상세목차

• 1 이 글에 대해
• 1.1 이 글을 읽는 방법
• 1.2 범위/목적
• 1.3 대상
• 1.4 정정/오류
• 1.5 저작권
• 2 서론
• 2.1 왜 IT 보안이 필요한가?
• 2.2 왜 보안 정책이 필요한가?
• 2.3 당신의 시스템은 안전합니까?
• 2.4 보안을 개선하기 위한 방법
• 2.4.1 아래에서 위로의 접근(Bottom Up Approach)
• 2.4.2 위에서 아래로의 접근(Top Down Approach)
• 2.4.2.1 개요
• 2.4.2.1.1 공식 위험분석 방법(e.g. MARION)
• 2.4.2.2 위협+영향+가능성 =위험
• 2.4.2.3 위협의 원천
• 2.4.2.4 영향
• 2.4.2.5 제약조건 분석
• 2.4.2.6 위험 요약
• 2.4.2.7 대응 전략 & 대응 방법
• 3 보안 조직
• 3.1 개요
• 3.2 조직적 구조
• 3.3 역할과 책임
• 3.4 절차
• 3.4.1 보안 HotLine/HelpDesk
• 3.4.2 변경관리
• 3.4.3 시스템 감시
• 3.4.4 데이터 백업 & 복구
• 3.4.5 시스템 감사
• 3.4.6 위기관리 / "긴급구조" / 비상대책팀 / 재난관리 계획
• 3.5 보안 마케팅
• 3.6 보안 정보센터
• 4 정보의 분류
• 4.1 가용성 분류
• 4.2 민감성 분류
• 4.2.1 개념
• 4.2.2 등급 : 공개 / 미분류 정보
• 4.2.3 등급 : 내부 정보
• 4.2.4 등급 : 중요 정보 (Confidential Information)
• 4.2.5 등급 : 기밀 정보 (Secret Information)
• 5 시스템에 대한 필요조건
• 5.1 시스템 모델
• 5.2 가용성 필요조건
• 5.3 민감성 필요조건
• 5.3.1 등급 필요조건: 공개 / 미분류 데이터
• 5.3.2 등급 필요조건: 내부 데이터
• 5.3.3 등급 필요조건: 중요 데이터 (Confidential data)
• 5.3.4 등급 필요조건: 일급기밀 데이터(Top Secret data)
• 5.3.5 필요조건: 오렌지북 등급과의 관계
• 5.4 구성요소 보안 체크리스트
• 6 보안 정책
• 6.1 전사적 정책
• 6.2 정보보안 정책
• 6.2.1 개념
• 6.2.2 정보의 분류
• 6.3 개인 보안정책
• 6.3.1 윤리
• 6.3.2 비밀번호 정책
• 6.3.3 일반적 소프트웨어 정책
• 6.3.4 네트웍
• 6.3.5 인터넷
• 6.3.6 랩탑 및 휴대용 컴퓨터
• 6.4 컴퓨터 &네트웍 정책
• 6.4.1 시스템 관리 정책
• 6.4.1.1 물리적 보안
• 6.4.1.2 접근제어
• 6.4.1.3 로그온 정책
• 6.4.1.4 보증
• 6.4.1.5 책임성과 감사
• 6.4.1.6 서비스의 신뢰성
• 6.4.2 네트웍 정책
• 6.4.2.1 네트웍 분산시스템 정책
• 6.4.2.2 Dial-in 접속
• 6.4.2.3 Dial-out (PSTN/ ISDN)
• 6.4.2.4 인터넷 방화벽
• 6.4.2.5 다른 네트웍과의 인터페이스
• 6.4.2.6 사고대응 절차
• 6.4.3 소프트웨어 개발정책
• 6.4.3.1 일반적 가이드라인
• 6.4.3.2 제작 가이드라인
• 6.5 사업 연속성 계획(UC)
• 6.6 시행
• 7 보안 기법(메커니즘)
• 7.1 암호화 & 전자서명
• 7.1.1 공용 (또는 대칭) 키 암호화
• 7.1.2 공개키 암호화
• 7.1.3 해싱/메시지 축약
• 7.1.4 암호 적용
• 7.1.4.1 암호화 강도
• 7.1.4.2 법적인 문제 / 수출 제약 (Sep.97)
• 7.1.4.3 디지털 시간날인(Time-stamping) 서비스 (DTS)
• 7.1.4.4 인증(Certification), 공인 인증기관(Certification Authorities,CA)과 신뢰할수있는 제삼자(Trusted Third Parties,TTP)
• 7.1.4.5 긴급 파일접근
• 7.1.4.6 암호화를 이용한 안전한 데이터 전송
• 7.1.4.6.1 안전한 파일교환에 FTP 사용하기
• 7.2 암호화 제품/프로토콜 견본
• 7.2.1 SSH (Jan 1997)
• 7.2.2 SSL (Secure Socket Layer) V3 (Mar.1997)
• 7.2.3 PCT V1.0
• 7.2.4 S-HTTP (Secure HTTP)
• 7.2.5 J/Crypto, CST (Sep'97)
• 7.2.6 SKIP (May'97)
• 7.2.7 IPv6 (IPng) (July 1996)
• 7.2.8 Photuris
• 7.2.9 PGP (Pretty Good Privacy) (Mar.'97)
• 7.2.10 S-Tool (UC)
• 7.2.11 SET (Secure Electronic Transmission) - June 1997
• 7.2.12 미국 밖에서 쓸 수 있는 암호화 제품
• 7.3 인증(Authentication)
• 7.3.1 인증기법 요약
• 7.3.2 로그온
• 7.3.3 커버로스(Kerberos)
• 7.3.4 NIS+
• 7.3.5 원격 접근 제어 프로토콜: RADIUS, XTACACS
• 7.3.5.1 RADIUS (Remote Authentication Dial In User Service).
• 7.3.5.2 XTACACS (Enhanced Terminal Access Controller Access System)
• 7.3.5.3 TACACS+
• 7.3.6 PPP 인증 프로토콜: PAP,CHAP
• 7.3.7 BoKS
• 7.3.8 HTTP 기본 인증
• 7.3.9 NT Domains / Lan Manager / SMB & NetBIOS /NetBeui /CIFS
• 7.3.10 그밖의 것들
• 7.4 접근제어목록(Access Control Lists , ACLs)
• 7.5 규칙과 정책(Rules& Policies)을 구현하기 위한 메커니즘
• 7.6 가용성 메커니즘
• 7.6.1 백업 & 복구
• 7.6.2 환경
• 7.6.3 여분(Redundancy)
• 7.6.3.1 어플리케이션/서비스 redundancy
• 7.6.3.2 RAID / Mirroring (UC)
• 7.6.3.3 시스템 Redundancy
• 7.6.3.4 전체 하드웨어 redundancy
• 8 물리적 보안
• 8.1 건물
• 8.2 데이터 전송
• 8.3 백업
• 8.4 디스크
• 8.5 랩탑/휴대용 컴퓨터
• 8.6 프린터
• 8.7 컴퓨터
• 8.8 "Clean desk"

• 간단한 보안 체크리스트
• 분류 요약
• 구성요소 보안 체크리스트

• 네트웍 모델 (OSI)
• 네트웍 프로토콜
• Lan Manager / Microsoft Network / NT Domains
• TCP/IP
• 약점
• 라우팅 프로토콜 (TBD)
• PPP (Point to Point Protocol) (TBD)
• DNS (Domain Name Service)
• NIS, NIS + (Network Information Service)
• DHCP (Dynamic Host Configuration Protocol)
• NFS (Network File System)
• Appletalk, SNA, IPX/SPX, OSI protocols, X.25, Decnet (TBD)
• 네트웍의 물리적 유형
• Ethernet
• 전용회선
• FDDI (UC)
• ATM (TBD)
• 네트웍 장비
• 허브(Hubs)
• 브릿지(Bridges)
• 라우터(Routers)
• 모뎀(Modems)
• 게이트웨이(Gateways)
• 인터넷 메일 게이트웨이
• WAN의 외부연결
• 외부연결에 대한 허가
• 들어오는 연결 (Incoming connections)의 예
• 나가는 연결 (Outgoing Connections)의 예
• 단순한 인터넷이나 게시판 접속
• 안전하지 못한 서브넷 (subnets)
• 네트웍 관리/감시
• IBM Netview, HP Openview, Sun NetManager (TBD)

• 전화/팩스 네트웍 (UC)

• 소개
• 참고문서
• 시작포인트
• 정책
• 방화벽 유형 선택
• Buy in or build yourself?
• 비용
• 보장(Assurance)
• 위험
• 샘플 아키텍쳐
• 스크린 라우터 (Screening Router) 아키텍쳐
• 듀얼 홈 호스트(Dual Homed) 아키텍쳐
• 스크린 호스트 (Screened Host) 아키텍쳐
• 스크린 서브넷(Screened Subnet or DMZ) 아키텍쳐
• Invisible Filter 아키텍쳐
• 방화벽 암호화/터널
• 관리상의 문제 (Administration Issues)
• 관리 쉽게하기
• 백업
• 로깅
• 시간별 접근제어
• 조직
• 가용성
• 구성상의 문제
• OS (운영체제,Operating System)
• 필터링( Filtering)
• 프락시(Proxies)
• 서비스
• 원격접속 서버(Remote Access Servers (PSTN / ISDN))
• 견본 제품
• 인증 제품 (30.1.97)
• Bellcore S/Key
• OPIE (One-time Passwords In Everything)
• ACE Server (SecurID)
• Safeword
• Watchword (UC)
• Defender Security System
• Intelligent filters (screens)
• IP Filter 3.1.5 (Feb. 1997)
• SunScreen 100G V1.0 (July. 1997)
• 프락시 & 필터
• TAMU drawbridge
• DEC Firewall (UC)
• TIS Gauntlet & FWTK (Mar. 96)
• SOCKS 5 (21 Oct.1996)
• Firewall-1 (Jan.1997)
• Harris Firewall (UC)
• Norman Firewall (June 1996)
• WWW/HTTP 프락시
• 방화벽 침투시험
• 침입탐지
• 요약: 방화벽 핵심 가이드

• 인터넷/인트라넷
• 소개
• 클라이언트 보안&브라우저
• 인터넷으로부터의 다운로드
• Java 1.01
• Javascript
• Hot Java
• ActiveX
• Netscape Navigator
• Microsoft Internet Explorer (June'97)
• 서버: WWW (World Wide Web)
• 참고문서
• 개요
• 일반
• 인증
• 접근제어
• 프라이버시 문제/쿠키
• 가용성
• Redundancy
• 인터넷 화폐
• 이메일
• 안전한 이메일
• PGP
• PEM
• S/MIME (Mar.'97)
• 일반적 권고사항
• 이베일 서버 & 시스템
• Microsoft Exchange V4 (Mar.'97)
• MS-Mail (Feb.'95)
• UNIX mail (SMTP, MIME, sendmail, MMDF)
• Sendmail
• MMDF (Multi-channel Memo Distribution Facility)
• 사무자동화(OA)
• MS-Office (Winword/ Excel/ PowerPoint)
• WordPerfect
• 윈도우 도움말 파일
• Postscript
• Ghostscript
• MS-Schedule+ (UC)
• 호스트 에뮬레이터 (vt100, 3270)
• Teemtalk
• X Windows (Dec.'95)
• 소개
• 일반적 권고사항
• xhost
• xauth
• HP OpenView (TBD)
• Sun OpenWindows
• Common Desktop Environment (CDE) (UC)
• X Display Manager (XDM)
• Xterm
• Workflow Managers
• Staffware V5 (UC)
• 일반l
• 책임성(Accountability)
• 사용자 확인/권한부여
• 감사추적
• 접근제어
• 객체 재사용
• 안전한 데이터 교환
• 상대방 인증(Peer Entity authentication)
• 무결성
• 기밀성
• 송수신 부인방지
• 가용성
• 백업
• Redundancy
• EDI
• 안전한 어플리케이션 개발
• UNIX 어플리케이션 개발
• 개발언어
• CGI 프로그래밍

클라이언트/서버 통신

• 트랜잭션 모니터
• X/Open DTP
• 참고문서
• Unisys Open/OLTP 4.2.2 = IMC TUXEDO 4.2.2 (for UNIXNT/PC)
• 일반
• 특성
• 호환성
• 참고문서
• 트랜잭션 무결성
• 책임성
• 사용자 확인/권한부여
• 감사추적
• 접근제어
• 객체 재사용
• 안전한 데이터교환
• 상대방 인증(Peer Entity authentication)
• 무결성
• 기밀성
• 데이터송신(발원)지 인증
• 송수신 부인방지
• 가용성
• 부하분산
• 서비스 Redundancy
• 마스터 Redundancy
• WSH (Workstation Handler) Redundancy
• OLTP Interface to Oracle 7
• HIT (Host Integration Toolkit) 1.0
• 일반
• 설치
• 트랜잭션 무결성
• 책임성
• 사용자확인 / 권한부여
• 감사추적
• 접근제어
• UNIX 로그인 보안
• 파일 시스템
• 객체재사용
• 안전한 데이터교환
• 상대방 인증(Peer Entity authentication)
• 무결성
• 기밀성
• 송수신 부인방지
• 가용성
• 서비스 Redundancy
• 데이터베이스
• (관계형) 데이터베이스 일반적 지침
• 일반
• TCSEC 평가 데이터베이스
• 트랜잭션 무결성
• 책임성
• 사용자확인/권한부여
• 감사추적
• 접근제어
• UNIX 로그인 보안
• 파일시스템
• Views and stored procedures
• 객체 재사용
• 통신 / 안전한 데이터교환
• 상대방 인증
• 무결성
• 기밀성
• 데이터 송신지 인증
• 송수신 부인방지
• 가용성
• 백업
• 자원악용 방지
• 복제
• Redundancy
• Sybase (Nov.'95)
• 4.9.x
• System 10, System 11
• Microsoft SQL server (Dec.'95)
• 일반
• 책임성
• 사용자확인/권한부여
• 개요
• 권고사항(Recommendations)
• 감사추적
• 접근제어
• Views and stored procedures
• 파일시스템
• 객체 사용권한
• 객체 재사용
• 통신 / 안전한 데이터교환
• 상대방 인증
• 무결성
• 책임성
• 백업/복원
• 복구
• 연속성 검사
• 조직
• Redundancy
• 모니터링
• 복제
• Mirroring
• SQL Server V6.0
• Oracle 7.1 or later (Dec.'95)
• 일반
• 위험
• 참고문서
• 책임성
• 사용자확인/권한부여
• 감사추적
• 접근제어
• 차별적 접근제어
• 안전한 시스템의 시동
• 통신 / 안전한 데이터교환
• 상대방 인증
• 데이터 무결성
• 데이터 기밀성
• 송수신 부인방지
• 접근제어(TBD)
• 가용성
• 자원악용 방지
• 백업/복원
• Redundancy
• 복제

• 보증
• TCSEC (Orange Book) 요구사항에 대한 준수 (Spring 1996)
• ITSEC 요구사항에 대한 준수(June 1996)
• 권고사항(Recommendations)
• 일반
• 위험
• 참고문서
• 책임성
• 사용자확인/권한부여
• 감사추적
• 접근제어
• 차별적 접근제어
• 안전한 시스템의 시동
• 통신 / 안전한 데이터교환
• 상대방 인증
• 데이터 무결성
• 데이터 기밀성
• 송수신 부인방지
• 접근제어 (TBD)
• 가용성
• 자원악용 방지
• 백업/복원
• Redundancy
복제

• 16.1 PC보안을 위한 핵심 가이드
• 16.2 일반
• 16.2.1 휴대형 컴퓨터 사용
• 16.3 참고문서
• 16.4 보증
• 16.4.1 바이러스 방지
• 16.5 책임성
• 16.5.1 사용자확인/권한부여
• 16.5.2 감사추적(UC)
• 16.6 접근제어
• 16.6.1 차별적 접근제어
• 16.6.2 안전한 시스템의 시동
• 16.6.3 객체 재사용
• 16.7 통신 / 안전한 데이터교환
• 16.7.1 상대방 인증
• 16.7.2데이터 기밀성
• 16.7.3 송수신 부인방지
• 16.8 네트웍 & 통신
• 16.8.1 라우팅: TCP/IP
• 16.9 가용성
• 16.9.1 백업/복원 (Win95)
• 16.9.2 자원악용 방지
• 16.9.3 Patches & Release 관리
• 16.9.4 복제
• 16.9.5 Redundancy
• 16.10 PC 클라이언트 보안도구
• 16.10.1 안전한 UNIX 서버 접근
• 16.10.1.1 F-Secure SSH (Secure Shell) V1.0
• 16.10.2 파일/디렉토리 암호화, 안전한 삭제도구
• 16.10.2.1 F-Secure Desktop V1.0 (Feb.'97)
• 16.10.2.2 Destroy
• 16.10.2.3 StopLight
• 16.10.2.4 Stoplock V (TBD)
• 16.10.2.5 Raxco EAC, SECUREcard (TBD)
• 16.10.2.6 RSA Secure (not yet available for Win95) UC: Dec'95
16.10.3 바이러스 방지책
• 17. Windows NT (3.5 - 4.0) 보안
• NT 보안 핵심 가이드
• 일반
• 참고문서
• 보증
• 주요 위험
• 현재 알려진 문제점/위험 (Feb. 1997)
• 인터넷 방화벽/인터넷 서버로서의 NT
• NT 워크스테이션
• 책임성
• 사용자확인/권한부여
• NT Domains / Lan Manager 3.0
• Guest 계정
• 임시사용자
• 사용자 그룹
• 권한
• 사용자 프로파일 (for NT clients only)
• 도메인 콘트롤러
• 로그온 스크립트
• Naming Services
• DNS
• DHCP
• WINS
• IP Naming service files
• 시스템 로그 & 감시
• 성능감시
• 감사
• 이벤트감사 및 보안 로그
• 파일 감사
• 레지스트리 감사
• 네트웍 연결 감사
• 클립북 감사
• 네트웍 서비스 로깅
• 프린터 감사
• 접근제어
• NT 레지스트리
• 화면 접근제어
• 스케쥴러 접근제어
• 프린터 접근제어
• 클립북 접근제어
• 파일시스템 접근제어
• 안전한 시스템 시동
• 객체 재사용
• 통신 / 안전한 데이터교환
• 네트웍 상대방 인증
• 트러스트
• 네트웍 데이터 무결성
• 네트웍 데이터 기밀성
• 송수신 부인방지
• 네트웍 접근제어
• RPC (TBD)
• 원격 구성 유틸리티
• NT 파일공유
• NFS
• RAS
• SNMP
• FTP 서버
• 라우팅
• 가용성
• 백업/복원
• 자원악용 방지
• 변경/릴리즈 관리
• 서버 재구성
• 변경 로그
• 사용자 공지
• Patches
• SMS (Systems Management Server) 1.1
• 접근제어
• 무결성
• 통신보안
• 가용성
• SMS Open Questions
• 원격 콘솔
• 원격 설치 (TBD)
• Redundancy
• 파일 복제
• 재난복구
• 보안도구
• 견본 스크립트
• 워크스테이션 레벨 보안 스크립트(UC)
• 서버 레벨 보안 스크립트
• 레지스트리 편집기
• NT resource kit
• C2 Configuration Utility (NT 3.51)
• DumpAcl V2.56
• Perl
• Postmail
• 그밖의 것들
• Compaq 서버 하드웨어 감시도구 (UC)
• UNIX 보안
• 개요
• UNIX 보안 핵심 가이드
• 일반
• 참고문서
• 보증
• "C2" for SunOS
• 주요 위험/문제점
• 책임성
• 사용자확인/권한부여
• 소개
• UNIX 계정: 일반 지침
• NIS
• NIS +
• 비밀번호 대체
• DES 암호 스크립트
• DNS (Domain Name Service)
• 감사추적
• 시스템 변경 감시
• 감사
• Sun Shield / BSM
• 로그파일
• Syslog
• Process Accounting
• Solaris Accounting
• 접근제어
• 프린팅 접근제어
• 어플리케이션 접근제어
• 플로피 드라이브 접근제어
• 장치 접근제어
• 로그인 접근제어
• 작업 스케쥴러 (at / cron) 접근제어
• 파일시스템 보안
• 안전한 시스템 시동</