1. 개념Cross Site Request Forgery의 약자로, 사이트간 요청 위조사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위(데이터 수정, 삭제, 등록 등)를 특정 웹사이트에 요청하게 하는 공격기법2. 공격원리1. 사용자는 보안이 취약한 서버에 로그인합니다.2. 서버에 저장된 세션 정보를 사용할 수 있는 session ID가 사용자의 브라우저 쿠키에 저장됩니다.3. 공격자는 사용자가 악성 스크립트 페이지를 누르도록 유도합니다.(악성 스크립트 페이지를 누르도록 유도하는 방식은 아래와 같습니다.)게시판이 있는 웹사이트에 악성 스크립트를 게시글로 작성하여 사용자들이 게시글을 클릭하도록 유도메일 등으로 악성 스크립트를 직접 전달하거나, 악성 스크립트가 적힌 페이지 링크를 전달4. 사용자가 악성 ..

1. 개념인증 정보(사용자 이름과 비밀번호)를 알아내기 위해 공격자가 반복적, 체계적으로 매번 다른 사용자 이름과 비밀번호를 입력하는 방식의 공격 기법단순하지만 리소스를 많이 소비하는 시행착오 기반의 접근 방식보통 자동화된 툴이나 스크립트 또는 봇을 사용해 액세스 권한을 획득할 때까지 가능한 모든 조합을 대입2. 실습※ 본 실습은 DVWA Security Level을 Low로 설정해서 진행했습니다. 2-1. Burp Suite 실행 후,  Proxy 탭에서 Open browser 클릭하여 DVWA 접근 2-2. DVWA Brute Force 페이지에서 아무 정보 입력 후, 로그인 실패2-3. Burp Suite HTTP history 탭에서 http 요청(로그인 실패)을 확인   2-4. 해당 http ..

1. 개념 웹 요청 메시지에 시스템 명령어를 삽입하고 전송하여, 웹 서버에서 해당 명령어를 실행하도록 하는 공격 기법쉘을 실행시키는 로직을 이용한 공격으로 시스템 권한이 탈취되는 것이나 마찬가지기 때문에 매우 치명적2. 실습※ 본 실습은 DVWA Security Level을 Low로 설정해서 진행했습니다.2-1. 127.0.0.1을 입력하면 다음과 같은 결과를 반환  2-2.  - ; ls 를 입력해 보면 다음과 같이 디렉토리와 파일 목록을 반환하는 것을 확인2-3. - ; cat /etc/passwd를 입력 후 시스템 사용자의 리스트를 확인2-4. - ; id를 통해 사용자의 권환을 확인3. 대응방안외부 입력 값을 그대로 실행하지 않고 입력한 값을 검증하거나 특수문자 입력을 제한하는 필터링 구현소스코드..

가상 머신(Virtual Machine)가상 머신(Virtual Machine, VM)은 물리적 컴퓨터에서 소프트웨어로 구현된 독립적인 운영 체제 환경을 말합니다. 이는 하이퍼바이저(Hypervisor)라는 소프트웨어 계층을 통해 하드웨어 자원을 가상화하여 여러 개의 운영 체제(OS)를 하나의 물리적 호스트에서 실행할 수 있도록 합니다. 하이퍼바이저(Hypervisor): 가상 머신을 생성하고 관리하는 소프트웨어(하드웨어 자원을 가상화하여 여러 가상 머신이 자원을 공유할 수 있게 함) 그러나, 각종 시스템 자원을 가상화하고 독립된 공간을 생성하는 작업은 하이퍼바이저를 반드시 거치기 때문에 일반 호스트에 비해 성능의 손실이 발생합니다. 그 뿐만 아니라, 가상 머신은 게스트 운영체제를 사용하기 위한 라이브러..

1. 통합 로그 모니터링의 목표 통합 로그 모니터링은 클라우드 환경에서 발생하는 로그를 중앙으로 모아 보관하여 잠재적 보안 문제나 의심스러운 활동의 원인을 쉽고 빠르게 분석, 식별할 수 있는 환경을 구축하는 것을 목표로 합니다. AWS의 로그 모니터링을 위한 다양한 주요 서비스 중 몇 가지를 알아보겠습니다.구분내용CloudTrail사용자의 모든 활동이 사용한 역할(role), 활동의 위치(source IP), 행위의 형식(API 호출/관리 콘솔 접근 등), 등 모든 것을 함께 기록CloudWatchAWS 리소스와 애플리케이션에서 생성된 로그 데이터를 실시간으로 수집 및 저장하고 시각화하며, 특정 로그 이벤트에 대해 알람 설정이 가능ConfigAWS 리소스의 환경설정 변경 사항을 모니터링하고 특정 변경사항..

AWS의 주요 서비스는 컴퓨팅, 스토리지, 데이터베이스, 네트워킹, 보안, 관리 도구 등으로 나뉘며, 이들 각각은 여러 세부 서비스로 구성되어 있습니다. 그 중 몇 가지 서비스를 아래와 같이 분석했습니다. 1. 컴퓨팅 서비스EC2 (Elastic Compute Cloud)기능다양한 인스턴스 유형 제공(일반, 컴퓨팅 최적화, 메모리 최적화 등), 오토 스케일링, 로드 밸런싱장점유연한 확장성, 다양한 운영체제 지원, 사용한 만큼 비용 지불사용 사례웹 서버 호스팅, 데이터 처리, 고성능 컴퓨팅Lambda기능서버리스 컴퓨팅 서비스, 이벤트 기반 실행, 자동 스케일링장점인프라 관리 불필요, 초 단위 과금, 높은 유연성사용 사례데이터 처리 트리거, API 백엔드, 실시간 파일 처리 ECS (Elastic Conta..