이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA 교육 자료, IETF 표준 및 KISA의 보안 수칙 안내를 근거로 작성했다.

문제 1 — DNSSEC의 보안 목적

문제

DNSSEC에 대한 설명으로 가장 적절한 것은?

선택지

  1. DNS 질의·응답의 기밀성을 제공하므로 모든 DNS 통신을 암호화한다.
  2. DNS 데이터의 출처 인증과 무결성 검증을 지원해 위·변조된 응답을 식별하는 데 도움을 준다.
  3. DNS 서버의 운영체제 취약점을 자동으로 패치한다.
  4. 웹 서버의 사용자 인증서를 대신 발급한다.

정답

2번

해설

DNSSEC은 DNS 데이터에 대한 공개키 기반 서명 체계를 사용해 데이터 출처 인증과 무결성 검증을 가능하게 한다. 따라서 DNS 응답 위·변조 및 캐시 오염 대응에 기여하지만, 일반적으로 질의 내용의 기밀성 자체를 제공하는 기술은 아니다. KISA 교육 자료는 DNS 스푸핑·캐시 오염과 함께 DNSSEC을 DNS 보안 강화 주제로 다룬다. [1]

오답 포인트

무결성·출처 인증과 기밀성은 서로 다른 보안 목표다. DNS over TLS/HTTPS는 전송 구간 보호와 관련된 기술이고 DNSSEC은 DNS 데이터 검증을 위한 서명 체계라는 구분이 중요하다.

출처 또는 검증 근거

[1] KISA 아카데미, 「(DNS) K-Shield 시스템 관리자를 위한 DNS 보안 강화」, https://academy.kisa.or.kr/edu/apply/applyEduDetail.do?APPLY=01&SQ=9672

문제 2 — TLS 서버 인증서 검증

문제

TLS 클라이언트가 서버 인증서를 검증할 때 일반적으로 확인해야 할 항목으로 가장 적절한 것은?

선택지

  1. 인증서의 유효기간만 확인하고 호스트 이름과 신뢰 체인은 확인하지 않는다.
  2. 인증서가 신뢰된 발급자 체인에 연결되고, 접속 호스트 이름과 유효기간 등 정책 조건을 만족하는지 확인한다.
  3. 서버가 인증서를 제시하면 만료 여부와 관계없이 공개키를 사용한다.
  4. 인증서 검증은 애플리케이션 계층과 무관하므로 오류가 나도 무시한다.

정답

2번

해설

X.509 인증서 기반 TLS 인증에서는 인증서의 유효기간뿐 아니라 주체 이름 또는 SAN의 호스트 이름 일치, 신뢰할 수 있는 인증기관으로 이어지는 경로, 용도와 정책 조건 등을 종합적으로 확인해야 한다. IETF RFC 5280은 X.509 공개키 기반구조의 인증서와 인증서 폐기 목록 프로파일을 정의하며, 인증서 폐기 상태는 CRL·OCSP 등으로 확인될 수 있다. [2]

오답 포인트

“HTTPS이므로 안전하다”는 이유만으로 인증서 오류를 무시하면 중간자 공격 위험이 커진다. 유효기간이 맞아도 호스트 이름 불일치, 신뢰되지 않은 발급자, 폐기 상태 등으로 검증에 실패할 수 있다.

출처 또는 검증 근거

[2] IETF, RFC 5280, Internet X.509 Public Key Infrastructure Certificate and CRL Profile, https://datatracker.ietf.org/doc/rfc5280/

문제 3 — 백업·복구 전략 검증

문제

랜섬웨어와 데이터 손상에 대비한 백업 운영으로 가장 적절한 것은?

선택지

  1. 백업이 존재하면 복구 가능성은 자동으로 보장되므로 복구 시험은 필요 없다.
  2. 운영 데이터와 동일한 계정·권한으로 백업 저장소를 연결하고 편의성을 우선한다.
  3. 백업본의 접근통제와 격리를 적용하고, 복구 절차와 복구 가능성을 정기적으로 시험한다.
  4. 백업은 한 번만 수행하고 이후 변경 데이터는 기록하지 않는다.

정답

3번

해설

백업은 생성 여부만으로 충분하지 않다. 공격자가 운영 계정과 백업 저장소를 함께 침해하면 백업본도 삭제·암호화될 수 있으므로 접근통제와 격리가 필요하다. 또한 실제 복구 절차를 시험해 백업 무결성, 복구 시간, 복구 지점 목표가 운영 요구를 만족하는지 확인해야 한다. KISA는 보안 수칙으로 백업 및 복원 전략을 제시한다. [3]

오답 포인트

“백업 파일이 있다”와 “업무를 복구할 수 있다”는 같은 말이 아니다. 복구 시험, 백업본 보호, 보존정책, 변경분 누락 여부까지 확인해야 하며 운영망에 항상 연결된 단일 백업은 단일 장애점이 될 수 있다.

출처 또는 검증 근거

[3] KISA, 보안 위협 대응 필수 보안 수칙 안내(백업 및 복원 전략 포함), https://search.kisa.or.kr/search/search.jsp?indent=on&version=2.2&start=0&rows=10&fl=*,s%20%20%20core&hl=on&hl_fl=subject&debugQuery=&explainOther=&qt=standard&facet=false&facet_field=cat1&sortField=score&field=all&keyword=%EB%B0%B1%EC%97%85%20%EB%B3%B4%EC%95%88%20%EA%B0%80%EC%9D%B4%EB%93%9C