Database Access Control & Audit

편지를 주고받고 디스켓을 들고 다니며 정보를 주고 받던 시절과는 달리 지금의 환경에서는 몇 가닥의 케이블을 통해 정보가 움직이고 있습니다. 

E-Mail을 통해 의사를 전달하고 중요정보가 담겨있는 데이터베이스에도 단지 몇 가닥의 케이블을 이용해 데이터를 넣고 빼고 있습니다.

네트워크를 통한 정보의 교환 덕분에 매우 편리 해졌지만 이는 눈에 보이지 않는 과정에서의 정보 탈취, 변조 등의 공격은 끊임 없이 일어나고 있습니다. 물론 네트워크 구성이 되어있는 곳이라면 방화벽 등의 보안 장치를 통해 정보의 유출을 막기 위한 조치를 하고는 있지만 데이터베이스의 특성 상 IP와 Port 등의 한정된 정보와 조건만으로 보호하기란 불가능합니다.

방화벽 등과 같은 보안 장치로 감사/통제가 부족한 부분은 데이터베이스 자체의 보안 기능과 계정 단위의 감사/통제 정책, 데이터베이스가 설치된 시스템의 운영체제에서의 보안 정책으로 어느 정도 보완이 가능하지만 이런 정책 만으로는 복잡한 데이터베이스의 정보 교환 과정에서의 감사나 통제는 부족할 수 밖에 없습니다. 부족한 감사와 통제는 정보 유출 사고와 직결 될 수 있으며, 실제로 데이터베이스에서 정보를 유출, 탈취와 관련된 사건, 사고는 끊이지 않고 일어나고 있습니다. 게다가 이러한 부족한 감사 능력은 이미 발생한 유출 사고에서의 유출 정도를 파악하는 것 조차 어려우며 심지어는 사고 자체를 알아차릴 수 없는 상황도 생길 수 있습니다. 

웨어밸리의 접근제어 솔루션인 샤크라맥스는 방화벽의 아래 단에 위치하면서 이러한 복잡한 데이터베이스의 정보 교환 과정 전체를 감시하고 데이터베이스의 특성에 맞는 보안 정책에 따른 통제 역할을 수행합니다.

늘어나는 정보 유출 사고와 관련하여 국내는 물로 해외의 여러 국가들도 중요해진 정보를 보호할 수 있도록 법규를 제정하고 법규를 기반으로 정보의 유출과 관련된 가이드라인을 제공하고 있습니다. (국내의 경우는 각 항의 해당 기술적 조치를 하지 않을 경우 법적 제제를 행하고 있습니다.) 

 개인정보 보호와 관련된 법률

 

정보 보호와 관련된 법률은 보안상 안전하다고 여길 수 있는 정책적 광범위한 가이드 라인과 데이터베이스의 운영과 관련된 세세한 내용을 모두 포함하고 있습니다. 

개인정보보호법(행정안전부고시 02-2100-1732)상에서는 보유하고 있는 정보들의 보호조치를 하지 않을 경우 법적 조치를 가함을 명시하고 있습니다.

이러한 환경의 변화에 따라 웨어밸리는 증가하는 위협으로부터 데이터베이스를 안전하기 위해 다양한 솔루션을 제안하고 있습니다.

점검항목

① 상시적으로 네트워크를 통한 비 인가자의 DB 접근을 통제

② 상시적으로 DB 접속자 및 개인정보 취급자의 접속기록을 유지

③ DB접속 기록을 주기적으로 모니터링 하여 통제

④ 개인 정보 취급자의 역할에 따라 DB 접근 권한을 차등화하여 부여

⑤ DB접속자 및 개인 정보 취급자의 DB 로그인 비밀번호 매 3개월 변경

⑥ DB접속자 및 개인 정보 취급자의 비밀번호 입력 시 5회 이상 연속 입력 오류가 발생 할 경우 계정 잠금 등의 제한 조치

⑦ DB 및 DB접속 어플리케이션 서버에서 보조기억 매체 사용자 관리자 승인

* 개인정보 처리 시스템 기준 점검 항목 발췌

1. 상시적으로 네트워크를 통한 비 인가자의 DB 접근을 통제 하여야 합니다.

IP와 Port 등을 기준으로 통제를 하면 간단 한 문제 일 수 있지만 데이터베이스의 특성상 ‘인가된 사용자’를 판단하는 일은 쉬운 일이 아닙니다.  

샤크라맥스는 IP, Port 정보뿐 아니라, 사용자의 OS User, 사용중인 DBMS 관리 툴, DBMS의 계정, 접근하고자 하는 Table, Column 및 Query 문 정보 등 데이터베이스에서 행해지는 행위의 거의 모든 정보를 기준으로 접근 인가 여부를 설정 할 수 있습니다.

2. 상시적으로 DB 접속자 및 개인정보 취급자의 접속 기록을 유지하여야 합니다.

단순 접속 기록이라고 한다면 접근자의 IP 정도만 기록하여도 무방 할 것입니다. 하지만 데이터베이스의 접근자는 IP가 다를 수 있고 DBMS의 계정이 다를 수 있으며, 취급하는 정보의 등급 등 다양한 정보들이 제각기 다를 수 밖에 없습니다. Chakra Max는 데이터베이스에 접근할 때 확인 할 수 있는 모든 정보와 모든 행위를 100% 확인하고 기록 할 수 있습니다. 

3. 데이터베이스 접속 기록을 주기적으로 모니터링 하여 통제할 수 있어야 합니다.

샤크라맥스는 데이터베이스의 접근 기록과 작업 기록을 실시간으로 감시하며, 실시간으로 감시한 정보를 기반으로 다양한 조건 조합을 통해 데이터베이스에 던져지는 알파벳 문자 하나하나까지 통제가 가능합니다. 민감한 정보의 접근 시에는 실시간 알림 기능을 통해 관리자에게 전송해주며, 미처 깨닫지 못했던 취약점에 대한 정책을 적용 시 실시간으로 적용 하여 즉시 통제 할 수 있습니다. 

4. 개인정보 취급자의 역할에 따라 데이터베이스 접근 권한을 차등 부여 해야 합니다.

앞선 항목들에서도 기술 했듯이 샤크라맥스는 데이터베이스에 접근하여 작업할 때 생기는 거의 모든 정보를 확인 할 수 있습니다.  

이 정보들을 기반으로 무한대에 가까운 조건 조합을 통해 데이터베이스 접근자의 권한을 수십, 수백 단계 이상 나눠서 부여할 수 있습니다.

5. 데이터베이스에 접근하여 정보를 취급하는 자의 계정을 안전하게 관리 할 수 있어야 합니다.

비단 데이터베이스뿐만이 아니라 모든 인증 과정에서의 계정과, 비밀번호는 안전하게 관리 되어야 하는데 실제 사용자들은 관리의 편리성을 이유로 쉬운 비밀번호를 사용하고 업무가 종료될 때까지 비밀번호를 바꾸지 않는 경우가 대부분입니다. 

하지만 샤크라맥스의 에이전트를 통해 계정을 발급하고 조건(주기적 비밀변호 변경, 비밀번호 길이 지정 등) 부여를 통해 계정을 관리 할 수 있도록 하면 사용자의 계정 관리 인식을 바꿀 수 있으며, 웨어밸리의 오렌지와의 연동 기능을 사용 할 경우 실제 데이터베이스의 계정은 숨기고 가상화하여 더욱 안전하게 계정을 관리 할 수 있습니다.

6. 데이터베이스 및 데이터베이스접속 어플리케이션 서버에서 보조기억 매체 사용자 관리자 승인

일단 정보의 취급자가 데이터베이스에 연결되면 한정된 권한 내에서라도 취급 가능한 정보는 모두 유출(파일 저장, 종이 인쇄 등)이 가능합니다. 

수많은 정보를 손가락 만한 USB 메모리에 담아 유출하는 것은 어떠한 일보다도 간단한 일 중 하나입니다.

하지만 이 간단한 일을 통제 하는 것이 매우 어렵습니다. 이미 취급자의 업무용 PC에 전송된 데이터는 방화벽도, 운영체제도, 프린터도 통제 할 수 없기 때문입니다. 하지만 샤크라맥스는 DBMS 툴에서의 파일 저장, 인쇄 통제 기능을 제공함으로써 이러한 물리적 유출에도 일부 대응 할 수 있습니다.

샤크라맥스는 중요 정보의 일부를 특별한 문자로 치환하여 보여주는 Masking 기능을 지원합니다. 이는 주민번호, 조합된 개인 정보 등에 적용 하여 당사자가 아닌 정보 취급자가 개인 정보를 열람하는 행위를 차단 할 수 있도록 하여 부득이한 경우에라도 개인정보의 노출을 최소화 할 수 있도록 도와줍니다.

샤크라맥스는 작업 결재 기능을 지원하여 민감한 정보의 열람, 수정 등에 한시적인 권한을 부여 하도록 하여 정보 노출, 변조를 막을 수 있으며, 작업 내영에 대한 또한 번의 기록과 함께 관리자의 쿼리 확인 과정을 유도함으로써 악성 쿼리를 걸러낼 수 있도록 하여 작은 범위의 데이터베이스 튜닝의 역할을 할 수 있습니다.

또 방화벽, 서버들 각각에서는 기록되지만 조합을 하지 않으면 확인이 불가능 한 정보들(WAS를 통해 데이터베이스에 접속사는 사용자 정보 등)을 추적하는 실시간 3Tier-Tracking을 통해 더욱 더 명확한 접근 기록을 남길 수 있습니다.