D’Amo(디아모) - Penta Security

해시넷 사이트 참고 (Penta Security 제품)

1. D’Amo(디아모) 란 무엇인가?

디아모(D’Amo)는 다양한 공격기법을 통하여 지속되는 정보유출 시도로부터 중요 데이터를 효과적으로 보호하기 위해 만든 데이터 암호화로 마이에스큐엘(MySQL)/마리아디비(MariaDB)를 암호화 하는 데이터베이스 보안 솔루션이다.

1.1 개요

디아모는 펜타시큐리티시스템㈜ 이 2004년에 발표한 국내 최초의 DB암호화 제품이다. 지식정보사회가 점차 고도화됨에 따라 개인정보 등 각종 데이터 보호의 중요성이 점점 더 부각되고 있다. 데이터 보호를 위해 필요한 여러 기술적 조치 중에서도, 암호화는 기술적 안정성 측면에서 가장 중요한 그리고 근본적인 방법이며, 완벽한 데이터 암호화를 위해서는, 아래 3가지 보안 기술이 빠짐없이 고루 갖춰져야만 한다. 고객 시스템 아키텍처에 따라 성능과 보안성을 최적화하여 적용할 수 있도록 다양한 제품군을 보유 및 제공한다.

1.2 특징

디아모 는 CYBERSECURITY Excellence Awards 데이터베이스 보안(Database Security)부문에서 제품의 우수성을 인정 받았다. 데이터 암호화 솔루션의 도입을 고려하고 있는 기업은 D’Amo를 통해 데이터 보호를 위한 기술 요구사항을 충족하고 개인정보보호법, GDPR 등의 각종 컴플라이언스를 만족한다. API, PLUG-IN, Hybrid방식 등 다양한 암호화 방식 컨셉을 주도하여 대한민국 DB암호화 문화를 형성하였으며, 기업의 운영환경에 따라 IT 시스템을 계층별로 구분하여 각 계층에 적합한 암호화 방식을 제공하는 암호화 플랫폼으로서의 솔루션을 제공했다. 펜타시큐리티시스템(주)는 디아모의 데이터베이스 인덱스 컬럼 암호화 방식 대한 특허를 보유하고 있다.

구성도

1.3 장점

• 강력한 보안기술의 통합 적용으로 안전성 확보

  • 국정원 검증필 암호모듈을 사용하여 공인된 안전성 확보하였으며, 고급 암호화 표준(Advanced Encryption Standard, AES), TDES 등의 국제 표준 알고리즘뿐만 아니라, ARIA, SEED 등 국가정보원 검증대상 암호 알고리즘을 사용하여 개인정보 관련 법규를 안전하게 준수할 수 있다.

• DB 내 주요 데이터를 컬럼 단위로 선택적 암호화

  • DB 내 주요 데이터를 컬럼 단위로 암호화하여 필요한 주요 데이터만 암호화하여 관리의 효율성을 높일 수 있다.

• 세분화된 사용자 별 접근제어

  • DB 접근제어를 통한 비인가 사용자의 DB 접근을 방지하고 있으며, 사용자 별, IP별 접근제어를 통하여 좀 더 효율적인 접근제어가 가능하다.

• 가장 진화된 암호화 기술, Engine-Level Encryption 적용

  • MySQL 에 가장 적합한 암호화 방식인 ELE(Engine Level Encryption)을 적용하며, DB에 정보를 저장하거나 읽을 때 암호화 적용 전후로 동일한 동작을 하기 때문에, 기존 응용 프로그램이나 DB서버의 수정이 필요 없는 암호화 기술을 적용한다.

• 엄격한 키 관리 시스템

  • 암호화 키를 3 계층으로 분리하여 엄격하게 관리하고 있으며, PKI 기반 암호화 키와 비밀번호를 함께 사용하여 보안성을 높인다. 암호화 키에 대하여 자체 개발한 S/W Keymanager를 사용하여 다양한 외부 위협으로부터 키를 안전하게 관리한다.

• 국내외 인증 및 특허를 통해 신뢰할 수 있는 제품

  • 국가정보원 검증필 암호 모듈 탑재 및 GS인증 등을 통하여 국가기관의 인증을 받은 신뢰할 수 있는 제품이며, 인덱스 컬럼 암호화 방법, 특성유지 암호화를 이용한 데이터 보안 방법, 데이터베이스 엔진을 이용한 데이터 보안 방법 등 암호화 관련 국내외 특허를 보유하고 있다.

1.4 제품구성

디아모는 Plug-In 방식 암호화 모듈인 Security Agent와 API 방식 암호화모듈인 SCP, 보안 정책을 관리하는 콘솔(Console)로 구성되어 진다.

제품 구성 및 기능

2. 디아모(D’Amo) 암호화 방식

2.1 디아모 API Agent

Application 서버에 설치한 API를 이용하여 암호화 수행 후 DBMS에 쿼리를 전송하는 방식으로 암/복호화 시 DBMS 부하를 최소화하며, 다양한 OS 및 DBMS를 지원하는 등 뛰어난 호환성을 지니고 있습니다.

디아모 API Agent

2.1.1 주요 컴포넌트

• D’Amo BA (Business Application Encryption)

  • 애플리케이션에서 암호화를 수행하여 DBMS에 영향이 없는 API 방식

2.1.2 주요 기능

• 안전한 암호 알고리즘 사용

  • 자체 개발한 국가정보원 검증필 암호모듈 사용 (CIS-CC)

  • 미연방정보처리표준(FIPS)에 의한 인증 획득 (AES, TDES 인증)

  • 국내외 표준 알고리즘 모두 지원 (SEED, ARIA, AES, TDES, SHA, BLOWFISH 등)

  • 각 모듈은 인터페이스가 달라도 내부에 탑재된 동일한 모듈의 암호엔진 사용으로 강력한 호환성 제공

• DBMS 부하 분산 처리

  • 암/복호화를 어플리케이션에서 수행하므로 암호화 대상 DBMS 서버의 부하를 어플리케이션에서 분산 처리

  • HA 장비 간 자동 정책 동기화 기능 지원

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 Index Search 유지

  • 암호화에 따른 Application 변경 없음

  • 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색 지원 (일치검색, 범위검색)

• 대용량 데이터 일괄 암호화 지원

  • 대용량 일괄 암호화는 DBMS에서 파일 형태로 export 하여 그 파일을 암호화 한 후 DBMS에 저장하는 방식

  • 일괄 암호화를 DBMS에서 처리하지 않고 Application에서 처리하는 방식을 사용하므로 속도가 빠름

  • 일괄 암호화에 따른 DBMS에 대한 부하 적음

2.1.3 주요 특장점

• 뛰어난 성능 및 네트워크 구간의 안정성 보장

  • DBMS가 아닌 별도의 Application서버에서 암/복호화 작업을 수행하므로, 기존 DBMS에 추가 부하 없음

  • Application과 DBMS 사이의 전송구간에서 암호화 된 데이터 전송으로 데이터 전송 시 안정성 확보

• 강력한 키 관리 및 관리자 인증

  • 하이브리드 암호화 방식을 사용하여 암/복호화 키 이중 암호화

  • 별도의 H/W를 통한 강력한 키 관리 기능 지원 (D’Amo KMS 적용 시)

• 다양한 알고리즘 및 환경 지원(유연성 및 확장성)

  • 국내외 표준 암호화 알고리즘 지원(RSA, 3DES, AES, SEED, ARIA, SHA 등)

  • 모든 Application 개발 환경 지원 (C, Java 등) 및 모든 종류의 DBMS 지원(Oracle, Altibase, MSSQL, DB2 등)

  • 이 기종 DBMS간 데이터 연동 시 데이터 암호키가 다른 경우도 안전하게 연동 가능

  • 관리 대상 DBMS 추가 시 D’Amo SCP Agent 설치만으로 기존 암호화 관리체계에 통합 가능

• 다양한 라이브러리 제공으로 개발 편의성 제공

  • 다양한 함수와 라이브러리 제공으로 다양한 개발자 환경을 제공하여 개발자의 편의성 극대화

• 높은 관리 편의성 지원

  • GUI 방식의 통합 관리도구 제공

  • 편리한 사용자 인터페이스 제공

  • 관리자의 시스템에서 간편한 키 관리 및 설정 기능 제공(KMS 적용 시)

2.2 디아모 Plug-in Agent

DB서버에 Package, Engine, DBMS API 등의 형태로 Agent를 설치하여 암/복호화를 수행하고, 접근 제어, 감사 기록, 권한 분리 등의 기능을 통해 통합 DB보안을 제공합니다.

디아모 Plug-in Agent

2.2.1 주요 컴포넌트

• D’Amo DP (DBMS Package Encryption)

  • DBMS에 패키지를 설치하여 애플리케이션 수정 없이 암호화를 수행하는 방식

• D’Amo DA (DBMS Application Encryption)

  • DBMS API 방식으로 추가 패키지를 설치하지 않고 DBMS 내부에서 암호화를 수행하는 방식

• D’Amo DE (DBMS Engine Encryption)

  • DBMS 엔진에 직접 개입하여 애플리케이션 수정 없이 암호화를 수행하는 방식

2.2.2 설치 방식에 따른 암호화 기능

2.2.2.1 Package 설치형 암호화 (D'Amo DP)

2.2.2.1.1 주요 기능 및 특장점

• VTI 암호화 모드, API 암호화 모드 지원

  • 고객 환경 및 성능, 지원 환경에 따라 두 가지 암호화 모드 지원

    1. VTI (View/Trigger Interface) 모드: View와 Trigger를 이용하여 암호화를 수행하는 모드 (암호화 테이블, 컬럼 명 변경)

    2. API (Application Programming Interface) 모드: View와 Trigger 없이 암호화를 수행하는 모드 (암호화 테이블, 컬럼 명 변경 없음)

• 암호화 정책을 통한 컬럼 단위의 선택적 암호화

  • 암호화 정책을 통한 효율적인 암호화 알고리즘, 운영 모드, 부분암호화 등의 설정 가능

  • 필요한 데이터만을 암호화하여 성능 저하를 최소화하고 보안성 확보

• DB전체 및 암호화 컬럼 접근제어

  • DB계정/IP/MAC/Application/시간/요일 별 접근제어 제공

• 장애 발생시 암호화 데이터 복구 가능

  • Site / Console / DB 키는 백업해둔 키를 사용

  • 복구가 완료되면 장애 이전과 동일하게 암호화된 데이터의 복호화 및 새로운 데이터의 암호화 가능

  • 키만 정상적으로 백업이 되었다면 SA 버전과 상관없이 데이터 복구 가능

• 서비스 중단 없는 암호화

  • 별도 사본 테이블에서 암호화 적용 후, 서비스 테이블로 전환하여 서비스 중단을 최소화

• 사용자 친화적인 관리도구 제공

  • 초보자라도 쉽게 따라 할 수 있는 직관적인 메뉴 체계와 다양한 아이콘 활용

  • 다수의 Security Agent를 하나의 관리도구에서 통합 관리 가능

2.2.2.1.2 최적화 지원 DBMS

• ORACLE

• MS SQL SERVER

2.2.2.2 Engine 설치형 암호화 (D'Amo DE)

2.2.2.2.1 주요 기능 및 특장점

• Application에 대한 독립성

  • DBMS 내부에 설치가 되어 작동하므로 기존 Application에 영향을 미치지 않음

  • Encryption Engine 삽입을 제외하고 DB 환경 변화가 없음 (암호화 테이블, 컬럼명 변경 없음)

• 컬럼 단위 암호화를 통한 선택적 암호화 지원

  • 데이터 중요도에 따라 중요한 컬럼만 암호화를 수행

  • 데이터 전체를 암호화 해야하는 파일암호화 대비 사용 효율성 및 성능 우위

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 Index Search 유지

  • 암호화에 따른 Application 변경 없음

  • 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색 지원 (일치검색, 범위검색)

• 권한 분리 및 접근 제어

  • 인가 받지 못한 DB 관리자는 암호화 데이터의 복호화가 불가능

  • (보안관리자를 통하여 DB 관리자 권한 제어 가능)

  • DB 관리자와 보안 관리자의 철저한 권한 분리

2.2.2.2.2 최적화 지원 DBMS

• MySQL

• MariaDB

2.2.2.3 DBMS API 설치형 방식 (D'Amo DA)

2.2.2.3.1 주요 기능 및 특장점

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 Index Search 유지

  • 암호화에 따른 Application 변경 없음

  • 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색 지원 (일치검색, 범위검색)

• 대용량 데이터 일괄 암호화 지원

  • 대용량 일괄 암호화는 DBMS에서 파일 형태로 export 하여 그 파일을 암호화 한 후 DBMS에 저장하는 방식

  • 일괄 암호화를 DBMS에서 처리하지 않고 Application에서 처리하는 방식을 사용하므로 속도가 빠름

  • 일괄 암호화에 따른 DBMS에 대한 부하 적음

• 개발자 편의성 제공

  • 다양한 프로그래밍 언어 기반 함수 및 라이브러리 제공으로 개발 편의성 증대

  • 최소한의 수정개발로 제품이 반영될 수 있도록 API 함수 제공

• 강력한 키 관리 및 관리자 인증

  • 하이브리드 암호화 방식을 사용하여 암/복호화 키 이중 암호화

  • 별도의 H/W를 통한 강력한 키 관리 기능 지원 (D’Amo KMS 적용 시)

• 다양한 알고리즘 및 환경 지원 (유연성 및 확장성)

  • 국내외 표준 암호화 알고리즘 지원(RSA, 3DES, AES, SEED, ARIA, SHA 등)

  • 모든 Application 개발 환경 지원 (C, Java 등) 및 모든 종류의 DBMS 지원(Oracle, Altibase, MSSQL, DB2 등)

  • 이 기종 DBMS간 데이터 연동 시 데이터 암호키가 다른 경우도 안전하게 연동 가능

  • 관리 대상 DBMS 추가 시 D’Amo SCP Agent 설치만으로 기존 암호화 관리체계에 통합 가능

• 높은 관리 편의성 지원

  • 관리자의 시스템에서 간편한 키 관리 및 설정 기능

  • 직관적인 GUI 및 CLI 제공

  • 콘솔을 통한 정책 설정 및 로그/시스템 현황 확인

2.2.2.3.2 최적화 지원 DBMS

• Oracle

• MS SQL Sever

• MySQL

• PostgreSQL

• Tibero

• Cubrid

• Sybase

• Altibase

• DB2 등

2.3 디아모 Kernel Agent

OS 커널 레벨에 Agent를 설치하는 방식으로 암호화, 접근제어, 감사, 권한분리 등의 기능을 통해 정형/비정형 데이터 보안을 제공

디아모 Kernel Agent

2.3.1 주요 컴포넌트

• D’Amo KE (Kernel Encryption)

  • OS 커널 레벨에 Agent를 설치하여 정형/비정형 데이터 암호화를 수행하는 방식

2.3.2 주요 기능 및 특장점

• 커널 레벨 암호화

  • OS 커널 레벨에서의 빠른 암복호화

  • 도입 시 성능 부하 1% 미만

• 구축 및 사용자 편의성

  • Installer 방식으로 1일 이내 도입 가능

  • Application 소스(쿼리) 수정 없음

  • GUI 기반 관리도구 지원

• 보안성 및 감사

  • 안전한 암호모듈(국정원 검증필 암호모듈)

  • 커널 레벨 암호화

  • 안전한 키 관리(키 관리 전용 D’Amo KMS 연동)

  • 접근제어(Process, User, IP, MAC, Time)

  • 물리적 보안 위협 대응 가능(도난 및 분실 시 해독 불가)

  • 감사(사용자, 시스템 감사)

• 암호화 데이터 백업 및 복원 기능 제공

  • 데이터를 암호화된 상태로 백업 서버에 백업

3. 디아모(D’Amo) 구축 방식

3.1 디아모 BA(Business Application Encryption)

디아모 BA(Business Application Encryption)는 암복호화 API를 삽입하여 암호화, 접근제어, 감사, 권한분리 등의 기능을 통해 DB 보안을 제공하는 시스템으로, 어플리케이션 서버에 설치한 API를 이용하여 암호화 수행 후 데이터베이스 관리 시스템 에 쿼리를 전송하는 방식으로 암/복호화 시 데이터베이스 관리 시스템 부하를 최소화하며, 다양한 OS 및 데이터베이스 관리 시스템을 지원하는 등 뛰어난 호환성을 지니고 있다.

디아모 BA

3.1.1 제품 기능

• 안전한 암호 알고리즘 사용

  • 자체 개발한 국가정보원 검증필 암호모듈 사용하며, 미연방정보처리표준(FIPS)에 의한 인증을 획득했다. 국내외 표준 알고리즘 모두 지원하고(SEED, ARIA, AES, TDES, SHA, BLOWFISH 등), 각 모듈은 인터페이스가 달라도 내부에 탑재된 동일한 모듈의 암호엔진 사용으로 강력한 호환성을 제공한다.

• 데이터베이스 관리 시스템 부하 분산 처리

  • 암/복호화를 어플리케이션에서 수행하므로 암호화 대상 데이터베이스 관리 시스템 서버의 부하를 어플리케이션에서 분산 처리 HA 장비 간 자동 정책 동기화 기능을 지원한다.

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 인덱스 서치를 유지하며, 암호화에 따른 어플리케이션에 변경이 없다. 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색을 지원한다.(일치검색, 범위검색)

• 대용량 데이터 일괄 암호화 지원

  • 대용량 일괄 암호화는 데이터베이스 관리 시스템 에서 파일 형태로 export 하여 그 파일을 암호화 한 후 데이터베이스 관리 시스템에 저장하는 방식이다. 일괄 암호화를 데이터베이스 관리 시스템에서 처리하지 않고 어플리케이션 에서 처리하는 방식을 사용하므로 속도가 빠르다. 일괄 암호화에 따른 데이터베이스 관리 시스템에 대한 부하가 적다.

3.1.2 제품 특징

• 뛰어난 성능 및 네트워크 구간의 안정성 보장

  • 데이터베이스 관리 시스템이 아닌 별도의 어플리에키션 서버에서 암/복호화 작업을 수행하므로, 기존 데이터베이스 관리 시스템에 추가 부하가 없다. 어플리케이션과 데이터베이스 관리 시스템 사이의 전송구간에서 암호화 된 데이터 전송으로 데이터 전송 시 안정성을 확보한다.

• 강력한 키 관리 및 관리자 인증

  • 하이브리드 암호화 방식을 사용하여 암/복호화 키 이중 암호화 별도의 H/W를 통한 강력한 키 관리 기능을 지원한다 (디아모 KMS 적용 시)

• 다양한 알고리즘 및 환경 지원(유연성 및 확장성)

  • 국내외 표준 암호화 알고리즘 지원(RSA, 3DES, AES, SEED, ARIA, SHA 등)하고 ,모든 어플리케이션 개발 환경 지원 (C, Java 등) 및 모든 종류의 데이터베이스 관리 시스템을 지원한다.(Oracle, Altibase, MSSQL, DB2 등) 기종 데이터베이스 관리 시스템간 데이터 연동 시 데이터 암호키가 다른 경우도 안전하게 연동 가능하며, 관리 대상 데이터베이스 관리 시스템 추가 시 디아모 SCP Agent 설치만으로 기존 암호화 관리체계에 통합 가능하다.

• 다양한 라이브러리 제공으로 개발 편의성 제공

  • 다양한 함수와 라이브러리 제공으로 다양한 개발자 환경을 제공하여 개발자의 편의성을 극대화한다.

• 높은 관리 편의성 지원

  • GUI 방식의 통합 관리도구를 제공, 편리한 사용자 인터페이스 제공, 관리자의 시스템에서 간편한 키 관리 및 설정 기능을 제공한다.(KMS 적용 시)

3.2 디아모 DA(DBMS Application Encryption)

디아모 DA(DBMS Application Encryption)는 암복호화 API를 삽입하여 암호화, 접근제어, 감사, 권한분리 등의 기능을 통해 DB 보안을 제공하는 시스템으로, 데이터베이스 관리 시스템 서버에 설치한 API를 이용하여 암호화를 수행한다. 암/복호화 시 데이터베이스 관리 시스템 부하를 최소화하였고, 다양한 OS 및 데이터베이스 관리 시스템를 지원하는 뛰어난 호환성을 지니고 있다.

디아모 DA

3.2.1 제품 기능

• 안전한 암호 알고리즘 사용

  • 자체 개발한 국가정보원 검증필 암호모듈을 사용하며 (CIS-CC), 미연방정보처리표준(FIPS)에 의한 인증(AES, TDES 인증)을 획득했다. 국내외 표준 알고리즘 모두 지원 하며,(SEED, ARIA, AES, TDES, SHA, BLOWFISH 등) 각 모듈은 인터페이스가 달라도 내부에 탑재된 동일한 모듈의 암호엔진 사용으로 강력한 호환성을 제공한다.

• 별도의 장비를 이용한 인증 및 암호키 관리

  • 디아모 SG-KMS 와 디아모 DA Agent는 상호인증 프로토콜을 사용해 인증절차를 수행한 후 암호키를 공유한다.

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 인덱스서치 유지하며, 암호화에 따른 어플리케이션에 변경이 없고, 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색을 지원한다.

• 대용량 데이터 일괄 암호화 지원

  • 대용량 일괄 암호화는 데이터베이스 관리 시스템에서 파일 형태로 export 하여 그 파일을 암호화 한 후 데이터베이스 관리 시스템 에 저장하는 방식이다. 일괄 암호화를 데이터베이스 관리 시스템에서 처리하지 않고 어플리케이션에서 처리하는 방식을 사용하므로 속도가 빠르며, 일괄 암호화에 따른 데이터베이스 관리 시스템에 대한 부하가 적다.

• 개발자 편의성 제공

  • 다양한 프로그래밍 언어 기반 함수 및 라이브러리 제공으로 개발 편의성을 증대시키고, 최소한의 수정개발로 제품이 반영될 수 있도록 API 함수를 제공한다.

3.2.2 제품 특징

• 강력한 키 관리 및 관리자 인증

  • 하이브리드 암호화 방식을 사용하여 암/복호화 키를 이중 암호화 하고, 별도의 H/W를 통한 강력한 키 관리 기능을 지원한다.

• 다양한 알고리즘 및 환경 지원(유연성 및 확장성)

  • 국내외 표준 암호화 알고리즘을 지원하며(RSA, 3DES, AES, SEED, ARIA, SHA 등), 모든 Application 개발 환경 지원 및 모든 종류의 DBMS을 지원한다. DBMS간 데이터 연동 시 데이터 암호키가 다른 경우도 안전하게 연동 가능 하며, 관리 대상 DBMS 추가 시 디아모 SCP Agent 설치만으로 기존 암호화 관리체계에 통합 가능하다.

• 높은 관리 편의성 지원(디아모 KMS 적용시)

  • 관리자의 시스템에서 간편한 키 관리 및 설정 기능을 제공하며, 직관적인 GUI 및 CLI를 제공한다. 콘솔을 통한 정책 설정 및 로그/시스템 현황을 확인한다.

3.3 디아모 DP(DBMS Package Encryption)

디아모 DP(DBMS Package Encryption)은 Oracle 과 SQL Server 에 특화되어 있고, DB 서버에 패키지 형태로 설치되어 암호화 뿐만 아니라 접근 제어, 감사 기록, 권한 분리 등의 기능을 통해 통합 DB 보안을 제공하는 제품이다.[2]

디아모 DP

3.3.1 제품 기능 및 특장점

• VTI 암호화 모드,API 암호화 모드 지원

  • 고객 환경 및 성능, 지원 환경에 따라 두 가지 암호화 모드를 지원한다.

• 암호화 정책을 통한 컬럼 단위의 선택적 암호화

  • 암호화 정책을 통한 효율적인 암호화 알고리즘, 운영 모드, 부분암호화 등의 설정이 가능하며, 필요한 데이터만을 암호화하여 성능 저하를 최소화하고 보안성을 확보한다.

• DB전체 및 암호화 컬럼 접근제어

  • DB계정/IP/MAC/Application/시간/요일 별 접근제어를 제공한다.

• 장애 발생시 암호화 데이터 복구 가능

  • 복구가 완료되면 장애 이전과 동일하게 암호화된 데이터의 복호화 및 새로운 데이터의 암호화가 가능하고, 키만 정상적으로 백업이 되었다면 SA 버전과 상관없이 데이터 복구가 가능하다.

• 서비스 중단 없는 암호화

  • 별도 사본 테이블에서 암호화 적용 후, 서비스 테이블로 전환하여 서비스 중단을 최소화한다.

• 사용자 친화적인 관리도구 제공

  • 초보자라도 쉽게 따라 할 수 있는 직관적인 메뉴 체계와 다양한 아이콘을 활용하며, 다수의 보안 에이전트 를 하나의 관리도구에서 통합 관리 가능하다.

3.4 디아모 DE(DBMS Engine Encryption)

디아모 DE(DBMS Engine Encryption)은 DB 서버에 디아모 엔진을 설치하여 암호화, 접근 제어, 감사 통합 DB 보안 시스템을 구축한다. 마이에스큐엘(MySQL), 마리아디비(MariaDB), 알티베이스(ALTIBASE), 포스트그리에스큐엘(PostgreSQL)에 최적화 되어 있는 제품이다.

디아모 DE

3.4.1 제품 기능 및 특장점

• Application에 대한 독립성

  • DBMS 내부에 설치가 되어 작동하므로 기존 어플리케이션에 영향을 미치지 않는다. Encryption Engine 삽입을 제외하고 DB 환경 변화가 없다.

• 컬럼 단위 암호화를 통한 선택적 암호화 지원

  • 데이터 중요도에 따라 중요한 컬럼만 암호화를 수행한다. 데이터 전체를 암호화 해야하는 파일암호화 대비 사용 효율성 및 성능이 좋다.

• 인덱스 칼럼의 색인기능 및 선택적 암호화 기능 지원

  • 인덱스 칼럼 암호화 후에도 기존의 인덱스서치 유지하며, 암호화에 따른 어플리케이션에 변경이 없고, 부분 암호화를 활용한 암호화 컬럼의 인덱스 검색을 지원한다.

• 권한 분리 및 접근 제어

  • 인가 받지 못한 DB 관리자는 암호화 데이터의 복호화가 불가능하며, DB 관리자와 보안 관리자가 철저히 권한 분리 된다.

3.5 디아모 KE(Kernel Encryption)

디아모 KE(Kernel Encryption)은 OS 커널 레벨에서 암복호화를 수행하여 정형/비정형 데이터 암호화를 가능하게 하는 제품이다.

디아모 KE

3.5.1 제품 기능 및 특장점

• 구축 및 사용자 편의성

  • 설치 방식으로 1일 이내 도입 가능하며, 어플리케이션 소스(쿼리) 수정이 없다. GUI 기반 관리도구를 지원한다.

• 커널 레벨 암호화

  • OS 커널 레벨에서의 빠른 암복호화 방법이 도입 시 성능 부하 1% 미만이다.

• 보안성 및 감사

  • 안전한 암호모듈 및 커널 레벨 암호화, 안전한 키 관리, 접근제어(Process, User, IP, MAC, Time), 물리적 보안 위협 대응등이 가능하다.

  • 감사(사용자, 시스템 감사)

• 암호화 데이터 백업 및 복원 기능 제공

  • 데이터를 암호화된 상태로 백업 서버에 백업이 가능하다.

3.6 디아모 LMS(Log Management)

디아모 LMS(Log Management)은 D’Amo 로그 통합 관리 제품으로, 로그를 통합 관리하고 이를 통해 실시간 모니터링 기능, 대량복호화 방지 기능, 이상현황 알림 기능 등의 부가 서비스 제공하는 로그 관리 제품이다. 디아모 LMS는 로그 관리 전용 Appliance 장비로 제공된다.[2]

디아모 LMS

3.6.1 제품 기능

• 암복호화 로그 통합관리

  • 하드웨어 기반의 통합 로그 관리 서버를 통해 로그 관리를 지원하며, 암복호화 서버별 로그 관리 및 분석 기능을 제공한다.

• 로그의 안전한 보관

  • 내부 스토리지에 법적 요구기간 이상 로그를 저장 가능하게 하며, 외부 스토리지 export 기능을 지원하고, 로그 무결성 검증 기능을 제공한다.

• 암호화 적용 시스템 관리 기능 제공

  • 암호화 적용 시스템 모니터링을 제공하고, 대량 복호화 발생시 자동 탐지 및 알림/차단 기능을 제공한다. 이상 현황 발생시 관리자에게 알림을 제공하며, 로그 조회/로그 통계 기능을 지원한다.

3.6.2 제품 특징

• 관리자 편의성 향상

  • 관리자에게 보고서/그래프 등의 시각화 자료를 제공하며, 통합적인 모니터링이 가능하다. 알림 기능을 통해 실시간으로 이상상태를 감지하고, 직관적인 GUI 및 CLI를 지원 한다.

• 권한 분리를 통한 보안성 제공

  • 보안 관리자, DBA에 대한 계정별 관리도구를 분리한다.

• 장애 대응을 통한 가용성 제공

  • 기본 백업 방안 제공을 통해 장애에 대응이 가능하며, 이중화 구성(HA)을 통해 장애 대응이 가능하다.

3.7 디아모 KMS(Key Management System)

디아모 KMS(Key Management System)는 암호화 키의 전체 라이프 사이클을 관리하는 키 관리 시스템이다. 키 관리 전용 H/W 어플라이언스 장비나 S/W 어플라이언스(SA) 형태로 제공되며, 국내 및 국제 표준에 의거해 암호화 키를 안전하게 관리하고 보호함으로써 기업정보보안을 최종적으로 완성시킨다.안전한 암호화(Secure Encryption)를 위해서는 암호화 뿐만 아니라 키 관리(Key Management) 및 접근제어 등이 필요하다.

디아모 KMS

3.7.1 제품 기능 및 특장점

• 모든 암호화 키 통합 관리

  • 국내외 암호화 솔루션의 키 관리 기능과 Oracle TDE, MS SQL 등 암호화 솔루션을 지원, CAT/POS 단말기, CD/ATM 등 IoT 기기 통합 키를 관리하며, 클라우드, 블록체인 환경에서도 키 관리를 제공한다.

• 보안 관리자 및 DBA 접근제어

  • 보안 관리자와 DBA 권한을 분리하며, PKI 인증서와 PW를 이용한 보안 관리자를 인증한다.

• 강력한 키 관리 및 감사

  • CC 인증을 획득하며, GS 인증 1등급, PKCS#11, KMIP 등 표준을 지원하고, 국내외 키 관리 표준을 준수한다.

• 블록체인 키 관리

  • 블록체인~암호 알고리즘을 제공한다. 블록체인 표준을 제공하며, 지갑 표준(BIP-32/39/44)을 구현한다. 블록체인 프로토콜을 지원하고, 블록체인 보안을 제공하며, HSM/TPM을 이용한 TEE 환경을 구축한다.

• GUI 콘솔 지원으로 관리 편의성 향상

  • 키 접근제어, 감사 로그 등 효율적으로 제어 가능하며, 다수의 키를 통합적으로 관리 가능하다.

• 보안성 강화 옵션 제공

  • HSM(Hardware Security Module) 옵션과 FIPS 140-2 안전성 확보, CC EAL 4+ 안전성을 확보한다.

출처 : 해시넷

홈페이지 : 바로가기

[NHN Cloud] NHN Cloud 교육 정보 공유 | NHN Clouddoc.skill.or.kr

NHN Cloud 정보 사이트

Unix 시스템 취약점 진단 분석 평가 방법 | System Security Vulnerabilityssv.skill.or.kr

취약점 진단 분석 평가 방법 사이트

Security Update Listsul.skill.or.kr

보안 업데이트 정보 사이트