DB(Database) 보안

DB 보안

1. 접근 제어

- 사용자가 DBMS에 로그인하거나 SQL을 수행하려고 할 때, 저으이된 보안 규칙에 따라 권한 여부를 판단하여 통제하고, 로깅이 필요한 SQL에 대하여 SQL수행 과 관련된 정보를 저장하여 부당한 조작여부를 판단하는 보안 통제 방법

- 대체로 DBMS 자체가 강력한 보안기능을 제공해, 해킹보다는 DB에 접근 권한을 가진 사용자의 권한 남용을 통한 정보 유출과 변조가 가장 중요한 위협

- DB 제어시 게이트웨이를 경유하도록 유도하여 요청 내용을 분석하고 제어하고 기록하는 방식이며 접근 제어 규칙기반이므로 보수적인 규칙일수록 우회 가능성이 적어짐

2. 암호화

- 데이터를 암호화하여 저장하고, 권한이 있는 사람 혹은 서버만이 해당 데이터를 복호화 할 수 있도록하여 데이터를 보호하는 기술

- DB 접근 제어와 병행 사용하여 더 큰 효과를 낼 수 있음

- DB 접근 제어를 통해 부적절한 접근을 우선적 차단하고, 인가되지 않은 부적절한 접근이 이루어지더라도 비권한자나 비권한 프로세스에 의해 데이터가 판독되지 않게 암호화한다.

3. DB 작업결재

- 보안상 중요한 데이터에 대한 접근 및 처리등의 DB 작업에 대해 사전 승인을 거치는 결재 정책을 정의하고, 기안-승인 프로세스를 걸쳐 실행 권한을 부여받은 후 DB 작업이 진행되도록 함

- 개발 측면에서는 불편과 처리 시간 지연을 야기하지만 보안 측면에서는 효과적

- 관리적 보안의 한 형태이며 사전에 DB 작업이 기안되므로 실수 최소화, DB 작업 시간과 횟수를사전 승인 받을 수 있어 감사 이력에 적합하다

4. DB 취약점 분석

- DB 시스템이 지니고 있는 보안상의 문제점이나 허점을 의미하며, DBMS의 소스코드, DB 시스템 구성 및 설정등에서 발생하는 잠재적인 보안 위험에 해당함

DB 보안에 관한 개인적 견해

1. 암호화는 DB 응답 속도에 영향을 미친다. -> 초기의 보안이 접근통제 위주로 이루어짐

 

2. 이로 인한 접근제어 솔루션은 기본적으로 적절한 권한을 가진 인가자만 특정 시스템이나 정보에 접근할 수 있도록 통제하는 기능을 제공한다. 시스템의 보안을 위한 가장 기본적인 방법이며, 애플리케이션 서버 또는 사용자들의 접근 권한을 설정해 적합한 트랜잭션만 허용하는 것이다. 이외에도 모니터링 기능, 접속 이력 보관, 데이터마스킹 등 다양한 기능이 추가되고 있다.

 

3. DB 접근제어는 DB 시스템 변경 이슈와 시스템 속도 등 성능에 대한 이슈 없이 데이터를 보호할 수 있다는 점이 큰 장점이다. 하지만 접근제어는 권한 있는 사람에 의한 정보유출을 막지 못한다는 문제가 있다. 또한 DB접근제어 솔루션을 지나면서 IP주소가 바뀌기 때문에 DB서버에 남는 로그기록으로는 실제 사용자를 알기 어렵다는 단점도 있다.

 

4. 접근제어와 암호화를 동시에 구축하는 방식은 접속자에 대한 가시성을 확보하고 암호화를 통해 보안성을 높일 수 있다는 점에서 관심을 끌었으나, 실제 운영환경에서 장애나 성능상의 이슈가 발생하는 등 여러 문제점이 나타났다.

 

5. 시스템 접근제어와 DB 접근제어를 통합하여 통합 접근 제어 솔루션과 암호화 기술영역에 접근제어를 통합하는 솔루션

 

6. 향후에는 암호화까지 통합된 DB 보안 솔루션이 될 것으로 보임

 

7. GDPR 과 개인 정보 보호 확대의 영향으로 DB 보안에도 영향이 있을 것으로 판단됨

주민등록만 암호화 -> 광범위한 개인정보에 대한 동일한 조치 요구 -> DB 보안 성장(암호화성장, 접근제어는 개인정보 암호화와 연관성이 적어 직접적이진 않지만 간접적 영향 예상됨)