네트워킹에서의 CIA 3요소

CIA 3요소는 정보 보안의 핵심 모델입니다. CIA는 기밀성, 무결성, 가용성을 의미하며, 모든 보안 통제가 보호하려는 세 가지 목표입니다.

모든 방화벽 규칙, 비밀번호, 백업은 이 세 가지 목표 중 하나 이상을 지원합니다. 통제를 CIA 목표에 연결할 수 있다면 그 통제가 존재하는 이유를 이해한 것입니다. (참고: 여기서 CIA는 정부 기관과 관련이 없습니다.)

기밀성은 권한이 있는 사람만 데이터를 읽을 수 있다는 의미입니다. 기밀성을 유지하여 도청자와 권한이 없는 사용자가 비밀에 접근하지 못하게 합니다.

기밀성을 보호하는 네트워크 도구에는 암호화(올바른 키를 가진 사람만 해독할 수 있도록 데이터를 변환하는 것), 강력한 인증, 접근 제어가 있습니다. HTTPS로 웹을 탐색할 때 암호화는 네트워크에서 트래픽을 엿보는 사람으로부터 트래픽의 기밀성을 보호합니다.

무결성은 데이터가 정확하고 변경되지 않은 상태, 즉 도착한 데이터가 전송된 데이터와 정확히 같다는 의미입니다. 무결성은 변조와 우발적인 손상으로부터 데이터를 보호합니다.

일반적인 무결성 도구는 해시입니다. 해시는 데이터를 고정된 지문으로 변환하는 함수입니다. 비트 하나만 바뀌어도 해시가 바뀌므로 변조를 확인할 수 있습니다. 디지털 서명과 체크섬은 이 원리를 사용하여 전송 중 데이터가 수정되지 않았음을 증명합니다.

가용성은 권한이 있는 사용자가 필요할 때 시스템과 데이터에 접근할 수 있다는 의미입니다. 아무리 기밀성이 높고 정확한 시스템이라도 작동하지 않으면 쓸모가 없습니다.

가용성은 중복성(대체 경로와 장치), 정기적인 백업, 장애 조치, 서비스를 과부하 상태로 만들어 중단시키려는 서비스 거부 공격에 대한 방어로 보호합니다.

세 가지 목표는 서로 충돌하는 경우가 많습니다. 강력한 암호화와 엄격한 접근 제어는 기밀성을 높이지만 시스템을 느리게 하고 가용성을 저하시킬 수 있습니다. 모든 것을 지나치게 엄격하게 제한하면 정당한 사용자도 불편을 겪을 수 있습니다.

효과적인 보안은 각 시스템의 가치와 위험을 바탕으로 적절한 균형을 찾습니다. 공개 웹 페이지는 가용성을 중시하고, 의료 기록은 기밀성과 무결성을 중시합니다.

데이터 유출, 도청(트래픽 스니핑), 어깨너머 엿보기, 탈취된 인증 정보는 기밀성을 침해합니다. 네트워크에서 공격자가 암호화되지 않은 트래픽을 캡처하면 비밀번호와 데이터를 평문으로 읽을 수 있습니다.

이 때문에 HTTPS, VPN, 암호화된 Wi-Fi처럼 모든 곳에 암호화를 적용하는 것이 표준이 되었습니다. 암호화로 읽을 수 없게 만들어 가로챈 트래픽의 가치를 없애기 때문입니다.

경로상 공격(트래픽을 가로채고 변경하는 공격), 파일을 수정하는 악성 코드, 손상된 전송은 무결성을 공격합니다. 공격자가 전송 중인 은행 이체 금액을 변경하면 무결성이 훼손된 것입니다.

해시, 디지털 서명, 메시지 인증 코드는 이러한 변경을 감지하므로 수신자는 데이터가 변경되지 않아 신뢰할 수 있는지 확인할 수 있습니다.

가용성을 가장 직접적으로 공격하는 것은 서비스 거부 및 분산 서비스 거부 공격의 폭주 트래픽이지만, 하드웨어 장애, 정전, 랜섬웨어, 자연재해도 가용성을 위협합니다. 서비스를 중단시키는 모든 상황이 가용성 문제입니다.

방어 방법으로는 중복 시스템, 부하 분산, 외부 보관 백업, 공격 트래픽이 리소스를 고갈시키기 전에 흡수하거나 차단하는 트래픽 필터링이 있습니다.

세 가지 핵심 요소에 두 가지 개념을 더하는 경우가 많습니다. 인증은 접근을 허용하기 전에 사용자가 누구인지 증명합니다. 부인 방지는 당사자가 나중에 메시지를 보냈다는 사실을 부인할 수 없도록 하며, 일반적으로 디지털 서명으로 증명합니다.

CIA 3요소와 함께 이 개념들은 보안 전문가가 설계할 때 목표로 삼는 요소를 구성하며, 때로는 확장 보안 모델 또는 AAA 관련 원칙이라고도 합니다.

어떤 통제를 평가할 때든 그 통제가 어떤 목표를 지원하는지 질문해 보세요. 백업은 가용성을 보호합니다. 암호화는 기밀성을 보호합니다. 체크섬은 무결성을 보호합니다. 방화벽은 공격을 차단하여 세 가지 목표를 모두 보호할 수 있습니다.

이 프레임워크는 막연한 보안 우려를 명확한 질문으로 바꾸어, 각 시스템에서 가장 중요한 대상을 보호하는 통제의 우선순위를 정하는 데 도움을 줍니다.

CIA 3요소는 다른 모든 보안 주제를 이해하는 관점입니다. 세분화, 접근 제어, 암호화, 모니터링은 모두 기밀성, 무결성 또는 가용성을 보호하는 것과 연결됩니다.

모든 보안 분석을 시작할 때 세 가지 목표 중 무엇이 위험에 처했는지 질문하면 위협과 그에 대응하는 방어 방법을 항상 이해할 수 있습니다.

CIA 3요소에 대한 이해도를 확인해 보세요.

CIA 3요소는 세 가지 보안 목표를 정의합니다. 기밀성(암호화를 통한 권한 있는 접근만 허용), 무결성(해시를 통한 데이터 변경 방지), 가용성(중복성을 통해 필요할 때 접근 가능)입니다. 세 목표는 서로 상충하므로 효과적인 설계는 시스템별로 균형을 맞춥니다. 인증과 부인 방지는 이 모델을 확장합니다.