감사 로그와 책임 추적성

핵심 정리

책임 추적성은 시스템 접근 주체의 행동을 기록해 필요할 때 행위자를 추적할 수 있게 하는 성질이다. 이 원칙은 보안 사고가 발생한 뒤 누가 무엇을 했는지 밝혀야 한다는 요구에서 나온다. 주체와 그 행위를 연결하는 주요 수단은 감사 로그다. 감사 로그가 제 기능을 하려면 행위 기록만으로는 부족하고, 기록만으로 주체를 시스템 사용자와 대응시킬 수 있어야 한다. 이런 기록이 있어야 보안 위반을 탐지하고 보안 사고를 재구성할 수 있다.

로그 관리도 시스템 활동을 기록하고 점검하는 기능이다. 다만 로그를 정기적으로 검토하지 않거나 안전하고 일관된 방식으로 관리하지 않으면 기록이 증거로서 효력을 갖지 못할 수 있다. 따라서 책임 추적성이 실제로 작동하려면 기록을 남기는 일과 기록을 점검하고 보호하는 일이 함께 이루어져야 한다.

자세히

행위자 추적과 감사용 기록

책임 추적성은 정보나 정보시스템을 누가, 언제, 어떤 방법으로 사용했는지 추적할 수 있게 하는 성질이다. 감사용 기록(audit trail, audit log)은 컴퓨터 사용자를 추적할 수 있도록 컴퓨터 활동을 시간순으로 자동 기록한 것이다. 감사용 기록은 특정 작업, 절차, 이벤트에 영향을 준 활동 증거를 레코드 단위로 모아 시간순 보안 기록을 이루며, 금융 거래, 과학 연구, 의료 데이터 트랜잭션, 개인과 시스템과 계정 사이의 통신 같은 활동에서 주로 생긴다. 데이터베이스 감사 기능은 데이터베이스 작업을 모니터링하고 데이터를 수집해 사용자가 접근한 객체와 실행한 DDL, DML 문을 추적하며, 모든 행위를 로그로 기록한다.

많은 시스템은 클리핑 레벨이라는 사전 설정 기준이나 임계값에 따라 보고서를 자동으로 만든다. 예를 들어 일정 기간에 로그인 실패가 기준 이상 반복되거나 비활성화된 사용자 계정을 사용하려는 시도가 있으면 보고서가 나오도록 설정할 수 있다. 이 보고서는 시스템 관리자나 보안 관리자가 침입 가능성을 더 쉽게 식별하도록 돕는다. 안전을 고려하면 이 기록은 운영 체제가 관리하게 하는 것이 좋다.