명품 커머스 플랫폼 기업의 취약점 진단 및 보안 인프라망 구축
프로젝트 발표날짜 : 2022. 06. 13
KH IEI PROJECT
잘해조
(정보시스템구축) 스마트혼합훈련 기반 정보보안 전문가 양성과정 1회차
| 팀장/팀원 | 윤**(팀장) : 1) Network 토폴로지 설계 2) Server Farm Network, 공격자 Network 구성 3) DB Server 구성 4) Backup Server 구성 5) DHCP Server 구성 6) 권한위임(root, gTLD Server) 구성 7) WAF Server 구성 8) IPS 구성 9) LVS 구성 10) 모의해킹 - 정보 수집(수동적, 능동적 정보수집, Exploit(metaspolit)), DOS(UDP Flooding, ICMP Flooding, Syn Flooding, TCP Connect Flood, GET Flooding, Hulk, CC Attack, Slow HTTP POST/ Header/ read DOS)/ DDOS(TCP Connect Flood)/ DRDOS(ICMP Flooding), 모의해킹 결과 보고서 및 체크리스트 |
|---|---|
| 변** : 1) DMZ Network, User Zone Network, 지사 Network 구성 2) DNS(정방향/ 역방향), DNSSEC 구성 3) WEB Mail Server 구성 4) IDS 구성 5) NAC 구성 6) 모의해킹 - Sniffing(ARP Spoofing, ICMP Spoofing, DHCP Attack), Spoofing(IP Spoofing, DNS Spoofing, DNS Cache Poisoining), TCP Session Hijacking, 악성코드(Ransomeware, Backdoor), PW Cracking, SSL Attack(SSL Mitm, SSL Strip), GRE Sniffing 7) 원격 서비스 - RDP |
|
| 이** : 1) Server Farm Network, Backbone Network 구성 2) VLAN, Spanning Tree, VRRP 3) L4 Switch - FWLB 4) ESM Server 구성 5) UTM Server 구성 6) 모의해킹 - WEB 정보수집(Banner Grabbing, WEB Spidering, Vulnerability Scan), Bypassing Client Side Validation, WEB 인증 공격(Dictionary Attack), WEB 세션 공격(Fixation, Hijacking), XSS(Stored, Reflected) 7) VPN 8) 원격 서비스 - SSH |
|
| 임** : 1) DMZ Network 구성 2) WEB Server(HSTS) 1, 2 구성 3) WAF 구성 - 이중화 4) L4 SLB - HA 5) 모의해킹 - XSRF(Stored, Reflected), SQL Injection(인증우회, Non-Blind(Query/ Error), Blind(Boolean/ time)), Directory Listing, File Upload/ Download 6) rsyslog, logrotate, SELinux, Tripwire, 백업(WEB) 7) 원격 서비스 - Telnet(WEB Server) 8) Secure Coding |
|
| 개요 | 지난해 주요 백화점 매출에서 2030이 차지하는 비중이 절반을 넘어서기 시작했고, 온라인 쇼핑에 익숙한 세대인 만큼 명품 소비 또한 온라인에서 점점 더 활발해지고 있다. 또 코로나 이후 , 명품 온라인 플랫폼의 성장세가 높아지고 있는 추세이다. OO기업은 명품 커머스 플랫폼 기업으로 최근 서비스 운영 중 해킹 공격을 받아 회원 정보가 유출되는 사고가 발생하였다. 이를 해결하기 위해 제안 요청서 작성 및 예산을 책정하여 입찰 공고를 진행한 결과 OO네트워크 보안회사가 선정되었다. OO보안회사는 기존 네트워크망에 모의해킹을 통해 취약점을 분석하였고, 보안 솔루션 장비인 UTM, WAF, NAC를 도입해 개인정보 침해사고에 대비하고자 보안 인프라망을 구축 후 재진단을 실시하였다. |
| 구현기능 | [모의해킹] 1. 모의 해킹 방식 1) White Box Testing 2. 수동적 정보수집 1) DNS 정보수집 - dig (1) Zone Transfer (2) Dictionary Attack - dnsenum 2) 경로추적 - traceroute 3. 능독정 정보수집 1) Active Host Scanning – hping3, nmap 2) Port Scanning – SYN Stealth Scanning, X-MAS Scanning 3) Vulnerability Scanning (1) Nessus 4. 공격수행 1) Metasploit 2) Network (1) Sniffing - ARP Spoofing or ARP Redirect - ICMP Spoofing(ICMP Redirect) - DHCP Attack(Starvation/ Spoofing) - GRE Tunneling (2) Spoofing - IP Spoofing(Telnet/ SSH 접근통제 우회) - DNS Spoofing, DNS Cache Poisoning (3) Hijacking - TCP session Hijacking(telnet) 3) System (1) 악성코드 - Ransomeware, Backdoor(local/ remote) (2) PW Cracking - john-the-ripper, Hydra 4) WEB (1) 정보수집 - Banner Grabbing, WEB Spidering, Vulnerability Scan (2) Bypassing Client Side Validation (3) WEB 인증 공격 - Brute Forcing(hydra) (4) WEB 세션 공격 - Fixation, Hijacking (5) Cross Site Scripting - Stored, Reflected (6) Cross Site Request Forgery - Stored, Reflected (7) SQL Injection - 인증우회, Non-Blind(Query/ Error) (8) Directory Listing (9) File Upload/ Download (10) SSL Attack - SSL Mitm, SSL Strip, HeartBleed 5) DOS/ DDOS/ DRDOS (1) DOS - UDP Flooding, ICMP Flooding, Syn Flooding, TCP Connect Flood (2) DDOS - UDP Flooding, ICMP Flooding, TCP Connect Flood, GET Flooding, Hulk, Slow HTTP POST/ Header/ read DOS (3) DRDOS - ICMP Flooding 5. 모의해킹 결과 보고서 및 체크리스트 ================================================================================== [보안 인프라 구성] 1. Network 관련 구성 내용 Hierarchical 3 layer 모델을 기반으로 Network 토폴로지 설계, User Zone, ServerFarm, DMZ Network 망분리 Network IP주소 할당, NW 장비 기본 설정 및 Network 정보설정, Routing, NAT, TFTP를 이용한 설정 내용 백업 및 복구(L2, L3, L4, Router) Spanning Tree, VLAN(부서별 VLAN 부여), VPN(Site-to-Site : 터널링으로 본사 – 지사 연결), L4 Switch(SLB, FWLB, HA) Router ACL, iptables(Host 기반), IDS(Network 기반), IPS, NAC(Untangle) 2. System 관련 구성 내용 Cron, rsyslog, logrotate, 백업(완전 백업), PAM, SELinux, Tripwire 3. Service(Application) 관련 구성 내용 원격 서비스(Telnet/ SSH/ RDP), DNS, DNSSEC, DHCP, WEB(HSTS), Secure MAIL(WEB) 4. WEB 관련 구성 내용 WEB&DBMS 구축 및 연동, Secure Coding, WAF(inline - High Availability) 5. 기타 SOL 관련 구성 내용 UTM, ESM |
| 설계의 주안점 | 1) Network 구성 능력 향상 2) DATABASE 관리를 통한 자료 관리 능력 향상 3) Server 구성 및 Service 제공 능력 향상 4) 암호화 통신 구성 및 운용 능력 향상 5) iptables 정책을 통한 정책의 이해와 정책 관리 능력 향상 6) 보안망 구성 능력 향상 7) UTM, NAC 등 보안 정책의 이해와 정책 관리 능력 향상 8) 보안장비와 게이트웨이 이중화를 통한 부하 분산 및 고가용성 보장 |
| 사용기술 및 개발환경 |
1) OS : Windows7, CentOS6.7, Alteon, Oracle VirtualBox, WinXP, Windows_ Nessus 2) Tool : GNS3, Wireshark, VMware |
|
|
③ 제1항에 따른 권리 행사는 정보주체의 법정대리인이나 위임을 받은 자 등 대리인을 통하여 하실 수 있습니다. 이 경우 개인정보보호법 시행규칙 별지 제11호 서식에 따른 위임장을 제출하셔야 합니다.
④ 개인정보 열람 및 처리정지 요구는 개인정보 보호법 제35조 제4항, 제37조 제2항에 의하여 정보주체의 권리가 제한 될 수 있습니다.
⑤ 개인정보의 정정 및 삭제 요구는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없습니다.
⑥ KH정보교육원은 정보주체 권리에 따른 열람의 요구, 정정·삭제의 요구, 처리정지의 요구 시 열람 등 요구를 한 자가 본인이거나 정당한 대리인인지를 확인합니다.
