9급 국가직 공무원 정보시스템보안 필기 기출문제복원 (2020-07-11)

9급 국가직 공무원 정보시스템보안 2020-07-11 필기 기출문제 해설

이 페이지는 9급 국가직 공무원 정보시스템보안 2020-07-11 기출문제를 CBT 방식으로 풀이하고 정답 및 회원들의 상세 해설을 확인할 수 있는 페이지입니다.

9급 국가직 공무원 정보시스템보안
(2020-07-11 기출문제)

목록

1과목: 과목 구분 없음

1. 해시함수 알고리즘에 해당하지 않는 것은?

  1. SHA1
  2. MD5
  3. RMD160
  4. IDEA
(정답률: 77%)
  • 해시함수는 임의의 길이를 가진 데이터를 고정된 길이의 값으로 변환하는 단방향 함수입니다. SHA1, MD5, RMD160은 대표적인 해시 알고리즘이지만, IDEA는 블록 암호화 알고리즘에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. 사용자가 별도의 인프라를 구축하지 않고 인터넷을 통해 가상서버, 가상 PC 등의 컴퓨팅 자원을 이용하는 클라우드 서비스 유형은?

  1. PIMS
  2. IaaS
  3. SaaS
  4. ISMS
(정답률: 83%)
  • IaaS(Infrastructure as a Service)는 서버, 스토리지, 네트워크와 같은 하드웨어 자원을 가상화하여 인터넷을 통해 제공하는 서비스 모델입니다.

    오답 노트
    SaaS: 소프트웨어 자체를 서비스로 제공
    PIMS/ISMS: 개인정보 및 정보보호 관리체계 인증 제도
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. 리눅스 환경에서 사용되는 명령어에 대한 설명으로 옳지 않은 것은?

  1. touch－파일 내의 특정 문자열을 검색할 때 사용한다.
  2. chown－파일이나 디렉터리의 소유자를 변경할 때 사용한다.
  3. mv－파일을 다른 디렉터리로 이동하거나 파일명을 바꿀 때 사용한다.
  4. df－파일 시스템의 사용 중이거나 사용 가능한 디스크 공간에 대한 정보를 보여 준다.
(정답률: 79%)
  • touch 명령어는 빈 파일을 생성하거나 파일의 타임스탬프를 변경할 때 사용합니다. 파일 내 특정 문자열을 검색하는 명령어는 grep입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. 디지털 포렌식의 원칙 중에 “수집된 증거가 위ㆍ변조되지 않았음을 증명해야 한다”는 원칙은?

  1. 정당성의 원칙
  2. 신속성의 원칙
  3. 무결성의 원칙
  4. 연계 보관성의 원칙
(정답률: 92%)
  • 수집된 디지털 증거가 최초 수집된 상태 그대로 유지되어 위·변조되지 않았음을 증명하는 원칙입니다.

    오답 노트
    정당성의 원칙: 적법한 절차를 통해 수집되어야 함
    신속성의 원칙: 증거 훼손 전 빠르게 수집해야 함
    연계 보관성의 원칙: 수집부터 제출까지의 이동 경로가 명확해야 함
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. 리버스 엔지니어링에 대한 설명으로 옳지 않은 것은?

  1. 안티 디버거는 안티 리버싱의 방법이다.
  2. 안티 리버싱은 리버스 엔지니어링을 쉽게 만드는 기술이다.
  3. 리버스 엔지니어링에서 이용하는 도구는 OllyDbg와 IDA가 있다.
  4. 완성된 소프트웨어를 역으로 분석하는 방법이다.
(정답률: 83%)
  • 안티 리버싱(Anti-Reversing)은 소프트웨어의 역분석을 방해하여 리버스 엔지니어링을 어렵게 만드는 기술입니다.

    오답 노트
    안티 디버거: 디버깅 도구 사용을 감지하고 차단하는 안티 리버싱의 대표적 방법
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. 스마트폰 이용자들에게 돌잔치, 결혼 청첩장, 교통법규 위반 통보 문자를 보내, 이를 클릭하는 순간 악성코드가 설치되고, 이를 통해 피해자의 개인정보를 탈취하는 기법은?

  1. 스미싱
  2. 루트킷
  3. 스턱스넷
  4. 키로깅
(정답률: 95%)
  • SMS(문자 메시지)와 피싱(Phishing)의 합성어로, 문자 메시지를 통해 악성 앱 설치를 유도하여 개인정보를 탈취하는 공격 기법입니다.

    오답 노트
    루트킷: 시스템 침입 후 권한 유지 및 은폐 도구
    스턱스넷: 산업 제어 시스템 공격용 웜
    키로깅: 키보드 입력 내용을 가로채는 기법
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. 백도어에 대한 설명으로 옳지 않은 것은?

  1. 백도어 공격 도구로는 NetBus, Back Orifice 등이 있다.
  2. 원격 백도어는 시스템 계정이 필요하고, 서버의 쉘을 얻어 내 관리자로 권한 상승할 때 사용하는 백도어이다.
  3. 로컬 백도어는 시스템 내에서 동작하기 때문에 공격자는 해당 시스템에 접속할 수 있는 계정을 획득할 수 있어야 한다.
  4. Schoolbus 공격도구는 기존의 트로이 목마처럼 서버 파일과 클라이언트 파일로 이루어져 있다.
(정답률: 40%)
  • 원격 백도어는 외부에서 시스템에 접속하기 위해 설치하는 것으로, 시스템 계정이 없어도 원격에서 제어할 수 있도록 설계된 것이 특징입니다. 시스템 계정을 획득한 후 관리자 권한으로 상승시키는 것은 주로 로컬 백도어의 특성에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. 다음 설명에 해당하는 시스템 메모리 기본구조의 영역은?

  1. 힙(Heap) 영역
  2. 스택(Stack) 영역
  3. 텍스트(Text) 영역
  4. 데이터(Data) 영역
(정답률: 77%)
  • 프로그램 실행 중에 동적으로 할당되며, 크기가 가변적인 데이터를 저장하기 위해 사용되는 메모리 영역은 힙(Heap) 영역입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. 버퍼 오버플로우 공격에 대한 설명으로 옳지 않은 것은?

  1. 버퍼 오버플로우 공격의 종류 중에는 스택 기반 오버플로우와 힙 기반 오버플로우 공격이 있다.
  2. 버퍼 오버플로우 공격은 프로그램의 메모리 버퍼를 넘치게 해서 프로그램의 이상 동작을 유발하는 기법이다.
  3. 버퍼 오버플로우 공격에 대응하기 위해서는 프로그램을 작성할 때 strcat(), strcpy(), getwd(), gets(), scanf() 등 입출력에 대한 사용자의 접근 가능성이 높은 함수를 사용한다.
  4. 버퍼 오버플로우 공격의 대응 방법 중에는 Non-Executable Stack, Stack Guard, Stack Shield가 있다.
(정답률: 80%)
  • 버퍼 오버플로우를 방지하기 위해서는 입력값의 길이를 검사하지 않는 위험한 함수 사용을 지양해야 합니다. strcat(), strcpy(), getwd(), gets(), scanf() 등은 입력 길이를 제한하지 않아 버퍼 오버플로우에 매우 취약하므로, 이를 사용하지 않고 길이를 제한하는 안전한 함수(예: strncpy, fgets 등)를 사용해야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. 파일 시스템에 대한 설명으로 옳지 않은 것은?

  1. 파일 시스템은 파일을 체계적으로 기록하는 방식으로 파일이 어디에 저장되어 있는지 조직화하고 구조적으로 정의한다.
  2. EXT(Extended File System) 파일 시스템은 리눅스 고유의 파일 시스템으로 계속 업그레이드가 되어지고 있다.
  3. 슈퍼 블록은 파일 시스템을 관리하는 데 필요한 블록의 총수, 사용 중인 블록 및 이용 가능한 블록 정보를 포함하여 좀 더 빠르고 효과적인 파일 시스템 관리를 가능하게 한다.
  4. FAT(File Allocation Table) 파일 시스템은 연결리스트를 사용하기 때문에 검색 시간이 짧으며 단편화 현상이 없도록 NTFS(New Technology File System)의 많은 제약 사항을 개선한 파일 시스템이다.
(정답률: 75%)
  • FAT 파일 시스템은 연결 리스트 구조를 사용하므로 파일 검색 시간이 길고 단편화 현상이 발생한다는 단점이 있습니다. 또한, NTFS는 FAT의 이러한 제약 사항을 개선하여 등장한 파일 시스템이므로 설명이 서로 반대로 되어 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. 인증, 무결성, 부인봉쇄, 기밀성 등의 기능을 지원하는 이메일 보안 기술은?

  1. TFTP
  2. S/MIME
  3. WEP
  4. WPA
(정답률: 88%)
  • S/MIME(Secure/Multipurpose Internet Mail Extensions)은 공개키 기반 구조(PKI)를 사용하여 이메일의 기밀성, 무결성, 인증, 부인방지 기능을 제공하는 표준 보안 프로토콜입니다.

    오답 노트
    TFTP: 단순 파일 전송 프로토콜
    WEP/WPA: 무선 랜(Wi-Fi) 보안 표준
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. 유닉스/리눅스 시스템에서 다음의 권한 설정에 대한 설명으로 옳지 않은 것은?

  1. ㉠은 파일 및 디렉터리의 종류로서 '-'는 디렉터리를 나타낸다.
  2. ㉡은 파일 및 디렉터리 소유자의 권한이다.
  3. ㉢은 파일 및 디렉터리 그룹의 권한이다.
  4. ㉣은 해당 파일 및 디렉터리의 소유자도 그룹도 아닌 제3자의 사용자에 대한 권한이다.
(정답률: 89%)
  • 유닉스/리눅스 권한 설정에서 의 ㉠ 위치에 있는 '-' 기호는 일반 파일을 의미합니다.

    오답 노트
    디렉터리를 나타내는 기호는 'd'입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. Cookie에 대한 설명으로 옳지 않은 것은?

  1. 쿠키는 클라이언트의 컴퓨터에 생성된다.
  2. 사용자와 웹사이트를 연결해 주는 정보가 저장되어 있다.
  3. 직접 바이러스를 옮기거나 악성코드를 설치할 수 없다.
  4. 사용자들의 로그인, 로그아웃, 시스템 재부팅 정보를 저장한다.
(정답률: 74%)
  • 쿠키는 클라이언트 컴퓨터에 저장되어 사용자와 웹사이트를 연결하는 정보를 담고 있으며, 그 자체로 실행 파일이 아니므로 직접 바이러스를 옮기거나 악성코드를 설치할 수 없습니다.

    오답 노트
    사용자의 로그인 상태나 설정 정보 등은 저장하지만, 시스템 재부팅 정보와 같은 OS 레벨의 제어 정보는 저장하지 않습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. 다음에서 설명하고 있는 알고리즘은?

  1. RSA
  2. Triple DES
  3. AES
  4. SEED
(정답률: 91%)
  • 순수 국내 기술로 개발된 128비트 블록 암호 알고리즘이며, Feistel 구조를 사용하고 IETF RFC 4269로 표준화된 알고리즘은 SEED입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. CSRF(Cross Site Request Forgery)의 특징에 대한 설명으로 옳지 않은 것은?

  1. 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 방법이다.
  2. 사이트에 방문하는 사용자가 정상적인 요청이 아닌 임의의 요청을 하도록 위조하는 방법이다.
  3. 서버와 클라이언트에 각각 잘못된 시퀀스 넘버를 사용하여 연결된 세션에 혼란을 줌으로써 공격자가 서버와의 연결을 획득하는 방법이다.
  4. 특정 웹사이트가 사용자의 웹브라우저를 신용하는 상태를 악용하는 방법이다.
(정답률: 71%)
  • CSRF는 사용자가 자신의 의지와 무관하게 공격자가 의도한 요청을 웹사이트에 보내게 하여, 웹사이트가 사용자의 브라우저를 신뢰하는 상태를 악용하는 공격입니다.

    오답 노트
    서버와 클라이언트에 잘못된 시퀀스 넘버를 사용하여 세션에 혼란을 주는 방식은 TCP 세션 하이재킹에 대한 설명입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. 다음에서 설명하고 있는 공격에 해당하는 것은?

  1. 버퍼 오버플로우
  2. 포맷 스트링
  3. 패스워드 크래킹
  4. 레이스 컨디션
(정답률: 74%)
  • 파일 소유자가 root이고 SetUID 비트가 설정된 상태에서, 생성될 임시 파일의 이름을 미리 알고 있을 때 파일 생성과 접근 사이의 시간차를 이용해 권한을 획득하는 공격 방식은 레이스 컨디션입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. SQL 인젝션에 대한 설명으로 옳지 않은 것은?

  1. 공격자가 입력값을 조작하여 원하는 SQL 구문을 실행한다.
  2. 전송되는 패킷을 가로채어 자신이 송신자인 것처럼 패킷을 변경하여 다시 보내는 기법이다.
  3. 대응 방법 중에는 사용자의 입력에 특수문자가 포함되어 있는지 검증하는 방법이 있다.
  4. OWASP에서 선정한 10대 웹 어플리케이션 보안 위험으로 SQL 인젝션의 취약점이 2004년, 2007년, 2010년, 2013년, 2017년에 포함되어 있다.
(정답률: 89%)
  • SQL 인젝션은 입력값 검증 미비점을 이용해 악의적인 SQL 구문을 삽입하여 데이터베이스를 조작하는 공격입니다. 전송되는 패킷을 가로채어 송신자를 위장하는 기법은 세션 하이재킹이나 스푸핑(Spoofing)에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. 와이파이(WiFi) 무선 네트워크에서 공격자가 가짜 AP(Access Point)를 구축하고 강한 신호를 보내어 사용자가 가짜 AP에 접속하게 함으로써 사용자 정보를 중간에서 가로채는 기법은?

  1. Zero Day
  2. DDoS
  3. Evil Twin
  4. DRDoS
(정답률: 93%)
  • Evil Twin 공격은 합법적인 AP와 동일한 SSID를 가진 가짜 AP를 생성하여 사용자가 접속하도록 유도한 뒤, 중간에서 데이터를 가로채는 스니핑 기법입니다.

    오답 노트
    Zero Day: 보안 패치가 나오기 전의 취약점을 이용한 공격
    DDoS: 여러 대의 컴퓨터를 이용해 서비스 거부 공격 수행
    DRDoS: 반사 서버를 이용해 공격 대상에게 트래픽을 집중시키는 분산 반사 서비스 거부 공격
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. HTTP에 대한 설명으로 옳지 않은 것은?

  1. 상태 코드 404는 클라이언트의 PUT요청이 성공적이라는 것을 의미한다.
  2. HTTP 1.0 프로토콜은 RFC 1945이고, HTTP 1.1 프로토콜은 RFC 2616에 기술되어 있다.
  3. HTTPS는 SSL을 이용하여 클라이언트와 서버 사이에 주고 받는 정보를 보호하는 데 사용된다.
  4. Request는 웹서버에 데이터를 요청하거나 전송할 때 보내는 패킷으로 GET, POST와 같은 메소드를 사용한다.
(정답률: 90%)
  • HTTP 상태 코드 404는 'Not Found'로, 요청한 리소스를 찾을 수 없을 때 발생하는 오류 코드입니다. PUT 요청의 성공은 보통 200 OK 또는 201 Created 등으로 표시됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. XSS는 'Cross Site Scripting'의 약자로 줄여서 CSS라고도 부르지만, 웹 레이아웃과 스타일을 정의할 때 사용되는 캐스케이딩 스타일 시트(Cascading Style Sheets)와 혼동되어 일반적으로 XSS라고 부른다. 일반적인 XSS 공격 수행 과정을 순서대로 바르게 나열한 것은?

  1. 라→가→나→다→마
  2. 라→가→다→나→마
  3. 라→다→가→나→마
  4. 라→다→나→가→마
(정답률: 59%)
  • XSS 공격은 공격자가 악성 스크립트를 서버에 저장하고, 이를 일반 사용자가 실행하게 하여 정보를 탈취하는 공격입니다.
    공격 흐름은 다음과 같습니다.
    라: 서버의 취약점을 이용해 XSS 코드를 작성 및 저장
    가: 사용자가 해당 코드가 포함된 페이지에 접근
    다: 웹 서버가 사용자에게 악성 코드가 포함된 내용을 전달
    나: 사용자의 브라우저(시스템)에서 XSS 코드 실행
    마: 실행 결과가 공격자에게 전달되며 종료
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록 다음회차 >