Journal Archive

DB 보안은 데이터의 가용성, 기밀성, 무결성을 확보하며, DB 및 애플리케이션에 대해 보안의 보장을 의미한다. DB에 보안을 위해 데이터 암호화, 데이터 접근제어, 데이터 손실 방지, 데이터 마스킹, DB 감사 등의 보안 기술이 적용되어 운영된다[3]-[5].

DBA(Database Administrator), 웹애플리케이션 서버, 일반 사용자 등 미들웨어에서 DB에 접속하여 데이터를 액세스하며, 접속 방식별로 DB에서 사용자를 식별하지 못할 수도 있고 식별할 수도 있다[6]. PC에서 직접 접속할 때는 사용자를 식별할 수 있고, 접근제어 시스템을 경유할 때는 사용자 식별이 안 되는 예도 있다. 특히 웹애플리케이션 서버에서 접속하는 경우 접속하는 사용자가 웹애플리케이션 서버로 인식되어 DB에서 사용자 식별이 안 된다[7].

웹애플리케이션 서버로부터 DB에 접속하는 경우 DB에서는 사용자를 식별할 수 없고 웹애플리케이션 서버로 접속하는 사용자는 세션을 유지하기 위해 여러 방식으로 사용자 식별 방식을 제공한다[8],[9]. 웹애플리케이션에서 사용자를 식별하는 방법에서 쿠키, 토큰, 세션, 핑거 프린팅, IP주소 등을 이용하는 방식이 있으며, 다른 서비스의 계정 정보를 이용하여 식별하는 방식이 있다[10]-[13].

DB에 저장된 데이터 보호를 위해 데이터 암호화, 데이터 접근제어, 데이터 손실 방지, 데이터 마스킹, DB 감사 등의 여러 가지 보안 기술이 적용되어 운영되지만, 웹애플리케이션 서버에서 접속하는 경우 표 1과 같이 기존 기술들이 소용없게 되는 문제가 있다.

웹애플리케이션 서버에 DB 보안 에이전트를 추가하고 DB 보안 관리 시스템에서 DB에 연동하는 DB 보안 시스템을 구성하였다. 그림 1은 시스템의 전체 구성도로 본 연구에서 제안하는 DB 보안 시스템은 DB 보안 관리 시스템과 DB 보안 에이전트로 구분된다.

Fig. 1. 
Entire system configuration diagram

DB 보안 에이전트는 웹트랜잭션을 수집하는 수집모듈, 사용자 정보를 DB와 연동하는 DB연동 모듈, 수집한 데이터를 DB보안 관리 시스템으로 전송하는 전송모듈, 차단 대상 정보를 DB보안 관리 시스템으로 부터 수신하는 수신모듈, 차단 대상 웹트랜잭션을 차단하는 모듈 등으로 구성되며 이를 통해 웹애플리케이션 서버에서 사용자 식별 정보와 웹트랜잭션 정보를 수집하고 DB에 사용자 식별 정보에 대해 연동 작업을 수행하고, DB 보안 관리 시스템으로부터 전송되어 온 차단 명령을 수신하여 사용자를 차단하는 DB 보안 에이전트에 대해 설계하였다. DB 보안 에이전트는 웹애플리케이션 서버에 플러그인 방식으로 동작하고 비정상적인 사용자가 웹애플리케이션을 통해 DB에 접근하는 것을 차단한다.

그림 2는 DB 보안 관리 시스템의 구성도로 DB 보안 에이전트와 데이터 송수신, DB 및 빅데이터에 데이터 액세스, 차단 이벤트 관리, 사용자 관리, 환경 설정, 통합 보안 분석, 감사 정책관리, 이벤트 이력 관리, 감사 추적 정보 수집 등 9개의 모듈로 구성되고 사용자 관리, 환경 설정, DB 감사 정책관리, DB 감사 추적 정보 수집 및 차단 관리, 웹트랜잭션, 이벤트 관리, 차단 정보 수신 및 저장, DB 통합 보안 분석 등의 세부 기능이 포함한다.

Fig. 2. 
DB security management system configuration diagram

표 2는 제안하는 시스템의 구현 환경이다. IntelliJ와 JDK를 통해 시스템의 개발 환경을 구축하여 DB 보안 웹애플리케이션과 DB 보안 관리 에이전트, 그리고 시험용 웹애플리케이션을 개발하였다. Jetty를 이용하여 개발한 웹애플리케이션을 구동한다. Derby DB에서는 환경 설정과 사용자 정보를 저장한다. Elasticsearch 클러스터 환경을 구축해 감사 추적 정보, 웹트랜잭션, 이벤트 정도를 저장하는 빅데이터 저장소로 사용하였으며, Kibana를 이용해 빅데이터 분석 및 모니터링에 활용하였다. Tomcat을 이용하여 시험용 웹애플리케이션을 구동해 기능을 시험하였다.

DB 보안 에이전트 구현을 위해 자바 에이전트를 구현하였다. 그림 4는 JAVA 에이전트 요구사항에 따라 에이전트 메인 클래스인 JavaAgent.class 클래스와 MANIFEST.MF가 JVM에 적재될 때 재정의를 실행하는 AgentTransformer.class와 기타 에이전트 기능들이 정의된 클래스들에 대해 agent.jar 형식으로 압축되어 실행된다.

Fig. 4. 
JAVA agent

이렇게 구성된 에이전트는 사용자가 호출하여 웹애플리케이션 서버에서 처리가 시작되는 클래스에 대해 클래스 로더에 의해 메모리에 적재 될 때 클래스를 재정의하여 웹트랜잭션 정보가 수집될 수 있도록 구현되었고, 사용자의 식별 정보로는 HTTP 요청 헤더 클래스인 HttpServletRequest 객체에서의 getRequestedSessionId() 메소드를 호출하여 수집하였다. 수집된 정보는 웹애플리케이션에서 DB에 대해 SQL을 실행하기 바로 전에 DB 세션 정보 중에서 CLIENT_ID에 정보를 설정하는 프로시저를 호출함으로써 사용자 식별 정보를 연동하도록 구현하였다. 또한 DB 보안 관리 시스템에서 수신된 정보를 차단 목록에 넣고, 이후 호출에 대해 세션 아이디를 비교해 차단한다.

DB 보안 관리 시스템은 크게 감사 추적 정보 수집, 사용자 관리 및 환경 설정, 차단 이벤트 관리, 감사 정책관리, 이벤트 이력 관리, DB와 빅데이터 데이터 액세스, 데이터 송수신 및 통합 보안 분석과 데이터 보안 에이전트 등의 9개 모듈로 구성된다. JAVA, CSS, JSP/Servlet 등으로 웹애플리케이션을 개발하여 jetty 웹애플리케이션 서버에서 구동될 수 있도록 구현하였다. 웹브라우저를 이용하여 접속해 웹 콘솔에 로그인하여 사용한다.

그림 5는 감사 정책관리 화면으로 DB에 설정된 감사 정책을 조회하고 정책을 삭제 및 추가한다. 그림 6은 수집된 웹트랜잭션 정보가 시각화 도구인 Kibana를 이용해 Elasticsearch에 저장된 내용을 조회한 화면이다.

Fig. 5. 
Audit policy management screen

^*Implementation screen

Fig. 6. 
Web transaction information inquiry screen

그림 7은 통합 보안 분석을 위해 구현한 화면으로 Elaiarch의 Query DSL에 Aggregation을 적용해 웹트랜잭션 추이 분석 및 분포도가 가능하다.

Fig. 7. 
DB integrated security analysis screen

^*Implementation screen

SQL Injection 공격 시 웹애플리케이션서버를 이용해 DB 내의 주요한 개인 정보를 탈취하는 비정상적인 사용자를 탐지하고 차단하는 기능을 시험하는 시나리오이다. 시험을 위해 사용한 테이블은 USER과 BOARD이다. BOARD 테이블에서 조회 조건에 해당하는 데이터를 조회하는 정상 SQL에 대해 SQL Injection을 통하여 BOARD 테이블과 개인 정보가 저장된 USERS 테이블에 대한 모든 데이터가 조회되도록 하는 시나리오를 구성하였다. 표 3과 4는 BOARD와 USER 테이블이다.

BOARD 테이블에서 검색하고자 하는 문자열을 입력하여 정상적인 조회가 되는지 확인하며, 검색하는 문자열에 SQL Injection 문자열을 추가하여 USERS 테이블에 있는 내용까지 조회되는지 확인하였다. 또한 SQL Injection으로 USERS 테이블이 조회 시 DB 감사 정책으로 설정한 USERS_TABLE_POLICY에 따라 감사 추적 정보가 발생하고, DB 보안 관리 시스템에서 추적 정보를 수집하여 차단 이벤트가 발생하며, DB 보안 에이전트로부터 차단 메시지가 전송되어 동일한 사용자의 요청에 대해 차단되는지 확인하였다.

그림 8은 사용자가 조회 조건을 입력하고 조회할 때 BOARD 테이블에서 전체 3건 데이터 중에서 ‘War’ 문자열이 포함된 2건이 조회된다.

Fig. 8. 
Audit policy management screen

^*Implementation screen

또한 감사 추적 정보 발생으로 인해 DB 보안 관리 시스템에서 차단 이벤트 발생이 확인되었다. 그림 9는 차단 이벤트 발생 상황으로 세션 아이디, 차단 시작 시각, 차단 건수 등의 정보가 관리된다.

Fig. 9. 
Blocking event occurrence screen

^*Implementation screen

그림 10은 DB 보안 에이전트에서 해당하는 사용자의 웹트랜잭션이 차단된 뒤에 조회 버튼을 클릭 시 DB 보안 에이전트에서의 차단 메시지인 ‘bad request’가 화면에 출력되어 정상 차단이 확인되었다.

Fig. 10. 
User blocking result screen

^*Implementation screen

웹애플리케이션에서 DB로 접속하는 환경에서 기존 DB 보안 기술이 적용되지 않는 문제를 해결하기 위해, 설계된 DB 보안 관리 시스템을 구현하고 시험하였다. 이 시스템은 웹애플리케이션 서버에 플러그인되어, 웹트랜잭션 정보 수집, 비정상 사용자 차단, 사용자 식별 정보 수집 및 DB 연동 등을 수행하는 보안 에이전트와 DB 감사 정책관리 및 통합 보안 분석 기능을 포함한다.

시험을 위해, DB에 사용자 정보와 게시판 데이터를 입력하고, 특정 DB 사용자가 사용자 정보 테이블에 대한 조회를 실행했을 때 감사 추적 정보가 발생하도록 설정하였다. 또한, 시험용 웹애플리케이션을 개발하여 SQL Injection 공격 시나리오를 포함한 조회 시험을 진행하였다. 이 과정에서 정상적으로 조회되는 데이터와 함께 개인 정보가 포함된 데이터가 조회됨을 확인하였고, 이에 따라 DB 감사 추적 정보가 생성되고, 해당 사용자에 대한 차단이 이루어짐을 확인했다.

이러한 시험 결과는 제안된 시스템이 DB 내에서 사용자 식별 및 감사 정책 위반 사용자를 효과적으로 차단하는 기능을 정상적으로 수행하며, 기대했던 목적이 달성됨을 보여주었다.