2020.09.02 IT업계에 취업한 후 약 5년이라는 시간이 지났다.
오늘은 그간 다루었던 보안솔루션 제품 중 시스템접근제어 및 통합계정관리 솔루션인 GATEONE-Z 기반으로 내용을 정리하는 시간을 가지려 한다.
시스템접근제어란?
- 기업이나 기관에서 운영하는 시스템(서버)들로의 접근에 대한 관리가 목적인 솔루션
- 보통 시스템접근제어가 없는 환경일 경우, 아래 그림과 같이 PC에서 putty 또는 원격 데스크톱 연결 등을 통해 서버로 직접 접속할 것이다.
- 위와 같이 서버가 3대밖에 없고 사용자가 1명밖에 없는 소규모 환경의 경우 크게 관리에 어려움이 생기진 않지만, 큰 기업 / 기관일 경우 서버가 100대, 1000대 단위로 많아지기도 하고 해당 서버를 접속하려는 사용자들도 100명 1000명 단위로 많아지게 된다.
- 이렇게 대규모 환경이 되어버리면 IT 담당자가 관리에 어려움이 있어 관리를 위한 무언가가 필요하게 되며, 이 때 제안할 수 있는게 바로 시스템접근제어 솔루션이라고 할 수 있다.
시스템접근제어가 필요한 이유?
- 위에서 설명한 것과 같이 100대가 넘어가는 서버에, 100명이 넘어가는 사용자들이 접속하여 작업하는 대규모 환경이라면 아래 사유들로 인해 관리가 필요할 것이다.
1) 불필요한 사람들이 접속 가능
> 다시 말하면 굳이 해당 서버에 접속할 필요가 없는 사람이 서버의 IP, 포트 정보만 알면 접속 시도를 해볼 수 있다는 것이다.
> 물론 어느 서버에 접속하던지 올바른 ID/PW 를 입력해야 접속이 가능하겠지만, 어쨌든 접속이 가능하다는게 보안적으로 좋지 않다고 본다.(ID/PW 정보가 유출이 될 수도 있기 때문)
2) 작업 히스토리를 알 수 없음
> IT 업계에서 지내다보면, 분명 어제까진 멀쩡했는데 오늘 출근해보니 서버가 이상해진 경험은 다들 한번쯤은 있을 것이다.
> 누가 언제 접속해서 무슨 짓(작업)을 했는지 추적이 쉽지 않기 때문에 이슈 트러블슈팅도 어려울 뿐더러 범인을 색출하기가 어렵다(가장 중요?)
3) 작업 간 위험 행위에 대한 부담
> 작업자가 서버에 접속해서 어떤 파일을 삭제하려다 명령어 옵션 실수로 모든 파일을 삭제해버린다거나, 협의되지 않았는데 shutdown 등의 명령어로 서버 전원을 꺼버린다거나.. 작업 중에는 어떤 휴먼에러가 발생할지 모르는 부담이 있다.
- 크게 3가지로 이유를 들어 볼 수 있겠다. 그럼 아래에 시스템접근제어를 도입했을 경우 얻는 효과를 알아보자.
시스템접근제어 도입 효과?
1) 불필요한 사람들이 접속 가능 -> 접속권한 관리를 통한 방지 가능
ex) 김맹구라는 사용자에게는 A서버와 B서버만 접속할 수 있도록 권한을 부여하고, 김철수라는 사용자에게는 C서버만 접속할 수 있도록 권한을 부여
> 김맹구는 C서버에 대한 접속권한이 없으므로, C서버에 접속하여 명령어를 입력한다거나 하는 행위 자체를 못하게 됨
2) 작업 히스토리를 알 수 없음 -> 접속로그를 통한 분석 가능
ex) 김맹구라는 사용자가 A서버에서 shutdown 명령어를 입력해 전원을 꺼버림
> 시스템접근제어 솔루션은 서버접속을 한 시점부터(세션이 맺어진 시점부터) 접속종료하는 시점까지 모든 작업행위에 대한 기록을 남긴다.
> 그렇기 때문에 예시와 같은 경우, 솔루션에서 제공하는 접속로그를 통해 김맹구가 언제, 어떤 서버에서 어떤 명령어를 입력했는지 추후에 모두 확인이 가능하다.
3) 작업 간 위험 행위에 대한 부담 -> 정책을 통한 제어 가능
> 2번 내용의 연장선으로, 사용자들이 함부로 shutdown 명령어를 입력하지 못하게 금지명령어 정책을 적용하여 통제가 가능하다.
> 위험요소가 있는 명령어들을 사전에 금지명령어로 지정해두면 명령어 입력 시 실행 차단이 되기 때문에, 위험 행위에 대한 부담을 감소시킬 수 있다.
시스템접근제어의 구성
- 간단하게 보면, 사용자와 서버 사이에 구성되게 된다.
- 그림과 같이 구성되기 때문에 시스템접근제어는 사용자가 어떤 서버에 접속하려는지, 어떤 명령어를 사용하는지 알 수 있어 통제가 가능하다고 이해하면 될 것 같다.
기본적인 시스템접근제어의 개념은 이러하다.
다음엔 GATEONE 제품에서 제공하는 통합계정관리에 대한 개념을 정리할 것이다.
** p.s.) 개인 공부를 위해 정리하였으며, 이 글을 보시는 분들에게 내용이 조금이나마 도움이 되었으면 좋겠습니다.