KR20100001524A - 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법 - Google Patents

시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법 Download PDF

Info

Publication number
KR20100001524A
KR20100001524A KR1020080061460A KR20080061460A KR20100001524A KR 20100001524 A KR20100001524 A KR 20100001524A KR 1020080061460 A KR1020080061460 A KR 1020080061460A KR 20080061460 A KR20080061460 A KR 20080061460A KR 20100001524 A KR20100001524 A KR 20100001524A
Authority
KR
South Korea
Prior art keywords
access control
role
user
security
control system
Prior art date
Application number
KR1020080061460A
Other languages
English (en)
Other versions
KR100970667B1 (ko
Inventor
김상철
김기현
Original Assignee
주식회사 레드게이트
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 레드게이트 filed Critical 주식회사 레드게이트
Priority to KR1020080061460A priority Critical patent/KR100970667B1/ko
Publication of KR20100001524A publication Critical patent/KR20100001524A/ko
Application granted granted Critical
Publication of KR100970667B1 publication Critical patent/KR100970667B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • G06F21/125—Restricting unauthorised execution of programs by manipulating the program code, e.g. source code, compiled code, interpreted code, machine code
    • G06F21/126—Interacting with the operating system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 임의적 접근통제, 강제적 접근통제, 역할기반 접근통제 등 별개의 접근통제 기능을 시스템 관리자가 사용할 경우 정책의 중복 등 관리의 어려움이 발생하므로 이를 피하기 위하여 강제적 접근통제 시스템을 확장하여 임의적 접근통제를 포함하는 역할기반 접근통제 기능을 제공할 수 있도록 함으로써 여러 접근통제 정책을 체계적으로 활용할 수 있도록 한다.
역할기반, 강제적, 임의적, 접근통제, 보안커널, 운영체제보안, RBAC, MAC, DAC, Access Control, Security Kernel, Secure OS

Description

시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법{METHOD FOR EXPANDING THE SECURITY KERNEL WITH SYSTEM FOR PRIVILEGE FLOW PREVENTION BASED ROLE}
본 발명은 프로세스 상태 정보에 기반하여 강제적 접근통제에서 임의적 접근통제를 포함하는 역할기반 접근통제로의 보안커널 확장 방법에 관한 것이다.
기본적인 역할기반 접근통제(Core RBAC) 모델은 도 2와 같다.
사용자(USER,)(201)는 프로세스 등 주체를 의미하며 사용자 속성으로는 UID, GID, 보안등급(Security Level), 보호범주(Clearance) 등이 있다. 역할(ROLE)(202)은 책임과 권한에 연관된 의미로 보안관리자, 시스템 관리자 등 조직의 수행 기능을 의미하며 특정 역할에 대하여 사용자를 할당하는 것을 UA(User Assignment)라 한다. 사용자와 활성화된 역할의 부분집합과의 매핑한 것을 세션(Session)(203)이라 하며 세션에 의해 활성화된 역할(session_roles)과 세션과 연관된 사용자(session_users)가 각 세션에 할당된다.
객체(OBS)(204)는 사용자의 접근을 통제할 시스템 자원으로 파일, 디렉토리 등을 의미하며 오퍼레이션(OPS)(205)는 프로그램의 접근모드 즉, 읽기, 쓰기, 실행 등을 표현한다. 객체(OBS)(204)와 오퍼레이션(OPS)(205)의 관계를 허가(PERM)라고 정의한다.
역할기반 접근통제 정책은 역할(ROLE)(202)에 허가(PERM)를 할당함으로써 표현되는 허가할당(PA, Permission Assignment)에 의하여 결정된다.
대부분 역할기반 접근통제 제품 들은 상기 Core RBAC 모델을 따르고 있으며 이를 발전시켜 Hierarchical RBAC 모델이나 Constrained RBAC 모델이 구현된 경우도 있다.
보안커널을 적용하고 있는 운영체제보안시스템은 국가정보원의 "등급기반 접근통제시스템 보호프로파일" 또는 "역할기반 접근통제시스템 보호프로파일"에 기반하여 개발되어 있다.
"등급기반 접근통제시스템 보호프로파일"을 사용하여 개발된 제품들은 강제적 접근통제를 먼저 수행하고 나중에 임의적 접근통제를 수행하거나 먼저 임의적 접근통제를 수행하고 나중에 강제적 접근통제를 수행하도록 구성되어 있다.
"역할기반 접근통제시스템 보호프로파일"을 사용하고 있는 제품들은 Core RBAC 모델에 Hierarchical RBAC 모델이나 Constrained RBAC 모델을 추가하여 구성되어 있다.
따라서 상기의 문제점을 해결하고자 하는 본 발명에서는 역할기반 접근통제 모델에서의 사용자(USER)를 로그인 사용자(LOGIN USER)와 프로세스 사용자(PROCESS USER)로 분리하며 관리자는 응용에서 로그인 사용자 프로파일을 구성하고 보안 커널에서 프로세스 속성 통제를 통하여 프로세스 사용자 프로파일로 재구성한다.
또한 역할(ROLE)에 대하여 사용자를 할당함에 있어 사용자 프로파일을 로그인 시점에서의 사용자 프로파일과 작업 시점에서의 사용자 프로파일로 구분하여 역할과 매핑시킴으로써 접근통제 적용시 프로세스 사용자 상태 속성을 반영하도록 한다.
본 발명에서는 역할기반 접근통제 모델에서의 허가할당(PA, Permission Assignment)을 역할(ROLE)에 대한 허가할당(PA-R, PA for the Role)과 프로세스 사용자(PROCESS USER)에 대한 허가할당(PA-U, PA for the process User)로 분리하여 강제적 및 임의적 접속통제에 사용하는 보안속성을 역할기반 접근통제에서 사용할 수 있도록 한다.
또한 기존 강제적 접근통제 기능을 제공하는 보안커널을 기반으로 하므로 보안커널에서는 먼저 보안속성에 의한 강제적 접근통제를 수행하고 강제적 및 임의적 접근통제에서 사용하는 사용자 속성과 본 발명에서 정의한 역할에 기반하여 역할기반 접근통제 기능을 수행한다.
본 발명의 역할기반 접근통제 모델에서 이루고자 하는 기술적 과제는, 역할기반 접근통제 모델에서의 사용자(USER)(201, 301)를 로그인 사용자(LOGIN USER)(302)와 프로세스 사용자(PROCESS USER)(303)로 분리함으로써 프로세스 사용자(PROCESS USER) 정보를 로그인 시점에서의 사용자 정보뿐만 아니라 작업 시점에서의 프로세스 사용자 상태 및 보안상태 정보를 사용자(USER) 정보로 사용할 수 있도록 방법을 제공하는 것이다. 또한 역할(ROLE)(304)에 사용자를 할당함에 있어서도 로그인 시점의 사용자와 작업 시점에서의 프로세스 소유자가 모두 고려될 수 있어 세션(SESSION)(305)이 할당된다.
본 발명에서 객체(OBS)(306), 오퍼레이션(OPS)(307), 허가(PERM)(308)의 개념은 상기 Core RBAC 모델에서의 정의도 동일하며 객체(OBS)(306)에는 강제적 접근통제에서 사용하는 보안등급(Security Level) 및 보호범주(Clearance)를 포함한다.
또한 본 발명이 이루고자 하는 다른 기술적 과제는, 역할기반 접근통제 모델에서의 허가할당(PA, Permission Assignment)(206)을 역할(ROLE)에 대한 허가할당(PA-R, PA for the Role)(304)과 프로세스 사용자(PROCESS USER)에 대한 허가할당(PA-U, PA for the process User)로 분리하여 강제적 및 임의적 접속통제에 사용하는 보안속성을 역할기반 접근통제에서 사용하게 함으로써 Hierarchical RBAC 모델 등을 사용하지 않고 본 발명의 RBAC 모델에서 제한 조건이 나올 수 있도록 방법을 제공하는 것이다.
또한 본 발명이 이루고자 하는 다른 기술적 과제는, 프로세스 사용자(303) 정보인 프로세스 사용자 프로파일(309)에 강제적 접근통제에서 사용하는 주체의 보 안등급과 보호범주를 포함시키고 객체(OBS) 정보인 객체(OBS) 프로파일(310)에 객체의 보안등급과 보호범주를 포함시킴으로써 역할기반 접근통제 모델 내에서 강제적 접근통제까지 이루어지도록 방법을 제공하는 것이다.
따라서 본 발명은, 임의적 접근통제, 강제적 접근통제, 역할기반 접근통제 등 별개의 접근통제 기능을 시스템 관리자가 사용할 경우 정책의 중복 등 관리의 어려움이 발생하므로 이를 피하기 위하여 강제적 접근통제 시스템을 확장하여 임의적 접근통제를 포함하는 역할기반 접근통제 기능을 제공할 수 있도록 함으로써 여러 접근통제 정책을 체계적으로 활용할 수 있도록 하는 것이다.
도 3은 본 발명에서 이루고자 하는 역할기반 접근통제 모델이다.
상기 기술적 과제를 달성하기 위해 본 발명에 따른 프로세스 상태 정보에 기반한 강제적 접근통제에서 역할기반 접근통제으로의 보안커널(운영체제보안시스템) 확장 방법은 사용자 속성 설정부(101), 역할 설정부(102), OBS 및 OPS 설정부(103), PA 설정부(104), 시스템콜 제어부(105), 프로세스 사용자 속성 통제부(106), 강제적 접근통제부(107), 역할기반 접근통제부(108)으로 구성된다.
도 1은 본 발명에서 프로세스 상태 정보에 기반한 강제적 접근통제에서 역할기반 접근통제으로의 보안커널 확장 방법을 나타낸 전체 시스템 구성도이며 크게 보안정책 설정부와 보안기능 수행부로 구분된다.
먼저 USER 속성 설정부(101)부터 PA 설정부(104)까지는 강제적 접근통제에서 역할기반 접근통제으로의 보안커널 확장 시스템에 대한 보안정책 설정부이다. (a) 사용자(USER) 속성 설정부(101)에서는 사용자에서 대하여 UID(User ID), GID(Group ID), 보안등급, 보안범주 등으로 구성된 사용자 프로파일(109)을 설정, 변경하며 이를 커널에 저장한다. (b) 역할(ROLE) 설정부(102)에서는 (a)의 사용자 속성 정보에 기반하여 역할(ROLE)을 정의하고 ROLE 테이블(113)로 구성하며 커널에 저장한다. (c) 객체(OBS) 및 오퍼레이션(OPS) 설정부(103)에서 객체(OBS)에 대한 보안속성을 포함하여 객체 속성 정보로 OBS 프로파일(111)로 구성하고 객체(OBS)에 대한 오퍼레이션(OPS)을 정의하여 PERM 테이블(111)을 구성하며 커널에 저장한다. (d) 허가할당(PA) 설정부(104)에서는 사용자(USER) 속성 설정부(101) 또는 역할(ROLE) 설정부(102)에서 생성된 사용자 정보와 객체(OBS) 및 오퍼레이션(OPS) 설정부(103)에서 생성된 허가(PERM) 정보를 이용하여 PA 테이블(112)로 설정한다. 여기서 PA 테이블(112)은 역할기반 접근통제 정책을 가진 ACL(Access Control List)로 커널에 저장된다.
시스템콜 제어부(105)부터 역할기반 접근통제부(108)까지는 실질적인 강제적 접근통제와 이를 기반으로 확장된 역할기반 접근통제를 기능을 수행하는 보안기능 수행부이다. UNIX 등 서버에서 응용 이벤트가 수행되어 운영체제 시스템콜이 발생하면 (e) 시스템콜 제어부(105)에서는 읽기, 쓰기, 실행 등 접근통제에 필요한 시스템콜만을 필터링한다. (f) 프로세스 사용자 속성 통제부(106)에서는 프로세스 상 태 조건에 따라 프로세스 사용자 프로파일(110)의 생성, 상속, 변경 여부를 결정한 후 USER 프로파일과 현재의 프로세스 상태 정보를 기반으로 프로세스 사용자 프로파일(110)을 구성한다. (g) 강제적 접근통제부(107)에서는 프로세스 사용자 프로파일(110)에서의 보안속성과OBS 프로파일(111)에서의 객체 보안속성을 비교하여 접근허가 여부를 결정한다. (h) 역할기반 접근통제부(108)에서는 역할기반 접근통제 정책을 가지고 있는 PA 테이블(112)과 프로세스 사용자 프로파일(110)을 비교하여 접근허가 여부를 결정한다.
도 4는 본 프로세스 상태 정보에 기반한 강제적 접근통제에서 역할기반 접근통제으로의 보안커널 확장 방법에 대한 전체 순서도이다. 도 4는 도 3에서의 보안정책 설정부(101~104)에서 생성된 정보 DB(110~315)를 이용하여 접근통제 기능을 수행하는 보안기능 수행부(105~108)의 시스템 순서도를 나타내고 있다.
시스템에서 이벤트가 발생하여 운영체제 시스템콜이 호출되면 읽기, 쓰기, 실행 등 접근통제 관련 시스템콜인지 판단한다(401). 접근통제와 관련된 운영체제 시스템콜일 경우 보안기능 우선적으로 수행하기 위해 운영체제 시스템콜을 인터셉터하고(402) 접근통제와 관련없는 운영체제 시스템콜일 경우 바이패스시켜 운영체제 시스템콜이 수행되도록 한다.
운영체제 시스템콜 인터셉터(402)에서는 운영체제 시스템콜을 저장하고 강제적 접근통제와 임의적 접근통제를 수행하기 위한 보안기능을 호출한다.
강제적 접근통제와 임의적 접근통제를 수행하기 위한 보안기능에서는 모든 프로세스에 상태정보와 보안속성 정보를 프로세스 사용자 프로파일로 유지하므로 프로세스 사용자 프로파일(413)과 비교하여 새로이 생성된 프로세스인지 검사한다(403). 새로이 생성된 프로세스인 경우 최초 로그인 확인인지를 검사(404)하고 새로이 생성된 프로세스가 아닌 경우 프로세스 상태 변화를 점검(405)한다.
최초 로그인일 경우 로그인 사용자 프로파일(412)과 프로세스 상태 정보 등 로그인 사용자 정보를 수집하고(406) 이를 기반으로 프로세스 사용자 속성 정보를 구성하여 프로세스 사용자 프로파일(413)에 새로운 프로세스 사용자 속성을 생성한다(407).
최초 로그인이 아니면서 사용자에 의해 새로이 생성된 프로세스인 경우 프로세스 사용자 프로파일(413)에서 상위 프로세스에 대한 정보를 찾아 새로운 프로세스 사용자 프로파일(413)로 생성함으로써 속성을 상속한다(407).
프로세스 상태 변화 점검(405)에서 프로세스의 로그인 사용자와 다른 사용자 정보로 변경되거나 보안속성 위임 등으로 인하여 보안속성이 변경되었을 경우 프로세스 사용자 프로파일(413)의 속성을 변경하고(407) 강제적 접근통제 처리 정 수집(408) 기능을 수행한다.
프로세스 상태 변화 점검(405)에서 프로세스 상태 변화가 없을 경우 강제적 접근통제 처리 정 수집(408) 기능을 수행한다.
강제적 접근통제 처리 정보 수집(408)에서는 프로세스 사용자 프로파일(413)로부터 주체의 보안속성을 .OBS 프로파일에서는 객체의 보안속성 정보를 수집한다. 강제적 접근통제 정책을 기반으로 수집된 주체의 보안속성과 객체의 보안속성을 비교하여 접근을 허용할 것인지 결정한다(409). 접근이 거부되며 보관하고 있던 운영 체제 시스템콜을 버림으로써 시스템에서 수행되지 않도록 하며 경고를 발생한다. 접근이 허용되면 역할기반 접근통제를 위하여 역할기반 접근통제 처리 정보를 수집(410)한다.
역할기반 접근통제 처리 정보 수집(410)에서는 프로세스 사용자 프로파일(413)에서 주체 정보와 PA 테이블(416)에서 역할 정보, 객체 정보, 오퍼레이션 정보 등을 수집한다. PA 테이블의 부가 정보는 ROLE 테이블과 PERM 테이블을 참조하여 정보를 수집할 수 있다.
수집된 정보를 PA 테이블의 역할기반 접근통제 정책에 적용하여 접근을 허용할 것인지 결정한다(411). 접근이 거부되며 보관하고 있던 운영체제 시스템콜을 버림으로써 시스템에서 수행되지 않도록 하며 경고를 발생한다. 접근이 허용되면 운영체제 시스템콜을 호출하여 응용에서 요청한 작업이 수행되도록 한다.
본 발명에 있어서 상기 (a) 단계의 사용자 보안속성 설정부(101)에서 사용자에서 대하여 UID(User ID), GID(Group ID), 보안등급, 보안범주 등으로 구성된 사용자 프로파일(109)을 설정, 변경하며 이를 커널에 저장한다.
도 5는 사용자 보안속성 설정부(101)에서 설정하는 사용자 프로파일(109)을 나타내고 있다. 사용자 프로파일(109)은 사용자명(User Name)(501), UID(User ID)(502), GID(Group ID), 보안등급(Security Level)(504), 보호범주(Clearance)(505), 부가 식별 정보(506)로 구성된다. 여기서 UID(User ID)(502)와 GID(Group ID)는 사용자 계정 정보이며 보안등급(Security Level)(504)과 보호범주(Clearance)(505)는 사용자 보안속성을 나타낸다.
본 발명에 있어서 상기 (b) 역할(ROLE) 설정부(102)에서는 (a)에서의 여러 사용자 속성 정보에 기반하여 역할(ROLE)을 정의하고 ROLE 테이블(113)로 구성하며 커널에 저장한다.
도 6은 역할(ROLE) 설정부(102)에서 구성하는 ROLE 테이블(113)을 나타내고 있다. ROLE 테이블(601)은 역할명(ROLE Name)(601)과 사용자 프로파일 속성(602)으로 구성된다. 사용자 프로파일 속성(602)은 사용자 프로파일(109)에 대하여 로그인 시점과 작업 시점을 고려하여 정책을 구성한다. 즉 로그인 시점에서의 사용자 프로파일(602)에서 속성들을 선택하고 작업 시점에서의 사용자 프로파일(603) 속성들을 선택하여 사용자 프로파일 속성(602)을 구성한다. 예를 들어 사용자가 user A로 로그인하여 su 명령어로 권한 변경하여 user B로 작업을 해야 할 경우 로그인 시점에서의 사용자 UID = user A이며 작업 시점에서의 사용자 UID = user B가 된다. 이처럼 사용자의 권한변경뿐만 아니라 권한이임 등으로 사용자 보안속성이 바뀌는 상황에서도 효율적으로 통제할 수 있도록 역할(ROLE)을 구성한다.
본 발명에 있어서 상기 (c) 단계의 객체(OBS) 및 오퍼레이션(OPS) 설정부(103)에서는 객체(OBS)에 대한 보안속성을 포함하여 객체 속성 정보로 OBS 프로파일(111)로 구성하고 객체(OBS)에 대한 오퍼레이션(OPS)을 정의하여 PERM 테이블(111)을 구성한다.
도 7는 OBS 프로파일(111)을 나타내고 있다. OBS 프로파일은 OBS 명(701), 보안등급(Security Level)(702), 보호범주(Clearance)(703), 부가 속성 정보(704)로 구성되며 강제적 접근통제에서 객체 보안속성으로 사용된다. 파일명, 디렉토리 명, 디바이스명 등은 OBS명(701)에 속하며 디바이스 SN, 제조사 정보 등은 부가 속성 정보(704)에 속한다.
도 8은 객체(.OBS)와 객체에 대한 오퍼레이션(OPS)을 정의한 PERM 테이블(111)을 나타내고 있다. PERM 테이블은 PERM 명(801), OBS 명(802), 부가 속성 정보(803), 오퍼레이션(OPS)(804)로 구성된다. 파일명, 디렉토리명, 디바이스명 등은 OBS명(802)에 속하며 디바이스 SN, 제조사 정보 등은 부가 속성 정보(803)에 속한다.
본 발명에 있어서 상기 (d) 단계의 허가할당(PA) 설정부(104)에서는 역할기반 접근통제 정책 ACL(Access Control List)인 PA 테이블(112)을 설정한다. 본 발명에서 허가할당(PA)은 역할(ROLE)에 대한 허가할당(PA-R, PA for the Role)과 프로세스 사용자(PROCESS USER)에 대한 허가할당(PA-U, PA for the process User)로 분리한다. 역할에 대한 허가할당(PA-R)은 기존 역할기반 접근통제 모델에서의 허가할당(PA) 개념과 동일하게 역할(ROLE)을 PERM과 연관시키기 위해 사용되며 별도로 분리한 프로세스 사용자에 대한 허가할당(PA-U)은 임의적 접근통제의 프로세스 사용자 속성과 강제적 접근통제에서의 보안속성(보안등급, 보호범주)를 PERM과 연관시키기 위해 사용된다.
도 9는 PA 테이블(112)을 나타내고 있다. PA 테이블은 PA 명(901), 주체정보, PERM 정보로 구성된다. 주체정보는 역할(902)과 사용자 프로파일의 속성(903)들로 구성되며 정보들을 조합하여 사용할 수 있다. 도 9에서는 PA Name 1은 역할들과 PERM으로 구성된 형태를, PA Name 2는 사용자 프로파일 속성들과 PERM으로 구성 된 형태를, PA Name 3은 혼합된 형태를 나타내고 있다.
본 발명에 있어서 상기 (e) 단계의 시스템콜 제어부(105)에서는 읽기, 쓰기, 실행 등 접근통제에 필요한 시스템콜만을 필터링한다. 응용 프로그램이 실행되면 이를 수행하기 위하여 시스테콜이 발생하며 시스템콜 제어부(105)에서는 읽기, 쓰기, 실행 등 접근통제 시스템콜이 경우 운영체제 시스템콜을 인터셉터하여 보안커널에서의 접근통제 기능이 먼저 수행되도록 한다. 접근통제 시스템콜이 아닌 경우 운영체제 시스템콜을 운영체제에 전달하여 운영체제가 해당 작업을 수행하도록 한다.
본 발명에 있어서 상기 (f) 단계의 프로세스 사용자 속성 통제부(106)에서는 로그인 사용자 프로파일(109)을 이용하여 프로세스 사용자 프로파일(110)을 구성한다. 프로세스 사용자 속성 통제부(106)에서는 프로세스 상태 조건에 따라 프로세스 사용자 프로파일(110)의 생성, 상속, 변경 여부를 결정할 수 있으며 USER 프로파일과 현재의 프로세스 상태 정보를 기반으로 프로세스 사용자 프로파일(110)을 구성한다
도 10는 프로세스 사용자 프로파일(110)을 나타내고 있다. 프로세스 사용자 프로파일(110)은 프로세스명(1001), 로그인 시점 주체 정보, 현시점 주체 정보로 구성된다. 로그인 시점 주체 정보와 현시점 주체 정보 모두 로그인 사용자 프로파일(109)과 동일한 구조를 갖는다. 로그인 시점 주체 정보는 로그인 UID(1002), 로그인 GID(1002)로 구성된 로그인 사용자 계정 속성, 보호등급(1004), 보호범주(1005)로 구성된 로그인 사용자 보안속성, 부가 식별 정보(1006)인 로그인 시 부 가정보 등으로 구성된다. 프로세스 동작 시점 주체 정보는 현재의UID(1002), 현재의 GID(1002)로 구성된 프로세스소유자 속성, 현재의 보호등급(1004), 현재의 보호범주(1005)로 구성된 프로세스 소유자 보안속성, 현재의 프로세스 부가 식별 정보(1006)인 현재의 부가정보 등으로 구성된다.
본 발명에 있어서 상기 (g) 단계의 강제적 접근통제부(107)에서는 프로세스 사용자 프로파일(110)에서의 보안속성(로그인 사용자 보안등급과 보호범주)과 OBS 프로파일(111)에서의 객체 보안속성(보안등급과 보호범주)을 비교하여 접근허가 여부를 결정하며 사용되는 강제적 접근통제 정책은 다음과 같다.
- 읽기 허용 정책 : 프로세스 사용자 프로파알의 보안속성 ≥ 객체의 보안속성
- 쓰기 허용 정책 : 프로세스 사용자 프로파알의 보안속성 = 객체의 보안속성
본 발명에 있어서 상기 (h) 단계의 역할기반 접근통제부(108)에서는 역할기반 접근통제 정책을 가지고 있는 PA 테이블(112)과 프로세스 사용자 프로파일(110)을 비교하여 접근허가 여부를 결정한다. PA 테이블은 정의된 역할 또는 정의된 사용자 프로파일 속성을 가진 프로세스가 정의된 객체(OBJ)에 대해 읽기, 쓰기, 실행 등 사용가능한 오퍼레이션(OPS)을 PERM으로 규정하고 있으므로 역할기반 접근통제부(108)는 해당 프로세스에 대하여 PA 테이블을 참조하여 접근허가 여부를 결정한다.
도 1은 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로 확장시킨 보안커널의 전체 시스템 구성도이다.
도 2는 기본적인 역할기반 접근통제(Core RBAC) 모델이다.
도 3은 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로 확장시킨 본 발명은 역할기반 접근통제 모델이다.
도 4는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로 확장시킨 보안커널의 순서도이다.
도 5는 로그인 사용자(LOGIN USER)의 속성을 나타내는 사용자 프로파일(USER PROFILE)이다.
도 6은 로그인 시점과 작업 시점의 사용자 프로파일로 구성한 역할(ROLE) 테이블이다.
도 7는 객체의 속성을 나타내는 객체(OBS) 프로파일이다.
도 8은 객체(OBS)에 대한 오퍼레이션(OPS)을 나타내는 허가(PERM) 테이블이다.
도 9는 주체(역할 또는 사용자)와 허가(PERM)로 구성된 허가할당(PA) 테이블이다.
도 10은 로그인 시점의 주체 정보와 현 시점의 주체 정보로 구성된 프로세스 사용자 프로파일이다.

Claims (15)

  1. 보안커널에서 접근통제 기능을 제공하는 시스템에 있어서,
    (a) 사용자에 대한 식별자, 보안속성 등 사용자 속성을 설정하는 단계와;
    (b) 역할을 정의하고 역할에 대해 사용자를 할당하여 UA(User Assignment)구성하는 역할 설정 단계와;
    (c) 객체(OBS)와 객체에 대한 오퍼레이션(OPS)을 설정하여 허가(PERM)를 구성하는 객체(OBJ) 및 오퍼레이션(OPS) 설정 단계와;
    (d) 허가(PERM)에 역할(ROLE) 또는 사용자(USER)을 할당하여 허가할당(PA, Permission Assignment)를 구성하는 허가할당(PA) 설정 단계
    로 구성되는 접근통제 정책 설정 단계와;
    (e) 응용 이벤트가 수행되어 운영체제 시스템콜이 발생하면 접근통제 관련 운영체제 시스템콜만을 인터센터하는 시스템콜 제어 단계와;
    (f) 프로세스 사용자의 상태 속성을 설정, 변경, 상속하는 프로세스 사용자 속성 통제 단계와;
    (g) 주체와 객체의 보안등급, 보호범주 등을 비교하여 접근 허용 여부를 결정하는 강제적 접근통제 단계와;
    (h) 사용자 및 역할에 대한 접근통제 정책에 기반하여 접근 허용 여부를 결정하는 역할기반 접근통제 단계
    로 구성되는 접근통제 기능 수행 단계로 구성되는 것을 특징으로 하는 강제 적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법
  2. 제 1항에 있어서, 상기 (a) 단계에서
    사용자(USER)를 로그인 사용자(LOGIN USER)와 프로세스 사용자(PEOCESS USER)로 구분하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  3. 제 2항에 있어서,
    로그인 사용자(LOGIN USER) 속성은 응용 레벨에서 관리자가 사용자 프로파일을 구성하고 프로세스 사용자(PROCESS USER) 속성은 커널 레벨에서 프로세스 사용자 통제 기능을 통하여 프로세스 사용자 프로파일을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  4. 제 1항에 있어서, 상기 (a) 단계에서
    로그인 사용자에 대하여 사용자명, 사용자 ID, 그룹 IDs, 보안등급(Security Level), 보호범주(Clearance), 부가 식별 정보로 사용자 프로파일을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  5. 제 1항에 있어서, 상기 (b) 단계에서
    사용자 프로파일을 로그인 시점에서의 사용자 프로파일과 작업 시점에서의 사용자 프로파일로 분리하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  6. 제 5항에 있어서,
    역할에 포함되는 사용자로 로그인 시점에서의 사용자 프로파일의 속성들과 작업 시점의 사용자 프로파일의 속성들을 선택하여 역할 테이블을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  7. 제 1항에 있어서, 상기 (c) 단계에서 객체(OBS)명, 보호등급(Security Level), 보호범주(Clearance), 부가 속성 정보로 객체(OBS) 프로파일을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  8. 제 1항에 있어서, 상기 (c) 단계에서
    허가(PERM)명, 객체 속성(파일, 디렉토리 등 객체명과 부가 속성 정보), 오퍼레이션(읽기, 쓰기, 실행 등)으로 허가(PERM) 테이블을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  9. 제 1항에 있어서, 상기 (d) 단계에서
    허가할당(PA, Permission Assignment)을 역할(ROLE)에 대하여 허가(PERM)를 할당하는 PA-R(PA for the Role)과 프로세스 사용자에 대하여 허가(PERM)을 할당하는 PA-U(PA for the process User)로 구분하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  10. 제 1항에 있어서, 상기 (d) 단계에서
    역할에 대한 허가할당(PA-R)과 프로세스 사용자에 대한 허가할당(PA-U)을 독립적으로 또는 혼합하여 PA 테이블을 구성하는 것을 특징으로 하는 강제적 접근통 제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  11. 제 1항에 있어서, 상기 (e) 단계에서
    응용 이벤트가 수행되어 운영체제 시스템콜이 발생하면 읽기, 쓰기, 실행 등 접근통제에 관련된 시스템콜만을 인터셉터하여 보안기능이 먼저 수행되도록 하고 나머지 운영체제 시스템콜은 바이패스시켜 응용 이벤트가 수행되도록 하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  12. 제 1항에 있어서, 상기 (f) 단계에서
    새로운 프로세스 발생시 사용자 프로파일과 프로세스 소유자 상태 정보를 이용하여 프로세스 사용자 프로파일에서 해당 프로세스의 속성을 설정, 변경, 삭제하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  13. 제 12항에 있어서, 프로세스에 대하여 로그인 사용자 계정 속성(로그인 UID, 로그인 GID), 로그인 사용자 보안속성(로그인 시 보안등급, 로그인 시 보호범주), 로그인 시 부가정보로 로그인 시점 주체 정보를 구성하고 프로세스 소유자 속성(현재의 UID, 현재의 GID), 프로세스 소유자 보안속성(현재의 보안등급, 현재의 보호범주), 현재의 부가정보로 현 시점 주체 정보를 구성하여 프로세스 사용자 프로파일을 구성하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  14. 제 1항에 있어서, 상기 (g) 단계에서
    강제적 접근통제 기능을 수행하기 위하여 프로세스 사용자 프로파일의 주체 보안속성과 객체(OBS) 프로파일의 객체 보안속성을 이용하여 보안등급과 보호범주를 비교함으로써 접근 허가 여부를 결정하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
  15. 제 1항에 있어서, 상기 (h) 단계에서
    역할기반 접근통제 기능을 수행하기 위하여 프로세스 사용자 프로파일에 정의된 주체에 대해 허가할당(PA) 테이블에서 정의된 읽기, 쓰기, 실행 허용 여부 정책에 따라 접근 허가 여부를 결정하는 것을 특징으로 하는 강제적 접근통제 시스템에서 역할기반 접근통제 시스템으로의 보안커널 확장 방법.
KR1020080061460A 2008-06-27 2008-06-27 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법 KR100970667B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020080061460A KR100970667B1 (ko) 2008-06-27 2008-06-27 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020080061460A KR100970667B1 (ko) 2008-06-27 2008-06-27 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법

Publications (2)

Publication Number Publication Date
KR20100001524A true KR20100001524A (ko) 2010-01-06
KR100970667B1 KR100970667B1 (ko) 2010-07-16

Family

ID=41811819

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020080061460A KR100970667B1 (ko) 2008-06-27 2008-06-27 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법

Country Status (1)

Country Link
KR (1) KR100970667B1 (ko)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101068768B1 (ko) * 2011-06-28 2011-09-30 에스지에이 주식회사 작업승인 기반 보안 커널의 접근통제 방법
WO2019167045A1 (en) * 2018-03-01 2019-09-06 Keini David Command line interface replacement for security purposes
CN112733185A (zh) * 2020-12-30 2021-04-30 普华云创科技(北京)有限公司 一种基于属性访问控制资源的方法和系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100853722B1 (ko) * 2006-12-21 2008-08-25 주식회사 레드게이트 Ｕｎｉｘ/Ｌｉｎｕｘ 시스템의 보안역할 상태전이 모델을이용한 불법권한이동 차단 및 강제적 접근통제 방법

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101068768B1 (ko) * 2011-06-28 2011-09-30 에스지에이 주식회사 작업승인 기반 보안 커널의 접근통제 방법
WO2019167045A1 (en) * 2018-03-01 2019-09-06 Keini David Command line interface replacement for security purposes
CN112733185A (zh) * 2020-12-30 2021-04-30 普华云创科技(北京)有限公司 一种基于属性访问控制资源的方法和系统

Also Published As

Publication number Publication date
KR100970667B1 (ko) 2010-07-16

Similar Documents

Publication Publication Date Title
US8006088B2 (en) Methods and systems for network-based management of application security
US9558343B2 (en) Methods and systems for controlling access to resources and privileges per process
US7725922B2 (en) System and method for using sandboxes in a managed shell
US8015563B2 (en) Managing virtual machines with system-wide policies
CN110990150A (zh) 容器云平台的租户管理方法、系统、电子设备及存储介质
WO2020009894A1 (en) Access management tags
US20040193606A1 (en) Policy setting support tool
CN110113369A (zh) 一种基于角色权限控制的鉴权方法
JP2009522694A (ja) オブジェクトへのユーザアクセスの管理
JP2009539183A (ja) 役割ベースのアクセス制御ポリシーの資源許可ポリシーへの変換
CN107315950B (zh) 一种云计算平台管理员权限最小化的自动化划分方法及访问控制方法
US10374870B2 (en) Efficient access control for trigger events in SDN
CN110363012B (zh) 对权限资源进行权限配置的方法、权限系统和存储介质
CN105827645B (zh) 一种用于访问控制的方法、设备与系统
JP2004158007A (ja) コンピュータアクセス権限
CN107566375B (zh) 访问控制方法和装置
EP2725513A1 (en) Managing permission settings applied to applications
KR100970667B1 (ko) 시점에 따른 프로세스 사용자 상태 속성에 기반한 강제적접근통제 시스템에서 역할기반 접근통제 시스템으로의보안커널 확장 방법
Arena et al. SecureDroid: An Android security framework extension for context-aware policy enforcement
US20220129575A1 (en) System and Method for Safely Supporting Customer Security Policies in a Third-Party-as-a-Service Solution
JP2014170324A (ja) アクセス制御システム、アクセス制御方法およびプログラム
US7653934B1 (en) Role-based access control
KR20080057918A (ko) Ｕｎｉｘ/Ｌｉｎｕｘ 시스템의 보안역할 상태전이 모델을이용한 불법권한이동 차단 및 강제적 접근통제 방법
Ott The role compatibility security model
KR100833973B1 (ko) 메타 접근통제 시스템

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20130624

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20140703

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20150625

Year of fee payment: 6

FPAY Annual fee payment

Payment date: 20160707

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20170724

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20181010

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20190627

Year of fee payment: 10