접근제어 (MAC, DAC, RBAC, ABAC)

 

 

 

 

강제적 접근제어(MAC, Mandatory Access Control)

[정의] 비밀성을 갖는 객체에 대하여 주체가 갖는 권한에 근거하여 객체에 대한 접근을 제어하는 방법

[특징]
1) 강제 접근 통제에서는 주체와 객체의 수에 관계없이 접근 규칙의 수가 최대로 정해지기
때문에 다른 접근 통제 모델에 비하여 접근 규칙의 수가 적고, 통제가 용이한 방법
2) 강력한 접근 통제 방식으로 군대와 같이 기밀성이 매우 중요한 조직에서 사용

[종류]
- MLP(Multi Level Policy) : 자동화된 강제적 시행 정책을 따르는 방식으로서
일반적으로 허가되지 않은 노출로부터 정보를 보호하기 위해 사용
- CBP(Component Based Policy) : 일련의 타겟집합이 다른 타겟들과 분리된
이름의범주(category)를 갖고 연결

 

 

 

임의적 접근제어(DAC, Discretionary Access Control)

[정의] 주체나 주체가 속한 그룹의 신원에 근거하여 객체에 대한 접근을 제한하는 방법(객체의 소유주가 접근 여부를 결정)

[특징]
- 모든 사용자가 정보에 대해 단일화 되어 있지 않으며 하나의 사용자 정보 단위로 이루어짐
- 주체 지향 보안 구현 방식

[종류]
- IBP(Individual Based Policy) : 어떤 사용자가 어떤 행동 할 수 있는지 각 타겟별로 목록 표현
- GBP(Group Based Policy) : 다수의 사용자가 하나의 타겟에 대하여 동일한 허가를
부여받는 방식으로 조직 레벨 권한관리 용이

 

 

 

 

역할기반 접근제어(RABC, Role Based Access Control)

[정의] 중앙 관리자가 주체와 객체의 상호관계를 통제하며 조직내에서 맡은 역할에 기초하여 자원에 대한 접근허용 여부를 결정하는 방법

[특징]
- 권한을 부여하는 단위가 주체 대신 주체가 수행하는 기능(역할)에 권한이 부여
- 사용자는 보호대상정보나 자원에 대한 접근권한을 얻기 위해서는
해당 접근권한이 배정된 역할의 구성원이 되어야 함

[RBAC 모델의 원리]
1) 최소권한원칙(least privilege principle) : 역할 계층성을 이용하여
작업에 꼭 필요한 최소한의 허가 사항만을 역할에 배정하는 정책.
2) 직무 분리(Separation of Duty) : 정보의 무결성을 침해하는 사기행위와
부정 수단을 유발 할 수 있는 작업은 상호 감시적인 역할로 자정하여 직무를 분리하여 수행. Ex) DBA, Sys
3) 데이터 추상화(Data Abstration) : 데이터를 처리하는 read, write, execute 등의 연산 대신에 상업적인 처리 명령어
create, Transfer 등의 명령어로 추상화

 

 

 

속성기반 접근제어ABAC(Attribute Based Access Control)

[정의] 접근 권한 주체와 접근 권한 대상이 어떠한 환경에 처해 있는가를 동적으로 분석하여 접근 권한을 부여하는 기법

 

[등장배경] 과거 DAC, MAC, RBAC 처럼 고정된 자원에 대한 접근 제어로는 SOA, 클라우드 기반하의 변화하는 자원과 환경 조건에서 접근제어를 구현의 어려움

[기술유형]
- IBAC(Identity Based Access Control) : ACL에 의해서 접근권한이 직접 통제됨. 접근권한 대상 많을수록 복잡하여 통제 불가
- RBAC : Role 기반 접근제어. 동적 환경 적응 문제
- LBAC(Lattice Based Access) : MAC 구현을 위하여 미 국방부에 의해 만들어진 접근권한 기법

[속성유형] Subject(권한 관리 대상이 되는 유형(이름, 직업, 역할)) / Resource(자원에 관계된 대상(시스템기능, 웹서비스 등) / Environmental(정보의 권한 관리가 일어나는 운영적, 기술적, 장소적 환경(현재시각, 현재 위험수준, 네트워크 위험수준 등)