이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 NIST 공식 문서를 바탕으로 작성했다.

문제 1 — 상태 기반 방화벽

문제

상태 기반(stateful inspection) 방화벽의 특징으로 가장 적절한 것은?

선택지

  1. 모든 패킷을 애플리케이션 내용까지 분석해 악성코드 여부만 판정한다.
  2. 연결 상태와 관련 포트 정보를 추적하고, 해당 상태와 정책에 따라 패킷을 허용하거나 차단한다.
  3. 암호화된 트래픽은 항상 복호화하지 않고 모두 허용한다.
  4. 방화벽 정책 없이 주소 변환만 수행한다.

정답

2번

해설

NIST SP 800-41 Rev. 1은 방화벽을 서로 다른 보안 태세의 네트워크 또는 호스트 사이의 트래픽 흐름을 통제하는 장치나 프로그램으로 설명한다. 상태 기반 검사는 연결 상태를 유지하면서 반환 패킷이 기존 연결에 속하는지 등을 정책과 함께 판단한다. [1]

오답 포인트

상태 기반 검사는 애플리케이션 계층 침입탐지와 같은 의미가 아니다. 또한 주소 변환(NAT)이나 패킷 필터링만으로 상태 추적 기능을 설명할 수 없다.

출처 또는 검증 근거

[1] NIST, SP 800-41 Rev. 1, Guidelines on Firewalls and Firewall Policy, https://csrc.nist.gov/pubs/sp/800/41/r1/final

문제 2 — 사고대응 순서

문제

NIST SP 800-61에서 설명하는 전형적인 사고대응 활동의 흐름으로 가장 적절한 것은?

선택지

  1. 복구 → 탐지·분석 → 준비 → 사후활동
  2. 준비 → 탐지·분석 → 봉쇄 → 근절·복구 → 사후활동
  3. 탐지·분석 → 사후활동 → 준비 → 봉쇄
  4. 근절 → 준비 → 복구 → 탐지·분석

정답

2번

해설

NIST SP 800-61 Rev. 2는 사고대응 과정을 준비, 탐지 및 분석, 봉쇄, 근절 및 복구, 사후활동으로 설명한다. 실제 사건에서는 추가 감염 여부 확인을 위해 탐지·분석 단계로 되돌아갈 수 있으므로 기계적인 일방향 절차로만 이해해서는 안 된다. [2]

오답 포인트

복구를 가장 먼저 수행하면 증거 보존과 영향 범위 분석을 놓칠 수 있다. 봉쇄는 확산과 피해를 제한하는 활동이고, 근절은 악성 구성요소 제거와 취약점 개선 등을 포함한다.

출처 또는 검증 근거

[2] NIST, SP 800-61, Computer Security Incident Handling Guide, https://csrc.nist.gov/pubs/sp/800/61/final

문제 3 — 암호키 수명주기

문제

NIST의 암호키 관리 지침에 부합하는 설명은?

선택지

  1. 키는 생성 후 폐기까지의 수명주기를 관리할 필요가 없다.
  2. 키 관리에는 생성·보관·분배 또는 설정·사용·폐기 등 수명주기 전반의 처리가 포함된다.
  3. 키가 더 이상 사용되지 않으면 평문으로 공개 저장해도 된다.
  4. 키 폐기는 암호 알고리즘 선택보다 항상 불필요하다.

정답

2번

해설

NIST SP 800-57은 암호키와 관련 보안 파라미터를 생성, 저장, 설정·분배, 사용, 폐기하는 전체 수명주기 관점에서 관리하도록 다룬다. 키가 더 이상 필요하지 않을 때 적절히 폐기하는 것은 노출 위험을 줄이는 통제다. [3]

오답 포인트

강한 알고리즘만 선택하고 키를 장기간 재사용하거나 저장·폐기 절차를 두지 않으면 암호체계 전체의 보안이 약해진다. 알고리즘과 키 관리는 분리해서 볼 수 없다.

출처 또는 검증 근거

[3] NIST CSRC, Key Management FAQs 및 SP 800-57 안내, https://csrc.nist.gov/Projects/key-management/faqs