안녕하세요 중견기업 전산팀에 근무하고 있는 사원입니다.
올해부터 전산감사 진행시 필수 솔루션을 구축해야 한다고 해서
리스트 받아 솔루션 구축을 진행중입니다.
목록 중에 DB접근제어, 배포툴, 접근제어 툴 이라고 적혀있어서 알아보고 있던도중
1.배포툴 -> jenkins , GIT
2.접근제어 툴 -> DevOps, Secuve PKI
위 배포툴의 경우 형상관리 솔루션 진행시 같이 들어오는 것으로 확인되었는데
접근제어 툴의 경우 어떻게 해야되는지 확인이 되지 않습니다.
DB 접근제어에 같이 들어오는건지 다른 솔루션을 확인해야되는건지 궁금하여 문의올립니다.
9개의 답변이 있습니다.
저희도 중견기업에 해당되어 작년에 도입을 완료했습니다.
말씀하신 형상관리 및 ITSM / 접근제어(OS/DB) 접근제어를 구축하셔야 할것 같구요.
접근제어관련해서는 회사에서 서버접근제어와 DB접근제어를 별도로 하실지 아니면 같은 솔루션에 있는 기능으로 커버 가능할지 조율을 해보셔야 할것 같네요.
요즘은 DB접근제어 툴에서 대부분 서버접근제어의 기본 기능이 같이 있습니다.
접근제어 툴은 위에서 언급하신 업체들이 해당이 될것같구요.
ITSM/형상관리의 경우는 저희도 비용을 감안하여 여러군데 비교를 해봤습니다.
wbjsoft 라는 제품이 가격대비 모든 요구사항을 잘 수용했습니다.
참고하세요. 생각보다 도입이 힘들거나 하진 않으실거예요.
우선 당장 필요해서 하실려고 하는 것이 아닌 전산감사를 위해서 필요하다고 하면,
해당 감사 기관에 문의를 해서 어떤 솔루션을 원하는지 확실하게 결정하고 투자하시는게 좋을 듯 합니다.
괜히 구축 했는데, 이게 아니라고 하면 그때는 난감해 질 테니까요~
DB접근제어는 따로 있고 네트워크 접근제어는NAC으로 구분이 됩니다.
말씀하신 DB접근제어, 배포툴, 접근제어툴
배포툴 : 이미 조사하신 것과 같이 GitLab, jenkins와
클라우드 사용자라면 클라우드에 code deploy 서비스 활용할 수 이습니다.
접근제어는 솔루션이 다양해서 회사 요구사항에 따라 선택하시면 될것 같구요.
서버접근제어 : Hiware, DBsafer OS, CyberArk 등 (국내는 Hiware와 DBSafer 거의 양분하고 있음)
DB접근제어 : DBsafer DB, ChakraMax, Hiware 등
네트워크접근제어 : 지니언스(국내,글로벌인지도 좋음), 넷맨, 스쿱정보통신 등
접근제어솔루션이 기본적으로 서버,DB를 모듈 구분하여 같이 지원하는 경우가 많습니다.
비용측면에서 이런 방법 접근도 괜찮을 것 같습니다.
DB접근제어 주요 회사는 Ware Valley(샤크라), PNP Secure(DB Safer), Somansa(DB-i), sinsi way(Petra) 등이 있습니다. 제 주관적인 판단으로는 샤크라, DB Safer가 공공기관 및 금융권 등 제일 많이 들어가 있는걸로 알고 있습니다. 주요 레퍼런스는 해당 업체 제안서 받아 보시면 될 듯 하구요.
어떤 제품이 적합한지는 직접 벤더사와 연락을 취하셔서 PT 받아보시고 회사에 가장 적합한 제품을 고르시길
추천 합니다.
====== 금액 부분 ======
우선 견적은 User수에 따라 적정 장비(appliance)를 제공하고 그에 따른 Core 당 계산으로 이루어지는 형태이며 코어당 소비자가 1천만원+a 정도 예상하셔야 하는데요. 견적 받으시면 공급단가로 조금 할인되어 받아 보실 수 있을 겁니다. 중소기업의 규모가 어느정도이신지는 모르겠으나 1500정도면 조금 부족하지 않을까 라는 생각이 듭니다만 물론 영업 담당자와 어떻게 협상 하시느냐에 따라 조금은 달라질 수 있을거라 생각듭니다.
금액적인 부분은 견적 받아보시면 바로 답~! 나옵니다.^^
====== 기능적인 부분 ======
MS SQL 같은 경우는 DB 접속 계정 정보를 암호화하여 보내는데요. DB접근제어 장비가 복화화 하는 과정에서 loss없이 얼마나 많은 패킷을 정책에 따라 필터링 할 수 있는지 각 업체별로 BMT 해 보셔야 합니다.
회사가 필요로 하는 부분이 있을 건데요(마스킹기능, 리포팅 기능, 감사기능, 특정접속 계정 차단, CC인증여부 등). BMT 목록을 만드셔서 해당 기능을 충실히 수행하는 장비를 선택하실 수 있도록 하셔야 합니다.
패킷 처리 방식은 스니핑 방식과 게이트웨이 방식 그리고 혼용방식이 있습니다. 회사 상황상 어떤 패킷 처리 방식이 적합한지 판단하시고, 해당 방식으로 DB접근제어의 기능이 충실히 이행되는지 판단하셔야 합니다.
DB 접근제어라고 카테고리가 따로 있습니다. 권한있는 계정만 db에 접속할수있게 합니다
wansoo님이 리스팅해주신 제품들 중에서 보시면 되겠네요 ㅎ
보는 관점에 따라 의미가 달라 질 수 있습니다.
방화벽을 접근 제어 시스템으로 보는 경우도 있고요.
네트워크 접근 제어 솔루션을 NAC ( Network Access Control ) 시스템으로 볼 수도 있고요.
시스템 접근 제어 솔루션으로 서버 접근을 제어하고 로그 기록을 남기는 시스템을 말할 수도 있고요.
DB 접근 제어라고 구체적으로 명시할 경우에는 DB 접근을 제어하는 시스템으로
PNP Secure의 DB Safer DB, Ware Valley의 Chakra Max 등의 시스템을 도입해야 되겠고요.
시스템 접근 제어 솔루션으로는 PNP Secure의 DB Safer OS가 유명한것 같고요.
네트워크 접근제어 (NAC)으로는 Genian NAC, NetMan의 Smart NAC, Scope의 IPScan NAC 등이 있겠고요.
필수 솔루션이라고 다 해야 하는건 아닌것 같은대 관련 업체 문의 후 진행을 하시는게
하시다보면 중복 되는 수도 있고 필요 이상의 자본이 투입 될 수도 있습니다.
DB 접근제어와 접근 제어는 제품이 따로 있습니다.
우선 감사에서 접근 제어를 어떤 수준으로 원하는지 확인이 필요 할것 같네요.
낭만생선 | 약 2년 전
지금 솔루션 검토 목적이 우리가 보안 강화를 필요로 해서 라면
우리가 자체적으로 디자인을 하고 목표를 삼아서 구축을 하면 되는데.
"전산감사 진행시 필수 솔루션을 구축해야 한다" 라고 하셨으면..
전산감사를 진행하는쪽의 요구사항(아마도 로그나 셋팅값이 있을겁니다.)을 먼저 파악하는것이 중요하고..
제일 좋은것은 감수하는쪽에서 요구하는 솔루션(딱 찝어서 알려주지는 않아도 타사에서 사용하는 제품들 리스트를 알려줄것입니다.)을 도입하시는게 좋습니다.
아주 단적인 예를 들면
회계용 서버가 있는데 여기에는 회계 담당 누구만 접속 해야 합니다라는 조건이 있다고 했을때
그냥 우리는 담당자의 계정만 서버에 권한이 있는것을 보여주는것으로 OK라고 생각하는데
감수 하는쪽에서는 회계 담당자외에 아무도 접속하지 않았다는 근거를 달라고 합니다.
접속한 이력을 달라고 하면 있는 자료기 때문에 제출하기 쉽지만
접속하지 않았다는것에 대한 근거를 대기란 쉽지가 않죠.
근데 이때 접근제어 솔루션은 셋팅값이나 로그 정보가 그 근거로 적용이 됩니다.