공부용

[IGLOO]SW 공급망 보안이란 무엇인가요?

SW 공급망 보안(Software Supply Chain Security): 소프트웨어를 기획하고 개발하는 단계부터 외부 구성요소의 도입, 빌드/테스트/배포, 운영/유지보수에 이르기까지 소프트웨어가 만들어지고 전달되는 전 과정에서 발생할 수 있는 보안 위험을 식별하고 관리하는 활동.소프트웨어 공급망에는 개발자/외부 공급자에 더해 오픈소스/외부 패키지/코드 저장소/빌드 시스템/배포 환경 등 다양한 요소가 연결됨.어떤 구성요소가 사용되고 있는지, 어떻게 연결되어 있는지를 파악할 수 있는 가시성과 투명성이 중요.→ SBOMSBOM(Software Bill of Materials): 소프트웨어 자재명세서. 하나의 소프트웨어를 구성하는 오픈소스/라이브러리/패키지 등의 다양한 구성요소와 해당 구성요소 간의 의존관계..

AI 레드티밍(AI Red Teaming): 공격자의 관점에서 AI 모델과 이를 활용하는 시스템을 의도적으로 테스트해 잠재적인 취약점과 위험 요소를 찾아내는 일련의 활동.기존 레드티밍: 서버, 네트워크, 애플리케이션 등의 IT 환경 취약점을 실제 공격과 유사한 방식으로 점검.AI 레드티밍: 그 대상을 AI 시스템까지 확장해 AI 특유의 취약점과 위험을 검증. 프롬프트, 데이터, AI 애플리케이션 + AI가 연결된 API, 외부 도구, 계정 및 권한 등 AI 시스템의 동작에 영향을 미치는 구성요소 전반이 대상. AI 레드티밍 점검 영역)프롬프트 및 입력 조작: 공격자가 악의적으로 설계한 입력을 통해 AI의 지시나 행동을 조작할 수 있는지 확인.*예시: 악성 지시를 주입해 ai의 행동을 공격자의 의도대로 바..

1. AI 모델의 외부 시스템 침입생성형 AI의 발전: 단순히 사용자의 질문에 답하거나 콘텐츠를 생성하는 도구 → 주어진 목표를 달성하기 위해 스스로 계획을 수립하고 필요한 도구를 호출하는 AI 에이전트(AI Agent)로 발전하고 있음.변화의 효과:장점: AI의 활용 범위 확대.단점: AI에 부여된 목표와 권한이 적절하게 통제되지 않을 경우 실제 보안 사고로 이어질 수 있음.가장 주목받은 사례)오픈AI의 모델이 허깅 페이스를 침입한 사건:배경: 오픈AI가 GPT-5.6 Sol과 내부 연구용 모델의 사이버 공격 역량을 측정하기 위해 취약점을 찾고 공격하도록 설계된 ExploitGym 평가 진행.평가를 수행하던 AI가 문제를 정상적으로 해결하는 대신 평가 정답이 저장된 시스템에 직접 접근하는 경로 탐색.A..

CTEM 정의CTEM(지속적 위협 노출 관리): 조직의 공격 표면 전반에서 보안 노출을 지속적으로 식별하고, 실제 위협으로 이어질 가능성을 검증한 뒤, 우선순위에 따라 대응까지 연결하는 선제적 보안 관리 체계.보안 이유 많이 찾아내기 *노출(Exposure): 소프트웨어 취약점 뿐만 아니라 인터넷에 공개된 자산과 서비스/잘못된 클라우드 서비스/불필요하게 유지된 계정/과도한 권한 등 공격자가 침해에 활용할 수 있는 다양한 조건을 포함함. 취약점 관리와 CTEM 차이점취약점 관리(Vulnerability Management): 시스템과 애플리케이션에서 발견된 취약점을 식별하고 기술적 심각도에 따라 패치 또는 설정 변경을 수행하는 데 초점을 둠.CTEM: 취약점 관리와 같은 활동을 필요로 하나, 주기적 취약..

이 글은 아래의 책을 읽고 공부 목적으로 작성됨.칼 길버트, 벤자민 카우딜, 「AWS 침투 테스트」 AWS의 IAM 서비스: 사용자의 계정을 인증하는 여러 방법 제공함. 일반적으로 사용자 계정과 역할의 인증 지원.IAM 사용자: 환경에 장기적으로 접근해야 할 때 자격증명을 구성하는 방법 제공.역할: 사용자/서비스/애플리케이션에 임시로 필요한 자격증명을 위임하는 방법 제공.AWS IAM 그룹: 자주 사용되는 공통 권한을 사용자 그룹에 부여할 수 있음. 사용자는 최대 10개 그룹에 속할 수 있음. (1) IAM 사용자, 그룹, 역할과 관련 권한 생성사용자 생성AWS 웹 콘솔에 로그인 후 IAM 서비스 페이지로 이동사용자 추가 버튼 클릭액세스 유형:- 프로그래밍 방식 액세스: 사용자의 액세스 키 ID와 비밀..

이 글은 아래의 책을 읽고 공부 목적으로 작성됨.칼 길버트, 벤자민 카우딜, 「AWS 침투 테스트」 해당 장에서는 AWS S3 버킷의 개념, 사용 용도, 구성, 접근 방법을 설명함. (1) 첫 S3 버킷 구성S3 홈페이지로 이동.버킷 만들기 클릭.버킷 이름 입력.-고유한 이름 사용, DNS 준수.-최소 3글자 ~ 최대 63글자 사이의 길이로 설정.-대문자/언더바 문자 허용X.-소문자/숫자/하이픈 포함 가능. (.) 문자를 사용해 분리 가능.-IP 주소 형태로 설정하지X.리전은 환경에 맞게 선택.생성 클릭: 버킷 생성됨.버킷 활성화 상태에서 오브젝트 업로드 가능.*오브젝트: 이미지 파일, 음악 파일, 영상 파일, 문서 등 어떤 파일이든 해당됨.오브젝트 업로드: 버킷 클릭 후 업로드 선택.오브젝트 다운로드:..

1. 사전 준비(1) IAM 계정 만들기 루트 계정으로 콘솔에 로그인AWS 화면 맨 위 검색창에 IAM이라고 검색하고 클릭해서 들어감왼쪽 메뉴에서 IAM 사용자를 클릭오른쪽 상단의 주황색 사용자 생성 버튼을 누름 계정 설정 AWS Management Console에 대한 사용자 액세스 권한 제공'은 체크X (컴퓨터 명령창으로만 쓸 거라 웹 로그인 권한은 필요 없음)권한 설정 방식: 정책 직접 연결권한 검색창: PowerUserAccess / AmazonAthenaFullAccess (아테나 실습 목적) / AWSCloudTrail_FullAccess(2) 비밀 키 발급생성한 IAM 계정이 보일 텐데, 그 계정을 클릭보안 자격 증명 탭 클릭액세스 키 영역의 액세스 키 만들기 버튼 누름액세스 키 설정용도 ..

워게임을 풀고 공부를 진행했다. https://hae9-9.tistory.com/125 1. 도메인/S3 구조S3 주소 구조: https://[버킷이름].s3.amazonaws.com메인 도메인: amazonaws.com1차 서브(하위) 도메인: s32차 서브 도메인: [버킷 이름]→ S3 버킷이 해당 형태로 서브도메인을 자동 생성하기 때문에 해당 구조가 나옴. 워게임 버킷 이름인 flaws.cloud를 해당 주소 구조에 넣으면https://flaws.cloud.s3.amazonaws.com 이 나온다. 해당 xml 파일은 원래 보안이 잘 된 버킷의 경우, 접근 거부 에러가 나야 함. 그러나 이 워게임은 권한 취약점을 이용한 문제이므로 사진처럼 확인이 가능. 2. 도메인 레코드nslookup -type..

사이트에 들어가면 사진과 같은 화면이 나온다. 우선 별도의 단서가 없는지 f12를 눌러서 확인해 보았으나, 주석으로 html 코드에는 단서가 없다고 안내해 주고 있다. 도전 과제: 첫 번째 서브도메인을 찾기.+일단 모든과제는 flaws.cloud의 하위 도메인임. 도메인을 잘 모르니 공식 문서를 확인함. 서브 도메인(=하위 도메인)은 도메인 이름 앞에 오는 url 부분.예시를 들면 blog.naver.com에서.com: 탑 레벨 도메인(TLD)naver.com: 메인 도메인(Root 도메인)blog: 서브 도메인(하위 도메인) 도메인 목록을 조회해야 하나 싶었는데 도통 모르겠어서 힌트1을 봤다..flaws.cloud 사이트는 S3 버킷에 호스팅되어 있으며, S3 버킷에 사이트를 호스팅할 때 버킷 이름은 ..

클로드 미토스(Claude Mythos): 앤트로픽(Anthropic)이 공개한 차세대 AI 모델. 1. 클로드 미토스의 등장클로드 미토스는 코딩 능력, 학문적 추론, 사이버 보안 영역에서 기존 모델인 클로드 오퍼스 4.6(Claude Opus 4.6)을 크게 상회하는 기능을 가짐. 현재 일반 사용자에게 개방되지 않고 일부 인프라 기업/기관에만 제한적으로 제공. → 이유: 사이버 보안 위험. 실제로 미토스 공개 후 주요 국가의 정부/금융당국이 즉각 대응에 나섬. → 미토스가 보안 환경에 영향을 미칠 수 있는 변수로 받아들여짐. 클로드 미토스 프리뷰 성능: 기존 모델에 비해 비약적으로 상승했는데, 특히 실제 소프트웨어 버그를 스스로 찾아 고치는 SWE-bench PRO/이미지가 포함된 복합 코딩 문제를 ..