<블로그 | 블룸버그의 중국산 스파이 칩 보도를 의심하는 이유>에서도 이야기했듯, 필자는 중국이 미국 기업들이 사용하는 서버 마더보드에 하드웨어 스파이 칩을 심었다는 블룸버그 보도 내용에 큰 의구심이 든다. 중국은 과거부터 미국 기업을 대상으로 적극적인 스파 ...
지금부터 약 10여 년 전 포레스터 리서치에서 처음으로 제안한 ‘제로 트러스트(zero trust)’ 모델은 기업 보안에 대한 접근 방식으로, 여기에 따르는 변화와 사용자 경험에 미치는 영향을 정확하게 이해하고 있지 않으면 이행하기가 쉽지 않다. ...
CISO들이 비즈니스, 공식 보안 프로세스, 교육 수준 향상 등이 다양한 보안 목표를 우선순위에 두는 것으로 조사됐다. ESG는 정보시스템보안협회(ISSA)와 공동으로 매년 사이버보안 전문가를 대상으로 이들의 사고방식에 관한 연구 프로젝트를 수행하고 있다. ...
아마존이 AWS S3 구성 오류 확률을 줄이기 위해 2가지 신규 툴, 젤코바(Zelkova)와 타이로스(Tiros)를 준비 중이다. 이는 누가 데이터와 리소스에 접근하는가와 이들이 할 수 있는 것을 한층 명확히 정의할 것이다. 이들 툴은 액세스 컨트롤을 분석하고 평가하 ...
거의 10년 동안 PHP 역직렬화(unserialization) 취약점은 사이버 범죄자가 원격 코드 실행을 설치하거나 다른 악성코드를 시스템에 제공하는 데 쓰이는 인기 있는 경로였다. 그러나 이번달 블랙햇에서 발표된 새로운 연구에 따르면 악의적인 해커는 이 공격에 대해 ...
임직원 개개인의 실수, 무지, 무관심으로 중소기업에서 사이버보안 사고가 발생하고 있다. ESG는 최근 북미에서 임직원 50~499명인 중소기업에서 근무하는 400명의 사이버보안 및 IT전문가를 대상으로 설문조사를 마쳤다. 상상할 수 있듯이 이 회들 조직은 ...
약 5년 전 유통 업체 타깃(Target)이 최악의 대규모 보안 침해를 입은 이후로 결제 시스템이 디지털 공격에 취약할 수 있다는 잠재적인 결함에 대해 점점 더 많은 관심이 집중됐다. 이제 모바일 플랫폼을 통한 결제가 점차 늘고 있는 만큼 가맹점에 카드나 가상 ...
엔드포인트 보안은 여러 방면으로 IT 초기 시대에 있었던 컴퓨터 보호 형태의 직계 후손이다. 하지만 조직들이 악성코드와 침입자를 방어하기 위해 자체 네트워크에서 PC, 서버, 휴대전화에 대한 통제권을 조율하려 시도하면서 빠르게 성장하는 카테고리이기도 하다. 많은 업체들 ...
아인슈타인은 다음과 같이 말했다. “어떤 문제가 제시됐는데, 그 문제를 풀 수 있느냐에 내 모든 것이 걸려있다고 해보자. 주어진 시간이 1시간이라면, 나는 그 1시간 중 55분을 올바른 질문을 던지는 데 쓸 것이다. 질문만 제대로 설정 된다면, 정답을 찾는 ...
그 어느 때보다 지능형 지속 공격(advanced persistent threat, APT) 해커 및 악성코드가 기승을 부리고 있다. 수법도 더욱 교묘해졌다. APT 전문 해커들은 정부 기관이나 관련 산업에 고용되어 의뢰받은 기업과 타깃 해킹을 생업으로 삼는 이들이다. ...
지난 수십 년간 해커와 이들이 개발해 사용하는 악성코드의 수가 급증했다. 컴퓨터가 흰색의 큰 상자였던 시절, 해커들은 이제 막 걸음마를 배우는 단계였다. 그리고 이들이 하는 일은 ‘유치한 장난’에 불과했다. 예를 들면, 컴퓨터 화면에 ‘ ...
전 세계 사이버 보안 관계자들이 지난 20년 동안 제조된 대부분 컴퓨터에 영향을 끼치는 보안 결함의 총체인 스펙터(Spectre) 및 멜트다운(Meltdown)과 씨름하면서 소프트웨어 패치의 중요성이 다시 한번 주목받고 있다. 왜냐하면 제공되는 소프 ...
오픈소스를 사용하면 개발자가 시간과 비용을 절약할 수 있다. 다시 말해 개발자에게 오픈소스 활용은 일상이 됐다. 하지만, 그만큼 보안에 대한 위험 부담도 있다. 오픈소스를 사용하면서 보안을 향상하는 데 필요한 사항을 소개한다. 올해 에퀴팩스(Equifax) ...
디지털 변혁(DX)은 프로세스와 서비스를 디지털화해서 기업의 민첩성과 운영 효율성을 높이는 것이 목적이다. 그 범위는 고객 서비스 제공부터 공급망 협력업체와의 프로세스 개선까지 다양하다. 마케팅팀은 제품 홍보 방식을 혁신하고자 하고 HR부서는 채용을 개선하고자 하며 I ...
데이터 기반 방어는 조직의 자체 데이터를 사용하여 가장 중요한 위협을 식별하고 완화한다. 그럴듯하게 들리지만, 막상 조직이 데이터 기반 방어를 도입하려 하면, 내부 저항에 부딪힐 것이다. 필자는 남은 경력을 데이터 주도형 컴퓨터 보안 방어 고취에 전념하기로 ...
  1. 블로그 | '중국산 스파이 칩 사태로 본' IT공급망 공격의 해결책

  2. 2018.10.18
  3. <블로그 | 블룸버그의 중국산 스파이 칩 보도를 의심하는 이유>에서도 이야기했듯, 필자는 중국이 미국 기업들이 사용하는 서버 마더보드에 하드웨어 스파이 칩을 심었다는 블룸버그 보도 내용에 큰 의구심이 든다. 중국은 과거부터 미국 기업을 대상으로 적극적인 스파이 활동을 펼치고 있다. 필자 역시 이를 의심하지 않는다. 또 중국은 관심이 있는 지적 재산 비밀 상당수를 이미 훔친 상태다. 그런데 중국은 세계 경제를 주도하는 경제 대국이 되어가고 있다...

  4. '어떤 것도 믿지 마라' 제로 트러스트 보안 모델 도입 5단계

  5. 2018.09.19
  6. 지금부터 약 10여 년 전 포레스터 리서치에서 처음으로 제안한 ‘제로 트러스트(zero trust)’ 모델은 기업 보안에 대한 접근 방식으로, 여기에 따르는 변화와 사용자 경험에 미치는 영향을 정확하게 이해하고 있지 않으면 이행하기가 쉽지 않다. 제로 트러스트 모델은 새롭게 등장하는 위협에 대항하여 애플리케이션 및 데이터를 보호하기 위해서는 네트워크와 엔드포인트 보안에 대한 강력한 사용자 인증 및 디바이스 확인이...

  7. 기고 | CISO가 생각하는 사이버보안 조치

  8. 2018.09.13
  9. CISO들이 비즈니스, 공식 보안 프로세스, 교육 수준 향상 등이 다양한 보안 목표를 우선순위에 두는 것으로 조사됐다. ESG는 정보시스템보안협회(ISSA)와 공동으로 매년 사이버보안 전문가를 대상으로 이들의 사고방식에 관한 연구 프로젝트를 수행하고 있다. (2017년 보고서는 여기에서 볼 수 있다.) 지난해 연구의 일환으로 우리는 응답자들에게 향후 조직이 사이버보안을 개선하고자 취해야 할 최우선 행동이 무엇인지를 질문했다. 그다음 응답자의...

  10. AWS의 클라우드 구성 오류 문제, 해법은?

  11. 2018.08.23
  12. 아마존이 AWS S3 구성 오류 확률을 줄이기 위해 2가지 신규 툴, 젤코바(Zelkova)와 타이로스(Tiros)를 준비 중이다. 이는 누가 데이터와 리소스에 접근하는가와 이들이 할 수 있는 것을 한층 명확히 정의할 것이다. 이들 툴은 액세스 컨트롤을 분석하고 평가하고, 고객의 클라우드 환경의 개방성을 매핑한다. 아마존웹서비스(AWS)는 고객의 클라우드 환경의 보안을 보장하는 데 늘 문제가 있다. 구성 오류는 흔한 일이고, 이로 인해 엄청...

  13. '저위험' PHP 역직렬화 취약점, 재평가해야

  14. 2018.08.23
  15. 거의 10년 동안 PHP 역직렬화(unserialization) 취약점은 사이버 범죄자가 원격 코드 실행을 설치하거나 다른 악성코드를 시스템에 제공하는 데 쓰이는 인기 있는 경로였다. 그러나 이번달 블랙햇에서 발표된 새로운 연구에 따르면 악의적인 해커는 이 공격에 대해 위험이 적었던 환경에서도 이 취약점을 도입할 수 있는 것으로 밝혀졌다. 대부분 범죄(또는 업무) 분야와 마찬가지로 사이버범죄에서도 많은 변화가 일어나지만 사람들은 과거의 행동...

  16. 기고 | '실수, 무지, 무관심' 중소기업 사이버보안 실태

  17. 2018.08.22
  18. 임직원 개개인의 실수, 무지, 무관심으로 중소기업에서 사이버보안 사고가 발생하고 있다. ESG는 최근 북미에서 임직원 50~499명인 중소기업에서 근무하는 400명의 사이버보안 및 IT전문가를 대상으로 설문조사를 마쳤다. 상상할 수 있듯이 이 회들 조직은 사이버보안 및 IT담당 직원이 CIO나 CISO가 아닌 경영진에게 보고하는 소규모인 경향이 있다. 이들 조직은 사이버보안을 어떻게 다루고 있나? 그다지 잘하는 것 같지는 않다. ...

  19. 늘어나는 모바일 POS 결제, 단말기 해킹이 위험하다

  20. 2018.08.20
  21. 약 5년 전 유통 업체 타깃(Target)이 최악의 대규모 보안 침해를 입은 이후로 결제 시스템이 디지털 공격에 취약할 수 있다는 잠재적인 결함에 대해 점점 더 많은 관심이 집중됐다. 이제 모바일 플랫폼을 통한 결제가 점차 늘고 있는 만큼 가맹점에 카드나 가상화폐 결제를 유도하는 방식으로 모바일 POS(mPOS) 단말기 시스템을 해킹하는 쪽으로 옮겨가는 추세다. 저명한 영국 보안 연구원들은 최근 라스베이거스에서 열린 블랙햇 USA(...

  22. '정의, 동향, 주요 업체'로 알아보는 엔드포인트 보안

  23. 2018.05.28
  24. 엔드포인트 보안은 여러 방면으로 IT 초기 시대에 있었던 컴퓨터 보호 형태의 직계 후손이다. 하지만 조직들이 악성코드와 침입자를 방어하기 위해 자체 네트워크에서 PC, 서버, 휴대전화에 대한 통제권을 조율하려 시도하면서 빠르게 성장하는 카테고리이기도 하다. 많은 업체들이 고객들의 관심과 돈을 얻기 위해 다투면서 앞으로 업계에 어떤 일이 닥칠지 살펴보도록 하자. 엔드포인트 보안이란 무엇인가? 엔드포인트 보안은 네트워크를 보호하기 위해 각 컴...

  25. 칼럼 | 보안 담당자가 '직접' 생성해야 할 맬웨어 지표 5가지

  26. 2018.05.24
  27. 아인슈타인은 다음과 같이 말했다. “어떤 문제가 제시됐는데, 그 문제를 풀 수 있느냐에 내 모든 것이 걸려있다고 해보자. 주어진 시간이 1시간이라면, 나는 그 1시간 중 55분을 올바른 질문을 던지는 데 쓸 것이다. 질문만 제대로 설정 된다면, 정답을 찾는 일은 5분이 채 걸리지 않을 것이기 때문이다.” 컴퓨터 보인 분야에 만연한 문제 중 하나는 보안 전문가라는 사람들조차 회의적인 태도를 유보하고, 관계기관의 공식 성명을 ...

  28. 기고 | APT로 의심되는 5가지 징후

  29. 2018.04.30
  30. 그 어느 때보다 지능형 지속 공격(advanced persistent threat, APT) 해커 및 악성코드가 기승을 부리고 있다. 수법도 더욱 교묘해졌다. APT 전문 해커들은 정부 기관이나 관련 산업에 고용되어 의뢰받은 기업과 타깃 해킹을 생업으로 삼는 이들이다. 후원자의 이해관계에 부합하도록 중요 정보를 캐내거나, 악성코드를 심거나, 타깃 네트워크 및 컴퓨터에 원할 때마다 잠입할 수 있도록 백도어 프로그램을 설치해 두는 등의 작업을 한다. ...

  31. '은행강도부터 핵티비스트까지' 10가지 해커 유형별로 본 위험

  32. 2018.04.26
  33. 지난 수십 년간 해커와 이들이 개발해 사용하는 악성코드의 수가 급증했다. 컴퓨터가 흰색의 큰 상자였던 시절, 해커들은 이제 막 걸음마를 배우는 단계였다. 그리고 이들이 하는 일은 ‘유치한 장난’에 불과했다. 예를 들면, 컴퓨터 화면에 ‘양키 두들’이나 ‘대마초 합법화’ 같은 문구 또는 그림을 표시하는 정도였다. 그러나 컴퓨터가 발전해 ‘경제’가 되면서, 해커들도 순진한...

  34. '패치만 잘해줬어도…' 관리 프로세스 6단계

  35. 2018.04.13
  36. 전 세계 사이버 보안 관계자들이 지난 20년 동안 제조된 대부분 컴퓨터에 영향을 끼치는 보안 결함의 총체인 스펙터(Spectre) 및 멜트다운(Meltdown)과 씨름하면서 소프트웨어 패치의 중요성이 다시 한번 주목받고 있다. 왜냐하면 제공되는 소프트웨어 패치가 결함을 해결할 수 있기 때문이다. 단, 칩 성능은 희생해야 한다. 오늘의 상황은 워너크라이(WannaCry)와 페티야(Petya) 랜섬웨어에 대한 작년의 이야기가 반...

  37. 여전히 존재하는 오픈소스 SW 보안 문제, 이유는? 해법은 없나?

  38. 2018.04.04
  39. 오픈소스를 사용하면 개발자가 시간과 비용을 절약할 수 있다. 다시 말해 개발자에게 오픈소스 활용은 일상이 됐다. 하지만, 그만큼 보안에 대한 위험 부담도 있다. 오픈소스를 사용하면서 보안을 향상하는 데 필요한 사항을 소개한다. 올해 에퀴팩스(Equifax) 해킹은 오픈소스 소프트웨어와 구성요소가 여러 이점이 있지만 적절하게 유지하고 관리하지 않으면 기업 보안에 엄청난 위험을 유발한다는 점을 상기시켰다. 4월, 플래시포인트 인텔리전스(F...

  40. 'CISO, 디지털 변혁 최전선으로' 언제? 왜?

  41. 2018.03.16
  42. 디지털 변혁(DX)은 프로세스와 서비스를 디지털화해서 기업의 민첩성과 운영 효율성을 높이는 것이 목적이다. 그 범위는 고객 서비스 제공부터 공급망 협력업체와의 프로세스 개선까지 다양하다. 마케팅팀은 제품 홍보 방식을 혁신하고자 하고 HR부서는 채용을 개선하고자 하며 IT팀은 온라인 서비스를 즉시 반복하고자 한다. DX 프로젝트를 시작하려는 조직들은 계획 및 전략 단계에서 인력과 프로세스, 기술을 한데 모아야 한다. 데이터 분석, 사물...

  43. 칼럼 | 데이터 주도형 보안으로 가는 길

  44. 2018.03.08
  45. 데이터 기반 방어는 조직의 자체 데이터를 사용하여 가장 중요한 위협을 식별하고 완화한다. 그럴듯하게 들리지만, 막상 조직이 데이터 기반 방어를 도입하려 하면, 내부 저항에 부딪힐 것이다. 필자는 남은 경력을 데이터 주도형 컴퓨터 보안 방어 고취에 전념하기로 했다. 한 마디로 경험을 통해 기업의 로컬 데이터를 활용하여 더욱 효율적이고 효과적인 컴퓨터 보안 방어를 구축하는 것이다. 필자는 약 10년 동안 백서, 서적 및 각종 행사 발표를 ...

X