[데이터베이스 보안] 9-10주차.접근제어

https://github.com/HongHyeongJu/StudySpace/tree/main/database/database_security

K-MOOC 데이터베이스 보안 강의 청강

9주차. 접근제어

[ 1~3. 접근제어 개요 / 설계/ 구축 ]

 

접근 제어

• 데이터베이스의 특징
  • DBMS 관리 시스템으로 관리
  • 인증 -> SQL(질의어)를 통해서 정보에 접근 가능
  • DMZ를 거쳐 조직의 가장 내부에 위치함
  • DBMS 자체가 강력한 보안기능 제공함
  • -> DB접근 권한을 가진 사용자의 권한 남용이 가장 큰 위협
• 데이터베이스 접근제어
  • 사용자가 DBMS에 로그인 하거나, SQL을 수행하려고 할 때 미리 정의된 보안 규칙에 따라 권한 여부를 판단하여 통제하는 솔루션

 

접근 제어 수행 요소

• 주체, 객체, 접근권한
• 주체
  • 객체에 접근할 수 있는 대상
  • 등급분류 : 소유자, 그룹, 전체
• 객체
  • 주체가 접근 및 사용하는 대상
• 접근 권한
  • 특정 주체가 특정 객체를 접근하는 방법을 지정함
  • 읽기, 쓰기, 실행, 삭제, 생성접근 제어 절차
• 식별 -> 인증 -> 인가
• 식별
  • 시스템에게 주체의 식별자를 확인하는 과정
• 인증
  • 정보에 접근할 수 있는 주체의 능력이나 자격검증
  • 전송된 메세지의 변조 여부 확인
  • (지식/소유/생체)
• 인가
  • 주체가 객체에 재한 사용 권한을 부여 받는 것
  • 정당한 권한 확인 절차

접근제어 설계를 위한 규칙 정의

• 접근제어 규칙 요소 : 정보 식별, 사용자 식별, 접근 방법, 접근 시간
• 정보 식별
  • 접근제어할 대상 정보 식별 ex) 개인정보 - 정보통신망 이용 촉진 및 정보보호 등에 관한 법률, 개인정보보호법
  • 법적 규제 외에 조직의 성격에 따라 접근제어할 정보 정의
• 사용자 식별
  • 관리 대상 정보에 사용할 수 있는 사용자 파악하는 것
  • IP, MAC주소, 계정, OTP, 는
• 접근 방법
  • 정보에 접근할 수 있는 방법
  • 단말기, 접속툴, 접속 프로토콜, 사용 SQL종류 제한
• 접근 시간
  • 정보에 접근할 수 있는 시간 통제
  • 민감한 정보응 업무시간에만 접속이 가능하도록 설정

접근제어규칙의 일반적인 구성

• [명칭부], [조건부], [제어부]
• 명칭부
  • 규칙의 명칭 정의, 내용 간단명료 작성
• 조건부
  • 규칙이 적용되는 조건 설정
• 제어부
  • 조건부에서 설정한 조건으로 사용자가 접속을 하는 경우 어떻게 제어할지 정의
  • 로그인 통제, SQL수행 통제(수행마다 권한 확인), 로깅 통제(불필요한 SQL저장하지 않도록), 경보 통제
  • ex) 개발환경(조회,수정,추가,삭제권한) 운영환경(조회 권한필요)

[ 3. 데이터베이스 접근 제어 구축 ]

 

접근 제어 규칙의 적용을 위한 환경설정

• 우회 접근 차단이 필요함
• 접근제어 결과에 대해 모두 기록되도록 로깅 설정 필요
• 책임 추적성 보장하기

우회 접근 방지

• 프록시 게이트웨이
  • 접근제어 서버를 구축하는 것
  • DB 접속 시 프록시 서버를 경유하도록 강제하여 접근제어를 수행함
  • 내부사용자 단말기에 전용 프로그램 설치/접속정보 저장된 파일을 수정하여 프록시 서버 경유
  • 다양한 차단 방법을 통해 우회 접근 차단도 필요함
• 우회 접근 방지
  • 에이전트 설치에 의한 차단, 직접 접속할 수 있는 환경 제거 필요함
  • 서버 보안에 의한 차단, 권한이 있는 경우에만 실행
  • 스니핑 방식에 의한 차단, DB서버에 영향을 미치지 않고 패킷을 복사하는 방식
• 환경 보안
  • 접근제어 서버 관리
  • DB 접근 제어 관리자 계정 관리
  • 포트 관리
  • OS 취약점 관리

보안 적용 시험

• 접근제어 솔루션의 기능이 제대로 동작하는지 점검
• 개발 혹은 테스트 DB가 별도로 구축된 상태에서 진행
• 시험결과는 시험결과서로 관리
• 시험 대상 항목 : 로그인제어, SQL통제, 로깅(감사), 경보, SQL마스킹, 모니터링, 보안 정책 관리, 보고서, 장애대응, 로그관리)
• 시험 환경은 항목에 따라 구성
• 보안 적용 시험 수행
  • 기능 시험, 그외의 시험
  • 유의점 : DB접근제어를 위해 필요하다고 생각하는 모든 기능 점검하기

[ 4-5. 임의적 접근 제어 DAC ]

 

접근제어 모델(접근제어 정책)

• 주체가 어떻게 객체에 접근하는 지를 규정하는 방법이나 프레임
• 4가지 주요 접근 통제 정책
  • 임의적 접근제어 (DAC) : 접근요청한 사용자의 신분, 규칙에 기반
  • 강제적 접근제어 (MAC) : 주체 및 객체의 보안분류 등급에 기반
  • 역할기반 접근제어 (RBAC) : 주체에 대한 행위, 역할에 기반
  • 속성기반 접근제어 (ABAC) : 동적인 환경과 주체,객체의 속성에 기반함

임의적 접근제어 (DAC)

• Discretionary Access Control
• Discretionary : 임의적, 객체 소유자의 판단에 따라 임의적으로 권한을 줄 수 있다는 의미
• Identity-based Access Control 라고 부르기도 함

 

장점

• 필요에 따라 접근제어 가능 -> 융통성 있는 시스템
• 대체적으로 구현용이, 간단한 사용
• 객체별로 세분화된 접근 제어 가능함단점
• 다른 모델에 비해 취약한 보안성
• 정보에 대한 엄격한 접근제어 어려움
• 다른 주체의 신분을 도용하는 경우 중대한 결함 발생 가능
• 트로이목마 공격에 취약함예시
• 대부분의 OS에서 DAC 기반 정책 구현
• ex) Microsoft의 Window 운영체제
• 대표적 모델 : 접근제어행렬, 권한목록(토큰), 접근제어목록

 

접근제어 행렬

• 모든 주체와 객체에 대한 권한 관계를 2차원 배열로 표현(테이블)
• 실제 시스템 구현 시 권한목록이나 AccessControlList로 구현
• 권한 목록 Capability List
  • 주체에 접근 가능한 객체를 리스트로 구현하는 방법
  • ex) 토큰 (객체에 대한 권한 정보 보유)
• 접근제어목록 Access Control List
  • 객체에 대한 권한을 가지고 있는 주체를 리스트 형태로 구현한것(객체 중심 )트로이목마(Trojarn Horse) 공격에 취약
• 응용프로그램에 내장된 Trojarn Horse에 대해 데이터 보호가 불가함

K-MOOC 데이터베이스 보안 강의 청강

10주차. 접근제어(2)

[ 1-2. 강제적 접근제어 (MAC) ]

 

강제적 접근제어 개념

• 주체 및 객체의 보안분류 등급에 기반하는 접근 제어
• 중앙 집권적인 관리자에 의해 강제적으로 주체 및 객체에 보안 분류 등급이 부여되고, 보안 규칙에 따른 접근 제어 수행함
• 규칙 기반 접근제어라고도 함특징
• 주체 및 객체의 보안분류 등급에 기반 -> 주체,객체 수 관계없이 '접근 규칙의 수'가 최대로 정해지므로 다른 모델에 비해 접근 규칙의 수가 적고 통제가 용이함
• 보안등급, 규칙등은 관리자만 수정 가능
• 주로 기밀이 강조되는 조직에서 사용 가능

장점

• 관리자에 의한 중앙 집중식 관리 및 보안규칙에 따른 통제로 DAC보다 높은 보안성 제공함단점
• 모든 접근에 대한 보안 등급 정의와 정책 확인으로 개발 구현이 어려움
• 매우 제한적인 사용자 기능
• 많은 관리적 부담 요구
• 상업적이 환경에서 적용이 힘듦예시
• 높은 보안수준을 요구하는 객체에 낮은 보안수준 객체는 접근 불가능
• ex) 카페 등급
• 군이나 방화벽처럼 강력한 보안이 필요한 곳에서 사용함대표적인 모델
• Bell-LaPadula 모델 : 정보의 기밀성에 중점
• Biba 모델 : 정보의 무결성에 중점

강제적 접근 제어 모델 (Bell-LaPadula/Biba)

• Bell-LaPadula 모델
  • 정보의 기밀성 보호에 중점을 둔 최초의 수학적 모델
  • 보안수준 등급으로 주체, 객체를 구분해서 강제적 접근 제어 정책 적용
  • 단순 보안 속성
    • 보안 수준이 낮은 주체는 보안수준 높은 객체에 대한 읽기 권한이 없음(No Read Up)
    • 주체의 등급 >= 객체의 등급 (읽기 가능)
  • 성형 보안 속성
    • 보안 수준 높은 주체는 보안 수준 낮은 객체에 대한 쓰기 권한 없음
    • 주체 등급 <= 객체등급 (객체 기록 가능)
    • 높은 등급 사용자의 낮은 등급으로 정보 유출 방지
  • 장점
    • 권한이 없는 사용자의 정보 차단으로 정보의 기밀성 보장
  • 단점
    • 보안 수준 낮은 주체의 높은객체 정보변경 가능으로 정보의 무결성 보장은 불가함
• ----BLP의 단점인 무결성을 보장하는 최초의 수학적 모델 등장
• Biba 모델
  • 정보가 상위에서 하위로 흐른다는 개념 적용
  • 기밀성보다는 정보의 불법적인 변경을 방지하기 위해 금융권 등에서 사용함
  • 단순 무결성 속성
    • 보안 수준이 높은 주체는 보안 수준 낮은 객체에 대한 읽기 권한 없음(No Read Down)
    • 주체의 등금 <= 객체의 등급 (객체 읽기 가능)
  • 성형 무결성 속성
    • 보안 수준 낮은 주체는 보안 수준 높은 객체에 대한 쓰기 권한 없음(No Write Up)
    • 주체의 등급 >= 객체의 등급 (객체 기록 가능)

[ 3-4. 역할기반 접근제어 (RBAC) ]

 

Role-Based Access Control

• 역할이 가지고 있는 권한을 수행하면서 접근제어 수행
• 4가지 참조모델로 확장
  • RBAC0(RBAC Core) -> RBAC1 -> RBAC2 -> RBAC3
• 기존 접근제어 모델과의 차이점
  • 사용자 정보가 자주 바뀌는 경우 개인 사용자 권한 부여보다 사용자 역할부여로 권한 수행하면 편리함
• 수행과정
  • 역할 생성 -> 사용자/사용자그룹과 연결 -> 사용자접근,사용요청 시 접근제어 수행
  • 핵심개념 : 사용자 할당, 권한 할당
• 등장배경
  • 기존의 접근제어의 단점(빈번한 수정 발생 시 비효율적)을 극복함 (효율적인 권한 관리)
• 장점
  • 역할 회수 및 부여로 효율적
• 단점
  • 역할 폭발 가능성 있음 (역할의 많은 증가로 세밀한 접근제어 불가능, 롤 사이의 Conflict)
  • 역할 폭발
    • 기하급수적인 역할의 증가로 역할 관리를 수행할 수 없는 상태
    • 조직, 시스템의 증가나 역할에 따른 권한부여에 의해 발생하기도함
• 실제 예시
• 회계장부에 대한 회계사, 개발자

RBAC 적용 분야

• 데이터베이스, 시스템관리, 운영체제
• NIST의 RBAC 참조모델
  • 4단계의 RBAC 표준 참조모델 제시
    • 기본형 RBAC : 핵심구성요소(사용자, 역할, 권한, 세션)
    • 계층형 RBAC : 기본형 + 역할간의 계층구조, 다중상속 허용/다중상속 금지
    • 제약형 RBAC : 임무분리(사용자가 직위나 직책을 벗어나는 행위를 막음 -정적임무분리/동적임무분리)
    • 대칭형 RBAC : 적절한 권한-역할 배정
• Ravi S.Sandhu의 RBAC 모델

[ 5. 속성기반 접근제어 (ABAC) ]

 

속성기반 접근제어 (ABAC)

• Attribute-Based Access Control
• 객체와 주체의 속성에 대한 조건을 토대로 접근제어 수행
• 해당 속성 가지고 있는지 판단함
• 주요 요소
  • 주체 : 사용자 개인이나 그룹, 또는 애플리케이션 등이 해당. 주체속성(주체가 가진 속성리스트)
  • 객체 : 무단 액세스로부터 조직이 보호해야하는 대상, 자원. 객체속성
  • 속성 : 핵심요소, 수치나 형태로 표현할 수 있는 유무형의 모든 것, 환경조건(동적인 조건)
• 속성이 정책을 만족하는지 판단하여 세부적인 접근제어 수행함
• 장점
  • (동적인)환경 조건을 고려한 세밀한 접근제어
  • 특정 시간/요일에만 객체에 접근할 수 있도록 정책 설정 가능
  • 유연한 접근 제어 : 환경에 따라 역할을 적절히 변화시킬 수 있음
• 단점
  • 객체, 주체에 대한 속성의 주기적 개별적인 관리가 필요함
  • 인가 여부 결정 과정에서 높은 성능 비용 발생 가능성 있음