데이터보안운영실태및개선방안 How to protect sensitive data in your database? 김범 / WAREVALLEY 데이터품질인증심사원 ( 데이터보안무문, DQC-S)
2014 신용카드개인정보유출사태 FDS : 카드도용방지시스템 (Fraud Detection System) IT 서비스기업에의해개발된 FDS 를사용한 5 곳의카드사중 3 곳의카드사에서외주직원에의해대규모개인정보유출사고발생 ( 주소, 주민번호, 전화번호, 카드번호, 만료일자, 계좌번호 ) FDS System ( 운영계 ) 인가된고객사 PC (File Copy is allowed) 국민카드 롯데카드농협카드 FDS System ( 개발계 ) 외주직원노트북 (File Copy is allowed) Not Encrypted Not Masked Not Approved Allowed Copying
2014 신용카드개인정보유출사태 데이터보안위협 Access to, deletion of, or changes to data: Access using inappropriate or non-approved channels: Schema modifications: Unauthorized addition of user accounts or modification of existing accounts: Access to excessive amounts of data or data not needed for legitimate work: Access to data outside standard working hours: Access to Sensitive Data Access to live production systems: Unapproved changes to databases or applications that access the database: Out-of-cycle patching of production systems: 대응기술 DAP DAP, VA DAP DAP, VA DAP, WF DAP, WF ENC DAP, MSK DAP DAP 2014 신용카드개인정보유출원인. Over 20 Million Sensitive personal & financial data has been stolen. DAP : DB 접근제어 (Database Audit and Protection) VA : DB 취약점분석 (Database Vulnerability Assessment (Scanning Security Hole)) WF : DB 작업결재 (Database Work Approval) ENC : DB 취약점분석 (Database Encryption) MSK : 데이터마스킹 (Dynamic Data Masking)
일반적인 IT 비용투자형태 데이터구축, 활용, 분석을통한새로운가치창출에집중데이터보안은이보다낮은우선순위 Security Manager 데이터보안 DBA Application Developers System Integrators 데이터구축, 분석, 활용
데이터보안에대한인식 나의소속은어디?.. 1. Customizing 개발 2. 인력상주지원 3. 분석리포트 1. 기존 Application과의호환성 2. Multi-Platform ( 다양한 DBMS) 호환성 3. Performance( 성능 ) 보장 4. IT Compliances ( 법령 ) 요구대응 5. 인력지원요청 6. 신속한장애복구 7. 적은예산 솔루션샀으니깐다해줘야하는거아냐? Image Source oveqna.com 데이터보안의운영주체는솔루션업체가아닌사용자이며, 정책, 조직, 운영관리의주체도사용자이다.
데이터보안운영현실 나의소속은어디?.. 1. 로그관리 / 분석 2. 정책설정 / 변경 3. 키관리 / 백업 1. 누가담당? : DBA vs. 보안관리자 2. DBA : DB 내에어떤데이터들이? 3. 보안담당자 : 난 DB를잘몰라.. 4. 접근제어규칙을어떻게???? 5. 암호키는어디에???? 6. 솔루션들이알아서동작하겠지?? 솔루션샀으니깐다해줘야하는거아냐? Image Source oveqna.com 상당수의 DBA 는자신이운영하는 DB 에어떤어플리케이션이운영되고어떤데이터들이얼마나존재하는지모르는경우가많다.
데이터보안운영개선 데이터자산식별, 위험등급데이터보안정책, 규칙, 담당자 데이터구조파악어플리케이션, 연계시스템접속사용자식별기타 IT 인프라보안 데이터보안기술접근제어, 마스킹암호화작업결재취약점분석 DB 보안솔루션은데이터보안기술의집합체일뿐, 전반적인데이터보안개선활동은사용자의역할! 운영모니터링, 분석정책및규칙개선
2014 데이터보안프레임워크 Database Security Model 2014 of DQC-S 데이터자산식별및등급부여 1. Discover where sensitive data resides 2. Classify and define data types 3. Define security policies and metrics 운영계 Databases 데이터보안정책및기술 (DQC-S 2012) 1. Database Audit and Protection / Masking 2. Database Encryption 3. Database Work Approval 4. Database Penetration Test / Scan Hole 운영모니터링과감사 1. Audit and report for compliances 2. Monitor and enforce review of policy exceptions 개발계 / 백업 Databases
운영계 Vs. 개발계 상대적으로보안적용이약한개발계혹은백업에도보안강화! Sensitive Data Sensitive Data?? ETL Cleansing / Masking / Encryption 운영계 Databases OLTP / OLAP 개발계및백업 Databases OLTP / OLAP DQC-S Database Security Actions Discovery and Define sensitive data Secure and Protect sensitive data Monitor and Audit
데이터베이스와연계시스템, 사용자 데이터베이스에접속하는모든시스템및사용자의작업이력추적및통제 Sensitive Data Sensitive Data?? Sensitive Data?? Production Databases OLTP / OLAP Application Servers Sensitive Data?? Service Users Authorized Users ( DBA / System Operators )
데이터베이스사용자 1. 데이터레코드저장및 2 차유출방어 2. 데이터마스킹을통한기밀정보노출금지 3. 칼럼레벨암호화를통한 2 차방어구축 Sensitive Data Sensitive Data?? 운영계 Databases OLTP / OLAP 인가된사용자 ( DBA / System Operators ) E-Mail Printer File Copy
데이터베이스작업결재 1. 데이터구조변경, 데이터변경에대한이중검사 2. 사용자작업이력및결재승인내역 3. 사용자실수에의한장애및의심스러운행위방지 IT Auditor / CIO 2. Request 3. Approve / Reject Sensitive Data Database Manager / DBA 5. Execute or Not 1. Request 4. Approve / Reject 운영계 Databases OLTP / OLAP Database User / Staff
SQL Injection 공격탐지 1. 정기적인 DB 취약점분석 (DBMS 오류및운영설정오류 ) 2. SQL / Application 프로파일링 Scanning Security Hole 1. 모의해킹 2. 보안감사 운영계 Databases OLTP / OLAP Application Servers Authorized Users ( DBA / System Operators ) SQL / Application Profiling to detect Malicious(or new) SQL query
데이터베이스암호화 (API) 1. WAS/Application Server 에서의암복호화수행 2. DBMS 에서의리소스부담적음 3. 어플리케이션수정에따른비용과기간에대한부담 25A8B8-93F1EB 9EAB1-7BCC715 780226-2468024 25A8B8-93F1EB Service Users 운영계 Databases OLTP / OLAP 860623-1552133 Service Users WAS Encryption Policy Key Management Database Security Manager
데이터베이스암호화 (Plug-in) 1. DBMS 상에서의칼럼별암. 복호화 2. DBMS 에서의리소스부담 3. 어플리케이션수정의불필요 4. DBMS 내부에암호화정책및키정보가없어야.. 25A8B8-93F1EB 9EAB1-7BCC715 780226-2468024 780226-2468024 Service Users 운영계 Databases OLTP / OLAP Database Users SQLPLUS, Orange, Toad.. Database Security Manager
데이터베이스암호화 (Table space, File Level) 1. DBMS 상에서의테이블스페이스나파일레벨의암. 복호화 2. DBMS 커널상의암. 복호화로리소스부담적음 3. 어플리케이션수정의불필요 4. 사용자식별이되지않음! 25A8B8-93F1EB 9EAB1-7BCC715 780226-2468024 780226-2468024 Service Users 운영계 Databases OLTP / OLAP Database Users SQLPLUS, Orange, Toad.. Database Security Manager
데이터베이스암호화운영 Review 1. 암호화키관리문제 : DB 서버내암호화키가운영되는경우가많으며, 이는장애시데이터복구가불가능한상황이발생하거나, 암호화구조를잘아는엔지니어에의해쉽게탈취혹은임의데이터복호화가가능하다. 대부분의사용자는암호키가어디에있는지모르며, 솔루션업체에의존한다. 2. 암호화정보관리문제 상당수의암호화솔루션은 DB 서버내부에평문으로암호화대상테이블이름, 칼럼이름, 알고리즘, 키 ( 혹은얼라이어스 ) 가레코드형태로존재하며몇가지권한만있으면이에대한정보는쉽게노출된다. 3. 암호화수행이력및복호화이력관리문제 암호화가구축된사용자의현황을보면언제, 누가, 어떤칼럼을암호화했는가에대한이력이존재하지않으며, 이는정보유출시에유출범위를파악하기어렵게만든다. 상당수의암호화솔루션들은복호화를수행한정보 (IP, application, DB 계정, SQL Full text) 를남기지않는다. 4. Tablespace-File 레벨암호화 테이블스페이스형태의암호화는성능은좋으나, 사용자식별을하지못하는치명적인단점을가지고있음에도불구하고, 법적구속력에대응하기위한수단으로만활용한다.
데이터마스킹 (Dynamic Data Masking) 1. DBMS 내이모든데이터는평문 (Plain Data) 으로존재 2. 기존어플리케이션의수정불필요 3. DBMS 에대한성능영향불변 평문존재 780226-2468024 780226-2468024 Service Users Production Databases OLTP / OLAP Authorized Database Users Unauthorized / Low Level Database Users Database Security Manager
데이터베이스패스워드은닉 1. 아웃소싱엔지지어나개발자에게불필요한 DB 패스워드노출금지 I don t know password I know password, But I can hide password from them Authorized Database Users Outsourcing Engineer 운영계 Databases OLTP / OLAP I don t know password
데이터베이스가상계정 1. 개인별 DB 계정부여가능및공유금지 2. 동일한 DB 계정이라도작업제한이나데이터접근제한 I can use A, B and C DB Accounts : A, B, C High Level Database Users (Virtual account : HIUSER) Low Level Database Users (Virtual account : LOUSER) I can use A and Query only LOUSER is not allowed B, C and DML Production Databases OLTP / OLAP
데이터보안강화 Action 1. 보안강화를위한다양한정책마련 사용자의비정상적인접근에대한패턴을인식하여차단 단위시간동안의임계치이상의로그인실패, SQL 실패탐지정책 단위시간동안의임계치이상의 DB 접속횟수, 데이터조회및변경횟수탐지정책 단위시간동안의임계치이상의개인정보접근경고정책 Where 절없이사용되는 DML 및 Select * 쿼리에대한경고정책 인가되지않은작업에대한탐지 Tablespace, table, user에대한인증되지않은 create/modify/drop 탐지정책 인증되지않은권한변경및사용자패스워드변경탐지정책 인증되지않은데이터베이스시작 / 재시작 / 정지 / 백업에대한탐지정책 2. 개인정보스캔기능및접근이력보고서 데이터베이스내에존재하는개인정보및중요정보스캔 데이터베이스내에산재되어있는중요정보를탐지하여, 정책및보고서에반영 전화번호, 카드번호, E-mail, 주민번호, 여권번호등기본패턴제공 / 사용자패턴을지정하여스캔 개인정보및중요정보에대한접근이력보고서 스캔기능을통해서탐지된개인정보테이블및컬럼에대하여선택적인접근보고서 개인정보및중요정보에대한일별 / 주간별 / 월별접근이력보고서
데이터보안강화 Action 3. 정보보호관련법령대응보고서 정보보호감사데이터요구에대응가능한보고서 점검대상기간중, 가장많은양또는가장많은횟수의고객개인정보를조회또는다운로드한내역 월별가장많은양또는가장많은횟수로고객개인정보를조회또는다운로드한내역 정규승인절차를따르지않은조회및다운로드내역 특정기간내에조건을변경하면지속적으로대량의데이터를조회또는다운로드한내역 개인정보처리시스템조회, 다운로드시도및실패가가장많은계정, IP 목록 IP 대역별 ( 외주, 사설 ) 대량데이터조회및다운로드내역 4. 정책변경및권한변경에대한이력관리 보안정책변경이력조회및복원기능 보안정책에대한자체이력정보관리기능제공 ( 시간, 작업자, 작업내역등 ) 과거정책과현재정책의비교기능 정책을선택적으로백업하고과거정책중선택적으로복원하는기능 보안정책적용이력에대한보고서 사용자 DB 접속권한변경이력관리기능 사용자또는그룹에게부여된 DB 접속권한의변경사항조회보고서 DB 별로부여된사용자및그룹의변경이력조회보고서
데이터보안강화 Action 5. 보안강화를위한고급기능 데이터베이스내부객체수행에대한통제기능및변경이력관리 Stored Procedure, Trigger, Function, View, Synonym의내용변경이력관리기능 Stored Procedure, Trigger, Function, View, Synonym의내용에따른통제정책 각객체의본문조회기능 DB-Link에대한통제 개선된개인정보및중요정보마스킹기능 테이블과컬럼을지정하던방식에서, 패턴을인식하여자동으로마스킹하는기능 각종보고서의중요정보를마스킹하여제공하는기능 6. 부가기능 Ad-hoc 보고서제공 사용자정의보고서를채택하였으며, 원하는보고서에서필요한정보를선택하여재구성할수있는기능 중앙관리및 Site 관리기능 여러대의접근통제서버의통합관리 / Site 로분리하여정책및사용자관리 Auto Discovery 기능제공 네트워크에존재하는데이터베이스및서버를감지하여알려주는기능
데이터보안강화 Action 7. 가상계정통제및 ID/PASSWORD 저장통제 가상계정통제기능제공 DB 계정의패스워드를 DB Tool 에서자동입력 -> DB 계정패스워드유출방지 ( 선택적용가능 ) DB 접근제어시스템의계정별로할당된 DB 계정만접근가능하도록통제하는기능 ID/PASSWORD 저장통제기능 DB Tool 에서접속한 DB 계정과패스워드를저장하지못하도록 DB 접근제어시스템에서통제하는기능 (2013 년 320 대란이후, 금감원지시사항 ) ID/PASSWORD 통제기능이포함되지않은 DB Tool 사용시차단기능제공 8. 대용량데이터조회에대한결재기능 개인정보및중요정보의대용량조회에대한결재기능 지정된개인정보및중요정보에대해서지정개수이상의데이터조회시에결재를받도록하는기능 사전승인방식이아닌실시간으로대용량조회정책을검사하여, 지정된개수이상의데이터조회시에는조회작업을중단하고기안을하도록하는기능 결재자의승인후에는모든데이터조회 대용량데이터조회이력및승인 / 부결내역관리
데이터보안강화 Action 9. 데이터반출통제및이력관리 파일저장통제기능개선 전체파일로결재를받지않고부분데이터로결재가능하도록개선 ( 대용량처리가능 ) 결재된파일이라도지정된횟수만큼만다운로드가능하도록통제 데이터반출시도에대한이력관리제공 DB Tool에서의데이터 Copy, Print 등외부반출시도에대한이력을 DB 접근통제시스템에서관리 실행시간, 대상데이터베이스, DB 계정, 조회문장, 작업내역, 시도결과를저장및조회 데이터반출시도에대한이력보고서 파일저장시저장디스크및디렉토리통제기능 DB Tool 에서데이터를파일로저장시에 DB 접근통제시스템에서지정한위치에만저장가능하도록통제 사용자별, 데이터베이스별, 쿼리별통제정책적용 10. DB Tool 의작업이력관리 DB Tool 에서의작업내역을 DB 접근통제시스템에서관리
데이터보안진단및인증 (DQC-S) How to protect sensitive data in your database? 김범 / WAREVALLEY 데이터품질인증심사원 ( 데이터보안무문, DQC-S)
데이터보안진단및인증 데이터보안인증 (DQC-S, Database Quality Certification-Security) 데이터보안인증이란공공 민간에서구축 활용중인데이터베이스를대상으로접근제어, 암호화, 취약점분석, 작업결재등데이터베이스보안에구체적인체계를마련하고기술요소전반을심사하여인증하는것을의미. 데이터보안인증기관 : 한국데이터베이스진흥원 (www.kdb.or.kr) 데이터보안인증홈페이지 : www.dqc.or.kr 데이터보안인증수준 1 단계 Level 1 데이터베이스접근통제 2 단계 Level 2 데이터베이스암호화 3 단계 Level 3 데이터베이스작업결재 4 단계 Level 4 데이터베이스취약점분석
데이터보안진단및인증 데이터보안인증프레임워크 DB 보안위협요소및동향 DB 보안 3 요소 기밀성무결성가용성 DB 보안통제방법사례 DB 보안통제방법그룹핑 데이터노출 접근제어 부적절한변경부적절한접근 감사및모니터링 사용자인증 접근제어 정당한접근의차단 / 거부 권한관리 암호화 DB 서비스실패 암호화 DB 의물리적인손상 작업결재 작업결재 보안취약점노출개인정보보호에관한법률 취약점분석 운영 / 개발환경분리 취약점분석 DB 보안솔루션동향 백업
데이터보안진단및인증 데이터보안인증프레임워크 접근제어암호화작업결재취약점분석 기획 DB 보안정책수립 설계 접근제어규칙정의 암호화규칙정의 작업결재규칙정의 취약점분석계획 원본데이터삭제 구축 우회방지 제약사항유지 환경보완 보안적용시험 우회방지모의해킹 개인정보보호법에바탕을둔암호화키관리 DB 보안가이드라인및인증시행 (2012.04) 내부보안감사 운영 보안규칙관리사용자로그관리모니터링운영리뷰 취약점수집 취약점제거
데이터보안진단및인증 데이터보안인증에대응하는웨어밸리 DB 보안솔루션 ( 국내유일 ) 기획 접근제어암호화작업결재취약점분석 DB 보안정책수립 설계접근제어규칙정의암호화규칙정의작업결재규칙정의취약점분석계획 구축 운영 개인정보보호법 / 데이터보안인증에완벽하게적합한웨어밸리만의 DB보안제품구성 우회방지 Chakra, Chakra MAX 원본데이터삭제 제약사항유지 암호화키관리 Galea 환경보완 보안적용시험 보안규칙관리 사용자로그관리 모니터링 운영리뷰 Chakra 우회방지 MAX, Trusted Orange 모의해킹 Cyclone 내부보안감사 취약점수집 취약점제거
데이터보안설계및구축방향 DB 접근통제, DB 암호화솔루션의통합운영관리 DB 취약점정보의자연스러운보안정책연계 사용자 PC 단까지의 DB 보안강화 (DB Tool 제어 ) DB 접근통제및작업결재 Server 접근통제및작업결재 사용자측 DB 보안 Chakra MAX DB 취약점분석 ( 모의해킹및내부감사 ) Databases Galea DB 암호화 (Column-Level) 사용자측 DB 보안
데이터보안설계및구축방향 고객정보재무정보인사정보의료정보교육정보 Application Level 보안로직점검 Business Application (Web / WAS / Portal / GroupWare) Out-Sourcing 개발자 / 컨설턴트 Application 개발자 DBA Network Level 보안로직점검 일반고객 데이터베이스접근계정소유 무작위 Data 조회및변경가능 데이터다운로드가능 다양한 DB Tool 사용 Database Level 보안강화 Database 입출력기록 / 통제 Database 취약점분석및제거 Database 기밀데이터암호화 표준화된 DB Tool 선정으로 Database 사용자작업결재 Data Record 조회후다운로드금지사용자작업에대한승인내역기록
Contact us. 30 만명의전세계사용자, 3,000 개이상글로벌고객사 데이터베이스관리및보안전문기업 DB 접근통제, 암호화, 작업결재, 취약점분석 2012, 2013 Gartner 리포트연속등재 Seoul Office : 6F, Nuritkum Square R&D Tower, 1605 Sangam-dong, Mapo-gu, Seoul, Korea 121-795 Tel + 82.2.2132.5501 Japan Office : Shinkasumigaseki Bldg 18F., 3-3-2, Kasumigaseki, Chiyoda-ku, Tokyo 100-0013 Tel +81.3.5532.8801 Online Contact : sales@warevalley.com
Contact us. 한국 (40%), 일본 (45%), 대만 (35%) 및아시아 DB 보안시장 1 위 Gartner 아시아 DB 보안시장선두기업 (2012 년, 2013 년 ) 산업통상자원부 ATC 우수기술연구센터지정 (2013 년 ) 공공 교육 금융 그룹사 / 제조 통신 / 포털서비스 게임 병원 / 제약