정보 보안 거버넌스 2. Operations security(운영보안)

목차

1. 통제와 보호

1-1. 통제와 보호
1-2. 통제 카테고리
1-3. 운영 통제
1-4. 관리 통제

2. 감사와 모니터링

2-1. 모니터링
2-2. 감사

3. 위협과 취약성

3-1. 위협
3-2. 취약성

1. 통제와 보호
1-1. 통제와 보호
운영 보안
- 비즈니스 환경이 계획되고 검증된 일정 수준으로 보호되기 위한 일련의 조치와 통제가 수행되는 것
- 정보 보안에서는 통제 카테고리를 분류

운영 보안의 요소
- 위협 : 보안 통제 위반으로 손해를 발생 시킬수 있는 사건
-> 관리자의 권한 남용
- 취약성 : 보안 통제를 위반 할 가능성이 있는 시스템의 약점
-> 부정확한 직무 분리 : 취약점줌 하나. 겸임하면 안되는 업무를 겸임
- 자산
-> 보호 대상인 IS 설비 및 인력, 프로세스

운영 통제의 영향
- 기밀성 : 정보 민감도
- 무결성 : 데이터의 정확성과 인증
- 가용성 : 장애 방지(발전기) 및 허용 수준과 복구 능력. 교정 통제에 들어감.

운영 보안의 대상
- 내, 외부 침입자(주요 감시 대상자는 내부 침입자.)
- 부적절한 자원에 접근하는 사용자 및 운영자
- 운영 환경에 대한 위협

통제 정의
- 위험을 감소시키기 위하여 만들어진 정책, 절차, 업무, 조직구조 등을 의미.


통제 목적
- 조직의 경영 목적 달성
-> IS 관련 내부 통제(IS가 조직의 경영진이 동의하는 수준으로 위험을 감소시킬 것이라는 합리적인 확신을 제공)
- 위험이 적절히 예방, 적발, 수정 될 것이라는 합리적인 확신을 제공해 주는 것
- 경영진이 제기한 관심사를 기반.


내부 통제의 운영
- 조직내의 모든 수준에서 운영(하향식 통제 모델 개발이 필요)
- 모든 구성원이 해당 프로세스에 참여해야 함.
- 이사회나 경영진의 책임
-> 내부 통제 촉진을 위한 적절한 조직 문화 구축
-> 내부 통제의 효과를 지속적으로 모니터링(모니터링 자체는 정보 부서에서 진행)


1-2. 통제 카테고리
예방 통제

- 장애가 나지 않도록 미리 통제
- 시스템의 돌발적인 장애와 허가되지 않은 침입을 방지하기 위한 통제
- 방화벽, 암호, 업무 프로시저 검토, 기도


탐지(적발) 통제
- 신속한 에러감지를 통해 시스템상의 영향을 최소화 하기 위한 통제
ex) 침입탐지 시스템, 감사 추적, 감사 로그, CCTV


교정(복구) 통제
- 문서화된 복구 프로시저를 통해 에러의 영향을 최소화 하기 위한 통제
ex) 백업, 아카이빙(작업 일지 자체를 저장, 백업의 문제 해결), RAID


추가 통제
- 저지통제
-> 규칙에 순응하도록 유도하는 통제, 예방 탐지에 대한 보안 통제.
-> 교육, 철저한 보복
- 응용 통제
-> S/W에 특화된 통제
-> 이상행위를 탐지하고 최소화 하기 위한 통제
ex) 트랜잭션 통제

트랜잭션(더 이상 나눌 수 없는 업무) 통제
- 입력 통제
-> 정확한 값이 한번만 처리됨을 보장
-> 타임스탬프나 처리 갯수 확인
-> 회계 시스템은 입력 통제가 가장 중요
-> 보안 테스트를 진행할때 심각한 오류의 위험성 존재.
- 처리 통제
-> 트랜잭션이 유효하고 정확한 프로세스에 의해서 처리 됨을 보장하는 통제
-> 잘못된 데이터를 의도적으로 입력해서 처리하게 만드는 공격(데이터 디들링) 존재
-> 출력 통제와 유사
- 출력 통제
-> 출력물이 권한이 있는 곳이나 인원에게만 배포됨을 보장하는 통제(출력물에 대한 기밀성)
-> 입력 값에 대한 출력 값의 무결성을 보장(처리 통제로 구분하기도 한다.)
-> 이러한 업무를 전담하는 librarian이 존재
- 변경 통제
-> 프로세스등 시스템상의 변경이 인가된 안전한 변경임을 보장하는 통제(시스템의 무결성)
-> 변경 후에도 시스템이 잘 돌아간다는 보장이 있어야 함.
테스트 통제
-> 시스템을 테스트 하는 동안 안전성을 보장하기 위한 통제
-> 사전에 계획된 테스트만 가능

내부 회계 통제

- 자산보호, 회계기록의 신뢰성과 연관되기 때문에 가장 중요한 통제
- 회계정보가 컴퓨터로 저장되면서 조작이 쉬워졌기때문에 무결성을 지켜야 하는 이슈 발생

- 회계 시스템에 대한 법률과 감사가 가장 엄격
- 상용 ERP 시스템을 이용해서 관리

1-3. 운영 통제
- 컴퓨터 운영을 보호하기 위한 통제
- IS로 시야를 제한해서 IS 보안과 관련된 통제를 의미
- 일상적인 운영이나 활동, 기능들이 경영 목적에 부합하도록 통제 하는것

자원 보호
- H/W
-> 통신, 저장매체, 처리 시스템, 독립 컴퓨터, 프린터나 팩스
- S/W
-> 프로그램 소스와 라이브러리, 패키지나 구매 소프트웨어 s/n, OS나 시스템 유틸리티
-> 주로 유지, 보수, 테스트, 저장 등에 관심(개발은 무관)
- 데이터
-> 백업 데이터, 여러 데이터 파일, 패스워트 파일, 로그 파일이나 감사 관련 파일
-> 백업 데이터는 압수수색시 같이 조사하기때문에 법률상으로도 중요
-> 손실시 3개 중에서 복구가 가장 힘들고 가장 많은 비용이 발생.


H/W 통제
- 유지 보수 관련 작업자나 작업 통제
- 유지 보수용(백도어) 계정 통제
- scanning을 통한 진단 port(사용하지 않는 application 서비스) 통제


S/W 통제
- virus wall등을 통한 안티 바이러스 관리
- S/W 테스팅 통제
- 시스템 유틸리티

정보자산에 대한 접근 권한
- 컴퓨터 자원으로 작업을 할 수 있는 능력 (주로 기술적인 능력)
- need-to-know의 원칙에 따라 문서화가 필요
-> IS 감사인이 보안 특권의 허용이나 승인 기준의 적절성을 평가할 때 이용
- 승인은 직무분리의 원칙, need-to–know 원칙, 최소권한 원칙에 따라 승인
-> 자산에 대한 필요성과 승인된 자산에 대해서 승인된 접근 방법으로만 작업이 가능하도록 제한.
- 승인 실무
-> 정보 소유자나 사용과 보고에 대한 책임을 맡은 관리자는 자원 접근에 대한 서면 승인을 보안 관리자에게 직접 전 달할 의무를 가짐
-> 승인의 최종 결정은 소유자가 하고, 승인된 실무의 구현 보안 관리자가 담당


특권 개체 통제
- 특권 개체 접근은 특권 운영 기능이라고도 하는데 운영자와 시스템 관리자에게 주어지는 특별한 접근 권한을 의미.
- 시스템 통제 프로그램
- 운영시스템의 파라미터에 대한 접근
- 시스템 명령에 대한 접근

미디어 자원 보호
- 미디어 보안 통제
-> 로그기록, 접근 통제, 사용 후 적절한 삭제 프로세스
- 미디어 생존력 통제
-> 처리 운송중 발생하거나 장.단기 저장 중에 발생 가능한 손상으로부터 보호
-> 정확한 라벨링이나 분류, 이동과 저장간 안전한 환경 통제

1-4. 관리 통제
- IS 운영 통제를 제외한 전반적인 비즈니스와 관련된 인사, 일반 업무와 관련된 통제
- 보안상 접근해야 하는 여러가지 통제
- 정보 시스템과 관련 없음
- 각각의 기능이 내부의 운영 정책에 부합하는가에 관련된 통제
- 운영의 효율성이나 정책 준수와 관련된 운영 통제의 일부

관리 통제의 주요 항목
- 직원 보안
-> 신원 조회 및 배경 조사, 보증인(단순 추천인 개념)
-> 강제 휴가(감사 및 감리 진행), 직무 순환(숙련도로 인한 맹점 파악 후 부정 방지)
-> 퇴직 직원 관리 규정(해고 전 시스템 상의 권한 삭제)
- 업무 분석을 통한 직무분리와 책임 추적성, 최소 권한, 알아야 할 필요성에 의한 권한 할당
- 신의성실 : 교육, 선언을 통해 적절한 실무 사례를 따르도록 하는 통제
- 문서화

2. 감사와 모니터링
2-1. 모니터링
정의
- IS 설비에 영향을 미칠 수 있는 보안 사건을 식별하는 메커니즘과 도구, 기술을 포함한 개념


모니터링의 목적
- 문제 식별과 해결

모니터링을 위한 기술
- 침입 탐지(Intrusion detection)
-> 도구를 이용해 침입 시도를 탐지하고 분석
-> 침입을 식별하고 트래픽 패턴을 샘플링.
- 침투 테스트
-> 포트 스캐닝과 프로빙(직접 접속을 확인)
-> 스니핑(보안장비 자체가 스니핑이 가능한 경우가 다수)
-> 데몬 다이얼링(전화 등으로 network의 우회 경로 탐색, 지금은 하지 않는 테스트 기법)
-> 추가적인 테스트기법(진짜 쓰레기통 뒤지기(Dumpster Diving), 사회 공학적인 방법)
- 클리핑 레벨 설정을 통한 위반 분석
-> 상한값, 하한값을 설정해서 그 범위를 벗어난 경우에 침입으로 간주

2-2. 감사
- 감사(감리)는 IS 운영 전략이 조직의 운영전략과 일치함을 보증하는 역할.

- 감사는 문서가 규정에 맞게 작성됐는지를 확인, 감리를 규정에 맞게 실행하는지를 확인하는 다른 개념이지만 여기서는 같은 뜻으로 사용
- 작성된 문서를 보면서 확인

보안 감사
- IS 운영이 준거성 확보되는지 점검하며 운영 비용 효과성에 대해서 감사(여기서는 감리의 의미)
- 적절한(구체적이지 않은) 통제를 권고.
- IS관련 감사 대상
-> 백업 통제
-> 트랜잭션(프로세스) 통제
-> 데이터센터 보안
-> 비상계획
-> 시스템 도입 및 개발 표준
-> 라이브러리 운영 절차


감사 추적
- 시스템 내에 변경사항에 대한 책임 추적성을 제공
- 감사 추적 정보는 변경되어서는 안되지만 감사자가 쉽게 인증받아 접근할 수 있어야 함.
- 감사 로그에 기록되는 트랜잭션 정보
-> 날짜와 시간, 주체(사람), 접근 터미널 또는 시스템, 관련된 다양한 보안 관련 사건
- 감사 로그 사용시 중요한 보안 이슈
-> 오프사이트(핫사이트, 웜사이트, 쿨사이트가 존재, 우리나라에 없음)스토리지에 보관된 감사 정보 보유와 보호
-> 사건 발생시 감사 정보의 가용성에 대한 보호
-> 감사로그 정보에 대한 변경(로그 정보의 변형이 아닌 복사, 이동을 의미) 통제

3. 위협과 취약성
3-1. 위협
- 고의적, 우발적으로 발생시에 시스템의 손상을 일으켜 기밀성, 가용성, 무결성에 손상을 가져올 수 있다.


우발적 실수
- 위협의 가장 많은 예로 운영미숙, 교육부족 등 근본적인 운영 프로세스의 부재 또는 부족 및 준거성 부족으로 발생

- incident(일시적인 사고)로 판단하지만 자주 발생할 경우 problem으로 분류
- 잘못된 수작업(입력), 시스템 운영 절차 위반 등등


부적절한 행위
- IS 설비의 부적절한 이용(게임, 도박, 음란물)
- 자원의 낭비 : 개인 업무, 개인사업에 이용
- 성적, 인종적 차별과 학대 : 음란문 전송, 욕설 등등
- 권한 남용 : 비인가 레벨 자원에 접근


의도적 공격
- 도청 : 쓰레기통 뒤지기, 스니핑, 어깨넘어 보기, 트래픽 분석, 사회공학적인 방법 등등
- 사기 : 위조 트랜잭션, 데이터 디들링, 데이터 내부와 외부 무결성 훼손 등등

-> 내부 무결성은 제약 조건으로, 외부 무결성은 감사 및 감리로 방지
- 절도 : 데이터, 거래정보, S/W, H/W
- 사보타주 : 서비스 거부, 운영지연 등등
- 외부공격 : 악의적인 해킹이나 크래킹, 바이러스, 웜, Probing등등


3-2. 취약성
- 위협이 이용 가능한 시스템상의 약점을 의미.

ex) Oracle의 profile에서 사용하는 verify function은 사용자가 사용하기 쉬운 추론 가능한 암호 사용(취약성)을 막아서 암호를 크랙(위협)할 가능성을 현저히 낮춰 준다.

트래픽 분석을 통한 노출
- 패딩 메시지
-> 임의 메세지를 추가해서 전송
- 노이즈 전송
-> 의미없는 데이터 전송
- 은닉 채널 분석(계획되지 않은 저장 매체)

-> network 은닉 채널 : 백도어
-> storage 은닉 채널 : 특정 사용자만 열람가는 디렉토리, data

유지 보수 계정

- 회사가 아닌 제 3자가 사용하는 경우. 악의적으로 사용될 가능성 존재

쓰레기 줍기

- 제대로 파쇄되지 않은 정보(포스트잇)등이 유출

IPL(Initial Program Load) 취약성
- 부팅이나 재부팅 취약성
- 백신보다 먼저 메모리를 점유하는 바이러스

Network address Hijacking
- 네트워크 주소를 속여 패킷 탈취