제로트러스트(ZT): “신뢰할 수 있는 네트워크”라는 개념 자체를 배제하며, 기업망 내외부에 언제나 공격자가 존재할 수 있고, 명확한 인증 과정을 거치기 전까지 모든 사용자, 기기 및 네트워크 트래픽을 신뢰하지 않으며, 인증 후에도 끊임없이 신뢰성을 검증함으로써 기업의 정보 자산을 보호할 수 있는 “Never Trust, Always Verify”라는 문구로 대표되는 보안 모델이다. 제로트러스트는 전통적인 사이버 보안 접근방식인 경계 기반 보안으로는 업무 환경의 변화와 진화하는 공격에 대응할 수 없어 등장하게 되었다. 최근 벌어지는 수많은 해킹 및 랜섬웨어 공격 사례는 경계기반 보안 방식의 한계점을 보여주고 있다. 여러 해킹 사례를 살펴보면, 해커들은 공격 과정에서 1차적으로 피싱과 같은 사회적 공격이나..

안녕하세요 이번에는 Runtime 조작을 수행해 보겠습니다. 런타임 조작을 통해 앱이 실행될 때 흐름 조작, 정보 유출 등이 가능. 런타임 조작을 사용하여 인스턴스 변수 수정, 로컬 로그인 검사 우회, 무차별 강제 핀 코드 사용 가능 1. 앱 실행 Runtime Manipulation 실행 START 도전! 로그인 메소드, 인증 코드 우회 등을 수행 예정 임의의 ID/PW 입력 시 에러 발생 클래스 확인 후 의심되는 메소드 확인 예정 의심되는 메소드를 찾기 위해 frida 클래스 검색을 위해 코딩 수행 이후 프리다를 이용해 클래스 확인 해당 명령어로 조회 시 모든 클래스가 검색 되기에, find 를 이용하여 Login 문자열만 검색 검색 시 LoginValidate라는 의심가는 클래스 확인 해당 클래스를..

안녕하세요. 이번에는 불필요한 권한 사용하는 방버베 대한 취약점을 알아보도록 하겠습니다. 앱에 접근 권하니 필요하다는 것을 알리기 위해 UsageDescription 키를 앱으 info.plist파일에 저장 Permission Key Bluetooth NSBluetoothAlwaysUsageDescription 블루투스 사용 Calendar and Reminders NSCalendarsUsageDescription 사용자 캘린더 사용 NSRemindersUsageDescription 사용자 미리 알림 사용 Camera and Microphone NSCameraUsageDescription 카메라 사용 NSMicrophoneUsageDescription 마이크 사용 Contacts NSContactsUsa..

개요 이번 장에서는 AD 도메인 서버를 최초 구성했을 때, 기본적으로 어떤 계정이 어떤 권한을 부여받은 채로 생성되는지 기본적으로 존재하는 권한 그룹의 종류와 해당 그룹이 가지고 있는 정책에 대해서 알아보자. AD 기본 계정 최초로 AD Domain Server를 구축하게 되면 아래와 같이 세 개의 계정(Administrator, Guest, krbtgt)이 생성된다. CMD 창을 띄우서 "net /domain user {계정}" 명령을 통해해당 계정들의 상세정보를 출력해보자 1. Administrator - 설명: 도메인 최고 수준의 권한을 가진 관리자 계정 - 용도: 도메인 관리 작업, 보안 작업, 필요한 모든 작업 - 권한: *Administrators, *Group Policy Creator, *..

안녕하세요. 탈옥탐지 우회 4번쨰 시간이며, 이번에는 저번과 비슷한 방법이기에 간단하게 작성하도록 하겠습니다. DVIA Jailbreak Detection 3 번쨰 문제 클릭 해당 문구를 기드라를 통해 분석 이전 DVIA 파일을 다시 열어 줍니다. 이후에 스트링 검색을 통해 3번 문제 선택 시 출력되는 문자열 검색 해당 문자열 더블클릭하여 위치 이동 Window > Function Graph 기능을 통해 위치 확인 해당 스트링의 분기 점 확인 해당 분기점의 .true 값으로 이동 탈옥이 되지 않았다는 구문으로 갈 수 있음 확인 후 해당 1959dc 값을 확인 후 코드에 적용 프리다 동작 여부 확인 후 코드 익스플로잇 64비트의 경우 레지스터가 X 값으로 표기되며 32비트의 경우 W로 표기됨, 이에따라 X..

개요 2023년 9월 개인정보보호법이 개정되면서 ISMS 인증기준이 개정되었고 최근 안내서가 발표되어 관련 내용을 공유하고자 한다. ISMS-P 인증기준 주요 개정사항 ■ [참고] ISMS 주요 개정사항(2023.10.31) 항목 상세내용 주요 확인사항 주요 확인사항 (개정 전 ver) 변경사항 비고 2.3.3 외부자 보안 이행 관리 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항에 따라 외부자의 보호대책 이행 여부를 주기적인 점검 또는 감사 등 관리∙감독하여야 한다. 외부자가 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사를 수행하고 있는가? 외부자가 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구..