▣ 데이터베이스 보안(DB 보안)_Plug-In, API, Kernel, Appliance 방식, 감사
| Plug-in 방식 | 응용 프로그램 수정 없이 쉽게 암호화 적용(단 기간내 구축 용이) 대용량 데이터의 경우 암/복호화 과정이 DBMS에서 수행되므로 DBMS부하 발생 |
| API 방식 | 대용량 데이터의 암/복호화 과정이 프로그램 단에서 수행되므로 DBMS 부하의 분산 효과 DBMS 부하가 적어 속도 증가 효과 발생으로 시스템 영향도가 낮음 기존 응용 프로그램 수정을 통한 암호화 적용에 따른 인력 투입/ 구축기간의 장기간 소요 DB 성능을 저하시키지 않으나 애플리케이션의 전체적인 수정이 필요 |
| Kernel 방식 | DBMS의 엔진레벨에서 직접 암복호화를 수행하기 때문에 다른 어떤 방식보다 구축이 간편하며, 빠른 암복호화 성능을 제공 다만, 엔진 레벨의 수정이 필요하며 DBMS 벤더들이 직접 제공을 하거나 MySQL/MariaDB와 같은 오픈소스 DBMS 또는 보안 전문 업체와 데이터베이스 업체의 협력이 이루어진 DBMS에서만 지원이 가능 |
| Appliance 방식 | 암호화를 위한 전용 장비를 사용함으로 처리성능이 우수하나 도입비용 큼 |
■ 데이터베이스 보안 통제
| 접근제어 (Access Control) |
사용자가 데이터베이스에 직접 접근 시 통제를 통한 보안 달성 |
| 정보흐름제어 (Flow Control) |
사용자가 접근 가능한 데이터들 사이에서 정보의 분배흐름이 발생할 때 권한 없는 부당한 데이터의 전달을 통제하는 방법 |
| 추론제어 (Inference Control) |
간접적인 수단인 추론채널, 통계추론 등으로 정보를 부당하게 얻지 못하도록 하는 방법 |
| 암호화 | 주요 데이터를 암호화해 저장함으로써 보안 달성 |
| View | 가상테이블인 View를 이용해 해당 계정에게 허가된 사용자 관점의 데이터만 볼 수 있도록 하는 보안 방법 |
2012년
정답 : 2번
DB성능을 저하시키지 않은 장점이 있으나 애플리케이션의 전체적인 수정이 필요한 DB암호화 방식은 API 방식의 특징임
API방식은 DB서버가 아닌 어플리케이션 또는 웹 서버쪽에서 암호화가 이루어지므로 DB성능은 저하시키지 않으나 애플리케이션의 전체적인 수정이 필요한 방식임
2013년 114번
정답 : 2번
Risk Control은 데이터베이스에 존재하지 않는 보안 통제 방법임
| 접근제어 (Access Control) |
사용자가 데이터베이스에 직접 접근 시 통제를 통한 보안 달성 |
| 정보흐름제어 (Flow Control) |
사용자가 접근 가능한 데이터들 사이에서 정보의 분배흐름이 발생할 때 권한 없는 부당한 데이터의 전달을 통제하는 방법 |
| 추론제어 (Inference Control) |
간접적인 수단인 추론채널, 통계추론 등으로 정보를 부당하게 얻지 못하도록 하는 방법 |
| 암호화 | 주요 데이터를 암호화해 저장함으로써 보안 달성 |
| View | 가상테이블인 View를 이용해 해당 계정에게 허가된 사용자 관점의 데이터만 볼 수 있도록 하는 보안 방법 |
2016년 108번
정답 : 2번
데이터베이스에 대한 감사는 사전에 침해를 방지하거나 침해 징후를 점검하기 위한 목적으로 수행됨
데이터베이스 암호화에 사용되는 Key는 열람이 제한되도록 안전하게 보관/관리가 필요한 정보로 데이터베이스 감사 수집 정보 대상으로 부적절함
암호화 방식, 키 길이 등 암호화에 대한 정책은 감사 대상에 포함될 수 있음
'보안' 카테고리의 다른 글
| 네트워크 보안_침입 탐지 시스템, 오용탐지, 이상탐지, False Positive, False Negative (0) | 2021.12.17 |
|---|---|
| 암호 해독을 위한 공격 유형_암호문 단독, 알려진 평문, 선택 평문, 선택 암호문, 스트림 암호화 (0) | 2021.12.13 |
| 패스워드 기반 암호(PBE, Password Based Encryption), 솔트 salt, CEK, KEK (0) | 2021.11.29 |
| 타원곡선 알고리즘(ECC, Elliptic Curve Cryptography) (0) | 2021.11.24 |
| OTP_동기식, 시간(이벤트) 동기화, 비동기식, 도전 응답 방식, S/Key 방식 (0) | 2021.11.23 |