Transcript 소개자료_V_1_9 - DB 보안 어떻게 이룰 것인가?

안정적인 DB보안 환경구축을 위한..
고성능의 DB암복호화 솔루션
•
•
•
•
작성일 : 2010/10/09
담당 : 신 상 윤
TEL :010-4842-9153
Mail: [email protected]
구축사례
 주요 구축 사례
Data Privacy Protection
Intellectual Property Protection
PCI DSS & Audit
Secure Hosting
개인정보보호
 개인정보보호 ( DB 암호화 )
DataBase 중요 개인정보 항목에 대한 암호화를 의무화 하고 있습니다
•주민번호
•계좌번호
•군번
•휴대폰번호, 전화번호, 이름, 주소
•기타 2가지 이상의 정보를 통해 유추해 낼 수 있는 개인식별정보를 포함 합니다
DataBase 중요 개인정보 항목에 대한 암호화를 의무화 하고 있고, 개인정보를 다루는 곳, 개인정보 DATA의 관
리가 많은 곳은 의무적으로 개인정보의 관리범위, 관리체계, 시스템적 보완체계를 갖추어야 합니다
•공공기관 (국가기관 및 지자체, 투자처(공사,공단등)
•대학교
•은행, 쇼핑몰, 포털
개인정보 관리체계에 대한 인증제가 실시될 예정이며, 개인정보관리지침, 인적관리 체계 외, 전산 인프라 관련
중요 평가 항목은 DB암호화, 개인정보 필터링, 통신구간 암호화 등 입니다.
책임 소재를 떠나, 대량유출의 가능성이 있는 정보에 대한 암호화등 IT인프라 부문은 필수적으로 고려 되어야
할 사항입니다
DB 암호화 솔루션 비교
Coreguard
D`amo
Cubeone
DataSecure
제조사
Vormetric
Penta Security
eglobal
Safnet(국내 유니포인트)
HSM지원
자체내장
별도
별도
별도
파일 단위로 OS Layer에서 암
호화 수행
Column 단위로
DBMS에서 암호화
Column 단위로 DBMS
에서 암호화
Column 단위로 DBMS에
서 암호화
암호화 방식
암호화 알고리즘 표준
설치 시 DBMS스키마,
Application 변경여부
암.복호화 성능
암호화 시 Data Size 증가여부
지원환경
AES (128, 256), 3DES, ARIA
AES,SEED,ARIA
AES,SEED,ARIA
AES (128, 256), 3DES
변경 없음
DB 및 Application변
경 다수 발생
DB 및 Application의 변
경 다수 발생
Application의 변경 다수
발생
암호화 전과 후의 성능차이는
약 5% 이내로 미미함
(300만TPS)
암호화 전.후의 성능차
이는 약 20~30%정도
발생함(1,800TPS)
단시간에 많은 데이터
암/복호화 시 성능문제
발생(1,800TPS)
단시간에 많은 데이터 암
/복호화 시 성능문제 발
생(1,800TPS)
변화없음(투명한암호화)
10~20% Size증가
10~20% Size증가
10~20% Size증가
Any File,
Any Database
Any Application
MS-SQL, Oracle,
DB2 등을 지원하며,
DBMS종류 및 Version
에 따른 영향있음
MS-SQL, Oracle, DB2
등을 지원하며, DBMS종
류 및 Version에 따른 영
향있음
MS-SQL, Oracle, DB2
등을 지원하며, DBMS종
류 및 Version에 따른 영
향있음
DB 암호화 솔루션 비교
Coreguard
DB서버 성능 영향
실제 테이블이 요청을 수행하고
데이터베이스 캐시 사용 가능으
로 성능 저하 없음.암호화전과 거
의 동일한 성능
SAP지원 인증여부
PCI DSS 지원여부
SAP환경 지원
PCI DSS 지원
D`amo
뷰와 트리거 사용으로 인한
성능 저하,
암호화 컬럼의 인덱스 사용
불가로 인한 성능 저하
Cubeone
DataSecure
뷰와 트리거 사용으로
인한 성능 저하,
뷰와 트리거 사용으로 인
한 성능 저하,
암호화 컬럼의 인덱스 사
용 불가로 인한 성능 저하
PCI DSS
PCIDSS
PCIDSS
일부UNIX, Win NT
AIX, HP-UX,
Solaris(SPARC/x86),
Linux, TRU64
UNIX, Win NT, 메인프레
임 호환가능
GS, 국정원암호모듈
GS,국정원암호모듈
FIPS-Level2
4~6개월
4~6개월
4~6개월
LG하우시스,아시아나,대교,대검
찰청,대우건설,LGU+
정보통신부,산림청,
기업은행,한국도로공사
메트라이프생명,
SK텔링크, KT파워텔,
KISA
한국투자증권
대검찰청
Solution 구매(HSM포함)
별도의 인건비 불필요
HSM별도 + S/W + 많은 인건
비
HSM별도 + S/W + 많
은 인건비
Solution구매(HSM포함) +
많은 인건비
장점
빠른 구축
암복호화성능
적용 범위 따른 상대적 적은
비용
적용 범위 따른 상대적
적은 비용
적용 범위 따른 상대적 적
은 비용
단점
초기투자비용,국내인증
•운영 환경변경
•오래 구축기간
•운영 환경변경
•오래 구축기간
•운영 환경변경
•오래 구축기간
지원 OS범위
인증
전략 /기술 파트너
구축기간
Reference
비용구조
Windows, Solaris, Red Hat Linux,
HP-UX, AIX
FIPS-Level 3
IBM,HP,Oracle, Microsoft, SUN,
Sybase, Symantec
1~2개월
목차
Ⅰ. DB보안 개요





현재의 보안 체계
DB에 대한 다양한 보안위협
DB보안의 필요성
DB보안의 구현방식
DB 암호화 솔루션의 종류
 DB 암호화 구축 시 고려사항
Ⅱ. Vormetric Data Security를 이용한 DB 암 복호화
 Vormetric Data Security 개요





제품인지도
DB 암호화 솔루션 비교
제품 구성
특장점
구축사례
Ⅰ. DB보안 개요
현재의 보안 체계
• 현재 대부분의 기업은 내/외부 침입 위협으로부터 자신들의 정보자산을 보호하기 위한 경계선 방어에 몰두하고 있는
반면, 정보보호의 궁극적인 대상인 데이터 및 데이터베이스의 적극적인 방어 방법을 찾지 못하고 있습니다.
VPN/암호화 방화벽
인증
IDS/IPS
OS/서버보안
DB
DB 보안 ?
현재의 보안체계
DB에 대한 다양한 보안 위협들
온라인
이름
주민번호
학점
성수제
334-321
3.0
홍길동
341-222
3.5
최성재
123-443
4.5
온라인 무단 유출
DBA/Developer
이름
주민번호
학점
성수제
334-321
3.0
홍길동
341-222
3.5
최성재
123-443
4.5
접근위협
select * from customer;
•
사용자가 SELECT한 데이터를 파일로 저장하여 유출
DB설정파일 변경을 통한 무단 DB사용자 정보 추출 시도
•
네트워크 리스너 설정 파일을 변경하여 네트워크 SQL 트래픽 내용을 추
데이터베이스 환경에 백도어 설치를 통한 침입 시도
•
데이터베이스 라이브러리 파일들을 변경하여 기밀 데이터에 대한 백도어
를 설치하여 특정 사용자에게 기밀 데이터의 접근을 제공
•
데이터베이스 환경에 저장되어 있는 테이블 스페이스 파일 유출 시도
•
서버의 테이블스페이스 데이터 파일을 무단으로 제3의 외부 서버에 복사
하여 DBMS에 마운트한 후 부팅 시도하는 경우
백 도어 설치
적 파일에 남겨 허가 받은 사용자의 계정 정보를 취득
•
데이타베이스
DB설정 파일 변조
•
보호
온라인 데이터베이스 무단 추출
테이블 스페이스 파일 유출
•
오프라인
접근 위협
DB 보안의 필요성
주요법령 대응
법령명
관련 주요 조항
주요 내용
제24조(개인정보의 이용제한)
본래의 개인정보 수집목적과 다르게 이용 금지
제 28조(개인정보의 보호조치)
① 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한보안조치
제28조(개인정보의 누설금지)
②개인정보취급자의 개인정보 훼손·침해 또는 누설 금지를 규정
신용정보의 이용 및 보호에 관한
법률
제19조
(신용정보전산시스템의 안전보호)
신용정보업자등은 신용정보전산시스템(공동전산망을 포함한다)에 대한 제삼자의
불법접근 또는 입력된 정보의 변경 · 훼손 · 파괴 기타 위험에 대한 기술적 · 물리적 ·
관리적 보안대책을 수립하여야 한다
공공기관의 개인정보보호에 관한
법률
제9조
(개인정보의 안전성확보 등)
① 공공기관의 장은 개인정보를 처리함에 있어서 개인 정보가 분실 · 도난 · 누출 ·
변조 또는 훼손되지 아니하도록 안전성확보에 필요한 조치를 강구하여야 한다.
정보통신망 이용촉진 및
정보보호 등 에 관한 법률
정보통신망법의 개인정보보호관련 벌칙규정
법령명
관련 주요 조항
주요 내용
조치사항
동의받은 목적과 다른 목적으로 개인정보 이용(제24조)
행정 형벌
(제71조)
정보통신망법의
개인정보보호관련
벌칙규정
이용자 동의없는 개인정보 제3자제공(제24조의 2제1항)
개인정보 취급자의 개인정보 훼손·침해·누설(제28조의2)
5년 이하 징역
또는
5천만원 이하 벌금
타인정보 훼손, 타인비밀 침해·도용·누설(제49조)
과태료
(제76조)
기술적·관리적 조치 미이행(제28조제1항)
- 접속기술 위·변조 방지조치
- 암호화 기술 등을 이용한 보안 조치
과징금의 부과
제64조의3
기술적·관리적 조치 미이행(제28조제1항2~5)
- 개인정보에 대한 불법적 접근차단을 위한 접근 통제장치 설치·운영
- 개인정보를 안전하게 저장·전송할 수 있는 암호화기술등을 이용한 보안조치
3천만원 이하 과태료
매출액의 백분의
1이하 금액 과징금
DB 보안의 필요성
방통위 개인정보 암호화 및 관련 법령
법령명
관련 주요 조항
주요 내용
대상 및 시행
대응 방안
제6조(개인정보의 암호화) ① 정보통신서비스
제공자 등은 비밀번호 및 바이오 정보는 복호화
되지 아니하도록 일 방향 암호화하여 저장한다.
② 정보통신서비스 제공자 등은 주민등록번호,
신용카드번호 및 계좌번호에 대해서는 안전한
암호알고리듬으로 암호화하여 저장한다.
③ 정보통신서비스 제공자 등은 정보통신망을
통해 이용자의 개인정보 및 인증정보를 송·수신할
방송통신위원
회고시
제2009-21호
제6조(개인정보의
암호화)
때에는 안전한 보안서버 구축 등의 조치를 통해
주요 대상 : 정보통신 서비스 제공자
이를 암호화해야 한다. 보안서버는 다음 각 호 중
하나의 기능을 갖추어야 한다.
1. 웹서버에 SSL(Secure Socket Layer) 인증서를
설치하여 전송하는 정보를 암호화하여
송·수신하는 기능
2. 웹서버에 암호화 응용프로그램을 설치하여
전송하는 정보를 암호화하여 송·수신하는 기능
④ 정보통신서비스 제공자 등은 이용자의
개인정보를 개인용컴퓨터(PC)에 저장할 때에는
이를 암호화해야 한다.
시행 : 2010년 1월 29일 부터
Vormetric Data
Security 장비를
통한 암호화로 대응
가능
DB 보안의 구현방식
DB 서버 접속 Client
DB접근제어
DB암호화
또는 APP Server
DB보안 솔루션
보안 기능
DB보안 환경
DB 접근제어 및 감사
App 프로그램 제어
DB사용자 접속 제어
DB object, field,제어
Request Command제어
DB 접속 시간제어
접근 권한별 접속제어
사후 감사
0%
DB암호화
DB 파일 단위 암호화
테이블 내 칼럼단위 암호화
암/복호화 키관리 메카니즘
데이터 유출 시에도 강력한 암호화
방식으로 해독 불가
DB암호화에 의한 데이터 유출 원천
차단
100%
※ 완벽한 DB보안(데이터 유출 차단)을 위해서는 DB접근제어 솔루션과 DB암호화 솔루션을 동시에 구축해야 함.
DB 암호화 솔루션 종류
 Column 암호화 VS Full table 암호화
데이터베이스 캐시
데이터베이스 캐시
RDBMS
RDBMS
칼럼 단위
암호화 솔루션
에이전트
VDS 에이전트
파일 시스템
파일 시스템
<Vormetric 구현 Architecture>
< 칼럼암호화 구현 Architecture>
DB보안/내용
칼럼 암호화
DB 테이블 암호화
(Vormetic)
암호화 적용 시
암호화 된 칼럼의
테이블 스페이스
DB 스키마/구조 변경
색인검색/DB 캐시 사용
파일유출 차단
암/복호화 에 따른
유출 시 암호화된
성능한계로 사용불가
칼럼 외 열람가능
안정적으로 사용
원천적으로 차단
반드시 필요
필요 없음
백 도어 설치 제어
기능 없음
프로세스 제어를 통해
지원
DB 암호화 구축 시 고려사항

일반적인 DB암호화 구축 시 고려사항
 DB Table의 Data를 전체 또는 Column단위로 암호화 해야 한다.
 다양한 이기종의 DBMS를 지원해야 하며, 모든 DB System을 단일 UI에서 중앙관리가
가능하여야 한다.
 DBMS의 자체 또는 별도의 DB 접근제어 솔루션과 독립적인 사용자 권한관리가 이루어
져야 한다.(복호화 권한, 접근제어 권한)
 기존의 운영환경의 성능에 영향이 없는 암복호화 성능을 제공해야 한다.(Data 암호화
이후 Query에 대한 응답속도가 암호화 전과 차이가 없어야 한다.)
 암호화된 컬럼의 색인(Index)검색이 가능해야 한다.(일치검색, 전방일치, 범위검색 등)
 Data에 접근한 상세한 history Log를 남겨야 한다.
 암호화 Key 유출을 막기 위한 강력한 Key보호/관리 기능이 제공되어야 한다.
 DB Server내에 어떠한 형태로도 복호화된 Table 또는 Column Data를 가지고 있지 않
아야 한다.
 구축 시 DBMS의 환경, DBMS와 연동되어 있는 Application의 환경에 변경이 없어야
한다.
Ⅱ. Vormetric Data Security를 이용한 DB보안
Vormetic Data Security 개요
Vormetric Data Security 는 미국 Vormetric社의
제품으로 Data암호화 및 상황 기반의 접근제어를 통해
 제조사
: Vormetric
 제품명
: Vormetric Data Security
 업무 용도 : DB암호화
Meta Clear 암호화
투명한 DB연동
암호화 알고리즘
암호화 성능
상황기반 접근제어와
무결성 유지
중요 DB Data의 유출을 차단하고 System의 무결성을
보호하는 통합 데이터 보안 솔루션입니다.
• 데이터 관리에 영향을 미치지 않는 기밀 Data 암호화
• 필요한 데이터만 복호화 하는 고암호화 성능
• 모든 데이터 접근요청에 필요한 권한만을 부여
• DB구조나 스키마에 아무런 영향을 주지 않음
• 어플리케이션에도 투명한 암호화를 제공
• 3DES, AES128, AES256등 강력한 암호화 알고리즘 제공
• 기존의 column단위 암호화 솔루션 취약점인 조건범위검색 성능이 암호화 전과 큰 차이 없음
• 초기 마이그레이션 시 파일 copy와 같은 수준의 암호화 성능 제공
• 누가, 무엇을, 언제, 어디서, 어떻게 라는 상황기반의 Data 접근제어 지원
• 악성코드 실행, 허가받지 않은 어플리케이션의 구동을 막음으로써 System의 무결성을 보호
Vormetric Data Security 제품 인지도
제품 공급사는 메이저DB 및 스토리지 솔루션 업체와 전략적 기술파트너쉽 관계로 업계를
선도하는 최고의 기술력을 보유
IBM의 DB2와 Informix DBMS의 암호화
를 위한 OEM 암호화 모듈 전담 공급사
ORACLE Database Vault제품의 암호화
키관리 시스템 전담 공급사
Symantec의 Veritas Netbackup 솔루션
에 암호화, 압축, 키관리 기술을 제공하는
OEM 모듈 공급사
HP ILM(Information Management
Software) 골드파트너로 최고성능의
보안 스토리지 시스템을 고객에 공급
인증
Vormetric Data Security는 암호화 관련 미국방성 인증인 FIPS 140-2 Level 2(Level 3 for key
management)인증을 가지고 있습니다.
Vormetric Data Security 아키텍쳐
Vormetric Data Security 는 Table전체를 암호화 하여 File에 저장하는 방식으로 암복호화 수행 함
으로써 고성능/DB투명성의 이점을 제공해 드립니다.
DB System
DBMS
• Table Space는 실제 Data를 가지고 있는 공간이
아닌 Data를 정리하고 쉽게 찾기 위한 논리적인 구
조를 가지는 공간임.
Table Space
DB Cache
• App Server 또는 특정
관리 User에 의한 DB
Data의 Update 발생
App Server
File System
• DBMS는 Update된 Data
를 실시간으로 File로 저장.
• DB 암호화란 File System의 DB
Data File을 암호화 하는 것을 말한다.
DBA or Dev
User
Data File
제품 구성
구성
 Vormetric Data Security Device와 System에 설치된 PEM과의 통신으로 모든 시스템에
Vormetric Data Security 적용
 다양한 이기종의 System 및 OS와 연동이 가능
특장점
투명한 DB 연동
 IT 환경안에서 손쉽게 적용됨: OS, DB, 어플리케이션, 데이터 저장소에 변경이 필요하지 않음.
 DB 구조나 스키마에 아무런 영향을 주지 않음: 유지보수의 용이성
 어플리케이션에 완전한 투명하게 암호화를 제공
 다른 OS, DB 플렛폼, 어플리케이션, 데이터 저장소에 확대 적용 가능함
 데이터베이스 환경에서 데이터 보호를 위한 최고의 보안성을 제공함
 암호화와 접근 제어의 적용
 네트워크 리스너 파일
 라이브러리와 실행 파일
 오라클 로그와 덤프(Dump) 파일
 암호문 스니핑과 백도어 설치등의 위협으로부터 보호
특장점
암호화 알고리즘
 기본적으로 AES256 암호화 알고리즘을 사용하며, 이외에 AES128, 3DES 암호화 알고리즘을 지원.
(ARIA 알고리즘 탑재 개발 중)
특장점
빠른 데이터 암호화
 AES (128, 256), 3DES 암호화 알고리즘 지원(Aria 개발 진행중)
 초기 마이그레이션 및 온라인 데이터
조회 시 암호화 이전과 동일한 처리 시간이 소요
(파일 복사 수준의 속도 제공)
CPU
Oracle DB 1000만건의
마이그레이션
Table Size에 대한
초기 데이터
암호화 성능 자료
Select
(조건 일치 검색)
Select
(조건 범위 검색)
Insert
Update
CPU
TIME
TIME
1st
1 0 %
4 5 s
30%
47s
2st
1 0 %
4 5 s
30%
46s
47s
3st
1 0 %
4 6 s
30%
평균
1 0 %
4 5 s
30%
47s
2%
0.03s
2%
0.02s
2%
0.02s
2%
0.02s
2%
0.02s
2%
0.04s
2%
0.03s
2%
0.03s
1 7 %
0. 14 s
16%
0.14s
1 6 %
0. 14 s
16%
0.14s
1 6 %
0. 14 s
호
16%
0.14s
1 6 %
0. 14 s
화
16%
0.14s
암
5 0 %
9 s
55%
9s
5 0 %
1 0 s
60%
9s
5 0 %
9 s
57%
9s
5 0 %
9 s
57%
9s
5 0 %
6 s
54%
6s
50%
12s
54%
15s
5 0 %
1 2 s
57%
12s
5 0 %
1 0 s
55%
11s
특장점
프로세스 제어
 다양한 접근시도를 차단함으로써 호스트와 Application의 무결성을 보호함.
 허가받지 않은 Application, 패치, 소프트웨어 툴의 구동
 운영 및 파일 시스템 호출의 실행
 악성 코드의 실행
특장점
Key 보호 기능





H/W의 별도의 ROM에 Key를 보관
Vormetic Data Security H/W와 PEM간에 Secure Channel(SSL)을 이용한 Key 배포
H/W의 Reset Button 또는 UI상에서의 Configuration Unset 시 모든 Key 삭제
강제적으로 Server의 H/W를 열었을 경우 자동적으로 암호화 Key 무효화
Key를 File로 Backup시 암호화해서 Backup하게 되며 복호화를 위한 Master Key는 H/w에서만 보관하고,
어떠한 User도 Master Key에는 접근이 불가능
특장점
Multi Clustering
 최대 32대 까지 Active-Standby 기반의 Multi Clustering 지원
 최대 16,000 Hosts의 중앙 정책 관리가 가능(Vormetric Data Security 1대당 500 Hosts 관리 가능)
특장점
DMM(Data Masking Module)
 Query에 의한 Return Data를 정책기반으로 Masking하는 모듈
Vormetric Data Security가 제안하는 DB 보안 Architecture
DB 보안 Architecture
Data Masking
온라인 무단 유출 차단
DBA/Developer
select * from
customer;
이름
주민번호
학점
성수제
334-321
3.0
홍길동
341-222
3.5
최성재
123-333
4.5
DBA/Developer
온라인 접근통제
DB 접근제어
보호DB
DB 암호화(Vormetric Data Security)
백 도어 실행 방어
테이블 스페이스 파일 유출차단
DB설정 파일 변조방지
비암호화 Backup방지
구축사례
 주요 구축 사례
Intellectual Property Protection
Data Privacy Protection
PCI DSS & Audit
Secure Hosting
구축사례
고객 사
업종
암호화 목적/대상
PCI DSS & Audit
ABN-AMRO
은행
고객정보DB(카드/계좌번호
eBookers
PCI DSS & Audit
여행사
(Orbitz Worldwide 계열사)
고객정보DB(카드/계좌번호
PCI DSS & Audit
WHOLESALE CLUB
대형 유통사
고객정보DB(카드/계좌번호
Carlson
PCI DSS & Audit
호텔
(Regent등 5개의 호텔브랜드사업)
고객정보DB(카드/계좌번호
PCI DSS & Audit
Greendot
금융
고객정보DB(카드/계좌번호
PCI DSS & Audit
DSW
대형 쇼핑몰
고객정보DB(카드/계좌번호
PCI DSS & Audit
MATTEL
최대 장난감 제조 회사
고객정보DB(카드/계좌번호
PCI DSS & Audit
Classified Ventures
포털사이트
고객정보DB(카드/계좌번호
지적 자산 암호화 보호
Cadence
반도체 설계/전자설계자동화
각종 도면 문서 등 파일
지적 자산 암호화 보호
BMW
자동차
각종 도면 문서 등 파일
등)
등)
등)
등)
등)
등)
등)
등)
국정원 암호화 인증진행
 인증명 : 국정원(NIS) 암호 모듈 검증
 암호화 인증에 필수 요소인 ARIA 알고리즘 탑재 완료-2010년 7월
 올해 4사분기내 암호모듈 검증신청 접수를 목표로 필요한 제반 서류 제출목록 준비
 제반 서류의 번역작업 등으로 3개월 소요
 본사에서 미 국방성에서 인증 받은 FIPS 140-2의 인증을 위해 준비했던 제반 서류 인수완료
 FIPS인증과 NIS인증에 필요한 제반 서류가 유사하여(98%동일) 빠른 후속 대응이 가능할
것으로 판단됨
 내년 1사분기 내 시험기관에서 시험을 수행하고, 검증기관에서 암호모듈 검증서
(validation Certificate) 획득 예정
감사합니다
•
•
•
•
작성일 : 2010/10/09
담당 : 신 상 윤
TEL :010-4842-9153
Mail: [email protected]