Q. RBAC, DAC, MAC의 차이점은?

Q. 역할 기반 접근 제어(RBAC)와 임의적 접근 제어 모델(DAC), 그리고 강제적 접근 통제(MAC)의 차이점은 무엇인가요?

• 역할 기반 접근 제어 (Role-Based Access Control, RBAC): 사용자에게 역할을 할당하여 접근 제어를 하는 방식입니다. RBAC는 조직 내에서 직무, 직책 등 개인의 역할에 따라 결정하여 부여하는 접근 정책으로, 조직의 직무 분할과 보안 정책을 효과적으로 관리할 수 있습니다.
• 임의적 접근 제어 모델 (Discretionary Access Control, DAC): 객체에 대한 접근을 사용자나 그룹의 신분을 기준으로 제한하는 방법입니다. DAC는 객체 소유자의 판단에 따라 권한을 부여하며, 일반적으로 파일이나 디렉토리에 대한 사용자별 권한 설정이 이 방식에 해당합니다.
• 강제적 접근 통제 (Mandatory Access Control, MAC): 주체에게 허용된 접근 권한과 객체에 부여된 허용 등급을 비교하여 접근을 제어하는 방법입니다. MAC는 보안 정책을 강제하기 위해 중앙 집중적으로 관리되며, 각 사용자와 객체에게 보안 레벨을 부여하여 접근을 통제합니다. 주로 군사 기밀이나 기업 내 민감한 정보를 보호하는데 사용됩니다.

재밌게 이해하기

RBAC (역할 기반 접근 제어): 이 방식은 파티에 참석하는 사람들이 특정 역할에 따라 초대장을 받는 것과 같습니다. 예를 들어, 음악 담당, 요리 담당, 서빙 담당 등의 역할이 있고, 각 역할에 따라 다른 권한이 주어집니다. 이렇게 역할에 따라 권한을 관리하는 것이 RBAC입니다.

DAC (임의적 접근 제어 모델): 이 방식은 파티 주최자가 개인적으로 친한 사람들에게만 초대장을 직접 발송하는 것과 같습니다. 파티 주최자가 각각의 친구에게 어떤 권한을 부여할지 자유롭게 결정할 수 있습니다. 이처럼 객체 소유자의 판단에 따라 권한을 부여하는 것이 DAC입니다.

MAC (강제적 접근 통제): 이 방식은 파티 참석자들이 특정 등급에 따라 초대장을 받는 것과 같습니다. 예를 들어, VIP, 일반, 초대자만 등급이 있고, 각 등급에 따라 파티 내에서 접근할 수 있는 영역이 정해져 있습니다. 이처럼 중앙 집중적으로 정해진 등급에 따라 접근을 통제하는 것이 MAC입니다.

Q. 역할 기반 접근 제어(RBAC)에 대해 자세히 설명하시오.

A. 역할 기반 접근 제어 (Role-Based Access Control, RBAC)는 컴퓨터 시스템이나 네트워크 자원에 대한 접근 권한을 사용자의 역할에 따라 관리하는 접근 제어 방식입니다. RBAC은 조직 내에서 직무, 직책 등 개인의 역할에 따라 결정하여 부여하는 접근 정책으로 사용됩니다.

RBAC의 핵심 개념은 사용자, 역할, 권한 및 자원입니다. 사용자는 시스템에 접근하는 개인이고, 역할은 사용자에게 할당되는 특정 직무나 책임을 의미합니다. 권한은 자원에 대한 접근 가능성을 표현하며, 자원은 데이터나 서비스와 같은 시스템 내의 요소입니다.

RBAC의 주요 이점은 다음과 같습니다:

1. 중앙 집중화된 관리: RBAC를 사용하면, 보안 정책 및 권한 관리를 중앙 집중화된 방식으로 처리할 수 있습니다. 이를 통해 일관성을 유지하고 관리 비용을 줄일 수 있습니다.
2. 최소 권한 원칙: RBAC는 사용자에게 필요한 최소한의 권한만 부여함으로써, 보안 위험을 최소화할 수 있습니다.
3. 직무 분할: RBAC는 사용자를 여러 역할로 나누어 관리함으로써, 직무 분할을 통한 보안 강화를 지원합니다. 이는 서로 다른 역할을 가진 사용자 간의 권한 분리를 통해 잠재적인 보안 위협을 줄입니다.
4. 감사 및 모니터링 용이성: RBAC를 사용하면, 사용자의 권한과 역할에 대한 감사 및 모니터링이 용이해집니다. 이를 통해 시스템의 보안 상태를 지속적으로 점검하고 개선할 수 있습니다.

RBAC는 조직의 직무 분할과 보안 정책을 효과적으로 관리할 수 있는 방식으로, 많은 기업 및 조직에서 널리 사용되고 있습니다.