접근통제 모델
강제적 접근통제(MAC)
- 보안 관리자가 취급인가를 허용한 개체만 접근할 수 있도록 강제적으로 통제
- 대표적인 모델은 BLP, Biba, 클락-윌슨, 만리장성
- 중앙집중형 보안관리
- 비용이 많이 소모되며 사용자 친화적이지 않음
임의적 접근통제(DAC)
- 주체가 속해 있는 그룹의 신원에 근거하여 객체에 대한 접근을 제한하는 방법
- 주체 또는 그들이 속해 있는 그룹의 신분에 근거해 객체에 대한 접근을 제한
- 분산형 보안관리
- 기법: 접근제어 행렬, 접근제어 목록(ACL)
- 유연하지만 일관성 있는 접근 제어가 부족할 수 있음
역할기반 접근통제(RBAC)
- 사용자의 역할에 기반을 두고 접근을 통제
- 사용자들은 직무에 의한 책임과 자질에 따라 역할을 할당받음
- DAC에 비해 유연성은 떨어지지만 일관성 있는 접근제어에 용이
보안 모델
벨라파듈라 모델(BLP)
- No read up: 주체는 같거나 낮은 보안 수준의 객체만 읽을 수 있음
- No write down: 주체는 같거나 높은 보안 수준의 객체에만 쓸 수 있음
- 기밀성 유지에는 매우 강하지만 무결성 유지에는 문제점을 노출 할 수 있음
비바 무결성 모델(Biba)
- 변조방지(무결성)를 목적으로 함
- No read down, No write up
클락-윌슨 무결성 모델
- Biba의 확장판(무결성의 확장)
- 상업적 모델
접근통제 보안위협
패스워드 크래커
사전 공격:패스워드 사전 파일을 이용해 접속 계정을 알아내는 해킹 방법, 패스워드가 일치할 때까지 비교 작업 수행무차별 공격: 성공할 때까지 가능한 모든 조합의 경우의 수를 시도해 공격하는 해킹 방법레인보 테이블을 이용한 공격: 패스워드 후보 단어와 솔트를 해싱하여 거대한 사전을 만든 다음 공격에 활용
ICT 기반 사회공학 공격
피싱: 수신자에게 email을 발송해 위조된 사이트로 이동시킨 후 개인 정보 탈취파밍: 해당 사이트가 공식적으로 운영하고 있는 도메인 자체를 중간에서 탈취하는 수법스미싱: SMS와 Phishing 공격이 결합된 용어, SMS로 사용자를 속여 악성 소프트웨어 설치 유도
