정보보안기사 시스템 보안이란?
정보보안기사 필기 시험 과목 중 ‘시스템 보안’은 운영체제 보안, 악성코드, 접근제어, 인증 등 실무에서 가장 자주 마주치는 개념들을 다룹니다. 매 시험마다 10~15문제가 출제되며, 개념 이해 없이는 풀기 어려운 응용 문제가 많이 나오는 파트입니다.
【기출 토픽 1】 악성코드 유형과 특징
기출 문제 예시: 다음 중 자기 복제 기능이 없으며 정상적인 프로그램으로 위장하여 사용자를 속이는 악성코드는?
- ① 바이러스 (Virus)
- ② 웜 (Worm)
- ③ 트로이목마 (Trojan Horse) ✅
- ④ 랜섬웨어 (Ransomware)
해설: 트로이목마는 자기 복제 기능이 없고, 유용한 프로그램으로 위장해 사용자가 스스로 실행하도록 유도합니다. 바이러스는 다른 파일에 코드를 삽입해 자기 복제하고, 웜은 네트워크를 통해 스스로 전파합니다.
핵심 암기: 바이러스(파일 감염+복제) / 웜(네트워크 자가 전파) / 트로이목마(위장, 복제 없음) / 랜섬웨어(파일 암호화 후 금전 요구)
【기출 토픽 2】 접근제어 모델 3총사
기출 문제 예시: 군사용 보안 모델로, 높은 등급의 주체가 낮은 등급의 객체에 쓰기(Write)를 금지하는 무결성 모델은?
- ① Bell-LaPadula 모델
- ② Biba 모델 ✅
- ③ Clark-Wilson 모델
- ④ Chinese Wall 모델
해설: Biba 모델은 무결성 보호가 목적입니다. “No Write Up(상위에 쓰기 금지), No Read Down(하위 읽기 금지)”이 핵심입니다. Bell-LaPadula는 기밀성 보호 모델로 “No Read Up, No Write Down”이 원칙입니다.
핵심 암기 요약:
- Bell-LaPadula → 기밀성, No Read Up / No Write Down
- Biba → 무결성, No Write Up / No Read Down
- Clark-Wilson → 무결성, 트랜잭션 기반
【기출 토픽 3】 인증(Authentication) 방식
기출 문제 예시: 다음 중 OTP(One-Time Password) 생성 방식이 아닌 것은?
- ① 시간 동기화 방식 (TOTP)
- ② 이벤트 동기화 방식 (HOTP)
- ③ 챌린지-응답 방식
- ④ 고정 패스워드 방식 ✅
해설: OTP는 매번 다른 패스워드를 사용하는 인증 방식입니다. 고정 패스워드는 OTP와 정반대 개념으로, OTP 생성 방식에 포함될 수 없습니다. OTP 생성 방식은 시간 동기화, 이벤트 동기화, 챌린지-응답 방식으로 나뉩니다.
【기출 토픽 4】 버퍼 오버플로우 공격
기출 문제 예시: 버퍼 오버플로우 공격의 대응 방안으로 적절하지 않은 것은?
- ① 스택 가드(Stack Guard) 적용
- ② 주소 공간 무작위 배치(ASLR) 적용
- ③ 데이터 실행 방지(DEP/NX bit) 설정
- ④ 입력 데이터를 Base64로 인코딩 ✅
해설: Base64 인코딩은 단순히 데이터를 다른 형태로 변환하는 것으로, 버퍼 오버플로우를 막는 보안 메커니즘이 아닙니다. 실제 대응책은 스택 가드(카나리 값), ASLR(메모리 주소 무작위화), DEP(비실행 스택) 등입니다.
시험 대비 핵심 정리
시스템 보안 파트에서 자주 출제되는 개념을 마지막으로 정리합니다. 악성코드 유형의 차이점, 접근제어 모델별 목적과 원칙, OTP 생성 방식, 그리고 취약점 공격 유형과 대응 방안은 반드시 암기해야 합니다. 단순 암기보다는 각 개념의 ‘목적’을 이해하면 응용 문제도 쉽게 풀 수 있습니다.