소프트웨어 개발 단계에서는 보안이 필수가 아니었기 때문에 오늘날 많은 프로그래머에게는 이러한 보안 절차를 구현할 시간과 경험이 부족합니다.

많은 보안 전문가는 소프트웨어 개발자가 아니며 소프트웨어 취약점에 대한 포괄적인 이해가 부족합니다.

많은 소프트웨어 개발자는 보안 전문가가 아니며 소프트웨어 개발에서 보안을 우선순위로 생각하지 않습니다. 보안보다 기능을 우선시하는 경우가 많습니다.

소프트웨어 공급업체는 가능한 한 빨리 시장 점유율을 확보하는 것을 주요 목표로 삼기 때문에 적절한 소프트웨어 보안 아키텍처 설계 및 테스트 단계에 시간을 투자하는 것을 소홀히 할 수 있습니다.

컴퓨팅 커뮤니티는 결함이 있는 소프트웨어 제품을 먼저 받은 다음 패치하는 데 익숙합니다. 동시에 이는 확립된 프로세스가 됩니다.

소비자는 소프트웨어 제품을 구매할 때 소프트웨어의 결함에 대해 물리적으로 통제할 수 있으므로 이러한 보안 조치를 시행하려면 외부 소프트웨어에 의존해야 합니다.

1. 경쟁에서 우위를 차지하기 위해 결함이 있는 소프트웨어가 시장에 유입된다.

2. 해커는 새로운 소프트웨어에서 새로운 취약점과 약점을 발견합니다.

3. 이러한 취약점과 이를 악용하는 방법을 웹사이트에 게시합니다.

4. 공급업체는 취약점을 수정하기 위한 패치를 개발하고 출시합니다.

5. 모든 네트워크 관리자는 새로 출시된 모든 패치를 테스트하고 설치해야 합니다.

요구사항 수집 단계:

설계 단계:

개발 단계:

테스트 단계:

운영 및 유지보수 단계:

요구 사항 수집 단계

설계 단계

개발 단계

테스트 단계

운영 및 유지보수 단계

실행할 수 있음

분석하다

설계

구현하다

시험

유지하다

필요

개요 디자인

기본 디자인

신속한 프로토타입

진화적 프로토타입

운영 프로토타입

목표설정

위험 분석 단계

개발 및 테스트 단계

계획 결함 반복 단계

스크럼

익스트림 프로그래밍

칸반

탐색적 방법론

공동 애플리케이션 개발 모델, JAD

재사용 방법론

클린룸클린룸

폭포 모드

V자형 패턴

프로토타입 패턴

증분 모드

나선형 패턴

신속한 애플리케이션 개발

민첩한 모델

소프트웨어 개발, IT 및 품질 보증 팀 간

초기의

반복성

정의

관리하다

최적화

DevOps(DevOps 성숙도 모델) 성숙도 모델

개발 성숙도 모델(Open Soure Maturity Model, OSMM)

소프트웨어 제품 관리 성숙도 모델

정식 변경 요청 제출

변경 요청 분석

로그 변경 요청

승인을 위해 변경 요청 제출

개발 변화

경영진 변경 결과 보고

소프트웨어 호스팅

개방형 웹 애플리케이션 보안 프로젝트(OWASP)

2017년 상위 10대 위협

카네기 멜론 대학교 SEI 소프트웨어 엔지니어링 연구소

OOP의 장점

개발 개체에는 다음이 포함됩니다.

다형성

데이터 모델링

데이터 구조

응집력과 결합

경로 또는 디렉터리 순회

유니코드 인코딩

URL 인코딩

허점

사전 검증

사후 검증

전체 네트워크의 여러 다른 서버에 저장된 데이터가 일관성을 유지하는지 확인하십시오.

백업 프로세스가 더 간단해졌습니다.

트랜잭션 트랜잭션을 커밋하기 위한 트랜잭션 지속성

복구 및 내결함성 기능 제공

여러 사용자가 데이터를 공유하도록 허용

무결성 검사, 액세스 제어 및 필요한 기밀 수준을 구현하기 위한 다양한 보안 제어 기능을 제공합니다.

관계형 데이터베이스

계층적 데이터베이스

네트워크 데이터베이스

객체지향 데이터베이스

객체 관계형 데이터베이스

기록(Record): 관련 데이터 항목의 집합

파일: 동일한 유형의 레코드 모음

데이터베이스: 서로를 참조하는 데이터의 집합

DBMS: 데이터베이스 관리 및 제어

속성: 2차원 데이터베이스의 열

기본 키: 각 행을 고유하게 만드는 열(테이블의 각 행에는 기본 키가 포함되어야 함)

보기(View): 주체가 특정 데이터를 볼 수 없도록 데이터베이스 관리자가 정의한 가상 관계

외래 키(Foreign Key): 다른 테이블의 기본 키와 관련된 속성

셀: 행과 열의 교차점

스키마: 데이터베이스의 구조를 정의합니다.

데이터 사전(Data Dictionary): 데이터 요소와 그 관계를 담은 중앙은행 저장소

개방형 데이터베이스 연결, ODBC

객체 연결 및 내장 데이터베이스, OLEDB

ADO(ActiveX 데이터 개체)

Java 데이터베이스 연결(JDBC)

관계형 데이터베이스 구성 요소

의미 무결성(Semantic Integrity) 메커니즘은 구조적 및 의미론적 규칙이 적용되도록 보장합니다. 이러한 규칙은 데이터베이스 구조에 부정적인 영향을 미칠 수 있는 데이터 유형, 논리 값, 고유성 제약 조건 및 작업에 적용됩니다.

모든 외래 키가 현재 기본 키를 참조하는 경우 데이터베이스는 참조 무결성을 갖습니다. 어떤 외래 키도 null 또는 존재하지 않는 레코드의 기본 키를 참조하지 않도록 하는 메커니즘이 있어야 합니다.

엔터티 무결성은 튜플이 기본 키 값으로 고유하게 표현되도록 보장합니다.

공격방법

방법

관리: 의사결정

데이터 분석가:

프로그래머, 데이터베이스 관리자

역량 기반 시스템

시험 팁: "빅 데이터"는 "데이터 웨어하우스"와 같은 전문 시스템에 저장되고 "데이터 마이닝"과 같은 방법을 사용하여 개발됩니다. 이 세 가지 용어는 서로 관련되어 있지만 다릅니다.

봇넷이 대상 시스템을 손상시킨 후에는 분산 서비스 거부 DDOS 공격, 스팸 이메일 전송에 사용되거나 봇넷 명령 및 제어 시스템의 일부로 사용됩니다.

랜섬웨어는 사용자의 파일 중 일부 또는 전체를 키로 암호화하고, 사용자의 파일만 암호화하며, 키는 사용자가 몸값을 지불한 경우에만 사용자에게 제공됩니다. 사용자는 일반적으로 암호화폐를 사용하여 몸값을 지불하라는 요청을 받습니다.

스파이웨어는 맬웨어 개발자를 이용해 개인 데이터를 수집하고 이를 다른 사람에게 재판매합니다.

악성 코드는 사용자가 특정 제품을 구매하도록 유도하는 다른 링크로 웹 트래픽을 리디렉션합니다.

악성코드는 키스트로크 로거를 설치하고 악성코드 개발자가 사용할 민감한 금융 정보를 수집합니다.

사용자 악성 코드는 피싱 공격, 사기 활동, 신원 도용 및 정보 전쟁 활동을 수행합니다.

많은 환경의 동질성은 하나의 악성 코드가 많은(대부분의) 장치에서 작동할 수 있음을 의미합니다.

모든 장치(휴대폰, 텔레비전, 게임 콘솔, 전력망, 의료 장비 등)는 컴퓨터화되고 있으므로 손상될 수 있습니다.

점점 더 많은 개인과 기업이 데이터를 디지털 형식으로 저장합니다.

점점 더 많은 사람과 장치가 다양한 인터페이스(모바일 앱, Facebook, 웹, 이메일, SMS, 전자상거래 등)를 통해 연결됩니다.

너무 많은 권한(관리 또는 루트 액세스)으로 구성된 많은 계정

기술에 대한 이해가 부족한 사용자가 민감한 목적(온라인 뱅킹, 전자상거래 등)으로 기술을 사용하는 경우가 점점 늘어나고 있습니다.

디지털 세계에서는 잡힐 위험이 낮은 범죄 활동을 수행할 수 있는 다양한 방법이 제공됩니다.

매크로 바이러스: Visual Basic이나 VBScript로 작성된 프로그램으로 Microsoft OFFICE 제품에서 주로 사용됩니다.

부트 섹터 바이러스 부트 섹터 바이러스

스텔스 바이러스

다형성 바이러스: 바이러스 스캐너를 속이기 위해 서로 다른 버전이지만 기능적으로 동일한 복사본을 생성할 수 있습니다.

멀티파트 바이러스: 여러 구성 요소로 구성된 이러한 구성 요소는 시스템의 여러 부분에 배포될 수 있습니다. 여러 감염원을 사용하면 바이러스가 더 빨리 퍼질 수 있습니다.

밈 바이러스: 실제 컴퓨터 바이러스는 아니며 인터넷에서 이메일을 계속 전달합니다.

터널링 바이러스: 잘못된 시스템 명령에 응답하거나 시스템 상태를 위조하여 추적과 활동을 숨깁니다.

삽입: 피해자의 시스템에 바이러스 복사본 설치

방지: 다양한 방법을 사용하여 탐지를 회피하고 흔적을 숨깁니다.

근절: 공격 페이로드가 실행된 후 바이러스 복사본이 삭제됩니다.

복제: 복사본을 만들어 다른 피해자에게 전파합니다.

Trigger: 이벤트를 통해 공격 페이로드 실행을 초기화합니다.

페이로드: 관련 공격 기능 실행(예: 파일 삭제, 백도어 설치 또는 취약점 악용 등)

웜: 호스트 응용 프로그램 없이도 복제할 수 있는 독립적인 프로그램입니다. 예: 스턱스넷

루트킷 툴킷

스파이웨어 및 애드웨어

봇넷

논리 폭탄 논리 폭탄: 특정 조건이 만족되면 프로그램이나 문자열 코드를 실행합니다.

트로이 목마(Trojan Horse): 다른 프로그램으로 위장한 프로그램.

맬웨어 방지 소프트웨어맬웨어 방지 소프트웨어

기능 우선

안전 제일

다양한 환경에는 다양한 보안이 필요합니다

환경과 응용

기능적 안전

구현 및 기본 문제

SDLC 시스템 개발 라이프사이클은 기능 요구사항부터 구현까지 소프트웨어 개발의 모든 단계를 단순화합니다.

SDLC 3단계

시스템 수명주기, SLC 시스템 수명주기에는 두 단계가 더 있습니다.

단계

프로젝트 관리 및 요구사항 수집 단계

설계 단계

폭포 모델

이점

결점

V-모델

이점

결점

프로토타이핑

증분 모델

위험 분석에 초점을 맞춘 소프트웨어 개발에 대한 반복적 접근 방식

네 단계

신속한 애플리케이션 개발 방법은 광범위한 사전 계획보다는 신속한 프로토타이핑을 사용합니다.

RAD의 장점

RAD 문제

사람 중심, 반복적, 단계별 개발 접근 방식

민첩한 모델의 장점

애자일 모델은 완전한 제품을 식별하기 위해 프로토타입을 사용하는 대신 제품을 다양한 기능으로 분류합니다.

탐색적 모델

공동 분석 개발(JAD)

재사용 모델

클린룸 모델

유사한 생산 시스템 개발 및 테스트

반복 가능하고 안정적인 프로세스 배포 가능

운영 품질 모니터링 및 검증

피드백 루프 확장

동시성 관리

제어

상태 기록

심사

신분증

제어

상태 회계

심사

기계어

어셈블리어

고급 언어

4세대, 매우 높은 수준의 언어

5세대: 자연어:

어셈블러

번역가

역자

가비지 수집기: 메모리 재활용을 의미합니다.

OOP와 비OOP 접근 방식의 차이점

OPP의 장점

방법

캡슐화

상속하다

데이터 숨기기

객체 예시

다형성

데이터 모델링

포함 및 결합

C/S 아키텍처

클라이언트가 서버를 호출하는 네트워크 위치

구성 요소 간의 지원을 모니터링하고 모니터링해야 하며 요청과 결과는 올바른 구성 요소 간에 앞뒤로 전달되어야 합니다.

OCE는 OSF에서 개발했습니다.

DCE는 RPC 통신 계층을 기반으로 하는 관리 서비스 집합입니다.

CORBA 및 ORB

COM및DCOM

객체 연결 및 포함

SOA는 웹 기반 접근 방식입니다.

SOA는 애플리케이션이 필요한 기능에 액세스할 수 있는 중앙 집중식 장소입니다.

REST API를 위한 세 가지 안전한 경로

모바일 코드는 호스트에서 클라이언트 컴퓨터로 전송되어 실행될 수 있는 코드입니다.

공격자는 다양한 공격 방법을 조합하여 사용할 수 있습니다.

일반적인 모바일 코드

자바 보안

정보 수집정보 수집

관리 인터페이스관리 인터페이스

인증 및 액세스 제어Authentication and access control

입력 검증입력 검증

매개변수 검증매개변수 검증

세션 관리

데이터베이스는 회사의 중요한 지적 재산과 귀중한 정보를 저장하는 데 오랫동안 사용되어 왔습니다.

데이터베이스 관리 시스템(DBMS)

데이터 베이스

DBMS

특징

모델

개방형 데이터베이스 연결(ODBC, 개방형 데이터베이스 연결)

객체 연결 및 내장형 데이터베이스

ActiveX 데이터 개체(ADO, Active Data Objects)

Java 데이터베이스 연결(JDBC, JaveDatabase 연결)

확장 가능 마크업 언어(XML)

데이터 사전

의미적 무결성

참조 무결성

엔터티 무결성

작동하다

집합

추론

추론에 대한 예방 조치

액세스 제어

다중 인스턴스화:

데이터 베이스

데이터 마이닝: 인공지능(AI)의 범주에 속함

악성코드가 돈을 버는 방법

각종 악성코드

바이러스 백신 소프트웨어

해결책

바이러스 백신 소프트웨어는 모든 워크스테이션, 서버 및 PDA에 있어야 합니다.

모든 장치는 바이러스 서명을 자동으로 업데이트하도록 구성되어야 합니다.

사용자가 바이러스 백신 소프트웨어를 비활성화하는 것을 허용하지 않음

바이러스 제거 프로세스를 사전에 수립하고, 바이러스 감염 시 연락 담당자를 지정해야 합니다.

모든 외부 디스크(USB 드라이브 등)는 자동으로 검사되어야 합니다.

백업 파일을 검사해야 합니다.

바이러스 백신 정책 및 조치는 매년 검토되어야 합니다.

바이러스 백신 소프트웨어는 부트 섹터 바이러스 보호 기능을 제공해야 합니다.

게이트웨이와 모든 장치에서 바이러스를 검사해야 합니다.

자동 바이러스 검사는 정기적으로 수행해야 하며 수동 검사에 의존해서는 안 됩니다.

중요한 시스템은 악성 코드가 로컬에 설치될 수 없도록 물리적으로 보호되어야 합니다.

변경 제어 프로세스 사용

모든 관련 문서를 읽어보세요.

시험

효율적인 백업 및 생산 중단 시간 예약

장기 보존 대체 계획

서비스 데스크와 주요 사용자 그룹에 미리 알리십시오.

중요하지 않은 서비스를 먼저 대상으로 지정

패치 관리에서 발견된 모든 위험을 완화할 필요는 없습니다.