120515 security framework2.20

2-2. DB 보안

Preview

항목 상세내역

개요 웹에 DB가 연결되면서 대두되는 데이터 유출문제에 대한 대책

기출여부 92
관련KeyWord 접근제어, 암호화, Compliance

추천사이트

기술발전
Crypto Card기반 암호화접근제어솔루션/암호화 솔루션
RoadMap

기타 성능성 문제 심각

-0- ㈜ 인포레버컨설팅 교육사업본부

DB보안
 개요
– 데이터를 다양한 보안위협으로 부터 보호하는 체계 및 기술
– 최근 기업데이터, 개인정보의 중요성 및 Compliance증가로 이슈화
– DB보안 요구사항: 인증/접근통제/감사

 DB보안의 문제점
– 보안관리자는 DB를 모르고… DB관리자는 보안을 모른다.
– DB Vender마다 보안수준이 제 각각임
– 연관인, 내부자에 의한 범죄발생 비율이 높음
– 보안강화에 따른 Performance저하/비용소요가 많음

 DB보안 관련공격

Domain 관련내용
네트워크 관련 공격 • DDOS: String투입을 통한 NW Daemon down
(BOF, 우회) • NW Daemon우회 및 직접공격: 암호설정의 취약성, 내부패키지 변형
을 통한 해킹코드 삽입
인증 프로세스 공격 • 사용자 정보 변형: 확인절차 차단을 통한 직접 엑세스
• 백도어: 메모리상주 패키지를 악용한 백도어 설치
SQL, Procedure Injection • SQL Injection: SQL변형, 코드투입, 함수투입, BOF
• Procedure Injection: Embeded SQL, Cursors, DBMS특화된 패키지


DB보안
 DB보안의 기술 Domain

Domain 관련내용
Authentication • 패스워드 관리
• 가용한 인증수단 동원: 생체인식, 인증서, ID/password 등
• NW Daemon설정관리, 기본포트 변경
Authorization •Public계정의 제한, 사용 어플리케이션 변경 검토
•시스템 권한 Revoke, Any계열 권한 Revoke
Access Control • DB Schema Design: Authorization고려하여 설계
• 접근제어모델:MAC, DAC, RBAC
Confidentiality • 데이터 암호화(DBMS 옵션사용 혹은 전용 솔루션)
• 전송데이터 암호화(SSL/TLS)
Backup/Recovery •Incremental/Full, 백업정책

Audit • Trigger 등 임시조치
• DBMS제공 Audit Tool 이용(성능저하 감소 고려)

 전망/고려사항
– 웹 일색의 App.웹을 통한 침해가능성 상존(웹 보안과 DB보안의 동시진행 필요)
– IT Compliance 주의(개인정보보호법 등)
– 각종 보안기능 사용시에 따르는 성능저하를 고려하여 발주
– 감사기능은 DBMS Vender에 따라 기능차이가 있으므로 제공기능 외 별도의 기능구현 필요


DB보안 솔루션의 종류

접근제어 제품
구분 암호화 제품
Sniffing 방식 Server Agent 방식 Gateway 방식

보안통제가 완벽하지
보안기능 강력한 보안 기능 제공 강력한 보안 기능 제공 강력한 보안 기능 제공
않음

DB서버에 영향 없이
DB 서버 성능에
Agent 가 설치되지 않는 Agent 설치로 인한 DB 서버 안정적 운영 가능
영향 영향을 줌
방식 성능에 영향을 줄 수 있음 Gateway 구성에 따른
장단점 (5-10% 부하 생성)
DB서버에 영향 없이 Agent 장애로 인한 장애 대응 방안 필요
안정적 운영 가능 암호화 및 인증 키
대책 미비 (이중화 or Bypass)
관리 필요
암화화 대체 기능제공

확장 시 각각의 세그먼트 별도의 H/W 추가 없이 별도의 H/W 추가 없이
확장성 서버마다 Agent 설치 필요
마다 H/W 연결 필요 확장 가능 확장 가능

비정형데이터 제어 시
정형데이터 모니터링 시 우회 접속에 대한 제어 시 구성하는 방식이며, 암복호화 및 DB 성능
제품특징
구성 방식 구성하는 방식 보안성 및 확장성이 튜닝 등 고려 사항 많음
뛰어남

출처: DB Safer


DB접근제어 솔루션의 일반기능

• 인증되지 않은 접속에 대한 세션 차단 및 실시간 경고 기능
접속 및
• 오브젝트에 대한 권한 설정 및 차단 기능
권한 제어
• 사용자별 사용 가능 명령어를 제한

• SQL 문 감시
모니터링 및
• 실행된 SQL문/실행시간/사용자/시간대 별 검색 및 추적
이력관리
• 접속 세션 및 실행 명령어 별 이력 관리

보안정책 관리 용이한 정책설정 및 반영

결재관리 중요 SQL 명령에 대한 사전/사후 승인(결재) 기능

• 데이터베이스 내부 통제
기타 • 여러 유형의 DBMS 통합 모니터링
• 특정 Data, Field에 대한 Masking 기능


DB보안 솔루션 적용의 접근방안

 성능
– 논란이 여지 많음, 대체로 소규모 사이트에서 성공 Reference 출현
– 대규모 사이트는 별도의 접근 필요

 가격
– BPR 수행으로 대상시스템 최소화
– Master DB 및 Virtual Identifier를 이용한 구현

 운영/이행
– 감시가 힘들다면 없느니만 못하다. (특히 Gateway형 접근통제)
– BPR 수행으로 프로세스 및 대상시스템을 최적화하는 과정을 병행
– CTO, CSO를 적극적으로 이용


2-3. DLP

Preview

항목 상세내역

개요 기밀 데이터 유출의 감시/기록/유출 차단 솔루션

기출여부
관련KeyWord

추천사이트

기술발전
PC방화벽PC보안 솔루션DLP
RoadMap

솔루션 한계와 적용상의 문제점에 많은 생각 필요
기타
마케팅용어에 현혹되지 말고 기술의 연장선을 먼저 파악할 것


DLP(Data Loss Prevention)
 개념
– 사용자의 PC에서 기업 내 기밀 데이터가 외부로 반출되는 것을 항시 ‘감시하고 기록하며’, 정책에 따라
유출을 차단시키는 것을 주기능으로 구현한 솔루션
 부각배경
– 기존 PC보안솔루션의 한계성
– 개인정보보호법 등 Compliance의 강화
 개념구성도 및 기능
– 개념구성도
Data Classification Content Tracking Data Loss Prevention
(Enforce Tagging Rules) (M aintain Tags) (Enforce Reaction Rules)

서버에서 복사된
데이터 Emails
Endpoint
DLP호스트는 원본 자료가 웹 업로드
로컬 변경되거나 포멧 변환이 (웹메일, 포탈)
어플리케이션에서 되어도 지속적인 보호
생성된 데이터 기능을 제공함.

• 이름 변경
• 파일 포멧 변경 인쇄
사용자에 의해 • 다른 문서로 내용 복사
생성된 문서 파일 • 문서를 압축(Zip…)
• 문서 암호화(Encr ypt ion) Removable media


– 기능

구분 기능
파일 저장 위치 별 분류 – 파일서버 특정폴더
Contents에 따른 분류 – 키워드, 임계치 등
Data 분류 파일 유형에 따른 분류 – 확장자, 어플리케이션
Fingerprint
관리자에 의한 복합 기준 분류
USB 메모리 등 모든 물리적 장치
분류 등급에 따른 외부 복사제어
인쇄 모니터링 또는 차단
복사 & 붙여 넣기 화면 캡처
Data 유출방지 메일 클라이언트를 통한 유출 차단
네트워크 어플리케이션을 통한 유출 방지
윈도우 제공 네트워크 경로차단
웹 브라우저를 통한 웹 포스팅 차단
외부 웹 메일 사용시 차단
Forensic 로그 및 분석
가시성 확보
유출 시도 증거물 수집 (Automatic Evidence Collection)
실시간 경고 (POP-UP MESSAGE)
기타 Bypass 옵션
정책 예외 설정


– 핵심기능인 Data 분류기법의 종류

By location • 파일서버, 특정 폴더, 공유 드라이브, PC…

• 키워드, 정규식(주민번호, 사회보장번호 등)
By content
• thresholds(ex: 주민번호 100개 이상)

By file-type • 특정 어플리케이션별 데이터(doc, xls, SAP,
BusinessObjects…)
• Third Party 협력체계 중요

By fingerprint • Hash값을 이용한 digital signature
• 업체별 구현방식 상이

 도입 고려사항
– 기존 보안 Policy와의 관계, End User환경과의 조화
– 솔루션의 한계성 및 기대수준의 설정
– 설치율 제고의 문제


Access Control
&
Authentication
Authorization
Accounting

- 10 - ㈜ 인포레버컨설팅 교육사업본부

3-1. MAC/DAC/MLS

Preview

항목 상세내역

개요 기타 접근제어 모델

기출여부
관련KeyWord Secure OS

추천사이트 http://www.kangho.com/exploit/SEC/2-acessControl.html

기술발전
RoadMap

기타 여러가지 접근제어 모델이 학술적 차원에서 발표되었으나 채택된
기타
것은 거의 없음.


MAC/DAC/MLS

 MAC (Mandatory Access Control)
– 원리: 주체는 인가 레이블, 객체는 분류 등급(민감도 레이블)에 의해 접근허가 결정
• 주체는 그룹/도메인도 가능
• 인가>분류: Access
• 인가<분류: Deny
– 관리자에 의한 중앙관리(DAC에 비해 유연성은 떨어짐)
• 군대 등 복잡성/비용에 민감하지 않은 곳에서 사용
– 예: BLP(Bell-LaPadulla)모델, Biba모델, MLS
• Linux(Suse Linux, SELinux..)
• Vista/Server2008
• FreeBSD

 DAC (Discretionary Access Control)
– 보안관리자/객체소유자가 ‘요청주체’의 신원에 따라 접근권한을 결정함
• 예: 인사DB 접근권한은 인재개발팀에서 결정하며 ‘인사관련부서’는 read권한을, ‘
나머지 부서’는 접근을 불허한다.
– Access Matrix(Capability List, ACL)모델, Take-Grant모델, Action-Entity모델

•분류 등급 예: public, confidential, secret, top secret
•보안 취급 허가 라벨 예: 인사정보 열람을 위해 Secret 이상의 등급이 필요함


MAC/DAC/MLS

 MLS (Multi-Level Security)
– 주체/객체는 프로세스, 파일, 사용자, 포트번호 등 컴퓨터에서 구분 가능한 모든 것이 해당됨
– 구현여부는 구현자가 결정
– DAC/MAC 동시적용 시 생길 수 있는 논리적 모순현상 해결 가능
– http://www.centos.org/docs/5/html/Deployment_Guide-en-US/sec-mls-ov.html

No Read Up, No Write Down
• No Read up: Confidentiality 유지 목적
• No Write Down: Integrity 유지 목적


3-2. RBAC

Preview

항목 상세내역

개요 가장 일반적으로 사용되고 있는 접근제어 모델

기출여부 92
관련KeyWord 데이터 추상화

추천사이트 http://www.kangho.com/exploit/SEC/2-acessControl.html

기술발전
RoadMap

기타


RBAC (Role Based Access Control)

 개념
– 사용자에게 부여된 역할에 근거하여 접근통제를 실시하는 방법
– 기존 접근제어 모델의 불완전함에서 출발
• MAC: 등급 설정이 모호한 경우에 적용불가
• DAC: 권한표현, 관리성의 개선 필요

2. 배정 1. 배정
사용자(U) 역할(R) 권한(P)

세션(S)

Object
3. Access

 RBAC 의 특성
– 관리 효율성, 상속가능, Least Privilege 구현 가능
– 임무분리: 상호감시 가능
– Data 추상화: OS RWED외 추상화 가능(입금, 출금 등)
– 객체분류: 수행업무에 따라 사용자분류, 권한제한 구현 가능


RBAC (Role Based Access Control)

 RBAC의 활용
– 상용SW 거의 대부분
– DBMS, OS, CORBA…
– Web 기반 Application도 활발하게 사용
 RBAC 구현 예

USER ROLE Permission 사용자 배정

U1: IRON R1: Admin R U1 : R1

R2: Owner W

D


3-3. AAA

Preview

항목 상세내역
보안의 기본기능으로 단순한 통신사업자의 AAA가 아닌 인증스키마 전체로
개요
개념확장 필요

기출여부
관련KeyWord Radius, Diameter (최소의미 AAA기준)

추천사이트

기술발전
단순/비신뢰복잡/신뢰/기술환경변화 수용
RoadMap

기타


AAA(Authentication/Authorization/Accounting)

 개요
– 사용자 신원의 확인서비스권한부여과금/감사
– 보안의 기본, 서비스/통제 시 세가지 중 한가지 이상 반드시 필요
 주요 기능
– Authentication: 인증 요구자 당사자의 증명, id/password/생채인식/Smart Card 등
– Authorization: 사용자 요구작업의 허용여부 결정
– Accounting: 사용자 사용내역의 Audit
 주요 인증 프로토콜
– Radius
• UDP기반, C/S, 저변이 넓음
• 보안/Fail Over기능 약함
• 과금 시 패킷 손실 가능
– TACACS+
• TCP기반, CISCO, C/S
• 보안강화, CISCO NW기기 인증에 주로 사용
– Diameter
• TCP/SCTP기반, P2P
• 보안강화 (IPSEC/TLS), 뛰어난 확장성
• Mobile IP(Roaming), Fail Over, 메시지 처리기능 향상


AAA(Authentication/Authorization/Accounting)

 AAA의 활용
– AAA솔루션: ISP위주의 사용
– 일부 사용: 일반 SW보안, IAM/EAM 등 개념승계
 향후전망
– IPv6대비, Radius확장
– Diameter로의 대개체 (과금/보안/802.1x/NASRAQ/EAP/PKI지원 등 신기능 풍부)
 Diameter

Cellular ACR Diameter 응용 다양한 AAA서비스
RAS
Phone

Diameter base 프로토콜의 구조적 확장
Fixed Phone
VoIP 각종 GW 하부전송계층
Set-top Box

Peer1 Peer2


120515 security framework2.20

More Related Content

What's hot (20)

Viewers also liked (15)

Similar to 120515 security framework2.20 (20)

More from skccsocial (6)

120515 security framework2.20