공군 정보보호병 면접 준비

1) 간단한 자기소개 부탁드립니다

OO대학교 OOOO학과에 재학중인 OOO입니다.

2) 동아리에서 무슨 일을 했나요?

동아리 팀원들과 팀을 짜셔 프로젝트 공부를 했습니다 대표적으로 파이썬 개발 cms 취약점 연구가 있습니다

3) cms 취약점 연구라고 했는데 cms가 뭔가요?

cms란 콘텐츠매니지먼트 시스템의 약자로 웹사이트를 구성하고 다양한 콘텐츠를 효율적으로 관리할수 있도록 도와주는 시스템입니다. 대표적으로 제로보드 워드프레스 등이 있습니다

4) cms에는 무슨 취약점이있죠?

xss와 파일업로드 취약점이 있습니다

5) OWASP Top 10에서 있는 알고 있는 공격방법과 방어대책이 뭔가요?

A1. 인젝션

(1) 정의
신뢰하지 못한 데이터가 인터프리터에 삽입될 경우에 발생됩니다 예를들어 SQL이취약점으로 사용될 수 있습니다
(2) 방어대책

• 해당 취약점은 웹 스캐너로 확인할 수 있고 소스코드검토가 있는데 ~~
• asp에서는 replace() 함수를 이용하여 특수 문자(')를 일반 문자열로 변환하여 SQL Ingection을 차단합니다.
• php에서는 addslashes()함수를 이용하여 특수문자(')를 일반 문자열로 변환합니다.
• jsp에서는 setstring()을 이용하여 username 필드로 입력되는 문자를 일반 문자열로 변환합니다
• 500번 에러정보를 404 페이지로 변환합니다

A2. 취약한 인증과 세션관리

인증 및 세션처리기능의 취약점을 악용한것입니다 해당 취약점은 OWASP에서 요구 하는 인증과 세션관리에 관한 요구사항을 만족해야합니다 세션 ID값을 가로챌 수 있는 XSS공격을 고려한 방어정책마련.

A3. XSS

웹 사이트를 변조하거나 악의적인 사이트로 유도하는 행위를 한다 신뢰할 수 없는 데이터가 포함 될 수 있는 HTML(body, attribute, 자바스크립트, CSS, URL) 기반 데이터 전체를 올바르게 제한하는 것이다

A4. 안전하지않은 직접개체 참조

파라미터 값 변조를 통해 허가 되지 않는 객체에 대한 접근을 하는 것을 의미합니다 다운로드 취약점을 예로 들수 있습니다(파일을 다운로드 시키는 동적페이지에 시스템 접근요청을 통해 시스템파일 다운로드를 시도합니다. 방어대책은 파일명 등에 . / 등의 특수한 문자등을 체크하여 다운로드를 제한한다.

A5. 보안상 잘못된 구성

A6. 민감한 데이터 유출

말그대로 민감한 데이터 유출을 의미하는 것으로 예를 들어 중간자 공격(가짜 웹사이트)을 통해 공격하는경우가 있습니다. 불필요하게 중요정보를 저장하거나 데이터 암호화 등이있습니다

A7. 기능레벨이 빠진 접근제어

예를들어 action 파라미터와 같이 권한관련된 기능을 제공하는 경우 권한별로 접근제한이 되어야하나 접근제한이 안되는 경우가 있습니다
방어대책으로는 기능레벨통제를 수행하고 있는지 검토하는 것

A8. CSRF

브라우저에서 사용자 몰래 요청이 일어나게 강제하는 공격입니다
방어대책으로는 captcha와 같은 기술을 이용하여 특정 http요청 시 함게 입력하여 재인증 절차를 가지도록 하는 것이 필요합니다

A9. 알려진 취약성을 포함한 컴포넌트 사용

사용하고있는 것들에 대한 최신업데이트가 좋습니다

A10. 검증되지 않은 리다이렉트와 포워드

파라미터 url에 악의적인 사이트를 삽입하여 피싱 혹은 악성코드 감염에 사용하는 기법으로 방어대책은 리다이렉트나 포워드 기능을 사용하지 않으면 됩니다

6) 파이썬 개발 프로젝트에서는 무엇을 하였나요?

파이썬 프로그래밍으로만 하는 python challenge라는 워게임사이트가 있습니다 이 사이트에서 나오는 문제들을 차근차근 풀며 진행하였습니다 최종목표는 검색사이트 만들기입니다

6-1) 인상에 남는 문제가 있나요?

9번문제가 기억에 남습니다 문제가 참 재밌엇습니다 그 문제는 한 언덕사진하나와 발음해보시오 라는 글귀밖에 없엇습니다 소스를 보니 peak hill 뭐랑 비슷하게 발음되냐?라는 말과함께 알수없는 대괄호 소괄호 따옴표 숫자가 나열되어잇었습니다 peak hill과 관련된 모듈을 찾아봐도 없고 도서관에서 파이썬 관련된 책을 찾아봐도 없었습니다 그래서 p로 시작하는 모든 모듈(pipe pprint platform등)을 찾던도중 pickle이라는 모듈을 발견하엿습니다 이모듈을 통해 unpickle을 하였고 그러자 샵(#)으로 이루어진 글자가 나타나는 놀라움을 볼수 있었습니다

이 문제는 문제푼것중에서 가장 고민하고 오래걸린 문제라서 인상에 남습니다

6-2) pickle이 무슨 모듈이죠?

리스트나 튜플 등을 통째로 저장하는데 쓰이는 모듈입니다

7) 왜 이러한 병과에 오게 되었는가?

주위 사람들의 얘기를 들어보면 군대는 되도록 빨리 가는 게 좋다는 말이 많지만, 저는 저의 전공을 활용하여 나라에 헌신하는데 제 특기를 쏟아 붓고 싶어서 지원하게 되었습니다, 그래서 저는 건강한 남자라면 반드시 가야 하는 군대를 저의 특기를 살려서 입대하기 위해 2학년 졸업을 할 때 까지 기다려서 지원하게 되었습니다

8) 왜 하필 공군을 지원하게 되었는가?

정보보호병에 알아보던중 공군에는 공군인으로서 최선이라 생각하는 윤리적 원칙으로 판단과 행동의 기준이 되는 핵심가치가 있다는 것을 알게되었습니다. 저는 이점이 육해공중에서 공군을 지원하는데 결정적인 이유가 되어 지원하게 되었습니다

8-1) 핵심가치에는 무엇이 잇는가

도전 전문성 팀워크 헌신

8-2) 핵심가치중에서 가장 마음에 드는게 잇는가?

네, 도전이 가장 마음에 듭니다 왜냐하면 저는 비록 제 분야에 있어서 최고되진 못하지만 최선을 다한다면 이룰수 잇을거라 생각하기에

9) 왜 이런 과에 오게 되었는가

대학교 들어오기 전까지는 컴퓨터를 남들보다 조금 더 잘알고 흥미를 가지고 있는 쪽이엿습니다 컴퓨터공학과에도 갈 수 있엇지만 해킹과 보안쪽에 더 관심이 많았기에 지원하게 되었습니다

10) 적성에 맞는가?

학과에 들어오고 나서 1학년 때까지는 컴퓨터로 하는작업보다 이론이 더 많았기에 적성이 안맞나 싶었습니다 하지만 2학년이 되어서 정보보호동아리에 가입한 이후 학과공부와 동아리활동을 하다보니 이쪽이 내 적성에 맞구나 라는 것을 알게 되엇습니다

11) 최근 보안 이슈에 대해 설명해주세요

11-1) 3.20 사이버테러

국내 금융권 및 방송사를 대상으로 전산 장애가 동시 다발적으로 발생한 테러입니다 320사이버테러는 해커가 기업내부 전산망에 위치한 백신 관리서버를 통해 apt공격으로 6개 기업에 백신 업데이트파일로 위장한 악성코드 파일을 설치하면서 정해진시간에 백신 프로그램을 강제종료시키고 하드디스크의 MBR 및 데이터 파괴를 하고 PC강제종료를 시키는 테러입니다

11-2) 625사이버테러

6월 25일에 청와대 홈페이지 및 주요 정부기관 등이 사이버 공격에 노출되어 웹 사이트를 변조했던 웹 사이트 변조 공격, 신상정보를 탈취한 공격, 시스템을 마비시킨 디도스공격에 당한 테러입니다 변조된 청와대홈페이지로인해 북한의 소행이라는 말이 있엇지만 그간 어나니머스에서 트위터를 통해 공개한 청와대 웹사이트를 변조하는 동영상으로 미루어 볼 때 Anonymous가 해커라고 잠정 밝혀진 사이버테러입니다.

11-3) 스미싱이란?
Sms+피싱의 합성어로 휴대전화 메시지를 이용한 새로운 휴대폰 해킹 기법입니다 무료쿠폰제공, 스마트명세서 발송, 모바일 상품권 등의 메시지를 발송하여 이용자가 메시지상의 주소를 클릭하는 순간 악성코드가 스마트폰에 깔려 개인정보를 빼낸 후 이용자 명의로 소액결제를 하는 수법입니다

12) 잘하는게 뭔가요?

저는 2가지를 주로 흥미를 가지고 있습니다 웹해킹과 프로그래밍입니다

12-1) 웹해킹은 어떤 종류를 했나요?
XSS와 CSRF, 파일 업로드 앤 다운로드를 했습니다

13) 정보보안전문가와 해커의 차이점이 뭐라고 생각하나요

컴퓨터에 불법적으로 데이터 프로그램 침해목적으로 침투하는자->크래커
컴퓨터사용자로부터 시스템에 불법적으로 침투하는 유저 ->해커
정보보안전문가는 컴퓨터시스템의 정보를 보호하는 일을 합니다

13-1) 차이가 뭔가요?

윤리적 의식에서 차이가 납니다

14) 웹해킹만 공부하셨나요?

아니요 프로그래밍 언어도 공부했습니다

14-1) 어떤 언어를 공부하셨나요?

파이썬와 c그리고 jsp를 다룰줄알며 파이썬은 프로젝트로 공부한적이 있습니다

15) 향후 계획

파이썬으로 워게임사이트를 통해 공부를 좀더해서 검색엔진을 만들어볼 예정이며 그런후 java를 공부하여 자바서블릿과 jsp 두 가지 언어를 동시에 사용하는 제 3의 프로그래밍 방법인 beans를 학습하는 것까지 저의 목표입니다

17) 세션 하이재킹이란?

서버와 클라이언트가 TCP를 이용해 통신하고 있을때 RST패킷을 보내서 세션을 끊고 시퀀스 넘버를 새로 생성하여 세션을 빼앗아 인증을 회피하는 방법

18) 스위치와 라우터의 차이점

• 스위치는 우선 2계층에서 동작하는것과 3계층에서 동작하는것이 있습니다 2계층에서 동작하는 스위치는 MAC addresss를 보고 데이터를 전달해주는 기능을 담당하고 하드웨어 적으로 동작합니다 (mac을 제어할 수 는 있지만 ip를 이용한 전달은 수행할수 없습니다. 3계층에서 동작하는 스위치는 스위칭허브에 라우터 기능을 추가시킨거라고 보시면 됩니다. ip address를 보고 경로를 결정지으며 소프트웨어를 지원합니다.
• 라우터는 3계층에서 경로설정등의 동작 하고 3 계층의 데이터를 이용해 트래픽을 포워딩하고 필터링하는 3계층의 장비이다. 라우터는 네트워크 프로토콜에 기반을 둔 패킷을 필터링하고 또한 브로드캐스트도 필터링할 수 있다. 그러므로 라우터는 계층 2나 3에서 동작할 수 있다.
• 게이트웨이는 전계층에서 프로토콜변환등의 작업도 합니다

19) 보안 관제가 뭐하는 일인가요?

내,외부로 부터의 해킹 시도를 모니터링하는 것입니다.이벤트 탐지 -> 초기 분석 -> 긴급 대응 -> 상황 전파ids, esm

20)보안 관제에 사용하는 정보보호 시스템을 말해보세요

첫번째로 가장일반적으로 사용되는 방화벽그리고 ids 그리고 ips waf가 있습니다

• 방화벽: 가장 일반적인 정보보호 시스템 중 하나이다ip와 포트를 기반으로 접근통제정책을 수립해서내/외부를 분리하고 외부의 허가되지 않는 접근을 차단하는 일입니다네트워크 트래픽에 직접 관여해서 접근 통제를 수행
• IDS : 네트워크의 미러링된 트래픽만을 분석해서 해킹 시도를 탐지합니다 방화벽 대비 실시간 처리 보다 완벽한 처리를 중시합니다
• IPS : 방화벽의 실시간 처리기능과 IDS의 정교한 탐지기능을 합친 시스템입니다 네트워크 트래픽에 직접 관여해 유입되는 트래픽을 모니터링하고 분석해서 해킹 시 도로 정의된 패킷의 내부 유입을 사전에 차단하는 역할을 수행합니다.
• WAF : 웹서버만을 보호하기 위해 설계된 정보 보호 시스템 클라이언트의 요청을 대신 처리하거나 클라이언트 요청을 직접 모니터링 한다
• ESM : 정보 보호 시스템 정보 시스템 등에 설치해 각종 로그를 수집하고 정규화한 후 종합적인 분석을 통해 해킹 시도를 탐지하는 관제 시스템