[보안_GPT] 접근제어란?

🔥 1. 접근제어란?

정의:
접근제어는 누가, 언제, 어디서, 어떤 자원에 접근할 수 있는지를 제어하는 보안 기능이야.

즉:

👉 “사용자 또는 시스템이 특정 데이터·기능·서비스에 접근할 수 있는 권한을 관리하는 것”

• 정보보안의 핵심 원칙 중 하나: 권한 없는 접근 차단(Least Privilege Principle)
• 인증(Authentication)과 함께 사용됨
  • 인증: “누구냐?” 확인
  • 접근제어: “무엇을 할 수 있냐?” 결정

---

🔹 2. 접근제어의 기본 원칙

1️⃣ 최소 권한 원칙 (Least Privilege)

• 사용자에게 필요한 최소 권한만 부여
• 예: 일반 사용자는 읽기만, 관리자만 쓰기 가능

2️⃣ 역할 기반(RBAC) / 속성 기반(ABAC) 제어

• 사용자 역할(Role) 또는 속성(Attribute)에 따라 접근 결정

3️⃣ 승인(Authorization) 필요

• 인증 후에도, 자원 접근 여부는 항상 서버/시스템에서 확인

---

🔹 3. 접근제어 유형

1️⃣ 수평적 접근 제어(Horizontal Access Control)

• 동일 권한 사용자 간 제한
• 예: A 사용자가 B 사용자의 데이터 조회 불가

 

/user/profile?userId=101

• userId=102로 바꾸면 다른 사용자의 정보 접근 가능 → 수평적 제어 실패

2️⃣ 수직적 접근 제어(Vertical Access Control)

• 권한 수준에 따른 제한
• 예: 일반 사용자가 관리자 페이지 접근 불가

 

/admin/dashboard → 일반 사용자 접근 차단

3️⃣ Mandatory Access Control(MAC, 강제적 접근 제어)

• 시스템 정책에 의해 강제로 접근 통제
• 보안 등급 기반, 사용자가 권한 변경 불가

4️⃣ Discretionary Access Control(DAC, 재량적 접근 제어)

• 자원 소유자가 접근 권한 부여
• 예: 파일 소유자가 읽기/쓰기 권한 설정

5️⃣ Role-Based Access Control(RBAC, 역할 기반)

• 역할(Role)별 권한 설정
• 예: 관리자(Admin) → 모든 기능, 일반 사용자(User) → 제한 기능

6️⃣ Attribute-Based Access Control(ABAC, 속성 기반)

• 사용자, 리소스, 환경 속성 기반 접근 결정
• 예: 특정 IP, 시간대, 위치에서만 접근 허용

---

🔹 4. 접근제어 공격 유형

• Broken Access Control: 권한 검증 미흡 → 다른 사용자/관리자 권한 탈취
• IDOR(Insecure Direct Object Reference): URL/파라미터 조작 → 다른 사용자 데이터 접근
• 권한 상승(Privilege Escalation): 일반 → 관리자 권한 상승

---

🔹 5. 접근제어 방어 방법

1️⃣ 서버 측 권한 검증

• 클라이언트 검증만 믿지 말기
• 모든 요청마다 Role/Attribute 검증

2️⃣ 최소 권한 정책

• 기본 권한을 최소로 설정, 필요 시 권한 상승

3️⃣ 로그 및 모니터링

• 비정상적인 접근 시도 기록
• 보안관제 알람 설정

4️⃣ RBAC/ABAC 정책 명확화

• 역할별, 속성별 접근 범위 문서화
• 정책 변경 기록 유지

5️⃣ 보안 테스트

• 수평/수직적 접근 제어 취약점 점검
• OWASP Top 10 Broken Access Control 체크

---

🎯 한 문장 요약

접근제어 = 사용자가 어떤 자원에 접근할 수 있는지 권한을 관리하고 통제하는 보안 기능으로, 최소 권한 원칙과 역할/속성 기반 정책을 적용해 보호해야 한다.