CISSP 연구 노트: 보안 운영 관리

16장 보안 운영 관리

16.1 보안 운영 개념 적용

• 보안 운영 관행의 주요 목적은 시스템 내 정보 자산의 보안을 보장하는 것입니다.

16.1.1 요구사항과 최소 권한을 파악하세요.

• 필요한 것이 무엇인지 파악하고 최소한의 권한을 갖는 것은 모든 IT 보안 환경에서 채택할 가치가 있는 두 가지 표준 원칙입니다.
  • 필요한 액세스 권한 파악: 요구 사항을 사용하여 사용자에게 권한을 부여하고 기밀 유지를 위해 할당된 작업을 완료하는 데 필요한 데이터 또는 리소스에 대한 액세스 권한만 부여합니다.
  • 최소 권한
    • 무결성을 보호하기 위해 주체에게 할당된 작업을 수행할 수 있는 권한만 부여되고 작업 작업 이외의 권한은 부여하지 않음을 나타냅니다.
    • 최소 권한의 원칙은 데이터 액세스뿐만 아니라 시스템 액세스에도 적용됩니다.
• 기타 인사 개념:
  • Grant: Grant Privileges 사용자가 획득하는 일련의 권한을 설계합니다.
  • 집계: 최소 권한 환경의 집계는 사용자가 시간이 지남에 따라 수집하는 권한 집합입니다.
  • 전이적 신뢰: 비신뢰 전이는 두 보안 도메인 간에 발생하며, 신뢰 전이는 두 보안 도메인과 모든 하위 도메인 간의 신뢰 관계를 확장합니다.

16.1.2 직무와 책임의 분리

• 직무와 책임의 분리는 한 사람이 중요한 기능과 전체 시스템을 제어할 수 없도록 보장하여 한 사람이 시스템이나 보안을 손상시킬 수 없도록 보장합니다.
• 업무 분리 전략은 상호 지원적이고 균형 잡힌 시스템을 만듭니다.
  • 특권의 분리
    • 권한 분리는 작업과 책임의 분리 개념과 유사합니다. 이는 최소 권한의 원칙을 기반으로 하며 애플리케이션과 프로세스에 적용됩니다. 권한 분리 전략을 위해서는 세분화된 권한 및 사용 권한을 사용해야 합니다.
  • 책임 분담
    • 직무 분리는 작업 및 책임 분리 전략과 유사하지만, 개인이 충돌을 일으킬 수 있는 추가 시스템 액세스 권한을 갖지 않도록 하는 것을 목표로 최소 권한의 원칙도 포함합니다.
  • 이중 제어
    • 책임 분담과 유사하게 두 사람이 주요 업무에 동의해야 하므로 평행한 상호 검토가 보장되고 공모와 기만의 가능성이 줄어듭니다.

16.1.3 직무 순환

• 보안 제어로서의 직무 순환은 동시 검토를 제공하고 사기를 줄이며 교차 교육을 촉진할 수 있습니다.

16.1.4 강제 휴가

• 사기 및 공모를 탐지하는 데 도움이 되는 동료 검토 형식을 제공합니다.

16.1.5 특수 권한 모니터링

• 특수 권한 작업은 많은 관리자 및 민감한 작업을 수행하기 위해 특수 액세스 또는 높은 권한이 필요한 활동입니다.
• 일반적으로 모든 유형의 관리자 계정은 높은 권한을 갖고 있으므로 모니터링해야 합니다. 사용자에게 전체 관리 액세스 권한을 부여하지 않고도 사용자에게 높은 권한을 부여하는 것도 가능합니다.

16.1.6 정보 수명주기 관리

• 보안 제어는 데이터 라벨링, 처리, 저장 및 적절한 파기를 포함하여 수명주기 전반에 걸쳐 정보를 보호합니다.
  • 데이터 태그: 사용자가 데이터의 가치를 쉽게 식별할 수 있도록 데이터를 생성한 직후에 데이터에 태그를 지정해야 합니다.
  • 데이터 처리: 주로 데이터 전송과 관련되며 전송 중에 데이터가 저장될 때와 동일한 수준의 보호를 제공하는 것이 중요합니다.
  • 데이터 저장: 데이터가 저장되는 장소는 보호되고 유실되지 않도록 보호되어야 하며, 데이터는 주로 디스크 드라이브에 저장되며, 중요한 데이터는 주기적으로 백업되어야 합니다.
  • 데이터 파기: 읽을 수 없는 방식으로 파기합니다.

16.1.7 서비스 수준 계약

• SLA(서비스 수준 계약)는 성능 기대치가 충족될 것을 보장하고 해당 기대치를 충족하지 못할 경우 처벌을 가하는 조직과 외부 기관 간의 계약입니다.

16.1.8 인원 안전에 주의

• 직원 안전에 주의를 기울이는 것은 안전 작업에 있어 매우 중요한 안전 요소입니다.

16.2 자원 제공 및 관리

• 보안 운영 지식 영역의 또 다른 요소는 수명주기 전반에 걸친 자산 할당 및 관리입니다.

16.2.1 하드웨어 및 소프트웨어 자산 관리

• 하드웨어 목록
  • 많은 조직에서는 데이터베이스와 인벤토리 애플리케이션을 사용하여 인벤토리를 계산하고 하드웨어 자산을 추적합니다.
  • RFID(무선 주파수 식별) 태그를 사용하면 재고 계산에 소요되는 시간을 줄일 수 있습니다.
  • 민감한 데이터를 보유하는 저작 미디어 장치도 리소스로 간주됩니다.
• 소프트웨어 라이선스
  • 조직에서는 소프트웨어를 구입하고 라이센스 키를 사용하여 소프트웨어를 활성화하는 경우가 많습니다. 소프트웨어 라이센스는 시스템에 무단 소프트웨어 설치가 없도록 보장합니다.

16.2.2 물리적 자산 보호

• 물리적 자산은 IT 하드웨어 외에 사무실 건물 및 내부 시설, 울타리, 장애물, 보안, CCTV 시스템 등 모든 물리적 시설을 포함합니다.

16.2.3 가상자산 관리

• 상당한 비용 절감을 달성하기 위해 조직은 점점 더 많은 가상화 기술을 사용하고 있습니다. 가상 자산은 다음과 같습니다.
  • 가상 머신(VM)
  • 소프트웨어 정의 네트워킹(SDN): 제어 평면과 데이터 평면 분리
  • Virtual Storage Area Network(VSAN) 가상화 스토리지 장치

16.2.4 클라우드 기반 자산 관리

• 클라우드 서비스 모델:
  • SaaS(Software as a Service): 웹 브라우저를 통해 제공되는 완전한 기능의 애플리케이션
  • PaaS(Platform as a Service): 하드웨어, 운영 체제, 애플리케이션을 포함한 컴퓨팅 플랫폼을 소비자에게 제공합니다.
  • IaaS(Infrastructure as a Service): 운영 체제와 애플리케이션을 직접 설치하는 소비자에게 서버, 스토리지, 경우에 따라 네트워크 리소스를 포함한 기본 컴퓨팅 리소스를 제공합니다.
• 클라우드 모드:
  • 퍼블릭 클라우드: 모든 소비자 임대 자산은 외부 CSP에 의해 관리됩니다.
  • 프라이빗 클라우드: 자체 리소스를 구성하여 프라이빗 클라우드를 생성하고 관리합니다.
  • 커뮤니티 클라우드: 둘 이상의 조직이 클라우드 인프라 자산을 제공합니다.
  • 하이브리드 클라우드: 두 개 이상의 클라우드가 결합된 형태

16.2.5 미디어 관리

• 미디어 관리는 미디어와 미디어에 저장된 데이터를 관리하고 보호하기 위한 수단을 사용하는 것입니다.
• 미디어에 민감한 정보가 포함되어 있는 경우 해당 정보는 엄격한 접근 통제가 가능한 안전한 장소에 저장되어야 합니다.
• 미디어 관리에는 컴퓨터 시스템의 장치 액세스를 제한하기 위한 기술적 통제의 사용도 포함될 수 있습니다.
  • 테이프 미디어 관리
    • 테이프는 부식으로 인해 손상되기 쉬운 경우가 많으므로 두 개의 백업 복사본을 보관하는 것이 가장 좋습니다.
    • 저장 공간의 청결도는 테이프 미디어 장비의 수명과 가용성에 직접적인 영향을 미칩니다.
  • 휴대 기기
    • 모바일 장치에는 스마트폰과 태블릿이 포함됩니다.

16.2.6 미디어 수명주기 관리

• 수명이 다한 백업 미디어는 폐기합니다.

16.3 구성 관리

• 구성 관리는 시스템을 일관되고 안전한 상태로 보호하고 수명주기 전반에 걸쳐 해당 상태를 유지하는 데 도움이 됩니다.

16.3.1 기준선

• 시스템이 보안 기준에 따라 배포되면 시스템의 보안이 더욱 강화됩니다.
• 체크리스트와 함께 기준선을 생성할 수 있습니다. 수동 기준선의 잠재적인 오류를 줄이기 위해 자동화된 방법을 사용하여 기준선을 구현하는 데 스크립트 및 운영 체제 도구가 사용됩니다.

16.3.2 미러링을 사용하여 기준선 만들기

• 관리자는 컴퓨터에 운영 체제와 필요한 응용 프로그램을 설치합니다.
• 관리자는 이미징 소프트웨어를 사용하여 시스템 이미지를 캡처합니다.
• 이미지를 시스템에 수동으로 배포

16.4 변경 관리

• 변경 관리는 무단 변경으로 인해 발생하는 예상치 못한 중단을 줄이는 데 도움이 되며, 변경 관리의 목적은 변경으로 인해 중단이 발생하지 않도록 하는 것입니다.
• 변경으로 인해 보안이 약화될 수 있음

16.4.1 보안 영향 분석

• 전문가가 변경 관리를 평가하고 보안 영향을 식별한 후 직원은 변경 사항 구현을 시작합니다.
• 일반적인 변경 단계:
  • 변경 요청: 직원이 변경을 요청합니다.
  • 변경 사항 검토: 전문가가 변경 사항을 검토합니다.
  • 변경 승인/거부: 전문가가 변경 사항을 승인 및 거부합니다.
  • 변경 계획 및 구현:
  • 문서 변경: 모든 관련 사람들이 변경 사항을 숙지할 수 있도록 변경 사항을 문서화합니다.

16.4.2 버전 관리

• 버전 관리(Version Control)는 소프트웨어 봉쇄 관리에 사용되는 버전 관리를 말하며, 특정 형태의 버전 관리 시스템을 통해 변경 사항을 관리할 수 없는 경우 변경으로 인한 웹사이트 마비 현상이 발생할 수 있다.

16.4.3 구성 문서

• 구성 문서는 현재 시스템 구성을 결정하고, 시스템 소유자와 시스템 목표를 정의하고, 기본 변경 사항에 적용합니다.

16.5 패치 관리 및 취약점 감소

• 패치 관리와 취약점 관리를 동시에 사용하여 위협으로부터 기업 시스템을 보호합니다.

16.5.1 패치 관리

• 패치는 모든 유형의 코드 작성에 사용되는 일반적인 용어입니다.
• 패치 관리를 위한 일반적인 단계
  • 패치 평가: 공급업체가 패치를 출시한 후 관리자는 패치를 평가하고 해당 패치가 자사 시스템에 적합한지 결정합니다.
  • 테스트 패치: 관리자는 패치가 다른 부작용을 일으키지 않는지 확인하기 위해 언제든지 단일 시스템에 대한 패치를 테스트합니다.
  • 패치 승인: 패치를 테스트하고 보안성을 확인한 후 패치를 승인합니다.
  • 패치 배포: 테스트 및 승인 후 관리자가 패치를 배포합니다.
  • 패치가 배포되었는지 확인: 패치가 배포된 후 관리자는 시스템 패치가 여전히 유효한지 확인하기 위해 정기적으로 시스템을 테스트하고 감사합니다.

16.5.2 취약점 관리

• 취약점 관리란 정기적인 취약점 탐지, 평가 및 관련 위험을 줄이기 위한 적절한 조치를 취하는 것을 의미하며, 취약점 관리 프로그램의 공통 요소는 취약점 스캔 및 정기적인 취약점 평가입니다.

16.5.3 취약점 검색

• 취약점 스캐닝은 시스템과 네트워크에서 알려진 보안 문제를 테스트하는 데 사용되는 소프트웨어 도구입니다. 공격자는 취약점 스캐닝을 사용하여 시스템과 네트워크의 취약점을 탐지합니다.

16.5.4 취약성 평가

• 취약성 평가에는 일반적으로 취약성 스캔 결과가 포함되며, 취약성 스캔 평가는 위험 분석 및 위험 평가의 일부인 경우가 많습니다.

16.5.5 일반적인 취약점 및 공개

CVE(Common Vulnerability Exposure) 목록인 CVE 데이터베이스는 조직에 패치 관리 및 취약점 관리 생성의 편의성을 제공합니다.