자유게시판

요즘들어, 하루가 다르게 사이버 공격이 밤낮없이 발생하고 있다.

방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다.

더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다.

처음부터 완전한 보안 시스템은 없다.

간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화하는 것이 중요하다.

 

날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한  시기다.

정보자산의 보안 강화를 위하여 무엇 보다도 2차 인증을 우선적으로 도입해야 하는 곳은 바로 다양한 애플리케이션이 운영되는 Windows, Mac, Linux/Unix 계열의 운영체제(OS, Operation System)가 가장 기본이다.

특히, 해커들이 다양한 운영체제에 우회/원격접속 차단 및 중간자 공격을 어떻게 차단하고 방어할 것인지가 중요하다.

그러기 위해서는 다양한 운영체제 시스템에 로그인 시 로그인-ID 및 비밀번호 이외에 반드시 별도의 추가인증 절차가 필요하다.


또한, 사용자가 웹사이트나 앱인 플리케이션에 로그인할 때 기본적인 로그인 외에 별도의 추가 인증인 다중 인증(MFA, Multi-Factor Authentication)으로 보안을 강화해야 한다. 다중 인증에는 아이디와 비밀번호 이외에 2차로 지문·홍채 등 생체인식, 인증서, 이메일, OTP 등이 사용되며, 로그인 시 별도의 비밀코드를 제공한다.

인증 방식으로 Gateway 방식(+Proxy 방식)은 접속하기 위한 통로를 별도로 설치한 후 사용자가 해당 통로를 통해서만 접근하도록 하는 방식이다. 예를 들어, 자동차를 타고 고속도로에 진입하기 위해서 반드시 톨게이트를 거쳐 통행료 징수를 위한 체크를 하듯이 서버나 네트워크, DB에 접속, 로그인하거나 로그인 한 후에 프로세스를 수행하기 위해서는 반드시 Gateway를 거치도록 구성하여 모든 로그인과 철저하게 통제하는 방식이다.

Proxy Gateway 방식은 별도의 서버(안전성을 위해 이중화 구성 필요)를 설치한 후에 독립적인 IP 및 포트를 부여하고, 접속 시 해당 IP 및 포트로 로그인 하도록 한다.

인증서버 방식인 Gateway 방식을 사용하는 것은 해커들이 너무도 좋아하는 우회/원격 접속, 중간자 공격이 가능한 솔루션으로 보안 전문가들은 이런 분류의 솔루션은 보안 솔루션으로 취급하지도 않는다. 

 20230920_114219.png

 

다양한 운영체제 및 애플리케이션의 보안을 강화하기 위해서 각각의 컴포넌트 하나하나를 보호하는 방안을 마련하여 선택이 아닌 반드시 필수로 2차 인증을 적용하여 보다 안전하게 정보자산을 보호할 수 있으며, 보안성이 강하며, 단순하고, 관리도 필요 없고, 장애도 없고, 누구나 손쉽게 곧바로 적용하여 사용할 수 있고, 솔루션을 도입할 때 별도의 서버나 DB 같은 추가 도입이 필요 없는 솔루션을 적용하여 시너지 효과를 발생할 수 있다.

 

 

 다운로드.png

 

무엇보다도 2차 인증에 사용되는 인증키는 본인이 소유하고 있는 인증키 생성매체를 사용해서 본인이 직접 인증키를 생성하여 본인이 직접 입력해야 그나마 정보보안 사고를 예방할 수 있는 최선책이다.

 

결론은 다양한 운영체제 및 애플리케이션에 "2차 인증을 도입했다"는 것이 아니라 기술 및 보안성 등 "어떤 2차 인증을 도입했느냐"가 관건이다.

"아무 것도 신뢰하지 않는다" = "아무도 믿지 마라" = "계속 검증하라"

  • profile
    똥가리 2023.09.22 18:52

    요즘 스마트폰으로 은행의  각종 조회나 입출금 등 가능한데 비밀번호가 7자리 숫자로 로그인 하는데

    이게 안전한가 라는 생각이 들더군요 비록 숫자가 임의로 배치되긴 하지만 이용할 때 마다 의구심이 듭니다


List of Articles
번호 제목 추천 수 글쓴이 날짜 조회 수
39 비밀번호를 일회성/휘발성 같은 동적인 보안 솔루션으로 대체 했을 때 이점 1 file 1 BaroPAM 2024.01.07 771
38 크리덴셜 스터핑에 당하지 않으려면 웹사이트와 앱에 2차 인증의 활용은 선택이 아닌 필수로 적용해야 할 솔루션 file 0 BaroPAM 2021.01.09 1870
37 클라우드 계정을 훔치는 공격인 클라우드 재킹에 대비하여 클라우드에 2차 인증의 활용은 선택이 아닌 필수로 적용해야 할 솔루션 file 0 BaroPAM 2021.01.25 1891
36 정보자산의 보안 강화를 위하여 2차 인증(추가 인증)을 도입해야 하는 이유 file 0 BaroPAM 2021.03.25 2200
35 누리아이티, ‘2021 보안솔루션(SECaaS) 공급 Pool 등록 솔루션’ 공급 기업 선정 1 file 0 BaroPAM 2021.07.15 2385
34 정보자산의 보안을 강화하기 위하여 주목해야 할 것들 file 0 BaroPAM 2023.04.05 1328
33 누리아이티 "정보자산의 보안강화를 위한 3단계 인증시대 열겠다" file 0 BaroPAM 2023.04.15 1418
32 2단계 인증도 약하다. 3단계 인증의 시대로! file 0 BaroPAM 2023.05.14 1372
31 비밀번호를 매번 사용할 때마다 매번 변하거나 한번 사용하고 버리는 일회성/휘발성 같은 동적보안 솔루션으로 대체 했을 때 이점 file 0 BaroPAM 2023.05.21 1338
30 VPN의 보안 강화를 위하여 2차 인증 적용은 선택이 아닌 필수로 적용해야 할 최적의 방안 file 0 BaroPAM 2023.10.09 1244
» 무엇 보다도 2차 인증을 우선적으로 도입해야 하는 곳은 바로 다양한 애플리케이션이 운영되는 운영체제(OS)가 가장 기본 1 file 0 BaroPAM 2023.09.22 1025
28 정보자산의 보안 강화를 위한 2차 인증이란? file 0 BaroPAM 2023.09.30 1155
27 [디지털문서 인사이트]디지털시대 정보시스템 보안 및 인증 수단 file 0 BaroPAM 2023.10.05 1200
26 강력한 MFA도 무력화하는 MFA 피로공격과 MFA 우회기술 방어 file 0 BaroPAM 2023.12.14 1147
25 한 곳 털리니 딴 곳도 털렸다-크리덴셜 스터핑(Credential Stuffing) 공격 file 0 BaroPAM 2023.12.17 732
24 OpenVPN를 이용한 두 마리 토끼(관리/운영비용 절감, 보안 강화) 잡는 방안 file 0 BaroPAM 2023.12.19 832
23 정보자산의 관리 콘솔 접근 시 보안 강화를 위한 2차 인증(추가 인증) 적용 file 0 BaroPAM 2024.03.15 52
22 새로운 정보보호 패러다임(제로 트러스트 보안)의 보안 강화를 위해서는 가장 중요한 기본 사항 file 0 BaroPAM 2024.03.23 63
21 2차 인증: 기업의 ERP 시스템을 해커로부터 지키는 방법 file 0 BaroPAM 2024.04.07 78
20 보안 강화를 위한 개방형OS인 하모니카OS에 다중인증 솔루션인 BaroPAM 연동 file 0 BaroPAM 2024.04.13 279
Board Pagination Prev 1 2 Next
/ 2
CLOSE