표적형, 크로스 사이트 스크립팅, 징검다리, 인젝션 - IT 용어 정리하기

 

 안녕하세요. 코아아이티입니다. 오늘은 사이버 공격 관련 용어에 대해 알아보겠습니다.

 

표적형 공격(비즈니스 이메일 사기)

 

 거래처 담당자나 자사의 간부, 관계있는 변호사나 회계사 등으로 가장해 입금을 요구합니다. 기본적으로 피싱과 같은 수법을 사용하지만 매우 교묘하게 함정을 팝니다. 비즈니스 이메일 사기의 경우 입금처로 해외 은행의 계좌를 지정한다는 특징이 있습니다. 해외 계좌에 송금한 자금은 회수가 거의 불가능하기 때문에 입금하기 전에 대응하는 것이 중요합니다.

 

 닥치는 대로 미끼를 던지는 유형과는 달리, 사전에 표적으로 삼은 기업의 담당자나 거래처, 구체적인 비즈니스 안건 등을 조사합니다. 그런 다음 냉정한 판단을 못하도록 그럴듯한 스토리를 꾸며내 교묘하게 함정을 팝니다.

 

 기업을 노리는 특성상 사내 다른 부문들에도 똑같은 사기 이메일을 보냈을 가능성이 있습니다. 피해를 예방하기 위해서는 경계되는 이메일을 받은 경우 IT 부문을 포함한 사내 전체에 정보를 공유하고 입금을 실행하기 전에 관계자에게 직접 확인하는 등의 행동이 필요합니다.

 

크로스 사이트 스크립팅

 

 사용자가 알지 못하도록 안전하도록 생각되는 정규 웹 사이트를 경유해 악의적인 스크립트를 실행시키는 공격입니다. 먼저 프로그램의 일종인 스크립트를 정규 웹 사이트의 입력란 등에 적어 넣습니다. 공격용 스크립트에는 개인정보를 수집하거나 피싱 사기 사이트에 접속하는 내용이 적혀 있기 때문에 자신도 모르는 사이에 실행하다가 정보 유출이나 사기 피해를 당할 수 있습니다.

 

 예를 들면 먼저 스크립트에 취약한 게시판 사이트 A에 정규 사이트 B로 연결되는 링크로 가장한 버튼과 스크립트를 넣습니다. 그럼 사용자가 B에 접속하려는 생각으로 버튼을 누르면 사용자의 컴퓨터에서 스크립트가 실행되어 가짜 사이트 B로 전송됩니다.

 

 크로스 사이트 스크립팅에 대한 방어책은 사이트 운영자의 대책으로 게시판에 입력할 수 있는 문자나 값을 제한하는 방법과 프로그램의 명령어에 사용할 수 있는 문자를 다른 문자로 치환하는 방법이 있습니다. 사용자 입장에서는 모르는 링크를 클릭하지 않는 것이 가장 중요한 방어책입니다.

 

징검다리 공격

 

 다른 컴퓨터를 탈취해 그 컴퓨터로 공격 대상인 시스템에 사이버 공격을 하는 것으로 탈취한 컴퓨터를 징검다리라고 부릅니다. 현재도 다른 공격 수단과 조합해 널리 사용되고 있는 수법으로 공격받은 컴퓨터가 피해를 입을 뿐만 아니라, 징검다리로 사용된 컴퓨터도 가해자가 되어 손해 배상을 청구당할 위험이 있어요.

 

 징검다리를 사용하면 공격자가 자신의 존재를 숨긴 상태에서 공격할 수 있습니다. 신뢰받는 시스템 내에 있는 취약한 컴퓨터를 징검다리로 사용하면 공격이 매우 쉬워지며 DDoS 공격처럼 징검다리를 늘려서 공격의 위력을 높이는 효과도 있습니다.

 

트로이 목마

 

 정상적인 프리웨어로 가장한 프로그램에 맬웨어를 심어서 동시 설치하는 방법으로 컴퓨터를 탈취해 징검다리로 사용합니다. 트로이 전쟁에서 그리스군이 병사를 숨긴 거대한 목마를 사용해 트로이 성을 함락한 데 빗어 트로이 목마라고 부르게 되었습니다.

 

인젝션 공격

 

 악의적인 프로그램 코드를 표적 사이트에 주힙하는 공격입니다. 예를 들어 웹 사이트의 입력란에 문자열로 가장한 프로그램을 집어넣습니다. 프로그램에 집어넣은 서버가 취약하다면 악의적인 프로그램이 실행되면서 정보 유출이나 시스템 탈취 등의 피해가 발생해요. SQL 인젝션이나 스크립트 인젝션 등이 알려져 있습니다.

 

 SQL 인젝션은 데이터베이스 언어인 SQL을 사용한 공격입니다. 스크립트 인젝션은 자바스크립트를 사용한 공격이며 부정한 코드를 서버에 실행시키는 수법으로 크로스 사이트 스크립팅에 사용되고 있습니다.

 

 기본적인 대책은 부정한 코드의 검출과 무효화입니다. 문자열로 전송된 스크립트가 일정한 규칙과 일치하면 서버는 그것을 프로그램으로 인식해요. 그런 다음 검출해서 삭제하거나 강제로 치환하는 등의 처리를 실시합니다.

 

출처 : 보기만 해도 쏙쏙 이해되는 IT 용어 도감 277

 

---

보안과 관련된 솔루션

또는 네트워크 관련 및 소프트웨어 개발 업체를 찾고 계신다면 아래 메일이나 전화를 통해 말씀 주세요.

친절히 답변드리도록 하겠습니다.

 

IT의 모든 것, 코아아이티