KH IEI PROJECT
[NCS]웹정보보안구축과정 1회차
김언체 강사 / 이경아 취업담임
2016. 07. 20 (A)
1 팀
GREnovation
팀장/팀원 |
김**(팀장), 김**, 전**, 김**, 이**
|
개요 |
GREnovation(Grey + Revolution + Innovation)
보안 컨설팅 업체를 컨셉으로 잡고 신생 커뮤니티 업체인 "History"에게 컨설팅 의뢰를 받아 컨설팅을 진행 |
구현기능 |
1. 네트워크 기본 망 취약점 분석 후 재 구축
- 망 분리: Server Farm 과 DMZ 구간 분리
- 이중화 진행: 안전성과 안정성을 위해 모든 장비 이중화 (L3, UTM, Router 이중화)
- 보안 솔루션 도입: 내·외부 경계지점에 Sophos UTM 장비 구축, 내부 GW 앞 iptables 구축
- 패킷 분석: Wireshark를 이용한 패킷 분석
2. 컨설팅 체크리스트 제작
- 분류: Windows, Linux시스템, 서버, Web, 네트워크, 보안 장비, 개인PC, 물리적 보안
3. 보안 솔루션 설정 및 관리
- Sophos UTM: NAT, Routing, Firewall 설정
- iptables: White list 기반으로 한 보안 정책 수립 (Interface, Port, SIP/DIP 필터링)
4. 웹 페이지 구축
- IIS-7.0 (Windows Server 2008), asp 언어 기반으로 작성, MS-SQL DB 사용, 회원가입, 로그인,
게시판(글 작성, 글 삭제, 글 수정, 파일 업/다운로드), 로그 아웃, 회원 정보 변경
5. 서버 구축
- DNS (Windows Server 2008): www.history.com 도메인 등록
- DHCP (Windows Server 2008): 내부 IP pool 지정
- FTP: vsftpd 사용
6. 웹 시큐어 코딩
- Session Hijacking, XSS, CSRF, SQL Injection 등 OWASP을 기반으로 한 각종 웹 취약점을 보안한 시큐어 코딩 |
설계의 주안점 |
1. 실제 컨설팅과 유사하게 진행
2. 적절한 역할 분배와 일정 분배로 효율적인 프로젝트 진행
3. 시나리오의 완벽화, 안정성과 안전성이 최고인 네트워크 망 구축, 실제 IT Hacking 동향을 따라 모의해킹 진행 및 보안 구축을 실제 컨설팅 업체처럼 진행 |
|
2 팀
I.O.I
팀장/팀원 |
강**(팀장), 이**, 이**, 이**, 박**
|
개요 |
모의해킹을 통한 각종 취약점 발견 및 대응 방안 수립
IOI(IoT of Information Security) 가상의 컨설팅 회사를 설립한 후 개인정보탈취에 민감한 대학병원을 고객사로 설정하여, 모의해킹을 통해 각종 취약점 발견 및 대응 방안 수립 |
구현기능 |
1. 네트워크 기존 망: L2 스위치, L3 라우터 만 존재
2. 체크리스트 구성: 네트워크, windows, centos, 개인용, 웹&DB, 방화벽
3. Web(tomcat)/Database(mysql): 로그인, 게시판(글 작성, 글 삭제, 글 수정, 파일 업/다운로드), 로그 아웃, 회원 정보 변경
4. 모의해킹(kali + xp + GNS): 체크리스트를 이용하여 진행
5. 네트워크 망 및 서버에 대한 취약점 분석 후 재 구축 |
설계의 주안점 |
궁극적인 목표인 안정성과 안전성을 위한 서비스 및 네트워크 이중화, VPN을 이용한 서비스 제공, 체크리스트를 활용한 위험성 김지 및 대응 |
|
3 팀
Black Shield
팀장/팀원 |
현**(팀장), 구**, 유**, 박**, 김**
|
개요 |
보안컨설팅을 주제로 하여 시나리오를 (주)빡다방이라는 가상회사에서 최근 발생된 금융권 및 대규모 포털 사이트의 개인정보 유출, 국가기관의 해킹, 랜섬웨어 등의 보안사고를 접하고 이를 우려하여 웹 서버에 대하여 발생 가능한 위험들을 식별하고 발생하기 쉬운 취약점 등에 대한 점검 및 보안 솔루션을 의뢰하기 위해 입찰경쟁 방식으로 제안요청서를 공지, 제안서를 보내 입찰에 참가 및 최종 입찰에 성공하여 컨설팅을 진행한다는 내용으로 프로젝트를 진행 |
구현기능 |
1. DNS, WEB/DB, DHCP server 구축
2. WEB server 구축 및 WEB site 제작
3. 보안 전/후 network 망 구성(Vlan, Gateway 이중화, 망 분리, 보안 장비)
4. Network / WEB 모의해킹 진행 및 취약점 분석
5. 취약점 분석한 결과를 바탕으로 보안대책 수립(보안 정책, 인증 정책, secure coding)
6. 컨설팅 체크리스트 작성, 제안서 작성, UTM 설정 |
설계의 주안점 |
실제 보안컨설팅과 유사하게 진행하기 위해 고객사에서 보안컨설팅을 요구하는 시나리오로 설정하여, 국가가 제시하는 보안기준을 기반으로 기술 분야를 보안한 체크리스트를 토대로 보안 솔루션을 진행 |
|
발표회현장 바로가기