2007/09/18 웹 애플리케이션 보안 세미나 참석.

건국대학교 새천년관에서 진행된 "웹 애플리케이션 보안 세미나" ..
비가 오는 아침에 시작하는 바람에 무릅가지 바지가 젖은 상태로 세미나에 참석하게 되었습니다.

 

주된 내용은 KISA 의 업체 보안이슈에 대한 경각심고취와 Microsoft 의 VISTA, NAP 관련 내용이였습니다.

 

첫번째 세션인 비스타 애플리케이션보안 세션은 개발자들이 알아야 하는 비스타의 애플리케이션보안에 대한

내용으로 요즘 이슈화되는 사용자 계정 컨트롤(UAC)과 IE7의 사용으로인해 발생되는 문제점에 대한 내용이

였습니다.

사실 개발자를 대상으로 한 세미나도 아니기 때문에 구현이나 자세한 과정에 대해서는 이야기 하지 않았지만

어떠한 이유때문에 사용자들이 무척이나 번거로워짐을 감수하고서라도 이런 장치(?) 를 할수밖에 없었는지에

대한 이야기를 들을수 있었습니다.

특히 사용자들의 레지스트리를 가상화하는 부분은 무척 인상깊었습니다.

 

다만, 파트너사와의 상생을 강조하여서 무엇인가에 대해 호소하는것 같은 분위기를 자아 내시는것이 조금

아쉬웠습니다.

 

 

두번째 세션은 PHP 웹개발 보안이였습니다.

보안에 대한 기본개념과 기본적인 단계에 대한 내용으로, 약간의 소스와 몇가지 내부함수의 소개를 하는
정도였습니다.

제가 별로 관심이 없었던 부분이기도 하지만 이미 보안을 위한 자체지원되는 내부함수를 가지고 있다는것이

개발자의 역량에 따라 보안이 강화되기도, 보안과는 정말 동떨어진 것이 되기도 한다는것을 새삼 느꼈습니다.

 

 

 

두 세션을 마치고 구내학생식당에서 점심을 먹었습니다.

육계장이였는데, 학교 다닐때 기숙사에서 보름에 한번씩 나오던 그 맛이랑 비슷했습니다.

제료 공급하는 업체가 한군데이거나, 음식 맛보시는 분들이 같은 학원출신은듯 합니다. ㅋ

 

 

 

세번째 세션은 웹 서버 보안(IIS) 였습나다.

나름 그나마 아는 분야였고, 과연 제가 하는 방법과 다른 어떤 방법을 사용하고 있을지가 제 관심사 였습니다.

하지만, 이 세션은 IIS 7.0 에대한 내용을 전달하는 수준이였습니다.

이미 IIS 5.0 과 IIS 6.0 의 차이에 대해서는 알고 있는 부분이였고, 보다 상세히 세부설정을 함으로써

웹서버로서의 취약지점을 줄이는 방법과 보안강화를 위한 조치인 IISLockdown, URLscan 를 포함한듯한

Request 필터링으로 보안강화를 꾀한다는 것이 IIS 7.0 을 설명하시는 분의 주요 내용이였던것 같습니다.

 

 

네번째 세션은 통합보안을 위한 네트워크 접근통제(NAP) 에 대한 부분이였습니다.

아침에 받은 책자와 발표하시는 분이 달라져있었습니다. 그간 Microsoft 세미나를 몇번다니면서 본적이 있는

백승주님이였습니다. 책자와는 전혀다른 발표에 움찔하면서도 그간 여러 세션을 담당하셔서인지 시간가는줄

모르고 집중할수 있었습니다.

 

우리 회사도 저걸 도입하면 참 좋을텐데.. 하고 생각하지만 Active Directory 조차 구축할수 없는 환경이

아쉽습니다.

 

 

다섯번째 새션은 KISA 의 차례로, 2007년 주요 침해사고 사례였습니다.

시연보다는 비유와 예시를 적절하게 혼용하셔서 실제 내용에 대해서는 특별한게 없었지만

처음 들으시는 분들에게는 무척 와닿는 이야기 였을것입니다.

 

다만, 정작 중요하다 생각되는 부분에서 농담같이 너무 쉽게 말씀하신 부분과 국가기관에 대해서는 NACS가
권고가 아닌 정책 하달을 하지만, 일반 업체와 사립학교만을 대상으로하는 KISA 에서 권고만을 할수 있고,
더이상 처리를 할수 지위에 대한 능력 미흡에 대해서 설명하시는것을 보니 실무자로서 많이 아쉬웠습니다.

 

 

여섯번째 세션은 단국대-Cert 팀의 Fuzzing 을 이용한 키로거설치관련 시연을 하였지만,

그냥 지켜보는 것으로 그럴수도 있겠다 라는 클라이언트보안에 대한 부분으로 저에게는 그다지 흥미를 끌지

못하였습니다.


전반적으로 실무에 크게 도움을 줄 정도로 영향을 주지는 못하였지만, 침해사고관련 부분이 조금만더
세부적으로 진행할수 있었으면 많은 도움이 되었을것 같습니다.