IT보안타파

정의 - 위험으로부터 자산을 보고하기 위해 비용 대비 효과적인 보호대책을 마련하는 것 1. 위험의 구성 요소 - 그림으로 이해하기 2. 위험분석 방법론 1) 기준 접근법 - 체크리스트 형태로 현재 구현되어 있는 것부터 파악하여 없는 것 구현 - 소규모 조직에 적합 2) 비정형화된 접근법 - 위험 분석을 개인의 지식과 전문성 활용 - 위험 분석 실시하는 전문가는 내부 전문가 일 수도 외부 컨설턴트 일 수도 있다. - 중소규모 조직 * 장점 - 개인의 지식과 전문성을 활용하기에 빠르고 비용이 적게 든다. * 단점 - 일부 위험들은 취약한 상태로 방치될 수 있다(why? 개인의 주관적인 방법때문에) 3) 상세위험분석 - 정형화되고 구조화된 프로세스 - 조직의 자산을 파악하고, 조직의 가치 및 중요도 산출 (정..

등장배경 - 회사의 위험이 적절히 관리되는가? 1. 정보보호 거버넌스 목표 (ABC) 1) 책임성 - Who(누가) 성과를 책임 지는가? - 기업거버넌스 "책임성"과 연계 2) 비니지스 연계성 - 비지니스 목표 달성에 기여하는가? - 기업거버넌스 "효과성"과 연계 3) 준거성 - 원칙과 기준에 의해 수행되는가? - 기업거버넌스 "투명성"과 연계 2. IT 거버넌스와 정보보호 거버넌스 동일한 이념 - 위험과 수익 사이에 균형을 맞춰 가치 창출 이사회 역할경연진정책, 절차의 방향성 제공보안정책 개발자원 지원위협, 취약점 식별우선순위결정보안인식교육 3. 정보보호거버넌스 5가지 구현 1) 전략전 연계 - 비지니스, IT 목표, 정보보안 전략이 서로 연계 2) 위험관리 - 잠재적 위험을 줄이고, 수용가능한 위험수..

두번째 편에서는 보안관제를 하면서 느낀 것들이 있다. 보안관제로 일을 시작했다면, 첫 번째 글에서 말했던 것처럼 스펙을 쌓아라! 무슨 말이냐, 일하면서도 회사에 팀장님께 잘보이면, 교육도 받으러 갈 수 있다. 뭐, 미리 들어온 사람들이 말해주겠지만... 모르는 사람들을 위해서 글을 쓴다. 나도 이번에 하려고한다... 나는 추천한다 뭘?(대기업 보안업체 못갔으면..) 나중에 이력서 한줄이라도 더쓰라고 kisa아카데미에서 k-shield나 여기서 나오는 교육들어서 스펙이나 쌓으라고 http://academy.kisa.or.kr/ KISA LMS academy.kisa.or.kr 뭐가 좋으냐하면, 근무일날 같은 관제조원한테는 미안하지만, 빠질 수 있다. (악용? 안된다 왜냐 k-shield 1차,2차 시험보나..

나는 현재 경력이 3년차 보안관제로 업무를 하고있다. 다들 보안을 시작하려면, 관제부터 시작하라고 한다. 근데, 관제로 처음부터 시작안해도된다. 돈보지말고, 차라리 컨설팅이나, 모의해킹 등 관제말고 다른 업무 하는 걸 추천한다. 나는 관제만 했기에 우선 원격관제, 파견관제에 대해 말해 보겠다. 각각의 장,단점이 있다. 원격관제는 쉽게 말하면 IDC(많은 서버를 가지고 있고 그만큼 많은 고객을 유치)에서 여기에 돈을 내고 쓰는 고객들을 대상으로 보안 관제를 제공해주는 곳이다. 여러 고객들을 상대 할 수 있고, 콜센터가 되는 것을 볼 수 있다. 그러다보니, 성격 억누르기, 고객한테 조곤조곤 알기쉽게 알려주기, 겪어보지 못한 일(통신 안되면 전화부터 온다)등 솔직히 바빠도 배우는 건 있다. 파견관제는 보안기업..

!!!! 무조건 새로운 vm호스트나 nat을 생성하면 컴터 본채 재부팅!! 내부 사람끼리 통신 내부에서 서로 통신이 되게 하려면 여기서 local port가 내 포트이고 상대방 포트로 가려면 Remote port 예시 - 내가 192.168.10.67(상대방ip)로 가려면 local 20000 , remote 30000 상대방이 나에게 오려면 192.168.10.28(내ip)로 local 30000, remote 20000한후 ip 대역대 맞쳐준뒤 통신 =========================================================================================================================== Wan 통신 네트워크 어탭터에 클..