Code&Data Insights

클라우드 컴퓨팅이란?: 클라우드 컴퓨팅 서비스 모델은 인터넷을 통해 주문형 컴퓨팅 리소스, 소프트웨어 및 정보를 공유하는 개념을 기반,CSP(Cloud Service Provider: GCP, AWS, Microsoft Azure)가 소유하고 관리하는 원격 서버에 위치한 컴퓨팅, 스토리지, 네트워킹 서비스를 포함한 공유 리소스의 가상 풀에 액세스하기 위해 사용한 만큼 비용을 지불  서비스 유형 1) IaaS - AWS EC2, AWS S32) PaaS - AWS lambda, AWS RDS3) SaaS - Slack클라우드의 특징1) 공동책임모델 2) 구독 방식 & 사용한 만큼 지불 (Pay-as-you-go)3) 운영비용 절감 & 개발 시간 단축  & 생산성 향상4) 필요시 즉각적으로 이용이 가능 (O..

파일참조 공격 (File Inclusion): 페이지 내 다른 파일을 참조하는데서 취약점이 발생함 함수: include- 취약점 구조: 소스코드 내 admin?page=../../../test.html 와 같은 구조를 가지고 있음- LFI보다 RFI가 더 취약함 LFI (Local File Inclusion): 로컬 파일 참고- admin 페이지가 실행되는 서버의 파일을 참조하는 공격(웹서버)- ../../../../../../etc/passwd와 같이 입력하여 로컬에 있는 파일 참조=> ../ : 상위 디렉토리 지정 문자열이 핵심, 인코딩 작업을 수행함 (html, url, 이중url 등) 예시) ?page=include.php=> /?page=../../../../../../etc/passwd패스워드..

10월 18일에 처음 프로그램을 시작하고, 벌써 거의 2달 가까이 되어가고 있다. (오늘 기준으로 현 진행률 37%)  처음에 네트워크(+리눅스), AWS를 정신없이 배우고 AWS 관련 첫번째 모듈프로젝트를 했고,리액트, 파이썬 배우고 2번째 모듈프로젝트를 저번주에 끝냈다. 일주일에 2번만 오프라인 수업임에도 불구하고, 팀프로젝트와 스터디(러닝메이트)활동을 통해 많은 분들과 친해지고 초반보다 훨씬 즐겁게 다니고 있다.  각기 다른 전공과 배경을 가진 많은 분들과 함께 하기 때문에 처음에는 어색함도 느꼈지만, 함께 배우며 고생하다 보니 더 빨리 친해진 것 같다.  그와중에 다들 정말 공부도 프로젝트도 열심히 하시기 때문에, 지친 날이 있더라도 많은 힘과 자극을 받으며 공부하고 있다!  대체적으로 보안과정인..

칼리 리눅스 기본 세팅 & pentestlab 1) VMWare를 통해 Kali Linux 접속, docker, pentestlab 다운로드sudo su // 관리자(root) 권한으로 변경ls apt update git clone https://github.com/eystsen/pentestlab.git(https://github.com/eystsen/pentestlab)cd pentestlabapt install docker.io -y // 도커 설치./pentestlab.sh list // docker 설치 후 수동 설치└─# ./pentestlab.sh list        Available pentest applications  bwapp                 - bWAPP PHP/M..

웹 취약점 가이드라인- OWASP Top10 기준선(2021년 기준이 최신), 4년에 한번 개정=> 웹 취약성을 연구하는 연구원들이 4년마다 많이 발생한 웹 취약성을 목록화 발표- NIST 기준(WEB 취약성 31개) - 주요통신기반시설 취약점 점검 가이드 라인(28개), 공개, 행안부, KISA (2021)- 전자금융기반시설 취약점 점검 가이드(48개), 비공개, 금융보안원 (2024)- 행정안전부 SW취약점 개발 가이드(49개), 공개, 행안부, KISA (2021)- 국정원 정보보안관리실태평가(13개), 비공개, 국정원 (2024) 웹 취약점 종류1) File Upload (+Download)Upload: 게시판 업로드를 통해 악성파일이 업로드 되는 경우=> 프로필사진 업로드, PUT Method ..

보안관제(Security Operations Center, SOC)란?- 보안 모니터링을 하는 부서- 위협 데이터 및 이벤트를 탐지하고 보호, 대응함 - 내부로 악성 공격이 일어나지 않도록 하는 최전방 -> 'DMZ' 관제의 주요 역할1) 보안 모니터링- 실시간으로 모니터링하여, 비정상적인 활동이나 잠재적인 위협을 감지 2) 사이버 위협 탐지- 정탐/과탐/오탐을 분류  3) 사고 대응 및 조치- 해당 IP 차단과 같은 즉각적인 조치를 통해 사고의 확산을 막고 피해를 최소화함  4) 로그 분석 및 보고- 중간 과정보다 결과가 중요함, 보고기일에 정확히 맞추는 것이 중요 관제의 구성 요소1) 인프라와 도구(ex) SIEM(Security Information and Event Management) 시스템, ..

현장 실습도 다녀오고, 보안과정이 본격적으로 시작하는 12월이 되었다  여러모로 정신없었는데, 1차 사후평가가 다음주라서 과정에 포함되었지만,수업은 아쉽게 많이 못했던 리눅스를 이번 스터디에 정리해서 발표하기로 했다  정리하고 발표 준비하면서공부도 되고, 지친 와중에도 스터디 팀원들과 같이 공부하면서 힘을 얻고 있다! 과정을 들을수록, 리눅스와 네트워크에 대한 공부가 더욱 필요함을 느끼고 있다. 리눅스 마스터 2급을 따거나 네트워크는 얆은 책이라도 사서 공부할 생각이다.  오늘의 발표자료 첨부..!

12월 부터 본격적으로 배우는 보안 과정에 앞서, 마지막 웹 개발 프로젝트..! 랜덤으로 팀이 배정되었고, 프론트엔드 파트 전반을 맡았다.  사실, 개인적으로 백엔드 파트를 맡고 싶었지만 팀내에 프론트 개발 경험을 가진 분이 한분도 없었고, 백엔드를 희망하셔서 프론트를 맡기로 했다.  정신없이 4~5일 동안 한 것 같은데, 여자저차 완성하고, 발표도 무사히 마쳤다 아쉬움은 있었어도, 그래도 실무에서 배운거 다시 복기해서 짧은 시간내에 해보니 재미있고 보람도 있었다..! 개발 시작 전에 Template 활용해서 figma 에서 직접 UI도 만들어보고,  백엔드 팀원분들과 협업을 위해, 스키마도 짜고, 필요한 API도 작성해 보았다.  신입으로 들어갔던 웹 개발 실무에선,그냥 세팅된 환경에서 코드 짜고, 기..