개인정보보호법 시행에 맞춰 시만텍에서 Serverless DLP를 출시했습니다.

기존 시만텍 DLP를 사용하기 위해서는 정책서버를 별도로 구축해야 했었는데요.

이번에 출시된 Serverless DLP는 서버기반이 아닌 사용자 라이선스로만 가볍게 출시됐으며

개인정보보호법에서 고시하는 3대 기능("개인정보 검출", "개인정보 암호화", "개인정보 완전삭제")에 충실한 제품입니다.

 

 

저작자 표시
신고
Posted by 엠플 (주)엠플

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

김지현 | 과장 | marketing | (주)엠플 I Email: jhkim@impl.co.kr

Phone: 02-501-0223 | Direct: 070-8795-4796 | Mobile: 010-5264-8390 | Fax: 02-6937-0223ㅣwww.impl.co.kr

저작자 표시
신고
Posted by 엠플 (주)엠플

2011년 9월 30일부터 시행된 개인정보보호법에 따라 개인정보를 취급하는 대부분의 기업에서 고시안에 맞는 솔루션을 검토하고 있는데요.

대부분 데이타베이스 암호화 또는 접근제어솔루션만을 검토하는 추세입니다.

 

허나, 개인정보보호법에서는 웹서버 및 DB서버 뿐만 아니라, 개인정보를 다루는 개인PC도 보호대상으로 분류하고 있습니다.

우선, 개인PC에 관련하여 개인정보보호법의 기술적 보호조치 사항을 정리해보면 크게 3가지로 볼 수 있습니다.

 

1. 29조: 개인정보처리자는 개인정보가 분실, 도난, 유출, 변조 또는 훼손되지 아니하도록 기술적, 관리적 및 물리적 조치 강구

기술적 해석: PC내에 저장되어 있는 개인정보가 무엇인지 "검출" 및 "리포팅"할 수 있도록 기술적 장치가 필요합니다.

 

2. 24조 3항: 암호화등 대통령령이 정하는 바에 따라 안전성 확보조치 의무화

기술적 해석: PC에 개인정보가 포함된 파일이 저장될 때, 파일암호화 등의 암호화 장치가 필요합니다.

 

3. 21조 1항, 2항, 3항: 공공기관이 개인정보의 처리 목적 달성등으로 해당 개인정보가 불필요하게 되었을 때는 지체없이 파기

기술적 해석: 개인정보가 포함된 문서파일을 삭제할 때는 복구할 수 없도록 완전삭제할 수 있는 장치가 필요합니다. 

 

지금까지는 위와 같은 법조항을 커버하기 위해 DRM 또는 DLP 솔루션이 많이 검토됐었으나, 솔루션 커버리지가 넓다 보니 가격적인 면이나 운영적인 면에서 효율적이지 못 하다는 것이 전산담당자분들의 고민입니다.

 

그래서 이번 블로그에서는 좀더 슬림하고 경제적인 PC개인정보보호솔루션을 소개드립니다.

PC개인정보보호솔루션도 현재는 포화상태이므로, 제품 도입기준을 세울 수 있도록 아래와 같이 기준점을 제시합니다.

 

주 요 항 목

S/W 구현기능

 새 파일 저장, 파일 수정, 다운로드 시 실시간 감지
 개인정보 검출 파일에 대한 암호화, 완전삭제 처리
 손상된 파일 검출 시 프로그램의 비정상적인 종료 방지로 작동 안정성 확보

개인정보 검출기능

 다양한 개인정보 유형 검사 – 주민번호, 신용카드 번호 등
 이메일(OUTLOOK,  OUTLOOK  EXPRESS)검사-메일 본문 및 첨부파일에 대한 동시 점검 가능
 다양한 파일 포맷 지원-한/글, MS-OFFICE, PDF, 알집(ALZ)등
 개인정보유형 및 검사 키워드 추가 및 검출 기능
 MDB 파일의 경우 파일진단 및 파일 내 테이블 별 진단 가능
 압축파일 내부의 파일별 개인정보 검출 및 보고서 제공
 복합문서파일(OLE)에 대한 개인정보 검출

 DRM으로 보안 암호화된 파일에 대한 점검 가능

원격 점검

 점검 범위와 일시를 설정하여 PC별 또는 그룹 별 검사 명령
 검사설정 및 설정내용 저장 기능
 관리자는 각 사용자 PC에 전달된 원격 진단의 상태 조회 및 원격 진단 강제 중지 기능

사용자 관리

 단계별 사용자 권한 설정-전체 관리자/부서(다중) 관리자/일반 사용자 등으로 구분
 사내 관리 DB와 연동하여 별도의 정보 입력 없이 서버에 사용자(대상) 등록 및 관리
 설치되지 않은 사용자 및 설치 후 서버에 장기간 접속하지 않는 사용자 조회

파일 관리

 개인정보가 검출된 파일의 정보가 관리자에게 전달될 시 보안을 위하여 통신 간 암호화 구현

 (국정원 권고사항 암호모듈 사용)

 개인정보 보유 정책에 다른 설정 가능– 파일 보유 기간 만료 시 강제 삭제(암호화) 기능

통계 기능/ 검출로그

 모든 사용자PC에서 진단한 노출정보 및 PC보안 정보 통계 동시 처리 

 관리자 요구 및 정책에 의한 기간/부서/사용자/장비/파일/ 원격진단 등의 다양한 조건 구분으로 통계 자료 생성

 통계 보고서는 화면 출력용 외에, 엑셀파일 포맷 제공
 개인정보 유형별 다양한 검출 조건에 대한 통계 그래프 제공

 

현재 시장에 나와 있는 제품은 크게 2가지 타입입니다.

Agent 방식으로 관리자가 중앙관리를 할 수 있는 버전이 있고, 또는 USB타입으로 중앙관리가 안되는 단독사용자 버전이 있습니다.

파일암호화 및 완전삭제등 지원하는 기능은 동일하나가장 큰 차이점은 중앙에서 관리자가 모니터링을 할 수 있냐 없냐의 차이점이죠.

 

2가지 타입에 따른 대표적인 제품은 아래와 같으며, 표준제안서를 링크하니 사전 검토해보시기 바랍니다.

타입

벤더사

제품명

링크

중앙관리

한국모바일인증

리얼스캔

 https://impl.homeserver.com/edm/리얼스캔.pdf

컴트루테크놀로지

PC스캔

 https://impl.homeserver.com/edm/PC스캔.pdf

센티널테크놀로지

쿨체크

 https://impl.homeserver.com/edm/CoolCheckDeskTop.pdf

안랩

Private Management

 https://impl.homeserver.com/edm/Privacy_Management.pdf

USB

시만텍

개인정보검색솔루션

 https://impl.homeserver.com/edm/개인정보검색솔루션.pdf

저작자 표시
신고
Posted by 엠플 (주)엠플

개인정보보호법이 시행되면서 개인정보를 안전하게 지키기 위한 보안솔루션이 우후죽순 쏟아 지고 있는데요.

처음에는 대기업, 공공, 금융시장을 타깃으로 한 솔루션이 대부분이었으나, 최근들어 중소기업을 위한 가벼운 솔루션이 트렌드이며, 이런 트렌드에 맞춰 시만텍에서 발표할 Serverless DLP를 소개합니다.

 

현재 판매되고 있는 시만텍 DLP는 개인정보 보호를 목적으로 한 제품이 아닌 기업의 기밀문서가 유출되는 것을 방지하기 위한 문서보안솔루션이며 그 기능중에 개인정보 탐지기능이 있어 개인정보도 덤으로 막아 줄 수 있는 통합솔루션인데요.

 

이번달에 발표될 Serverless DLP는 순수하게 PC내의 개인정보보호를 목적으로 개발된 제품입니다.

Serverless 제품으로 중앙관제서버가 없기 때문에, 중앙에서 관리자가 정책배포나 관제를 할 수 없으며, 사용자가 직접 본인 PC에 저장되어 있는 개인정보를 관리/보호하기 위한 솔루션 입니다.

 

개인정보보호법에서 지침하는 PC내에 개인정보 보호방안은 개인정보가 포함된 문서파일을 "암호화"하여 보관하거나 "삭제"하여 불필요한 개인정보가 PC에서 유출되지 않도록 권고하고 있습니다.

 

즉, PC에 개인정보가 있는지 없는지 검색하여 암호화하거나 완전삭제가 필수이며, 시만텍 Serverless DLP는 이 3가지 기능에 가장 최적화된 제품입니다.

 

제품 UI는 굉장히 심플합니다.

왼쪽 프레임은 개인정보를 검색하고 조회할 수 있으며, 오른쪽 상단에서는 검색된 정보를 암호화하거나 완전삭제할 수 있는 기능으로 구성되어 있습니다.

이력관리등을 통해서 개인정보를 꾸준히 관리할 수 있으며, 암호화하여 혹시 모를 해킹에 방어할 수도 있습니다.

 

아래는 가장 많이 받은 질문을 QnA로 작성해봤습니다.

 

개인정보검색 기능은 어떤 기준의 데이타를 검색하나?

개인정보는 직접식별번호와 간접식별번호로 구분되는데 개인정보보호법에 명시하는 직접식별번호를 검색합니다.

직접식별번호란? 주민등록번호, 운전면허번호, 여권번호, 핸드폰번호, 주소, 계좌번호, 신용카드번호

 

어떤 파일타입을 검색할 수 있나?

MS Office, 한글, PDF, txt, Zip 등의 다양한 포맷을 검색할 수 있습니다.

 

암호화된 파일을 복호화키를 첨부하여 관계사에 전달할 수 있나?

복호화는 이 제품이 설치된 PC에서만 가능합니다.

 

그럼 역으로 DRM 같은 역할을 하지 못 하는데, 왜 암호화 기능이 포함되어 있나?

개인정보보호법에서 개인정보가 포함된 정보는 암호화하여 저장해야 한다고 지침하기 때문이며, 해킹에 의해 파일유출이 발생할 경우 보호하기 위한 방침입니다.

 

중앙관리자가 관제 및 통제를 할 수 없는데 과연 사용자들이 자율적으로 개인정보를 검색하고 보호할 수 있을까?

개인정보보호법에서 처벌기준은 양벌규정입니다.

대표이사와 사용자 모두를 처벌 할 수 있으므로, 개인이 본인 PC내의 개인정보를 관리할 수 밖에 없습니다.

 

데모버전은 어떻게 구할 수 있나?

총판 웹사이트에서 30일판 Demo버전을 다운로드 받을 수 있습니다.

http://www.infitec.co.kr:8080/symantecDLP/Install_SLDLP_Demo_20121015.exe

 

저작자 표시
신고
Posted by 엠플 (주)엠플

개인정보 및 기업의 주요문서(특허 및 기술, 회계) 유출방지를 위한 DLP솔루션에 대해 알아보겠습니다.

DLP 보안 관리 의해 수립된 보안정책을 바탕으로 기밀 또는 중요데이터  대한 유출차단  예방하는 활동 말하며, 이를 H/W 또는 S/W 구현한  DLP션이라 합니다.

너에서는(Gartner) DLP기업  트워크와 시스템에 있는 민감한  규정하고 찾아내어  정의한 이후,  보의 사용과 배포를 제하는  과정이라고 정의하고 있습니다.

 

하기 점검항목은 DLP솔루션을 도입하려는 기업에게 주요기능에 따라 판단기준을 제시하는 체크리스트 입니다.

현재 국내에는 수십개의 DLP솔루션이 시장에 나와있으며, 제품에 따라 기능이 천차만별입니다. 하기 체크리스트가 솔루션을 도입하는데 있어 하나의 잣대가 되길 기대합니다.

체크리스트의 출처는 (사)한국침해사고대응팀협의회에서 발표한 DLP Security Consumer Report(2011년 11월)에서 발췌한 자료이며, 대상 제품은 Symantec DLP 제품입니다.

대상제품을 Symantec DLP로 선정한 이유는 Endpoint(Agent)와 Network(Agentless) Base로 폭넓게 지원하는 유일한 제품이기 때문입니다.

점검항목

점검항목  Sub_1

상세점검항목  Sub_2

지원여부(O,X)

안정성

PC Agent CPU    메모리  점유율  설정기능  제공  여부
→ 부연설명  :  네트워크  전송사용량  조절  /CPU사용량  조절/  배터리  잔여량에  조절/프로세스  우선순위  조정/Disk  잔여에 따른  조정 

O

장비  오류  발생    극복  방안  제공  여부(Hardware Bypass,  FOD,  이중화)
→ 부연설명: 장비  오류의  경우  Multi-NIC을  사용하거나  또는  이중화  구성으로  고가용성  제공

호환성

OS  호환성 윈도우    XP(32bit 기준)

O

윈도우  Vista(32bit 기준)

O

윈도우  7(32bit)

O

윈도우  7(64bit)

O

MAC

X

Linux

X

기타(부연): McIntosh 지원  예정
다국어  지원여부 한글

O

영어

O

기타(부연,  ex :  일본어)  :  중국어(간체/번체), 일본어, 브라질,  프랑스어,  러시아

모니터링

정보유출  실시간  모니터링  지원
→ 부연설명  :  데이타의  이동시는  실시간  모니터링/데이타의    discovery(검색)은 검색    탐지

O

정책위반  이벤트  발생    해당  직원  또는  기기에  대한  자동  통지 POP-Up

O

Sound

O

SMS

X

Mail

O

기타(부연)  :  스크립트  실행이  대응정책으로  가능하기 때문에,  컴퓨터에서  실행  가능한  이벤트는  실행  가능

웹을 통한 정보 유출 제어

PC    특정  정보  검색  기능  제공  여부

O

PC    중요  정보  탐지  시(자동/수동)  암호화  기능  제공  여부

O

압축파일    중요  정보  검색  기능  제공  여부 *.zip

O

*.alz

X

*.rar

O

*.tar

O

기타(부연)  :  알집압축파일  탐지  가능,  기타  7zip 등
글로벌  압축  파일  지원
메신저를  통한  중요  정보(텍스트,  파일  등)유출제어(일반적인  서비스 이용은  가능하되,  특정  정보에  대한  선별적  제어) MSN

O

네이트온

O

기타(부연)  :  네이트온은  파일  첨부만  탐지가능
P2P를 통한  정보유출  제어(일반적인  서비스  이용은  가능하되,  특정 정보에  대한  선별적  제어) 토렌트

O

eDonkey

O

푸르나

O

기타(부연)  :  다양한  p2p프로그램은  프로세스  등록시  모두 지원가능
윈도우  공유  폴더를  통한  정보유출  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

Telnet에 대한  제어  여부(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

X

FTP파일전송(프로토콜)에 대한  제어(Active또는Passive)(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

웹하드    파일  업/다운로드  프로그램을  통한  정보유출  제어(일반적인 서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어) 데이콤  웹하드

O

U  클라우드(KT)

O

N  드라이브

O

구글  DOC

O

WebMail을  통한  정보유출  제어(일반적인  서비스  이용은  가능하되,  특정 정보에  대한  선별적  제어) 지메일

O

네이버  메일

O

한메일

O

핫메일

O

파란  메일

O

메일  프로토콜을  통한  정보  유출  제어(본문,  첨부파일  등 포함) POP3

X

SMTP

O

IMAP

X

기타(부연)  :  네트워크  제품의  경우  SMTP지원 / 엔드포인트의  경우  프로세스  등록시  모두  지원

웹사이트  접근제어    정보  유출  제어(일반적인  서비스  이용은  가능하되, 특정  정보에  대한  선별적  제어) 게시판 글쓰기

O

파일첨부

O

특정포트(사용자등록포트)들에 대한  정보유출  제어
→ 부연설명  :  포트를  사용하는  것은  프로세스로  진행하는 것이므로,  해당  포트를  사용하는  프로세스  등록으로  지원

O

특정프로그램(사용자등록프로그램)에 대한  정보유출  제어
→ 부연설명  :  애플리케이션  등록  제어로  지원

O

오프라인  상태에서의  정보  유출  제어
→ 부연설명: 사후  내부  네트워크  연결시,  위반  내용  모두  관리서버에  전송되어  기록됨

O

매체를 통한 정보 유출 제어

CD/DVDRW에  대한  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

블루투스에  대한  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O 

1394에 대한  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

PCMCIA에  대한  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

USB포트를  이용한  외장형  저장장치에  대한  제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

프린터제어(일반적인  서비스  이용은  가능하되,  특정  정보에  대한  선별적  제어)

O

정책관리

주요  개인정보에  대한  특정패턴  제공 주민번호

O

카드정보

O

이메일  주소

O

휴대전화번호

O

다양한  조건에  의한  차단  정책설정  지원 파일 사이즈

O

사용자  정의  패턴

O

키워드

O

IP대역

O

부서별

O

직원별

O

건수

O

관리자가  등록한  특정  컨텐츠  내용와의  데이터  비교

O

정책백업  제공  여부

O

정책  변경  이력  조회  기능

O

검색

다양한    조건을  이용한  검색  기능

O

검색  결과    추가  검색  기능

O

검색  결과에서  상세  내용으로의  Link 기능

O

리포팅

특정  기간별  리포팅  제공 일일 단위

O

주간단위

O

  단위

O

  단위

O

사용자  지정

O

다양한  조건에  대한  리포팅  지원 부서별

O

직원별

O

내용별

O

기간별

O

유출시도  경로별

O

시간대별

O

위반건수 

O

국문리포팅  지원(외산벤더)

O

주기적인  리포팅  자동  생성    발송  지원

O

솔루션 운용

주기적인    탐지/차단  패턴업데이트

O

업데이트  내역  확인

O

솔루션 보호 기능

Agent 강제  종료  방지(강제  삭제,  설정수정  등)

O

Agent 강제  종료  우회시도  사용자  확인

O

안전모드에서의  Agent 기능  제공

O

접근권한(계정)  관리

O

관리자용  접근  IP 또는  대역  제한  기능

X

관리자  로그인  제한  시간  설정

X

Server-Agent 데이터  전송  암호화

O

인증여부

인증  현황  (CC인증  혹인  국정원  보안성  평가  통과  여부)

O

신고
Posted by 엠플 (주)엠플

개인정보보호법에 고시한 개인정보 접근제한에 대한 고시안 및 그에 적합한 솔루션 가이드를 블로깅합니다.

계도기간이 지난달 29일자로 만료가 되어, 아직까지 시행령 기준에 미흡하다면, 빠른 대비가 필요할 것 같습니다.

먼저 개인정보보호법에 고시한 개인정보에 대한 접근제한 및 관리조치 사항에 대한 고시안을 알아보겠습니다.

조항

 

 

1조

목 적

(개인정보보호법 24조3항, 29조/시행령 33조)개인정보가 분실, 도난, 유출, 변조, 훼손되지 않도록 (개인정보처리자가 지켜야 하는) 안전성확보 기준을 정함

2조

정 의

<총17개 용어정의>
정보주체, 개인정보파일, 개인정보처리가, 소상공인, 중소사업자, 개인정보보호책임자, 개인정보취급자, 정보통신망, 개인정보처리시스템, 내부관리계획, 비밀번호, 접속기록, 바이오 정보, P2P, 공유설정, 보조저장매체, 위험도 분석

3조

내부관리 계획 수립, 시행

내부관리 계획에 포함되는 사항
1.개인정보보호책임자지정
2.개인정보보호책임자 및 취급자의 역할 및 책임
3.접근권한관리규정(4조, 10조) 준수조치
4.개인정보취급자교육

4조

개인정보처리시스템 접근권한 관리

업무에 필요한 최소한의 범위로 접근권한 차등부여
인사 이동시 접근권한 변경 또는 말소
권한 부여 및 변경내역 최소 3년간 보관
취급자 별로 한 개의 계정사용, 계정공유금지

5조

비밀번호 관리

개인 정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 한다

6조

접근통제 시스템 설치 및 운영

불법접근, 침해방지를 위해 설치의무화
1.개인정보처리시스템접속권한을 IP 등으로 제한
2.접속IP등을 재분석, 불법적 유출시도 탐지
취급자가 외부에서 개인정보처리시스템에 접속할 경우 가상 상설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단 적용
컴퓨터만으로 개인정보 처리경우 ①항을 적용하지 않고 OS나 보안프로그램제공 접근통제 기능 이용가능

8조

접속기록의 보관 및 위·변조 방지

개인정보처리시스템 접속기록 최소 6개월 이상 보관/관리
접속기록이 위/변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관

<출처:  개인정보의 안전성 확보조치 기준 고시 및 해설서(행정 안전부)>

 

 

상기 고시안에 맟줘 솔루션(DB접근제어)을 검토할 때 하기 필수충족조건(기능)을 지원하는지 사전 체크하시기 바랍니다.

대분류

중분류

소분류

접근제어/권한통제

사용자 계정/IP통제

DB계정, IP, 요일/기간/시간대별로 허용 또는 차단 정책을 적용하여 정상적으로 통제하는지 확인

DB 접근 통제

DB 테이블과 컬럼단위로 접근통제가 가능한지 확인
DB 연결 세션에 대한 실시간 차단이 가능한지 확인
DB접근제어 서버(Proxy형태) 를 우회하여 DB서버에 접속하려는 시도 통제
(스니핑, 서버 Agent 방식)

SQL 명령어 통제

SQL 명령 유형(DDL, DML, DCL)별 권한통제 기능 제공 여부 확인
Stored Procedure 내의 SQL 명령 구문에 대한 통제가 가능한지 확인

DB프로그램 통제

DB 관리 프로그램(Toad, Golden 등) 을 사용한 DB접근 통제 기능

컨텐츠 통제

쿼리 응답 임계치 기반 통제 기능 (쿼리 결과가 특정 임계치 이상인 경우 차단)
전체 또는 특정 Table, Column 의 개인정보에 대해 Masking 적용이 가능한지 확인

모니터링/로깅

로그 관리/감사,실시간 경보

저장된 로그에 대한 삭제/변경 확인 기능
보안 정책의 생성/수정/삭제 이력 제공
보안 정책 인가/위반에 대한 상세 내용 제공 여부
실시간 로깅 및 위반사항 발생 시 경보 기능 (화면 POP-UP, E-mail, SMS 등)
Telnet, SSH, Windows Terminla Service 등을 통해 DB서버에 원격 접속 후, 실행한 내부 App
(sqlplus, sql*loader program 등)에 대해서도 감사 기능을 제공하는지 확인
다양한 조건 별 로그검색/조회 기능 제공여부
사용자 명령어 단위로 Telnet/SSH/Terminal 에 대한 실행 화면 제공

성능

성능

DB접근제어 서버 설치 후, DB 쿼리 성능 저하 정도

편의성

정책관리

시간/날짜 및 테이블/컬럼에 대한 객체 및 그룹설정 관리(보안정책에서 운영가능하며, 객체/그룹에 대한 재사용 가능)
보안 정책별로 On/Off 가능 여부
정책관리 UI 의 사용 편의성

사용자 편의성

보안 대상서버로 접속하는 사용자 PC의 접속 정보 변경없이 보안서버 경유 유도

리포팅 기능

다양한 조건별 리포트 제공

기타

호환성/안정성

통제 가능한 DB 종류 및 버전
보안 장비의 이중화 구성 지원 여부
- 자체 이중화 구성 지원 여부 (Active-Active, Active-Standby 구성)
- 이중화 구성된 보안장비 장애시 By-pass 또는 Stand-by 전환 여부
- 이중화 구성된 보안장비 장애시 연결된 세션 유지 가능 여부
DB접근제어서버 장애발생시 사후감사 지원

 

<출처: 피앤피시큐어, DBSafer 기능표>

신고
Posted by 엠플 (주)엠플

개인정보보호법에 고시된 DB접근제어솔루션을 도입하실 때, 솔루션 선정에 도움을 드리기 위해, 필수 BMT 시나리오를 안내드립니다.
시장에 많은 솔루션이 나와있는데, 적합한 솔루션을 검토하실 수 있는 기초자료로 사용하시길 바랍니다.

DB접근제어솔루션 BMT 시나리오

BMT 항목

점검사항

접근제어

Client IP,DB User,  DB 접속 Tool, 사용자 ID별 접근제어 기능

 

Table, 컬럼별 접근제어 기능

컬럼을 비통제대항 명으로 Aliasing 한 후에도 정상적으로 통제 되는지 확인

통제 컬럼 : SAL  

SELECT EMPNO SAL FROM EMP   (통제되지 않아야 함)

SQL Type(DML, DCL, DDL, PL/SQL)별 접근제어 기능

 

Client IP, 사용자 ID, App명 등 그룹단위 접근제어 기능

 

SQL 문장에 의한 통제 기능

- 특정 SQL문장에 대한 접근 제어 정책 수행기능

- 특정 SQL문장 감사 제외정책 수행 기능

자동 새로 고침 시 관심 세션 색깔 지정 및 Top 유지 기능

세션이 많아 화면에 넘칠때, "모니터링 대상" 세션으로 설정하여 색깔을 바꾸고 세션 화면의 TOP에 위치 하도록 하여 조회가 쉽도록 하는지 여부

현재 수행중인 SQL 조회(수행 시간 기준으로 제한)

 

세션 강제 종료 기능

 

Idle 세션만 조회

 

TABLE, COLUMN별 인증 기능

중요 테이블 및 컬럼에 대한 작업 수행시 인증 및 관리자 결재 후 작업 수행 기능 제공 여부

정책관리

DB 접속 Tool에서 초기 접속시 수행하는 Default SQL은 보안정책 적용에서 제외하는 기능

- 사용자 수행 SQL이 아닌 접속 툴에서 수행하는 기본 SQL접근 제어 및 감사 제외 기능

보안 정책 개인화 기능

- 고객사에 맞게 사용되는 보안 정책(정책 및 그룹 종류) 선택하여 화면에 나타나도록 환경설정

보안정책 그룹화 기능

자주 사용하는 보안정책을 그룹으로 지정할 수 있는지 여부

보안정책 삭제 및 복구 기능

사용되지 않는 보안 정책을 UI에서만 보이지 않도록 삭제하고, 필요시 삭제된 보안 정책을 볼 수 있도록 하는지 여부(실제로 삭제하는 것이 아니라 UI에서만 삭제된 것처럼 보여지도록 하는 기능)

보안정책 위반시 경고 기능

불법적인 행위를 인지하기 위해 특정 정책에 경고 기능을 지정할 수 있는지 여부

보안정책 백업 및 복구

정책을 백업하고 복수할 수 있는 기능을 제공하는지 여부

로그 정보에서 바로 규칙 생성 기능

세션, 요청 등의 로그 화면에서 해당 정보를 이용하여 편리하게 규칙 생성 기능

개인정보 보호

특정컬럼 Data Masking 기능

SQL변조시에도 Masking기능 유지.

Select empno from emp, select substr(empno,1,2), substr(empno,3,2) from emp

위 두가지 SQL수행시 동일하게 Masking이 유지되어야 함. Substr 대상 길이를 자유자재로 변경해도 칼럼 마스킹 유지

사용자 정의 마스킹 함수 지원 기능

사용자가 PL/SQL로 마스킹 함수를 정의한 후에, 해당 함수를 이용하여 마스킹 하는 기능

'- 사용자가 임의로 마스킹 포맷 설정이 가능해야함.

- '******', '######', '999999'

- 다양한 사용자 포맷 설정 가능해야함

포맷 변경 시 마스킹 기능 유지

주민번호를 85-11-17-18-23-623  처럼 포맷을 가공하여 조회하는 경우에도 마스킹 유지되는 지 확인

임시 테이블로 우회시 마스킹 기능 유지

Create as select 문장을 이용하여 임시 테이블로 저장(컬럼명 변경 포함)하여 조회시에도 마스킹 유지 여부

데이터 타입 변경시 마스킹 기능

- to_number(substr(jumin_no),8, 7)) jj1 과 같이 데이터 형 변형하여 조회시 마스킹 기능 유지

개인정보 접근 SQL 조회 기능

개인정보로 분류한 컬럼에 접근한 SQL 문장 정보 제공 기능

개인정보 접근 이력 조회 기능

개인정보로 분류한 컬럼들에 대해 SQL 수행한 이력 정보 제공 기능

사용자인증 제어

1 1계정 지원

 

접속환경 자동변경 기능

보안 대상서버로 접속하는 사용자 PC의 접속정보 변경없이 보안서버 경유 유도

인증 ID별 로그인 통제

 

인증 ID SQL 수행 통제

 

감사로그 관리

로그 통합 관리

감시대상 DB가 복수일 경우 관리자 화면에서 통합 모니터링 기능

로깅 정책 설정 기능

실시간 모니터링 로그를 정책에 의해 특정 부분(IP, App, SQL Object )만 선별적으로 저장 또는 선별적으로 제외 할 수 있는 기능 제공

Return 값 저장 및 테이블 형태로 조회 기능

전체건수 저장 기능, 건수 지정 저장 기능,

SQL 패턴(Literal 제거 후 SQL) 수행횟수 통계 제공 기능

select * from emp where empno = 12,  select * from emp where empno = 13

은 동일한 패턴으로 하여 계산

반복수행되는 SQL 감사 제외 기능

감사 대상이 아닌 SQL문장에 대한 감사 기능 제거 기능

모니터링 및 보고서

로그조회 기능

다양한 검색조건 지원

분산된 로그 환경에서 통합 보고서 생성 기능

로그가 여러 개의 보안 서버에 분산된 경우에도 보고서는 하나로 통합하여 보여주는 기능

보고서 결과 저장 기능

보고서 생성을 위한 결과를 저장하여, 보고서 번호를 이용하여 언제든지 동일한 보고서를 다시 생성할 수 있는 기능

로그, 트래픽 모니터링

로그, 트래픽에 대해 실시간 추이 모니터링 정보를 제공하는지 여부

(트래픽량, 초당 접속수, 초당 SQL 요청수)

보안 시스템 모니터링

보안서버에 대해 실시간 추이 모니터링 정보를 제공하는지 여부

단위시간당 SQL 종류별 수행내역 모니터링

단위 시간당 SQL 종류별 수행내역 모니터링 기능 제공 여부

관리기능

로그 관리 기능

로그 보관 및 백업 기능을 제공하는지 여부

(디스크 공간 확보, 로그 보관 주기, 로그삭제, 로그백업)

SQL 종류별 색깔 지정 기능

SELECT, INSERT, UPDATE, DELETE, DROP, ALERT, TRUNCATE, REVOKE, GRANT, DCL, PLSQL, ETC 별 색깔 지정하여 식별이 쉽도록 하는 기능

조회 결과 저장 기능

화면에 조회된 결과 저장 기능

화면내 컬럼 관리 기능

조회되는 컬럼, 컬럼의 위치, 컬럼의 사이즈 정보를 저장하여 관리자가 관리하기 쉽도록 화면을 구성하는 기능

규칙 동기화 관리

이중화 구성 시 규칙이 동기화 되어 관리되는 기능

스니핑 기능

패킷 로스(Packet Loss) 측정

10개의 세션으로 각 세션당 10만개의 SQL을 수행하여 Loss 되는 SQL이 얼마나되는지 확인

대량 규칙하에서 SQL 선택적 로깅 기능

SELECT, INSERT, UPDATE, DELETE, DROP, ALERT, TRUNCATE, REVOKE, GRANT, DCL, PLSQL, ETC 별 색깔 지정하여 식별이 쉽도록 하는 기능

신고
Posted by 엠플 (주)엠플