[데이터베이스 보안] 5주차.데이터베이스 보안 개요

https://github.com/HongHyeongJu/StudySpace/blob/main/database/database_security/database_security_%EA%B0%95%EC%9D%98%ED%95%84%EA%B8%B0_05week.md

K-MOOC 데이터베이스 보안 강의 청강

5주차. 데이터베이스 보안 개요

보안의 목표

• 기밀성 + 무결성 + 가용성
• • 인증 + 부인방지

 

보안공격 유형

• 서비스 거부
  • 대량의 서비스 요청으로 서버에서 서비스를 할 수 없도록 하는것
  • Denial of Service;Dos
• 중간 탈취
  • 기밀성에 대한 공격
  • 제3가자 중간데 데이터를 갈취하는 것
• 신분 위장
  • 수신자 입장에서 인증에 대한 공격
• 데이터 변조
  • 무결성에 대한 공격
• 기타 공격
  • 부인 공격,보안모델
• 신뢰된 3자가 둘 사이의 안전한 전송 채널을 제공하기
• 송신자는 보안관련 변환된 안전한 메세지를 보내기(암호화 기술의 키를 사용함)
• 안전한 정보채널로 전송함
• 수신자는 암호회된 메세지와 동일한 알고리즘 키로 변환하여 확인함
• 메세지 변경 여부 확인을 위한 Hash, MAC등의 보안 기술 적용

데이터베이스 보안 개념 및 분류

• 보호대상
  • 데이터베이스의 데이터(데이터 암호화)
  • 데이터베이스 관리시스템(접근통제&권한부여)
  • 연관된 애플리케이션
  • 물리적 데이터베이스 서버/가상 데이터베이스 서버와 기본 하드웨어
  • 데이터베이스에 액세스 하는데 사용되는 컴퓨팅/네트워크 인프라
• 보안 위협과 대안법
  • 데이터베이스 소프트웨어 구성 오류/취약점 악용 -> 개발자의 역량, 정기적인 보안패치
  • SQL/NoSQl 인젝션 공격(조작된 질의문 삽입)
  • 서비스 거부 공격(DoS)
  • 백업에 대한 공격(데이터 볼륨 증가, 복잡한 네트워크 환경)
  • 내부자 위협
  • 데이터 유출 위협
  • 기타 보안 위협(사용자 실수, Malware)데이터베이스 보안 요구사항
• 접근제어/사용자인증 -> 데이터 액세스하는 사용자에 대한 인증과 인가를 조합하여서 접근 제어하기
• 데이터 보호 -> 데이터암호화를 통해 대비하기(테이블/특정 컬럽),안전하고 권고된 알고리즘 사용하기, 암호화 키에 대한 안전한 관리와 운영
• 추론방지 -> 기본의 데이터로 다른 데이터를 알 수 있는 것을 방지하기

---

• 데이터베이스 무결성 보장 -> 운영적 무결성 보장(트랙젝션, Locking기법), 의미적 무결성 보장(데이터에 대한 허용값 통제하기, 제약조건)
• 감사 및 모니터링 -> 데이터베이스에 대한 모든 활동에 대한 감사기록 생성하기
• 기타 요구사항: 백업 보안, 애플리케이션/웹 서버 보안, 데이터베이스 소프트웨어 보안, 물리적 보안, 네트워크 보안
• 비밀 데이터의 보호 및 관리

데이터베이스 보안 기술

• 접근제어 : 데이터에 허가 받지 않은 접근과 이용을 막기 위한 것
• 접근제어 모델
  • DAC - 임의적 접근제어
  • MAC - 강제적 접근제어
  • RBAC - 역할기반 접근제어
  • ABAC - 속성기반 접근제어
• 설명
  • DAC - 임의적 접근제어
    • 접근을 요청하는 사용자의 신분에 기반함(신분기반 접근제어)
    • 객체 소유자가 객체보안 레벨 결정 및 객체 접근제어 설정
    • 대표적인 모델 : ACM(접근제어행렬), 권한목록, ACL(접근제어목록)
    • 객체 소유자가 SQL문ㅇ로 다른 사용자에게 권한 부여 가능함
  • MAC - 강제적 접근제어
    • 시스템에 있는 주체(사용자)와 객체(리소스)에 각각 보안 분류 등급을 설정하는 것
    • ex)회원 등급에 따라 볼 수 있는 게시판이 다름
    • 규칙기반 접근제어
    • 중앙 집권적인 관리로 보안성이 높음
  • RBAC - 역할기반 접근제어
    • 주체가 소속된 조직 내 역할에 따라 결정함
    • DBA는 SQL을 통해 ROLE을 생성하고 특정 사용자에게 객체에 대한 권한 부여 및 회수 가능
    • 대규모 엔터프라이즈 환경에서 사용함
  • ABAC - 속성기반 접근제어
    • DAC,MAC,RBAC는 동적 환경에 적합하지 않음
    • 주체와 객체 속성에 대한 조건에 따라 동적으로 분석하며 접근 권한 부여함
    • 속성 유형 ex) 사용자/객체/환경
  • 기타 접근제어
    • SQL기반 접근 통제 (객체 소유자,DBA)
    • View기반 접근 통제암호화

 

• 암호화 방식
  • 응용프로그램 자체 암호화
  • DB서버 암호화
  • DBMS 자체 암호화
  • DBMS 암호화 기능 호출
  • 운영체제 암호화 등