9급 지방직 공무원 정보보호론 필기 기출문제복원 (2022-06-18)

9급 지방직 공무원 정보보호론 2022-06-18 필기 기출문제 해설

이 페이지는 9급 지방직 공무원 정보보호론 2022-06-18 기출문제를 CBT 방식으로 풀이하고 정답 및 회원들의 상세 해설을 확인할 수 있는 페이지입니다.

9급 지방직 공무원 정보보호론
(2022-06-18 기출문제)

목록

1과목: 과목 구분 없음

1. 송ㆍ수신자의 MAC 주소를 가로채 공격자의 MAC 주소로 변경하는 공격은?

  1. ARP spoofing
  2. Ping of Death
  3. SYN Flooding
  4. DDoS
(정답률: 95%)
  • ARP spoofing은 ARP 프로토콜의 취약점을 이용하여 송·수신자의 MAC 주소를 공격자의 MAC 주소로 위조함으로써 네트워크 트래픽을 가로채는 공격 기법입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. 스니핑 공격의 탐지 방법으로 옳지 않은 것은?

  1. ping을 이용한 방법
  2. ARP를 이용한 방법
  3. DNS를 이용한 방법
  4. SSID를 이용한 방법
(정답률: 80%)
  • 스니핑 탐지는 네트워크 패킷의 흐름이나 응답을 분석하여 수행합니다. ping, ARP, DNS를 이용한 방법과 유인 방법, ARP Watch 등이 대표적인 탐지 기법입니다.

    오답 노트
    SSID를 이용한 방법: SSID는 무선 LAN의 식별자로, 스니핑 탐지와는 무관합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. 공격자가 해킹을 통해 시스템에 침입하여 루트 권한을 획득한 후, 재침입할 때 권한을 쉽게 획득하기 위하여 제작된 악성 소프트웨어는?

  1. 랜섬웨어
  2. 논리폭탄
  3. 슬래머 웜
  4. 백도어
(정답률: 92%)
  • 시스템 침입 후 관리자 권한을 유지하고, 향후 재침입 시 인증 절차 없이 쉽게 접근하기 위해 만들어 놓은 비밀 통로와 같은 악성 소프트웨어를 백도어라고 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. 다음에서 설명하는 용어는?

  1. NAC(Network Access Control)
  2. SSO(Single Sign On)
  3. DRM(Digital Right Management)
  4. DLP(Data Leak Prevention)
(정답률: 92%)

  • 한 번의 인증으로 여러 시스템에 재인증 없이 접근할 수 있게 하여 편의성을 높이지만, 최초 인증 탈취 시 모든 시스템이 노출되는 위험이 있는 기술은 SSO(Single Sign On)입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. 보안 공격 유형에는 적극적 공격과 소극적 공격이 있다. 다음 중 공격 유형이 다른 하나는?

  1. 메시지 내용 공개(release of message contents)
  2. 신분 위장(masquerade)
  3. 메시지 수정(modification of message)
  4. 서비스 거부(denial of service)
(정답률: 68%)
  • 보안 공격은 시스템의 상태를 변화시키느냐에 따라 구분됩니다. 메시지 내용 공개는 정보를 가로채기만 하는 소극적 공격에 해당하며, 신분 위장, 메시지 수정, 서비스 거부는 시스템에 직접적인 영향을 주는 적극적 공격입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. X.509 인증서 폐기 목록(Certificate Revocation List) 형식 필드에 포함되지 않는 것은?

  1. 발행자 이름(Issuer name)
  2. 사용자 이름(Subject name)
  3. 폐지된 인증서(Revoked certificate)
  4. 금번 업데이트 날짜(This update date)
(정답률: 56%)
  • X.509 인증서 폐기 목록(CRL)은 폐지된 인증서들의 리스트를 관리하는 파일로, 발행자 이름, 현재 갱신 날짜, 다음 갱신 날짜, 폐지된 인증서 목록, 서명 등이 포함되지만 개별 사용자 이름(Subject name)은 필드에 포함되지 않습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. AES 알고리즘에 대한 설명으로 옳지 않은 것은?

  1. 블록 암호 체제를 갖추고 있다.
  2. 128/192/256bit 키 길이를 제공하고 있다.
  3. DES 알고리즘을 보완하기 위해 고안된 알고리즘이다.
  4. 첫 번째 라운드를 수행하기 전에 먼저 초기 평문과 라운드 키의 NOR 연산을 수행한다.
(정답률: 89%)
  • AES 알고리즘은 첫 번째 라운드를 수행하기 전, 초기 평문과 라운드 키 사이의 연산으로 NOR 연산이 아닌 XOR 연산을 수행합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. 정보기술과 보안 평가를 위한 CC(Common Criteria)의 보안 기능적 요구 조건에 해당하지 않는 것은?

  1. 암호 지원
  2. 취약점 평가
  3. 사용자 데이터 보호
  4. 식별과 인증
(정답률: 60%)
  • 취약점 평가는 CC(Common Criteria)의 보안 기능적 요구 조건이 아니라, 제품의 신뢰성을 검증하는 보안 보증 요구 조건에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. 커버로스(Kerberos) 버전 4에 대한 설명으로 옳지 않은 것은?

  1. 사용자를 인증하기 위해 사용자의 패스워드를 중앙집중식 DB에 저장하는 인증 서버를 사용한다.
  2. 사용자는 인증 서버에게 TGS(Ticket Granting Server)를 이용하기 위한 TGT(Ticket Granting Ticket)를 요청한다.
  3. 인증 서버가 사용자에게 발급한 TGT는 유효기간 동안 재사용 할 수 있다.
  4. 네트워크 기반 인증 시스템으로 비대칭 키를 이용하여 인증을 수행한다.
(정답률: 64%)
  • 커버로스는 신뢰된 제3자 기관을 통해 인증을 수행하며, 비대칭 키가 아닌 대칭키 암호기술을 기반으로 인증과 키 분배 서비스를 제공하는 시스템입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. 다음에서 설명하는 보안 공격은?

  1. HTTP Cache Control
  2. Smurf
  3. Slowloris
  4. Replay
(정답률: 66%)
  • 이미지에서 설명하는 공격은 HTTP GET 요청 헤더의 끝을 알리는 개행 문자 $\r\n\r\n$ 중 하나를 제거하여 서버가 연결을 계속 유지하게 만들어 연결 자원을 고갈시키는 Slowloris 공격입니다. 이는 적은 트래픽으로도 웹 서버의 연결을 점유하여 DoS 상태를 유도하는 것이 특징입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. (가), (나)에 들어갈 접근통제 보안모델을 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 67%)
  • 이미지의 (가)는 최초의 수학적 보안 모델이자 기밀성 중심의 Bell-LaPadula 모델을, (나)는 직무 분리 및 이해 충돌 방지를 목적으로 하는 Brewer-Nash 모델(만리장성 모델)을 설명하고 있습니다.

    오답 노트
    Biba Model: 무결성 중심 모델
    Clark-Wilson Model: 무결성 중심 및 응용 프로그램 강제 사용 모델
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. 리눅스 시스템에서 umask값에 따라 새로 생성된 디렉터리의 접근 권한이 'drwxr-xr-x'일 때 기본 접근 권한을 설정하는 umask의 값은?

  1. 002
  2. 020
  3. 022
  4. 026
(정답률: 82%)
  • 리눅스 디렉터리의 기본 권한 $777$에서 umask 값을 뺀 결과가 생성될 권한이 됩니다. 'drwxr-xr-x'는 8진수로 $755$입니다.
    $$umask = 기본 권한 - 생성 권한$$
    $$umask = 777 - 755$$
    $$umask = 022$$
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. (가), (나)에 해당하는 침입차단시스템 동작 방식에 따른 분류를 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 64%)
  • 제시된 이미지의 (가)는 서비스별 프록시 존재 및 직접 연결 차단이라는 응용 계층 게이트웨이의 특징을, (나)는 개별 프록시 불필요 및 전용 소프트웨어 사용이라는 회선 계층 게이트웨이의 특징을 설명하고 있습니다.
    따라서 정답은 의 응용 계층 게이트웨이와 회선 계층 게이트웨이 조합입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. IPSec에 대한 설명으로 옳지 않은 것은?

  1. AH는 인증 기능을 제공한다.
  2. ESP는 암호화 기능을 제공한다.
  3. 전송 모드는 IP 헤더를 포함한 전체 IP 패킷을 보호한다.
  4. IKE는 Diffie-Hellman 키 교환 알고리즘을 기반으로 한다.
(정답률: 78%)
  • IPSec의 전송 모드는 IP 헤더를 제외한 상위 계층의 페이로드만 보호하며, IP 헤더까지 포함한 전체 패킷을 보호하는 것은 터널 모드입니다.

    오답 노트
    AH: 인증 및 무결성 제공
    ESP: 암호화, 인증, 무결성 제공
    IKE: Diffie-Hellman 기반 키 교환 수행
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. 보안 공격에 대한 설명으로 옳지 않은 것은?

  1. Land 공격은 패킷을 전송할 때 출발지와 목적지 IP를 동일하게 만들어서 공격 대상에게 전송한다.
  2. UDP Flooding 공격은 다수의 UDP 패킷을 전송하여 공격 대상 시스템을 마비시킨다.
  3. ICMP Flooding 공격은 ICMP 프로토콜의 echo 패킷에 대한 응답인 reply 패킷의 폭주를 통해 공격 대상 시스템을 마비시킨다.
  4. Teardrop 공격은 공격자가 자신이 전송하는 패킷을 다른 호스트의 IP 주소로 변조하여 수신자의 패킷 조립을 방해한다.
(정답률: 84%)
  • Teardrop 공격의 핵심은 IP 주소 변조가 아니라 패킷의 오프셋(Offset) 조작입니다.
    IP 패킷의 헤더를 서로 중첩되도록 조작하여, 수신 측에서 패킷을 재조립하는 과정에서 오류를 발생시켜 시스템을 마비시키는 공격입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. 다음은 ｢지능정보화 기본법｣ 제6조(지능정보사회 종합계획의 수립)의 일부이다. (가), (나)에 들어갈 내용을 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 58%)
  • ｢지능정보화 기본법｣ 제6조에 따른 종합계획 수립 주기와 수립 주체에 대한 문제입니다.
    정부는 지능정보사회 종합계획을 3년 단위로 수립해야 하며, 이는 과학기술정보통신부장관이 관계 기관의 의견을 들어 수립합니다.
    따라서 (가)는 3년, (나)는 과학기술정보통신부장관입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. ｢개인정보 영향평가에 관한 고시｣상 용어의 정의로 옳지 않은 것은?

  1. “대상시스템”이란 ｢개인정보 보호법 시행령｣ 제35조에 해당하는 개인정보파일을 구축ㆍ운용, 변경 또는 연계하려는 정보시스템을 말한다.
  2. “대상기관”이란 ｢개인정보 보호법 시행령｣ 제35조에 해당하는 개인정보파일을 구축ㆍ운용, 변경 또는 연계하려는 공공기관 및 민간기관을 말한다.
  3. “개인정보 영향평가 관련 분야 수행실적”이란 ｢개인정보 보호법 시행령｣ 제37조제1항제1호에 따른 영향평가 업무 또는 이와 유사한 업무, 정보보호 컨설팅 업무 등을 수행한 실적을 말한다.
  4. “개인정보 영향평가”란 ｢개인정보 보호법｣ 제33조제1항에 따라 공공기관의 장이 ｢개인정보 보호법 시행령｣ 제35조에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에 그 위험요인의 분석과 개선 사항 도출을 위한 평가를 말한다.
(정답률: 54%)
  • 대상기관의 범위에 민간기관이 포함되지 않습니다.
    개인정보 영향평가 고시상 대상기관은 ｢개인정보 보호법 시행령｣ 제35조에 해당하는 개인정보파일을 구축·운용, 변경 또는 연계하려는 공공기관만을 의미합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제23조의4(본인확인업무의 정지 및 지정취소)상 본인확인업무에 대해 전부 또는 일부의 정지를 명하거나 본인확인기관 지정을 취소할 수 있는 사유에 해당하지 않는 것은?

  1. ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제23조의3제4항에 따른 지정기준에 적합하지 아니하게 된 경우
  2. 거짓이나 그 밖의 부정한 방법으로 본인확인기관의 지정을 받은 경우
  3. 본인확인업무의 정지명령을 받은 자가 그 명령을 위반하여 업무를 정지하지 아니한 경우
  4. 지정받은 날부터 3개월 이내에 본인확인업무를 개시하지 아니하거나 3개월 이상 계속하여 본인확인업무를 휴지한 경우
(정답률: 82%)
  • 본인확인기관 지정 취소 및 정지 사유 중 기간 설정이 잘못되었습니다.

    오답 노트
    지정받은 날부터 3개월 이내에 업무를 개시하지 않거나 3개월 이상 휴지한 경우 $\rightarrow$ 6개월로 수정해야 함
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. 메일 보안 기술에 대한 설명으로 옳지 않은 것은?(문제 오류로 가답안 발표시 1번으로 발표되었지만 확정답안 발표시 1, 2번이 정답처리 되었습니다. 여기서는 가답안인 1번을 누르시면 정답 처리 됩니다.)

  1. PGP는 중앙 집중화된 키 인증 방식이고, PEM은 분산화된 키 인증 방식이다.
  2. PGP를 이용하면 수신자가 이메일을 받고서도 받지 않았다고 발뺌할 수 없다.
  3. PGP는 인터넷으로 전송하는 이메일을 암호화 또는 복호화하여 제3자가 알아볼 수 없게 하는 보안 프로그램이다.
  4. PEM에는 메시지를 암호화하여 통신 내용을 보호하는 기능, 메시지 위ㆍ변조, 검증 및 메시지 작성자를 인증하는 보안 기능이 있다.
(정답률: 83%)
  • PGP와 PEM의 키 인증 방식이 서로 반대로 설명되었습니다.
    PGP는 신뢰의 그물망(Web of Trust)을 이용한 분산화된 키 인증 방식이며, PEM은 중앙 집중화된 키 인증 방식입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. (가)~(다)에 해당하는 트리형 공개키 기반 구조의 구성 기관을 바르게 연결한 것은? (단, PAA는 Policy Approval Authorities, RA는 Registration Authority, PCA는 Policy Certification Authorities를 의미한다)

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 64%)

  • 트리형 PKI 구조의 각 기관 역할은 다음과 같습니다.
    (가) PKI 정책 결정 및 하위 기관 승인 $\rightarrow$ PAA (Policy Approval Authorities)
    (나) Root CA 인증서 발급 및 기본 정책 수립 $\rightarrow$ PCA (Policy Certification Authorities)
    (다) CA를 대신해 인증 요청 확인 및 인터페이스 제공 $\rightarrow$ RA (Registration Authority)
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록 다음회차 >