접근통제 정책

제 3 절 접근통제 정책

l 강제적 접근통제 (MAC)

규칙 기반의 접근통제 정책과 동일한 개념인 강제적 접근통제(MAC)는 사전에 정의된 보안등급과 보안레벨에 의하여 통제하는 기법이다. 객체에 대한 접근은 주체에게 부여된 보안등급(권한)과 객체에 부여된 보안레벨(허용등급)에 기반하며, 관리자가 주체의 자원에 대한 권한을 부여하기 때문에 군 또는 공공기관과 같이 강력한 보안이 필요한 곳에서 주로 사용한다.
정보시스템에서 주체가 객체에 접근할 때 양측의 보안등급을 비교하여 낮은 등급의 주체가 높은 등급의 객체에 접근할 수 없도록 통제하며 모든 주체와 객체에 등급을 설정해야 하므로 복잡하다.
대표적인 예로서 카페에서 회원의 등급별로 접근가능한 게시판을 통제하는 방법이다.
규칙 기반의 접근통제 정책은 MLP(Multi-Level Policy)과 CBP(Compartment Based Policy)으로 구분할 수 있는데 MLP는 정부 기밀 분류 환경(Bell and LaPadula)에서 사용될 수 있으며, CBP는 부서(Compartment)간에 구분된 접근권한 관리가 필요할 때 적용될 수 있다.

l 임의적 접근통제 (DAC)

신분 기반의 접근통제 정책과 동일한 개념인 임의적 접근통제(DAC)는 객체에 대한 접근을 객체를 소유한 사용자 또는 그룹에 기반하여 통제하는 기법이다. 객체 소유자인 사용자 또는 그룹이 다른 사용자나 그룹에 권한을 부여, 변경할 수 있다는 의미에서 재량권을 갖고 있다.
개인 또는 그룹의 식별자 또는 신분을 기반으로 객체에 대한 주체의 접근을 통제한다.
대표적인 예로서 유닉스나 윈도우 등 운영체제에서 각 파일이나 디렉토리에 대한 접근권한을 통제하는 방법이다. 유닉스에서 각 파일은 파일 소유자가 권한부여에 대한 판단 후 그 파일에 대한 접근 제어를 설정할 수 있다.
신분 기반의 접근통제 정책은 개인 기반 정책(IBP)과 그룹 기반 정책(GBP)으로 구분할 수 있는데 IBP는 개인이 객체에 대해 어떤 행동을 할 수 있는지 정의하는 방법이며 GBP는 다수의 개인이 포함된 그룹에 대해 객체에 어떤 행동을 할 수 있는지 정의하는 방법이다.

l 역할 기반 접근통제(RBAC)

역할 기반 접근통제(RBAC)는 사용자 개인 또는 그룹에 대한 역할을 정의하고 정의된 역할을 사용자에게 역할을 할당하여 접근통제를 하는 기법이다. 사용자 정보는 자주 바뀌어도 역할 정보는 자주 바뀌지 않는다는 것에 착안한 모델이다.
권한 관리자는 다수 사용자의 접근권한을 관리하지 않고 적절한 역할만 부여해주면 되기 때문에 권한 관리 부담이 감소한다. 다양한 권한이 고려될 경우 권한 조건이 늘어날 때마다 역할의 개수가 과도하게 늘어날 수 있는 단점이 있으므로 역할을 개수를 적절히 유지하는 것이 중요하다.
사용자와 역할 사이의 관계는 보통 다대다(M:N) 관계이기 때문에 한 사용자가 여러 개의 역할을 부여 받을 수 있다. 또한 역할과 객체 사이의 관계도 다대다(M:N) 관계이기 때문에 한 역할이 여러 객체에 대한 접근 권한을 부여 받을 수 있다.
대표적인 예로써 인터넷 카페 등을 관리하는 관리자의 권한을 분류하고 분류된 권한을 각 사용자에게 할당하는 방법이다.

l 속성 기반 접근통제(ABAC)

속성 기반 접근통제(ABAC)는 객체와 주체의 속성에 기반하여 접근통제를 하는 방식이다. 주체가 어떤 객체에 접근하기 위해 만족시켜야 하는 속성에 대해 정의하고, 그 객체에 접근하려는 주체가 그 속성을 가지고 있는지를 검사하여 접근 제어를 수행한다.
시스템의 다양한 요소를 반영할 수 있기 때문에 표현력과 유연성이 좋은 것이 장점이지만, 큰 규모의 시스템에서는 일일이 속성을 적용하기 어렵고 각 객체 접근마다 복잡한 속성 조건을 계산해야 하기 때문에 성능이 다소 느리다.
예를 들어 ‘관리자이며 이 파일에 대해 읽기/쓰기를 할 수 있다’, ‘토요일에는 누구도 파일에 액세스를 할 수 없다’ 등과 같은 방법으로 통제할 수 있다.