안정적인 DB 보안 환경구축을 위한

안정적인 DB 보안 환경구축을 위한 ..

고성능의 DB 암복호화 솔루션고성능의 DB 암복호화 솔루션

• 작성일 : 2010/10/09• 담당 : 신 상 윤• TEL :010-4842-9153• Mail: [email protected]

구축사례

주요 구축 사례

Secure HostingIntellectual Property Protection

Data Privacy Protection PCI DSS & Audit

개인정보보호

개인정보보호 ( DB 암호화 )

DataBase 중요 개인정보 항목에 대한 암호화를 의무화 하고 있습니다

•주민번호•계좌번호•군번•휴대폰번호 , 전화번호 , 이름 , 주소•기타 2 가지 이상의 정보를 통해 유추해 낼 수 있는 개인식별정보를 포함 합니다

DataBase 중요 개인정보 항목에 대한 암호화를 의무화 하고 있고 , 개인정보를 다루는 곳 , 개인정보 DATA의 관리가 많은 곳은 의무적으로 개인정보의 관리범위 , 관리체계 , 시스템적 보완체계를 갖추어야 합니다

•공공기관 ( 국가기관 및 지자체 , 투자처 ( 공사 , 공단등 )•대학교•은행 , 쇼핑몰 , 포털

개인정보 관리체계에 대한 인증제가 실시될 예정이며 , 개인정보관리지침 , 인적관리 체계 외 , 전산 인프라 관련 중요 평가 항목은 DB 암호화 , 개인정보 필터링 , 통신구간 암호화 등 입니다 .책임 소재를 떠나 , 대량유출의 가능성이 있는 정보에 대한 암호화등 IT 인프라 부문은 필수적으로 고려 되어야 할 사항입니다

DB 암호화 솔루션 비교

Coreguard D`amo Cubeone DataSecure

제조사 Vormetric Penta Security eglobalSafnet( 국내 유니포인트 )

HSM 지원 자체내장 별도 별도 별도

암호화 방식 파일 단위로 OS Layer 에서 암호화 수행

Column 단위로 DBMS 에서 암호화

Column 단위로 DBMS 에서 암호화

Column 단위로 DBMS에서 암호화

암호화 알고리즘 표준 AES (128, 256), 3DES, ARIA AES,SEED,ARIAAES,SEED,ARIA

AES (128, 256), 3DES

설치 시 DBMS 스키마 , Application 변경여부 변경 없음 DB 및 Application

변경 다수 발생DB 및 Application 의 변경 다수 발생

Application 의 변경 다수 발생

암 . 복호화 성능암호화 전과 후의 성능차이는 약 5% 이내로 미미함(300 만 TPS)

암호화 전 . 후의 성능차이는 약 20~30% 정도 발생함(1,800TPS)

단시간에 많은 데이터 암 /복호화 시 성능문제 발생 (1,800TPS)

단시간에 많은 데이터 암 /복호화 시 성능문제 발생 (1,800TPS)

암호화 시 Data Size 증가여부 변화없음 ( 투명한암호화 ) 10~20% Size 증가 10~20% Size 증가 10~20% Size 증가

지원환경Any File, Any DatabaseAny Application

MS-SQL, Oracle, DB2 등을 지원하며 , DBMS 종류 및 Version 에 따른 영향있음

MS-SQL, Oracle, DB2 등을 지원하며 , DBMS종류 및 Version 에 따른 영향있음

MS-SQL, Oracle, DB2 등을 지원하며 , DBMS종류 및 Version 에 따른 영향있음

DB 암호화 솔루션 비교

Coreguard D`amo Cubeone DataSecure

DB 서버 성능 영향

실제 테이블이 요청을 수행하고 데이터베이스 캐시 사용 가능으로 성능 저하 없음 .암호화전과 거의 동일한 성능

뷰와 트리거 사용으로 인한 성능 저하 ,암호화 컬럼의 인덱스 사용 불가로 인한 성능 저하

뷰와 트리거 사용으로 인한 성능 저하 ,

뷰와 트리거 사용으로 인한 성능 저하 ,암호화 컬럼의 인덱스 사용 불가로 인한 성능 저하

SAP 지원 인증여부 PCI DSS 지원여부

SAP 환경 지원PCI DSS 지원 PCI DSS PCIDSS PCIDSS

지원 OS 범위 Windows, Solaris, Red Hat Linux, HP-UX, AIX

일부 UNIX, Win NTAIX, HP-UX, Solaris(SPARC/x86), Linux, TRU64

UNIX, Win NT, 메인프레임 호환가능

인증 FIPS-Level 3 GS, 국정원암호모듈 GS, 국정원암호모듈 FIPS-Level2

전략 /기술 파트너 IBM,HP,Oracle, Microsoft, SUN, Sybase, Symantec

구축기간 1~2 개월 4~6 개월 4~6 개월 4~6 개월

ReferenceLG 하우시스 , 아시아나 , 대교 ,대검찰청 , 대우건설 ,LGU+

정보통신부 , 산림청 ,기업은행 , 한국도로공사

메트라이프생명 ,SK 텔링크 , KT 파워텔 , KISA한국투자증권

대검찰청

비용구조 Solution 구매 (HSM 포함 ) 별도의 인건비 불필요

HSM 별도 + S/W + 많은 인건비

HSM 별도 + S/W + 많은 인건비

Solution 구매 (HSM 포함 ) + 많은 인건비

장점 빠른 구축암복호화성능

적용 범위 따른 상대적 적은 비용



단점 초기투자비용 , 국내인증•운영 환경변경•오래 구축기간

•운영 환경변경•오래 구축기간

•운영 환경변경•오래 구축기간

목 차

Ⅰ. DB 보안 개요 현재의 보안 체계 DB 에 대한 다양한 보안위협 DB 보안의 필요성 DB 보안의 구현방식 DB 암호화 솔루션의 종류 DB 암호화 구축 시 고려사항

Ⅱ. Vormetric Data Security 를 이용한 DB 암 복호화 Vormetric Data Security 개요 제품인지도 DB 암호화 솔루션 비교 제품 구성 특장점 구축사례

Ⅰ. DB 보안 개요

현재의 보안 체계

인증 OS/ 서버보안VPN/암호화

IDS/IPS방화벽

DB 보안 ?

현재의 보안체계

• 현재 대부분의 기업은 내 /외부 침입 위협으로부터 자신들의 정보자산을 보호하기 위한 경계선 방어에 몰두하고 있는 반면 , 정보보호의 궁극적인 대상인 데이터 및 데이터베이스의 적극적인 방어 방법을 찾지 못하고 있습니다 .

DB

이름 주민번호 학점

성수제 334-321 3.0

홍길동 341-222 3.5

최성재 123-443 4.5

온라인

접근위협이름 주민번호 학점

성수제 334-321 3.0

홍길동 341-222 3.5

최성재 123-443 4.5

select * from customer;

DB

설정

파일

변조백

도어

설치

테이

블 스

페이

스 파

일 유

출

온라인 무단 유출

DBA/Developer

보호

데이타베이스

오프라인 접근 위협

• 온라인 데이터베이스 무단 추출

• 사용자가 SELECT 한 데이터를 파일로 저장하여 유출

• DB 설정파일 변경을 통한 무단 DB 사용자 정보 추출 시도

• 네트워크 리스너 설정 파일을 변경하여 네트워크 SQL 트래픽 내용을 추적

파일에 남겨 허가 받은 사용자의 계정 정보를 취득

• 데이터베이스 환경에 백도어 설치를 통한 침입 시도

• 데이터베이스 라이브러리 파일들을 변경하여 기밀 데이터에 대한 백도어를

설치하여 특정 사용자에게 기밀 데이터의 접근을 제공

• 데이터베이스 환경에 저장되어 있는 테이블 스페이스 파일 유출 시도

• 서버의 테이블스페이스 데이터 파일을 무단으로 제 3의 외부 서버에 복사하여

DBMS 에 마운트한 후 부팅 시도하는 경우

DB 에 대한 다양한 보안 위협들

법령명 관련 주요 조항 주요 내용

정보통신망 이용촉진 및 정보보호 등 에 관한 법률

제 24 조 ( 개인정보의 이용제한 ) 본래의 개인정보 수집목적과 다르게 이용 금지

제 28 조 ( 개인정보의 보호조치 ) ① 개인정보를 안전하게 저장 ·전송할 수 있는 암호화기술 등을 이용한보안조치

제 28 조 ( 개인정보의 누설금지 ) ②개인정보취급자의 개인정보 훼손 · 침해 또는 누설 금지를 규정

신용정보의 이용 및 보호에 관한 법률

제 19 조( 신용정보전산시스템의 안전보호 )

신용정보업자등은 신용정보전산시스템 ( 공동전산망을 포함한다 ) 에 대한 제삼자의 불법접근 또는 입력된 정보의 변경 · 훼손 · 파괴 기타 위험에 대한 기술적 · 물리적 · 관리적 보안대책을 수립하여야 한다

공공기관의 개인정보보호에 관한 법률

제 9 조( 개인정보의 안전성확보 등 )

① 공공기관의 장은 개인정보를 처리함에 있어서 개인 정보가 분실 · 도난 · 누출 · 변조 또는 훼손되지 아니하도록 안전성확보에 필요한 조치를 강구하여야 한다 .

법령명 관련 주요 조항 주요 내용 조치사항

정보통신망법의 개인정보보호관련 벌칙규정

행정 형벌( 제 71 조 )

동의받은 목적과 다른 목적으로 개인정보 이용 ( 제 24 조 )

5 년 이하 징역 또는

5 천만원 이하 벌금

이용자 동의없는 개인정보 제 3 자제공 ( 제 24 조의 2 제 1 항 )

개인정보 취급자의 개인정보 훼손 · 침해 · 누설 ( 제 28 조의 2)

타인정보 훼손 , 타인비밀 침해 · 도용 · 누설 ( 제 49 조 )

과태료( 제 76 조 )

기술적 · 관리적 조치 미이행 ( 제 28 조제 1 항 ) - 접속기술 위 · 변조 방지조치 - 암호화 기술 등을 이용한 보안 조치

3 천만원 이하 과태료

과징금의 부과제 64 조의 3

기술적 · 관리적 조치 미이행 ( 제 28 조제 1 항 2~5) - 개인정보에 대한 불법적 접근차단을 위한 접근 통제장치 설치 · 운영 - 개인정보를 안전하게 저장 · 전송할 수 있는 암호화기술등을 이용한 보안조치

매출액의 백분의 1 이하 금액 과징금

주요법령 대응

정보통신망법의 개인정보보호관련 벌칙규정

DB 보안의 필요성

DB 보안의 필요성

법령명 관련 주요 조항 주요 내용 대상 및 시행 대응 방안

방송통신위원회고시 제2009-21 호

제 6조 ( 개인정보의 암호화 )

제 6조 ( 개인정보의 암호화 ) ① 정보통신서비스

제공자 등은 비밀번호 및 바이오 정보는 복호화

되지 아니하도록 일 방향 암호화하여 저장한다 .

② 정보통신서비스 제공자 등은 주민등록번호 ,

신용카드번호 및 계좌번호에 대해서는 안전한

암호알고리듬으로 암호화하여 저장한다 .

③ 정보통신서비스 제공자 등은 정보통신망을

통해 이용자의 개인정보 및 인증정보를 송 ·수신할

때에는 안전한 보안서버 구축 등의 조치를 통해

이를 암호화해야 한다 . 보안서버는 다음 각 호 중

하나의 기능을 갖추어야 한다 .

1. 웹서버에 SSL(Secure Socket Layer)

인증서를 설치하여 전송하는 정보를 암호화하여 송

·수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여

전송하는 정보를 암호화하여 송 ·수신하는 기능

④ 정보통신서비스 제공자 등은 이용자의

개인정보를 개인용컴퓨터 (PC) 에 저장할 때에는

이를 암호화해야 한다 .

주요 대상 : 정보통신 서비스 제공자

시행 : 2010년 1월 29 일 부터

Vormetric Data Security 장비를 통한 암호화로 대응 가능

방통위 개인정보 암호화 및 관련 법령

DB 접근제어 DB 암호화

DB 보안 솔루션 DB 접근제어 및 감사 DB 암호화

보안 기능

App 프로그램 제어 DB 사용자 접속 제어 DB object, field, 제어 Request Command 제어 DB 접속 시간제어 접근 권한별 접속제어 사후 감사

DB 파일 단위 암호화 테이블 내 칼럼단위 암호화 암 /복호화 키관리 메카니즘 데이터 유출 시에도 강력한 암호화

방식으로 해독 불가 DB 암호화에 의한 데이터 유출 원천

차단

DB 보안 환경

DB 서버 접속 Client

또는 APP Server

0% 100%

※ 완벽한 DB 보안 ( 데이터 유출 차단 ) 을 위해서는 DB 접근제어 솔루션과 DB 암호화 솔루션을 동시에 구축해야 함 .

DB 보안의 구현방식

파일 시스템

RDBMS

데이터베이스 캐시

칼럼 단위 암호화 솔루션

에이전트

파일 시스템

데이터베이스 캐시

VDS 에이전트

RDBMS

< 칼럼암호화 구현 Architecture> <Vormetric 구현 Architecture>

DB 보안 /내용암호화 적용 시

DB 스키마 /구조 변경

암호화 된 칼럼의

색인검색 /DB 캐시 사용

테이블 스페이스

파일유출 차단백 도어 설치 제어

칼럼 암호화 반드시 필요암 /복호화 에 따른

성능한계로 사용불가

유출 시 암호화된

칼럼 외 열람가능 기능 없음

DB 테이블 암호화

(Vormetic)필요 없음 안정적으로 사용 원천적으로 차단

프로세스 제어를 통해

지원

DB 암호화 솔루션 종류

Column 암호화 VS Full table 암호화

일반적인 DB 암호화 구축 시 고려사항

DB Table 의 Data 를 전체 또는 Column 단위로 암호화 해야 한다 . 다양한 이기종의 DBMS 를 지원해야 하며 , 모든 DB System 을 단일 UI 에서

중앙관리가 가능하여야 한다 . DBMS 의 자체 또는 별도의 DB 접근제어 솔루션과 독립적인 사용자 권한관리가

이루어져야 한다 .( 복호화 권한 , 접근제어 권한 ) 기존의 운영환경의 성능에 영향이 없는 암복호화 성능을 제공해야 한다 .(Data 암호화

이후 Query 에 대한 응답속도가 암호화 전과 차이가 없어야 한다 .) 암호화된 컬럼의 색인 (Index) 검색이 가능해야 한다 .( 일치검색 , 전방일치 , 범위검색

등 ) Data 에 접근한 상세한 history Log 를 남겨야 한다 . 암호화 Key 유출을 막기 위한 강력한 Key 보호 /관리 기능이 제공되어야 한다 . DB Server 내에 어떠한 형태로도 복호화된 Table 또는 Column Data 를 가지고

있지 않아야 한다 . 구축 시 DBMS 의 환경 , DBMS 와 연동되어 있는 Application 의 환경에 변경이

없어야 한다 .

DB 암호화 구축 시 고려사항

Ⅱ. Vormetric Data Security 를 이용한 DB 보안

• 누가 , 무엇을 , 언제 , 어디서 , 어떻게 라는 상황기반의 Data 접근제어 지원• 악성코드 실행 , 허가받지 않은 어플리케이션의 구동을 막음으로써 System 의 무결성을 보호

• 데이터 관리에 영향을 미치지 않는 기밀 Data 암호화• 필요한 데이터만 복호화 하는 고암호화 성능• 모든 데이터 접근요청에 필요한 권한만을 부여

• DB 구조나 스키마에 아무런 영향을 주지 않음• 어플리케이션에도 투명한 암호화를 제공

• 3DES, AES128, AES256 등 강력한 암호화 알고리즘 제공

•기존의 column 단위 암호화 솔루션 취약점인 조건범위검색 성능이 암호화 전과 큰 차이 없음•초기 마이그레이션 시 파일 copy 와 같은 수준의 암호화 성능 제공

제조사 : Vormetric 제품명 : Vormetric Data Security 업무 용도 : DB 암호화

Vormetric Data Security 는 미국 Vormetric

社의 제품으로 Data 암호화 및 상황 기반의

접근제어를 통해 중요 DB Data 의 유출을 차단하고

System 의 무결성을 보호하는 통합 데이터 보안

솔루션입니다 .

Vormetic Data Security 개요

Meta Clear 암호화

투명한 DB연동

암호화 알고리즘

상황기반 접근제어와 무결성 유지

암호화 성능

제품 공급사는 메이저 DB 및 스토리지 솔루션 업체와 전략적 기술파트너쉽 관계로 업계를

선도하는 최고의 기술력을 보유

IBM 의 DB2 와 Informix DBMS 의 암호화

를 위한 OEM 암호화 모듈 전담 공급사

ORACLE Database Vault 제품의 암호화

키관리 시스템 전담 공급사

Symantec 의 Veritas Netbackup 솔루션

에 암호화 , 압축 , 키관리 기술을 제공하는

OEM 모듈 공급사

HP ILM(Information Management

Software) 골드파트너로 최고성능의

보안 스토리지 시스템을 고객에 공급

Vormetric Data Security 제품 인지도

Vormetric Data Security 는 암호화 관련 미국방성 인증인 FIPS 140-2 Level 2(Level 3

for key management) 인증을 가지고 있습니다 .

인증

Vormetric Data Security 는 Table 전체를 암호화 하여 File 에 저장하는 방식으로 암복호화

수행 함으로써 고성능 /DB 투명성의 이점을 제공해 드립니다 .

Vormetric Data Security 아키텍쳐

Table Space

DBMS

• App Server 또는 특정 관리 User 에 의한 DB Data 의 Update 발생

File SystemData File

DB System

App Server

DBA or Dev User

• DBMS 는 Update된 Data 를 실시간으로 File로 저장 .

• Table Space 는 실제 Data 를 가지고 있는 공간이 아닌 Data 를 정리하고 쉽게 찾기 위한 논리적인 구조를 가지는 공간임 .

DB Cache

• DB 암호화란 File System 의 DB Data File 을 암호화 하는 것을 말한다 .

구성

Vormetric Data Security Device 와 System 에 설치된 PEM 과의 통신으로 모든 시스템에

Vormetric Data Security 적용

다양한 이기종의 System 및 OS 와 연동이 가능

제품 구성

투명한 DB 연동

특장점

IT 환경안에서 손쉽게 적용됨 : OS, DB, 어플리케이션 , 데이터 저장소에 변경이 필요하지 않음 .

DB 구조나 스키마에 아무런 영향을 주지 않음 : 유지보수의 용이성 어플리케이션에 완전한 투명하게 암호화를 제공 다른 OS, DB 플렛폼 , 어플리케이션 , 데이터 저장소에 확대 적용 가능함

데이터베이스 환경에서 데이터 보호를 위한 최고의 보안성을 제공함 암호화와 접근 제어의 적용

네트워크 리스너 파일 라이브러리와 실행 파일 오라클 로그와 덤프 (Dump) 파일

암호문 스니핑과 백도어 설치등의 위협으로부터 보호

암호화 알고리즘

특장점

기본적으로 AES256 암호화 알고리즘을 사용하며 , 이외에 AES128, 3DES 암호화 알고리즘을 지원 .(ARIA 알고리즘 탑재 개발 중 )

AES (128, 256), 3DES 암호화 알고리즘 지원 (Aria 개발 진행중 )

초기 마이그레이션 및 온라인 데이터 조회 시 암호화 이전과 동일한 처리 시간이 소요

( 파일 복사 수준의 속도 제공 )

빠른 데이터 암호화

특장점

마이그레이션

초기 데이터

Select

( 조건 일치 검색 )

Select

( 조건 범위 검색 )

Insert

Update

1st

2st

3st

평균

TIMECPU TIMECPU

암

호

화

10% 45s

10% 45s

10% 46s

10% 45s

2% 0.03s

2% 0.02s

2% 0.02s

2% 0.03s

17% 0.14s

16% 0.14s

16% 0.14s

16% 0.14s

50% 9s

50% 10s

50% 9s

50% 9s

50% 6s

50% 12s

50% 12s

50% 10s

30% 47s

30% 46s

30% 47s

30% 47s

2% 0.02s

2% 0.02s

2% 0.04s

2% 0.03s

16% 0.14s

16% 0.14s

16% 0.14s

16% 0.14s

55% 9s

60% 9s

57% 9s

57% 9s

54% 6s

54% 15s

57% 12s

55% 11s

Oracle DB 1000

만건의

Table Size 에 대한

암호화 성능 자료

프로세스 제어

특장점

다양한 접근시도를 차단함으로써 호스트와 Application 의 무결성을 보호함 . 허가받지 않은 Application, 패치 , 소프트웨어 툴의 구동 운영 및 파일 시스템 호출의 실행 악성 코드의 실행

Key 보호 기능

특장점

H/W 의 별도의 ROM 에 Key 를 보관 Vormetic Data Security H/W 와 PEM 간에 Secure Channel(SSL) 을 이용한 Key 배포 H/W 의 Reset Button 또는 UI 상에서의 Configuration Unset 시 모든 Key 삭제 강제적으로 Server 의 H/W 를 열었을 경우 자동적으로 암호화 Key 무효화 Key 를 File 로 Backup 시 암호화해서 Backup 하게 되며 복호화를 위한 Master Key 는 H/w 에서만 보관하고 , 어떠한 User 도 Master Key 에는 접근이 불가능

Multi Clustering

특장점

최대 32 대 까지 Active-Standby 기반의 Multi Clustering 지원 최대 16,000 Hosts 의 중앙 정책 관리가 가능 (Vormetric Data Security 1 대당 500 Hosts 관리 가능 )

Query 에 의한 Return Data 를 정책기반으로 Masking 하는 모듈

DMM(Data Masking Module)

특장점

Data Masking

이름 주민번호 학점

성수제 334-321 3.0

홍길동 341-222 3.5

최성재 123-333 4.5select * from customer;

DB 설정 파일 변조방지

백 도어 실행 방어

테이블 스페이스 파일 유출차단

온라인 무단 유출 차단

DBA/Developer

DB 암호화 (Vormetric Data Security)

비암호화 Backup 방지

보호DB

온라인 접근통제

DBA/Developer

DB 접근제어

Vormetric Data Security 가 제안하는 DB 보안 Architecture

DB 보안 Architecture

구축사례

주요 구축 사례

Secure Hosting

Intellectual Property Protection

Data Privacy Protection

PCI DSS & Audit

고객 사 업종 암호화 목적 /대상

ABN-AMRO 은행PCI DSS & Audit

고객정보 DB(카드 /계좌번호 등 )

eBookers(Orbitz Worldwide 계열사 )

여행사PCI DSS & Audit


WHOLESALE CLUB 대형 유통사PCI DSS & Audit


Carlson(Regent 등 5 개의

호텔브랜드사업 )호텔

PCI DSS & Audit고객정보 DB(카드 /계좌번호

등 )

Greendot 금융PCI DSS & Audit


DSW 대형 쇼핑몰PCI DSS & Audit


MATTEL 최대 장난감 제조 회사PCI DSS & Audit


Classified Ventures 포털사이트PCI DSS & Audit


Cadence반도체 설계 /

전자설계자동화지적 자산 암호화 보호각종 도면 문서 등 파일

BMW 자동차 지적 자산 암호화 보호각종 도면 문서 등 파일

구축사례

인증명 : 국정원 (NIS) 암호 모듈 검증

암호화 인증에 필수 요소인 ARIA 알고리즘 탑재 완료 -2010년 7 월

올해 4 사분기내 암호모듈 검증신청 접수를 목표로 필요한 제반 서류 제출목록 준비 제반 서류의 번역작업 등으로 3 개월 소요 본사에서 미 국방성에서 인증 받은 FIPS 140-2 의 인증을 위해 준비했던 제반 서류 인수완료 FIPS 인증과 NIS 인증에 필요한 제반 서류가 유사하여 (98% 동일 ) 빠른 후속 대응이 가능할 것으로 판단됨

내년 1 사분기 내 시험기관에서 시험을 수행하고 , 검증기관에서 암호모듈 검증서(validation Certificate) 획득 예정

국정원 암호화 인증진행

감사합니다감사합니다

• 작성일 : 2010/10/09• 담당 : 신 상 윤• TEL :010-4842-9153• Mail: [email protected]

Documents

안정적인 DB 보안 환경구축을 위한