반디앤루니스 인터넷서점
전체

로고이미지

검색

  • ▼
HOT ISSUE

네비게이션 실시간 인기 책

    데이터베이스 해킹 & 보안 완벽 가이드

    데이터베이스 해킹 & 보안 완벽 가이드 데이터베이스 보안 취약점을 겨냥한 공격과 방어

    시리즈 : 에이콘 해킹 보안시리즈 [59]

    원제 : The Database Hacker's Handbook: Defending Dat

    • 데이비드 리치필드 외 저
    • 김경곤, 장은경, 박병익 역
    • 에이콘출판
    • 2014년 10월 29일
    • 정가
      40,000원
    • 판매가
      36,000원 [10% 할인]
    • 결제 혜택
      무이자
    • 적립금
      2,000원 적립 [5%P]

      NAVER Pay 결제 시 네이버페이 포인트 5% 적립 ?

    • 배송구분
      업체배송(반디북)
    • 배송료
      무료배송
    • 출고예정일

      출고예정일 안내

      ※ 출고예정일은 도서 재고상황에 따라 변동될 수 있습니다.

      close

      2024년 04월 29일(월)

      ※ 출고예정일은 도서 재고상황에 따라 변동될 수 있습니다.

    수량
    바로 구매 쇼핑카트 담기 위시리스트
    회원리뷰
    - [0]
    ISBN: 9788960776203 608쪽 188 x 250 (㎜)

    지금 이책은

    이 분야의 베스트셀러

    이 책과 함께 구매한 책

    이 책이 속한 분야

    이 책의 시리즈

    전체 선택 쇼핑카트 담기
    시리즈 에이콘 해킹 보안시리즈 (59)
    시리즈 전체보기

    책 소개

    상품문의 / 정보수정 요청 >

    출판사 리뷰

    출판사 서평
    ★ 요약 ★
    데이터베이스는 그 중요도에 비해 일반 사용자들이 직접 접근할 일이 많지 않아 상대적으로 웹에 비해 관심이 낮은 편이었다. 하지만, 기업에서 사용되는 중요한 정보들이 모두 데이터베이스에 저장되는 만큼, 데이터베이스에 대한 체계적인 보안과 해킹에 대한 이해가 절실한 상황이다. 이 책은 8개 부와 26개 장으로 구성되었으며, 이 책의 대부분은 7가지 유명 데이터베이스 시스템(오라클, DB2, 인포믹스(Informix), 사이베이스 ASE(Sybase ASE), MySQL, SQL 서버, PostgreSQL)에 존재하는 실전...
    ★ 요약 ★
    데이터베이스는 그 중요도에 비해 일반 사용자들이 직접 접근할 일이 많지 않아 상대적으로 웹에 비해 관심이 낮은 편이었다. 하지만, 기업에서 사용되는 중요한 정보들이 모두 데이터베이스에 저장되는 만큼, 데이터베이스에 대한 체계적인 보안과 해킹에 대한 이해가 절실한 상황이다. 이 책은 8개 부와 26개 장으로 구성되었으며, 이 책의 대부분은 7가지 유명 데이터베이스 시스템(오라클, DB2, 인포믹스(Informix), 사이베이스 ASE(Sybase ASE), MySQL, SQL 서버, PostgreSQL)에 존재하는 실전 보안 취약점을 상세히 설명한다. 보안연구자나 취약점 분석가뿐만 아니라 보안 관리자 및 데이터베이스 설계자에게도 매우 유용한 정보를 제공해 줄 책이다.
    ★ 이 책에서 다루는 내용 ★
    - 오라클과 마이크로소프트 SQL 서버에서 새로운 취약점을 찾는 방법
    - IBM DB2, PostgreSQL, 사이베이스(Sybase) ASE, MySQL 서버를 위한 최상의 방어 방법
    - 버퍼 오버플로우 취약점의 발견, SQL을 통한 권한 상승, 저장 프로시저 또는 트리거 악용, 해커의 접근을 가능하게 해주는 SQL 인젝션
    - 각 데이터베이스에 대한 고유 취약점을 식별하는 방법
    - 공격자가 무엇을 이미 알고 있는지 확인하는 방법
    ★ 이 책의 대상 독자 ★
    이 책은 데이터베이스 보안의 실전 지침에 흥미가 있는 사람들을 위한 책이다. 이 책의 대상 독자층으로는 데이터베이스 관리자, 네트워크 관리자, 보안 감사관, 광범위한 보안 연구 커뮤니티 등이 해당될 것이다. 이 책은 다분히 기술적이고, 독자들이 버퍼 오버플로우, 서식 문자열 버그, SQL 인젝션, 기본 네트워크 아키텍처 같은 개념들을 잘 알고 있다는 전제하에 작성했다. 때로는 C, C++, 어셈블리어 소스코드도 대강 훑어보지만 프로그래밍 기술이 이 책의 내용을 이해하는 데 필수는 아니다. 무엇보다도, 이 책은 최대한 데이터베이스를 안전하게 보호하고자 하는 사람들을 대상으로 집필되었다.

    ★ 이 책의 구성 ★
    이 책은 26개 장과 3개 부록을 포함한 개별적인 8개 부로 나뉘었다. 데이터베이스 시스템은 각 절에서 다룬다.
    각 절에서는 데이터베이스의 기본 구조와 네트워크에서 데이터베이스를 찾는 방법, 데이터베이스 구성 요소, 그리고 구조에 대한 특성을 다룬다. 그러고 나서 데이터베이스 시스템이 어떻게 공격을 당하는지 설명하고, 다양한 보안 문제를 포함하며, 어떻게 이와 같은 문제점이 공격자에 의해 악용될 수 있는지, 그리고 어떻게 이런 문제점을 사전에 방어할 수 있는지 설명한다. 다음으로 공격자가 네트워크에 더 많은 접근 권한을 얻고 데이터베이스를 공격하는 방법을 알려준다. 마지막으로, 빠른 참조 가이드와 더불어 데이터베이스 시스템을 안전하게 보호하기 위한 가장 최상의 접근 방식을 설명한다.
    ★ 저자 서문 ★
    왜 우리는 데이터베이스 보안에 관심을 가져야 하는가?
    돈을 네트워크 어디엔가 두어야 한다면 분명 데이터베이스 안에 있어야 할 것이다. 현대의 경제가 컴퓨터에 의존하고 있다고 말할 때, 실제로는 데이터베이스 시스템에 의존한다고 볼 수 있다. 데이터베이스는 우리 삶 대부분에 영향을 미친다. 은행 계좌, 의학 정보, 연금, 고용 기록, 휴대폰 기록, 세금 기록, 자동차 등록, 슈퍼마켓 구입, 아이들의 성적 정보 등 우리 삶의 거의 모든 중요한 정보가 관계형 데이터베이스 관리 시스템에 저장돼 있다. 이 책에서는 가장 유명한 7가지 관계형 데이터베이스 시스템을 모두 다루며, 여러분의 개인 정보 역시 이 책에서 다루는 데이터베이스 중 어딘가에 저장돼 있을 것이다.
    우리(이 책의 저자들)는 데이터베이스 보안이 현존하는 가장 중요한 정보 보안 문제라고 생각한다. 우리의 가장 민감한 데이터를 보관 중이라 여겨지는 데이터베이스 시스템이 안전하지 않다면 우리 삶에 잠재적인 악영향을 미칠 것이고, 심지어 사회에 큰 재앙이 닥칠 수도 있다.
    그렇다면 왜 우리는 데이터베이스에 대한 공격 방법까지 이 책에서 다뤄야 했을까?
    간단하게 말해 이 정보를 데이터베이스 관리자, 보안 전문가, 네트워크 감사관이 알고 있었으면 하고, 그래서 어떻게 공격이 이뤄지는지에 대한 이해를 바탕으로 관리 중인 데이터베이스를 더욱 더 안전하게 만들었으면 하는 바람에서 공격에 대한 내용도 포함했다. 이 책은 이 책에 관심 있는 사람들이 알지 못하는 내용도 알려주고자 한다. 가장 유명한 데이터베이스 소프트웨어 벤더의 보안이 잘 구축돼 있으리라 믿을지 모르지만, 실제로 유명한 데이터베이스에서 보안 버그를 발견하는 것은 어렵지 않다. 대부분의 보안 문제점은 보안 연구자들이 자발적으로 발견해 벤더에 알렸으며, 아직 벤더에 알리지 않은 보안 문제점을 파악한 사람들도 여전히 있을 것이다. 네트워크와 데이터베이스를 알려지지 않은 취약점부터 막을 수 있는 가장 최선의 방법은, 버그를 단순히 패치하거나 제로데이 익스플로잇으로부터 어떤 공격을 받지 않을 것이라는 막연한 희망을 갖는 것보다는 버그에 대한 전체 구조를 파악하고, 안전한 환경을 설정하고, 알려진 버그에 대한 메커니즘을 깊이 이해하는 것이다.
    더도 덜도 말고 데이터베이스를 안전하게 유지하는 것은 네트워크 보안에 적용되어 온 시도 및 테스트 원칙을 적용해야 한다는 사실이다. 시도 및 테스트 원칙은 수십 년 동안 네트워크 보안에 사용돼 왔고, 이는 데이터베이스에 대한 접근 권한을 최소화 시키고, 인증과 접근 통제를 엄격히 하며, 암호화를 적용시키고, 개별적인 영역에 따라 기능을 분리시키며, 불필요한 기능을 제거해서 ‘공격 표면’을 줄이는 방식이다. 오직 실제 차이점은 데이터베이스에 있고, 이런 모든 메커니즘은 데이터베이스 자체의 소규모 세계 내에서 동작한다.
    제조사가 만든 보안 관련 문서를 읽으면 최근 데이터베이스 구현에 있어 과도한 보안 측정을 보증하도록 부추긴다. 거의 모든 데이터베이스 시스템은 권한, 접근 통제, 포괄적인 감사 기능, 시스템 컴포넌트에 통제된 접근 기능을 갖고 있다. 데이터베이스 제조업체는 위에서 언급한 보안 메커니즘을 적절히 수행하고 있음을 보증하는 보안 인증서를 얻으려고 노력한다. 이런 보안 인증서가 중요하기는 하지만, 보안 인증서가 있다고 해서 데이터베이스 보안이 완벽하다고 보장할 수는 없다.
    이 책에서 언급하는 모든 데이터베이스는 이런 보안 메커니즘이 침해되는 버퍼 오버플로우 취약점에 영향을 받으며, 보안 표준과 평가, 인증에 대한 우리의 믿음이 완벽히 작동하지는 않는다. 그렇기 때문에 이 책에서는 실전 내용을 다루고, 보안 위협을 막을 수 있는 내용을 설명한다.
    ★ 옮긴이의 말 ★
    우리가 온라인 쇼핑몰에서 물건을 사고자 할 때, 우리의 신원을 확인하기 위해 이름, 전화번호, 주소 등과 같은 개인정보를 온라인 쇼핑몰에 제공한다. 그리고 온라인 쇼핑몰은 물건에 대한 정보와 함께 판매자와 구매자들의 정보를 가지고 있으며, 이러한 정보를 바탕으로 온라인 물건 거래가 이뤄진다. 사용자들은 웹 브라우저를 통해 특정 웹 사이트 화면을 보게 되지만, 웹 사이트 내부에는 수많은 정보와 데이터를 저장하고 관리하는 데이터베이스가 있다.
    데이터베이스는 말 그대로 수많은 데이터를 관리하는 시스템이다. 기업의 규모나 특징에 따라 다양한 종류의 데이터베이스를 사용한다. 데이터베이스는 일차적으로 외부 사용자에게 노출되지 않지만, 웹 애플리케이션을 통해 데이터베이스를 유추하거나, 또는 내부자에 의해 데이터베이스에 쉽게 접근을 허용하게끔 하는 경우가 있다. 데이터베이스는 종류가 다양한

    저자 소개

    데이비드 리치필드 외

    데이비드 리치필드(David Litchfield)는 데이터베이스 시스템과 웹 애플리케이션의 새로운 취약점을 전문적으로 찾는 연구자로서 중대한 보안 취약점 발견 건수에 대한 비공식 세계 신기록을 보유하고 있다. 데이터베?이스 보안에 대해 영국과 미국 정부기관 담당자를 대상으로 강의를 했고, 정기적으로 블랙햇 보안 컨퍼런스에서 발표를 한다. 『The Shellcoder’s Handbook』과 『SQL Server Security』, 『Special Ops』의 저자이며, 네스트 제너레이션 시큐리티 소프트웨어Next Generation Security Software의 매니징 디렉터로도 활동 중이다.

    역자 소개

    김경곤, 장은경, 박병익

    김경곤
    현재 세계적인 글로벌 컨설팅 펌인 딜로이트(Deloitte)에서 사이버 시큐리티(Cyber Security) 담당 시니어 매니저(Senior Manager)로 일하고 있으며, 주 업무는 사이버 시큐리티, 리스크 관리(Risk Management), 포렌식(Forensics)이다. 130여 개에 달하는 클라이언트를 대상으로 모의해킹과 보안 컨설팅을 진행했으며, 대기업과 금융업체, 학교 등에서 정보보안 관련 강의를 했다. 숭실대학교 컴퓨터학부를 졸업하고 고려대학교정보보호대학원 석사를 수료 했으며, A3 Security Consulting, SK인포섹, 삼일PwC에서 보안 컨설턴트와 IT감사관으로 일한 경험이 있다.

    제1회 해킹방어대회에서 대상을 수상해 정보통신부 장관상을 수여했으며, 2007년도 세계해킹컨퍼런스인 데프콘에 아시아에서 유일하게 한국 팀 멤버로 참여하기도 했다. 그 외 EBS와 중앙일보에서 보안 컨설턴트에 대해 인터뷰를 하기도 했다.

    저서로는 『정보보안 개론과 실습: 인터넷 해킹과 보안(개정판)』(2014)이 있으며, 옮긴 책으로는 에이콘출판사에서 출간한 『와이어샤크를 활용한 실전 패킷 분석』(2007), 『웹 해킹 & 보안 완벽 가이드』(2008), 『윈도우 시스템 관리자를 위한 커맨드라인 활용 가이드』(2009), 『엔맵 네트워크 스캐닝』(2009), 『(개정판) 웹 해킹 & 보안 완벽 가이드』(2014)이 있다.

    장은경
    De La Salle University에서 영어교육학을 전공했으며, 2001년도에 개최한 제1회 여성해킹대회 본선에 진출한 경력을 가지고 있다. 국내 유수 보안 그룹에서 활약했으며, IT 분야에 약 7년간의 경력을 쌓았다. 옮긴 책으로 에이콘출판사에서 출간한 『와이어샤크를 활용한 실전 패킷 분석』(2007), 『웹 해킹 & 보안 완벽 가이드』(2008), 『(개정판) 웹 해킹 & 보안 완벽 가이드』(2014)이 있다.

    박병익
    (주)에이쓰리시큐리티를 거쳐 현재 (주)엔씨소프트 보안점검팀에서 근무한다. HSD(Hacker’S Dream) 그룹에서 활동 중이며, 심플스 사이트(http://simples.kr)를 운영하고 있다. 저서로는 『리버스 엔지니어링 (역분석 구조와 원리)』과 『리눅스 웹 서버와 실전 웹해킹』이 있고, 역서로는 『페도라 리눅스 툴박스』와 『인터넷 포렌식』이 있다.

    목차

    목차
    1부 소개
    1장 데이터베이스 보안에 신경 써야 하는 이유
    __가장 안전한 데이터베이스란?
    __데이터베이스 보안 연구 현황
    ____데이터베이스 보안 결함의 분류
    __이 모든 것이 무슨 의미하는 것
    __데이터베?이스 서버에서 결함 발견
    __정리
    2부 오라클
    2장 오라클 아키텍처
    __오라클 아키텍처 검토
    ____오라클 프로세스와 네트워크에서의 오라클
    __오라클 RDBMS
    __오라클 지능 에이전트
    __오라클 인증과 권한
    __데이터베이스 인증
    ____권한
    ____주요 시스템 권한
    ____오라클 감사
    3장 오라클 공격
    __오라클 서버 스캔
    ____일반적인 오라클 프로세스의 디폴트 포트
    ____TNS 리스너
    __오라클 PL/SQL
    __PL/SQL 인젝션
    ____SELECT문에 인젝션
    __DELETE, INSERT, UPDATE문에 인젝션
    ____INSERT문으로 인젝션
    ____실제 예
    __임의의 PL/SQL 블록에 인젝션
    ____실제 예
    __DBMS_SQL과 함께 사용자 제공 쿼리 실행
    __실제 예
    ____PL/SQL 인젝션과 데이터베이스 트리거
    __PL/SQL과 오라클 애플리케이션 서버
    __정리
    4장 오라클: 오라클에서 네트워크까지
    __운영체제 명령 실행
    ____PL/SQL을 통해 운영체제 명령 실행
    ____DBMS_SCHEDULER를 통한 운영체제 명령 실행
    ____자바를 통한 운영체제 명령 실행
    __파일 시스템에 접근
    ____자바와 파일 시스템
    __네트워크에 접근
    ____데이터베이스 링크
    __PL/SQL과 네트워크
    ____UTL_TCP
    ____UTL_HTTP
    ____UTL_SMTP
    __정리
    5장 오라클 보안
    __오라클 보안 권고
    ____오라클 TNS 리스너
    __오라클 데이터베이스 서버
    ____계정
    ____역할
    ____DBA 역할
    3부 DB2
    6장 IBM DB2 범용 데이터베이스
    __소개
    __DB2 개발 시나리오
    ____네트워크상의 DB2
    __DB2 프로세스
    __DB2 물리 데이터베이스 레이아웃
    ____윈도우의 DB2
    ____리눅스의 DB2
    __DB2 논리 데이터베이스 레이아웃
    __DB2 인증과 권한
    __권한
    ____DBAUTH 뷰
    ____TABAUTH 뷰
    ____ROUTINEAUTH 뷰
    __정리
    7장 DB2: 발견, 공격, 방어
    __네트워크에서 DB2 발견
    8장 DB2 공격
    __DB2 프로시저와 함수 버퍼 오버플로우
    ____DB2의 또 다른 오버플로우
    __DB2 원격 명령 서버
    __DB2로 명령 실행
    __DB2로 파일 시스템에 접근
    ____Load 메소드
    ____XML 함수
    __DB2의 로컬 공격
    __정리
    9장 DB2 보안
    __운영체제 보안
    __DB2 네트워크 인터페이스 보안
    __DBMS 보안
    __불필요한 구성 삭제
    __마지막 처리
    4부 인포믹스
    10장 인포믹스 아키텍처
    __인포믹스 아키텍처 평가
    ____네트워크상의 인포믹스
    __인포믹스 논리적 레이아웃
    ____인증과 권한 이해
    11장 인포믹스: 발견, 공격, 방어
    __인포믹스 공격과 방어
    ____사후 인증 공격
    ____공유 메모리, 사용자 이름, 암호
    __저장 프로시저 언어(SPL)로 인포믹스 공격
    ____SPL을 사용해 임의 명령 실행
    ____임의의 라이브러리 로딩
    ____서버의 임의 파일 읽고 쓰기
    __인포믹스에서의 SQL 버퍼 오버플로우
    ____유닉스 플랫폼에서 실행되는 인포믹스 로컬 공격
    __정리
    12장 인포믹스 보안
    __서버를 항상 패치
    __네트워크 트래픽 암호화
    __Public의 연결 권한 제거
    __감사 기능 활성화
    __Public의 파일 접근 루틴 권한 제거
    __Public의 모듈 루틴에 대한 실행 권한 제거
    __공유 메모리 덤프 예방
    __유닉스 기반 서버의 로컬 공격 예방
    __사용 언어 제한
    __유용한 문서
    5부 사이베이스 ASE
    13장 사이베이스 아키텍처
    __사이베이스 배경
    __역사
    __뛰어난 특성
    ____Java-In-ASE
    ____배포 시나리오
    ____사이베이스에서 방화벽 사용
    ____사이베이스와 통신
    ____권한 모델
    ____로그인 계정 기본
    ____패스워드와 패스워드의 복잡성
    ____서비스 상호 작용
    14장 사이베이스: 발견, 공격, 방어
    __목표 설정
    ____사이베이스 스캐닝
    ____사이베이스 버전 번호
    ____인증 스누핑
    __사이베이스 공격
    ____사이베이스에서 SQL 인젝션 공격
    ____SQL 인젝션 기본
    __사이베이스 환경에서 마이크로소프트 SQL 서버 인젝션 기술
    ____주석
    ____Union Select
    ____에러 메시지
    ____@@version
    ____Having/Group By
    ____SQL 복합 인젝션
    ____Xp_cmdshell
    ____xp_regread
    ____맞춤 확장 저장 프로시저
    ____CHAR 함수부터 Bypass Quote 필터까지
    ____종료
    ____sp_password를 사용한 audit evasion
    ____링크 서버
    ____시간 지연을 통신 채널로 사용
    ____VARBINARY 문자 암호화와 Exec
    __외부 파일 시스템 접근
    __공격에 대한 방어
    __오래 전부터 알려진 사이베이스 ASE 보안 버그
    ____CAN-2003-0327: 원격 패스워드 배열 오버플로우
    ____DBCC CHECKVERIFY 버퍼 오버플로우
    ____DROP DATABASE 버퍼 오버플로우 취약점
    ____xp_freedll 버퍼 오버플로우
    __사이베이스 버전 도구
    15장 사이베이스: 사이베이스에서 네트워크까지
    __네트워크에 접근
    __사이베이스로 다른 서버에 연결
    __SQL에서의 자바
    ____JSQL TDS 클라이언트
    ____JSQL TCP 프록시
    __사이베이스 트로이잔
    ____사용자에게 sa 또는 sso_role 부여
    ____시스템 테이블 직접 업데이트와 선택된 시스템 테이블에 접근 권한 부여
    16장 사이베이스 보안
    __사이베이스 보안 체크리스트
    ____배경
    ____운영체제
    ____사이베이스 사용자
    ____사이베이스 환경설정
    __배경
    __운영체제
    __사이베이스 사용자
    __사이베이스 환경설정
    6부 MySQL
    17장 MySQL 아키텍처
    __물리적인 데이터베이스 아키텍처 탐구
    ____배치
    ____WinMySQLAdmin Autostart
    ____디폴트 사용자와 패스워드
    ____프로토콜
    ____인증 프로토콜 버그
    __논리 데이터베이스 아키텍처 조사
    ____MySQL 논리 데이터베이스 아키텍처
    ____저장 엔진
    ____파일 시스템 레이아웃
    ____쿼리 배치
    ____사용자와 그룹 검사
    __아키텍처 설계 취약점 공격
    ____사용자 정의 함수
    ____통제 시스템 접근 취약점
    ____보안 영향을 가진 잘못된 기능
    ____기능의 부재로 인한 보안 강화
    18장 MySQL: 발견, 공격, 방어
    __목표 찾기
    ____MySQL 스캔
    ____MySQL 버전 숫자
    ____인증 스누핑
    __MySQL 해킹
    ____MySQL SQL 인젝션
    ____알려진 MySQL 버그
    ____MySQL 트로쟌
    __MySQL에 대한 국소적 공격
    ____레이스 컨디션
    ____오버플로우
    __MySQL 파일 구조 재고
    19장 MySQL: MySQL에서 네트워크까지
    __MySQL 클라이언트 해시 인증 패치
    __외부 프로그램 실행: 사용자 정의된 기능
    __윈도우에서의 사용자 정의 함수
    __정리
    20장 MySQL 보안
    __MySQL 보안 체크리스트
    ____배경지식
    ____운영체제
    ____MySQL 사용자
    ____MySQL 설정
    ____정기 감사
    __배경 지식
    __운영체제
    __MySQL 사용자
    __MySQL 설정
    __정기 감사
    7부 SQL 서버
    21장 MS SQL 서버 아키텍처
    __SQL 서버 배경
    ____SQL 서버 버전
    __물리적 아키텍처
    ____TDS 프로토콜
    ____네트워크 라이브러리
    ____SQL 서버 프로세스와 포트
    ____인증과 권한
    __논리적 아키텍처
    ____저장

    머리말

    ★ 저자 서문 ★
    왜 우리는 데이터베이스 보안에 관심을 가져야 하는가?

    돈을 네트워크 어디엔가 두어야 한다면 분명 데이터베이스 안에 있어야 할 것이다. 현대의 경제가 컴퓨터에 의존하고 있다고 말할 때, 실제로는 데이터베이스 시스템에 의존한다고 볼 수 있다. 데이터베이스는 우리 삶대부분에 영향을 미친다. 은행 계좌, 의학 정보, 연금, 고용 기록, 휴대폰 기록, 세금 기록, 자동차 등록, 슈퍼마켓 구입, 아이들의 성적 정보 등 우리 삶의 거의 모든 중요한 정보가 관계형 데이터베이스 관리 시스템에 저장돼 있다. 이책에서는 가장 유명한 7가지 관계형 데이터베이스 시스템을 모두 다루며, 여러분의 개인 정보 역시 이책에서 다루는 데이터베이스 중 어딘가에 저장돼 있을 것이다.

    우리(이 책의 저자들)는 데이터베이스 보안이 현존하는 가장 중요한 정보 보안 문제라고 생각한다. 우리의 가장 민감한 데이터를 보관 중이라 여겨지는 데이터베이스 시스템이 안전하지 않다면 우리 삶에 잠재적인 악영향을 미칠 것이고, 심지어 사회에 큰 재앙이 닥칠 수도 있다.

    그렇다면 왜 우리는 데이터베이스에 대한 공격 방법까지 이 책에서 다뤄야 했을까?

    간단하게 말해 이정보를 데이터베이스 관리자, 보안 전문가, 네트워크 감사관이 알고 있었으면 하고, 그래서 어떻게 공격이 이뤄지는지에 대한 이해를 바탕으로 관리 중인 데이터베이스를 더욱 더안전하게 만들었으면 하는 바람에서 공격에 대한 내용도 포함했다. 이 책은 이책에 관심 있는 사람들이 알지 못하는 내용도 알려주고자 한다. 가장 유명한 데이터베이스 소프트웨어 벤더의 보안이 잘 구축돼 있으리라 믿을지 모르지만, 실제로 유명한 데이터베이스에서 보안 버그를 발견하는 것은 어렵지 않다. 대부분의 보안 문제점은 보안 연구자들이 자발적으로 발견해 벤더에 알렸으며, 아직 벤더에 알리지 않은 보안 문제점을 파악한 사람들도 여전히 있을 것이다. 네트워크와 데이터베이스를 알려지지 않은 취약점부터 막을 수있는 가장 최선의 방법은, 버그를 단순히 패치하거나 제로데이 익스플로잇으로부터 어떤 공격을 받지 않을 것이라는 막연한 희망을 갖는 것보다는 버그에 대한 전체 구조를 파악하고, 안전한 환경을 설정하고, 알려진 버그에 대한 메커니즘을 깊이 이해하는 것이다.

    더도 덜도 말고 데이터베이스를 안전하게 유지하는 것은 네트워크 보안에 적용되어 온 시도 및테스트 원칙을 적용해야 한다는 사실이다. 시도 및 테스트 원칙은 수십 년 동안 네트워크 보안에 사용돼 왔고, 이는 데이터베이스에 대한 접근 권한을 최소화 시키고, 인증과 접근 통제를 엄격히 하며, 암호화를 적용시키고, 개별적인 영역에 따라 기능을 분리시키며, 불필요한 기능을 제거해서 ‘공격 표면’을줄이는 방식이다. 오직 실제 차이점은 데이터베이스에 있고, 이런 모든 메커니즘은 데이터베이스 자체의 소규모 세계 내에서 동작한다.

    제조사가 만든 보안 관련 문서를 읽으면 최근 데이터베이스 구현에 있어 과도한 보안 측정을 보증하도록 부추긴다. 거의 모든 데이터베이스 시스템은 권한, 접근 통제, 포괄적인 감사 기능, 시스템 컴포넌트에 통제된 접근 기능을 갖고 있다. 데이터베이스 제조업체는 위에서 언급한 보안 메커니즘을 적절히 수행하고 있음을 보증하는 보안 인증서를 얻으려고 노력한다. 이런 보안 인증서가 중요하기는 하지만, 보안 인증서가 있다고 해서 데이터베이스 보안이 완벽하다고 보장할 수는 없다.

    이 책에서 언급하는 모든 데이터베이스는 이런 보안 메커니즘이 침해되는 버퍼 오버플로우 취약점에 영향을 받으며, 보안 표준과 평가, 인증에 대한 우리의 믿음이 완벽히 작동하지는 않는다. 그렇기 때문에 이책에서는 실전 내용을 다루고, 보안 위협을 막을 수 있는 내용을 설명한다.


    ★ 옮긴이의 말 ★

    우리가 온라인 쇼핑몰에서 물건을 사고자 할 때, 우리의 신원을 확인하기 위해 이름, 전화번호, 주소 등과 같은 개인정보를 온라인 쇼핑몰에 제공한다. 그리고 온라인 쇼핑몰은 물건에 대한 정보와 함께 판매자와 구매자들의 정보를 가지고 있으며, 이러한 정보를 바탕으로 온라인 물건 거래가 이뤄진다. 사용자들은 웹 브라우저를 통해 특정 웹 사이트 화면을 보게 되지만, 웹 사이트 내부에는 수많은 정보와 데이터를 저장하고 관리하는 데이터베이스가 있다.

    데이터베이스는 말 그대로 수많은 데이터를 관리하는 시스템이다. 기업의 규모나 특징에 따라 다양한 종류의 데이터베이스를 사용한다. 데이터베이스는 일차적으로 외부 사용자에게 노출되지 않지만, 웹 애플리케이션을 통해 데이터베이스를 유추하거나, 또는 내부자에 의해 데이터베이스에 쉽게 접근을 허용하게끔 하는 경우가 있다. 데이터베이스는 종류가 다양한 만큼 각 데이터베이스 고유의 보안 특징을 지닌다.

    실제 필드에서 일하고 있는 저자들의 다양한 경험과 노하우를 담은 이 책은 역자들이 지금까지 접했던 데이터베이스 해킹과 관련된 책 중에서 바이블이라고 삼을 정도로 다양한 데이터베이스에 대해 자세한 내용을 담고 있다. 이 책은 8개 부와 26개 장으로 구성되어 있으며, 이 책의 대부분은 7가지 유명 데이터베이스 시스템(오라클, DB2, 인포믹스, 사이베이스 ASE, MySQL, SQL 서버, PostgreSQL)에 존재하는 실전 보안 취약점을 상세히 설명하며, 각 장마다 데이터베이스 아키텍처, 취약점 발견, 공격, 방어에 대한 상세한 내용을 담았다.

    이 책은 보안연구자나 취약점 분석가가 데이터베이스에 존재하는 새로운 취약점을 발견하는 데 좋은 가이드가 될 수 있다. 보안 관리자나 데이터베이스 설계자는 이 책을 통해 데이터베이스의 보안 취약점을 이해하고 공격자의 공격 패턴을 파악해서 더욱 더 안전한 데이터베이스를 설계하고 개발할 수 있을 것이라고 믿는다. 이 책을 합법적인 영역에서 활용해 중요한 정보를 보관하고 있는 데이터베이스를 더욱 더 안전하게 만드는 데 일조하기를 바란다.

    배송 시 유의사항

    - 반디앤루니스에서 구매하신 도서는 물류 대행 위탁업체 웅진 북센을 통해 배송됩니다.
     (배송 포장에 "웅진 북센"으로 표기될 수 있습니다.)

    - 구매한 상품의 품질과 배송 관련 문의는 반디앤루니스로 문의 바랍니다.

    - 천재지변 및 택배사의 사정에 따라 배송이 지연될 수 있습니다.

    - 결제(입금) 완료 후 출판사 및 유통사의 사정으로 품절 또는 절판 되어 상품 구입이 어려울 수 있습니다. (별도 안내 예정)

    - 도서산간지역의 경우 추가 배송비가 발생될 수 있습니다.

    반품/교환

    상품 설명에 반품/ 교환 관련한 안내가 있는 경우 그 내용을 우선으로 합니다. (업체 사정에 따라 달라질 수 있습니다)

    반품/교환

    반품/교환
    반품/교환 방법 홈 > 고객센터 > 자주찾는질문 “반품/교환/환불” 안내 참고 또는 1:1상담게시판
    반품/교환 가능 기간 반품,교환은 배송완료 후 7일 이내, 상품의 결함 및 계약내용과 다를 경우 문제발견 후 30일 이내에 신청가능
    반품/교환 비용 변심 혹은 구매착오의 경우에만 반송료 고객 부담(별도 지정 택배사 없음)
    반품/교환 불가 사유
    • 소비자의 책임 사유로 상품 등이 손실 또는 훼손된 경우
    • 소비자의 사용, 포장 개봉에 의해 상품 등의 가치가 현저히 감소한 경우
    • 복제가 가능한 상품 등의 포장을 훼손한 경우 : 예)만화책, 잡지, 화보집 등
    • 시간의 경과에 의해 재판매가 곤란한 정도로 가치가 현저히 감소한 경우
    • 전자상거래등에서의 소비자보호에 관한 법률이 정하는 소비자 청약철회 제한 내용에 해당되는 경우
    • 해외주문 상품(해외 원서)의 경우(파본/훼손/오발송 상품을 제외)
    소비자 피해보상
    환불지연에 따른 배상
    • 상품의 불량에 의한 반품, 교환, A/S, 환불, 품질보증 및 피해보상 등에 관한 사항은
      소비자 분쟁해결 기준(공정거래위원회고시)에 준하여 처리됨
    • 대금 환불 및 환불지연에 따른 배상금 지급 조건, 절차 등은 전자상거래 등에서의
      소비자 보호에 관한 법률에 따라 처리함
    반품/교환 주소 경기도 파주시 문발로 77, 웅진북센(반디앤루니스)
    • 회사명 : (주)서울문고
    • 대표이사 : 김홍구
    • 개인정보 보호책임자 : 김홍구
    • E-mail : bandi_cs@bnl.co.kr
    • 소재지 : (06168) 서울 강남구 삼성로 96길 6
    • 사업자 등록번호 : 120-81-02543
    • 통신판매업 신고번호 : 제2023-서울강남-03728호
    • 물류센터 : (10881) 경기도 파주시 문발로 77 반디앤루니스
    copyright (c) 2016 BANDI&LUNI'S All Rights Reserved