를 결정하는 방식이다.

DAC = 소유자
MAC = 보안등급·정책
RBAC = 역할
ABAC = 속성

Bell-LaPadula 모델은 기밀성 보호를 목적으로 하며, 낮은 등급 주체가 높은 등급 객체를 읽지 못하게 하는 No Read Up과 높은 등급 주체가 낮은 등급 객체에 쓰지 못하게 하는 No Write Down 규칙을 사용한다. Biba 모델은 무결성 보호를 목적으로 하며, 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 No Read Down과 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 No Write Up 규칙을 사용한다.

Bell-LaPadula = 기밀성
Biba = 무결성
No Read Up
No Write Down
No Read Down
No Write Up

위험관리는 자산을 식별하고 자산 가치를 평가한 뒤, 자산에 대한 위협과 취약점을 식별하여 위험의 가능성과 영향을 분석·평가하는 과정이다. 이후 위험 감소, 회피, 전가, 수용 중 적절한 처리 방법을 선택하고, 보호대책 적용 후 남는 잔여위험을 책임자의 승인 하에 지속적으로 관리해야 한다.

자산 식별
위협·취약점
위험 분석·평가
위험 처리
잔여위험

침해사고 대응은 사전 준비, 사고 탐지, 초기 대응, 원인과 피해 범위 분석, 피해 확산 차단, 악성 요소 제거, 서비스 복구, 보고와 신고, 사후 분석 및 재발 방지 순서로 수행한다. 각 단계에서 로그와 증거를 보존하고, 사고 대응 조직의 역할에 따라 신속하게 조치해야 한다.

준비
탐지
분석
차단
제거
복구
보고
재발 방지
증거 보존

BCP는 재해나 장애 상황에서도 조직의 핵심 업무를 지속하거나 신속히 복구하기 위한 전체 업무 관점의 계획이다. DRP는 BCP와 연계되는 IT 복구 계획으로, 서버, DB, 네트워크, 애플리케이션, 데이터 등 정보시스템의 복구 절차와 자원을 정의한다.

BCP = 업무연속성
DRP = IT 복구
핵심 업무
정보시스템 복구

RTO는 장애 발생 후 서비스를 얼마 안에 복구해야 하는지를 나타내는 복구 시간 목표이다. RPO는 장애 발생 시 어느 시점의 데이터까지 복구해야 하는지를 나타내는 복구 시점 목표로, RTO는 서비스 중단 시간과 관련되고 RPO는 허용 가능한 데이터 손실량과 관련된다.

RTO = 복구 시간
RPO = 복구 시점
서비스 중단 시간
데이터 손실량

개인정보 안전성 확보조치는 개인정보의 분실, 도난, 유출, 위조, 변조, 훼손을 방지하기 위한 관리적·기술적·물리적 보호조치이다. 주요 대책으로 내부관리계획 수립, 접근권한 관리, 접근통제, 비밀번호와 중요정보 암호화, 접속기록 보관·점검, 악성프로그램 방지, 물리적 안전조치가 있다.

내부관리계획
접근권한
접근통제
암호화
접속기록
악성프로그램
물리적 안전조치

암호화만 쓰고 관리적·물리적 대책 누락
접속기록 누락
접근권한 관리 누락

ISMS는 조직의 정보보호 관리체계가 적절히 수립·운영되는지 인증하는 제도이다. ISMS-P는 정보보호 관리체계에 개인정보보호 관리체계를 포함한 인증제도로, 개인정보 수집, 이용, 제공, 보관, 파기, 정보주체 권리보장 등 개인정보 처리 단계별 보호조치를 포함한다.

ISMS = 정보보호 관리체계
ISMS-P = 정보보호 + 개인정보보호
개인정보 처리 단계

퇴사자 계정이 VPN과 개인정보처리시스템에 남아 있고, 퇴사 후 해외 IP에서 접속한 기록이 확인되었다.

퇴사자 계정 미회수
접근권한 관리 미흡
비인가 접근 또는 계정 탈취 가능성

퇴사자 계정이 회수되지 않아 비인가 접근이 발생한 것으로 의심할 수 있다. 해당 계정을 즉시 비활성화하고 VPN과 개인정보처리시스템 접속기록을 분석하여 접근한 시스템과 개인정보 범위를 확인해야 한다. 또한 퇴직 시 계정·권한·출입권한 회수 절차와 정기 권한 점검을 강화해야 한다.

계정 비활성화
접속기록 분석
접근 범위 확인
권한 회수 절차 개선

웹 서버 로그에서 검색 파라미터에 SQL 키워드와 특수문자가 반복적으로 포함되어 있고, DB 오류와 500 응답이 증가했다.

SQL Injection

검색 파라미터에 SQL 키워드와 특수문자가 반복되고 500 오류가 증가했으므로 SQL Injection 시도로 의심할 수 있다. 웹 로그와 DB 로그를 분석하여 공격 IP, 요청 URL, 영향 범위를 확인하고, Prepared Statement 적용, 입력값 검증, 오류 메시지 노출 제한, DB 권한 최소화, WAF 정책 점검을 수행해야 한다.

SQL Injection
웹·DB 로그 분석
Prepared Statement
입력값 검증
오류 메시지 제한

게시판 댓글에 저장된 스크립트가 게시글을 조회하는 사용자 브라우저에서 반복 실행되었다.

Stored XSS

악성 스크립트가 게시판 댓글에 저장된 후 다른 사용자가 조회할 때 실행되므로 Stored XSS로 의심할 수 있다. 댓글 출력 시 문맥에 맞는 출력값 인코딩을 적용하고, 입력값 검증, 위험 HTML 제한, CSP, HttpOnly 쿠키 설정을 적용해야 하며 저장된 악성 데이터를 정제해야 한다.

Stored XSS
출력값 인코딩
CSP
HttpOnly
저장 데이터 정제

로그인된 사용자가 외부 사이트를 방문한 뒤 본인이 의도하지 않은 이메일 변경 요청이 정상 처리되었다. 요청에는 CSRF Token이 없었다.

CSRF

사용자의 로그인 상태를 악용하여 의도하지 않은 이메일 변경 요청이 처리되었고 CSRF Token이 없으므로 CSRF 공격으로 의심할 수 있다. 상태 변경 요청에는 예측 불가능한 CSRF Token을 포함해 서버에서 검증하고, SameSite 쿠키, Origin/Referer 검증, 중요 기능 재인증, GET 방식의 상태 변경 금지를 적용해야 한다.

로그인 상태 악용
CSRF Token
SameSite
Origin/Referer
재인증

이미지 업로드 기능에서 .jpg 파일이 업로드되었지만 실제 파일 내용은 서버 측 스크립트였고, 업로드 후 URL 접근 시 코드가 실행되었다.

파일 업로드 취약점
웹셸 업로드

확장자는 이미지처럼 보이지만 실제 내용이 서버 측 스크립트이고 URL 접근 시 코드가 실행되었으므로 파일 업로드 취약점 또는 웹셸 업로드로 의심할 수 있다. 허용 확장자 방식뿐 아니라 MIME Type과 파일 시그니처를 함께 검증하고, 업로드 파일은 웹 루트 외부에 저장하며 업로드 디렉터리의 실행 권한을 제거해야 한다.

확장자 우회
파일 시그니처
웹 루트 외부 저장
실행 권한 제거

일반 사용자가 /api/orders/100 요청 후 주문번호를 101로 바꾸자 다른 사용자의 주문정보가 조회되었다.

IDOR
BOLA
객체 수준 권한 검증 실패

주문번호와 같은 객체 식별자를 조작하여 타인의 주문정보를 조회할 수 있으므로 IDOR 또는 BOLA 취약점으로 볼 수 있다. 서버는 매 요청마다 인증된 사용자에게 해당 주문에 접근할 권한과 소유권이 있는지 검증하고, 권한 없는 요청은 차단하며, 순차 ID 접근 시도를 로그로 모니터링해야 한다.

객체 ID 조작
소유자 검증
서버 측 인가
로그 모니터링

회원정보 수정 API에서 일반 사용자가 요청 Body에 role=admin 값을 추가하자 관리자 권한이 부여되었다.

Mass Assignment

클라이언트가 보낸 role 필드가 서버 객체에 그대로 반영되어 관리자 권한이 부여되었으므로 Mass Assignment 취약점으로 볼 수 있다. 서버는 클라이언트가 보낸 모든 필드를 자동 반영하지 말고 허용된 필드만 명시적으로 매핑해야 하며, 권한과 역할 같은 중요 값은 서버 측 정책에 따라 결정해야 한다.

자동 필드 반영
role=admin
허용 필드만 매핑
중요 값 서버 결정

랜섬웨어로 결제 DB가 중단되었다. 결제 시스템의 RPO는 5분인데, 실제 백업은 하루에 한 번만 수행되고 있었다.

RPO 미충족
백업 전략 부적절
DRP 미흡

결제 시스템의 RPO가 5분인데 실제 백업이 하루 1회라면 허용 가능한 데이터 손실 범위를 충족하지 못하는 백업 전략이다. 결제 DB는 업무영향분석 결과에 맞게 실시간 또는 준실시간 복제, 짧은 주기의 백업, 원격지·오프라인 백업, 정기 복구 테스트를 적용해야 한다.

RPO
백업 주기
실시간 복제
복구 테스트

보안관제에서 해외 VPN 로그인 성공, 관리자 페이지 접속, 대량 DB 조회 이벤트가 10분 이내에 연속 발생했다.

계정 탈취
관리자 권한 오남용
개인정보 유출 가능성

해외 VPN 로그인 후 관리자 페이지 접속과 대량 DB 조회가 짧은 시간 내 연속 발생했으므로 계정 탈취와 개인정보 유출 가능성을 의심할 수 있다. 해당 계정을 잠그고 세션을 차단하며, VPN·관리자·DB 로그를 상관분석하여 조회된 개인정보 범위와 유출 여부를 확인하고 MFA, 접근 IP 제한, 이상행위 탐지 룰을 강화해야 한다.

상관분석
계정 잠금
로그 분석
DB 조회 범위 확인
MFA

개인정보 처리 업무를 맡은 수탁업체가 위탁받은 업무 범위를 넘어 고객 정보를 자체 마케팅에 사용했다.

수탁자 목적 외 이용
위탁 관리 미흡
개인정보 처리 위탁 통제 실패

수탁업체가 위탁받은 업무 범위를 넘어 고객 정보를 자체 마케팅에 사용한 것은 목적 외 이용에 해당하며 위탁 관리가 미흡한 상황이다. 위탁자는 수탁자 처리 현황을 점검하고 위반 행위를 중단시켜야 하며, 위탁계약의 목적 외 이용 금지, 재위탁 통제, 교육·감독, 사고 통보와 손해배상 조항을 점검해야 한다.

목적 외 이용
수탁자 감독
위탁계약
재위탁 통제
사고 통보

SQL Injection은 입력값에 SQL 구문을 삽입해 DB를 공격하는 기법이다. Prepared Statement, 입력값 검증, DB 권한 최소화, 오류 메시지 제한, WAF로 대응한다.

XSS는 악성 스크립트가 사용자 브라우저에서 실행되는 공격이다. 출력값 인코딩, 입력값 검증, CSP, HttpOnly 쿠키, WAF로 대응한다.

CSRF는 로그인 상태를 악용해 원치 않는 요청을 보내게 하는 공격이다. CSRF Token, SameSite, Origin/Referer 검증, 재인증으로 대응한다.

파일 업로드 취약점은 웹셸 업로드와 서버 실행으로 이어질 수 있다. 허용 확장자, MIME·시그니처 검증, 웹 루트 외부 저장, 실행 권한 제거로 대응한다.

침해사고 대응은 준비, 탐지, 초기 대응, 분석, 차단, 제거, 복구, 보고, 재발 방지 순서로 수행한다. 각 단계에서 증거를 보존하고 피해 확산을 방지해야 한다.

개인정보 안전성 확보조치에는 내부관리계획, 접근권한 관리, 접근통제, 암호화, 접속기록 보관·점검, 악성프로그램 방지, 물리적 안전조치가 포함된다.

BCP는 핵심 업무를 지속하기 위한 업무연속성계획이고, DRP는 IT 시스템과 데이터를 복구하기 위한 재해복구계획이다.

1. 최소권한 원칙이란 무엇인가?
2. 책임추적성이란 무엇인가?
3. ARP Spoofing이란 무엇인가?
4. SYN Flooding이란 무엇인가?
5. WAF와 일반 방화벽의 차이는 무엇인가?
6. HTTP가 무상태라는 의미는 무엇인가?
7. Prepared Statement가 SQL Injection 방어에 효과적인 이유는 무엇인가?
8. XSS 대응의 핵심은 무엇인가?
9. CSRF 대응 방안 3가지를 쓰시오.
10. IDOR란 무엇인가?
11. 암호화와 해시의 차이는 무엇인가?
12. 전자서명이 제공하는 보안 속성 3가지는?
13. DAC, MAC, RBAC, ABAC의 기준을 쓰시오.
14. Bell-LaPadula와 Biba의 차이를 쓰시오.
15. 위험 처리 방법 4가지를 쓰시오.
16. 침해사고 대응 절차를 순서대로 쓰시오.
17. RTO와 RPO의 차이를 쓰시오.
18. 제3자 제공과 업무위탁의 차이를 쓰시오.
19. 개인정보 안전성 확보조치 7가지를 쓰시오.
20. ISMS-P란 무엇인가?

21. 로그 관리의 필요성과 관리 방안을 설명하시오.
22. ARP Spoofing의 개념과 대응 방안을 설명하시오.
23. SQL Injection의 개념과 대응 방안을 설명하시오.
24. XSS의 개념과 대응 방안을 설명하시오.
25. CSRF의 개념과 대응 방안을 설명하시오.
26. 파일 업로드 취약점의 위험과 대응 방안을 설명하시오.
27. 암호화와 해시의 차이를 설명하시오.
28. 전자서명의 개념과 제공하는 보안 속성을 설명하시오.
29. DAC, MAC, RBAC, ABAC의 차이를 설명하시오.
30. Bell-LaPadula 모델과 Biba 모델의 차이를 설명하시오.
31. 위험관리 절차를 설명하시오.
32. 침해사고 대응 절차를 설명하시오.
33. BCP와 DRP의 차이를 설명하시오.
34. 개인정보 안전성 확보조치를 설명하시오.
35. 제3자 제공과 업무위탁의 차이를 설명하시오.

36. 퇴사자 계정으로 해외 IP에서 VPN 접속이 성공했다.

37. 검색 파라미터에 SQL 키워드가 반복되고 DB 오류가 증가했다.

38. 게시판 댓글에 저장된 스크립트가 다른 사용자 브라우저에서 실행되었다.

39. 로그인된 사용자가 외부 사이트 방문 후 원치 않는 이메일 변경 요청을 보냈다.

40. 이미지 업로드 파일이 실제로는 서버 측 스크립트였고 URL 접근 시 실행되었다.

41. 주문번호를 바꾸자 다른 사용자의 주문정보가 조회되었다.

42. 일반 사용자가 role=admin 필드를 추가하자 관리자 권한이 부여되었다.

43. 결제 시스템의 RPO는 5분인데 백업은 하루 1회만 수행된다.

44. 해외 VPN 로그인 후 관리자 페이지 접속과 대량 DB 조회가 연속 발생했다.

45. 수탁업체가 위탁받은 업무 범위를 넘어 고객 정보를 자체 마케팅에 사용했다.

정의: 2점
위험 또는 필요성: 2점
핵심 대응 또는 절차: 4점
운영·증적·재발방지 관점: 2점

의심되는 문제:
판단 근거:
즉시 조치:
재발 방지:

로그형 문제에서 판단 근거 없이 공격명만 쓰면 감점.
사고 대응에서 원본 증거 보존을 누락하면 감점.
개인정보 유출 대응에서 통지·신고 검토와 피해 최소화를 누락하면 감점.
수탁자 문제에서 계약, 감독, 재위탁 통제를 쓰지 않으면 감점.
RTO/RPO 문제에서 업무 요구사항과 백업·복구 전략 연결을 누락하면 감점.