9급 국가직 공무원 정보시스템보안 필기 기출문제복원 (2022-04-02)

9급 국가직 공무원 정보시스템보안 2022-04-02 필기 기출문제 해설

이 페이지는 9급 국가직 공무원 정보시스템보안 2022-04-02 기출문제를 CBT 방식으로 풀이하고 정답 및 회원들의 상세 해설을 확인할 수 있는 페이지입니다.

9급 국가직 공무원 정보시스템보안
(2022-04-02 기출문제)

목록

1과목: 과목 구분 없음

1. CPU에서 실행되는 머신 코드가 위치하는 시스템 메모리 영역은?

  1. 스택
  2. 힙
  3. 텍스트
  4. 데이터
(정답률: 34%)
  • 프로세스의 메모리 구조 중 텍스트(Text/Code) 영역은 실행 가능한 기계어 코드(머신 코드)가 저장되는 읽기 전용 영역입니다.

    오답 노트
    스택: 지역 변수, 매개 변수, 리턴 주소 저장
    힙: 동적 할당 데이터 저장
    데이터: 전역 변수, 정적 변수 저장
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. 사용자와 운영체제 사이에서 중간자 역할을 수행하며, 명령어 해석 기능, 프로그래밍 기능, 사용자 환경 설정 기능을 제공하는 것은?

  1. 데몬
  2. 커널
  3. 프로세스
  4. 셸
(정답률: 63%)
  • 셸은 사용자가 입력한 명령어를 해석하여 커널에 전달하고 실행 결과를 사용자에게 보여주는 명령어 해석기이자 사용자 인터페이스 역할을 수행합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. (가)에 들어갈 용어로 옳은 것은?

  1. 보안 커널
  2. 접근 제어
  3. 신뢰 플랫폼 모듈
  4. 하이퍼바이저
(정답률: 88%)
  • 보안 운영체제에서 하드웨어, 운영체제, 기타 시스템 요소 간의 보안 인터페이스를 제공하며 모든 접근 행위를 안전하게 통제하는 핵심 기능을 보안 커널이라고 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. 보안 모델의 하나인 만리장성(Chinese Wall) 모델에 대한 설명으로 옳은 것은?

  1. 높은 보안 수준에서 낮은 보안 수준으로 정보가 흐르는 것을 방지하기 위한 기밀성 보장 모델이다.
  2. 비즈니스 입장에서 직무 분리 개념을 적용하여 이해가 충돌하는 회사 간에 정보의 흐름이 일어나지 않도록 접근을 통제한다.
  3. 무결성 중심의 상업적 모델로 내ㆍ외부의 일관성을 유지하고 비인가자에 의한 불법적인 수정을 방지한다.
  4. 무결성을 위한 모델로 비인가자의 데이터 변형을 방지하기 위한 것이다.
(정답률: 67%)
  • 만리장성(Chinese Wall) 모델은 이해 상충(Conflict of Interest)을 방지하기 위해 직무 분리 개념을 적용하여, 서로 충돌하는 회사 간의 정보 흐름을 차단하는 접근 통제 모델입니다.

    오답 노트
    높은 보안 수준에서 낮은 수준으로 흐름 방지: 벨-라파듈라 모델
    무결성 중심 상업적 모델: Biba 모델
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. 윈도시스템의 NTFS에서 폴더 및 파일 접근 권한에 대한 설명으로 옳은 것은?

  1. 그룹 A와 그룹 B에 속한 사용자가 그룹 A에서는 읽기 권한을 할당받고 그룹 B에서는 쓰기 권한을 할당받았다면, 사용자에게 읽기와 쓰기 권한이 모두 주어진다.
  2. 파일이 포함된 폴더 권한이 파일 권한보다 우선한다.
  3. 권한을 중첩해서 적용할 수 있으며, 허용 설정이 거부 설정보다 우선한다.
  4. 폴더 접근 권한은 그룹에게만 부여된다.
(정답률: 76%)
  • NTFS 권한 체계에서 사용자가 여러 그룹에 속해 있을 경우, 각 그룹에 부여된 권한은 합집합으로 적용되어 모든 권한을 가지게 됩니다.

    오답 노트
    파일 권한이 폴더 권한보다 우선함
    거부 설정이 허용 설정보다 우선함
    개별 사용자에게도 권한 부여 가능
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. 다음에서 설명하는 전자우편 보안 기술은?

  1. PGP
  2. PEM
  3. MIME
  4. DKIM
(정답률: 46%)
  • 전자우편 발신지 도메인의 개인키로 서명하고, 수신 측에서 DNS를 통해 공개키를 얻어 검증함으로써 메일의 위변조를 방지하고 발신처를 인증하는 기술은 DKIM입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. 다음에서 설명하는 윈도시스템 인증 구성 요소는?

  1. SAM
  2. LS
  3. SRM
  4. SPI
(정답률: 74%)
  • 의 설명은 SRM(Security Reference Monitor)에 대한 것입니다. SRM은 사용자의 계정과 패스워드 일치 여부를 확인하여 고유의 SID를 부여하고, 객체에 대한 접근 권한 결정 및 감사 메시지 생성을 담당하는 핵심 구성 요소입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. (가), (나)에 들어갈 용어를 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 36%)
  • 다중 프로그래밍 정도가 높아져 CPU 이용률이 급격히 떨어지는 스래싱(thrashing) 현상을 방지하기 위한 개념을 묻는 문제입니다.
    스래싱은 프로세스가 필요로 하는 페이지들의 집합인 지역(locality)을 고려한 페이지 교체 알고리즘을 통해 제한할 수 있으며, 각 프로세스에 할당되는 최소한의 프레임(frame) 개수를 보장함으로써 방지할 수 있습니다.
    따라서 (가)는 지역, (나)는 프레임이 정답입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. S/MIME에 대한 설명으로 옳지 않은 것은?

  1. 서명된 데이터(signed data)의 디지털 서명은 메시지 다이제스트를 서명자의 개인키로 암호화한 것으로, 서명과 함께 메시지 내용은 base64로 부호화된다.
  2. 서명과 봉인된 데이터(signed and enveloped data)는 서명만 하거나 암호화만 한 개체들이 중첩된 것으로, 암호화한 데이터를 서명하거나 서명한 데이터를 암호화할 수 있다.
  3. 디지털 서명만을 base64로 부호화한 클리어 서명 데이터(clear-signed data)의 경우, S/MIME 기능을 갖추지 않은 수신자도 서명을 검증하고 메시지의 내용을 볼 수 있도록 지원한다.
  4. X.509의 버전 3을 따르는 공개키 인증서를 사용한다.
(정답률: 62%)
  • 클리어 서명 데이터(clear-signed data)는 S/MIME 기능을 갖추지 않은 수신자도 메시지의 내용을 볼 수 있도록 지원하지만, S/MIME 기능이 없다면 디지털 서명 자체를 검증하는 것은 불가능합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. HTTP 버전 1.1에서 정의된 요청 메시지의 메소드에 대한 설명으로 옳은 것은?

  1. GET이 요청하는 웹페이지의 위치는 헤더 라인 안에 명시된다.
  2. 서버가 보내온 쿠키를 저장했다가 반환하는 GET의 경우, 쿠키 정보는 메시지 몸체(body)에 포함된다.
  3. HEAD는 서버로부터 웹페이지 자체가 아닌 웹페이지에 대한 일부 정보를 요청하기 위한 것이다.
  4. PUT은 요구 메시지가 서버에 의해 제대로 처리되는가를 검사하기 위한 에코 반환 용도로 사용된다.
(정답률: 43%)
  • HEAD 메소드는 서버로부터 웹페이지의 본문(body)을 제외하고, 헤더 정보만을 요청하여 페이지의 상태나 크기 등 일부 정보만 확인하기 위해 사용됩니다.

    오답 노트
    GET의 위치 명시: 헤더 라인이 아닌 URL(URI)에 명시됩니다.
    GET의 쿠키 전송: 쿠키 정보는 메시지 몸체가 아닌 헤더에 포함됩니다.
    PUT: 리소스를 생성하거나 교체하는 용도이며, 에코 반환 검사는 OPTIONS 메소드 등이 수행합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. 리눅스 시스템의 /etc/shadow 파일 내용에서 패스워드의 최종 변경일에 해당하는 것은?

  1. 15917
  2. 99999
  3. 7
  4. 16070
(정답률: 56%)
  • 리눅스 /etc/shadow 파일의 필드 구성은 [사용자명 : 암호 : 최종 변경일 : 최소 변경일 : 최대 변경일 : 경고 기간 : 비활성 기간 : 만료일] 순서입니다.

    제시된 데이터에서 세 번째 필드인 $15917$이 패스워드의 최종 변경일에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. PKI에 대한 설명으로 옳지 않은 것은?

  1. 인증기관(CA), 등록기관(RA), 키 분배 센터(KDC)로 구성된다.
  2. 이용자는 공개키를 이용하기 전에 CA의 인증서 폐기 목록(CRL)을 조사해서 해당 인증서의 유효성을 확인할 필요가 있다.
  3. CA의 공개키에 대해 다른 CA가 디지털 서명을 하는 것으로 그 CA의 공개키를 검증할 수 있다.
  4. CA의 개인키가 노출된 경우에는 그 사실을 CRL을 사용해서 이용자에게 통지할 필요가 있다.
(정답률: 46%)
  • PKI(공개키 기반 구조)는 인증기관(CA), 등록기관(RA), 저장소(Repository) 등으로 구성됩니다. 키 분배 센터(KDC)는 대칭키 암호화 방식에서 세션키를 분배하는 기관으로, 공개키 기반 구조인 PKI의 구성 요소가 아닙니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. 인증을 받은 사용자가 여러 정보 시스템에 재인증 절차 없이 반복해서 접근할 수 있도록 해주는 것은?

  1. OTP
  2. SSO
  3. Challenge & Response
  4. CAPTCHA
(정답률: 88%)
  • SSO(Single Sign-On)는 한 번의 인증으로 연결된 여러 개의 정보 시스템이나 애플리케이션에 추가적인 인증 없이 접근할 수 있게 해주는 통합 인증 서비스입니다.

    오답 노트
    OTP: 일회용 비밀번호
    Challenge & Response: 서버가 보낸 난수에 응답하여 인증
    CAPTCHA: 사람과 봇을 구별하는 인증
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. 공격 대상이 되는 서버에서 먼저 공격자 PC로 연결하게 하여 방화벽 보안 정책을 우회하는 공격은?

  1. 리버스 텔넷
  2. 쿠키 변조
  3. 명령 삽입
  4. 파일 업로드
(정답률: 87%)
  • 리버스 텔넷은 일반적인 접속 방향(클라이언트 $\rightarrow$ 서버)과 반대로, 서버가 공격자의 PC로 연결하게 함으로써 외부에서 내부로 들어오는 방화벽의 인바운드 보안 정책을 우회하는 공격 기법입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. (가)~(다) 안에 들어갈 용어를 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 53%)
  • 함수 호출 시 스택 프레임의 생성 과정을 묻는 문제입니다. 함수 P가 Q를 호출하면 복귀를 위해 (가) 반환주소가 스택에 저장되고, 이후 이전 함수의 기준점을 찾기 위해 (나) P의 스택 프레임 포인터가 저장됩니다. 마지막으로 함수 Q 내에서 사용할 (다) 지역변수를 위한 공간이 할당됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. FTP에 대한 설명으로 옳지 않은 것은?

  1. 데이터 연결 시 평문으로 데이터를 전송한다.
  2. 데이터 연결은 송ㆍ수신 모두 지정된 포트 20번을 통해서만 가능하다.
  3. 사용자 계정의 패스워드는 암호화되지 않은 상태로 전달된다.
  4. FTP를 이용하여 클라이언트는 서버의 파일을 읽고 서버에 파일을 저장할 수 있을 뿐만 아니라 서버의 파일 목록을 볼 수도 있다.
(정답률: 61%)
  • FTP는 제어 연결(21번 포트)과 데이터 연결(20번 포트 등)을 분리하여 사용합니다. 데이터 연결의 경우 서버가 클라이언트로 연결하는 액티브 모드에서는 20번 포트를 사용하지만, 클라이언트가 서버로 연결하는 패시브 모드에서는 서버가 동적으로 할당한 임의의 포트를 사용하므로 반드시 20번 포트를 통해서만 가능하다는 설명은 틀렸습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. SQL 뷰에 대한 설명으로 옳지 않은 것은?

  1. 사용자가 뷰를 통해서만 데이터에 접근하게 함으로써 기본 테이블에 대한 보안성을 높일 수 있다.
  2. 뷰가 정의된 기본 테이블이 확장되거나 뷰가 속해 있는 데이터베이스에 테이블이 늘어난다고 하더라도 기존의 뷰를 사용하는 프로그램이나 사용자는 영향을 받지 않는다.
  3. 필요한 데이터만 뷰로 정의해서 처리할 수 있기 때문에 사용자 권한 관리가 용이하다.
  4. 대부분의 경우 삽입, 삭제, 갱신 연산에 많은 제한이 따르며 질의문이 복잡해지는 단점이 있다.
(정답률: 60%)
  • 뷰는 가상 테이블로서 복잡한 질의문을 단순화하여 사용자에게 제공하므로 질의문이 간결해지는 장점이 있습니다. 다만, 기본 테이블의 구조에 따라 삽입, 삭제, 갱신 등의 데이터 변경 연산에 제한이 따르는 것은 맞습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. 리눅스에서 제공하는 특수 권한에 대한 설명으로 옳지 않은 것은?

  1. 숫자로 나타내면 접근 권한의 맨 앞자리에 Set-UID는 4, Set-GID는 2, Sticky-Bit는 1로 표현된다.
  2. Set-UID를 설정하면 소유자 실행 권한 자리에, Set-GID를 설정하면 그룹 실행 권한 자리에 s 혹은 S가 표시된다.
  3. Sticky-Bit는 공유를 목적으로 파일에 설정하는 특수 권한으로, 설정 시 소유자 실행 권한 자리에 t 혹은 T가 표시된다.
  4. Set-UID가 설정된 파일이 실행되는 동안에는 파일을 실행한 사용자의 권한이 아니라 파일 소유자의 권한이 적용된다.
(정답률: 70%)
  • Sticky-Bit는 공유 디렉터리에서 파일 소유자만이 자신의 파일을 삭제할 수 있도록 제한하는 권한입니다. 설정 시 소유자 실행 권한 자리가 아니라, 기타 사용자(Others)의 실행 권한 자리에 t 혹은 T가 표시됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. 다음에서 설명하는 웹 취약점 점검 방법과 해당 취약점을 바르게 연결한 것은?

  1. ①
  2. ②
  3. ③
  4. ④
(정답률: 50%)
  • 제시된 이미지의 취약점 점검 방법과 명칭을 분석하면 다음과 같습니다.
    (가) "../"를 이용해 상위 경로로 이동하여 파일 내용을 확인하는 것은 경로 추적(Path Traversal)입니다.
    (나) <script>alert</script>와 같은 스크립트를 삽입하여 실행하는 것은 XSS(Cross-Site Scripting)입니다.
    (다) 세션 정보를 획득하여 재전송하는 것은 불충분한 세션 관리 취약점입니다.
    따라서 이를 모두 바르게 연결한 것은 경로 추적, XSS, 불충분한 세션 관리 조합입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. 보안 요구 조건을 명세화하고 평가 기준을 정의하기 위한 ISO 표준인 공통 기준(CC)에서는 요구 조건을 기능적 요구 조건과 보증 요구 조건으로 나누고 있다. 기능적 요구 조건에 해당하지 않는 것은?

  1. 식별과 인증
  2. 암호 지원
  3. 보안 감사
  4. 취약점 평가
(정답률: 70%)
  • 공통 기준(CC)에서 기능적 요구 조건은 제품이 제공해야 하는 구체적인 보안 기능을 의미합니다. 취약점 평가의 경우, 제품이 보안 기능을 제대로 구현했는지 검증하고 평가하는 보증 요구 조건에 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록 다음회차 >