정보보안기초 · 13분 읽기
보안의 기준: CIA·AAA와 위험 판단
보호할 자산과 실패했을 때의 영향을 먼저 정의한다. CIA와 AAA를 연결하면 보안 장비의 목적과 필요한 증거가 분명해진다.
개념부터 찾아보기
정의·역할·동작 원리를 독립 페이지에서 확인하세요. 본문의 밑줄 용어에도 설명이 있습니다.
이 노트에서 설명할 수 있게 되는 것
- CIA 관점에서 한 사건의 복합 영향을 구분한다.
- 인증·인가·감사의 처리 위치를 데이터 흐름에 표시한다.
- 자산·위협·취약점·통제를 연결해 잔여 위험을 설명한다.
01개념과 구성 요소
- 보안 목표CIA는 허용되지 않은 열람, 의도하지 않은 변경, 필요한 때의 이용 불가를 구분하는 기준이다.
- 위험의 재료···을 연결해야 무엇을 어떤 통제로 보호할지 결정할 수 있다.
- 통제의 구성과 예방·탐지·복구는 서로 다른 실패 지점을 담당한다.
02계정 복구 변경을 위험으로 분석하는 순서
- 보호 대상 정하기계정과 개인정보, 계정 복구 이메일을 보호할 으로 정한다.
- 변경 경로 찾기누가 어떤 인증· 절차를 거쳐 복구 이메일을 변경하는지 확인한다.
- 과 연결다른 사용자가 변경할 수 있다면 권한 검사 누락이 의 진입점이 된다.
- 추적복구 링크가 다른 곳으로 전송되면 계정 접근권과 개인정보 열람권까지 바뀔 수 있다.
- 통제와 평가변경 권한·추가 인증·변경 알림·복구 절차를 연결하고 각 통제 뒤에 남는 위험을 다시 평가한다.
03보안 속성은 데이터가 겪는 변화를 설명한다
- ··은 허가된 주체에게만 내용이 공개되는 성질이고, 은 데이터와 처리 과정이 허가 없이 바뀌지 않는 성질이며, 은 필요한 시점에 서비스를 사용할 수 있는 성질이다. 세 속성은 서로 배타적인 사고 분류가 아니다.
- 복합 개인정보 DB를 복사해 외부에 공개하면 이 직접 침해된다. 같은 DB의 이메일을 바꾸면 이 침해되고, DB를 삭제하면 과 이 함께 을 받는다.
- CIA 분석CIA 분석은 한 사건이 ··에 주는 을 각각 분리하는 작업이다. 실제 분석에서는 을 연쇄적으로 읽어야 한다.
- 복구 이메일 변경계정 복구 이메일 변경은 단순한 문자열 변조에서 끝나지 않는다. 복구 링크가 다른 곳으로 전달되면 계정 접근과 개인정보 열람 권한도 바뀔 수 있다.
- 랜섬웨어의 랜섬웨어 역시 파일 암호화에 따른 이용 불가, 원본 변경, 선행 유출의 세 을 동시에 가질 수 있다.
04자산·위협·취약점·위험을 하나의 사건으로 연결하기
- 과 은 보호할 데이터·서비스·키·업무 기능이다. 은 에 피해를 줄 수 있는 행위나 사건이고 은 그 사건이 성립하도록 만드는 약점이다.
- 위험위험은 약점의 존재만으로 결정되지 않는다. 공격자가 해당 경로에 도달할 수 있는지, 권한과 기능이 실제 활성화되어 있는지, 피해가 어느 업무로 이어지는지에 따라 발생 가능성과 이 달라진다.
- 다운로드 API 사례예를 들어 문서 다운로드 API가 로그인 여부만 검사하고 문서 소유자를 검사하지 않는다고 하자. 은 비공개 문서이고 은 객체별 권한 검사 누락이다. 인증된 사용자가 다른 문서 번호를 지정하는 행동이 가능한 경로가 되며 결과는 비공개 문서 열람이다.
- 통제 범위외부 방화벽이 있더라도 정상 계정으로 들어오는 요청에는 이 약점이 남는다. 반대로 API가 내부에만 있다고 설명할 때도 내부 사용자와 탈취된 계정이라는 전제가 사라지는 것은 아니다.
LEARN THROUGH PRACTICE
같은 사건을 CIA와 통제 목표로 분해하기
보안 속성을 외우는 데서 그치지 않고 사건이 어떤 의 어떤 상태를 손상시키는지 설명한다.
실습 구성과 전제
- 교육용 CIA 문제 화면 두 장과 가상의 서비스 사고 세 가지를 준비한다.
- 실제 사고를 단정하지 않고 화면의 질문과 가상 사례를 구분해 답한다.
피해가 생기는 속성을 먼저 고른다
- 은 허가된 사용자가 필요한 때 서비스를 사용할 수 있는 성질이다. 서버에 도달했어도 작업이 처리되지 않으면 이 손상될 수 있다.
- 계정 우회·민감한 메일 전달·는 작동 지점이 다르다. 공격 이름 대신 결과가 노출·변조·중단 중 무엇인지 적는다.
원본 크기로 보기 ↗- 질문은 availability를 해치는 경우를 묻고 있으며 서비스 거부가 선택지로 제시된다.
- 전원을 뽑는 것만 가용성 침해라는 선택지도 보인다. 자원 고갈이나 처리 지연도 가용성 문제이므로 범위를 넓혀 읽는다.
확인 기준를 과 연결하되, 한 사건이 다른 속성도 함께 침해할 수 있음을 설명한다.
하나의 속성만 손상되어도 사고인지 판단한다
- 가상의 읽기 전용 문서 유출은 과 이 유지돼도 을 침해한다. 반대로 파일 변조는 계속 읽을 수 있어도 침해다.
- 각 사례를 →허용된 행위→관찰된 변화→손상된 속성의 네 칸으로 기록한다.
원본 크기로 보기 ↗- 질문은 CIA 가운데 적어도 하나가 손상됐을 때를 다룬다.
- 세 속성이 모두 깨져야 위험하다는 선택지와 하나만 깨져도 보안이 훼손된다는 선택지가 대비된다.
확인 기준보안 여부를 단순 접속 성공으로 판단하지 않는다.
예방·탐지·복구를 사건에 배치한다
- 문서 유출에는 객체 권한 검사와 접근 기록, 변조에는 변경 권한· 검사·신뢰 가능한 복구본이 필요하다.
- 서비스 중단에는 요청 제한·용량 관찰·복구 절차를 배치한다. 통제의 존재와 실제 효과는 각각 구성 증거와 시험 결과로 나눈다.
확인 기준선택한 통제가 어떤 실패 경로를 막는지 한 문장으로 설명할 수 있어야 한다.
실습에서 확인한 동작 원리
- CIA는 제품 분류가 아니라 피해 상태를 분석하는 틀이다.
- 통제 이름만 나열하지 말고 보호할 과 실패 경로를 연결한다.
설정·출력 추가로 확인하기 2장
아래 화면을 펼쳐 위 실습의 설정값, 명령과 확인 기준을 비교해 보세요. 각 묶음은 별도 실습 기록입니다.
실습 화면 묶음 01 1장
원본 크기로 보기 ↗- 학습 원본 · CIA 보안 속성 교육 문제의 CIA Triad·보안 속성 · 학습 자료에 수록된 화면·도식이다.
실습 화면 묶음 02 1장
원본 크기로 보기 ↗- 학습 원본 · CIA 보안 속성 교육 문제의 CIA Triad·보안 속성 · 학습 자료에 수록된 화면·도식이다.
05인증·인가·기록의 판단 대상
- 은 제출한 증거를 계정과 연결한다. 비밀번호, 인증서, 보안 키 등이 이 단계의 증거가 된다.
- 은 인증 결과와 자원·행동·상태를 이용해 허용 범위를 결정한다. 은 누가 언제 어떤 세션·명령·자원에 접근했고 결과가 무엇이었는지를 남긴다.
- 인증과 인증 성공은 관리자 권한을 부여했다는 뜻이 아니며, 로그가 존재한다는 사실도 접근을 막았다는 뜻은 아니다.
- 다운로드 과정에서는 브라우저의 세션 식별자로 계정을 찾고, 그 계정과 요청한 파일의 소유자·조직을 정책에 넣고, 허용된 경우 저장소에서 파일을 읽는다. 감사 로그는 이 과정의 요청 ID·계정·파일 ID·행동·결과를 연결한다.
- 기록 최소화세션 토큰이나 파일 전체 내용은 사건 연결에 불필요한 비밀값일 수 있다. 여러 사람이 하나의 계정을 공유하면 동일한 계정 이름만으로 실제 수행자를 구분하기 어려워진다.
06AAA 기술을 목적에 맞게 배치하기
- 기술별 역할···는 중앙 신원 관리에서 서로 다른 역할을 맡는다. 는 디렉터리의 사용자·그룹 같은 항목을 조회하거나 변경하는 접근 방식으로, 그 자체를 모든 SSO의 이름으로 쓰지 않는다.
- 티켓과 네트워크 는 신뢰하는 인증 인프라에서 발급한 티켓으로 서비스에 인증하는 체계다. 는 무선·VPN 등 네트워크 접근의 에, 는 장비 관리자의 접근과 명령 권한에 자주 연결된다.
- 정책 집행 지점애플리케이션과 네트워크 장비가 중앙 계정 서버를 사용하더라도 자원의 최종 권한 정책은 별도로 필요하다. 디렉터리가 계정의 그룹을 알려 주는 일과 업무 문서가 승인 가능한 상태인지 판단하는 일은 서로 다른 책임이다.
- 중앙 인증 장애중앙 인증에 장애가 났을 때 신규 로그인과 이미 열린 세션이 어떻게 움직이는지도 그 기술과 캐시 정책에 따라 달라진다.
07예방·탐지·복구 통제가 실제로 작동하는 위치
- 과 통제인 는 네트워크 구간을 지나는 바이트를 보호한다. 저장장치 암호화는 디스크가 복사되었을 때 키 없이 내용을 읽기 어렵게 만든다.
- 서버 권한 검사둘 다 애플리케이션이 정상 사용자에게 잘못된 문서를 반환하는 오류를 직접 해결하지는 않는다. 통제의 이름을 나열하는 것보다 어떤 경계에서 무엇을 막는지 연결해야 효과를 설명할 수 있다.
- 검사 조건에는 입력 검증··서명·변경 이력이 기여하지만 역할이 다르다. 은 연관 변경이 중간 상태로 남지 않도록 하고, 서명은 주어진 공개키 아래 서명된 바이트의 관계를 검증한다.
- 통제에는 용량, 이중화, 장애 격리, 백업 복원이 관여한다. 백업 파일이 있다는 사실과 서비스가 허용 시간 안에 그 자료로 재개될 수 있다는 사실은 다르다.
08CIA를 보완하는 진정성·책임추적성·부인방지
- 진정성진정성은 사용자·메시지·소프트웨어가 주장하는 주체와 연결되는가를 묻는다. 책임추적성은 행위 기록을 특정 주체에 귀속할 수 있는가를 묻는다.
- 부인방지부인방지는 서명된 행위를 나중에 부인하기 어렵게 만드는 증거 성질과 관련되며, 키 보호·신원 확인·시점 증거를 포함한 체계가 필요하다. 공유키 MAC은 두 참여자가 같은 비밀을 알기 때문에 제3자에게 어느 한쪽이 만들었다고 증명하는 서명과 다르다.
- PrivacyPrivacy는 단순히 데이터를 암호화했는가보다 수집 목적·최소화·보존과 이용 범위까지 포함한다. Safety는 시스템 실패가 사람이나 환경에 미치는 결과를 다룬다.
- 추적성과 최소 수집같은 센서 데이터의 유출과 오작동도 · 외에 개인정보 보호와 책임추적성 관점으로 분석할 수 있다. 법적 책임의 판단에는 별도의 사실과 기준이 필요하다.
09통제의 부작용과 남은 위험을 읽는 예제
- 과도한 차단모든 요청을 차단하면 외부 공격 표면은 줄어들지만 정상 사용자의 도 사라진다. 복잡한 암호 연산을 도입했는데 처리 용량을 마련하지 않으면 대기열이 늘고 시간 초과가 생길 수 있다.
- 통제의 목적따라서 보안 통제는 성공 경로뿐 아니라 실패 경로와 부하 조건을 함께 가진다. 한 계층에서 실패하더라도 다른 계층이 피해를 제한하는 구조가 방어의 깊이를 만든다.
- 다운로드 통제문서 다운로드 사례에서는 정상 계정·비허용 계정·만료 세션을 같은 파일에 적용했을 때 어떤 단계에서 거부되는지 비교할 수 있다. 예상 결과는 각각 내용 반환, 권한 거부, 재인증 요구이며 저장소 접근 기록도 달라진다.
- 은 이러한 통제 후에도 남는 경로다. 예를 들어 허용 계정 자체가 탈취되었다면 객체별 권한 검사가 올바르더라도 그 계정의 문서는 노출될 수 있다.
설명과 함께 보는 보조 도식
처리 과정
모식도 · 파일 접근의 신뢰 경계
동일 요청이 신원·권한·저장소·감사 단계에서 어떻게 다뤄지는지 본다.
01인증 모듈세션 유효성과 계정 확인
02정책 판단주체·행동·자원의 허용 여부
03파일 저장소허용된 요청에 데이터 반환
04감사 기록식별자와 결과 기록
01
신원 연결
유효한 세션을 내부 계정 식별자로 바꾼다.
- 신원
- 확인됨
전체 단계를 한 번에 읽기
- 01
신원 연결
유효한 세션을 내부 계정 식별자로 바꾼다.
- 신원
- 확인됨
- 02
인가 판단
파일 소유권과 허용 행동을 평가한다.
- 권한
- 허용 또는 거부
- 03
자원 사용
허용일 때만 저장소에 접근한다.
- 04
결과 기록
성공·실패와 요청 식별자를 남긴다.
원리 심화
10신뢰 경계와 통제의 의존 관계
- 경계의 의미사용자가 정한 값이 서버의 권한으로 처리되는 지점을 신뢰 경계로 표시한다. 로그인 여부와 객체 소유권은 별도 경계다.
- 통제의 의존성암호화는 키 관리에, 감사는 정확한 신원·시각·원본 보존에 의존한다. 한 통제가 다른 통제의 입력을 신뢰하는 관계를 그릴 수 있다.
- 공통 실패 원인주 서버와 백업이 같은 계정·저장소 권한에 묶여 있으면 한 계정 침해가 두 통제를 함께 무너뜨릴 수 있다.
- 위험의 불확실성발생 가능성과 의 근거·범위를 함께 적는다. 높음·중간·낮음의 서열에 숫자를 붙였다고 통계적 확률이 되지는 않는다.
- 통제 후 평가통제의 존재 대신 배치·적용 대상·실패 상태를 평가한다. 일부 경로만 보호되면 남은 경로의 위험을 따로 기록한다.
예제로 추적
11가상 문서 다운로드의 통제 상태 추적
- 입력 조건사용자 A가 로그인했고 문서 42의 소유자는 B라고 가정한다. 세션은 유효하지만 소유권은 불일치한다.
- 인증 결과세션 검증은 통과한다. 이 결과만 반환하면 B의 문서가 유출되어 이 깨진다.
- 결과서버가 소유자와 공유 권한을 검사하여 거부하면 문서 본문은 전달되지 않는다.
- 기록 결과A·문서 42·조회·거부·요청 ID를 남기면 조사할 근거가 생긴다. 문서 전체나 세션 비밀을 로그에 복사할 필요는 없다.
- 잔여 응답 시간·파일 크기·존재 여부가 노출되는지와 정상 공유 기능이 막히지 않았는지를 별도로 평가한다.
검증·예외
12통제가 있어도 보호되지 않는 경우의 진단
- 미적용 경로화면은 보호되지만 다운로드 API나 백그라운드 작업이 검사를 생략하는지 같은 자원의 모든 진입점을 비교한다.
- 실패 시 기본값권한 서버의 timeout을 허용으로 바꾸면 인증 장비가 정상인 평상시 시험만으로 결함이 드러나지 않는다.
- 권한 캐시권한을 회수한 뒤 이전 캐시가 남으면 정책과 실제 결정이 다르다. 캐시 키·갱신 시점·만료를 함께 확인한다.
- 기록 공백행위는 성공했으나 감사 전송이 실패하면 탐지 가능성이 낮아진다. 업무 결과와 기록 결과를 별도 상태로 관찰한다.
학습 확인
이해했는지 확인하기
- 한 자산의 기밀성·무결성·가용성 실패 영향을 각각 적는다.
- 위협과 취약점을 구분하고 노출 조건을 확인한다.
- 인증·인가·감사 기록이 각각 어느 지점에서 수행되는지 확인한다.