접근 통제(Access Control)

접근 통제(Access Control)

• 정당한 사용자에게는 권한을 부여하여 접근을 허용하고 그 외의 사용자는 차단/거부하는 행위
• 주체에 대한 객체의 접근, 객체에 대한 주체의 접근 통제한다. 만약 test라는 사용자가 abc.html 파일에 접근을 요청하면, 읽기, 쓰기, 실행의 권한이 있는지 확인하고 권한 부여/접근 차단한다.
• 주체로부터 객체의 기밀성, 무결성, 가용성을 보장하기 위함이다.

주체, 객체

• 주체 : 자원의 접근을 요구하는 활동 개체(사람, 프로그램, 프로세스 등)
• 객체 : 자원을 가진 수동적인 개체 및 정보(데이터베이스, 파일 등)

정보 접근 단계

• 식별 - 인증 - 인가

식별(Identificaiton) 단계

• 사용자가 시스템에게 본인이 누구인지 밝히는 단계
• ID 등

인증(Authentication) 단계

• 시스템이 사용자를 정당한 사용자인지 인증하는 단계
• Password, 생체, 지식, 소유 인증 등

인가(authorization) 단계

• 정당한 사용자의 인증이 완료되어 인증된 사용자에게 권한을 부여하는 것

접근 통제 원칙

최소 권한 원칙

• 최소한의 권한만을 허용하여 권한 남용을 방지

직무 분리

• 업무의 발생 승인, 변경, 확인, 배포 등이 한 사람에 의해 처리되지 않도록 직무를 분리
• 보안 관리자와 감시자, 개발자와 운영자 등

참조 모니터

• 객체에 대한 주체의 접근 통제 결정을 중재하는 OS의 보안 커널로 일련의 소프트웨어이다.
• 주체가 객체를 참조할 때 직접 참조를 수행하지 않고 보안 커널을 통해 참조한다.
• 보안 커널은 주체에 대하여 정당한 권한을 확인하고 접근한 객체에 대한 정보를 모두 로그에 기록한다. 또한, 결함으로 발생할 수 있는 취약점은 보안 커널을 통해 모두 차단한다.