정보시스템 구축관리 · 오답노트

2025년 1회

데이터의 송수신· 사실을 증명할 수 있도록 송수신· 증거를 제공해야 한다는 보안 요소는?

1기밀성

2무결성

3가용성

4부인 방지

정답 4번 · 부인 방지

핵심 해설

정보보안의 기본 3요소는 기밀성(Confidentiality)·무결성(Integrity)·가용성(Availability)이며, 여기에 인증(Authentication)과 부인 방지(Non-repudiation)를 더해 확장 요소로 다룬다. 이 중 송신자가 '보낸 적 없다', 수신자가 '받은 적 없다'고 발뺌하지 못하도록 증거를 남기는 것이 부인 방지이다. 전자서명은 송신자의 개인키로 서명해 본인만 만들 수 있는 값을 남기므로 부인 방지를 구현하는 대표 수단이다. 문제의 '송수신 사실을 증명할 증거를 제공한다'가 곧 부인 방지의 정의이다.

보기별 해설

1. 기밀성은 인가받지 않은 사용자가 정보의 내용을 알 수 없도록 보장하는 요소이다. 암호화·접근통제로 구현하며, 송수신 사실의 증명과는 관계가 없다.

2. 무결성은 인가받지 않은 방식으로 정보가 변경·삭제되지 않았음을 보장하는 요소이다. 해시값이나 MAC으로 위·변조를 검증하지만, 누가 보냈는지를 부인하지 못하게 하는 기능은 아니다.

3. 가용성은 인가된 사용자가 필요할 때 자원과 서비스를 지체 없이 사용할 수 있게 보장하는 요소이다. 이중화·백업으로 확보하며 DoS 공격이 침해하는 대상이다.

4. 부인 방지(Non-repudiation)는 송신자나 수신자가 데이터를 주고받은 사실 자체를 나중에 부인하지 못하도록 증거를 남기는 요소이다. 전자서명과 타임스탬프, 감사 로그가 대표적 구현 수단이다.

정리

보안 3요소 — 기밀성(노출 차단)·무결성(변조 차단)·가용성(서비스 보장). 확장 요소 — 인증(신원 확인)·부인 방지(전자서명으로 송수신 증거 확보).

#정보시스템구축관리#보안

악성코드의 유형 중 다른 컴퓨터의 취약점을 이용하여 스스로 전파하 거나 메일로 전파되며 스스로를 증식하는 것은?

1Worm

2Rogue Ware

3Adware

4Reflection Attack

정답 1번 · Worm

핵심 해설

악성코드는 자기 복제와 전파 방식으로 분류한다. 바이러스는 숙주 파일에 기생해 사용자가 파일을 실행해야 감염되지만, 웜(Worm)은 숙주 없이 독립 실행되며 네트워크 취약점이나 메일을 통해 스스로 복제·전파한다. 트로이 목마는 정상 프로그램으로 위장하지만 자기 복제 능력이 없다. 문제의 '취약점을 이용해 스스로 전파하고 스스로 증식한다'가 웜의 정의이다.

보기별 해설

1. Worm(웜)은 독립 실행되는 악성코드로, 숙주 파일 없이 네트워크 취약점이나 전자우편을 통해 스스로 복제해 다른 시스템으로 확산된다. 대량 트래픽을 유발해 네트워크 마비를 일으키기도 한다.

2. Rogue Ware(로그웨어)는 가짜 백신·보안 프로그램으로 위장해 존재하지 않는 감염을 경고하고 결제를 유도하는 사기성 악성코드이다. 스스로 취약점을 뚫고 전파하는 자기 증식 기능은 없다.

3. Adware(애드웨어)는 사용자 동의 없이 광고를 표시하거나 광고를 위해 사용 행태를 수집하는 프로그램이다. 수익 목적의 광고 노출이 주 기능이며 자기 복제형 악성코드가 아니다.

4. Reflection Attack(반사 공격)은 출발지 IP를 피해자 주소로 위조해 제3의 서버가 응답을 피해자에게 쏟아붓게 만드는 네트워크 공격 기법이다. 공격 방식이지 스스로 증식하는 악성코드 유형이 아니다.

정리

악성코드 분류 — 바이러스(숙주 파일 기생, 실행 필요)·웜(독립 실행, 네트워크로 자가 증식)·트로이 목마(위장, 복제 없음).

#정보시스템구축관리

다음 중 소프트웨어 비용 산정에 대한 설명으로 옳지 않은 것은?

1소프트웨어의 규모인력, 등의 요소를 기반으로 개발에 필요한 비용을 예측하는 것이다.

2소프트웨어 비용 산정 기법에는 상향식하향식혼합식, , 기법이 있다.

3소프트웨어 비용을 높게 산정할 경우 예산 낭비와 일의 효율성 저하를 초래할 수 있다. - 6

4소프트웨어 비용 결정 요소에는 프로젝트 요소자원, 요소생, 산성 요소가 있다.

정답 2번 · 소프트웨어 비용 산정 기법에는 상향식하향식혼합식, , 기법이 있다.

핵심 해설

소프트웨어 비용 산정 기법은 크게 하향식과 상향식으로 나뉜다. 하향식은 전문가 감정 기법과 델파이(Delphi) 기법처럼 전체를 먼저 보고 경험적으로 추정하는 방식이고, 상향식은 LOC(원시 코드 라인 수) 기법, 개발 단계별 인월수 기법, 수학적 산정 기법(COCOMO, Putnam, 기능점수 FP)처럼 세부 작업을 산정해 합산하는 방식이다. 즉 표준 분류 축은 '하향식·상향식' 두 가지이며 '혼합식'이라는 정식 분류는 두지 않는다. 따라서 상향식·하향식·혼합식으로 나눈다는 2번 서술이 틀렸다.

보기별 해설

1. 소프트웨어의 규모와 인력 등을 기반으로 비용을 예측한다는 서술은 비용 산정의 정의 그대로이다. 규모(LOC·FP), 투입 인력, 기간, 자원을 입력으로 개발 노력과 비용을 추정한다.

2. 비용 산정 기법을 상향식·하향식·혼합식으로 나눈다는 서술이 틀렸다. 표준 분류는 하향식(전문가 감정, 델파이)과 상향식(LOC, 개발 단계별 인월수, COCOMO·Putnam·FP 등 수학적 산정)의 두 가지이며 '혼합식'은 정식 분류 항목이 아니다.

3. 비용을 높게 산정하면 예산 낭비와 일의 효율성 저하를 부른다는 서술은 옳다. 반대로 낮게 산정하면 품질 저하와 일정 지연을 초래하므로 과대·과소 산정 모두 경계 대상이다.

4. 비용 결정 요소를 프로젝트 요소·자원 요소·생산성 요소로 든 서술은 옳다. 프로젝트 요소는 제품 복잡도·시스템 크기·요구 신뢰도, 자원 요소는 인적·하드웨어·소프트웨어 자원, 생산성 요소는 개발자 능력과 경험·개발 기간을 가리킨다.

정리

비용 산정 — 하향식: 전문가 감정·델파이 / 상향식: LOC·개발 단계별 인월수·수학적 산정(COCOMO, Putnam, FP). '혼합식'은 정식 분류가 아니다.

#정보시스템구축관리

프로젝트에 내재된 위험 요소를 인식하고 그 영향을 분석하여 이를 관리하는 활동으로서프로젝트를, 성공시키기 위하여 위험 요소를 사전에 예측대비하는, 모든 기술과 활동을 포함하는 것은?

1Critical Path Method

2Risk Analysis

3Work Breakdown Structure

4Waterfall Model

정답 2번 · Risk Analysis

핵심 해설

위험 분석(Risk Analysis)은 프로젝트에 내재된 위험 요소를 식별(Identification)하고, 발생 확률과 영향도를 산정해 우선순위를 매기며, 회피·전가·완화·수용 등의 대응책을 수립하는 활동이다. 소프트웨어 생명주기 모형 중 나선형(Spiral) 모형이 매 주기마다 위험 분석을 필수 태스크로 두는 이유도 여기에 있다. 문제의 '위험 요소를 인식하고 영향을 분석해 사전에 예측·대비하는 모든 기술과 활동'이 곧 위험 분석의 정의이다.

보기별 해설

1. Critical Path Method(CPM, 임계 경로법)는 작업 간 선후 관계를 노드와 간선의 네트워크로 그려 총 소요 기간을 결정하는 가장 긴 경로(임계 경로)를 찾는 일정 관리 기법이다. 일정 산정 도구이지 위험 관리 활동이 아니다.

2. Risk Analysis(위험 분석)는 프로젝트 위험 요소를 식별하고 발생 확률과 영향도를 평가해 사전에 대비책을 마련하는 활동이다. 나선형 모형의 핵심 태스크이며 프로젝트 성공 가능성을 높이는 예방적 관리 기법이다.

3. Work Breakdown Structure(WBS, 업무 분류 체계)는 프로젝트 범위를 관리 가능한 최소 작업 단위(Work Package)까지 계층적으로 분해한 구조도이다. 범위·일정·원가 산정의 기준이 되지만 위험을 예측·대비하는 활동은 아니다.

4. Waterfall Model(폭포수 모형)은 계획→요구 분석→설계→구현→테스트→유지보수를 순차적으로 진행하는 선형 생명주기 모형이다. 개발 절차를 규정하는 모형일 뿐 위험 관리 기법이 아니다.

정리

위험 분석 = 위험 식별→분석(확률×영향)→대응(회피/전가/완화/수용). 대비 — CPM은 임계 경로 일정 산정, WBS는 작업 분해 체계.

#정보시스템구축관리

국내 IT 서비스 경쟁력 강화를 목표로 개발되었으며 인프라 제어 및 관리 환경실행, 환경개발, 환경서비스, 환경운영, 환경으로 구성되어 있는 개방형 클라우드 컴퓨팅 플랫폼은?

1N2OS

2PaaS-TA

3KAWS

4Metaverse

정답 2번 · PaaS-TA

핵심 해설

PaaS-TA는 국내 IT 서비스 경쟁력 강화를 목표로 과학기술정보통신부와 정보통신산업진흥원(NIPA)이 주관해 개발한 개방형 클라우드 컴퓨팅 플랫폼(PaaS)이다. 이름은 '플랫폼에 올라타(TA)'라는 뜻으로, 인프라 제어 및 관리 환경, 실행 환경, 개발 환경, 서비스 환경, 운영 환경의 다섯 환경으로 구성된다. 국산 오픈소스 PaaS라는 점과 5개 환경 구성이 문제 지문과 그대로 일치한다.

보기별 해설

1. N2OS(Network Operating System)는 ETRI가 개발한 네트워크 장비용 개방형 운영체제로, 스위치·라우터 등 네트워크 장비를 제어하는 소프트웨어이다. 클라우드 PaaS 플랫폼이 아니다.

2. PaaS-TA는 국내에서 개발한 개방형 클라우드 PaaS 플랫폼으로, 인프라 제어·관리 환경, 실행 환경, 개발 환경, 서비스 환경, 운영 환경으로 구성된다. 국내 IT 서비스 경쟁력 강화를 목표로 정부 주도 오픈소스로 공개되었다.

3. KAWS는 클라우드 분야의 표준 용어가 아니다. AWS(Amazon Web Services)를 연상시키도록 만든 혼동용 보기일 뿐 실체가 있는 국내 플랫폼 명칭이 아니다.

4. Metaverse(메타버스)는 가공(Meta)과 현실 세계(Universe)의 합성어로, 아바타를 통해 사회·경제 활동이 이루어지는 3차원 가상 세계를 가리킨다. 개념 용어이지 클라우드 컴퓨팅 플랫폼 제품이 아니다.

정리

PaaS-TA = 국내 개발 개방형 클라우드 PaaS. 5개 환경 — 인프라 제어·관리 / 실행 / 개발 / 서비스 / 운영.

#정보시스템구축관리

다음 암호 알고리즘 중 성격이 다른 하나는?

1MD4

2MD5

3SHA-1

4AES

정답 4번 · AES

핵심 해설

암호 알고리즘은 복호화 가능 여부로 양방향(암호화)과 단방향(해시)으로 나뉜다. MD4·MD5·SHA-1은 임의 길이 입력을 고정 길이 값으로 축약하는 단방향 해시 함수로, 무결성 검증과 전자서명에 쓰이며 원문 복원이 불가능하다. 반면 AES는 128비트 블록 단위로 처리하는 대칭키 블록 암호로, 같은 키로 암호화·복호화하는 양방향 알고리즘이다. 따라서 분류 축이 다른 하나는 AES이다.

보기별 해설

1. MD4는 Rivest가 설계한 단방향 해시 함수로 128비트 해시값을 출력한다. 충돌 공격에 취약해 현재는 사용하지 않지만 분류상 해시 알고리즘이다.

2. MD5는 MD4를 보완한 단방향 해시 함수로 역시 128비트 해시값을 출력한다. 충돌 저항성이 깨져 안전하지 않으나 범주는 해시 함수이다.

3. SHA-1은 NIST가 표준화한 단방향 해시 함수로 160비트 해시값을 출력한다. 현재는 SHA-2(SHA-256 등)로 대체되었지만 역시 해시 알고리즘이다.

4. AES(Advanced Encryption Standard)는 DES를 대체한 대칭키 블록 암호로, 블록 크기 128비트에 키 길이 128/192/256비트를 지원한다. 복호화가 가능한 양방향 암호이므로 단방향 해시인 나머지 셋과 성격이 다르다.

정리

단방향 해시 — MD4/MD5(128비트), SHA-1(160비트), SHA-256, HAVAL. 양방향 대칭키 블록 암호 — AES(블록 128비트, 키 128/192/256), DES, SEED, ARIA, IDEA.

#정보시스템구축관리#암호화

최대 홉수를 15로 제한한 라우팅 프로토콜은?

1RIP

2OSPF

3Static

4EIGRP

정답 1번 · RIP

핵심 해설

라우팅 프로토콜은 경로 결정 방식에 따라 거리 벡터(Distance Vector)와 링크 상태(Link State)로 나뉜다. RIP(Routing Information Protocol)은 대표적인 거리 벡터 프로토콜로 홉 수(Hop Count)를 경로 비용으로 쓰며, 최대 홉 수를 15로 제한하고 16 이상은 도달 불가(Infinity)로 간주해 루프를 막는다. 이 때문에 소규모 네트워크에만 적용할 수 있다. 홉 수 15 제한이라는 조건이 곧 RIP의 특징이다.

보기별 해설

1. RIP(Routing Information Protocol)은 홉 수를 metric으로 사용하는 거리 벡터 기반 내부 라우팅 프로토콜(IGP)이다. 최대 홉 수를 15로 제한해 16은 도달 불가로 처리하며, 30초 주기로 라우팅 테이블을 브로드캐스트한다.

2. OSPF(Open Shortest Path First)는 링크 상태 기반 IGP로, 다익스트라 알고리즘으로 최단 경로를 계산하고 대역폭을 비용으로 사용한다. 홉 수 제한이 없어 대규모 네트워크에 적합하며 AREA 단위로 분할 관리한다.

3. Static(정적 라우팅)은 관리자가 경로를 수동으로 직접 설정하는 방식이다. 프로토콜이 자동으로 경로를 교환하지 않으므로 홉 수 제한이라는 개념 자체가 적용되지 않는다.

4. EIGRP(Enhanced Interior Gateway Routing Protocol)는 시스코가 개발한 하이브리드형 프로토콜로, 거리 벡터에 링크 상태의 장점을 결합한 DUAL 알고리즘을 사용한다. 대역폭·지연 등 복합 metric을 쓰며 RIP 같은 15홉 제한이 없다.

정리

RIP = 거리 벡터, metric은 홉 수, 최대 15홉(16=무한대), 소규모용. OSPF = 링크 상태, 다익스트라, 대역폭 metric, 대규모용.

#정보시스템구축관리#네트워크#라우팅

COCOMO 모델의 프로젝트 유형으로 거리가 먼 것은?

1Organic

2Semi-detached

3Embedded

4Sequential

정답 4번 · Sequential

핵심 해설

COCOMO(COnstructive COst MOdel)는 Boehm이 제안한 LOC 기반 비용 추정 모형으로, 소프트웨어 규모와 성격에 따라 프로젝트 유형을 Organic(조직형), Semi-detached(반분리형), Embedded(내장형) 세 가지로 나눈다. 노력 산정식은 Organic이 PM = 2.4×(KDSI)^1.05로 5만 라인 이하 일괄 자료 처리·업무용, Semi-detached가 PM = 3.0×(KDSI)^1.12로 30만 라인 이하 컴파일러·트랜잭션 처리, Embedded가 PM = 3.6×(KDSI)^1.20으로 30만 라인 이상 실시간 처리·미사일 유도 시스템에 해당한다. Sequential은 이 세 유형에 없는 명칭이다.

보기별 해설

1. Organic(조직형)은 5만 라인(50 KDSI) 이하의 일괄 자료 처리·업무용 소프트웨어를 개발하는 유형으로, 노력 산정식은 PM = 2.4×(KDSI)^1.05이다.

2. Semi-detached(반분리형)는 30만 라인(300 KDSI) 이하의 컴파일러·인터프리터·트랜잭션 처리 시스템 유형으로, 노력 산정식은 PM = 3.0×(KDSI)^1.12이다.

3. Embedded(내장형)는 30만 라인 이상의 실시간 처리·미사일 유도·신호기 제어처럼 하드웨어에 내장되는 초대형 시스템 유형으로, 노력 산정식은 PM = 3.6×(KDSI)^1.20이다.

4. Sequential(순차형)은 COCOMO의 프로젝트 유형에 존재하지 않는 명칭이다. 순차적 진행은 폭포수(Waterfall) 모형처럼 생명주기 모형을 설명할 때 쓰는 표현이지 COCOMO의 분류 축이 아니다.

정리

COCOMO 3유형 — Organic 2.4×KDSI^1.05(5만 라인 이하), Semi-detached 3.0×KDSI^1.12(30만 라인 이하), Embedded 3.6×KDSI^1.20(30만 라인 이상).

#정보시스템구축관리#COCOMO

개인키 암호화 기법으로 옳지 않은 것은?

1DES

2ARIA

3SEED

4RSA

정답 4번 · RSA

핵심 해설

암호 알고리즘은 키의 사용 방식에 따라 대칭키(개인키·비밀키)와 비대칭키(공개키)로 나뉜다. 대칭키는 암호화 키와 복호화 키가 같아 속도가 빠르지만 키 분배가 어렵고, DES·3DES·AES·IDEA·SEED·ARIA·LEA(블록)와 RC4·LFSR(스트림)이 여기 속한다. 비대칭키는 공개키로 암호화하고 개인키로 복호화하며 RSA(소인수분해), Diffie-Hellman·ElGamal·DSA(이산대수), ECC(타원곡선 이산대수)가 대표적이다. RSA만 공개키 방식이므로 개인키 암호화 기법이 아니다.

보기별 해설

1. DES(Data Encryption Standard)는 블록 크기 64비트, 유효 키 길이 56비트의 대칭키 블록 암호로 Feistel 구조를 쓴다. 키 길이가 짧아 전수 조사에 취약해져 AES로 대체되었다.

2. ARIA는 국내 국가보안기술연구소 등이 개발한 대칭키 블록 암호로, 블록 128비트에 키 길이 128/192/256비트를 지원하며 ISPN(Involutional SPN) 구조를 사용한다.

3. SEED는 한국인터넷진흥원(KISA)이 개발한 국산 대칭키 블록 암호로, 블록 128비트에 키 길이 128비트(확장 256비트)이며 Feistel 구조를 사용한다.

4. RSA(Rivest-Shamir-Adleman)는 큰 두 소수의 곱을 인수분해하기 어렵다는 소인수분해 문제에 기반한 비대칭키(공개키) 암호이다. 공개키로 암호화하고 개인키로 복호화하므로 개인키(대칭키) 암호화 기법에 속하지 않는다.

정리

대칭키(개인키) — DES·3DES·AES·IDEA·SEED·ARIA·LEA. 비대칭키(공개키) — RSA(소인수분해), DH·ElGamal·DSA(이산대수), ECC(타원곡선 이산대수).

#정보시스템구축관리#암호화

Q10

다음 중 소프트웨어 개발 보안 생명주기 방법론이 아닌 것은?

1CLASP

2SDL

3PIMS

4Seven Touchpoints

정답 3번 · PIMS

핵심 해설

소프트웨어 개발 보안 생명주기(Secure SDLC) 방법론은 설계·구현 단계부터 보안을 내재화하려는 방법론으로, CLASP, SDL, Seven Touchpoints가 대표적이다. 반면 PIMS(Personal Information Management System, 개인정보보호 관리체계)는 조직이 개인정보를 안전하게 관리하는지 심사·인증하는 인증제도이며, 이후 ISMS와 통합되어 ISMS-P로 운영된다. 즉 PIMS는 개발 방법론이 아니라 관리체계 인증제도이므로 성격이 다르다.

보기별 해설

1. CLASP(Comprehensive, Lightweight Application Security Process)는 OWASP가 제시한 Secure SDLC 방법론으로, 개념·역할 기반·활동 평가·활동 구현·취약성의 5개 관점에서 보안 활동을 정의한다. 이미 운영 중인 시스템에 적용하기 좋다.

2. SDL(Security Development Lifecycle)은 마이크로소프트가 자사 제품 개발에 적용한 Secure SDLC 방법론으로, 교육→계획·분석→설계→구현→시험·검증→배포·대응 단계에 보안 활동을 배치한다.

3. PIMS(개인정보보호 관리체계)는 조직의 개인정보 보호 활동을 심사해 부여하는 인증제도이며 현재는 ISMS와 통합된 ISMS-P로 운영된다. 개발 생명주기에 보안을 내재화하는 방법론이 아니라 관리체계 인증 제도이다.

4. Seven Touchpoints는 Gary McGraw가 제시한 Secure SDLC 방법론으로, 소프트웨어 산출물마다 코드 리뷰·위험 분석·침투 테스트·보안 테스트·악용 사례 등 7개 보안 강화 활동을 적용한다.

정리

Secure SDLC 방법론 — CLASP(OWASP), SDL(MS), Seven Touchpoints(McGraw). PIMS는 개인정보보호 관리체계 인증제도(현 ISMS-P)로 방법론이 아니다.

#정보시스템구축관리#보안

Q11

간트 차트(Gantt Chart)에 대한 설명으로 틀린 것은?

1프로젝트를 이루는 소작업 별로 언제 시작되고 언제 끝나야 하는지를 한 눈에 볼 수 있도록 도와준다.

2자원 배치 계획에 유용하게 사용된다.

3CPM 네트워크로부터 만드는 것이 가능하다.

4수평 막대의 길이는 각 작업(Task)에 필요한 인원수를 나타낸다.

정답 4번 · 수평 막대의 길이는 각 작업(Task)에 필요한 인원수를 나타낸다.

핵심 해설

간트 차트(Gantt Chart)는 프로젝트의 각 작업을 세로축에, 시간을 가로축에 두고 수평 막대로 표현하는 일정 관리 도구이다. 막대의 시작점과 끝점은 작업의 착수일과 종료일을, 막대의 길이는 그 작업에 소요되는 기간(Duration)을 나타낸다. 시간선 차트(Time Line Chart)라고도 하며 자원 배치 계획이나 진척 상황 파악에 유용하고, CPM 네트워크로부터 도출할 수 있다. 막대 길이가 인원수를 나타낸다는 4번 서술이 틀렸다.

보기별 해설

1. 소작업별 시작·종료 시점을 한눈에 볼 수 있다는 서술은 옳다. 간트 차트는 작업을 세로축, 시간을 가로축에 두어 일정 전체를 시각적으로 파악하게 해 주는 시간선 차트이다.

2. 자원 배치 계획에 유용하다는 서술은 옳다. 같은 기간에 겹치는 작업들을 확인해 인력·장비를 어떻게 배분할지 판단할 수 있다.

3. CPM 네트워크로부터 만들 수 있다는 서술은 옳다. CPM/PERT 네트워크에서 각 작업의 시작·종료 시각을 계산한 뒤 이를 시간축 막대로 옮기면 간트 차트가 된다.

4. 수평 막대의 길이가 작업에 필요한 인원수를 나타낸다는 서술이 틀렸다. 막대 길이는 그 작업의 소요 기간(Duration)을 의미하며, 인원수는 간트 차트가 직접 표현하는 값이 아니다.

정리

간트 차트 = 시간선 차트. 가로축은 시간, 막대 길이는 작업 소요 기간(인원수 아님). CPM 네트워크에서 도출 가능하며 자원 배치·진척 관리에 활용한다.

#정보시스템구축관리

Q12

다음에서 설명하는 소프트웨어 정의 기술(SDx)는? ㆍ가상화를 적용하여 필요한 공간만큼 나눠 사용할 수 있 도록 하며 서버 가상화와 유사함 ㆍ컴퓨팅 소프트웨어로 규정하는 데이터 스토리지 체계이 며, 일정 조직 내 여러 스토리지를 하나처럼 관리하고 운용하는 컴퓨터 이용 환경 ㆍ스토리지 자원을 효율적으로 나누어 쓰는 방법으로 이해 할 수 있음

1Software Defined Storage

2Distribution Oriented Storage

3Network Architected Storage

4Systematic Network Storage 6

정답 1번 · Software Defined Storage

핵심 해설

SDx(Software Defined everything)는 하드웨어 자원을 소프트웨어로 정의·제어하는 기술의 총칭으로, SDN(네트워크), SDS(스토리지), SDDC(데이터센터) 등이 있다. 이 중 SDS(Software Defined Storage)는 물리적 스토리지 장비를 가상화해 조직 내 여러 스토리지를 하나의 풀처럼 통합 관리하고, 필요한 용량만큼 논리적으로 나눠 쓰게 하는 기술이다. 지문의 '가상화로 필요한 공간만큼 분할', '여러 스토리지를 하나처럼 관리·운용'이 SDS의 정의와 일치한다.

보기별 해설

1. Software Defined Storage(SDS)는 스토리지 하드웨어를 소프트웨어로 가상화·추상화해 여러 저장장치를 하나의 풀로 통합 관리하는 기술이다. 필요한 만큼 논리 볼륨을 할당할 수 있어 서버 가상화와 유사한 방식으로 스토리지 자원을 효율적으로 나눠 쓴다.

2. Distribution Oriented Storage는 스토리지 분야의 표준 용어가 아니다. SDS와 혼동시키기 위해 만든 보기일 뿐 실체가 정의된 기술 명칭이 아니다.

3. Network Architected Storage는 표준 용어가 아니다. 네트워크 스토리지의 정식 명칭은 NAS(Network Attached Storage)와 SAN(Storage Area Network)이며, 이 보기는 그 이름을 변형한 혼동용 표현이다.

4. Systematic Network Storage 역시 스토리지 분야의 표준 용어가 아니다. 실체가 없는 조어이므로 SDx 기술 분류에 해당하지 않는다.

정리

SDx — SDN(네트워크), SDS(스토리지: 여러 저장장치를 가상화해 하나의 풀로 통합·분할 사용), SDDC(데이터센터 전체를 소프트웨어로 정의).

#정보시스템구축관리

Q13

대칭 암호 알고리즘과 비대칭 암호 알고리즘에 대한 설명으로 틀린 것은?

1대칭 암호 알고리즘은 비교적 실행 속도가 빠르기 때문에 다양 한 암호의 핵심 함수로 사용될 수 있다.

2대칭 암호 알고리즘은 비밀키 전달을 위한 키 교환이 필요하지 않아 암호화 및 복호화의 속도가 빠르다.

3비대칭 암호 알고리즘은 자신만이 보관하는 비밀키를 이용하 여 인증전자서명, 등에 적용이 가능하다.

4대표적인 대칭키 암호 알고리즘으로는 AES, IDEA 등이 있다.

정답 2번 · 대칭 암호 알고리즘은 비밀키 전달을 위한 키 교환이 필요하지 않아 암호화 및 복호화의 속도가 빠르다.

핵심 해설

대칭 암호는 암호화 키와 복호화 키가 같은 방식으로 연산이 단순해 속도가 빠르지만, 통신 전에 비밀키를 안전하게 전달하는 키 교환·분배 문제가 반드시 발생하고 사용자 n명이면 n(n-1)/2개의 키가 필요하다. 비대칭 암호는 공개키와 개인키 쌍을 써서 키 분배 문제를 해결하고 개인키 서명으로 인증·전자서명·부인 방지를 제공하지만 속도가 느리다. 따라서 '대칭 암호는 키 교환이 필요하지 않다'는 2번 서술이 사실과 반대이다.

보기별 해설

1. 대칭 암호가 실행 속도가 빨라 다양한 암호의 핵심 함수로 쓰인다는 서술은 옳다. 실제로 SSL/TLS에서도 세션 데이터 암호화는 대칭키(AES 등)가 담당한다.

2. 대칭 암호가 키 교환이 필요하지 않다는 서술이 틀렸다. 대칭 암호는 송수신자가 동일한 비밀키를 공유해야 하므로 안전한 키 분배가 필수이며, 이 키 교환 문제를 해결하려고 Diffie-Hellman이나 공개키 암호를 함께 사용한다.

3. 비대칭 암호가 자신만 보관하는 개인키로 인증·전자서명에 적용된다는 서술은 옳다. 개인키로 서명하고 공개키로 검증하므로 본인 확인과 부인 방지가 가능하다.

4. AES와 IDEA를 대칭키 암호로 든 서술은 옳다. AES는 블록 128비트·키 128/192/256비트, IDEA는 블록 64비트·키 128비트의 대칭키 블록 암호이다.

정리

대칭키 — 같은 키, 빠름, 키 분배 문제 있음(n(n-1)/2개 필요). 비대칭키 — 공개키/개인키 쌍, 느림, 키 분배 해결·전자서명 가능.

#정보시스템구축관리#암호화

Q14

나선형(Spiral) 모형의 주요 태스크에 해당되지 않는 것은?

1버전 관리

2위험 분석

3개발

4평가

정답 1번 · 버전 관리

핵심 해설

나선형(Spiral) 모형은 Boehm이 제안한 생명주기 모형으로, 위험을 최소화하기 위해 나선을 돌듯 여러 번의 주기를 반복하며 시스템을 점진적으로 완성한다. 한 주기는 계획 및 정의(목표 설정) → 위험 분석 → 개발(공학적 개발) → 고객 평가의 네 태스크로 이루어지며, 이 과정을 요구가 충족될 때까지 반복한다. 버전 관리는 형상 관리(SCM)의 활동이므로 나선형 모형의 주요 태스크가 아니다.

보기별 해설

1. 버전 관리는 소프트웨어 형상 관리(SCM)의 활동으로, 산출물의 변경 이력을 기록하고 이전 버전을 복원할 수 있게 하는 작업이다. 나선형 모형의 4개 주기 태스크에는 포함되지 않는다.

2. 위험 분석은 나선형 모형의 두 번째 태스크로, 초기 요구사항을 기초로 위험 요소를 식별하고 해결 방안을 마련하는 단계이다. 나선형 모형을 다른 모형과 구별짓는 핵심 특징이다.

3. 개발은 나선형 모형의 세 번째 태스크로, 위험 분석 결과를 반영해 프로토타입이나 실제 기능을 구현하고 검증하는 공학적 개발 단계이다.

4. 평가는 나선형 모형의 네 번째 태스크로, 고객이 개발 결과를 확인하고 피드백을 제시해 다음 주기의 목표를 결정하는 고객 평가 단계이다.

정리

나선형 모형 4태스크 — 계획 및 정의 → 위험 분석 → 개발 → 고객 평가(반복). 버전 관리는 형상 관리(SCM)의 활동이다.

#정보시스템구축관리

Q15

소프트웨어 재공학의 주요 활동 중 기존 소프트웨어를 다른 운영체제 나 하드웨어 환경에서 사용할 수 있도록 변환하는 것은?

1역공학

2분석

3재구성

4이식

정답 4번 · 이식

핵심 해설

소프트웨어 재공학(Re-engineering)은 기존 소프트웨어를 버리지 않고 재구성해 유지보수성과 생산성을 높이는 활동으로, 주요 활동은 분석(Analysis), 재구성(Restructuring), 역공학(Reverse Engineering), 이식(Migration)의 네 가지이다. 이 중 이식은 기존 소프트웨어를 다른 운영체제나 하드웨어 등 새로운 환경에서 동작하도록 옮기는 활동이다. 문제의 '다른 운영체제나 하드웨어 환경에서 사용할 수 있도록 변환'이 곧 이식의 정의이다.

보기별 해설

1. 역공학(Reverse Engineering)은 완성된 소프트웨어의 코드를 분석해 설계서·명세서 등 상위 수준의 문서를 거꾸로 추출해 내는 활동이다. 환경을 옮기는 작업이 아니라 문서 복원 작업이다.

2. 분석(Analysis)은 기존 소프트웨어의 명세서를 확인해 동작을 이해하고, 재공학 대상과 수행 방향을 결정하는 활동이다. 재공학의 첫 단계이며 환경 변환 작업은 아니다.

3. 재구성(Restructuring)은 기능과 외부 동작은 그대로 두고 코드의 구조를 개선해 가독성과 유지보수성을 높이는 활동이다. 같은 환경 안에서 내부를 정비하는 작업이다.

4. 이식(Migration)은 기존 소프트웨어를 다른 운영체제나 하드웨어 등 새로운 환경에서 사용할 수 있도록 변환하는 활동이다. 재공학 활동 중 실행 환경 이전을 담당한다.

정리

재공학 4활동 — 분석(대상 파악) / 재구성(구조 개선, 기능 불변) / 역공학(코드→설계 문서 추출) / 이식(다른 OS·HW 환경으로 변환).

#정보시스템구축관리

Q16

강제 접근통제(MAC)의 보안 모델 중 서로 이해 충돌 관계에 있는 객체 간의 정보 접근을 통제하는 모델은?

1벨 라파듈라 모델(Bell-LaPadula Model)

2만리장성 모델(Chinese Wall Model)

3비바 무결성 모델(Biba Integrity Model)

4클락윌슨- 무결성 모델(Clark-Wilson Integrity Model)

정답 2번 · 만리장성 모델(Chinese Wall Model)

핵심 해설

강제 접근통제(MAC)의 보안 모델은 보호 목적에 따라 나뉜다. 기밀성 보호에는 벨-라파듈라(BLP) 모델, 무결성 보호에는 비바·클락-윌슨 모델, 이해 충돌 방지에는 만리장성(Chinese Wall) 모델이 쓰인다. 만리장성 모델은 브루어-내시(Brewer-Nash) 모델이라고도 하며, 컨설턴트가 경쟁 관계에 있는 두 회사의 자료를 동시에 열람하지 못하도록 이미 접근한 정보와 이해 충돌 관계인 데이터에 벽을 세운다. 문제의 '서로 이해 충돌 관계에 있는 객체 간 정보 접근 통제'가 곧 이 모델이다.

보기별 해설

1. 벨-라파듈라 모델(Bell-LaPadula)은 군사용 기밀성 보호를 위한 최초의 MAC 모델로, 자신보다 높은 등급을 읽지 못하는 No Read Up과 낮은 등급에 쓰지 못하는 No Write Down 규칙을 적용한다. 이해 충돌이 아니라 기밀 등급을 다루는 모델이다.

2. 만리장성 모델(Chinese Wall)은 브루어-내시 모델로도 불리며, 이해 충돌 관계에 있는 객체 사이에 정보 흐름 차단벽을 세워 접근을 통제한다. 컨설팅·금융처럼 경쟁사 정보를 동시에 다루면 안 되는 환경에 적용된다.

3. 비바 무결성 모델(Biba)은 무결성 보호 모델로, 낮은 등급을 읽지 못하는 No Read Down과 높은 등급에 쓰지 못하는 No Write Up 규칙을 적용한다. 벨-라파듈라의 규칙을 무결성 관점에서 뒤집은 형태이다.

4. 클락윌슨 무결성 모델(Clark-Wilson Integrity Model)은 상업용 무결성 모델로, 잘 구성된 트랜잭션과 직무 분리(Separation of Duty)를 통해 데이터의 정확성과 일관성을 보장한다. 금융·회계 시스템에 적합하며 이해 충돌 차단이 목적은 아니다.

정리

MAC 보안 모델 — 벨-라파듈라(기밀성, NRU/NWD), 비바(무결성, NRD/NWU), 클락-윌슨(무결성, 직무 분리), 만리장성=브루어-내시(이해 충돌 차단).

#정보시스템구축관리#보안

Q17

소프트웨어 개발 방법론의 테일러링(Tailoring)과 관련한 설명으로 틀린 것은?

1프로젝트 수행 시 예상되는 변화를 배제하고 신속히 진행하여 야 한다.

2프로젝트에 최적화된 개발 방법론을 적용하기 위해 절차산출, 물 등을 적절히 변경하는 활동이다.

3관리 측면에서의 목적 중 하나는 최단 기간에 안정적인 프로젝 트 진행을 위한 사전 위험을 식별하고 제거하는 것이다.

4기술적 측면에서의 목적 중 하나는 프로젝트에 최적화된 기술 요소를 도입하여 프로젝트 특성에 맞는 최적의 기법과 도구를 사용하는 것이다.

정답 1번 · 프로젝트 수행 시 예상되는 변화를 배제하고 신속히 진행하여 야 한다.

핵심 해설

테일러링(Tailoring)은 표준 개발 방법론을 프로젝트의 규모·특성·환경에 맞게 절차, 산출물, 기법 등을 추가·삭제·수정해 최적화하는 활동이다. 관리 측면의 목적은 최단 기간에 안정적으로 프로젝트를 진행하도록 사전 위험을 식별·제거하는 것이고, 기술 측면의 목적은 프로젝트에 최적화된 기법과 도구를 도입하는 것이다. 테일러링은 예상되는 변화를 미리 반영해 방법론을 조정하는 활동이므로, 변화를 배제하고 신속히 진행해야 한다는 1번 서술이 취지에 어긋난다.

보기별 해설

1. 예상되는 변화를 배제하고 신속히 진행해야 한다는 서술이 틀렸다. 테일러링은 오히려 프로젝트에 예상되는 변화와 위험을 미리 고려해 절차와 산출물을 조정하는 활동이므로 변화를 배제하는 것이 아니라 수용·반영한다.

2. 프로젝트에 최적화된 방법론 적용을 위해 절차와 산출물을 적절히 변경하는 활동이라는 서술은 테일러링의 정의 그대로이다. 표준 방법론을 그대로 쓰지 않고 규모·특성에 맞게 재단한다.

3. 최단 기간에 안정적 진행을 위해 사전 위험을 식별·제거한다는 서술은 테일러링의 관리적 측면 목적으로 옳다. 내부·외부 기준에 따라 위험을 미리 통제한다.

4. 최적화된 기술 요소를 도입해 프로젝트 특성에 맞는 기법과 도구를 사용한다는 서술은 테일러링의 기술적 측면 목적으로 옳다. 아키텍처 정의, 표준 지침 반영이 여기에 해당한다.

정리

테일러링 = 표준 방법론을 프로젝트 특성에 맞게 절차·산출물·기법을 재단. 목적 — 관리적(사전 위험 제거, 안정적 진행) / 기술적(최적 기법·도구 도입).

#정보시스템구축관리

Q18

Public 메소드로부터 Private 배열이 반환될 경우 발생하는 문제점으 로 가장 옳은 것은?

1메소드로의 접근이 불가능해진다.

2배열의 주소가 외부로 공개되어 외부에서 접근할 수 있게 된다.

3시스템의 내부 정보가 노출된다.

4동기화 오류가 발생한다.

정답 2번 · 배열의 주소가 외부로 공개되어 외부에서 접근할 수 있게 된다.

핵심 해설

Java 같은 언어에서 배열은 참조(reference) 타입이므로, public 메소드가 private 배열 필드를 그대로 return하면 배열 자체가 복사되지 않고 그 주소(참조)가 외부로 전달된다. 그 결과 호출자가 받은 참조로 원본 배열의 원소를 직접 수정할 수 있어 private 선언에 의한 캡슐화가 무너진다. 이는 소프트웨어 개발 보안 약점 중 '캡슐화' 유형에 해당하며, 해결책은 배열의 복사본(clone 또는 Arrays.copyOf)을 반환하거나 읽기 전용 뷰를 제공하는 것이다.

보기별 해설

1. 메소드로의 접근이 불가능해진다는 서술은 옳지 않다. 해당 메소드는 public이므로 외부에서 정상적으로 호출할 수 있으며, 문제는 접근 불가가 아니라 접근이 과도하게 허용되는 데 있다.

2. 배열의 주소가 외부로 공개되어 외부에서 접근할 수 있게 된다는 서술이 이 취약점의 핵심이다. 배열은 참조 타입이라 반환 시 값 복사가 아닌 주소 전달이 일어나므로, 호출자가 private 배열의 내용을 직접 변경할 수 있어 캡슐화가 깨진다.

3. 시스템의 내부 정보가 노출된다는 표현은 오류 메시지나 예외 정보를 통해 서버 경로·스택 트레이스 등이 새는 '정보 노출' 약점을 가리킨다. 배열 참조 반환의 직접적인 결과와는 다르다.

4. 동기화 오류는 여러 스레드가 공유 자원에 동시 접근할 때 발생하는 경쟁 조건(Race Condition) 문제이다. 멀티스레드 상황에서 부수적으로 생길 수는 있으나 private 배열 반환이 곧바로 일으키는 문제는 아니다.

정리

private 배열을 public 메소드로 반환하면 값이 아닌 주소(참조)가 노출되어 외부에서 원본을 변경할 수 있다(캡슐화 위반). 대응 — clone()이나 복사본을 반환한다.

#정보시스템구축관리

Q19

해쉬(Hash) 기법에 대한 설명으로 틀린 것은?

1임의의 길이의 입력 데이터를 받아 고정된 길이의 해쉬값으로 변환한다.

2주로 공개키 암호화 방식에서 키 생성을 위해 사용한다.

3대표적인 해쉬 알고리즘으로 HAVAL, SHA-1 등이 있다.

4해쉬 함수는 일방향 함수(One-way function)이다.

정답 2번 · 주로 공개키 암호화 방식에서 키 생성을 위해 사용한다.

핵심 해설

해시(Hash) 함수는 임의 길이의 입력을 고정 길이의 해시값(메시지 다이제스트)으로 변환하는 단방향 함수로, 해시값에서 원문을 복원할 수 없다. 용도는 메시지 무결성 검증, 전자서명, 비밀번호 저장 등이며 대표 알고리즘은 MD5, SHA 계열, HAVAL, N-NASH, SNEFRU이다. 반면 공개키 암호의 키 생성은 소인수분해나 이산대수 같은 수학적 난제에 기반해 이루어지지 해시 함수로 하지 않는다. 따라서 2번 서술이 틀렸다.

보기별 해설

1. 임의 길이 입력을 고정 길이 해시값으로 변환한다는 서술은 옳다. SHA-1은 160비트, SHA-256은 256비트처럼 입력 크기와 무관하게 출력 길이가 일정하다.

2. 주로 공개키 암호화 방식의 키 생성을 위해 사용한다는 서술이 틀렸다. 해시는 무결성 검증·전자서명·비밀번호 저장에 쓰이며, 공개키 쌍은 큰 소수의 곱(RSA)이나 이산대수·타원곡선 연산으로 생성된다.

3. HAVAL과 SHA-1을 해시 알고리즘으로 든 서술은 옳다. HAVAL은 128~256비트 가변 길이 출력을 지원하는 해시 함수이고, SHA-1은 160비트 해시값을 출력한다.

4. 해시 함수가 일방향 함수라는 서술은 옳다. 해시값으로부터 원문을 계산하기 어려운 역상 저항성을 가지므로 복호화가 불가능하며, 이것이 양방향 암호와 구별되는 특징이다.

정리

해시 = 임의 길이 → 고정 길이, 단방향(복호화 불가), 용도는 무결성·전자서명·비밀번호 저장. 대표 — MD5, SHA 계열, HAVAL, N-NASH, SNEFRU.

#정보시스템구축관리#암호화

Q20

DoS(Denial of Service) 공격과 관련한 내용으로 틀린 것은?

1Ping of Death 공격은 정상 크기보다 큰 ICMP 패킷을 작은 조각(Fragment)으로 쪼개어 공격 대상이 조각화 된 패킷을 처리하게 만드는 공격 방법이다.

2Smurf 공격은 멀티캐스트(Multicast)를 활용하여 공격 대상이 네트워크의 임의의 시스템에 패킷을 보내게 만드는 공격이다.

3SYN Flooding은 존재하지 않는 클라이언트가 서버별로 한정 된 접속 가능 공간에 접속한 것처럼 속여 다른 사용자가 서비 - 7 스를 이용하지 못하게 하는 것이다.

4Land 공격은 패킷 전송 시 출발지 IP주소와 목적지 IP주소 값을 똑같이 만들어서 공격 대상에게 보내는 공격 방법이다. 7 -

정답 2번 · Smurf 공격은 멀티캐스트(Multicast)를 활용하여 공격 대상이 네트워크의 임의의 시스템에 패킷을 보내게 만드는 공격이다.

핵심 해설

DoS(Denial of Service)는 시스템 자원을 고갈시켜 정상 서비스를 방해하는 공격으로, 보안 3요소 중 가용성을 침해한다. Smurf 공격은 출발지 IP를 피해자 주소로 위조한 ICMP Echo Request를 브로드캐스트 주소로 보내, 그 네트워크의 모든 호스트가 피해자에게 Echo Reply를 쏟아붓게 만드는 증폭 공격이다. 즉 멀티캐스트가 아니라 다이렉트 브로드캐스트를 이용하며, 피해자가 패킷을 보내는 것이 아니라 피해자가 응답 폭주를 받는 구조이다. 따라서 2번 서술이 틀렸다.

보기별 해설

1. Ping of Death는 정상보다 큰 ICMP 패킷을 보내 조각화(Fragmentation)를 일으키고, 대상이 수많은 조각을 재조립하게 만들어 부하를 주는 공격이다. 서술 내용이 옳다.

2. Smurf 공격 설명이 틀렸다. Smurf는 멀티캐스트가 아니라 브로드캐스트 주소를 이용하며, 출발지 IP를 피해자로 위조한 ICMP Echo Request를 뿌려 다수 호스트의 응답이 피해자에게 집중되게 하는 증폭 공격이다. 피해자가 패킷을 보내는 것이 아니라 받는 쪽이다.

3. SYN Flooding은 TCP 3-way handshake의 SYN만 대량으로 보내고 ACK를 보내지 않아 서버의 백로그 큐(접속 대기 공간)를 존재하지 않는 연결로 가득 채우는 공격이다. 서술 내용이 옳다.

4. Land 공격은 출발지 IP와 목적지 IP를 모두 피해자 주소로 동일하게 위조해 보내, 시스템이 자기 자신에게 무한히 응답하며 자원을 소모하게 만드는 공격이다. 서술 내용이 옳다.

정리

DoS 유형 — Ping of Death(대형 ICMP 조각화), Smurf(출발지 위조 + 브로드캐스트 ICMP 증폭), SYN Flooding(백로그 큐 고갈), Land(출발지=목적지 IP 동일), Teardrop(조각 offset 조작).

#정보시스템구축관리#네트워크