20.09.04 ( 정보보호 3개법 하위법령 개정안 입법예고, 시스코 전 엔지니어 보안사고, 새로운 형식의 봇넷 FritzFrog )
1. 과학기술정보통신부, 정보보호 3개법 하위법령 개정안 입법예고
이번에 과기부에서 정보보호 3개법(전자서명법, 정보통신망법, 정보통신기반보호법) 하위법령 개정안을 입법예고한다고 합니다!
전자서명법
6월 전면 개정에 따른 후속 조치로 시행령, 시행규칙 개정안에 대한 의견 수렴을 10월 8일까지 실시한다고 합니다. 공청회는 9월 11일에 온라인으로 개최되며, '전자서명인증업무 운영기준 고시, 전자서명인증업무준칙, 국제통용평가 고시'를 마련하여 12월 10일에 제·개정할 예정이라고 하네요 :D
정보통신망법
정보통신망 연결기기 정보보호를 위한 정보보호지침 권고대상, 침해사고 대응 등 인증범위가 명시되었다고 합니다. 이는 정보통신망 연결기기에 대한 정보보호 인증절차, 시험 방법 등을 위한 조항을 마련했다고하네요! 그리고 보안 취약점 신고자에게 포상금 지급 근거를 마련하고 침해사고 전문기관을 지정했다고 합니다. 정보통신망법에 대한 의견은 10월 13일까지 수렴하며 정보보호인증에 대한 고시, 정보보호조치에 대한 지침 등 세부사항도 고시할 예정이라고 합니다 :D
정보통신기반보호법
주요 정보통신기반시설 지정 권고 절차와 통보 기한을 신설했다고 합니다. 이에 따라 중앙행정기관장은 정보통신기반시설 지정 여부를 결정하고 통보해야 한다고 합니다. 또한 취약점 분석과 평가 이행기간도 새롭게 명시되어 중앙행정기관 취약점 분석과 평가 명령을 받은 관리기관장은 6개월 이내에 실시해야 합니다. 정보통신기반보호법에 대한 의견은 10월 16일까지 수렴한다고 합니다 :D
2. 시스코 전 엔지니어의 보안 사고!
시스코의 전 근무자가 시스코의 클라우드 인프라에 허가 없지 접근해 대량의 계정을 삭제하여 유죄를 받은 사건입니다. 전 근무자는 퇴직한지 5개월이 지난 시점에서 시스코 클라우드에 허가 없이 자신의 구글 클라우드 프로젝트 계정에 있던 코드를 시스코 인프라 내에서 실행시켰다고 합니다.
이로 인해 시스코의 협업 플랫폼(WebEx Teams) 애플리케이션과 연동되는 가상 기계 456개가 사라졌으며, 1만 6천개의 WebEx Teams 계정들이 사용 불능 상태가 되었다고 하죠. 피해 복구액만 약 140만 달러에 달했으며 피해 고객들에게 100만 달러가 넘는 돈을 환불했다고 합니다.
이에 시스코 측은 문제가 발생한 직후 신속히 대응하였으며, 긴급 조치 후 유관기관에 보고하고 수사 담당자들과 협조체계를 구축하여 전 근무자를 체포하고 재발을 막을 수 있었다고 하네요 :D
이번 재밌는 사건을 통해 내부자 위협에 대해 다시 생각해볼 필요가 있는 것 같습니다. 내부자 위협은 보안에 대해 모르거나 부주의로 의해서 또한 회사에 불만을 품고 일으키는 경우를 말하는데 이에 대해 효율적인 보안 정책의 필요성을 느끼게 되네요!
3. 새로운 형식의 봇넷! FritzFrog
8월 19일 한 보안 업체에서 SSH 서버를 타겟으로한 FritzFrog라는 봇넷을 발견했다고 합니다! 근데 화제가 된 이유는 새로운 유형의 봇넷이라고 하네요..!
기존의 프로그램은 중앙 서버를 중심으로 이루어져 악성 프로그램을 분석하고, C&C 서버와의 연결을 차단하는 것으로 무력화가능 했었습니다. 하지만 FritzFrog는 P2P로 구성되어 있어 각 기능이 분산된 노드들로 이루어져 있습니다. 각 노드가 무작위 대입 공격(Brute Force Attack)을 수행하고 SSH서버의 관리자 계정 탈취에 성공하면 노드들은 서로 암호화된 통신을 하기 시작하죠 :D
이 때 중요한 것은 서버의 메모리 내에서만 실행되어 디스크에 흔적이 남지 않는다는 것이 FritzFrog의 특징입니다. 이로 인해서 알기도 어렵고 백신 프로그램으로 즉시 잡아내기는 어렵다고 하네요! 심지어 시스템에 백도어를 심게 되면 FritzFrog가 삭제되어도 접근이 가능하다고합니다 ㅠ_ㅠ
FirtzFrog에 대응법은 무작위 대입 공격을 통해 SSH 서버의 계정을 탈취하는 것이기 때문에 서버 관리자 계정의 비밀번호를 어렵게 설정하거나 SSH서비스를 이용하지 않는다면 비활성화 하는 방법이 있겠습니다 :D
출처
https://www.etnews.com/20200903000100
과기정통부, 정보보호 3개법 하위법령 개정안 입법예고
과학기술정보통신부가 전자서명법, 정보통신망법, 정보통신기반보호법 등 정보보호 3개법 하위법령 개정안을 입법예고한다. 전자서명법은 지난 6월 전면 개정에 따른 후속 조치로 시행령과 시�
www.etnews.com
https://www.boannews.com/media/view.asp?idx=90778
시스코 전 엔지니어, 회사에 200만 달러 넘는 손해 일으켜 유죄
시스코 시스템즈(Cisco Systems)의 전 근무자가 지난 2018년 시스코의 클라우드 인프라에 허가 없이 접근해 1만 6천여 개의 웹엑스 팀즈(Webex Teams) 계정을 삭제한 건에 대하여 유죄를 인정했다.
www.boannews.com
https://www.dailysecu.com/news/articleView.html?idxno=113037
[정보보호 카드뉴스] 흔적도 없이 당한다?! 새로운 형식의 봇넷 등장!...'FritzFrog' - 데일리시큐
[제공=스틸리언 / 클릭]★정보보안 대표 미디어 데일리시큐!★
www.dailysecu.com