접근통제
- 비인가된 사용자의 정보자원 사용 방지 뿐 아니라 인가된 사용자가 비 인가된 방식으로 정보 자산을 접근하는 행위 방지
- 인가된 사용자가 인가된 방식으로 정보 자산을 실수 또는 의도적으로 잘못 접근하여 자산을 훼손하는 행위 방지 할 수 있다.
- 접근통제는 주체가 객체로 접근 할 때 위험으로부터 객체와 제반 환경을 보호하기 위한 보안대책
접근통제 절차 : 식별 인증 인가로 구성
|
단계 |
설명 |
접근 매체 |
|
식별 |
ㆍ본인이 누구라는 것을 시스템에 밝히는 것 ㆍ인증 서비스에 스스로를 확인시키기 위하여 정보를 공급하는 주체의 활동 ㆍ식별자는 책임추적성의 분석에 중요한 자료가 됨 |
ㆍ사용자명 ㆍ계정번호 ㆍ메모리카드 |
|
인증 |
ㆍ주체의 신원을 검증하기 위한 사용 증명 활동 ㆍ본인임을 주장하는 사용자가 본인이 맞다고 시스템이 인정해 주는 것 |
ㆍ패스워드 ㆍPIN ㆍ토큰 ㆍ스마트카드 ㆍ생체인증 |
|
인가 |
ㆍ인증 된 주체에게 접근을 허요하고 특정 업무를 수행할 권리 부여 ㆍ알필요성 : 주체에게 어떤 정보가 유용할지 여부와 관계가 있는 공인된 형식상 접근수준 |
ㆍ접근제어목록(ACL) ㆍ보안등급 |
최근에는 식별, 인증, 인가 3단계에 책임추적성 단계가 추가되었다.
※ 책임추적성 : 시스템에 접근한 주체가 시스템에 어떤 행위를 하고 있는지 기록하여 문제 발생시 원인 및 책임 소재를 파악하기 위한 목적으로 개발, 사전 침입 의도를 감소시킴
접근통제 요구사항
1. 입력의 신뢰성 : 접근제어 시스템은 입력되는 사용자 정보를 신뢰 할 수 있어야 한다.
2. 최소권한 부여 : 사용자가 의도적 또는 실수로 자원에 대해 입힐 수 있는 손상을 최소화 하기 위한 요구 사항
3. 직무 분리 : 한 개인이 전체 업무를 파괴하는 사고를 방지하기 위해 시스템 기능의 단계를 다수의 개인으로 나눈다.
4. 개방적 정책과 폐쇄적 정책 : 금지된 접근 외의 모든 접근을 허용 또는 허용된 접근 외에 모든 접근을 금지하는 정책 지원
5. 정책 결합과 충돌 해결
6. 관리정책
