Week 12 · 신규 범위 · 1페이지 요약 · 최종 모의고사

2027 신규 범위 총정리 (복원 기출에 없는 부분)

항목별 풀어 쓴 설명

1과목 · 클라우드 · 컨테이너

IaaS / PaaS / SaaS — 책임 공유 모델

• 클라우드 보안은 사업자(CSP)와 고객이 책임을 나눔. 사업자는 "클라우드 의 보안"(물리·하이퍼바이저·인프라), 고객은 "클라우드 안의 보안"(설정·데이터·계정).
• IaaS(EC2 등): 고객이 게스트 OS 패치, 미들웨어, 앱, 데이터, 방화벽(보안그룹) 설정까지 책임.
• PaaS(관리형 DB, 앱 플랫폼): OS·런타임은 사업자, 고객은 앱 코드·데이터·접근 설정.
• SaaS(M365 등): 거의 모든 것을 사업자가 관리, 고객은 데이터·계정·권한 관리. 어떤 모델이든 데이터와 계정(IAM)은 항상 고객 책임.

인스턴스 메타데이터 (169.254.169.254)

• VM 안에서 자기 정보(인스턴스 ID, 네트워크, IAM 역할 임시 자격증명)를 조회하는 링크로컬 주소.
• 웹앱에 SSRF 취약점이 있으면 외부 공격자가 서버를 시켜 이 주소를 호출 → 임시 자격증명 탈취 → 클라우드 자원 장악 (대표 사고 사례 다수).
• 대응: IMDSv2(먼저 PUT 요청으로 세션 토큰을 받아야 조회 가능, hop limit로 컨테이너·프록시 경유 차단), IMDSv1 비활성화, IAM 역할 최소 권한, SSRF 입력 검증.

클라우드 감사 로그

• 콘솔·CLI·API로 누가, 언제, 어디서, 무엇을 호출했는지 기록 (AWS CloudTrail, Azure Activity Log, GCP Cloud Audit Logs).
• 침해 조사 시 "자격증명 유출 → 비정상 리전에서 인스턴스 생성" 같은 흔적 확인의 핵심 근거.
• 보안 포인트: 모든 리전 활성화, 로그를 별도 계정·변경 불가(WORM) 저장소에 보관, 로그 무결성 검증, 로그 비활성화 시도 자체를 경보.

컨테이너 위협

• 컨테이너는 VM과 달리 호스트 커널을 공유 → 격리 수준이 VM보다 약함. 네임스페이스(격리)·cgroup(자원 제한)로 분리.
• 주요 위협: --privileged·과도한 capability, root 실행, docker.sock 마운트, 취약·악성 이미지(공개 레지스트리), 이미지 내 하드코딩 시크릿, Docker API(2375) 노출, 쿠버네티스 대시보드·kubelet 익명 접근.
• 대응: 신뢰 레지스트리 + 이미지 서명·스캔, non-root·읽기 전용 파일시스템, 최소 베이스 이미지, NetworkPolicy, RBAC, 런타임 탐지.

Trivy

• Aqua Security의 오픈소스 통합 스캐너. 대상: 컨테이너 이미지, 파일시스템, Git 저장소, 쿠버네티스 클러스터, IaC(Terraform·Dockerfile·K8s YAML 설정 오류), 시크릿, 라이선스, SBOM 생성.
• CI/CD 파이프라인에 넣어 "취약 이미지 배포 차단"(Shift-left)에 활용. 예: trivy image nginx:1.25.
• 네트워크 트래픽을 막는 도구가 아님(정적 스캔 도구).

ScoutSuite

• NCC Group의 오픈소스 멀티 클라우드 보안 감사 도구 (AWS, Azure, GCP 등).
• 에이전트 없이 클라우드 API로 설정 정보를 수집 → 공개 S3 버킷, 과도한 IAM 권한, 0.0.0.0/0 보안그룹, 로깅 미설정 등을 위험도별 HTML 리포트로 제시.
• 성격: CSPM(클라우드 보안 형상 관리) 계열의 점검 도구. Trivy = 워크로드(이미지·코드) / ScoutSuite = 계정 설정.

2과목 · 네트워크 신규

SDN (Software Defined Networking)

• 네트워크 장비의 제어 평면(Control Plane) 과 데이터(전달) 평면(Data Plane) 을 분리하고, 중앙 컨트롤러가 소프트웨어로 전체 흐름을 제어.
• 구성: 애플리케이션 계층 ↔ (Northbound API) ↔ 컨트롤러 ↔ (Southbound: OpenFlow) ↔ 스위치.
• 장점: 중앙 정책·자동화, 이상 트래픽 발견 시 즉시 흐름 차단. 위협: 컨트롤러가 단일 장애점·최우선 공격 대상, 컨트롤러-스위치 간 통신 위조(→ TLS), 플로우 테이블 고갈 DoS.

SMB (Server Message Block)

• 윈도우 파일·프린터 공유 프로토콜. TCP 445(직접), 구형은 NetBIOS 위 139.
• SMBv1 취약점(MS17-010, EternalBlue) → 2017 워너크라이 랜섬웨어가 웜처럼 전파.
• 대응: SMBv1 비활성화, 보안 패치, 인터넷에서 445 차단, SMB 서명(릴레이 공격 방지), SMBv3 암호화. 관련 공격: SMB 릴레이, 널 세션, Pass-the-Hash.

Wireshark

• GUI 기반 패킷 캡처·프로토콜 분석 도구 (CLI 버전 tshark).
• 캡처 필터(BPF, 캡처 전 적용): host 10.0.0.5 and port 80 / 디스플레이 필터(캡처 후 표시): ip.addr == 10.0.0.5 && tcp.port == 80, http.request.method == "POST", tcp.flags.syn == 1 && tcp.flags.ack == 0.
• 주요 기능: Follow TCP Stream(세션 재조립), Statistics > Conversations, Export Objects(HTTP 파일 추출). 평문 프로토콜(FTP, Telnet, HTTP)의 계정이 그대로 보임 → 암호화 필요성 근거.

SASE (Secure Access Service Edge)

• 네트워크(SD-WAN) + 보안(SSE) 기능을 클라우드 서비스로 통합해, 사용자가 어디 있든 가까운 PoP에서 일관된 정책 적용 (Gartner, 2019).
• SSE 구성: SWG(웹 게이트웨이), CASB(클라우드 앱 가시성·통제), ZTNA, FWaaS(서비스형 방화벽), DLP.
• 배경: 재택·클라우드 확산으로 "본사 데이터센터 경유" 구조(백홀)가 비효율 → 보안을 사용자 가까이로.

ZTNA (Zero Trust Network Access)

• 원칙: Never trust, always verify. 내부/외부 위치로 신뢰하지 않고 사용자·기기·맥락을 매 요청마다 검증.
• VPN과 차이: VPN은 접속 후 네트워크 전체 접근, ZTNA는 애플리케이션 단위 최소 권한 + 앱을 외부에 노출하지 않음.
• NIST SP 800-207 구성: PDP(정책 엔진 + 정책 관리자) / PEP(정책 집행 지점). 핵심 기술: 강한 인증(MFA), 마이크로 세그멘테이션, 지속적 모니터링.

XDR (eXtended Detection and Response)

• EDR(엔드포인트)을 확장해 엔드포인트 + 네트워크 + 클라우드 + 이메일 + ID 데이터를 하나의 플랫폼에서 상관분석·대응.
• SIEM과 차이: SIEM은 범용 로그 수집·상관분석, XDR은 보안 텔레메트리 중심으로 탐지·대응까지 일체화. SOAR는 대응 자동화.
• 흐름: EPP(예방) → EDR(엔드포인트 탐지·대응) → XDR(통합 탐지·대응).

3과목 · 서비스별 항목 통합

개요·운영 / 공격·대응 두 축

• 새 출제기준은 웹·DNS·메일·FTP·DB·전자상거래 등 서비스별로 묶어 "① 개요·운영(구조, 프로토콜, 설정)" 과 "② 공격·대응" 두 축으로 물음.
• 공부법: 각 서비스마다 포트 → 동작 원리 → 대표 설정 파일·옵션 → 대표 공격 2~3개 → 대응을 한 줄로 말할 수 있게.
• 예: DNS = 53 / 재귀·반복 / named.conf의 allow-transfer·recursion / 캐시 포이즈닝·증폭·영역전송 / DNSSEC·재귀 제한. 메일 = 25·110·143 / SMTP 릴레이 / 스팸·스푸핑 / SPF·DKIM·DMARC.

4과목 · 암호 신기술

블록체인 · PoW (작업증명)

• 블록 = 이전 블록 해시 + 거래들(머클 루트) + 타임스탬프 + nonce. 앞 블록의 해시를 포함하므로 하나를 바꾸면 이후 전부 다시 계산해야 함 → 위변조 저항.
• PoW: 블록 해시가 목표값(난이도) 이하가 되는 nonce를 찾는 계산 경쟁, 먼저 찾은 노드가 블록 생성(채굴). 검증은 해시 1번으로 쉬움.
• 위협: 51% 공격(과반 연산력으로 이중 지불), 셀피시 마이닝, 스마트 컨트랙트 취약점(재진입), 개인키 탈취. 대안 합의: PoS(지분증명), PBFT 등.

양자내성암호 (PQC)

• 쇼어 알고리즘: 소인수분해·이산대수를 양자컴퓨터로 빠르게 → RSA, DH, ECC 붕괴. 그로버 알고리즘: 전수조사 제곱근 단축 → 대칭키·해시는 길이 2배(AES-256)로 대응.
• 기반 문제: 격자(Lattice), 코드, 다변수, 해시 기반, 아이소지니.
• NIST 표준(2024): FIPS 203 ML-KEM(Kyber, 키 캡슐화), FIPS 204 ML-DSA(Dilithium, 서명), FIPS 205 SLH-DSA(SPHINCS+, 해시 기반 서명). 국내 KpqC 선정 알고리즘도 있음. "지금 수집, 나중에 복호화(HNDL)" 위협 때문에 조기 전환이 강조됨.

동형암호 (Homomorphic Encryption)

• 암호문 상태 그대로 연산하고, 결과를 복호화하면 평문 연산 결과와 일치 → 클라우드·위탁 분석에서 데이터 노출 없이 처리.
• 종류: 부분 동형(PHE: RSA는 곱셈, Paillier는 덧셈), 제한적 동형(SHE), 완전 동형(FHE, 2009 Gentry). CKKS는 근사 연산(실수) 지원 — 국내 연구진 개발.
• 단점: 연산 속도·암호문 크기 부담.

경량암호

• IoT·센서·RFID처럼 연산 능력·메모리·전력이 제한된 환경을 위한 암호.
• 국산: LEA(블록 128, 키 128/192/256, ARX 구조, 고속), HIGHT(블록 64, 키 128, 초경량). 국제: PRESENT(ISO), Ascon(NIST 경량암호 표준 선정, 인증 암호·해시).
• 특징: 작은 블록·단순 연산, 하드웨어 게이트 수 최소화.

딥페이크

• GAN 등 생성형 AI로 얼굴·음성을 합성해 특정인을 사칭 → 보이스피싱·영상통화 사기, 허위 정보, 성적 합성물.
• 대응 기술: AI 기반 위변조 탐지, 디지털 워터마크, 콘텐츠 출처 증명(C2PA), 생체 인증의 라이브니스(Liveness) 검사.
• 관리적 대응: 송금 등 중요 요청은 별도 채널로 재확인, 임직원 교육. 관련 법적 규제(처벌 강화, AI 생성물 표시 의무 등)가 계속 바뀌는 중 (현행 법령 확인).

5과목 · 신규 법·제도

CSAP (클라우드 보안인증)

• 클라우드컴퓨팅법에 근거해, 공공기관이 이용할 수 있는 클라우드 서비스의 보안 수준을 평가·인증하는 제도. 운영: KISA.
• 대상: IaaS, SaaS, DaaS. 2023 개편으로 상·중·하 등급제 도입(하 등급은 물리적 망분리 요건 완화) (현행 고시 확인).
• ISMS와 비교: ISMS는 조직 관리체계 전반, CSAP는 클라우드 서비스 + 공공 요구사항(국내 데이터 위치, 망분리 등) 추가.

주요정보통신기반시설 (정보통신기반 보호법)

• 전자적 침해 시 국가안보·경제·사회에 큰 영향을 주는 시설(발전·금융·통신·교통·행정 등)을 소관 중앙행정기관의 장이 지정.
• 관리기관은 취약점 분석·평가(직접 또는 지정 전문기관)를 실시하고 보호대책을 수립, 중앙행정기관은 보호계획을 수립. 분석·평가 주기는 원칙적으로 매년 (현행 법령 확인).
• 관련: 정보공유·분석센터(ISAC), 침해사고 통지·복구. 기술적 점검 항목은 "주요정보통신기반시설 기술적 취약점 분석·평가 가이드"(유닉스·윈도우·웹·DB·네트워크 장비 등)로, 실기 점검 문제의 근거가 됨.

정보보호산업법 (정보보호산업의 진흥에 관한 법률)

• 정보보호 산업 육성 법률. 주요 내용: 정보보호 공시, 정보보호 전문서비스 기업 지정, 정보보호 제품 성능평가, 구매 수요 정보 제공.
• 정보보호 공시: 기업의 정보보호 투자액·인력·인증·활동을 공개. 매출액·이용자 수 등 기준을 넘는 사업자는 의무 공시 (기준·기한은 현행 법령 확인).
• 목적: 이용자가 기업의 보안 수준을 비교할 수 있게 하고, 투자를 유도.

클라우드컴퓨팅법 (클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률)

• 클라우드 산업 진흥 + 이용자 보호를 함께 규정.
• 이용자 보호: 침해사고·서비스 중단·이용자 정보 유출 시 이용자에게 알림, 서비스 종료 시 이용자 정보 반환·파기, 이용자 정보를 계약 목적 외로 제공 금지.
• 보안인증(CSAP)의 법적 근거. 공공기관의 민간 클라우드 이용 촉진 규정 포함.

전자서명법 (2020.12 전부개정 시행)

• 공인인증서 제도 폐지: 특정 인증서만 우월한 법적 효력을 갖던 구조를 없애고 다양한 전자서명(사설 인증서, 간편 인증, 생체 기반 등)이 경쟁.
• 신뢰성 확보: 전자서명인증사업자 운영기준 준수사실 인정 제도 (평가기관이 평가 → 인정기관이 인정).
• 전자서명의 효력: 전자서명이라는 이유만으로 서명·기명날인으로서의 효력이 부인되지 않음, 당사자 간 약정에 따른 서명은 그 효력을 가짐 (현행 법령 확인).

시험 직전 1페이지 요약

시험장 도착 후 30분 동안 이것만. 한 줄도 모르는 게 있으면 그 주차 노트 카드로.

1 시스템 보안

• 권한: SUID 4000 · SGID 2000 · Sticky 1000 / umask 022 → 644·755, 027 → 640·750
• 로그: utmp(w) · wtmp(last) · btmp(lastb, 실패) · lastlog · pacct(lastcomm) · secure · messages · xferlog
• passwd 7필드, UID 0 점검 / shadow 9필드, $1 MD5 · $5 SHA-256 · $6 SHA-512
• BOF 대응 = 카나리 · ASLR · NX/DEP / 포맷 스트링 = %n / 레이스 컨디션 = 임시 파일 + 심볼릭 링크
• 윈도우: SAM · SID 500/501 · 4624/4625/1102 · Run 키 · IPC$ 널 세션 → RestrictAnonymous
• 참조 모니터: 완전성 · 격리성 · 검증가능성 / TCB
• 클라우드: 책임 공유, IMDSv2, CloudTrail, privileged·docker.sock 금지, Trivy(이미지·IaC) · ScoutSuite(클라우드 설정)

2 네트워크 보안

• DoS: SYN Flood(SYN Cookie) · Smurf(directed-broadcast 차단) · Land(출발=목적) · Teardrop(오프셋) · PoD(65,535) · Slowloris(헤더 미완)
• 스캔: SYN 열림 SYN/ACK · 닫힘 RST / FIN·XMAS·NULL 열림 무응답 · 닫힘 RST / ACK = 방화벽 판별 / UDP 닫힘 = ICMP Unreachable
• ARP 스푸핑 → 정적 ARP · DAI / DNS 캐시 포이즈닝 → DNSSEC / MAC Flooding → 포트 보안
• IDS(미러·탐지) vs IPS(인라인·차단) / 오용(시그니처, 오탐↓) vs 이상(행위, 제로데이, 오탐↑)
• IPSec: AH 51(암호화 X) · ESP 50 · IKE UDP 500 / 전송(페이로드) vs 터널(전체, VPN)
• TLS 1.3: 1-RTT, (EC)DHE, AEAD만 / WPA2 = AES-CCMP · WPA3 = SAE
• 신규: SDN(제어·전달 분리, OpenFlow) · SMB 445(SMBv1 끄기) · Wireshark 디스플레이 필터 == · SASE · ZTNA · XDR

3 어플리케이션 보안

• SQLi → Prepared Statement / XSS → 출력 인코딩, HttpOnly, CSP / CSRF → 토큰, SameSite / SSRF → 화이트리스트, IMDSv2
• 쿠키: Secure(HTTPS만) · HttpOnly(JS 차단) · SameSite(교차 요청 제한) / 세션 고정 → 로그인 후 재발급
• 업로드 → 확장자 화이트리스트 + 웹 루트 밖 + 실행 권한 제거 / 경로 조작 ../
• HTTP: TRACE 끄기, 401 인증 필요 · 403 금지 · 404 · 500
• DNS: 재귀(클→로컬) · 반복(로컬→각 서버), allow-transfer / 메일: POP3 110 · IMAP 143 · SMTP 25, SPF(IP) · DKIM(서명) · DMARC(정책)
• FTP: Active(서버 20 → 클) · Passive(클 → 서버) / DB: 추론 vs 집성, 다중인스턴스화 / SET 이중서명
• 테스트: SAST(코드·화이트박스) vs DAST(실행·블랙박스)

4 정보보안 일반

• BLP(기밀성) NRU · NWD / Biba(무결성) NRD · NWU / Clark-Wilson(상업, TP) / 만리장성(이해충돌)
• DAC(소유자) · MAC(레이블) · RBAC(역할) / 식별 → 인증 → 인가 → 책임추적
• Kerberos = 대칭키 · KDC(AS+TGS) · 티켓 · 시간동기 / DH = MITM 취약
• DES 64·56·16 · AES 128, 10/12/14, SPN / SEED Feistel · ARIA SPN / n(n-1)/2 vs 2n
• ECB(패턴 노출) · CBC(체인) · CTR(병렬) · GCM = CTR + 인증
• 해시(키 X) · MAC(공유키, 부인방지 X) · 서명(개인키, 부인방지 O) / 생일 공격 2^(n/2)
• 기밀성 = 수신자 공개키로 암호화 / 서명 = 송신자 개인키 / CRL(목록) vs OCSP(실시간)
• 신규: PoW(nonce, 51%) · PQC(쇼어 → RSA·ECC, ML-KEM / ML-DSA, 그로버 → AES-256) · 동형(암호문 연산) · 경량(LEA · HIGHT · Ascon) · 딥페이크(탐지 · 워터마크 · C2PA)

5 정보보안 관리 및 법규

• 위험 = 자산 × 위협 × 취약점 / ALE = SLE × ARO, SLE = AV × EF / 정량(과거자료) vs 정성(델파이, 시나리오)
• 대응: 감소 · 회피(포기) · 전가(보험) · 수용(DoA 이하)
• BIA → RTO(언제 켜나) · RPO(어디까지) · MTD / 미러 > 핫 > 웜 > 콜드
• 사고 대응: 준비 → 탐지 → 초기 대응 → 전략 체계화 → 조사 → 보고서 → 해결
• 포렌식 5원칙: 정당성 · 재현 · 신속 · 연계 보관성 · 무결성(해시) / 휘발성 높은 것(메모리)부터
• ISMS 80 / ISMS-P 101 (16+64+21, 구 기출은 102) (현행 고시 확인) · 3년 · 매년 사후심사 / CC EAL 1~7, PP(유형) vs ST(제품)
• 개인정보: 민감정보 vs 고유식별정보(주민·여권·운전면허·외국인등록) / 주민번호는 동의로도 처리 X / 가명(법 적용 O, 통계·연구·공익기록) vs 익명(법 적용 X) / 유출: 통지 72시간 · 신고 72시간(1천 명↑·민감/고유식별·외부 불법접근) (현행 법령 확인)
• 정보통신망법: 광고 야간 21~08시, 수신동의 2년마다 확인
• 문서: 정책 > 표준 > 지침 > 절차 / 직무분리 · 최소권한 · 직무순환
• 신규 법: 기반보호법(주요정보통신기반시설, 중앙행정기관장 지정, 취약점 분석·평가) · 정보보호산업법(공시) · 클라우드컴퓨팅법(이용자 보호, CSAP 근거) · 전자서명법(공인인증서 폐지)

최종 모의고사 100문항 (자체 제작)

실제 기출을 옮긴 것이 아니라 출제 경향을 바탕으로 새로 만든 문항. 150분 타이머 켜고, 정답 callout은 다 푼 뒤에 펼치기.
채점 후 과목별 점수(20문항 × 5점)를 위 점수 기록 표에 적기.

1과목 · 시스템 보안 (Q1 ~ Q20)

Q1. 권한이 -rwxr-x--x 인 파일의 8진수 표현은?
① 751 ② 755 ③ 711 ④ 741

Q2. 디렉터리에 SGID를 설정했을 때의 효과로 옳은 것은?
① 디렉터리 안 파일은 소유자만 삭제할 수 있다 ② 디렉터리 안 파일이 root 권한으로 실행된다 ③ 디렉터리 안에서 생성되는 파일의 그룹이 디렉터리의 그룹을 상속한다 ④ 디렉터리를 읽기 전용으로 만든다

Q3. 사용자의 로그인·로그아웃 및 시스템 재부팅 이력이 바이너리로 저장되며 last 명령으로 확인하는 파일은?
① utmp ② wtmp ③ btmp ④ sulog

Q4. 윈도우에서 로컬 사용자 계정의 패스워드 해시를 저장하는 파일은?
① NTUSER.DAT ② NTDS.dit ③ SECURITY ④ SAM

Q5. ASLR의 보안 효과로 가장 적절한 것은?
① 스택 영역의 코드 실행을 금지한다 ② 리턴 주소 앞에 카나리 값을 두어 변조를 탐지한다 ③ 스택·힙·라이브러리의 메모리 주소를 실행할 때마다 무작위로 배치해 공격 주소 예측을 어렵게 한다 ④ 프로그램을 일반 사용자 권한으로 실행한다

Q6. 다음 C 코드에서 발생할 수 있는 취약점은?
printf(user_input);
① 포맷 스트링 ② SQL Injection ③ 레이스 컨디션 ④ 정수 오버플로

Q7. 랜섬웨어 피해에 대비하는 가장 효과적인 복구 대책은?
① 백신 엔진을 매일 업데이트한다 ② 바탕화면에 백업 폴더를 만든다 ③ 공유 폴더에 실시간 동기화한다 ④ 네트워크와 분리된(오프라인·불변) 백업을 주기적으로 보관한다

Q8. 공격자가 시스템 침입 후 자신의 프로세스·파일·네트워크 연결을 숨기고 관리자 권한을 유지하기 위해 설치하는 도구는?
① 키로거 ② 루트킷 ③ 애드웨어 ④ 스파이웨어

Q9. 윈도우에서 익명 사용자가 IPC$ 널 세션으로 계정·공유 목록을 열거하지 못하도록 하는 레지스트리 값은?
① AutoShareServer ② NoLMHash ③ RestrictAnonymous ④ EnableLUA

Q10. 리눅스에서 패스워드를 연속으로 틀린 계정을 일정 시간 잠그도록 설정하는 PAM 모듈은?
① pam_faillock (구버전 pam_tally2) ② pam_wheel ③ pam_limits ④ pam_securetty

Q11. SSH 서버에서 root 계정의 원격 직접 로그인을 금지하는 sshd_config 설정은?
① AllowUsers root ② PermitRootLogin no ③ PasswordAuthentication yes ④ PermitEmptyPasswords yes

Q12. 하드웨어 위에서 직접 동작하는 Type 1(베어메탈) 하이퍼바이저는?
① VirtualBox ② VMware Workstation ③ Parallels Desktop ④ VMware ESXi

Q13. IaaS 환경에서 고객이 책임져야 하는 보안 영역은?
① 데이터센터 물리 보안 ② 하이퍼바이저 패치 ③ 게스트 OS 패치와 보안그룹(방화벽) 설정 ④ 서버 하드웨어 교체

Q14. 클라우드 인스턴스 메타데이터 서비스 v2(IMDSv2)의 특징으로 옳은 것은?
① PUT 요청으로 세션 토큰을 먼저 받아야 메타데이터를 조회할 수 있다 ② 메타데이터 주소가 공인 IP로 변경되었다 ③ 메타데이터에서 IAM 자격증명이 완전히 제거되었다 ④ HTTP 대신 FTP로 메타데이터를 제공한다

Q15. Trivy로 수행할 수 있는 작업이 아닌 것은?
① 컨테이너 이미지 내 OS 패키지의 알려진 취약점(CVE) 탐지 ② 실시간 네트워크 트래픽 분석 및 차단 ③ Terraform·Kubernetes 매니페스트의 잘못된 설정 탐지 ④ 소스코드에 하드코딩된 시크릿 탐지

Q16. ScoutSuite에 대한 설명으로 옳은 것은?
① 컨테이너 런타임에서 악성 행위를 차단하는 에이전트 ② 웹 애플리케이션의 SQL Injection을 자동 공격하는 도구 ③ 해시를 크래킹하는 GPU 기반 도구 ④ 클라우드 API로 설정 정보를 수집해 보안 위험을 리포트하는 멀티 클라우드 감사 도구

Q17. 윈도우 서버에서 공격자가 흔적을 지우기 위해 보안 감사 로그를 삭제했을 때 남는 이벤트 ID는?
① 4624 ② 4720 ③ 1102 ④ 4688

Q18. TCB(Trusted Computing Base)에 대한 설명으로 옳은 것은?
① 보안 정책을 집행하는 하드웨어·펌웨어·소프트웨어 보호 메커니즘 전체 ② 사용자가 설치하는 응용 프로그램 집합 ③ 네트워크 경계에 위치한 방화벽 ④ 백업 데이터 보관 장소

Q19. NX/DEP가 적용된 환경에서 스택에 쉘코드를 실행할 수 없자, 프로그램에 이미 존재하는 코드 조각(가젯)을 이어 붙여 원하는 동작을 수행하는 기법은?
① 힙 스프레이 ② ROP(Return Oriented Programming) ③ NOP 슬레드 ④ 스택 카나리

Q20. 컨테이너 보안에 대한 설명으로 옳지 않은 것은?
① 컨테이너는 호스트 커널을 공유한다 ② 네임스페이스와 cgroup으로 격리와 자원 제한을 구현한다 ③ 신뢰할 수 있는 레지스트리의 서명된 이미지를 사용하는 것이 좋다 ④ 컨테이너는 일반적으로 가상머신보다 격리 수준이 강하다

2과목 · 네트워크 보안 (Q21 ~ Q40)

Q21. OSI 계층과 장비의 연결이 옳은 것은?
① 스위치 – 1계층 ② 라우터 – 3계층 ③ 허브 – 2계층 ④ 리피터 – 3계층

Q22. TCP 3-way 핸드셰이크의 순서는?
① SYN → ACK → FIN ② SYN → ACK → SYN/ACK ③ SYN → SYN/ACK → ACK ④ ACK → SYN → SYN/ACK

Q23. SYN Flooding 공격의 대응 방법이 아닌 것은?
① SYN Cookie 적용 ② Backlog Queue 크기 증가 ③ SYN_RECEIVED 상태 타임아웃 단축 ④ 정적 ARP 테이블 설정

Q24. IP 단편화 시 Fragment Offset 값을 서로 겹치게 조작해 재조립 과정에서 오류를 일으키는 공격은?
① Teardrop ② Land ③ Smurf ④ Ping of Death

Q25. DNS 증폭 DDoS의 반사체로 악용되는 것을 막기 위한 DNS 서버 설정은?
① ICMP 전체 차단 ② SYN Cookie 활성화 ③ 외부 클라이언트에 대한 재귀 질의(Open Resolver) 제한 ④ 정적 ARP 설정

Q26. 스위치 환경에서 다른 호스트의 트래픽을 스니핑하기 위한 기법이 아닌 것은?
① 스위치 재밍(MAC Flooding) ② ARP 스푸핑 ③ ICMP Redirect ④ NIC의 무차별(Promiscuous) 모드 비활성화

Q27. 네트워크에서 스니퍼(무차별 모드 호스트)를 탐지하는 방법으로 적절한 것은?
① 대상에 SYN 스캔을 수행한다 ② 존재하지 않는 MAC 주소로 ICMP Echo를 보내 응답 여부를 확인한다 ③ traceroute로 경로를 확인한다 ④ whois로 도메인 정보를 조회한다

Q28. 공격자가 "더 좋은 경로가 있다"는 ICMP 메시지를 위조해 피해자의 라우팅 테이블을 변경, 트래픽을 자신에게 우회시키는 공격은?
① ICMP Redirect 공격 ② Smurf ③ Ping Sweep ④ Land

Q29. 상태 검사(Stateful Inspection) 방화벽에 대한 설명으로 옳은 것은?
① 패킷의 IP와 포트만 개별적으로 검사하고 연결 상태는 기억하지 않는다 ② 모든 서비스마다 별도의 프록시를 둔다 ③ 7계층 데이터만 검사하고 3계층은 검사하지 않는다 ④ 세션 상태 테이블을 유지하여 정상 연결의 응답 패킷인지 판단한다

Q30. 이상(Anomaly) 탐지 IDS의 특징으로 옳은 것은?
① 알려진 공격 시그니처와 일치할 때만 탐지한다 ② 정상 행위 프로파일과의 차이로 탐지해 제로데이 공격 탐지 가능성이 있으나 오탐이 많다 ③ 오탐률이 매우 낮다 ④ 시그니처 업데이트가 반드시 필요하다

Q31. SSL/TLS 레코드 계층 위에서 동작하며 "이제부터 협상한 암호 사양을 적용한다"를 알리는 하위 프로토콜은?
① Handshake ② Alert ③ ChangeCipherSpec ④ Heartbeat

Q32. IPSec에서 SA를 협상하고 키를 교환하는 프로토콜은?
① IKE ② AH ③ ESP ④ L2TP

Q33. 다음 중 3계층(네트워크 계층)에서 동작하는 VPN 프로토콜은?
① PPTP ② L2F ③ L2TP ④ IPSec

Q34. 단말이 네트워크에 접속할 때 백신 설치·패치 상태 등 보안 정책 준수 여부를 확인하고, 미준수 시 격리하는 솔루션은?
① DLP ② NAC ③ DRM ④ SIEM

Q35. SDN 환경에서 가장 우선적으로 보호해야 할 대상으로 적절한 것은?
① 각 스위치의 LED 표시 ② 단말의 MAC 주소 ③ 네트워크 전체 흐름을 제어하는 중앙 컨트롤러 ④ 케이블 색상 규격

Q36. SMB 프로토콜에 대한 설명으로 옳은 것은?
① 워너크라이 랜섬웨어는 SMBv1 취약점(EternalBlue)을 이용해 확산되었다 ② SMB는 기본적으로 UDP 53 포트를 사용한다 ③ SMB 서명은 릴레이 공격 위험을 높인다 ④ SMBv1 사용이 권장된다

Q37. Wireshark의 "Follow TCP Stream" 기능의 용도는?
① 패킷을 대상 호스트로 재전송한다 ② 방화벽 룰을 자동 생성한다 ③ 패킷을 위조해 세션을 탈취한다 ④ 같은 TCP 세션의 데이터를 순서대로 재조립해 대화 내용을 보여준다

Q38. SASE의 구성 요소로 보기 어려운 것은?
① SD-WAN ② CASB ③ 본사 데이터센터에만 설치하는 하드웨어 UTM 중심 구조 ④ ZTNA

Q39. XDR에 대한 설명으로 옳은 것은?
① 단일 PC의 시그니처 기반 백신이다 ② 엔드포인트·네트워크·클라우드·이메일 등 여러 계층의 데이터를 통합 분석해 탐지·대응한다 ③ 무선 AP 암호화 표준이다 ④ 웹 애플리케이션 방화벽의 다른 이름이다

Q40. 공격자가 정상 AP와 동일한 SSID의 가짜 AP를 설치해 사용자의 접속을 유도하고 트래픽을 가로채는 무선 공격은?
① Evil Twin ② WEP 크래킹 ③ Wardriving ④ Bluejacking

3과목 · 어플리케이션 보안 (Q41 ~ Q60)

Q41. 로그인 입력값에 ' UNION SELECT id, password FROM users -- 를 넣어 다른 테이블의 데이터를 결과에 함께 출력시키는 공격 유형은?
① Error-based SQL Injection ② Union-based SQL Injection ③ Stored XSS ④ LDAP Injection

Q42. 오류 메시지나 결과가 화면에 보이지 않을 때, 참/거짓 조건에 따른 응답 차이나 SLEEP() 같은 응답 지연으로 정보를 한 글자씩 알아내는 공격은?
① Error-based SQL Injection ② Union-based SQL Injection ③ Stacked Query ④ Blind SQL Injection

Q43. XSS 대응을 위한 출력 인코딩 예로 옳은 것은?
① < → <, > → > ② ' → '' ③ ../ → / ④ %00 → 0

Q44. HTTP 응답 헤더 Content-Security-Policy(CSP)의 주된 목적은?
① 쿠키를 HTTPS로만 전송한다 ② 서버 버전 정보를 숨긴다 ③ 허용된 출처의 스크립트·리소스만 로드·실행하도록 제한해 XSS 피해를 줄인다 ④ 브라우저 캐시를 비활성화한다

Q45. CSRF 대응 방법으로 옳지 않은 것은?
① 요청마다 예측 불가능한 CSRF 토큰 검증 ② 비밀번호 변경 같은 상태 변경 요청을 GET 방식으로 처리 ③ 쿠키에 SameSite 속성 설정 ④ 중요 기능 수행 전 재인증

Q46. SSRF 대응 방법으로 가장 적절한 것은?
① 쿠키에 HttpOnly 설정 ② 출력 인코딩 ③ CAPTCHA 적용 ④ 서버가 요청할 수 있는 URL을 화이트리스트로 제한하고 내부 IP·메타데이터 주소를 차단

Q47. 파일 업로드 필터 우회 기법이 아닌 것은?
① 서버 측에서 확장자 화이트리스트를 검증한다 ② shell.php.jpg 처럼 이중 확장자를 사용한다 ③ shell.pHp 처럼 대소문자를 섞는다 ④ Content-Type 헤더를 image/jpeg로 조작한다

Q48. 쿠키의 Secure 속성 효과는?
① 자바스크립트 접근을 차단한다 ② 교차 사이트 요청 시 전송을 막는다 ③ HTTPS 연결에서만 쿠키를 전송한다 ④ 쿠키를 암호화하여 저장한다

Q49. 사용자 입력에 CR(%0d)·LF(%0a) 문자를 넣어 응답 헤더를 조작하고 임의의 헤더·본문을 삽입하는 공격은?
① 디렉터리 트래버설 ② HTTP 응답 분할(Response Splitting) ③ XXE ④ 클릭재킹

Q50. /redirect?url=http://evil.example 처럼 검증 없이 외부 URL로 이동시켜 피싱에 악용될 수 있는 취약점은?
① SSRF ② CSRF ③ XXE ④ 오픈 리다이렉트(신뢰되지 않은 URL로 자동 연결)

Q51. XML 입력에 <!DOCTYPE a [<!ENTITY x SYSTEM "file:///etc/passwd">]> 를 삽입하는 공격과 대응이 바르게 연결된 것은?
① XXE – XML 파서의 외부 엔티티·DTD 처리 비활성화 ② XSS – HttpOnly ③ CSRF – SameSite ④ SQL Injection – 저장 프로시저

Q52. BIND DNS에서 영역 전송(Zone Transfer)을 허가된 보조 DNS 서버로만 제한하는 설정은?
① allow-query ② recursion no ③ allow-transfer ④ listen-on

Q53. FTP의 PORT 명령을 악용해 FTP 서버가 제3의 호스트로 접속하도록 만들어 포트 스캔 등에 이용하는 공격은?
① Anonymous FTP 공격 ② FTP Bounce 공격 ③ TFTP 공격 ④ FTP 무차별 대입

Q54. SMTP 서버가 인증 없이 외부 발신자의 메일을 외부 수신자에게 중계해 스팸 발송에 악용되는 설정 취약점은?
① 메일 폭탄 ② 메일 스푸핑 ③ 디렉터리 하베스트 공격 ④ 오픈 릴레이(Open Relay)

Q55. DB 암호화 방식 중 애플리케이션 소스 수정이 가장 많이 필요한 방식은?
① API 방식 ② 플러그인 방식 ③ TDE 방식 ④ 파일(OS) 암호화 방식

Q56. SET(Secure Electronic Transaction)에서 이중 서명(Dual Signature)을 사용하는 목적은?
① 서명 속도를 두 배로 높이기 위해 ② 인증서를 두 개 발급받기 위해 ③ 상점은 결제 정보를, 금융기관(PG)은 주문 정보를 알 수 없게 하면서 두 정보의 연관성을 증명하기 위해 ④ 대칭키 암호를 대체하기 위해

Q57. 행정안전부 소프트웨어 보안약점 7개 분류(시큐어코딩)에 해당하지 않는 것은?
① 입력데이터 검증 및 표현 ② 보안기능 ③ 네트워크 대역폭 관리 ④ 에러처리

Q58. OWASP Top 10 (2021판)에서 1위로 선정된 항목은?
① Injection ② Cross-Site Scripting ③ Cryptographic Failures ④ Broken Access Control

Q59. JWT 검증 시 헤더의 "alg": "none" 을 그대로 허용할 때의 위험은?
① 서명 검증이 생략되어 공격자가 임의로 조작한 토큰이 유효하게 처리될 수 있다 ② 토큰이 자동 암호화된다 ③ 토큰 만료 시간이 짧아진다 ④ 서버 부하만 증가한다

Q60. 세션 관리 보안 대책으로 옳지 않은 것은?
① 충분히 길고 예측 불가능한 난수로 세션 ID 생성 ② 세션 ID를 URL 파라미터에 포함해 전달 ③ 로그아웃 시 서버 측 세션 파기 ④ 전 구간 HTTPS 사용

4과목 · 정보보안 일반 (Q61 ~ Q80)

Q61. DDoS 공격이 주로 침해하는 정보보호 목표는?
① 기밀성 ② 무결성 ③ 가용성 ④ 부인방지

Q62. 한 사람이 중요 업무의 전 과정을 단독으로 수행하지 못하게 업무를 나누어 부정을 방지하는 원칙은?
① 직무 분리 ② 최소 권한 ③ 알 필요성(Need-to-know) ④ 심층 방어

Q63. BLP 모델의 *(스타)-속성에 해당하는 규칙은?
① No Read Up ② No Write Down ③ No Read Down ④ No Write Up

Q64. Kerberos에 대한 설명으로 옳지 않은 것은?
① KDC가 단일 장애점이 될 수 있다 ② 서버·클라이언트 간 시간 동기화가 필요하다 ③ 티켓을 이용해 SSO를 구현한다 ④ 공개키 인증서와 CA를 기반으로 동작한다

Q65. SSO(Single Sign-On)의 가장 큰 보안상 약점은?
① 사용자가 여러 패스워드를 기억해야 한다 ② 한 번 인증 정보가 탈취되면 연결된 모든 시스템이 위험해진다 ③ 로그인 속도가 느려진다 ④ 인증 서버가 필요 없다

Q66. 다음 중 스트림 암호는?
① RC4 ② DES ③ AES ④ SEED

Q67. DES가 현재 안전하지 않은 것으로 평가되는 가장 큰 이유는?
① 블록 크기가 256비트로 너무 크다 ② Feistel 구조를 사용하지 않는다 ③ 키 길이가 56비트로 짧아 전수조사에 취약하다 ④ 라운드 수가 1회뿐이다

Q68. 20명이 서로 1:1 비밀 통신을 하기 위해 대칭키 방식으로 필요한 키의 수는?
① 40 ② 100 ③ 380 ④ 190

Q69. A가 B에게 기밀성을 보장하며 메시지를 보낼 때 공개키 암호에서 사용하는 키는?
① A의 개인키 ② B의 공개키 ③ A의 공개키 ④ B의 개인키

Q70. 전자서명 생성에 사용하는 키는?
① 송신자의 개인키 ② 송신자의 공개키 ③ 수신자의 공개키 ④ 송수신자가 공유한 대칭키

Q71. ECC(타원곡선 암호)의 장점으로 옳은 것은?
① 소인수분해 문제에 기반한다 ② 대칭키 암호보다 항상 빠르다 ③ RSA보다 짧은 키 길이로 비슷한 안전성을 제공한다 ④ 양자컴퓨터 공격에 안전하다

Q72. 이산대수 문제의 어려움에 기반하지 않는 알고리즘은?
① Diffie-Hellman ② ElGamal ③ DSA ④ RSA

Q73. HMAC의 구성으로 옳은 것은?
① 공개키 + 대칭키 ② 해시 함수 + 공유 비밀키 ③ 개인키 + 인증서 ④ 블록 암호 + 난수 생성기만

Q74. X.509 v3 인증서에 포함되지 않는 정보는?
① 일련번호 ② 발급자(CA) 이름 ③ 주체의 개인키 ④ 유효기간

Q75. 비트코인의 작업증명(PoW)에 대한 설명으로 옳은 것은?
① 블록 해시가 목표값 이하가 되도록 하는 nonce를 찾는 계산 경쟁이다 ② 보유 지분이 많을수록 블록 생성 확률이 높아진다 ③ 중앙 서버가 블록을 승인한다 ④ 블록 검증에 많은 계산이 필요하다

Q76. 블록체인에서 네트워크 해시 연산력의 과반을 확보한 공격자가 거래 기록을 다시 써서 이중 지불을 시도하는 공격은?
① 시빌 공격 ② 이클립스 공격 ③ 재진입 공격 ④ 51% 공격

Q77. NIST가 표준화한 양자내성 키 캡슐화(KEM) 알고리즘은?
① ML-DSA ② ML-KEM ③ SLH-DSA ④ RSA-OAEP

Q78. 국내에서 개발된 128비트 블록의 경량 고속 블록 암호는?
① AES ② Ascon ③ LEA ④ PRESENT

Q79. 딥페이크 대응 기술로 보기 어려운 것은?
① 콘텐츠 출처·이력 증명(C2PA 등) ② 생성물에 디지털 워터마크 삽입 ③ AI 기반 위변조 탐지 ④ 영상 해상도 향상(업스케일링)

Q80. 사전에 비밀을 공유하지 않은 두 당사자가 공개 채널에서 값을 교환해 공통 비밀키를 만드는 방식은?
① Diffie-Hellman 키 교환 ② KDC 기반 키 분배 ③ Kerberos ④ 사전 키 분배(Key Predistribution)

5과목 · 정보보안 관리 및 법규 (Q81 ~ Q100)

Q81. 정보보호 사고에 대비해 사이버 보험에 가입하는 위험 대응 전략은?
① 위험 감소 ② 위험 전가 ③ 위험 회피 ④ 위험 수용

Q82. 위험 수준이 수용 가능 수준(DoA) 이하로 평가되어 별도 대책 없이 경영진 승인 후 모니터링만 하기로 했다. 이 전략은?
① 위험 감소 ② 위험 회피 ③ 위험 전가 ④ 위험 수용

Q83. 자산가치 5억 원, 노출계수 20%, 연간 발생률 0.1일 때 연간 예상 손실(ALE)은?
① 1,000만 원 ② 1억 원 ③ 5,000만 원 ④ 500만 원

Q84. 모든 시스템에 표준화된 보호대책 목록(체크리스트)을 일괄 적용하는 위험분석 접근법은?
① 상세 위험분석 ② 비정형 접근법 ③ 기준선(베이스라인) 접근법 ④ 복합 접근법

Q85. ISMS-P 인증기준의 영역이 아닌 것은?
① 관리체계 수립 및 운영 ② 보호대책 요구사항 ③ 개인정보 처리 단계별 요구사항 ④ 위험 전가 계획 수립

Q86. ISMS-P 인증의 유효기간은?
① 1년 ② 3년 ③ 5년 ④ 영구

Q87. KISA 침해사고 대응 절차의 첫 단계는?
① 사고 전 준비 ② 사고 탐지 ③ 초기 대응 ④ 사고 조사

Q88. 수집한 디스크 이미지가 원본과 동일함을 입증하기 위해 일반적으로 사용하는 방법은?
① 파일 크기 비교 ② 파일명 비교 ③ 원본과 사본의 해시값 비교 ④ 생성 날짜 비교

Q89. CC(공통평가기준)의 평가보증등급(EAL) 범위는?
① EAL 1 ~ 5 ② EAL 1 ~ 7 ③ EAL 0 ~ 6 ④ A ~ D 등급

Q90. 개인정보 보호법상 개인정보에 대한 설명으로 옳지 않은 것은?
① 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있는 정보도 포함된다 ② 가명정보도 개인정보에 포함된다 ③ 살아 있는 개인에 관한 정보여야 한다 ④ 사망자의 정보도 개인정보 보호법상 개인정보에 해당한다

Q91. 개인정보 수집·이용 동의를 받을 때 정보주체에게 알려야 할 사항이 아닌 것은?
① 수집·이용 목적 ② 수집 항목 ③ 개인정보처리자의 연간 매출액 ④ 동의를 거부할 권리와 거부 시 불이익

Q92. 가명정보를 정보주체의 동의 없이 처리할 수 있는 목적이 아닌 것은?
① 맞춤형 광고 발송 ② 통계 작성 ③ 과학적 연구 ④ 공익적 기록 보존

Q93. 개인정보의 안전성 확보조치 기준상 비밀번호의 저장 방식으로 옳은 것은?
① 양방향 암호화(복호화 가능) ② 일방향 암호화(해시) ③ 평문 저장 후 접근통제 ④ Base64 인코딩

Q94. 정보통신망법상 영리 목적 광고성 정보를 전자적 전송매체로 보낼 때 별도의 사전 동의가 필요한 야간 시간대는?
① 20시 ~ 다음 날 07시 ② 22시 ~ 다음 날 06시 ③ 23시 ~ 다음 날 07시 ④ 21시 ~ 다음 날 08시

Q95. 정보통신기반 보호법상 주요정보통신기반시설을 지정하는 주체는?
① 관리기관의 장 ② KISA 원장 ③ 소관 중앙행정기관의 장 ④ 개인정보보호위원회

Q96. 기업이 정보보호 투자·인력·인증 현황 등을 공개하는 "정보보호 공시" 제도의 근거 법률은?
① 정보보호산업의 진흥에 관한 법률 ② 전자서명법 ③ 정보통신기반 보호법 ④ 전자금융거래법

Q97. 공공기관이 이용하는 클라우드 서비스의 보안 수준을 평가·인증하는 CSAP를 운영하는 기관은?
① 금융보안원 ② 한국인터넷진흥원(KISA) ③ 국가정보원 ④ 개인정보보호위원회

Q98. 클라우드컴퓨팅법(클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률)의 내용으로 보기 어려운 것은?
① 침해사고 발생 시 이용자에게 알림 ② 서비스 종료 시 이용자 정보의 반환·파기 ③ 클라우드 서비스 보안인증의 근거 ④ 주요정보통신기반시설의 지정

Q99. 2020년 전부개정 시행된 전자서명법에 대한 설명으로 옳은 것은?
① 공인인증서만 법적 효력을 가진다 ② 전자서명은 서면 서명과 같은 효력이 절대 인정되지 않는다 ③ 전자서명인증사업자의 운영기준 준수사실 인정 제도를 통해 신뢰성을 확보한다 ④ 공개키 방식 이외의 전자서명은 인정하지 않는다

Q100. 직무 순환(Job Rotation)과 의무 휴가(Mandatory Vacation) 제도의 주된 보안 목적은?
① 장기간 은폐된 부정행위나 오류를 발견하기 위해 ② 교육 비용을 줄이기 위해 ③ 시스템 처리 속도를 높이기 위해 ④ 채용 절차를 단축하기 위해

정답 한눈에 보기 (채점용)

누적 오답 최종 정리

네비게이션