Identity & Access Management

IAM 

디지털 아이덴티티, 접근 정책, 기술을 관리하는 framework(체계, 구조가 갖춰져있는 것)

사용자의 권한에 따라 접근 가능한 정보가 달라진다. 이를 잘 설정하여 보안 강도를 높이려 한다.

이것이 왜 중요하냐면, 컴퓨터의 서로 다른 영역이 긴밀히 연결되는 하이브리드 환경인데, 이때 식별/권한/제어가 더 중요해진다. 

 

Authentication, Authorization, Accounting - AAA Framework

Authentication(인증) : 시스템에 접근 혹은 자원을 요청했을 때 실제 사용자가 맞는지 검증하는 단계

PW - 간단 but 쉽게 까먹음, 가짓수 제한적이기에 brute force 공격 가능, social engineering으로 인한 공격 가능, 여러 사이트 재사용 -> 비밀번호 해싱, 솔팅 등..

생체인증 - 지문/얼굴/홍채/음성 인증이기에 복제가 상대적으로 어려움

Single Sign-On - A 서비스에 이미 인증했으면 A와 신뢰관계가 있는 B 서비스를 로그인하려 할 때 인증 x 

Multi-Factor Authentication - 다중 인증, 은행 등

 

Authorization(인가) : 사용자의 권한을 부여하는 단계, 인증 이후 진행됨. 즉 인증+권한부여

RBAC - 조직 내의 사용자 직무에 따라 접근 권한이 결정되는 것

ABAC - 자원이 가진 다양한 속성에 따라 접근 권한이 결정되는 것(나이, 위치, 직급, 시간 등)

 

Accounting(계정) : 계정 활동에 대한 종합적인 관리로, tracking, logging함

 

Multi-Factor Authentication (Two-Factor Authentication), MFA 기술

인증을 여러번 수행하는 것으로, access 제어를 강화한다.

세 방법 중 하나를 택하는데, 'know - pw, pin번호', 'have - 스마트폰, hw 토큰, 보안 키', 'are - 지문, 얼굴, 홍채' 이다.

are 요인은 간혹 have로 분류하기도 한다.

 

Adaptive Authentication

ex. 30분 전에 한국에서, 방금 일본에서 로그인.. 이런 이상한 상황에는, 적응형으로 상황에 따라 인증을 진행한다.

생체인증 or 핸드폰으로 코드 발송 등..

 

Centralized Governance - 중앙집중형 관리 체계

분산관리보다 관리/통제가 용이하다. 표준화된 형태의 인가 형태를 적용할 수 있다. 

만약 중앙이 뚫리게 되면 큰일~

 

Least Privilege - 최소 권한 부여

 

Automated User Account Management

사용자의 고유한 아이디. ex. 학번 - 졸업자는 접근 권한이 달라질 수 있다. 

계정에 대한 관리가 자동적/즉각적으로 진행돼야 한다.

 

예시1) 금융권

예시2) Cloud 환경