본문 바로가기
  • (개인)정보보호/최신ICT 정보 공유 블로그

접근통제6

접근통제 메커니즘 제 5 절 접근통제 메커니즘 l 접근통제 행렬(Access Control Matrix) [그림] 접근 제어 행렬 접근통제 행렬은 위 그림과 같이 전체 주체와 전체 객체에 대한 권한 관계를 2차원 배열로 관리하는 구현 방법이다. 각 행은 각 주체를 나타내며 각 열은 각 객체를 나타낸다. 위 그림에서 root는 File1과 File2에 대해 읽기와 쓰기가 가능하지만 user1은 File1에는 읽기만 File2에는 읽기와 실행만 가능하다. 이처럼 주체와 객체를 알고 있으면 어떤 권한을 가지고 있는지 바로 알아낼 수 있지만, 주체의 수나 객체의 수가 많아지면 쓸데없이 사용되는 메모리 공간이 많아지는 단점을 가지고 있다. l ACL (Access Control List) [그림] ACL 개념도 가장 많이 사용하는.. 2022. 3. 18.
접근통제 정책 제 3 절 접근통제 정책 l 강제적 접근통제 (MAC) 규칙 기반의 접근통제 정책과 동일한 개념인 강제적 접근통제(MAC)는 사전에 정의된 보안등급과 보안레벨에 의하여 통제하는 기법이다. 객체에 대한 접근은 주체에게 부여된 보안등급(권한)과 객체에 부여된 보안레벨(허용등급)에 기반하며, 관리자가 주체의 자원에 대한 권한을 부여하기 때문에 군 또는 공공기관과 같이 강력한 보안이 필요한 곳에서 주로 사용한다. 정보시스템에서 주체가 객체에 접근할 때 양측의 보안등급을 비교하여 낮은 등급의 주체가 높은 등급의 객체에 접근할 수 없도록 통제하며 모든 주체와 객체에 등급을 설정해야 하므로 복잡하다. 대표적인 예로서 카페에서 회원의 등급별로 접근가능한 게시판을 통제하는 방법이다. 규칙 기반의 접근통제 정책은 MLP(.. 2022. 3. 18.
접근통제 절차 제 2 절 접근통제 절차 접근통제의 절차는 식별 및 인증(I&A), 인가(권한부여)로 이루어져 있다. [그림] 접근통제 절차 개념도 · 식별 단계는 시스템 등에 접근하려는 주체가 누구인지를 확인하는 단계이며, 사용자명, 계정번호, 메모리카드 등을 이용해 사용자의 책임추적성을 위한 정보로 활용한다. · 인증 단계는 주체의 신원을 확인하기 위해 증명하는 단계이며, 패스워드, PIN, 토큰, 스마트카드, 생체인증 등을 활용한다. · 인가(권한부여) 단계는 인증된 주체에게 접근을 허용하고 업무를 수행할 권리를 부여하는 단계이며, 허가 받은 일을 수행하기 위한 최소한의 권한만을 부여한다. 2022. 3. 18.
접근통제 정의 제１절 접근통제 정의 [그림] 접근통제 개념도 좁은 의미의 접근통제 정의는 접근 승인 만을 의미하지만 일반적으로 접근통제란 식별 및 인증, 인가, 감시를 의미한다. 접근통제에서는 주체가 액세스할 수 있는 권한을 기반으로 객체에 접근했을 때 인증된 주체의 객체에 대한 액세스 요청을 승인 또는 거부를 결정하고, 비 인가된 접근을 감시한다. 접근통제의 목적은 주체의 접근으로부터 객체의 기밀성, 무결성, 가용성을 보장하는 것이며 적절한 접근통제를 위해 최소한의 권한만을 허용하여 권한남용을 방지하고, 업무의 승인∙변경∙확인∙배포 등이 한사람에 의해 처리되지 않도록 직무를 분리해야 한다. (최소 권한/직무 분리) 접근통제에서 시스템에서 작업을 수행할 수 있는 개체를 주체라고 하고 사람, 프로그램, 프로세스 등이 포.. 2022. 3. 18.
(ISMS-P) 2.10.6. 업무용 단말기 보안 (항목) 2.10.6. 업무용 단말기 보안 (내용) PC, 모바일 기기 등 단말기기를 업무 목적으로 네트워크에 연결할 경우 기기 인증 및 승인, 접근 범위, 기기 보안설정 등의 접근통제 대책을 수립하고 주기적으로 점검하여야 한다. 2021. 12. 1.
(ISMS-P) 2.8.4. 시험 데이터 보안 (항목) 2.8.4. 시험 데이터 보안 (내용) 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다. 2021. 11. 24.

티스토리툴바