디지털라이프

12월 5일 드디어 SW보안약점진단원 합격증이 우체국 등기로 도착했다.

합격증을 받는데 3개월씩이나 걸리다니..

자격증을 활용할 곳을 찾아봐야겠다.

2022년 9월 2일 SW보안약점진단원 시험결과(8월20일 시험)가 메일로 발송되었다.

9시부터 기다렸는데 10시가 조금 넘어서 메일이 도착했다.

합격은 예상했는데 점수는 높지 않았다. 필기나 실기 배점정도는 별도로 구분해서 주면 좋았을텐데..

아무래도 실기에서 실수한것이 맞는것 같다.

2022년 8월 20일 토요일에 보안약점진단원 시험을 보았다.

준비물은 신분증, 볼펜뿐이다.

시험 총평: 암기를 좀 했다면 이론이나 실기모두 수월하게 풀수있을 것으로 보였고, 단지 실기 15점짜리 2문제는 좀 헷갈렸다.

암기는 기본이고 코드를 보고 보안약점을 판단하는 훈련을 많이 해두는 것이 시험에 도움이 많이 될것 같다.

합격여부는 채점자들이 서술형 문제에 대해 점수를 얼마나 주느냐가 관건인듯 싶다.

일이 있어서 집에 늦게와서 리뷰하는데 문제가 잘 생각이 나질 않았다.

인터넷 시험후기에 시간적 여유가 없으니 답안지에 직접 작성하라고 하라는 글을 보고 직접 작성했었다.

그런데 다시 검토하다보디 수정해야할 답안이 좀 있었다. 볼펜으로 두줄 긋고 수정해서 지저분하게 보였다. 

공부를 어느정도 했다면 시간적 여유는 충분하니 문제지에 답을 작성하고 검토후에 답안지에 작성해도 된다.

*이론

이론은 진위형, 객관식형, 단답형, 서술형으로 구성된다.

진위여부는 보안약점에 대한 설명이 맞는가, 진단방법에 대한 설명이 맞는가 등 2~3줄짜리 지문으로 구성된 문제 유형이다. 

객관식은 1~3개까지 답을 고르는 문제 유형이다. 

단답형은 암호키 유효기간(송신자,수신자), 쿠키 속성, LDAP 취약점 특수문자 3개 이상, 비밀번호 요구사항을 제시하고 공격기법 2가지 등 정답이 확실한 문제 유형이다.

서술형은 보안약점, 보안대책을 작성하는 문제 유형이다.

*실기

실기는 정*오탑 문제, 보안요청서 작성문제, 보안약점 식별 문제로 구성된다.

1)정탐 오탐 식별하고 근거를 서술하는 문제

2)보완요청서(보안약점, 진단방법, 보안대책, 취약한 코드라인)를 작성하는 문제. 보안유형은 이미 체크가 되어있다.

3)취약한 라인을 알려주고 해당 보안약점, 설명, 대응책을 작성하는 문제

시험장소는 서울역 공간모아 이다.

주소: 서울특별시 중구 통일로 26 한일빌딩(1호선 서울역 3번 출구에서 도보 100m, 1층의 한진렌터카 건물)

건물 입구 및 엘레베이터 앞에 안내문구가 있다. 6층이 시험장이었다.

6층에 도착면 입구에서 신분증으로 본인확인을 한다.

시험일정은 다음과 같다.

시험이 시작되면 퇴실할때까지 중간 휴식시간에도 교재를 본다던가 핸드폰은 사용할 수 없다.

소지품은 가방에 넣어서 시험장 뒤에 두도록 조치한다.

실기시험 퇴실은 15시20분부터 가능하다. 

시험장 좌석배치도를 보니 대략 55명정도 응시를 하는 것 같이다. 의외로 응시자가 적었다.

2인 책상에 한명씩 앉으며 앞에서부터 지그재그로 배치된다. 

책상에는 코로나 가림막이 설치되어있다.

참고로 시험 안내서에 나오는 점수산출방식과 문제유형은 다음과 같다.

1) 종합점수 산출방식:

이론시험(40%) + 실습시험(60%) 가중치

[표 2] 이수시험 종합점수 산출방식

2) 합격기준:

가중치에 따른 종합점수 70점 이상일 경우 합격 (과락: 60점 미만)

3) 출제범위:

SW개발보안 제도·기준, 보안약점 진단·제거기술 등

4) 참고자료:

소프트웨어 보안약점 진단가이드 및 진단원 양성과정 교재 소프트웨어 개발보안 가이드

5) 문제 구성 ※ 회차별 문제구성은 달리 적용될 수 있음

가) 이론시험(60분)

나) 실습시험(100분)

시험준비(https://lumasca.tistory.com/1150)

시험 준비 자료는 아래 2가지만 사용했다.

2022년 SW 보안약점진단원 교육교재

소프트웨어_보안약점_진단가이드(2021): https://www.kisa.or.kr/2060204/form?postSeq=9&page=1 

교재의 보안약점은 진단가이드와 거의 동일하므로 진단가이드 위주로 보안약점 유형별로 구글시트로 정리했다.

교재는 분석설계 단계 실습 부분만 보았는데 시험에 별로 도움이 되진 않았다.

이론의 진위(OX), 객관식, 단답형은 단순히 암기만 하면 되고, 이론 서술문제, 실기 서술 문제는 암기해서 쓰는 훈련이 필요하다.

설계단계 보안약점은 보안약점유형, 설계항목, 설명, 구현단계 보안약점, 취약점, 보안대책을 작성한다.

구현단계 보안약점은 보안약점유형, 보안약점이름, 설명, 보안대책, 진단방법, 안전하지 않은 코드, 안전한코드를 작성한다.

그리고 백지에 위의 내용을 약식으로 필사하고 암기 후 외워서 쓰는 훈련을 한다.

모르는 부분은 공백으로 두고 생각나는 부분 만암기해서 쓰도록 한다. 공백은 빨간색으로 채운다. 빨간색으로 작성된 부분을 다시 확인한다.

총 69개이지만 내용이 많지 않은 보안약점이 많기때문에 하루에 15개 정도만 하면 5일이면 충분하다.

주말은 시간을 더 할애해서 암기에 집중하도록 한다. 당연한 말이지만 본인에게 쉬운 보안약점부터 공략하고 영역을 확대해 나가자.

개발자도 마찬가지지만 비개발자라면 코드를 보고 약점을 도출하는 훈련을 특히 많이 해야 한다.

안전하지 않은 코드만 보고 보안 약점에 대한 내용을 작성할 수 있도록 훈련한다. 

진단가이드에 나오는 정탐, 오탐 예제를 보고 그 근거를 이해하도록 한다.

요청하신 분이 계셔서 학습할 때 사용한 파일을 첨부합니다. 참고하세요.

시험후기(https://lumasca.tistory.com/1151)

2022년 7월 25일부터 29일까지 3차 SW보안약점진단원 양성교육이 있었다.

교육후기: 교육 운영진은 모두 친절하셨으며, 강사님 두분도 열심히 강의를 하셔서 대체로 만족스러웠다.

다만 실습은 코드분석 위주로 이루어져서 분석/설계 산출물이나 소스코드로 보안약점을 진단하고 보완요청서를 작성하는 실습이 없었던 점이 많이 아쉽다.

2022년도 3차 교육는 아래 장소에서 진행되었다. 날도 더운데 멀지않은 곳이어서 좋았다.

한국정보보호교육센터 본관  

-주소: 서울 강남구 남부순환로 2645 한독빌딩 5층 SPACE HUB  *양재역 4번 출구 410m  

출석은 아침(9:00, 교육시작전), 점심(13:00, 점심식사후), 저녁(18:00, 교육종료후)에 출입문근처에 부착된 QR코드를 찍으면 전화번호, 이름, 날짜, 시간을 입력하는 페이지로 이동한다. 정보를 모두 입력하고 제출을 하면 된다.

교재는 수업 첫날 책상에 배부되어 있다.

좌석은 선착순으로 첫날 앉았던 좌석을 계속 유지하도록 권고하고 있다.

중식은 근처 식당에서 각자 알아서 해결하면 된다.

이번 교육 회차가 경쟁률이 높았다고 한다. 개발자보다 보안업체 인력이 많이 참석했다.

둘째날 오후에 코로나 확진자가 발생하여, 온라인, 오프라인 수업이 병행으로 진행되었다. 교육생은 선택에 따라 결정할 수 있었다.

본인은 온라인 수업을 희망하였기 때문에 오후에 집으로 가서 온라인 줌을 이용해서 교육을 수강했다.

실습파일은 대용량 메일로 전송되며, 실습 프로젝트 압축 파일과 가상컴퓨팅환경(VMware) 압축 파일을 전송해준다.

실습환경(JDK, 이클립스)을 구성하는 과정을 진행하는데, 잘 안되면 VMWare를 설치하고 가상컴퓨팅 환경을 사용해도 무방하다.

설계단계나 구현단계 모두 실습은 코딩 예제를 가지고 진행했다.

마지막날은 다른 일이 있어서 출석하지 못했다. 만족도 조사 링크는 문자로 전송된다. 그리고 시험에 응시할 것이지 조사한다. 

나는 이후에 전화로 연락이 와서 응시한다고 말했다.

응시기회는 총 3번인데 교육수료후 첫 시험은 응시를 하던 안하던 차감되는 것으로 들었다. 

시험유형을 확인하기 위해서라도 응시해야 한다.

출석율이 80%이상이면 교육과정을 이수한 것으로 된다.

수료증은 KISA > 마이페이지 > 교육이력(https://academy.kisa.or.kr/mypage/history.kisa)에서 출력할 수 있다.