데일리시큐는 22일 오전 이라는 제하의 기사를 통해 상당수 공공기관과 국내 유명 대학을 비롯한 많은 대학교 홈페이지 제작솔루션의 하위버전을 사용하는 곳에 심각한 보안취약점이 발견됐다는 보도를 낸 바 있다.-관련기사: www.dailysecu.com/news해당 취약점을 악용하면 현재 많은 대학교의 관리자 페이지를 악의적 해커가 그대로 접속할 수 있는 상황이었으며 홈페이지 훼손 및 웹쉘을 업로드해 다양한 후속 공격으로 정보유출 뿐만 아니라 학사문제에 심각한 영향을 줄 수 있는

국내 여러 공공기관과 상당수 대학교 홈페이지 제작시 사용되고 있는 모 홈페이지 템플릿 솔루션(기사 보도후 해당 업체가 신속한 보안조치를 데일리시큐에 약속하고 현재 작업중이므로 구체적인 솔루션명과 해당업체명은 무기명으로 처리하겠다.) 하위 버전을 사용하는 경우 URL변조 공격으로 대부분 관리자 페이지로 접속이 가능한 상황이란 것이 밝혀졌다. 이 문제는 해당 솔루션의 문제라기 보다는 최신 버전으로 버전업을 하지 않고 하위 버전을 그대로 사용하고 있는 대학교 홈페이지 관리자의 문제라고 볼 수 있다. 이 문제를 데일리시큐에 제보한 UniH

프로그래밍 강좌를 전문으로 하는 ‘오렌지 미디어 강좌’ 사이트에 취약점이 발견돼 유료 강좌를 무료로 볼 수 있어 조치가 필요한 상황이다. 이 사이트는 강좌별로 2만원이 넘는 비용을 지불해야 사용자가 볼 수 있도록 돼 있지만 간단한 취약점으로 인해 유료강좌를 무료로 볼 수 있는 허점이 발견됐다. 이 취약점을 발견해 데일리시큐에 제보한 박재영(광주숭일중학교)군은 “프로그래밍 공부를 하기 위해 강좌사이트를 찾다가 우연히 해당 사이트를 알게 됐다. 하지만 너무도 쉽게 유료 강좌를 무료로 볼 수 있는 허점이 발견돼 해당 사이트에 피해가 발생

보안 솔루션 전문기업 위즈디엔에스코리아(대표 김기배 www.weeds.co.kr)는 통일부에서 개인정보 관리강화를 통해 개인정보의 사전 유출 방지와 모니터링을 위한 '개인정보보호 강화사업'의 '개인정보 상시 모니터링 시스템 구축 사업'을 수주했다고 22일 밝혔다. 이번 프로젝트는 개인정보보호 대책수립을 통해 개인정보보호법을 준수하고 통일부에서 처리하는 개인정보를 안전하게 보호하여 신뢰할 수 있는 개인정보보호 상시 모니터링 시스템을 구축하는 사업이다. 위즈디엔에스코리아는 자체 기술을 이용해 개인정보접속기록

SMS 좀비로 일컬어지는 악성 앱이 최근 해외에서 발견돼 화제가 되고 있다. 악성 애플리케이션에 대한 스마트폰 보안 위협의 민감성이 약화되고 있는 시점에 중국에서는 약 50만대 가량의 단말기가 해당 악성 애플리케이션에 감염된 것으로 추산되고 있으며, 이에 따른 막대한 금전적 손실이 있을 것으로 예상된다. 잉카인터넷 관계자는 “해당 악성 앱은 중국의 안드로이드 OS기반 스마트폰 사용자만을 대상으로 동작하고 있는 만큼 한국에서 별다른 피해는 발생하지 않을 것으로 예상된다”며 “다만, 해외에서는 이미 금전적 이득을 목적으로 이러한 악성

한국은 지난해 말 기준 전세계 온라인 위협 공격을 세계에서 두번째로 많이 받고 있는 국가로 조사됐다. 악성코드 공격자들은 어도비 플래시나 MS, 자바 등의 제로데이 취약점 뿐만 아니라 이미 공개된 취약점을 악용해 대규모 악성코드 공격 네트워크를 형성해 가고 있다. 일반인들의 보안인식 부족으로 제대로 보안패치를 하지 않고 있기 때문에 공격성공률이 60%를 넘고 있으며 한국도 심각한 감염수준에 피해가 확산되고 있다. 이에 빛스캔(문일준 대표)은 PCDS(Pre Crime Detect System) 엔진을 활용해 온라인 위협에 대한 최신

통합 애플리케이션 딜리버리 솔루션 및 보안 분야 전문기업 라드웨어(대표 김도건 www.radware.com)는 자사의 알테온 ADC(Alteon® Application Delivery Controller)와 통합된 새로운 웹 성능 최적화(WPO) 기술인 패스트뷰(FastView™)를 발표하고, 웹 포털 및 내부 미션 크리티컬 애플리케이션의 응답 시간을 더욱 가속시킨다고 밝혔다. 회사측은 알테온 플랫폼의 애플리케이션 가속 기능을 향상시키는 라드웨어 패스트뷰 통해 e커머스, e유통업체, 웹 포털, 온라인 금융 서비스

애플리케이션 보안 솔루션기업 펜타시큐리티시스템(대표 이석우 www.pentasecurity.com)은 ‘2012년 상반기 웹 공격동향 보고서’(Web Application Threat Report, Trends for the First Half of 2012)를 21일 발표했다. 이번 보고서는 탐지로그에 대한 통계정보 제공에 동의한 고객으로부터 2012년 1월 1일부터 6월 30일까지 제공받은 통계정보 분석 내용을 담고 있다. 해당기간 동안 웹 공격의 주요 내용을 살펴보면 웹 방화벽의 룰 탐지 기준탐지 건수가 3.1억 건을 넘어서면

해킹팀 ‘r00tBeer’가 20일 AMD(Advanced Micro Devices)의 공식 블로그를 해킹해 유저 정보를 인터넷에 공개하는 사고가 발생했다. AMD는 인텔사의 X85 계열 마이크로프로세서와 호환되는 애슬론(Athlon) 시리즈를 만드는 미국의 다국적 반도체 기업이다. AMD의 K6와 애슬론의 성능은 동급의 인텔 펜티엄 계열에 비해 거의 동등, 또는 그 이상이라고 평가 받고 있다. r00tBeer라는 해킹팀은 AMD 블로그 페이지를 훼손시키고 훔친 데이터베이스 SQL 파일 등을 200여 명의 AMD 유저 이메일과 워드

[박춘식 교수의 보안이야기] 마이크로소프트가 지난 15일에 발행한 월간 시큐리티 정보에서 취약성 패치 프로그램에 추가해 안전성이 취약한 RSA 1024비트 미만의 암호키를 차단하는 프로그램(KB2661254)의 제공도 예정하고 있다고 밝혔다. 이번 조치는 NIST가 2004년에 발표한 암호 안전성이 취약한 키의 운용 정지에 관한 권고에 따른 것으로 소위 “암호의 2010년 문제”라 불리는 문제에 대한 대처하는 모습이다. NIST 권고에는 RSA 1024비트 길이 등의 키의 운용을 정지해야만 한다고 되어 있지만 마이크로소프트의 패치

한국IBM이 오는 9월 11일 코엑스 인터컨티넨탈 호텔 주피터룸에서 보안담당자를 위한 무료 보안 세미나 ‘2012 IBM Security Conference’를 개최한다고 밝혔다. 한국IBM은 “기업의 기밀정보와 고객 개인정보를 다루는 기업의 보안은 비즈니스의 핵심역량으로 자리잡고 있다. 보안은 더 이상 특정 업체 또는 보안전문가만의 영역이 아니며 모든 사용자가 적절한 지식을 갖추고 지속적으로 대응해야 하는 부분”이라고 강조했다. 이에 “이번 세미나에서는 IT보안의 최신 트랜드와 지능화 되어가고 있는 보안 위협에 적극적으로 대응하기

우리은행(은행장 이순우 www.wooribank.com)은 스마트뱅킹에 위·변조 방지 기능과 한번의 로그인으로 우리은행의 모든 앱을 이용할 수 있는 통합로그인(SSO:Single Sign On) 서비스를 제공한다고 20일 밝혔다. 앱 위·변조 방지 기능은 스마트뱅킹 사용자와 거래량이 증가하면서 해킹의 위험이 점차 증가함에 따라 해킹으로부터 고객 자산을 보호하고 안전한 금융거래를 위해 중요성이 강조되고 있는 기능이다. 은행들은 기존에도 스마트폰 사용자가 임의로 스마트폰의 운영시스템을 변경한 스마트폰(탈옥폰이나 루팅폰)에 대하여 접근을

8월 18일부터 새로 개정된 정통망법(정보통신 이용촉진 및 정보보호 등에 관한 법률이 시행된다. 대기업은 물론 중소기업, 소호 쇼핑몰 등 개인정보를 취급하는 곳에서도 개정된 법률(제28조 개인정보의 보호조치)에 따라서 보호조치를 해야 한다. 보호조치 항목 중 비교적 간단하게 조치를 할 수 있는 부분이 SSL 보안서버이다. 법률에서 말하는 제 4항의 항목 ‘개인정보를 안전하게 저장, 전송 할 수 있는 암호화 기술 등을 이용한 보안조치’에 해당하는 부분이 바로 보안서버(SSL)을 구축이다. 현재 정통망법 시행령에서는 보안서버 구축이 이

최근 ICT 분야에서 미래 경쟁력을 좌우할 수 있는 핵심 요소로 주목받고 있는 빅데이터 분야의 경쟁력 강화를 위해 민관이 함께 논의할 수 있는 장이 마련됐다. 방송통신위원회(위원장 이계철)는 지난 8월 16일 소공동 롯데호텔에서 한국정보화진흥원(NIA), 한국정보통신진흥협회(KAIT)와 공동으로 통신사 및 방송사, 전자업체, 빅데이터 전문업체 등 관련업계와 학계, 연구기관, 공공기관이 참여하는 빅데이터 포럼 창립총회를 개최했다. 빅데이터란 데이터의 형식이 다양하고 유통속도가 빨라서 ‘기존의 방식으로는 관리·분석이 어려운 데이터’를

국내 불특정 다수의 인터넷 이용자를 겨냥해 다양한 수법으로 금융정보 및 예금탈취 목적의 악성파일이 끊임없이 기승을 부리고 있는 상황이다. 잉카인터넷 관계자는 “금융정보 타깃 악성파일 유포 주의 경보를 발령하고 이상징후에 대한 예의주시 및 휴일포함 상시 집중관제와 긴급대응을 진행 중에 있다”고 밝혔다. 또 “현재 악성파일은 변종이 지속적으로 유포되고 있는 상황이며 감염될 경우 국내 인터넷 뱅킹 사이트 접속시 교묘하게 제작된 허위 사이트로 접속되고 실제로는 존재하지 않는 보안승급서비스를 보여준다”며 “공인인증서(NPKI)유출과 금융 개

방송통신위원회(이하 방통위)는 기업의 개인정보보호 수준을 높이고 이용자의 권리를 강화하기 위해 개정된 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)이 8월 18일부터 시행된다고 밝혔다. 개정 정보통신망법은 ①인터넷 상에서의 주민번호 수집·이용 제한 ②개인정보가 누출 통지 및 신고제 ③개인정보 이용내역 통지제 ④개인정보 유효기간제 ⑤기술적·관리적 보호조치 미이행에 대한 행정처분 강화 등 다양한 내용을 담고 있다. 정보통신망법은 정보통신서비스제공자, 정보통신서비스제공자로부터 개인정보를 제공받은 제3자 및 업무위탁을

많은 홈페이지들이 취약점이 존재한 채 악의적 해커들이 홈페이지 해킹을 시도하고 있다. 특히 '제로보드'나 '그누보드' 같은 형식의 홈페이지 빌더는 버전이 새롭게 나오면서 취약점이나 버그가 보완되어 업데이트가 되고 있지만 많은 홈페이지 관리자들이 업데이트가 귀찮아 업데이트를 하지않고 홈페이지를 운영하고 있어 문제다. 홈페이지뿐만 아니라 호스팅을 받고 있는 서버에도 문제가될 수 있어 주의가 요구된다. 이 문제를 데일리시큐에 제보한 지창훈(한국교통대학교 정보통신학과 1학년)씨는 “특히 취약점이 많은 제로보드4

파일공유 사이트 중 하나인 K사 등에서 XSS 취약점이 발견됐다.(현재 해당 취약점은 제보자가 해당 업체에 통보해 16일 취약점이 제거된 상태다) 해당 웹하드에 회원가입 및 로그인을 하고 메뉴들 중 오른쪽에 위치한 요청자료를 클릭하신 뒤 자료요청을 2번 정도 누르면 요청 게시글을 작성하는 란이 나온다. 해당 글쓰기 창에서 ‘xxxxx("XSS 취약점 테스트")’(일부 코드 x로 표기)라고 적은 뒤 게시글을 등록하고 해당 게시글을 확인해보면 스크립트가 실행되는 현상이 발생했다. 최근 이번 취약점를 발

시만텍은 자사 Road Runner Safe 스토리지 제품의 유저 데이터 정보가 유출됐다고 사용자들에게공지했다. 시만텍은 데이터 유출 이후, 스토리지 유저들에게 비밀번호 변경을 권고하고 있고 복구절차를 밟고 있는 중이다. 특히 스토리지 패스워드와 동일한 패스워드를 다른 시스템에도 사용하고 있다면 신속히 변경해야 한다고 권고하고 주의를 당부했다. 지난주 사이버 범죄자는 클라우드 서비스인 드랍박스를 해킹한 바 있고 유저 이메일을 포함한 데이터들을 빼내 드랍박스 접근에 성공한 사례가 있다. 전문가들은 “클라우드 서비스가 편리하고 이익증진

전문가들이 모여서 최근에 탐지된 가우스 악성코드 페이로드를 분석하기 위해 암호전문가들의 도움을 찾고 있다. 현재까지 파악된 것은 가우스는 웹사이트 패스워드, 온라인뱅킹 로그인 정보 및 감염된 시스템의 환경 정보 등 여러가지 종류의 데이터를 훔친다는 것이다. 스턱스넷, 두쿠 및 플레이과 같이 가우스는 국가에서 지원한 악성코드라는 것이라는 점에서는 공감대를 가지고 있다. 가우스에 감염된 대부분의 컴퓨터가 중동에 있는 것이다. RC4키로 암호화된 페이로드는 USB 플래쉬 드라이브를 통해 전달되고 모듈은 RC4키로 암호화되어 있다. 페이로