토픽 51 / 210·인증 및 접근제어

접근제어 (Access Control)

주체(사용자/프로세스)가 객체(자원/데이터)에 접근할 때 보안 정책에 따라 허용/거부를 결정하는 보안 체계

특징: 최소권한 원칙, 직무분리, 식별→인증→인가 순서

구성요소: 주체(Subject), 객체(Object), 권한(Permission), 정책(Policy)

DAC: 소유자 재량 권한 부여, ACL 기반, 유연하나 트로이목마 취약, Unix/Windows NTFS

MAC: 중앙 관리자 보안 등급 기반 강제 통제, BLP/Biba 모델, 소유자 변경 불가, SELinux/군사

RBAC: 역할(Role) 매개 권한 관리, 관리 용이, 역할 폭발 문제, AWS IAM/Azure RBAC

ABAC: 주체/객체/환경 속성 평가로 동적 권한 결정, 세밀한 제어, Zero Trust 적합, 정책 복잡

원칙: 최소권한, 직무분리(SoD), Need-to-Know, 기본 거부(Deny by Default)

구현: ACL(접근제어목록), CL(Capability List), ACM(접근제어행렬)

비교: DAC(소유자 재량/유연/보안 약함) vs MAC(중앙 강제/엄격) vs RBAC(역할/관리 용이) vs ABAC(속성/동적)

연관: IAM, RBAC, ABAC, BLP/Biba, Zero Trust