Fasoo

여전히 위협받는 웹 애플리케이션, 해답은 없는가

지난 12월, 2020학년도 대학수학능력시험 성적 발표를 이틀 앞두고, 한국교육과정평가원 홈페이지의 허점을 이용해 수험생들이 성적을 미리 확인하는 일이 벌어졌습니다. 성적이 유출된 페이지는 이전에 수능을 치른 졸업생들을 대상으로 과거의 성적 증명서를 발급하는 페이지입니다. 수험생들은 이 페이지에 존재하는 파라미터 변조 취약점을 이용하여 아직 제공되지 않은 2020학년도 수능 성적을 미리 조회했습니다. 이번 일은 특히 많은 국민의 이목이 집중되어 있었던 대학수학능력시험 성적 발표와 관련된 사태였기 때문에, 이번 사고의 원인이 된 보안 취약점과 이를 이용한 공격으로부터 예방하는 방법에 대해 관심이 쏠리고 있습니다. 파라미터 변조 취약점이란? 파라미터란 클라이언트가 서버에게 작업을 요청할 때 어떤 작업이라는 것을 명확히 하기 위해 전달하는 변수 값으로, 사용자 입력 폼 등을 통해서 전달됩니다. 그러나 파라미터는 악의적인 사용자에 의해 변경될 수 있는데, 변경된 파라미터가 검증 과정 없이 처리되는 경우 이번 사태와 같이 허가되지 않은 중요 정보가 노출되는 보안 사고가 발생할 수 있습니다. 이러한 약점을 파라미터 변조 취약점이라 일컫습니다. 파라미터 변조 취약점은 기초적이고 단순한 취약점 중 하나로, 취약점으로 인한 사고 사례도 손쉽게 찾아볼 수 있습니다. 2014년 발간된 한국인터넷진흥원(KISA)의 파라미터 변조 취약점을 이용한 타인 개인정보 유출 사례 분석 및 대응방안을 보면, 이번 사태와 유사한 형태의 파라미터 변조 취약점을 이용한 회원 개인정보 유출 사례 등이 존재했음을 확인할 수 있습니다. 더욱이 파라미터 변조와 같이 외부에서 전달되는 값으로 인한 취약점의 경우, OWASP Top 10이나 전자금융감독규정 등 국내외 보안 규정과 주요 취약점 목록에서 중요하게 다루어지고 있음에도 불구하고 해당 취약점을 통한 정보 유출 사례가 또다시 발생한 것을 두고 허술한 보안 체계에 대한 아쉬움과 지적이 여러 곳에서 이어지고 있습니다. 어떻게 사전에 예방할 수 있을까? 웹 애플리케이션들이 이처럼 기초적인 취약점을 이용한 위협에 여전히 노출된 이유는 무엇일까요? 웹 애플리케이션을 개발하고 운영하는 과정에서 애플리케이션을 보호하기 위한 보안 활동들이 수행되지 않는 것은 아닙니다. 대표적인 예로, 다수의 웹 애플리케이션은 운영에 들어가기 전 웹 취약점 진단 단계를 통해 취약점을 사전에 검출하고 조치하는 과정을 거칩니다. 취약점을 진단하는 방법은 취약점 종류별로 상이합니다. 파라미터 변조 취약점의 경우, 수동으로 요청에 포함된 파라미터 값을 조작하여 허용되지 않은 권한이나 정보를 획득할 수 있는지 확인하는 방법이 사용됩니다. 이 과정에서 수많은 URL별로 포함되는 파라미터 값들을 다양한 형태로 조작하여 공격을 수행해야 하기 때문에, 제한된 시간 내에 점검을 수행하는 범위가 제한될 수 밖에 없으며 진단을 수행했음에도 불구하고 여전히 몇몇 취약점들이 잔존하여 위협에 노출되는 것입니다. 이러한 문제를 해결하기 위해 필요한 것이 자동으로 보안 취약점을 검출해주는, 일반적으로 ‘웹 스캐너’로 알려진 동적 애플리케이션 보안 테스팅(Dynamic Application Security Testing, 이하 DAST) 도구입니다. DAST 도구는 웹 취약점 분석을 위한 동적 분석 도구로서 웹 사이트에 포함된 수많은 URL들에 대해서 다양한 패턴의 공격 요청들을 자동으로 생성하며 이를 활용하여 취약점을 검출합니다. 특히 수동 진단과 비교하여 더 짧은 시간 안에 더 넓은 범위를 진단할 수 있어, 외부로부터 전달되는 모든 값들을 고려해야 하는 파라미터 변조 등의 취약점을 정확하게 진단하기 위해서는 DAST 도구의 사용이 더욱 권장됩니다. 웹 애플리케이션을 대상으로 하는 공격은 전제 해킹 공격 가운데 약 47% 이상을 차지하고 있을 정도로 비중이 가장 높습니다. 웹 애플리케이션을 개발하고 운영하고 있는 많은 곳에서는 이미 애플리케이션 보안의 중요성을 파악하고 웹 취약점 진단 등 많은 보안 활동들을 수행하고 있습니다. 그러나 사람에 의해 수행되는 보안 활동만으로는 애플리케이션의 모든 곳을 확인하기 어렵습니다. 이에 여전히 많은 애플리케이션들이 점검되지 않은 사각지대에 존재하는 취약점을 이용한 공격에 노출되어 있으며, 이러한 위협들로부터 애플리케이션을 빠짐없이 보호하기 위해서는 DAST 도구 등 자동화된 웹 취약점 분석 도구를 적극 활용하여 기존 취약점 진단 방법의 한계를 극복하고 보다 넓은 범위를 효과적으로 진단하여 보안의 사각지대를 최소화해야 할 것입니다. >>기사 보러 가기

2020.01.16

파수닷컴, 데이터3법 통과에 보안사업 기회 넓어져

파수닷컴이 개인정보보호법, 신용정보법, 정보통신망법 개정안으로 이루어진 '데이터 3법' 통과로 데이터 보안의 중요성이 높아져 관련 사업 기회가 넓어질 것으로 전망되고 있습니다. 데이터 3법이 국회 본회의를 통과하며, 개인정보를 가명정보 주체 동의 없이 과학적 연구, 공익적 통계 작성 등의 목적으로 활용이 가능해졌습니다. 이에, 데이터 보안 수요가 크게 증가할 것으로 예상됩니다. 파수닷컴은 암호화 기술을 이용해 허가된 사용자가 허가된 권한 내에서 데이터를 사용하도록 통제하는 권한 제어 기술인 DRM을 중심으로 정보보호 컨설팅, 애플리케이션 보안, 비식별화 솔루션 등 다양한 사업을 진행하고 있습니다. 파수닷컴은 최근 BC카드에 비식별화 솔루션인 AnalyticDID (애널리틱디아이디)를 공급한 바 있으며, 다양한 산업 분야에서 빅데이터를 활용하려는 움직임이 커지면서 데이터 거래 시장의 가파른 성장이 예상된다고 언급하며 안전한 데이터 활용을 위한 필수 요소인 비식별 솔루션 수요가 크게 늘어날 것이라고 말했습니다. >> 관련 기사 보기

2020.01.15

[New Customer] 중요 문서, 보안 놓치지 않을거에요

근로복지공단은 1976년 설립 이래 산재 고용보험 서비스와 산재의료 서비스, 근로자지원 서비스 등 근로자 복지기관으로서 고객 감동을 최우선의 가치로 삼고 일하는 사람의 복지와 행복을 위해 노력하고 있습니다. 근로복지공단 영업담당자, 파수닷컴 NS1사업팀 전용국 차장은 “근로복지공단은 정보보호를 위해 지속적인 암호화를 통한 원천적인 보안 대책이 되는 Fasoo DRM을 도입했다.”며 “이를 통해 정보시스템에 보관된 문서의 다운로드나 업로드 시, 안전하게 암호화하여 정교한 권한제어를 통해 내부데이터 보안 환경을 구축하여 정보 유출에 대응하고 있을 것.” 이라고 언급하였습니다. 근로복지공단이 도입한 데이터 보안 솔루션, FED-R 솔루션 특장점 정보시스템에서 관리하는 중요정보 문서 보호 시스템 내 중요정보가 포함된 문서, 정보시스템과 연동되어, 정보시스템에서 다운로드 단계부터 유출 위협을 근본적으로 해결합니다. ▷ 문서 다운로드 시점에 자동 암호화 ▷ 다양한 사용권한 제어 및 실시간 문서 사용 권한 변경 ▷ 다양한 인증 시스템에 대한 커넥터 제공 ▷ 다양한 암복호화 API 지원

2020.01.13

파수닷컴, BC카드에 비식별화 솔루션 공급

파수닷컴이 국내 금융 빅데이터 플랫폼을 운영하고 있는 BC카드에 비식별화 솔루션을 공급했습니다. 최근 데이터 3법 통과로 비식별 조치 시장 활성화가 예상되고 있는 가운데, 파수닷컴은 안전하게 데이터를 수집, 분석, 결합, 유통할 수 있도록 비식별 솔루션인 ‘애널리틱디아이디(AnalyticDID)’를 BC카드에 공급해 크게 주목 받고 있습니다. 파수닷컴의 △비식별 분야 전문성 △전문 기관 납품 이력 △해당 사업에 대한 이해도 등에서 실력을 인정받은 결과입니다. BC카드는 각 빅데이터 플랫폼 산하 센터로부터 전달 받은 비식별 데이터들을 애널리틱디아이디를 통해 적절하게 비식별 조치가 되었는지 검토합니다. 검토 승인이 완료되면 고객이 원하는 다양한 데이터 유형, 사용 목적 등에 맞게 데이터를 추출 및 결합, 검증 과정을 거친 후 데이터를 제공하게 됩니다. 애널리틱디아이디는 국내 가이드라인에 명시된 17개 비식별 기법과 프라이버시 모델(K-익명성, L-다양성, T-근접성)뿐만 아니라, 국제 표준인 ISO/IEC 20889의 다양한 기술, 유럽 개인정보보호 규정인 GDPR에서 명시하고 있는 가명화 및 익명화 조치도 완벽하게 지원하는 국내 최고의 비식별화 솔루션입니다. 스파크(Spark) 구조와 인메모리(In-Memory) 컴퓨팅 기술이 적용된 애널리틱디아이디는 빠른 속도로 다량의 데이터를 비식별 처리할 수 있습니다. 또한 비식별 처리 시 필요한 데이터 속성을 선택적으로 계산하는 알고리즘 등 4개의 특허 기술이 반영되어 있어, 고객들에게 좋은 평가를 받고 있습니다. 최근 개인정보보호법, 정보통신망법, 신용정보법 개정안으로 구성된 데이터 3법이 통과되면서, 특정 개인을 알아볼 수 없도록 비식별화한 데이터들을 개인 동의 없이 활용할 수 있게 됐습니다. 이에 비식별 솔루션 시장에서의 선두 업체인 파수닷컴은 앞으로 공격적인 마케팅 및 영업 활동을 펼친다는 계획입니다. 파수닷컴 조규곤 대표는 “지난주 데이터 3법 통과로 금융뿐만 아니라 다양한 산업분야에서 빅데이터를 활용하려는 움직임이 커지면서, 데이터 거래 시장의 가파른 성장이 예상된다”고 언급하며, “세계 데이터 시장 규모가 올해 약 242조원으로 증가될 것이라고 예측된 만큼, 안전한 데이터 활용을 위한 필수 요소인 비식별 솔루션 수요도 크게 늘어날 것”이라고 밝혔습니다.

2020.01.13

파수닷컴, 파수 2.0통해 비전 2025 달성할 것

파수닷컴이 2020년 시무식에서 ‘파수 2.0’을 금년도 키워드로 제시하고, ‘비전 2025’를 선포하며 글로벌 소프트웨어 리더 기업으로 성장하기 위한 새로운 도약을 선언했습니다. 파수닷컴은 6일 상암동 누리꿈스퀘어 파수닷컴 본사에서 2020년 시무식을 진행했습니다. 조규곤 대표는 신년사를 통해 회사를 한 층 더 업그레이드 시킨다는 의미의 ‘파수 2.0’을 금년도 키워드로 내세웠으며, 파수 2.0을 실현시키기 위해 신규 고객 발굴, 신제품 매출 증대, 해외 매출 증대를 통해 매년 30% 이상 회사를 성장시키겠다고 발표했습니다. 이를 위해서는 마케팅과 영업 프로세스의 개선, 고객의 디지털 혁신을 도와주는 제품 개발, 그리고 사용성을 강화한 디자인에 힘써야 한다고 강조했습니다. 한편, 올해 창립 20주년을 맞이하는 파수닷컴은 오늘 시무식을 통해 비전 2025와 새로운 CI를 선포했습니다. 비전 2025는 ‘세계 20대 사이버 보안 기업(Top 20 Cybersecurity Company)’으로, 미션은 ‘IT를 쉽고 간단하게(Make IT Easy and Simple)’로 설정하며 글로벌 기업으로 성장하겠다는 굳은 의지를 담았습니다. 이와 함께, 파수 전 직원이 가치 창조자(Value Maker), 도전자(Challenger), 공동 창의자(Collective Creator)가 되어 더욱 도전적인 업무를 할 수 있도록 조직 문화도 재정립 했습니다. 파수닷컴 조규곤 대표는 “창립 20주년을 맞이하여 선정한 금년도 키워드 ‘파수 2.0’은 비전 2025를 달성하기 위한 핵심 전략”이라고 언급하며, “새로 정립한 회사의 비전을 반드시 실현시킬 수 있도록 임직원들과 최선을 다할 것"이라고 포부를 밝혔습니다.

2020.01.06

합병 공고

합 병 공 고 ■ 2019년 11월 28일에 개최된 합병승인 주주총회를 갈음한 이사회에서 주식회사 파수닷컴 (이하”갑”)과 주식회사 디지털페이지(이하”을”)은 각각 두 회사간의 합병을 승인받아 “갑”은 “을”을 흡수합병하여 그 권리와 의무를 승계받고 “을”은 해산하기로 하였습니다. ■ 위 결의에 의하여 양 회사는 관련 법규에 따라 합병에 필요한 소정의 절차를 마쳤기에 상법 제526조 제 3항에 의거 합병 보고 주주총회에 갈음하여 이사회결의와 공고로써 합병 보고 주주총회를 대체하기로 하였으므로 이에 합병완료사실을 다음과 같이 각 주주들께 공고로써 보고합니다. - 다 음 - 1. 합병내용 가. 합병 당사회사 합병회사 주식회사 파수닷컴 피합병회사 주식회사 디지털페이지 나. 합병의 방법 당사가 주식회사 디지털페이지를 흡수합병하여 존속하고 주식회사 디지털페이지는 해산 함. 합병회사인 파수닷컴은 피합병회사인 디지털페이지의 발행주식 전부를 소유하고 있으므로 신주를 발행하지 않고 합병교부금도 지급하지 않으며, 상법 제527조의3에 의한 소규모합병으로 진행하고 피합병회사인 주식회사 디지털페이지는 총주주의 동의를 얻어 상법 제527조의2에 의한 간이합병으로 절차를 진행함 다. 합병비율 주식회사 파수닷컴 : 주식회사 디지털페이지 = 1:0 라. 합병진행 경과 1) 주식회사 파수닷컴 진행경과 합병결의 이사회 : 2019년 10월 10일 합병계약 체결 : 2019년 10월 10일 소규모합병 공고 : 2019년 10월 24일 반대주주통지접수 : 2019년 10월 25일 합병승인이사회 : 2019년 11월 28일 채권자이의제출공고 : 2019년 11월 29일 합병기일 : 2020년 1월 1일 합병종료보고공고일 : 2020년 1월 2일 합병등기예정일 : 2020년 1월 6일 2) 주식회사 디지털페이지 진행 경과 합병결의 이사회 : 2019년 10월 10일 합병계약체결 : 2019년 10월 10일 간이합병공고 : 총주주 동의로 생략 (상법 제527조의2 2항) 합병승인이사회 : 2019년 11월 28일 채권자이의제출공고 : 2019년 11월 29일 합병기일 : 2020년 1월 1일 2020년 1월 2일 주식회사 파수닷컴 서울특별시 마포구 월드컵북로 396 (상암동, 누리꿈스퀘어) 17층 대표이사 조규곤

2020.01.02

장일수 스패로우 대표, “시큐어코딩 국내 1위, 해외에서도 이어갈 것”

스패로우 장일수 대표가 IT비즈뉴스 최태우 기자와 인터뷰를 진행했습니다. 스패로우는 시큐어코딩 부문(SAST)의 경우 국내 점유율 1위를 지키고 있습니다. 올해도 사업 부문에서 다수 성장을 했으며, 제품군을 넓혀 다양한 부문에서의 매출 확대를 추진하고 있습니다. 산업계 전반에서 보안이슈가 느는 만큼 이를 도입하고자 하는 기업들이 늘어나는 등 금융권, 통신기업과 다양한 프로젝트를 추진하고 있습니다. 해외 시장에서도 지난해 시큐어코딩 솔루션 하나만으로 기술력을 인정받았으며, 매출성장을 견인할 수 있도록 제품 라인업을 늘리고 클라우드 기반의 통합 툴을 론칭했습니다. 현재 테스팅솔루션, 시스템통합 전문기업으로 약 800여명이 근무하고 있는 일본 현지 기업인 배리서브와 협업 중이며, 제조강국인 지역 특성상 자동차, 제조기업과 금융권을 대상으로 시장 드라이브를 하고 있습니다. 스패로우는 업무 프로세스에서의 시큐어코딩 솔루션을 제공하고, 인공지능을 활용해 보안 취약점에 대한 검출력을 높이면서 자동화를 지원하고, 중복되지 않고 최적화된 보안 기술을 적재적소에서 제공하는 것이 목표입니다. 국내에서도 관련 시장이 성장하고 있는 만큼 이에 발을 맞추고 클라우드가 활성화돼 있는 해외시장에서 요구하는 이슈에 적절히 대응해 나가고자 합니다. >>기사 자세히 보기

2019.12.30

파수닷컴, 외부해킹 대비 기업 중요 데이터,식별

IT 리서치 전문기관에 의하면 데이터는 매년 80% 이상 증가하고 있으며, 데이터의 약 80%는 비정형 데이터 (Unstructured Data), 이중 52%는 다크 데이터(Dark Data), 33%는 중복되고, 오래되고, 중요하지 않은 (ROT; Redundant, Outdate, Trivial) 불필요한 데이터입니다. 이와 함께, 클라우드, IoT 등의 신기술 적용으로 데이터가 이동하고 활용되는 경로도 다양해지면서, 사이버 공격 시도 또한 더욱 고도화 되고 있습니다. 이에 기업 및 기관들은 정보 유출방지를 위한 다양한 보안 소프트웨어를 도입하여 운영하고 있으나, 회사의 지적 자산, 대량의 고객정보 등과 같은 민감한 데이터들은 여전히 위치를 파악할 수 없는 곳에 저장되기도 하고, 보안에 취약한 상태로 저장되기도 합니다. 아직까지도 많은 기업 및 기관들은 중요 데이터의 보유 현황을 파악하고 관리하는데 불편함을 겪고 있으며, 내부 유출 사고 및 외부 해커의 공격으로부터 중요 데이터를 보호하기 어려운 문제점들에 직면하고 있습니다. 성공적인 데이터 관리와 보안을 위해서는 먼저 다크 데이터를 찾아서 식별 및 분류해야 합니다. 파수 데이터 레이더(Fasoo Data Radar)는 데이터 중심 보안 전략을 효율적으로 수행할 수 있도록 설계된 솔루션으로, 기업 내 데이터 중에 중요 정보를 식별하고 자동으로 분류하는 방식으로 보안 정책 수립 및 적용을 지원합니다. 기업이 보유한 모든 비정형 데이터를 실시간으로 파악하고, 데이터의 콘텐츠와 컨텍스트 기반의 자동 분류, 사용자 주도 분류 등 다양한 방법으로 데이터를 분류합니다. 이를 기반으로 여러 IT 기기 및 저장소에 분포된 데이터의 현황을 쉽게 파악할 수 있으며, 해당 데이터의 보호 및 추적이 가능합니다. 데이터 분류 정보가 문서 내에 일괄 저장돼 중요 데이터에 대한 보안 정책을 자동적으로 적용하며, 데이터의 내용이나 속성이 변경될 시에는 이를 즉각 분류 정보에 반영함으로써 보안 정책을 수정하여 데이터 유출 위험을 최소화합니다. 특히, 문서 내용 식별을 통해 개인정보, GDPR 등의 관리 항목 포함 여부를 식별하고 문서의 중요도를 분류해 잠재적인 위험에 대비한 보안 정책을 수립할 수 있어, 다양한 컴플라이언스에 완벽하게 대응할 수 있습니다. >> 관련 기사 보기

2019.12.26

파수닷컴, 정부의 정보시스템 확대에 보안사업기회 넓어져

파수닷컴이 정부의 행정서비스 관련 정보시스템 적용 확대정책에 보안사업 기회가 넓어질 것으로 전망되고 있습니다. 기업신용평가업계 관계자의 말에 따르면 정부가 인공지능, 빅데이터 등을 행정서비스에 활용한 정보시스템 구축에 속도를 내며 정보보안의 중요성이 커지면서, 관련 업계가 수혜를 볼 것으로 예상됩니다. 파수닷컴은 앞서선 정보보안 기술력을 바탕으로 공공기관 정보시스템 보안사업에 참여하고 있어 정부정책에 따라 실적 확대가 기대되는 기업으로 꼽히고 있습니다. 파수닷컴은 정보의 불법유출을 방지하는 DRM 기술을 바탕으로 정보보호컨설팅 등 정보보안 대부분의 분야에 진출해 있으며, 이와 관련된 정보보안 유지관리사업도 함께 진행하고 있습니다. >> 관련 기사 보러 가기

2019.12.16

[New Customer] 지키고 싶은 문서, Wrapsody로 감싸자

한국인터넷진흥원은 시대 변화를 앞서 내다보며 미래 인터넷 이슈를 선점하고 선순환 인터넷 산업 생태계 조성과 안전한 정보보호 기반을 확립하여 우리나라 인터넷의 제2 도약에 견인차 역할을 하는 인터넷ㆍ정보보호 진흥기관입니다. 한국인터넷진흥원 영업담당자, 파수닷컴 EDP사업팀 김광민 과장은 “한국인터넷진흥원은 “평소 분량이 많은 회의 자료를 효율적으로 관리하기 위한 방안으로 파수닷컴의 문서관리 솔루션인 Wrapsody를 도입했다."며, “Wrapsody를 통해 이미 배포된 파일에 필요한 내용을 직전까지 열람 및 수정이 가능하고 신속한 문서 관리로 기업의 생산성을 확보할 수 있을 것."이라고 언급했습니다. 한국인터넷진흥원이 도입한 문서관리 솔루션, Wrapsody 솔루션 특장점 혁신적인 디지털 문서에 대한 관리와 보안 기능으로 기업의 생산성과 보안을 책임질 수 있습니다. ▷ 문서 동기화 및 버전 관리로 언제 어디서든 최신버전 확보 ▷ 문서의 자동 백업으로 랜섬웨어 피해시 즉시 복구 ▷ 문서 사용로그 실시간 수집 및 시각화 ▷ API를 통해 각종 서버 시스템과 유연하게 연동 ▷ 안전하고 스마트한 모바일 업무환경 지원

2019.12.13