Chapter01. 개요 - 컴퓨터 보안 개념

컴퓨터 보안 : 정보시스템 자원(하드웨어, 소프트웨어, 펌웨어, 정보/데이터 통신)의 무결성, 가용성, 기밀성을 보전하고자 하는 목표 달성을 위해 자동화된 정보시스템에 제공된 보호

컴퓨터 보안 3가지 주요 목표 -> CIA 트라이어드

CIA 트라이어드(https://parkgrounds.tistory.com/42)

• 기밀성(Confidentiality) : 정보 접근과 공개에 대해 합법적 제한조건을 지키는 것
  • 개인 프라이버시와 소유권에 대한 정보를 보호하는 수단 포함
  • 상실시, 정보가 부정하게 공개
  • 분류
    • 데이터 기밀성(Data Confidentiality) : 개인 정보나 기밀 정보를 부정한 사용자에게 이용 및 노출되지 않도록 하는 것
      •  e.g., 1급 기밀 문서 유출
    • 프라이버시(Privacy) : 개인이 자신과 관련된 어떤 정보가 수집, 저장되는지, 누구에게 그 정보가 공개되는지, 누가 공개하는지 등을 통제하거나 영향을 미칠 수 있도록 하는 것
      • e.g., 개인 정보 활용 동의
• 무결성(Integrity) : 부적절한 정보 수정이나 정보 파괴를 막는 것
  • 정보 부인 방지와 합법성을 확실히 하는 것 포함
    • 부인 방지 : 이벤트 발생을 증명하여 추후 발생된 이벤트에 대한 부인을 할 수 없도록 하는 것
  • 상실시, 정보가 무단으로 수정되거나 파괴
  • 분류
    • 데이터 무결성 : 규정에 따라 허가된 상태에서만 정보나 프로그램을 수정할 수 있도록 하는 것
      • e.g., 로그인 후 닉네임 변경
    • 시스템 무결성 : 시스템이 의도했던 기능을 그대로 수행하도록 하는 것
• 가용성(Availability) : 정보 사용에 있어서 시간성과 신뢰성 있는 접근 
  • 시스템이 지체 없이 동작하도록 하고, 허가된 사용자에게 서비스를 거절하지 않도록 하는 것
  • 상실시, 정보나 정보시스템을 사용하거나 접근이 불가능

완성된 보안 목표 표현을 위한 추가 개념 두가지

• 인증(Authentication) : 전송, 메시지, 메시지 출처 유효성에 대한 확신 및 신뢰성 확보
• 책임(Accountability)
  • 보안 목적에는 한 개체의 행동을 유일하게 추적할 수 있어야 한다는 사항이 들어있어야 함
    
    • ex. 부인봉쇄, 억제, 결함분리, 침입 탐지 및 예방, 사후 복구와 법적인 조치 등
      • 부인봉쇄 : 이벤트 발생을 증명하여 추후 발생된 이벤트에 대한 부인을 할 수 없도록 하는 것
      • 억제 : 보안위협을 예방 및 탐지 등의 방법을 통해 최소화시키는 것 
      • 결함분리 : 결함이 있는 구성요소나 처리 상의 오류를 확인하여 결함의 원인이나 위치를 판별하여 그것을 분리시키는 것
  • 따라서 시스템은 로그를 남기고 나중에 포렌식 분석을 하여 보안 침해를 추적할 수 있거나 전송과 관련된 분쟁을 해결할 수 있도록 해야 함.

보안 침해 수준(FIPS 199)

• 저급 위험 : 조직의 운영, 조직의 자산, 또는 개인에게 미칠 제한된 부정적 효과 예상
  • 제한된 부정적 효과
    • 주요 기능 유지 가능
    • 어느 정도, 어느 기간 동안 성능 저하
    • 기능의 유효성 감소
    • 조직의 자산에 소규모 손상
    • 개인에 소규모 침해
• 중급 위험 : 조직의 운영, 조직의 자산 또는 개인에게 심각한 부정적 효과
  • 심각한 부정적 효과
    • 주요 기능에 있어, 어느정도, 특정 기간 동안 성능이 심각하게 저하
    • 조직의 자산에 심각한 손상
    • 심각한 재정적 손실
    • 생명에 위협이 되는 부상을 입거나 생명을 잃을 정도는 아니지만 개인에게 심각한 손상
• 고급 위험 : 조직의 운영, 조직의 자산 또는 개인에게 극심하고 재난수준의 부정적 효과
  • 극심하고 재난수준의 부정적 효과
    • 주요 기능 중 한두 가지 기능을 상실, 어느 정도, 특정 기간 동안 성능이 극심하게 저하
    • 조직의 자산에 치명적인 손상
    • 엄청난 재정적 손실
    • 생명에 위협이 되는 부상을 입거나 생명을 잃는 극심하고 재난수준의 개인적 손상

---

위 글은 "Network Security Essentials William Stallings 저"을 공부하며 쓴 글입니다.