[TECH UP] 보안 정책과 접근 제어

접근통제정책 (Access control policies)

접근통제정책은 크게 네 가지가 있음

• DAC (Discretionary Access Control): 임의적 접근통제

  • 자원 소유자가 접근 권한을 결정하는 방식
  • 윈도우/리눅스 파일 권한 설정이 대표적인 예시
  • 예: chmod 777 (읽기/쓰기/실행 권한 부여)
  • 장점: 유연함
  • 단점: 소유자가 임의로 권한을 부여하여 보안이 취약해질 수 있음

• MAC (Mandatory Access Control): 강제적 접근통제

  • 보안 등급에 따라 접근을 엄격히 통제함
  • 주로 군사/정부 시스템에서 사용
  • 예: Top Secret, Secret, Confidential
  • 장점: 매우 강력한 보안을 제공함
  • 단점: 유연성이 떨어지고 운영이 복잡함

• RBAC (Role-Based Access Control): 역할 기반 접근통제

  • 사용자의 역할(role)에 따라 접근 권한을 부여함
  • 기업 환경에서 가장 많이 사용되는 방식임
  • 장점: 관리가 효율적이고 대규모 조직에 적합함
  • 단점: 역할 설계가 잘못되면 권한 관리가 꼬일 수 있음

• ABAC (Attribute-Based Access Control): 속성 기반 접근통제

  • 사용자 속성(직급, 부서, 시간 등)과 자원 속성을 조건으로 접근을 제어함
  • 예: "영업팀 직원이 근무 시간(09~18시) 내에서만 CRM 시스템 접근 가능"
  • 클라우드, 최신 보안 아키텍처에서 많이 사용함
  • 장점: 매우 세밀한 제어가 가능함
  • 단점: 정책이 복잡해질수록 관리 부담이 커짐

---

접근제어의 3단계 & 2단계 인증

• 접근제어의 3단계: 접근제어는 다음 3단계를 거쳐 이루어짐

  1. 식별 (Identification): 자신이 누구인지 밝히는 단계. 사용자명, 핸드폰 번호 등을 제시함. 고유값일수록 식별이 용이함
  2. 인증 (Authentication): 제시된 신원이 올바른지 증명하는 단계. 패스워드나 생체인증이 사용됨
  3. 인가 (Authorization): 사용자에게 특정 권한을 허용하는 단계

• 2단계 인증 (2FA)

  • Two-Factor Authentication의 약자.
  • 아이디와 암호 외에 추가적인 인증 수단을 사용함.
  • 예: 문자 메시지 인증, 지문, 홍채, 어플 푸시 알림 등.

---

보안의 주요 개념

• 기밀성 (Confidentiality): 허가되지 않은 개인, 단체 등으로부터 중요한 정보를 보호하는 것
• 무결성 (Integrity): 정보의 변조 및 파괴를 예방하고 방지하여 데이터가 정확하고 완전하게 유지되도록 하는 것. 파일의 해시값 확인을 통해 무결성을 검증할 수 있음
• 가용성 (Availability): 이용자가 원하는 시기에 정보를 제공받을 수 있도록 보장하는 것
• 준거성 (Compliance): 기술적, 관리적, 물리적 보호조치 또는 개인정보보호 관련 법률 등 법률적으로 규정된 사항을 지키는 것

---

CRUD

• 데이터베이스에서 사용되는 기본 동작
• Create / Read / Update / Delete의 약자
• SQL에서도 사용되는 개념임

---

DLP vs DRM

구분	DLP (정보유출방지)	DRM (문서 보안)
목적	내부 데이터 유출 방지	데이터 사용 권한 통제
방식	외부로 유출될 수 있는 모든 경로 차단	파일 암호화
강점	유출 예방 및 유출 내역 파악	유출 시 파일 암호화로 열람 불가
추천 상황	데이터 유출 방지 및 법적 규제 준수가 필요한 경우	외부와 콘텐츠 공유 시 권한 통제가 필요한 경우

---

콘텐츠 보안 정책 (CSP)

• 정의: 교차 사이트 스크립팅(XSS)과 같은 데이터 주입 공격을 막기 위한 추가 보안 계층
• 작동 방식: 브라우저는 소스 코드와 관계없이 페이지에 요청하는 코드를 무조건적으로 다운로드하여 실행하기 때문에 CSP를 사용함. CSP는 신뢰할 수 있는 콘텐츠 소스의 허용 목록을 정의하여 해당 소스에서 온 리소스만 실행되도록 브라우저에 지시함
• 설정: 웹 서버의 Content-Security-Policy HTTP 헤더를 통해 설정하거나, <meta> 태그를 사용함
• 예: Content-Security-Policy: script-src 'self' example.com 정책을 설정하면, example.com에서 로드된 스크립트만 실행이 허용됨

---

CSP 우회 (Bypass)

• 신뢰 도메인에 파일 업로드: CSP 정책이 허용한 신뢰 도메인에 악성 스크립트를 업로드하여 실행하는 방식
• Base-uri 미지정: <base src=""> 태그로 기준 경로를 변경하여 허용된 경로 외의 스크립트를 실행하는 방식

---

크롤링 (Crawling)

• 정의: 웹사이트의 정보 자원을 자동화된 방법으로 수집, 분류, 저장하는 것
• Robots.txt: 크롤링 악용 방지를 위해 웹 페이지 소유자가 접근 제한에 대한 설명을 기술하는 파일
  • Disallow: 크롤링하지 말아야 할 영역
  • Allow: 크롤링을 허용하는 영역
• 기술적 한계: Robots.txt는 가이드라인일 뿐, 기술적으로 크롤링을 막기 어려움. 그 이유는 정상 사용자와 악성 사용자(봇)를 구분하기 모호하기 때문임. IP나 User-Agent는 변조가 가능하고 유동적임
• CAPTCHA: 컴퓨터와 인간을 구분하기 위한 자동화된 공개 튜링 테스트. 크롤링 봇을 막는 한 방법임
• 네이버 크롤링 탐지 우회 기준: 네이버는 짧은 시간 내에 너무 많은 요청이 이루어진 IP나 VPN을 사용한 접속 등을 비정상적인 접근으로 감지해 접속을 제한함