[접근통제] - 접근통제 개요

접근통제(접근제어, access control)

• 비인가된 사용자의 정보자원 사용 방지
• 인가된 사용자가 비인가된 방식으로 정보 자산을 접근하는 행위 방지
• 인가된 사용자가 인가된 방식으로 정보 자산을 잘못 접근하여 정보 자산을 훼손하는 행위 방지
• 주체가 객체에 접근할 때 보안상의 위협, 변조 등과 같은 위험으로부터 객체와 제반 환경을 보호하기 위한 보안대책
  • 주체: 외부에서 접근하는 사람, 객체: 시스템과 같은 접근 대상

주체(subject)	객체나 객체 내의 데이터에 대한 접근을 요청하는 능동적인 개체
객체(object)	접근대상이 될 수동적인 개체 또는 행위가 일어날 아이템
접근(access)	주체와 객체 사이의 정보 흐름

 

접근통제 절차

단계	설명	접근 매체
식별	본인이 누구라는 것을 시스템에 밝히는 것 인증 서비스에 스스로를 확인시키기 위해 정보를 공급하는 주체의 활동 식별자는 각 개인의 신원을 나타내므로 사용자의 책임추적성 분석에 중요한 자료가 됨	사용자명 계정번호 메모리카드
인증	주체의 신원을 검증하기 위한 사용 증명 본인임을 주장하는 사용자가 그 본인이 맞다고 시스템이 인정해 주는 것	패스워드, PIN 토큰, 스마트 카드 생체 인증
인가	인증된 주체에게 접근을 허용하고 특정 업무를 수행할 권리를 부여하는 과정	접근제어목록(ACL) 보안 등급

+최근에는 접근통제 3단계에 덧붙여 책임추적성 단계가 추가됨

*책임추적성(accountability): 시스템에 접근한 주체가 시스템에 어떤 행위를 하고 있는지를 기록하여 문제발생 시 원인 및 책임 소재를 파악하기 위한 목적

if) 하나의 계정을 여러 명이 공유하면 책임 추적이 어려움

 

접근통제 요구사항

1. 입력의 신뢰성
   1. 접근 제어 시스템은 입력되는 사용자 정보를 신뢰할 수 있어야 함
2. 최소 권한 부여
3. 직무 분리