정보처리기사 실기 - 데이터베이스 보안

데이터베이스 보안

권한이 없는 사용자나 프로그램이 데이터에 접근, 변경, 유출하지 못하도록
보호하기 위한 기술과 절차를 의미

• 데이터베이스 내의 데이터를 불법 접근이나 파괴, 변경으로부터 보호하는 기술
• 보호 범위
  • 테이블 전체
  • 특정 행(Row)
  • 특정 열(Column)
  • 특정 데이터 값(Value)
• 데이터의 기밀성, 무결성, 가용성 확보

---

암호화(Encryption)

데이터를 읽을 수 없는 형태로 변환하여
인가된 사용자만 복호화(Decryption)하여 볼 수 있도록 하는 보안 기술

• 암호화 과정
  • 암호화되지 않은 평문을 암호문으로 바꾸는 과정
• 복호화 과정
  • 암호문을 원래의 평문으로 바꾸는 과정
• 암호화 기법
  • 개인키 암호 방식(Private Key Encryption)
  • 공개키 암호 방식(Public Key Encryption)

---

접근통제

누가(Who), 언제(When), 어디서(Where), 무엇을(What), 어떻게(How)
접근할 수 있는지를 정의하고 제한하는 기술

• 데이터베이스 객체(테이블, 뷰 등)와 주체(사용자) 간의 접근을 제한하는 기술
• 구성요소
  • 접근통제 정책
  • 접근통제 메커니즘
  • 접근통제 보안모델

---

접근통제 기술

구분	임의 접근통제(DAC)	강제 접근통제(MAC)	역할 기반 접근통제(RBAC)
기준	사용자의 신원	주체/객체의 보안 등급	사용자의 역할(Role)
권한 부여자	데이터 소유자	시스템 관리자	중앙 관리자
특징	유연함 개인별 제어 기능	보안성 높음 군사 시스템에 사용	효율적 다중 사용자 환경에 적합
단점	권한 위엄 시 보안 취약	관리 복접	초기 역할 설정이 필요
대표 예시	GRANT/REVOKE (SQL 권한 부여)	군사 기밀 DB 시스템	기업 ERP, 클라우드 시스템
요약	개인이 직접 권한 관리	시스템이 자동 제어	역할 단위로 관리(가장 널리 사용됨)

---

접근통제 정책의 종류

• 신분 기반 정책(IBP / GBP)
  • 사용자(또는 그룹)의 신분에 따라 접근 제한
  • 관리자 그룹만 테이블 접근 가능
• 규칙 기반 정책(MLP / CBP)
  • 보안 등급(기밀성 기준)이나 허가 기준에 따라 제한
  • 기밀등급 이상 사용자만 열람 가능
• 역할 기반 정책(Role-Based)
  • 사용자의 역할에 따라 접근 제한
  • DB관리자는 수정 가능
  • 일반 사용자는 조회만 가능

---

접근통제 매커니즘

• 정책을 실제로 기술적으로 구현하는 방법
• 접근통제 목록, 능력 리스트, 암호화, 패스워드 등이 있음

---

접근통제 보안 모델

• 기밀성 모델
  • 군사 목적으로 개발된 최초의 수학적 모델
  • 정보 유출 방지 중점
• 무결성 모델
  • 불법적인 정보 변경 방지
• 접근통제 모델
  • 주체(행)와 객체(열)의 권한을 행렬 형태로 표현

---

접근통제 조건

• 값 종속 통제(Value-Dependent Control)
  • 데이터 값에 따라 접근 허용 여부 결정
• 다중 사용자 통제(Multi-User Control)
  • 여러 사용자가 동시에 같은 데이터에 접근할 때 제어
• 컨텍스트 기반 통제(Context-Based Control)
  • 시간, 장소, IP, 인증 수준 등을 기준으로 제어

---

감사 추적

사용자 또는 애플리케이션이 DB에 접근한 모든 행위를 기록하여
오류 복구, 이상 행위 탐지, 불법 조작 추적을 가능히게 하는 기능

• 사용자 활동(접근, 변경, 삭제 등)을 로그 형태로 그록
• 목적
  • 부정 접근 탐지
  • 무제 발생 시 복구 및 원인 추적

---