2020-01-20 인턴 기록(보안)

회사에서 인턴을 하면서 학습한 정보보안 관련 용어 또는 느낀 점을 기록

하루에 용어 3개씩 포스팅할 예정이지만 상황에 따라 달라질 수도 있습니다!

 

1. SAML (Security Assertion Markup Language) 보안 어서션 마크업 언어

요구사항

웹 브라우저 통합 인증 (SSO = Single Sign-On)

사양 정의 (예시를 보고 정의를 보는게 가장 이해하기 빠름)

- 주체 : 일반적으로 사용자를 지칭한다.

  ex) 쇼핑몰에 들어온 고객, ...

- 인증 정보 제공자 (Identity Provider) : 각 서비스 제공자들의 인증 관련 부분만 모아서 구현

  ex) 구글 통합 로그인 페이지, 네이버 통합 로그인 페이지

- 서비스 제공자 (Service Provider = SSO) : 일반적으로 독립적인 SW

  ex) 구글 드라이브, 구글 메일, ..

 

SSO 적용 순서

1. 사용자가 SP(네이버 N드라이브)를 사용하려고 한다.

2. 사용자의 Session 정보가 SP에 남아있지 않으므로, SP는 사용자를 IdP(네이버 통합 로그인 페이지)로 redirect

3. 사용자의 Session 정보가 IdP에 남아있지 않으므로, 사용자는 IdP에서 login

4. 인증이 완료되면 IdP는 사용자를 SP로 다시 redirect시키고, 동시에 사용자의 '인증 정보'를 SP에게 전달

5. login 처리가 완료되어 네이버 드라이브를 사용할 수 있음

대표적인 SSO 구현 방식

- SAML (SAML을 구성하는 도구로 SSO를 사용한다!)

- OAuth (Spring Security의 OAuth 2.0)

- JWT

- .etc

 

위의 상당 부분은 https://hanee24.github.io/2018/08/04/sso/를 참조했음

 

2. 제로 트러스트 보안 모델

기본적으로 '세상에 믿을 사람은 하나도 없다'라는 태도를 의미한다.

 

- 기관 내/외부를 막론하고 적절한 인증 절차 없이는 그 누구도 신뢰해서는 안 된다.

- 시스템에 접속하고자 하는 모든 것에 접속 권한을 부여하기 전에 신원 확인 과정을 거쳐야 한다.

- 사용자의 위치 및 메타 데이터 기반으로 micro segmentation(마이크로 단위)로 분할하거나 과립형

  (알맹이 단위로 쪼갬 = 마이크로 단위랑 같은 느낌) 경계 시행 방식을 이용해 기업 시스템에 접속하려는

  모든 endpoint에 대한 신뢰 여부를 결정하는 것을 돕는다.

- 다중 인증이나 IAM(Identity And Access Management), 오케스트레이션, 애널리틱스, 암호화 등의 기술에

  의존한다.

 

엔드 포인트 : IT 관점에서 어떠한 SW 또는 제품의 최종 목적지인 주체를 의미한다.

 ex) PC, 노트북, 핸드폰 등 유저가 사용하는 장치들

 

IAM (Identity And Access Management) : AWS 리소스에 대한 액세스를 안전하게 제어할 수 있는 웹 서비스

 - 리소스를 사용하도록 인증(로그인) 및 권한 부여된 대상을 제어

 - AWS 계정을 처음 생성하면, 해당 계정의 모든 AWS 서비스 또는 리소스에 대한 완전한 액세스

  권한이 있는 SSO ID로 시작한다. 이러한 자격을 AWS 계정 루트 사용자라고 한다.

 

 - 연관 keyword

  1. AWS 계정에 대한 공유 액세스

    =>암호/액세스 키 공유 없이 리소스 관리 및 사용 권한을 부여

 

  2. 세분화된 권한

    => 리소스에 따라 여러 사람에게 다양한 권한을 부여

     ex) 일부 사용자에게EC2, S3에 대한 읽기 전용 권한 부여

 

  3. 멀티 팩터 인증

    => 2020/01/21 - [컴퓨터학부 3학년/정보보안] - 20200121 - 인턴 일지(업데이트 중) 참고

 

  4. etc.

3. SIEM(Security Information & Event Management)

네트워크 HW 및 응용 프로그램에 의해 생성된 보안 경고의 실시간 분석을 제공

 

- 일종의 보안 관제 시스템

- 데이터 통합 : 다양한 장비에서 발생한 데이터를 수집 및 통합 분석

- 상관 관계 : 수집한 데이터를 유용한 정보로 만들기 위해 다양한 상관 관계 분석 기능을 제공

- 알림 : 이벤트를 관리자에게 자동으로 알릴 수 있다.

- 대시보드 : 이벤트 데이터를 가지고 패턴을 표시하여 정보를 제공하거나 표준 패턴(baseline)을 형성하는지에 대한 활동을 파악