15년 전에 발견된 HTTProxy 보안 취약점(참고. https://httpoxy.org)이 다시 발견되었고, 서버단 웹 사이트 소프트웨어가 공격받을 위험이 커졌다. 아파치 소프트웨어 재단, 레드햇, Ngnix 등은 httpoxy라고 불리는 취약점에 대해 경고하고 있다. (PHP: CVE-2016-5385; Go: CVE-2016-5386; Apache HTTP server: CVE-2016-5387; Apache TomCat: CVE-2016-5388; PHP-engine HHVM: CVE-2016-1000109; Python:

해외 보안전문가들이 BMW의 ConnectedDrive 웹 포털에 있는 2개의 패치되지 않은 취약점들이 자동차 설정을 수동 조작할 수 있는 매커니즘을 만들어낸다고 경고했다. 첫번째 취약점은 다른 취약점보다 더 심각할 수 있다. 해커는 첫번째 취약점을 이용해 차량용 인포테인먼트를 통해 사용자가 잠금/비잠금 설정, 이메일 계정 접근, 루트 관리, 실시간 교통 정보와 같이 자동차의 설정을 변경하기 전에 다른 자동차의 '자동차 식별 번호(VIN)'에 접근할 수 있다. 두번째는 ConnectedDrive 웹 포털의 패스워드 리

라비드7(Rapid7) 연구원들이 NodeJS, PHP, Ruby, Java를 기반으로 한 툴에 들어있는 스웨거(Swagger) 설명서에서 취약점을 발견했다고 밝혔다. 라비드7에 따르면 취약점은 스웨거(Swagger) 코드 발생기를 통해 삽입 가능한 코드 페이로드에서 발견되었다. 만약 익스플로잇 한다면 공격자는 원격에서 클라이언트나 서버에서 코드 실행이 가능해진다. 이 툴의 다른 비슷한 프로그래밍 언어 역시 취약할 가능성이 있다. OAI가 개발한 Swager 설명서는 describing REST API를 설명하는데 기본적으로 사용되

개인정보보호법이 강화되고 있지만 여전히 간단한 구글 검색어만 입력하면 엑셀이나 문서, 이미지 형태로 이름, 주민등록번호, 휴대폰번호, 주소 등 개인정보가 그대로 노출되고 있다. 관련 기관에서 정기적으로 구글에 노출되는 개인정보를 색출해 조치를 취하고 있지만 문제는 지속적으로 반복되고 있다는 점이다. 데일리시큐는 지난해부터 지속적으로 구글 검색에 의한 한국인 개인정보 노출 문제를 보도한 바 있다. 하지만 최근 다시 조사한 결과, 지난 2015년 데일리시큐 보도를 통해 지적된 사안이 여전히 방치되고 있다는 것을 확인했다.-관련 기사:

지난 시간에는 구글OTP 활용 방안에 대해 살펴보았는데, 이는 경제적인 것 뿐만 아니라 안전하고 편리하지만 보안적인 측면에서 다음과 같은 몇 가지 아쉬운 점이 있다. (1) OTP인증 성공,실패에 대한 로그 기록이 지원하지 않는다. OTP인증 과정에서 pass/fail에 대한 로그 기록이 있어야 brute force나 부정한 사용에 대한 모니터링 및 추적이 가능한데, 구글OTP는 이러한 기능에 대한 로깅이 제한적이다. (2) OTP코드 재사용이 가능하다. 구글OTP는 하나의 QR코드를 사용할 수 있는 모바일 단말기의 개수에 대한

데일리시큐 긴급보도와 함께 KISA에서도 긴급 보안공지가 발표됐다. 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트가 발표됐다는 것.(관련기사: www.dailysecu.com/news_view.php?article_id=13090) SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 권고내용이다. CacheBleed는 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격이다. 영향 받는 버전은 OpenSSL 1.0.1s

CTB 로커 램섬웨어의 새로운 변종이 워드프레스 기반의 웹사이트를 대상으로 공격하고 있다. 이 악성코드의 소스코드는 연구원들이 분석할 수 있도록 업로드되었으나 몸 값을 지불하지 않고는 파일을 복호화할 수 있는 방법이 없다. 이 랜섬웨어는 PHP를 사용하는 사이트에서만 동작한다. ★정보보안 대표 미디어 데일리시큐!★ [외신. 2016. 2. 29. SANS Korea / www.itlkorea.kr]

2016년 가장 핵심적인 개인정보보호 컨퍼런스인 G-Privacy 2016이 오는 4월 6일 수요일 양재동 더케이호텔서울 2층 가야금홀에서 공공, 교육, 금융, 기업 개인정보보호 책임자, 실무자, IT 보안담당자 700여 명이 대거 참석하는 가운데 개최될 예정이다. 개인정보보호 컨퍼런스 중 가장 핵심적인 강연내용으로 매년 많은 실무자들이 참석하고 있는 G-Privacy 2016은 공공기관, 금융, 기업 개인정보보호 및 IT보안 업무 실무자들만 참석할 수 있는 개인정보보호 담당자 필수 컨퍼런스다. 지난해 G-Privacy 2015

사이버보안 전문교육 및 역량평가 전문기관 ITL은 2014년, 2015년에 이어 'Cyber Break Asia 2016' 사이버보안 교육행사를 개최한다고 밝혔다. 이번 행사는 최신 사이버 보안위협 및 사이버 보안기술을 배울 수 있는 자리다. 국내 정부기관, 연구소, 사이버 포렌식 전문가, 사이버보안 전문가와 자유롭게 네트워킹 할 수 있는 기회를 가질 수 있다. 교육과정은 2과목으로 ‘지능형 지속위협(APT) 공격과 대응’ (강사 조용현)과 ‘악성코드 수집 및 분석’ (강사 신동휘. 스틸리언 이사) 등이다. 참석 대상

오픈소스진흥협회(협회장 박형배)는 오픈소스를 특허 분쟁에서 보호하는 비영리단체인 OIN(Open Invention Network) 의 커뮤니티에 가입하는 절차를 마무리했다고 26일 발표했다. 협회 측은 커뮤니티 구성원간 공유된 특허를 기반으로 오픈소스를 특허 분쟁에서 보호한다는 OIN의 취지에 공감해 가입했다고 설명했다. OIN은 레드햇과 IBM, NEC, 소니, 필립스, 수세(SUSE), 구글이 오픈소스를 특허권 분쟁에서 보호하기 위해 구성한 지적재산권 권리 단체로 커뮤니티 구성원간 특허 침해 소송을 제기하지 않겠다고 약속한 기업

국내 최고의 모바일 보안 전문가들이 한 자리에 모인다. 또 공공, 금융, 기업 모바일 보안을 담당하고 있는 실무자 300여 명이 참석해 정보를 공유하는 자리다. 바로 데일리시큐 주최 ‘2016년 모바일 정보보호 컨퍼런스’ (MISCON 2016)이 오는 2월 17일 역삼동 포스코P&S 3층 이벤트홀에서 개최된다. 지난해 MISCON 2015 발표 현장 이번 MISCON 2016에는 국내 모바일 보안위협 동향과 모바일 애플리케이션 보안, 모바일 앱 해킹 위험성과 대응방안, 모바일을 통한 정보유출 방지, 모바일 해킹 시연 등 최신 보

IT 서비스 기업 가비아(대표 김홍국)가 2016년 상반기 경력 사원 및 시니어 스페셜리스트 채용을 시작했다. 경력 채용 부문은 ◇콘텐츠 기획 ◇UI 디자이너 ◇프로그래머 ◇영업 등 총 4개 직무로 3-7년 이상 경력자가 대상이다. 각 직무에 대한 자격 요건으로는 콘텐츠 기획은 상품 기획 및 MD 유경험자로 웹툰, 캐릭터, 애니메이션 등의 콘텐츠 제작을 주로 담당하게 된다. UI 디자이너의 경우 Typography, Illustration, Photoshop 등에 역량이 있고 온라인 서비스에 대한 이해와 사용자 경험에 대한 지식을

IT 보안 기업 엔시큐어(대표 문성준)가 보안개발 어시스트 솔루션 시큐어어시스트(SecureAssist)의 무료 사용 이벤트를 실시한다고 밝혔다. 시큐어어시스트는 미국 버지니아 주에 본사를 두고 있는 소프트웨어 보안 전문 컨설팅 회사인 씨지탈사(Cigital)의 솔루션으로써 개발자가 프로그램을 개발할 때 보안 코딩을 할 수 있도록 도움을 주며 개발자는 시큐어어시스트를 통해 실시간으로 보안 취약점을 발견할 수 있다. 기존 시큐어 코딩 솔루션들은 너무 많은 정보를 제공 하거나 개발환경에서 사용하기 무거워 개발자들이 사용을 기피하는 현실

2016년 가장 핵심적인 정보보호 컨퍼런스가 데일리시큐 주최로 개최된다. 데일리시큐 주최 컨퍼런스는 여타의 정보보호 컨퍼런스와는 달리 실제 공공, 기업, 금융, 교육, 의료기관 등 실제 보안실무자들만 참석할 수 있는 컨퍼런스다. 다음은 올해 정보보호 및 개인정보보호, 모바일 보안, APT 보안, 악성코드 보안 등을 책임지고 있는 CISO 등 정보보안 책임자와 기관과 기업의 시스템 운영자, 클라우드, 빅데이터 등 관리자, 앱개발자, 국가인프라 보안관리자 등 국내 보안관련 실무자들만을 위한 컨퍼런스 일정이다. 현재 데일리시큐는 아래 컨

정덕희 교수의 ‘행복하소서! 정덕희의 인성 콘서트’ 2016년도 1, 2기 교육이 성황리에 마쳤다. 정교수의 이 교육은 인성교육진흥법 8대 덕목인 ‘예, 효, 정직, 책임, 존중, 배려, 소통, 협동’을 바탕 삼아 인성 교육과 더불어 생활과 밀접한 예시나 Tip을 제시하는 프로그램으로 진행하고 있다. 교육부에서 인가된 ‘행복하소서! 정덕희의 인성 콘서트’는 전국 유, 초중등 교직원 및 교육전문직을 연수대상으로 하며 특별한 교재 없이 교육을 진행하는 것이 특징이다. 특히 이 교육과정은 정덕희 교수의 인생 경험을 바탕으로 한 인성교육의

스마트워크와 모바일뱅킹, IoT 기술 발전으로 모바일은 이제 우리 시대의 중심이 되어가고 있다. 반면 모바일은 이제 해커들의 집중 공격 타깃이 되고 있기도 하다. 모바일 악성코드가 급증하고 모바일을 통한 각종 보안사고가 증가하고 있는 가운데 공공기관과 기업들은 모바일 보안위협에 대응하기 위해 많은 노력을 기울이고 있다. 그 해답을 차기 위한 컨퍼런스가 오는 2월 17일 개최된다. 데일리시큐 주최 모바일 정보보호 컨퍼런스 MISCON 2016이 오는 2월 17일 역삼역 포스코P&S타워 3층 이벤트홀에서 공공, 금융, 일반기업 개인정보

국내에서 가장 특화된 모바일 정보보호 컨퍼런스가 열린다. 오는 2월 17일 역삼역 포스코P&S타워 3층 이벤트홀에서 공공, 금융, 일반기업 개인정보보호 및 정보보안 실무 담당자, 스마트워크 담당자 300여 명만을 대상으로 ‘2016 모바일 정보보호 컨퍼런스’ (MISCON 2016)가 개최된다. 데일리시큐 주최 MISCON 2015 발표현장 사진 모바일 오피스 및 모바일 금융거래 확산으로 모바일 보안 위협은 더욱 급증하고 있다. 이에 데일리시큐는 보안담당자에게 특화된 모바일 보안정보 제공을 위해 MISCON 2016을 개최한다고

내년도 정보보호 컨퍼런스 일정을 계획한 데일리시큐는 2016년 정보보호 컨퍼런스 일정을 공개했다. 데일리시큐 컨퍼런스는 타깃된 참관객과 그 해 정보보안 실무자들에게 가장 핵심적이고 필요한 정보만을 전달하는 컨퍼런스로 유명하다. 내년도 컨퍼런스 일정은 아래와 같다. 데일리시큐 컨퍼런스에 참가를 희망하는 기업은 아래 담당자에게 문의하면 된다. 매년 실무에 필요한 내용으로 정보공유. 많은 실무자들이 데일리시큐 컨퍼런스에 참관 참관을 희망하는 실무자는 개최 한 달 전 데일리시큐 메인사이트 컨퍼런스 배너를 통해 등록 가능하다. 한편 데일리

미래를 생각하는 교육기업 ㈜시대고시기획 시대교육(www.sidaegosi.com)에서 사회복지사 1급, 직업상담사 2급 과락을 피하는 법’ 도서 시리즈를 출간하여 수험생들의 관심이 상승하고 있다. 한국고용정보원의 ‘2015 한국직업전망’에 따르면 2008년-2013년 연평균 취업자 수는 사회복지사가 12.5%, 직업상담사가 13.8% 증가하였으며 최근 4-5년 동안의 자격증 발급수도 각각 2배, 4배 증가하였다. 또한 관련 정책 및 업무 영역의 확대로 향후 10년간의 고용 또한 증가할 것으로 전망된다. 사회복지사 1급 약 30%,

중국 언더그라운드 해커들 커뮤니티에서 공유하는 정보중 MSSQL 접속 정보를 입수해 확인한 결과 총 108개의 접속 정보 리스트가 올라왔고 그 중 한국 IP는 11개로 확인됐다. 악의적 해커들은 해당 정보를 공유하며 해킹에 사용하고 있는 것이다. 특히 한국 IP 중에는 반도체 제조사인 ‘SK하이닉스’ IP가 해커들 사이에서 공유되고 있었으며 유명 의류 브랜드인 ‘지오다노’ IP도 확인됐다. 문제는 MSSQL IP와 접속 아이디 및 패스워드까지 해커들 사이에서 공유되고 있기 때문에 그동안 해킹을 통한 기업정보 혹은 개인정보유출 공격이