정보보안기사 실기 / 1. 접근 통제 - 정보보안 일반
정보보호 정책
기업 또는 조직의 정보보호에 대한 방향, 전략, 주요내용들을 문서화 시켜놓은 것입니다.
접근 통제 기술
1) DAC(임의적 접근통제, Discretionary Access Control)
- 객체에 접근하고자 하는 주체의 접근 권한에 따라 통제를 적용합니다.
- 접근하려는 사용자에 대하여 권한을 추가 및 삭제할 수 있습니다.
2) MAC(강제적 접근통제, Mandatory Access Control)
- 주체의 레이블과 주체가 접근하고자 하는 객체의 레이블을 이용합니다.
- 관리자에 의해서 권한이 할당되고 해제됩니다.
- 데이터에 대한 접근을 시스템이 결정합니다.
3) RBAC(역할기반 접근통제, Role Base Access Contorl)
- 비 임의적 접근통제 모델(Non-Discretionary) 또는 임무 기반(Task-Based) 접근통제 모델로 불리기도 합니다.
- 권한들의 묶음으로 Role을 만들어서 사용자들에게 Role 단위로 권한을 할당하고 관리합니다.
접근 통제 방법
1) Capability List
- 주체별로 객체를 링크드리스트로 연결하고 권한을 할당하는 구조입니다.
- 주체별로 모든 파일 리스트가 존재하므로 권한을 알기 위한 탐색시간이 오래 걸리는 문제점이 있습니다.
2) Access Control List
- 주체와 객체간의 접근 권한을 테이블로 구성한 것으로 행에는 주체, 열에는 객체를 두고 행과 열의 교차점에는 주체가 객체에 대한 접근 권한을 기술하여 이름 기반으로 제어하는 방식입니다.
- 구분될 필요가 있는 사용자가 비교적 소수와 분포도가 안정적일 때 적합합니다.
접근 통제 모델
1) Bell-Lapadula 모델 (벨 라파듈라 모델)
- 미 국방부를 위해 개발도니 모델로, 기밀성을 강조하며, 최초의 수학적 모델로, No Read Up/No Write Down 접근 정책을 기반으로 합니다.
- 높은 등급의 정보가 낮은 레벨로 유출되는 것을 통제하는 모델입니다.
- (No Read Up): 낮은 등급의 주체는 높은 등급의 객체를 읽을 수 없습니다.
- (No Write Down): 높은 등급의 주체는 낮음 등급의 객체를 수정할 수 없습니다.
2) Biba 모델 (비바 모델)
- Bell-Lapadula 모델의 단점인 무결성을 보장할 수 있는 모델입니다.
- (No Read Down): 높은 등급의 주체는 낮은 등급의 객체를 읽을 수 없음
- (No Write Up): 낮은 등급의 주체는 상위 등급의 객체를 수정할 수 없음
3) Clart and Wilson 모델 (클락 윌슨 모델)
- 무결성 중심의 상업용으로 설계한 것으로 Application의 보안 요구사항을 다룹니다.
- 정보의 특성에 따라 비밀 노출 방지보다 자료의 변조 방지가 더 중요한 경우가 있음을 기초로 합니다.
관련 문제
14회 다음 빈칸에 들어갈 말을 차례로 적으시오.
기업 또는 조직의 정보보호에 대한 방향, 전략, 주요내용들을 문서화 시켜놓은 것을 ( A )라고 한다. ( A ) 중 정보에 대한 정당한 사용자의 접근 여부를 관리하는 것을 접근통제정책이라 하는데, ( B )는 객체에 접근하고자 하는 주체의 접근 권한에 따라 통제를 적용하고 ( C )는 주체의 레이블과 주체가 접근하고자 하는 객체의 레이블을 이용한다. ( D )는 비 임의적 접근통제 모델(Non-Discretionary) 또는 임무 기반(Task-Based) 접근통제 모델로 불리기도 한다.
답 :
A: 정보보호 정책
B: DAC 또는 임의적 접근통제
C: MAC 또는 강제적 접근통제
D: RBAC 또는 역할기반 접근통제
14회 다음은 접근통제 모델에 관한 내용이다. 각각의 질문에 답하시오.
1) 미 국방부를 위해 개발도니 모델로, 기밀성을 강조한다. 최초의 수학적 모델로, No Read Up/No Write Down 접근 정책을 기반으로 한다. 이 접근통제 모델은?
2) No Read Up과 No Write Down이 의미하는 것은?
3) 위 모델의 무결성 취약성을 보완하기 위해 나온 비바 모델의 정책은?
답 :
1) 벨 라파듈라 모델
2)
(No Read Up): 낮은 등급의 주체는 높은 등급의 객체를 읽을 수 없음
(No Write Down): 높은 등급의 주체는 낮음 등급의 객체를 수정할 수 없음
3)
(No Read Down): 높은 등급의 주체는 낮은 등급의 객체를 읽을 수 없음
(No Write Up): 낮은 등급의 주체는 상위 등급의 객체를 수정할 수 없음
3회 다음의 접근통제 정책에 대해 빈칸 (A), (B), (C) 각각에 알맞은 용어를 기술하시오.
( A ) : 객체의 소유자가 권한을 부여한다. 접근하는 사용자에게 권한을 추가. 삭제 할 수 있다.
( B ) : 객체에 대한 접근은 주체의 보안등급에 기반하여 접근을 제한한다.
( C ) : 주체에게 할당된 역할에 기반하여 객체에 접근을 제한한다.
답 : A: DAC, B: MAC, C: RBAC
'자격증 > 정보보안기사' 카테고리의 다른 글
| 정보보안기사 실기 / 3. IPSec (IP Security) - 애플리케이션 보안 (0) | 2020.10.21 |
|---|---|
| 정보보안기사 실기 / 2. 정보보호 위험 평가 - 정보보안 관리 및 법규 (0) | 2020.10.19 |
| 정보보안기사 실기 / study 목록 (0) | 2020.10.19 |
| 정보보안기사 필기 독학 / 정보보안 관리 및 법규 / 5. 정보보호 시스템 인증 (0) | 2020.10.06 |
| 정보보안기사 필기 독학 / 정보보안 관리 및 법규 / 4. 업무 연속성&재난복구 계획 (0) | 2020.10.03 |