(Microsoft PowerPoint - CSO\270\246 \300\247\307\321 \277\300\266\363\305\254 \272\270\276\310 \274\263\270\355\310\270\( \)_revised.ppt)

Transcription

1 <Insert Picture Here> CSO를위한오라클보안설명회 이진호 Principal Database Solution Consultant

2 발표순서 정보보호관점의변화 내부정보유출방지시스템 데이터베이스보안의중요성 오라클내부보안솔루션 내부보안을위한필수조건 결론 <Insert Picture Here> 2/52

3 정보보호관점의변화 기술적인관점의변화 외부통신보안 외부침입방지 단일접점기술 암호화 접근권한통제 방화벽 침입탐지 내부보안강화 내부정보유출방지 통합기술 감사기록보존 모니터링 비즈니스관점의변화 권고형규제 특정자산보호 법적구속규제 통합된정보보호 고객정보에서기업자산까지 3/52

4 내부정보유출의심각성 산업기밀유출의 90% 가인재로서 내부자 의소행 발생건수는작지만막대한피해유발 발달된정보화기술에따른유출경로의다양화 유출사고의인지및통제가어려움 내부자산업기밀유출사건적발현황 ( 총 72 건중 65 건이전 / 현직직원소행 ) 출처 : 서울경제신문 06 년 8 월 2 일자 [ 창간특별기획 / 첨단기술을지켜라 ]/ * 국정원산업기밀보호센터 2003 년 ~ 2006 년 6 월 유출자 유출유형 유출동기 전직직원 38 매수 60 금전유혹 27 현직직원용역 / 협력업체 외국인유치과학자 공동연구불법수출해킹위장합작 개인영리처우 / 인사불만비리연루신분불안 무단보관 1 4/52

5 내부정보유출로인한기업의손실 내부정보유출에의한기업의손실이, 외부침입에의한정보유출보다, 66% 가더많다. CSI/ FBI Computer Crime and Security Survey % $180,000,000 % of organizations effected 90% 80% 70% 60% 50% 40% 30% 20% 10% $160,000,000 $140,000,000 $120,000,000 $100,000,000 $80,000,000 $60,000,000 $40,000,000 $20,000,000 Total Cost of Loss 0% $0 Virus Insider Abuse of Net Access Denial of Serv ice Sy stem Penetration Unauthorized Access by Insiders Thef t of Proprietary Inf ormation Financial Fraud Telecom Fraud Sabotage 비록발생빈도는적지만, Nature of Security Breach 그영향은치명적이다. 5/52

6 내부정보유출방지시스템의고려사항 전사적인정보유출방지구축필요 정보의생산, 저장, 관리, 이용, 가공, 백업, 폐기의전과정에대한취약점분석및대응방안구축 부서간의정보접근에대한명확한운영지침확립 정보유출방지시스템의한계인식 기술적인접근에는분명한한계가있음 정확한취약점분석및대응방안을통한최소화 보안관리체계의확립 보안정책에대한필요악이아닌필수사항임을인식 어떤상황에서도기존보안체계를무시하던관행을근절 중요정보의접근및관리는보안관리자의관리하에이루어질수있는정책을확립해야한다. 6/52

7 데이터베이스보안의중요성 데이터베이스 = 전사적인정보인프라의핵심 내부정보유출의가장손쉬운대상 내부정보유출방지의최우선대상 정보조회 정보분석 정보변경 정보생성 정보관리 유지보수 통합정보저장소 ( 고객 / 재무 /HR/ 지적자산 ) 정보보관 7/52

8 데이터베이스보안의문제점 무제한적인 DBA 의권한 모든데이터에대해제한이없음 감사정보역시변경, 삭제가가능 DBA 에게는데이터에대한접근권한이무의미 업무별로안전하게보호되어야할데이터가시스템관리자에의해장악되는결과 DBA X 접근권한제어 통합정보저장소 8/52

9 DB 정보유출방지를위한고려사항 시스템관리전반에걸친정보유출방지책마련 DBA 를포함한모든사용자에대한접근제어필요 업무별데이터에대한강력한접근통제필요 명령어의실행제어를통한주요데이터에대한변경방지 정보보안등급의세분화를통한유출최소화 보안관리자의감독하의 DB 관리정책수립 DBA 보안관리자 일반사용자 DB 방화벽 통합정보저장소 9/52

10 <Insert Picture Here> 귀사의데이터베이스정보유출방지시스템은내부자의위협에대한방비가제대로되어있습니까? 10/52

11 데이터베이스외부의접근제어솔루션 사용자와데이터베이스간의전송내용을분석 정책에맞지않는 SQL 의접근불허및로그추적 Network Sniffing, Gateway, Agent 방식 Network Sniffing 일반사용자 DB 게이트웨이방식 DB DBA 에이전트방식 DB 11/52

12 외부보안솔루션의한계 구조적인한계점 보안검색방식에따른성능저하 자체오류시, DB 서비스중단위험 내부관리자의직접접근에대해여전히취약함 OUCH! Network Sniffing 일반사용자 OUCH! 게이트웨이방식 DB 제어안됨!! DB DBA DBA OUCH! 에이전트방식 DB 12/52

13 외부보안솔루션의한계 기술적인한계점 단순사용자 SQL 검색방식 검출불가능한취약성여전히존재! 검색 SQL 문장 최종결과 TABLE PROMOTION 진급대상자정보누출 일반사용자 보안체크결과 SELECT * FROM V_PROMOTIOM 정상 VIEW V_PROMOTION! DBA 검색 SQL 문장 {CALL NORMAL_JOB} or Dynamic SQL 보안체크결과 정상 PL/SQK NORMAL_JOB... DELETE FROM PROMOTION WHERE... 최종결과 진급심사데이터삭제 13/52

14 Oracle Database Vault 데이터베이스커널내에서만진정한내부정보유출방지가가능해집니다. 규제준수에대한완벽한시스템적해법 DBA의행위를포함한내부보안위협의제거 시스템관리와데이터관리역할의분리 통합에따른보안요구에대한해법 14/52

15 데이터보호영역 (Realm) DBA 로부터사용자영역분리 데이터베이스 데이터보호영역 DB 내의 DB 업무별로보호되어야할데이터의집합으로지정 D B 내의방화벽 DBA 영역에대한권한은원칙적으로없음시스템관리자 해당영역에대한관리자영역관리자 어플리케이션사용자 해당영역데이터에대해실제접근을하여영역사용자업무를수행하는자 15/52

16 DB 내의모든명령에대한실행제어 DBA의작업제어 실수에의한업무마비를미연에방지 불필요한데이터접근의원천봉쇄 관리자라도불필요한데이터조회불허 인위적인데이터조작및은폐위험성제거 영역관리자 SELECT TABLE 불허 UPDATE/DELETE TABLE 불허 인사정보변경불허 시스템관리자 CREATE, ALTER USER 불허 보안상의문제가되는불필요한사용자생성및변경불허 DROP TABLE 불허 작전수행중에는스키마변경불허 데이터보호영역 16/52

17 다양한조건에의한제어 접속어드레스, 머신, 프로그램, 시간 사용자정의로직 부적절한접근의원천봉쇄 관리자의작업에대한중앙통제및추적이가능 영역관리자 특정 AP 를통한접근만허용 22 시 04 시동안에만백업허용 통합 DBA 진급심사기간때만접근허용 작전통계추출기간에만접근허용 데이터보호영역 17/52

18 안정적인성능보장 기존의 SQL 구문분석의일부에적용 사용자정의로직이복잡하지않는한큰성능저하는없음 SQL 구문분석 (Semantic Check) 변수바인드 실행 / 인출 SQL 실행요청 기존롤및권한검증 Realm에접근권한조사및검증 SQL 실행권한조사및검증 (Command Rule) 구문분석완료 오라클내부커널 18/52

19 <Insert Picture Here> 귀사의유출방지정책은처음취지대로데이터베이스관리업무에여전히적용되고있습니까? 19/52

20 내부보안위협 : 가상시나리오 국방인사정보체계시스템 군인사정보의효율적인관리를위한시스템통합 기존에각각의 DB 로존재했던군별데이터가통합 DB 내의스키마의형태로흡수 통합전 통합후 국방부통합인사 DB 통합 DBA DBA 육군인사 DB ARMY 스키마 DBA DBA 해군인사 DB 공군인사 DB ARMY NAVY AIR_FORCE NAVY 스키마 AIR_FORCE 스키마 20/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

21 내부보안위협 : 가상시나리오 통합에따른정보유출문제 통합 DBA 의무제한적인권한 데이터유출위험도 X 3 인위적인데이터조작및은폐위험도 X 3!? ARMY? ARMY 스키마!? NAVY? NAVY 스키마 통합 DBA!? AIR_FORCE AIR_FORCE 스키마 21/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

22 오라클보안솔루션적용방안 데이터보호영역구축예제 육군인사정보 ARMY 해군인사정보 육군영역 DOD 전군인사정보 NAVY 공군인사정보 해군영역 AIR_FORCE 공군영역 22/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

23 오라클보안솔루션적용방안 체계적인보안관리구조예제 국방부인사본부 (DBA) 국군기무사령부 ( 보안실무자 ) 국군기무사령부장 ( 최고보안책임자 ) 업무수행필요권한요청 정책검토및권한생성작업 국군기무사령부 ( 보안감시자 ) 최종승인요청 승인 업무수행 23/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

24 오라클보안솔루션적용방안 체계적인보안관리구조의구축 최고보안책임자 계정관리자보안관리자보안감사자시스템관리자응용프로그램관리자 보안정책 권한및롤 감사정보 시스템정보 사용자데이터 영역구분에의한내부정책 / 권한 / 감시정보보호 24/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

25 오라클보안솔루션적용방안 통합된전군정보관리시스템구조 ARMY Real Application Cluster (RAC) NAVY AIR Oracle 인스턴스 Oracle 인스턴스 Oracle 인스턴스 SYSTEM REALM ARMY REALM NAVY REALM AIR UNDO REDO SYS DBA ARMY_DBA NAVY_DBA AIR_DBA 25/52 * 본예제는가상시나리오이며실제국방인사업무와는관련없는내용입니다.

26 오라클보안솔루션적용방안 강력한내부감사및모니터링 보안정책의변경 / 위반등에대한다양한감사기능제공 사용자정의감사기능제공 26/52

27 <Insert Picture Here> 귀사에서는감사로그에대한안전하고통합적인관리가제대로되고있습니까? 27/52

28 전사적인감사시스템 감사시스템의요구사항 감사정보의수집 독립된시스템에분산된감사정보 감사정보에대한보고서작성 감사자에따른사용자정의보고서작성 감사정보모니터닝 통합된환경의효율적인스캐닝필요 감사정보관리 감사정보에대한강력한보안필요 대용량의감사정보 감사정보의보관 감사정보설정관리 전체시스템들에한꺼번에설정가능한감사정보변경 28/52

29 Oracle Audit Vault 개요 감사정보의수집및통합 Oracle 9i Release 2 이상 간소화된규제준수보고서작성 내장된기본보고서 사용자정의보고서 내부위협의검출및방지 의심스러운시도에대한경고 대용량감사정보의안전한보관 Oracle Database 에안전하게저장 내부자에대한안전한감사정보보호 Database Vault, Advanced Security Partitioning 을통한대용량정보관리 감사정책관리에대한저렴한 IT 비용 감사정보설정변경의중앙관리 Monitor Reports Oracle 9iR2 10gR1 Policies 10gR2 Security (Future) Other Sources, Databases 29/52

30 Oracle Audit Vault 보고서 내장된기본보고서 내부사용자활동내역 중요데이터에대한접근정보 권한및롤부여 DDL 사용내역 Login/logout 사용자정의보고서 어떤내부사용자가재무데이터베이스에어떤작업을했나? 사용자 A 가다수의데이터베이스에서어떤일을했나? 누가중요데이터에접근했나? 기존보고툴활용 Oracle BI Publisher, Application Express, 또는 3 rd party tools 30/52

31 31/52 Oracle Audit Vault Dashboard 전사적인보안및규제준수모니터

32 Fine Grained Auditing 미리정의된조건에맞는결과에대해서만 auditing 지정된컬럼이사용되었을때만 auditing SQL 단위로 auditing INSERT, UPDATE, SELECT, DELETE에모두적용가능 적은데이터베이스부하로감사업무수행가능 Audit Policy SALARY 컬럼을접근하는경우만 SALARY가 $ 500K 이상인경우만 SQL 문장 select name, hired_date from employee select name, salary from employee select name, salary from employee where salary < Audit? X O X 32/52

33 <Insert Picture Here> 귀사는정보자산에대한체계적인등급관리를수행하고있습니까? 33/52

34 보안등급분리를통한유출의최소화 보안등급체계확립의필요성 보호대상의등급에따른효율적인유출방지 데이터의중요도에따른완벽한접근분리 정책기반의비즈니스룰에의한접근제어 접속환경에따른강력한보안등급인증 데이터베이스차원의자동화된솔루션 : SQL 변경불필요 Factor = Intranet Access Headquarters Highly Sensitive Sensitive Public Factor=External 34/52

35 Virtual Private Database 가상사설데이터베이스 사용자의환경에따라볼수있는정보가달라진다. 미리지정된 Policy에의해 SQL 문장이자동변형 MRD Sales MRD Revenue CMU Revenue Policy Select * from Revenue Hidden filter where dept_id = 20 Select * from Revenue Revenue CMU Sales Hidden filter where dept_id = 10 35/52

36 Oracle Label Security 라벨컬럼의내용을기반으로다중보안레벨지정 해당라벨의조건이부합하는세션만이해당 ROW에접근가능 VPD를기반으로제품화 : Out-of-box로쉽게접근제어기능구현 User Sensitivity Level = Sensitive Store ID Revenue Department Sensitivity Label 다중레벨보안등급지정 AX703 B789C JFS845 SF78SD Finance Engineering Legal HR Sensitive Highly Sensitive Confidential Public OK X OK OK Sensitivity 보안등급지정 상위보안등급자가하위보안등급에접근예 ) 1급, 2급, 3급, Compartment 별도의분류방식제공 업무및프로젝트별로보안방식분류 Group 조직간의계층구조지원 상위조직에서하위조직으로의데이터접근허용 두조직의권한을모두가져야만접근가능하도록지정가능 36/52

37 <Insert Picture Here> 귀사의시스템은아웃소싱업체로부터안전하게보호되고있습니까? 37/52

38 암호화의필요성 Network 을통한정보유출방지 Packet Sniffing 에의한사용자암호및중요데이터유출 시스템관리상의정보유출방지 백업테이프의관리부실에의한유출 데이터베이스파일자체의유출 장애디스크교체시관리부실로인한디스크유출 고객신용카드번호 디스크교체 노트북분실 백업분실 38/52

39 네트워크암호화 데이터베이스와클라이언트간의전송정보암호화 네트워크패킷의도난 / 변경 / 망실등을방지 AES RSA RC4 (40-, 56-, 128-, 256-bit keys) DES (40-, 56-bit) and 3DES (2- and 3-key) Diffie-Hellman key exchange SHA-1 and MD5 SQL*Net 파라미터를통한손쉬운설정 오라클사용자들 ORACLE x#!s%u3/?????? SQL*Net 39/52

40 데이터암호화 Transparent Data Encryption 오라클커널에서자동으로데이터암호화 (10g R2) 경쟁우위점 Trigger 및 View 를사용하는 3rd party 제품에비해적은 CPU 소모 Data automatically decrypted through SQL Data automatically encrypted through SQL Sensitive Data Encrypted On Backup Files 40/52

41 Oracle Secure Backup 암호화된테이프백업 / 암호화된관리메시지 단일관리화면 (EM) 으로분산된데이터베이스에대한테이프백업관리 사용자레벨접근제어제공 NAS UNIX / Linux Windows Client machines backed up over the network Clients Ethernet Network Oracle Secure Backup Administrative Server Media Servers Heterogeneous data protection - UNIX (Solaris64) - Linux32 (Red Hat, SuSE) - Windows (2000, XP, 2003) - NAS (Network Appliance) Oracle Database may reside on any machine within the Administrative Domain Tape Device 41/52

42 <Insert Picture Here> 귀사의전사시스템은지속적으로강화되고있는보안규제에완벽하게대응하고있습니까? 42/52

43 내부정보규제강화 개인정보보호에대한법적제재강화 회계및비즈니스에대한규제강화 명확하고확인가능한내부제어에대한요구사항 효율적인비즈니스운영에대한요구 각종법률과규제의준수에대한시연및증명요구 재정회계보고서의신용에대한요구 내부정책, 프로세스및제어에대한감사정보요구 보안위협평가및모니터링요구 권한분리 (Separation of Duty) 요구 43/52

44 규제강화로인한비용지출 SOX 법안 2001 년엔론사사건을계기로 2002 년제정된미국기업회계개혁법 모든미증시상장기업을대상으로회계정보투명성확보와경영진의책임강조 내부통제시스템강화 / 내부고발자보호 / 회계법인겸업금지 CEO, CFO 인증제 : 문제발생시구속강제규약에서명 연 80 억달러의추가지출발생 부터자본금 7,500 만달러이상의미증시상장외국기업에도적용 44/52

45 한국의회계개혁법 신용정보보호및이용에관한법률준수 정보보호법, 통신비밀보호법준수 정보통신망이용촉진및정보보호등에관한법률준수 전자서명법준수 정보통신기반보호법준수 45/52

46 규제준수를위한오라클솔루션 Adv. Security Network Encryption Adv. Security Strong Authentication Identity Management Integration 계정관리 Database Encryption APIs Adv. Security Transparent Data Encryption Adv. Security Disk Backup Encryption Secure Backup 저장매체 모니터링 Database Auditing Audit Vault* 환경설정 Default config. Config. Policies 접근제어 Virtual Private Database Label Security Database Vault 46/52

47 47/52 Compliance Score Trends

48 <Insert Picture Here> 귀사의정보유출방지시스템을위해가장시급한조치사항은무엇이라고생각하십니까? 48/52

49 데이터베이스정보유출방지 데이터베이스는전사적인정보인프라의핵심 내부정보유출의가장손쉬운대상 내부정보유출방지의최우선대상 정보유출방지시스템의한계인식 기술적인접근에는분명한한계가있음을인식 분석된취약점에대한가장적합한솔루션선택이필수 보안관리체계를확립할수있는시스템구축 어떤상황에서도기존보안체계를유지할수있는시스템 보안관리자가직접감독할수있는시스템구축 49/52

50 오라클의다양한보안솔루션 Area Authentication Data Protection Feature Strong Authentication Network Encryption Description 오라클의인증방식대신 3rd Party 표준인증서비스를사용할수있도록한다. 클라이언트와데이터베이스서버간의모든네트워크통신패킷을암호화한다. Auditing Access Control Transparent Data Encryption Encryption API Secure Backup Fine Grained Auditing Audit Vault Virtual Private Database Label Security Database Vault 사용자 SQL에투명하게 (SQL 수정이필요없음 ), 커널에서자동으로특정컬럼을암호화하여저장하고, 필요시복호화해준다. 테이블데이터를암호화할수있도록하는 API의제공테이프전용백업관리툴로서모든데이터를암호화하여백업관리해준다. 사용자가원하는특정컬럼에대해서, 조건에맞는경우에만 Auditing 함으로서, 데이터베이스로의부하를최소화해주는 auditing 기능이다. 여러 DB 또는 Auditing Tool에분산되어있는 Audit 정보통합관리 / 분석해준다. 행단위의접근제어 접속한세션의환경및권한에따라자신에게맞는레코드만이보여지도록한다. 각사용자는동일한테이블이라도자신에게허가된정보만볼수있다. VPD를이용해개발된옵션제품으로, 테이블의각행에대해서다중레벨접근제어를할수있도록해준다. 해당테이블에는 LABEL 컬럼이추가된다. 단일 DB 안에서업무별로독립적인데이터베이스를구축해주고, 각업무들이별도의관리자에의해서관리되도록해준다. 또한, DB의어떤명령에대해서도조건에따라실행권한을제어할수있게해주는내부보안을위한완벽한솔루션이다. * Oracle DB Security 제품군 : 1. Advanced Security Option 2. Label Security Option 3. Database/Audit Vault 4. Oracle Secure Backup Advanced Security Option에속하는 features 별도의라이센스제품들 E E 라이센스에포함 50/52

51 오라클의체계적인보안솔루션들 Database Authorization Realms Rules/Factors VPD/OLS Database Authorizations Database Privileges Grant roles/privileges to users/roles DATA VAULT Realms Restrict system privileges to specific users/roles for specific schemas/objects (realms) Control realm and role authorizations DATA VAULT Rules/Factors Further restrict authorized actions based on rules Factors expose security attributes, building blocks VPD/OLS Further restrict access at the record level 51/52

52 결론 모든티어에걸친다양한보안체계제공 네트워크암호화 미디어암호화 강력한접근제어 내부보안을위한완벽한솔루션 업무별로완벽한접근제어 관리자에게꼭필요한권한만허용 관리자에의한데이터유출최소화 강력한내부감사및모니터링 정보유출로인한심각한손실예방 규제준수에따른비용절감 <Insert Picture Here> 52/52

53 53/52

54 54/52