앞선 포스팅에서 20회 기출문제를 풀어보셨나요?
이번 포스팅에서는 각 문제에 대한 상세한 해설과 함께, 현직 정보보안 전문가의 관점에서 실무적인 인사이트를 함께 공유하도록 하겠습니다.
특히 20회에서는 HTTP 프로토콜, 위험분석 방법론, 접근통제 모델 등 보안의 핵심 개념들이 출제되었습니다.
각 문제의 개념과 실무 적용 방안을 상세히 살펴보면서, 실제 보안 현장에서 어떻게 활용되는지 함께 알아보겠습니다.
[아직 문제를 풀어보지 않으셨다면 👉 정보보안기사 20회 기출문제 풀어보기]
💡 단답형 정답
1번 정답 (어플리케이션 - HTTP)정답: OPTIONS
해설: OPTIONS 메소드는 웹 서버가 지원하는 HTTP 메소드 목록을 확인하는 데 사용됩니다:
- 서버의 기능과 제한사항 파악 가능
- Allow 헤더를 통해 지원 메소드 확인
- 보안 설정 시 불필요한 메소드 제한 필요
2번 정답 (정보보안 일반 - 위험분석)정답:
- (A): 델파이법
- (B): 시나리오법
- (C): 순위결정법
해설: 각 위험분석 방법의 특징:
- 델파이법: 전문가 의견 수렴을 통한 체계적 분석
- 시나리오법: 다양한 상황 가정 기반 위험 추정
- 순위결정법: 위험 항목의 우선순위 결정
3번 정답 (정보보안 일반 - 위험분석)정답:
- (A): 베이스라인(기준) 접근법
- (B): 상세 위험 분석
- (C): 복합 접근법
해설: 위험분석 접근법의 적용:
- 베이스라인 접근법: 표준화된 체크리스트로 기본 보안 수준 확보
- 상세 위험 분석: 체계적인 위험 평가로 심층 분석 수행
- 복합 접근법: 두 방식의 장점을 결합한 효율적 분석 방법
4번 정답 (시스템 - 접근통제)정답:
- (A): DAC(임의적 접근통제)
- (B): MAC(강제적 접근통제)
- (C): RBAC(역할기반 접근통제)
해설: 각 접근통제 모델의 특징:
- DAC: 사용자 중심의 유연한 권한 관리
- MAC: 보안 레벨 기반의 엄격한 통제
- RBAC: 역할 기반의 효율적 권한 관리
5번 정답 (네트워크 - 침입탐지시스템)정답:
- (A): 오탐(False Positive)
- (B): 미탐(False Negative)
해설: IDS 탐지 오류의 유형:
- 오탐: 정상을 비정상으로 잘못 판단
- 미탐: 실제 공격을 탐지하지 못함
- 두 오류의 균형있는 관리 필요
6번 정답 (네트워크 - IPSec)정답: IPSec의 주요 기능(다음 중 3가지 선택):
- 기밀성
- 제한된 트래픽 흐름의 기밀성
- 데이터 근원지 인증
- 접근제어
- 비연결형 무결성
- 재전송 공격 방지
해설: IPSec은 네트워크 계층에서 다양한 보안 서비스를 제공:
- 데이터 암호화로 기밀성 보장
- 무결성 검증으로 데이터 변조 방지
- 인증과 접근제어로 보안성 강화
7번 정답 (어플리케이션 - 블록체인)정답:
- (A): 비트코인
- (B): 블록체인
- (C): 채굴(마이닝)
해설: 블록체인 기술의 핵심 요소:
- 비트코인: 최초의 암호화폐
- 블록체인: 분산 원장 기술
- 채굴: 작업증명 기반의 보상 체계
8번 정답 (어플리케이션 - 웹서버취약점)정답: OPTIONS Indexes / -indexes -FollowSymLinks
해설: 디렉토리 인덱싱 취약점 대응:
- Indexes 옵션 제거로 디렉토리 목록 노출 방지
- 불필요한 FollowSymLinks 옵션 제거
- 최소 권한 원칙 적용
9번 정답 (어플리케이션 - DNS)정답: 서브도메인 하이재킹(Subdomain Takeover)
해설: 클라우드 서비스 사용 중단 후 발생할 수 있는 보안 위협:
- 미삭제된 CNAME 레코드 악용
- 공격자의 피싱 사이트 연결 가능
- 클라우드 서비스 변경 시 DNS 설정 관리 중요
10번 정답 (법규 - ISMS-P)정답: 물리적 정보보호 대책 3가지:
- 보호구역 지정(통제구역, 제한구역 등)
- 출입통제(출입 이력 검토)
- 보호설비 운영(UPS, 화재감지 등)
해설: 물리적 보안의 핵심 요소:
- 영역별 보안등급 설정
- 접근통제와 모니터링
- 재해/재난 대비 설비 구축
- 주기적인 보안점검 수행
💡 서술형 정답
11번 정답 (법규 - 개인정보)정답: 개인정보 수집 가능 사례(4가지):
- 정보주체의 동의
- 명시적 동의 획득
- 수집 목적 명확히 고지
- 법률상 의무 준수
- 법령에 특별 규정이 있는 경우
- 법적 의무 이행을 위한 불가피한 경우
- 계약 이행
- 정보주체와의 계약 체결 및 이행
- 계약 목적 달성을 위한 필수 정보
- 급박한 생명/신체/재산상 이익
- 정보주체의 명백한 이익을 위한 경우
- 사전 동의 불가능한 긴급 상황
해설: 개인정보보호법 제15조에 근거한 적법한 수집 요건으로, 실무에서는 각 상황에 맞는 적절한 근거 선택이 중요합니다.
12번 정답 (네트워크 - 스위칭 허브)정답:
- 스위칭 허브의 기능
- 패킷의 목적지 주소 기반 전송
- 고속 패킷 전송
- 로드 밸런싱
- QoS 기능 수행
- 동작 원리 (L2 기준)
- Learning:
- 출발지 MAC 주소와 포트 매핑
- MAC Address Table에 정보 저장
- Forwarding:
- 목적지 MAC 주소가 테이블에 있는 경우
- 해당 포트로만 프레임 전달
- Filtering:
- 동일 세그먼트 내 통신 제어
- 불필요한 트래픽 차단
- Flooding:
- 목적지 MAC 주소가 테이블에 없는 경우
- 수신 포트 제외한 전체 포트로 전송
- Aging:
- 일정 시간(예: 300초) 미사용 MAC 주소
- 테이블에서 자동 삭제
- Learning:
13번 정답 (침해사고 분석 및 대응 - Snort Rule)정답:
Anonymous FTP 공격이 시도되었습니다.
상세 분석:
- 공격 패턴
- FTP 서비스(포트 21) 대상
- 대소문자 혼합된 'AnonYmouS' 계정 사용
- 탐지 우회 시도 특징
- Snort 룰 분석
- content:"anonymous" - 문자열 패턴 매칭
- nocase - 대소문자 구분 없이 탐지
- 포트 21 타겟팅 확인
- 보안 위험
- Anonymous FTP 활성화 시 비인가 접근 가능
- 악성코드 업로드 위험
- 중요 파일 접근 가능성
대응 방안:
- Anonymous FTP 서비스 비활성화
- 필수적인 경우 접근 권한 최소화
- 파일 업로드/다운로드 제한 설정
💡 실무형 정답
14번 정답 (네트워크 - 이메일보안)정답:
- (1): sendmail.cf
- (2): REJECT 또는 DISCARD
- (3): makemap
- (4): access.db 또는 access
해설: 스팸메일 릴레이 제한을 위한 설정:
- sendmail.cf: 메일 서버 기본 설정 파일
- REJECT: 스팸 의심 도메인 차단
- makemap: 접근 제어 DB 생성
- access.db: 릴레이 정책 DB 파일
15번 정답 (네트워크 - 라우터)정답:
bash
Copy
(A): access-list 100 permit udp 192.168.1.0/24
(B): interface FastEthernet 0/0
(C): no ip directed-broadcast
해설: Smurf 공격 방지를 위한 설정:
- ACL로 신뢰 네트워크 정의
- 인터페이스 설정 모드 진입
- Directed Broadcast 차단
16번 정답 (정보보안 일반 - 위험관리)정답:
- 위험수용의 의미
- 현재 위험 수준이 수용 가능하다고 판단
- 현행 프로세스/사업 유지
- 주기적 모니터링 수행
- 보안대책 평가 방법
- 보호대책 효과(가치) = 감소한 ALE - 보호대책 운영 비용
- ALE 감소분과 비용 비교
- 효과가 높은 대책 우선 선정
- 위험회피 대처방안
- 위험이 있는 프로세스/사업 축소
- 필요시 완전 중단/포기
- 대체 방안 검토
- 위험전가 방법
- 보험 가입
- 외주 위탁(보안/소방 업체)
📚 학습 전략 및 핵심 포인트
- 20회 시험의 주요 특징
- 실무 명령어와 설정 중심 출제
- 위험분석/관리 심화 문제 증가
- 다양한 보안 프로토콜 이해도 평가
- 핵심 학습 영역
- 네트워크 보안
- 스위칭 허브 동작 원리
- 스팸메일 릴레이 제한
- 라우터 보안 설정
- 정보보안 관리
- 위험분석 방법론
- 위험처리 전략
- ISMS-P 물리적 보안
- 접근통제/인증
- DAC/MAC/RBAC 특징
- Anonymous FTP 위험
- 디렉터리 인덱싱 취약점
- 네트워크 보안
- 실무 적용 포인트
- 서버/네트워크 장비 설정 실습
- 위험관리 프레임워크 이해
- 보안 정책 수립 연습
여러분의 합격을 응원합니다! 💪
📚 정보보안기사 기출문제 시리즈
💡 정보보안기사 20회 기출문제 (현재 글)
'IT 전문가의 길: 기술과 자격 > 정보보안기사' 카테고리의 다른 글
| 정보보안기사 19회 모범답안 완벽 해설 (0) | 2025.02.24 |
|---|---|
| 정보보안기사 19회 기출문제 총정리(단답형/서술형/실무형) (0) | 2025.02.24 |
| 정보보안기사 20회 기출문제 총정리(단답형/서술형/실무형) (0) | 2025.02.19 |
| 정보보안기사 21회 모범답안 완벽해설 (0) | 2025.02.18 |
| 정보보안기사 21회 기출문제 총정리(단답형/서술형/실무형) (0) | 2025.02.18 |