이븐스타(대표 이상권)는 새롭고 다양한 보안기능을 추가한 SW 보안취약점 분석 제품인 ‘BigLook’이 한국정보통신기술협회(TTA)의 GS인증을 8월13일 획득하고 공공시장 진출에 박차를 가할 것이라고 밝혔다. GS인증은 소프트웨어에 대한 테스트를 진행하여 품질에 대한 기준이 통과되면 부여되는 국가인증이다. 공공기관은 GS인증을 받은 제품을 우선 선정하게 된다. 이와 더불어 8월14일 이븐스타는 한국인터넷진흥원(KISA)과 CC인증을 위한 평가계약을 체결했다고 발표했다. 이븐스타 이상권 대표는 “제품 업그레이드 작업으로 인해 CC

[박관순 지니온 보안컨설턴트] 2014년 4월 IT 업계를 뜨겁게 달구었던 ‘하트블리드(HeartBleed) 취약점’. ‘HeartBleed 취약점’이란 무엇일까요? ‘HeartBleed’는 오픈소스로 만들어진 ‘SSL(Secure Socket Layer)’의 취약점으로 공격성공 시 사용자들의 로그인 정보 및 개인키와 비밀키를 탈취할 수 있는 취약점입니다. 여기서 ‘취약점’이란? 보안상의 문제점을 안고 있는 컴퓨터 시스템의 약점을 의미합니다. 이러한 취약점으로 인해 우리의 시스템은 항상 해킹의 위협에 노출되어 있습니다. 그렇다면 이

국내 유명 자동차 관련 정보 사이트 신X닷컴의 시스템 파일 목록이 무방비로 노출되고 있어 보안사고 발생 우려가 커 신속한 보안조치가 필요한 상황이다. 해당 문제점을 발견하고 데일리시큐에 제보한 ‘마하나임’(닉네임)은 “해당 사이트의 시스템 파일 목록이 그대로 노출되고 있는 것을 발견했다. 또 server side script 소스코드도 그대로 노출되고 있고 시스템의 중요 설정파일이 다운받아질 뿐만 아니라 HTTP method를 통한 시스템 버전과 apache, php 구성의 버전정보가 노출되고 있어 위험하다”며 “신속한 보안조치가

지난주 일산 킨텍스에서 열린 출산박람회 사이트가 파라미터 변조로 인한 대량 개인정보 유출 위험성이 있는 것으로 드러났다. 해당 취약점을 발견하고 데일리시큐에 제보한 유승민씨는 “출산박람회에서 참석하기 위해서 사전등록을 하고 사전등록 수정/확인을 하던 중에 해당 취약점을 발견해 제보하게 됐다”며 “출산박람회는 해마다 인산인해를 이룰 만큼 많은 사람이 참석을 하고 있다. 많은 접속자가 몰리는 사이트임에도 불구하고 아주 손쉬운 파라미터 변조로 개인정보가 노출될 수 있어 담당자의 신속한 보안조치가 필요한 상황”이라고 당부했다. 확인결과,

홍명보 감독이 이끄는 한국 월드컵팀이 16일 오전 강호 러시아와 예선 1차전을 아쉽게도 무승부로 마무리했다. 이에 따라 국민들의 월드컵에 대한 관심이 더욱 고조되고 있다. 이런 가운데 브라질 월드컵을 사칭한 스미싱 문자가 추가로 3건 발송되고 있는 것이 확인됐다. 국민들의 각별한 주의가 필요하다. 한국인터넷진흥원에 따르면, 현재까지 브라질 월드컵과 관련 총 5건의 스미싱 문자가 발견되었으며, 확인된 스미싱 문자의 악성앱 유포지 및 정보유출지는 즉시 차단했다고 밝혔다. 추가로 확인된 스미싱 문자는 ‘월드컵 대국민은원보내기’, ‘월드컵

국내외 유명 해킹?보안 전문가를 초빙해 최근 이슈가 되고있는 내용으로 교육을 진행하고 있는 국제 해킹?보안 컨퍼런스 POC 트레이닝 코스에서 세미나를 개최했다. 특히 “실전 네트워크 해킹”의 주제로 네트워크 보안전문가 이경문씨의 발표내용이 주목받았다.그는 현장에서 직접 시연을 통해 최근 데일리시큐를 통해 공개된 주요 금융, 공공기관의 액티브X 보안모듈 무력화에 대한 기술을 보여주면서 국내 주요 포털 사이트뿐만 아니라 은행 및 카드사 등 금융권 사이트의 계정 정보를 습득할 수 있는 해킹 기법과 이에 대응할 수 있는 해결방안도 제시했다

어도비사는 어도비 플래시 플레이어(Adobe Flash Player)에 영향을 주는 6개 취약점을 해결한 보안 업데이트를 발표했다. 공격자는 취약점을 이용해 잠재적으로 시스템의 제어권한을 획득할 수 있어 이용자들은 신속한 보안 업데이트를 적용해야 안전할 수 있다. 주요 취약점 내용은 아래와 같다.◇cross-site-scripting 취약점 (CVE-2014-0531, CVE-2014-0532, CVE-2014-0533)◇보안기능을 우회할 수 있는 취약점(CVE-2014-0534, CVE-2014-0535)◇임의코드 실행으로 이어질

소스코드 취약점 분석 솔루션 포티파이가 안행부 47개 필수 보안 취약점을 모두 해결했다. 애플리케이션 및 IT인프라 보안 전문 기업 엔시큐어(대표 문성준)는 애플리케이션 소스코드 분석 솔루션 포티파이가 지난해 8월 안전행정부가 개정 고시한 시큐어코딩 가이드 내 소프트웨어 보안 취약점 47개를 모두 지원한다고 밝혔다. 최근 사이버 공격은 주로 소스코드 자체의 보안 취약점을 이용하는 제로데이 공격 또는 SQL 인젝션 등 애플리케이션 취약점을 악용한 것이다. 이러한 소스코드 자체의 보안 취약점은 방화벽 등의 일반적인 보안 장비로는 막을

오는 6월 17일 오후 1시부터 6시까지 서울 삼성동 코엑스 컨퍼런스 룸 남 300호에서 OWASP Korea Day 2014 워크샵이 개최된다. 이날 워크샵에는 성윤기 이사(OWASP 코리아챕터 리더)의 "OWASP 플래그쉽 프로젝트 소개 및 활용법” 발표와 악산 Chris Stahly 이사의 “OWASP Mobile Top Ten Risks 2014” 발표가 있을 예정이다. 모바일 리스크에 대한 국내 첫 발표로 관심이 모아지고 있다.(모바일 리스크 관련 기사: www.dailysecu.com/news_view.php?artic

디지털존사는 WeVo 유무선 공유기의 취약점을 해결한 보안 업데이트를 발표했다. WeVo 공유기 이외의 사용자도 최신 펌웨어 업그레이드 및 보안 설정이 필요하다. 영향을 받는 펌웨어 버전은 아래와 같다.-펌웨어 버전 2.3.9(W511SL, W622SL, SMART, K501, LT20, W723GL, D600G) 및 이전 버전-펌웨어 버전 2.3.10(BASICPLUS, NO1, iSMART TRUE300, ZR300, N3, iSMART PRO, N300) 및 이전 버전-펌웨어 버전 2.6.2(W622SR, W623SR, W62

최근 파밍으로 고객의 유·무선 인터넷 공유기에 설정된 DNS주소를 변조해 가짜 은행사이트로 접속하게 한 다음 금융정보를 절취하는 사례가 발생해 이용자들의 각별한 주의가 요구된다. 현재 금감원 조사에 따르면, 피해자는 1천691명으로 이름, 주민번호, 휴대폰번호, 거래은행명, 계좌번호, 계좌비밀번호, 보안카드 번호, 홈페이지 비밀번호가 유출되었다. 하지만 아직까지 금전피해는 없는 것으로 파악하고 있다. 해커는 공유기 출고시 설정된 비밀번호를 변경하지 않고 사용하는 공유기의 DNS주소를 변조해 피싱사이트로 유도하는 방식을 사용했다. 기

인기있는 워드프레스 확장프로그램의 보안 취약점으로 인해 패치되지 않은 웹사이트가 공격 받을 수 있다. 이 취약점을 패치하는 "All in One SEO Pack" 업데이트가 존재하므로 관리자들은 버전 2.1.6으로 업그레이드해야 한다. 이번 취약점은 권한 상승 취약점으로, 해킹되면 관리자 패스워드를 변경하고 웹 사이트에 백도어를 심을 수 있다. 이 공격은 코멘트를 게시할 수 있는 것과 같이 사이트에 권한이 없는 계정만 있으면 가능하다. -www.scmagazine.com/vulnerabilities

국내 유명 파일공유사이트(P2P)에서 쿠키 값 변조를 통한 XSS 취약점이 발견돼 사용자들의 각별한 주의가 필요하다.크로스 사이트 스크립팅(cross-site scripting, XSS)은 웹 애플리케이션에서 주로 나타나는 취약점의 하나로 웹사이트 관리자가 아닌 자가 웹 페이지에 악성 스크립트를 삽입할 수 있는 취약점이다. 주로 여러 사용자가 보게 되는 전자 게시판에 악성 스크립트가 담긴 글을 올리는 형태로 이루어진다. 이 취약점은 웹 애플리케이션이 사용자로부터 입력 받은 값을 제대로 검사하지 않고 사용할 경우 나타난다. 이 취약점

6월 4일 제6회 전국동시지방선거가 실시된다. 특히 접전을 펼치고 있는 분야가 바로 서울시 교육감 자리다. 현재 4명의 후보가 표심 얻기에 사활을 걸고 있다. 이런 가운데 모 후보 공식사이트의 관리자 페이지가 노출되는 취약점이 발견돼 신속한 조치가 필요한 상황이다. 해당 취약점을 발견하고 데일리시큐에 제보한 박상현(숭실고) 군은 “모 후보 공식사이트의 관리자 페이지 노출과 더불어 일반적인 아이디와 패스워드 인증방식 개념과 달리 패스워드 인증개념만 사용하고 있어 암호만 알면 관리자로 접근이 가능해 위험하다”며 “악의적 공격자라면 브루

한글과컴퓨터사의 한글 등 오피스 프로그램에서 임의 코드실행이 가능한 취약점이 발견돼 이용자들의 신속한 보안업데이트가 필요하다. 공격자는 특수하게 조작한 웹페이지 방문 유도 또는 웹 게시물, 메일, 메신저의 링크 등을 통해 특수하게 조작된 문서를 열어보도록 유도해 임의코드를 실행시킬 수 있다. 즉 이 취약점을 통해 악성코드 감염 및 해킹이 가능하다는 것이다. 영향 받는 버전 사용자는 악성코드 감염에 취약할 수 있으므로 해결방안에 따라 보안 업데이트를 해야 안전할 수 있다. 한글과컴퓨터 홈페이지에서 보안업데이트 파일을 직접 다운로드 받

영국 정보위원회 사무국(ICO)은 데이터 보안사고를 예방할 수 있는 8개 보안 문제를 기술한 보고서를 발표했다. 이 취약점은 SQL인젝션 취약점, 취약한 패스워드, 디폴트 로그인, 소프트웨어를 패치하지 않는 것, 설계상 취약점, 불필요한 서비스, 암호 누락 등이다. 회사들은 이 취약점을 해결하지 않고 침해사고가 발생하는 경우 25만파운드(원화 약 4억3천만원)의 벌금을 내야 한다. 이 보고서는 8개의 취약점을 완화시킬 수 있는 조치도 제공한다. -ico.org.uk/news/latest_news/2014/~

“한국에서 보안회사를 운영하면서 내수시장만을 가지고 발전하는데는 한계가 분명 있어요. 해외시장 개척이 답이죠. NSHC는 오랜 기간 해외 시장 개척을 준비해 오고 있었는데 몸이 한국에 있으니 답답한 부분이 많았어요. 지금이 아니면 언제 도전하겠어요. 한 살이라도 젊을 때 직접 가서 후회없이 부딪혀 봐야 직성이 풀릴 것 같았죠. 그래서 가족들과 함께 싱가포르로 이주한지 벌써 7개월이 됐네요.” 2003년 언더그라운드 해커모임으로 시작한 NSHC(대표 허영일. 사진)는 올해로 11주년을 맞는다. 스마트폰 보안 키패드 시장의 70%를 점

화이트햇 보안 보고서에 따르면 프로그래밍 언어 종류별 발견되는 취약점 개수에는 큰 차이가 없으나, 언어별 패치하는데 걸리는 시간은 다르게 나타났다. ASP에 있는 취약점이 다른 프로그래밍 언어에 있는 취약점보더 더 오래 패치되지 않고 있다. ASP 취약점은 약 139일간 패치되지 않고 있었으며 PHP는 129.5일, 자바는 90.9일이었다. 이번 조사에서 크로스사이트 스크립팅(XSS)이 .NET을 제외한 모든 언어에서 발견되는 최고 취약점이었다. -www.scmagazine.com/research-shows-vulnerabi

IOActive의 보고서에 따르면 군사, 항공 및 해양 통신에 사용되는 최소 10개 제조사의 위성통신(SATCOM) 터미널의 펌웨어에 심각한 취약점으로 인해 통신가로채기, 변조 및 차단 위험이 있다. 터미널에는 백도어, 하드코딩된 인증데이터 및 암호 취약점이 있다. 이 취약점을 공격하면 통신을 차단하고 잘못된 산박 위치 및 가짜 위기와 같은 잘못된 정보를 보낼 수 있다. 또 다른 기기의 위치를 찾을 수 있다. 보고서에 따르면 "기기 한대가 감염이 되어 해킹되면, 전체 SATCOM 인프라가 위험해 질 수 있다"고 밝혔다.

오픈SSL(OpenSSL) 허트블리드(heartbleed) 취약점에 노출된 제품 및 사이트가 지속적으로 증가하고 있고, 보안팀들이 업데이트 작업을 하고 있는 가운데 공격자가 시스템의 취약점을 악용했는지 여부를 알기 어렵다는 새로운 문제가 대두되고 있다. 이 오픈SSL 취약점의 특징은 사이트 운영자가 인지하지 못한 상태에서 공격자가 해당 취약점을 악용할 수 있다는 것이다. 이 취약점은 오픈SSL 라이브러리가 TLS를 위해 허트블리드 확장모듈을 처리하는 과정에서 발생하고 여러 버전의 오픈SSL 소프트웨어에서 발견되고 있다. 오픈SSL