9급 국가직 공무원 정보시스템보안 필기 기출문제복원 (2020-07-11)

9급 국가직 공무원 정보시스템보안
(2020-07-11 기출문제)

목록

1. 해시함수 알고리즘에 해당하지 않는 것은?

  1. SHA1
  2. MD5
  3. RMD160
  4. IDEA
(정답률: 80%)
  • 해시함수 알고리즘은 입력값을 고정된 길이의 출력값으로 변환하는 알고리즘입니다. SHA1, MD5, RMD160은 모두 해시함수 알고리즘에 해당합니다. 하지만 IDEA는 대칭키 암호화 알고리즘으로, 입력값을 암호화하여 출력값을 생성하는 알고리즘이므로 해시함수 알고리즘에 해당하지 않습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. 사용자가 별도의 인프라를 구축하지 않고 인터넷을 통해 가상서버, 가상 PC 등의 컴퓨팅 자원을 이용하는 클라우드 서비스 유형은?

  1. PIMS
  2. IaaS
  3. SaaS
  4. ISMS
(정답률: 82%)
  • 인터넷을 통해 가상서버, 가상 PC 등의 컴퓨팅 자원을 이용하는 것은 인프라를 구축하지 않고 필요한 자원을 빌려서 사용하는 것이므로 "IaaS"입니다. "PIMS"은 개인정보보호 관리체계, "SaaS"는 소프트웨어 서비스, "ISMS"는 정보보호 관리체계를 의미합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. 리눅스 환경에서 사용되는 명령어에 대한 설명으로 옳지 않은 것은?

  1. touch－파일 내의 특정 문자열을 검색할 때 사용한다.
  2. chown－파일이나 디렉터리의 소유자를 변경할 때 사용한다.
  3. mv－파일을 다른 디렉터리로 이동하거나 파일명을 바꿀 때 사용한다.
  4. df－파일 시스템의 사용 중이거나 사용 가능한 디스크 공간에 대한 정보를 보여 준다.
(정답률: 75%)
  • "touch－파일 내의 특정 문자열을 검색할 때 사용한다."는 옳지 않은 설명입니다. touch 명령어는 파일의 수정 시간을 현재 시간으로 변경하거나, 새로운 파일을 생성할 때 사용합니다. 파일 내의 특정 문자열을 검색할 때는 grep 명령어를 사용합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. 디지털 포렌식의 원칙 중에 “수집된 증거가 위ㆍ변조되지 않았음을 증명해야 한다”는 원칙은?

  1. 정당성의 원칙
  2. 신속성의 원칙
  3. 무결성의 원칙
  4. 연계 보관성의 원칙
(정답률: 89%)
  • "수집된 증거가 위ㆍ변조되지 않았음을 증명해야 한다"는 원칙은 증거의 무결성을 보장하기 위한 원칙입니다. 따라서 이 원칙은 "무결성의 원칙"입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. 리버스 엔지니어링에 대한 설명으로 옳지 않은 것은?

  1. 안티 디버거는 안티 리버싱의 방법이다.
  2. 안티 리버싱은 리버스 엔지니어링을 쉽게 만드는 기술이다.
  3. 리버스 엔지니어링에서 이용하는 도구는 OllyDbg와 IDA가 있다.
  4. 완성된 소프트웨어를 역으로 분석하는 방법이다.
(정답률: 82%)
  • 안티 리버싱은 리버스 엔지니어링을 어렵게 만드는 기술이며, 따라서 "안티 리버싱은 리버스 엔지니어링을 쉽게 만드는 기술이다."는 옳지 않은 설명입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. 스마트폰 이용자들에게 돌잔치, 결혼 청첩장, 교통법규 위반 통보 문자를 보내, 이를 클릭하는 순간 악성코드가 설치되고, 이를 통해 피해자의 개인정보를 탈취하는 기법은?

  1. 스미싱
  2. 루트킷
  3. 스턱스넷
  4. 키로깅
(정답률: 91%)
  • 스미싱은 문자(SMS)를 이용한 사기 기법으로, 돌잔치나 결혼 청첩장, 교통법규 위반 등의 주제로 가장한 악성 링크를 포함한 문자를 보내 피해자가 클릭하면 악성코드가 설치되어 개인정보를 탈취하는 기법입니다. 따라서 이 문제에서 정답은 스미싱입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. 백도어에 대한 설명으로 옳지 않은 것은?

  1. 백도어 공격 도구로는 NetBus, Back Orifice 등이 있다.
  2. 원격 백도어는 시스템 계정이 필요하고, 서버의 쉘을 얻어 내 관리자로 권한 상승할 때 사용하는 백도어이다.
  3. 로컬 백도어는 시스템 내에서 동작하기 때문에 공격자는 해당 시스템에 접속할 수 있는 계정을 획득할 수 있어야 한다.
  4. Schoolbus 공격도구는 기존의 트로이 목마처럼 서버 파일과 클라이언트 파일로 이루어져 있다.
(정답률: 32%)
  • 원격 백도어는 시스템 계정이 필요하고, 서버의 쉘을 얻어 내 관리자로 권한 상승할 때 사용하는 백도어이다. - 이 설명은 옳은 설명입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. 다음 설명에 해당하는 시스템 메모리 기본구조의 영역은?

  1. 힙(Heap) 영역
  2. 스택(Stack) 영역
  3. 텍스트(Text) 영역
  4. 데이터(Data) 영역
(정답률: 75%)
  • 힙(Heap) 영역은 동적으로 할당된 메모리 공간을 관리하는 영역입니다. 프로그램 실행 중에 필요한 메모리를 동적으로 할당하고 해제할 때 사용됩니다. 따라서 프로그램이 실행되는 동안 메모리 공간이 계속해서 변화하게 되는데, 이때 힙 영역은 동적으로 할당된 메모리 공간을 관리하기 때문에 중요한 역할을 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. 버퍼 오버플로우 공격에 대한 설명으로 옳지 않은 것은?

  1. 버퍼 오버플로우 공격의 종류 중에는 스택 기반 오버플로우와 힙 기반 오버플로우 공격이 있다.
  2. 버퍼 오버플로우 공격은 프로그램의 메모리 버퍼를 넘치게 해서 프로그램의 이상 동작을 유발하는 기법이다.
  3. 버퍼 오버플로우 공격에 대응하기 위해서는 프로그램을 작성할 때 strcat(), strcpy(), getwd(), gets(), scanf() 등 입출력에 대한 사용자의 접근 가능성이 높은 함수를 사용한다.
  4. 버퍼 오버플로우 공격의 대응 방법 중에는 Non-Executable Stack, Stack Guard, Stack Shield가 있다.
(정답률: 80%)
  • 버퍼 오버플로우 공격에 대응하기 위해서는 프로그램을 작성할 때 strcat(), strcpy(), getwd(), gets(), scanf() 등 입출력에 대한 사용자의 접근 가능성이 높은 함수를 사용한다는 설명이 옳지 않습니다. 오히려 이러한 함수들은 버퍼 오버플로우 공격에 취약한 함수들이며, 대신에 안전한 함수들을 사용하거나, 입력값의 길이를 제한하는 등의 방법으로 대응해야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. 파일 시스템에 대한 설명으로 옳지 않은 것은?

  1. 파일 시스템은 파일을 체계적으로 기록하는 방식으로 파일이 어디에 저장되어 있는지 조직화하고 구조적으로 정의한다.
  2. EXT(Extended File System) 파일 시스템은 리눅스 고유의 파일 시스템으로 계속 업그레이드가 되어지고 있다.
  3. 슈퍼 블록은 파일 시스템을 관리하는 데 필요한 블록의 총수, 사용 중인 블록 및 이용 가능한 블록 정보를 포함하여 좀 더 빠르고 효과적인 파일 시스템 관리를 가능하게 한다.
  4. FAT(File Allocation Table) 파일 시스템은 연결리스트를 사용하기 때문에 검색 시간이 짧으며 단편화 현상이 없도록 NTFS(New Technology File System)의 많은 제약 사항을 개선한 파일 시스템이다.
(정답률: 75%)
  • 정답은 "FAT(File Allocation Table) 파일 시스템은 연결리스트를 사용하기 때문에 검색 시간이 짧으며 단편화 현상이 없도록 NTFS(New Technology File System)의 많은 제약 사항을 개선한 파일 시스템이다."입니다. 이는 옳지 않은 설명입니다. FAT 파일 시스템은 연결리스트를 사용하지 않고, 디스크 공간을 관리하기 위해 파일 할당 테이블을 사용합니다. 또한, NTFS는 FAT 파일 시스템의 단점을 개선하기 위해 만들어진 파일 시스템입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. 인증, 무결성, 부인봉쇄, 기밀성 등의 기능을 지원하는 이메일 보안 기술은?

  1. TFTP
  2. S/MIME
  3. WEP
  4. WPA
(정답률: 83%)
  • S/MIME은 이메일 보안 기술 중 하나로, 인증, 무결성, 부인방지, 기밀성 등의 기능을 제공합니다. 이를 위해 디지털 인증서와 공개키 암호화 방식을 사용합니다. 따라서 S/MIME이 정답입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. 유닉스/리눅스 시스템에서 다음의 권한 설정에 대한 설명으로 옳지 않은 것은?

  1. ㉠은 파일 및 디렉터리의 종류로서 '-'는 디렉터리를 나타낸다.
  2. ㉡은 파일 및 디렉터리 소유자의 권한이다.
  3. ㉢은 파일 및 디렉터리 그룹의 권한이다.
  4. ㉣은 해당 파일 및 디렉터리의 소유자도 그룹도 아닌 제3자의 사용자에 대한 권한이다.
(정답률: 88%)
  • ㉠은 파일 및 디렉터리의 종류로서 '-'는 디렉터리를 나타내는 것이 옳은 설명이다. 이유는 유닉스/리눅스 시스템에서 파일과 디렉터리는 각각 특정한 문자로 시작하는데, '-'는 일반 파일을 나타내고 'd'는 디렉터리를 나타낸다. 따라서 '-'는 디렉터리가 아닌 일반 파일을 나타내는 것이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. Cookie에 대한 설명으로 옳지 않은 것은?

  1. 쿠키는 클라이언트의 컴퓨터에 생성된다.
  2. 사용자와 웹사이트를 연결해 주는 정보가 저장되어 있다.
  3. 직접 바이러스를 옮기거나 악성코드를 설치할 수 없다.
  4. 사용자들의 로그인, 로그아웃, 시스템 재부팅 정보를 저장한다.
(정답률: 70%)
  • 쿠키는 사용자들의 로그인, 로그아웃, 시스템 재부팅 정보를 저장하지 않습니다. 쿠키는 클라이언트의 컴퓨터에 생성되며, 사용자와 웹사이트를 연결해 주는 정보가 저장됩니다. 또한 쿠키는 직접 바이러스를 옮기거나 악성코드를 설치할 수 없습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. 다음에서 설명하고 있는 알고리즘은?

  1. RSA
  2. Triple DES
  3. AES
  4. SEED
(정답률: 90%)
  • 위 그림은 암호화 알고리즘의 블록 암호화 방식을 나타내고 있습니다. 이 중에서도 "SEED" 알고리즘은 128비트 블록 암호화 방식을 사용하며, 16바이트(128비트)의 평문 블록을 16바이트의 암호문 블록으로 변환합니다. 이 알고리즘은 대칭키 암호화 방식으로, 암호화와 복호화에 같은 키를 사용합니다. 따라서, 암호화와 복호화에 사용되는 키가 노출되면 암호문을 해독할 수 있습니다. 이러한 이유로, 키 관리가 중요한 요소가 됩니다. 이 알고리즘은 국내에서 개발되어 국내에서 많이 사용되고 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. CSRF(Cross Site Request Forgery)의 특징에 대한 설명으로 옳지 않은 것은?

  1. 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 방법이다.
  2. 사이트에 방문하는 사용자가 정상적인 요청이 아닌 임의의 요청을 하도록 위조하는 방법이다.
  3. 서버와 클라이언트에 각각 잘못된 시퀀스 넘버를 사용하여 연결된 세션에 혼란을 줌으로써 공격자가 서버와의 연결을 획득하는 방법이다.
  4. 특정 웹사이트가 사용자의 웹브라우저를 신용하는 상태를 악용하는 방법이다.
(정답률: 67%)
  • 정답은 "서버와 클라이언트에 각각 잘못된 시퀀스 넘버를 사용하여 연결된 세션에 혼란을 줌으로써 공격자가 서버와의 연결을 획득하는 방법이다."이다. CSRF는 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 방법이며, 이를 위해 사이트에 방문하는 사용자가 정상적인 요청이 아닌 임의의 요청을 하도록 위조한다. 또한, 특정 웹사이트가 사용자의 웹브라우저를 신용하는 상태를 악용하는 것도 가능하다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. 다음에서 설명하고 있는 공격에 해당하는 것은?

  1. 버퍼 오버플로우
  2. 포맷 스트링
  3. 패스워드 크래킹
  4. 레이스 컨디션
(정답률: 77%)
  • 이 공격은 "레이스 컨디션" 공격입니다. 이는 동시에 여러 개의 프로세스나 스레드가 공유하는 자원에 대해 경합을 벌이며, 그 중 하나가 다른 하나의 작업을 방해하여 원치 않는 결과를 초래하는 공격입니다. 위 그림에서는 두 개의 스레드가 동시에 같은 계좌에서 출금을 시도하여 발생한 공격입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. SQL 인젝션에 대한 설명으로 옳지 않은 것은?

  1. 공격자가 입력값을 조작하여 원하는 SQL 구문을 실행한다.
  2. 전송되는 패킷을 가로채어 자신이 송신자인 것처럼 패킷을 변경하여 다시 보내는 기법이다.
  3. 대응 방법 중에는 사용자의 입력에 특수문자가 포함되어 있는지 검증하는 방법이 있다.
  4. OWASP에서 선정한 10대 웹 어플리케이션 보안 위험으로 SQL 인젝션의 취약점이 2004년, 2007년, 2010년, 2013년, 2017년에 포함되어 있다.
(정답률: 88%)
  • 정답은 "전송되는 패킷을 가로채어 자신이 송신자인 것처럼 패킷을 변경하여 다시 보내는 기법이다."이다. SQL 인젝션은 입력값을 조작하여 원하는 SQL 구문을 실행하는 공격 기법이며, 대응 방법 중에는 사용자의 입력에 특수문자가 포함되어 있는지 검증하는 방법이 있다. OWASP에서 선정한 10대 웹 어플리케이션 보안 위험으로 SQL 인젝션의 취약점이 2004년, 2007년, 2010년, 2013년, 2017년에 포함되어 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. 와이파이(WiFi) 무선 네트워크에서 공격자가 가짜 AP(Access Point)를 구축하고 강한 신호를 보내어 사용자가 가짜 AP에 접속하게 함으로써 사용자 정보를 중간에서 가로채는 기법은?

  1. Zero Day
  2. DDoS
  3. Evil Twin
  4. DRDoS
(정답률: 90%)
  • Evil Twin은 공격자가 가짜 AP를 만들어 실제 AP처럼 보이게 하고, 강한 신호를 보내어 사용자가 가짜 AP에 접속하게 만들어 정보를 가로채는 기법입니다. 이는 실제 AP와 똑같은 이름과 보안 설정을 가지고 있어서 사용자가 구분하기 어렵기 때문에 효과적인 공격 기법 중 하나입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. HTTP에 대한 설명으로 옳지 않은 것은?

  1. 상태 코드 404는 클라이언트의 PUT요청이 성공적이라는 것을 의미한다.
  2. HTTP 1.0 프로토콜은 RFC 1945이고, HTTP 1.1 프로토콜은 RFC 2616에 기술되어 있다.
  3. HTTPS는 SSL을 이용하여 클라이언트와 서버 사이에 주고 받는 정보를 보호하는 데 사용된다.
  4. Request는 웹서버에 데이터를 요청하거나 전송할 때 보내는 패킷으로 GET, POST와 같은 메소드를 사용한다.
(정답률: 89%)
  • "상태 코드 404는 클라이언트의 PUT요청이 성공적이라는 것을 의미한다." 이것이 옳지 않은 설명인 이유는, 상태 코드 404는 클라이언트가 요청한 리소스를 찾을 수 없다는 것을 의미하기 때문입니다. 따라서 PUT 요청이 성공적이었는지 여부와는 무관합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. XSS는 'Cross Site Scripting'의 약자로 줄여서 CSS라고도 부르지만, 웹 레이아웃과 스타일을 정의할 때 사용되는 캐스케이딩 스타일 시트(Cascading Style Sheets)와 혼동되어 일반적으로 XSS라고 부른다. 일반적인 XSS 공격 수행 과정을 순서대로 바르게 나열한 것은?

  1. 라→가→나→다→마
  2. 라→가→다→나→마
  3. 라→다→가→나→마
  4. 라→다→나→가→마
(정답률: 53%)
  • 1. 라 - 공격자가 악성 스크립트를 입력하여 취약점이 있는 웹사이트에 전송한다.
    2. 가 - 웹사이트는 악성 스크립트를 받아들이고, 사용자의 브라우저에게 전송한다.
    3. 다 - 사용자의 브라우저는 악성 스크립트를 실행하고, 공격자가 의도한 대로 동작한다.
    4. 나 - 사용자의 브라우저는 공격자가 만든 악성 스크립트를 실행하면서 사용자의 정보를 탈취하거나 조작한다.
    5. 마 - 공격자는 탈취한 정보를 이용하여 다양한 범죄 행위를 수행하거나, 정보를 유출시킨다.

    정답이 "라→가→다→나→마" 인 이유는 XSS 공격의 과정을 순서대로 나열한 것이기 때문이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록 다음회차 >