콘텐츠로 이동

정보보안 연습문제

암호화

Q1. 대칭키 암호화와 비대칭키 암호화에 대한 설명으로 옳은 것은?

  1. 대칭키는 공개키와 개인키 쌍을 사용한다
  2. 비대칭키는 대칭키보다 속도가 빠르다
  3. HTTPS는 비대칭키로 대칭키를 교환한 후 대칭키로 통신한다
  4. AES는 비대칭키 알고리즘이다

Q2. 해시 함수의 특성으로 옳지 않은 것은?

  1. 단방향성 — 해시값으로 원본 복원 불가
  2. 같은 입력은 항상 같은 출력
  3. 입력이 조금 달라도 출력이 크게 달라짐 (눈사태 효과)
  4. 해시값으로 원본 데이터를 복호화할 수 있다

Q3. 디지털 서명에서 서명 생성과 검증에 사용되는 키는?

  1. 서명: 공개키, 검증: 개인키
  2. 서명: 개인키, 검증: 공개키
  3. 서명과 검증 모두 공개키
  4. 서명과 검증 모두 개인키

Q4. 현재 표준으로 사용되는 대칭키 암호화 알고리즘은?

  1. DES
  2. MD5
  3. AES
  4. RSA

네트워크 보안

Q5. TLS Handshake 과정에서 비대칭키가 사용되는 목적은?

  1. 모든 데이터를 암호화하기 위해
  2. 대칭키를 안전하게 교환하기 위해
  3. 서버의 신원을 영구적으로 저장하기 위해
  4. 패킷의 순서를 보장하기 위해

Q6. IDS의 탐지 방식 중 시그니처 기반 탐지의 단점은?

  1. 알려진 공격도 탐지하지 못한다
  2. 오탐(False Positive)이 매우 높다
  3. 새로운(Zero-day) 공격을 탐지할 수 없다
  4. 처리 속도가 너무 느리다

취약점 및 공격

Q7. SQL Injection 방어 방법으로 가장 효과적인 것은?

  1. 입력값 길이 제한
  2. Prepared Statement (파라미터화 쿼리) 사용
  3. 특수문자 필터링만 적용
  4. 에러 메시지 숨기기

Q8. 저장형 XSS(Stored XSS)의 특징으로 옳은 것은?

  1. URL 파라미터를 통해 즉시 실행된다
  2. 클라이언트 측 JS의 DOM 조작으로 발생한다
  3. 악성 스크립트가 DB에 저장되어 여러 사용자에게 전달된다
  4. 서버에 아무런 영향을 주지 않는다

Q9. CSRF 공격과 XSS 공격의 차이로 옳은 것은?

  1. CSRF는 피해자 브라우저에서 스크립트를 실행시킨다
  2. XSS는 피해자 권한으로 서버에 위조 요청을 보낸다
  3. CSRF는 피해자가 로그인 상태일 때 위조 요청을 발생시킨다
  4. XSS와 CSRF는 동일한 공격 방식이다

Q10. SYN Flood 공격의 원리는?

  1. 서버의 디스크를 가득 채워 서비스를 중단시킨다
  2. 대량의 SYN 패킷을 보내 서버의 연결 대기 큐를 고갈시킨다
  3. 정상 사용자의 세션을 탈취하여 권한을 획득한다
  4. DNS 서버를 공격하여 도메인 변조를 유발한다

Q11. 다음 설명에 해당하는 공격은?

DNS를 변조하여 사용자가 정상적인 URL을 입력해도 가짜 사이트로 유도함

  1. 피싱(Phishing)
  2. 스미싱(Smishing)
  3. 파밍(Pharming)
  4. 스피어 피싱(Spear Phishing)

보안 관리

Q12. CIA 트라이어드에 포함되지 않는 것은?

  1. 기밀성(Confidentiality)
  2. 무결성(Integrity)
  3. 가용성(Availability)
  4. 인증성(Authenticity)

Q13. RBAC(Role-Based Access Control)에 대한 설명으로 옳은 것은?

  1. 데이터 소유자가 직접 권한을 결정한다
  2. 시스템이 보안 등급에 따라 강제로 접근을 제어한다
  3. 역할(Role)에 권한을 부여하고 사용자에게 역할을 할당한다
  4. 시간과 위치 등 다양한 속성으로 접근을 제어한다

Q14. 백업 유형 중 복구 시 가장 많은 시간이 걸리는 것은?

  1. 전체 백업(Full Backup)
  2. 증분 백업(Incremental Backup)
  3. 차등 백업(Differential Backup)
  4. 모두 동일하다

Q15. RTO(Recovery Time Objective)의 정의로 옳은 것은?

  1. 장애 발생 간격의 평균 시간
  2. 장애 발생 후 서비스 복구까지 목표 시간
  3. 데이터 백업 주기
  4. 마지막으로 복구 가능한 데이터의 시점

Q16. 다음 중 해시 함수의 용도로 옳지 않은 것은?

  1. 비밀번호 저장 (해시+Salt)
  2. 파일 무결성 검증
  3. 데이터 암호화 후 복호화
  4. 디지털 서명

Q17. 랜섬웨어(Ransomware) 공격에 대한 설명으로 옳은 것은?

  1. 피해자의 파일을 암호화하고 복호화 대가로 금전을 요구한다
  2. 피해자 몰래 파일을 외부로 유출한다
  3. 피해자의 계정 정보만을 탈취한다
  4. 서버에 대량 트래픽을 발생시켜 서비스를 마비시킨다

Q18. 다음 중 다중 인증(MFA)의 조합으로 가장 강력한 것은?

  1. 비밀번호 + PIN 번호
  2. 비밀번호 + OTP
  3. PIN + 패턴
  4. 아이디 + 비밀번호

Q19. HTTPS의 인증서에 포함되지 않는 정보는?

  1. 서버의 공개키
  2. 인증기관(CA)의 서명
  3. 서버의 개인키
  4. 인증서 유효 기간

Q20. XSS 방어 방법 중 HTTPOnly 쿠키 설정의 효과는?

  1. 쿠키가 HTTPS 연결에서만 전송된다
  2. JavaScript에서 쿠키에 접근하는 것을 차단한다
  3. 쿠키의 만료 시간을 자동으로 설정한다
  4. 쿠키 값이 암호화된다

Q21. 정보보안에서 최소 권한 원칙(Principle of Least Privilege)을 적용한 사례로 옳은 것은?

  1. 모든 직원에게 관리자 권한을 부여하여 업무 효율을 높인다
  2. DB 애플리케이션 계정에 SELECT 권한만 부여한다 (읽기 전용 앱)
  3. 보안 강화를 위해 모든 파일에 암호화를 적용한다
  4. 직원이 퇴사 후에도 계정을 일정 기간 유지한다

Q22. 증분 백업(Incremental Backup)과 차등 백업(Differential Backup)의 차이로 옳은 것은?

  1. 증분: 마지막 전체 백업 이후 변경분 / 차등: 마지막 백업 이후 변경분
  2. 증분: 마지막 백업(전체·증분 포함) 이후 변경분 / 차등: 마지막 전체 백업 이후 변경분
  3. 증분과 차등은 동일하다
  4. 증분: 전체 데이터 / 차등: 변경 데이터만

복합 문제

Q23. 웹 애플리케이션에서 로그인 기능을 구현할 때, 다음 보안 위협과 대응 방법의 연결이 옳지 않은 것은?

  1. SQL Injection → Prepared Statement 사용
  2. XSS → 출력 시 HTML 이스케이프 처리
  3. 무차별 대입(Brute Force) → 로그인 시도 횟수 제한
  4. CSRF → 비밀번호 해시 + Salt 처리

Q24. 다음 시나리오에서 침해된 CIA 요소를 바르게 연결한 것은?

공격 CIA 침해 요소
① 해커가 DB에서 고객 개인정보를 탈취 ?
② 공격자가 금융 거래 기록을 변조 ?
③ DDoS로 쇼핑몰 서비스 중단 ?
  1. ①기밀성, ②무결성, ③가용성
  2. ①무결성, ②기밀성, ③가용성
  3. ①가용성, ②무결성, ③기밀성
  4. ①기밀성, ②가용성, ③무결성

Q25. 전자서명(Digital Signature) 과정을 순서대로 나열한 것은?

  1. 문서 해시 생성 → 공개키로 암호화 → 전송 → 개인키로 복호화 → 비교
  2. 문서 해시 생성 → 개인키로 암호화(서명) → 전송 → 공개키로 복호화 → 해시 비교
  3. 공개키로 암호화 → 문서 해시 생성 → 전송 → 개인키로 복호화
  4. 개인키로 암호화 → 전송 → 공개키로 복호화 → 문서 전체 비교

Q26. ISMS-P 인증과 ISO 27001의 차이로 옳은 것은?

  1. ISMS-P는 국제 표준, ISO 27001은 국내 표준이다
  2. ISMS-P는 정보보호+개인정보보호 통합 인증(한국), ISO 27001은 국제 정보보호 표준이다
  3. 두 인증은 완전히 동일하다
  4. ISMS-P는 기업에 의무, ISO 27001은 선택 사항이다

Q27. 제로데이(Zero-day) 취약점에 대한 설명으로 옳은 것은?

  1. 패치가 이미 배포된 알려진 취약점이다
  2. 벤더가 인지하지 못했거나 패치가 없는 취약점으로 즉시 방어가 어렵다
  3. 시스템 운영 0일차에만 발생하는 취약점이다
  4. 사회공학적 공격의 한 종류이다

Q28. 다음 중 개인정보보호법상 개인정보에 해당하지 않는 것은?

  1. 이름 + 전화번호
  2. 이름 + 생년월일
  3. 완전히 비식별화된 통계 데이터
  4. 이메일 주소

Q29. 공개 Wi-Fi에서 HTTPS를 사용하지 않는 웹사이트 접속 시 발생할 수 있는 공격은?

  1. SQL Injection
  2. 중간자 공격(MITM, Man-in-the-Middle)
  3. DDoS
  4. 랜섬웨어

Q30. 비밀번호 저장 시 Salt를 추가하는 이유는?

  1. 비밀번호 길이를 늘리기 위해
  2. 동일한 비밀번호도 다른 해시값이 생성되어 레인보우 테이블 공격을 방어하기 위해
  3. 비밀번호를 복호화 가능하게 하기 위해
  4. 해시 연산 속도를 높이기 위해

정답

번호 정답 해설
Q1 3 HTTPS = 비대칭키로 대칭키 교환 → 대칭키로 실제 통신
Q2 4 해시는 단방향 — 복호화 불가
Q3 2 디지털 서명: 개인키로 서명, 공개키로 검증
Q4 3 AES가 현재 표준 대칭키 (DES는 취약, RSA는 비대칭)
Q5 2 TLS: 비대칭키로 세션키(대칭키) 교환 후 대칭키로 통신
Q6 3 시그니처 기반: 알려진 공격 패턴만 탐지 → Zero-day 탐지 불가
Q7 2 Prepared Statement가 가장 근본적인 SQL Injection 방어
Q8 3 저장형 XSS: DB에 스크립트 저장 → 불특정 다수 피해
Q9 3 CSRF: 로그인된 피해자 권한으로 위조 요청 발생
Q10 2 SYN Flood: half-open 연결로 서버 큐 고갈 → 정상 연결 불가
Q11 3 파밍: DNS 변조로 가짜 사이트 유도 / 피싱: 가짜 이메일·사이트
Q12 4 CIA = 기밀성, 무결성, 가용성 (인증성은 포함 안 됨)
Q13 3 RBAC: 역할 기반 (DAC=소유자, MAC=시스템 강제, ABAC=속성)
Q14 2 증분 백업: 복구 시 전체+모든 증분 백업 순서대로 적용 필요
Q15 2 RTO=복구 시간 목표 / RPO=복구 시점 목표
Q16 3 해시는 단방향 — 복호화 불가 / 암호화(복호화 가능)와 다름
Q17 1 랜섬웨어: 파일 암호화 후 금전 요구
Q18 2 MFA 강도: 지식+소유 조합이 강함 (비밀번호+OTP = 지식+소유)
Q19 3 인증서에는 공개키만 포함 — 개인키는 서버가 비공개로 보관
Q20 2 HTTPOnly: JS에서 쿠키 접근 차단 → XSS로 쿠키 탈취 방지
Q21 2 최소 권한: 필요한 권한만 부여 (읽기 전용 앱에 SELECT만)
Q22 2 증분: 마지막 백업 이후 변경분(복구 복잡) / 차등: 마지막 전체 이후 변경분(복구 단순)
Q23 4 CSRF 방어 = CSRF 토큰·SameSite 쿠키 / 비밀번호 해시는 탈취 대비
Q24 1 기밀성=탈취, 무결성=변조, 가용성=서비스 중단
Q25 2 디지털 서명: 개인키로 서명 → 공개키로 검증
Q26 2 ISMS-P=한국 통합 인증 / ISO 27001=국제 표준
Q27 2 Zero-day: 패치 없는 미공개 취약점 → 즉각 방어 어려움
Q28 3 완전 비식별화된 통계는 개인 식별 불가 → 개인정보 아님
Q29 2 공개 Wi-Fi + HTTP = 패킷 도청 가능 → MITM 공격 위험
Q30 2 Salt: 해시 입력에 임의값 추가 → 동일 비밀번호도 다른 해시 → 레인보우 테이블 무력화