KR100657353B1 - 다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 - Google Patents
다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 Download PDFInfo
- Publication number
- KR100657353B1 KR100657353B1 KR1020050067968A KR20050067968A KR100657353B1 KR 100657353 B1 KR100657353 B1 KR 100657353B1 KR 1020050067968 A KR1020050067968 A KR 1020050067968A KR 20050067968 A KR20050067968 A KR 20050067968A KR 100657353 B1 KR100657353 B1 KR 100657353B1
- Authority
- KR
- South Korea
- Prior art keywords
- subject
- policy
- access
- information
- security
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
- G06F16/21—Design, administration or maintenance of databases
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Data Mining & Analysis (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Storage Device Security (AREA)
Abstract
Description
class | type | action(operations) |
File | File | Create, Delete, Open, Close, Read, Write, Execute,Truncate, Rename, Modify MAC time, 등 |
DIR | Create, Delete, Open, Close, read, Rename, 등 | |
FILE SYSTEM | Register, Unregister, 등 | |
DEVICE | Open, close, read, Write, 등 | |
IPC | IPC | Create, Read, Write, Get permission, 등 |
memory | memory | Read, write, lock, unlock, 등 |
process | process | Create, DeleteWait, Fork, 등 |
signal | signal return, Kill, Alarm, Pause, 등 | |
network | socket | Create(socket), Read, Write, Bind, 등 |
IP | accept, bind, connect, 등 | |
PORT | Bind, connect | |
Protocol | create(raw socket, TCP, UDP, ICMP) | |
USER | USER | add/delete user, switch user, 등 |
system | system | Cerate/Init/Delete/Query module, 등 |
No Object | ETC | remap file pages 등 |
항목 | 내용 | 요청 | 허여 | 거부 | 비율 | 시간 | 날짜 | 간격 |
주체 | mirr | 1000 | 900 | 100 | 0.5 | 1-2 | ||
객체 | /etc/passwd | 234 | 134 | 100 | 0.9 | |||
행위 | read | 10000 | 9000 | 1000 | .. | 5 | ||
결정정보 | deny | 1000 | 1000 | .. | ||||
정책정보 | mirr_deny | 100 | 90 | 10 | .. |
Claims (30)
- 주체가 접근하고자 하는 객체와 상기 주체가 상기 객체에 대해 수행하고자 하는 행위에 대해 미리 설정된 접근권한 정보를 이용하여 상기 주체의 상기 객체로의 접근허여 여부를 결정하는 정책결정모듈;상기 주체로부터의 요청에 따라 상기 정책결정모듈로 상기 주체, 상기 객체, 및 상기 행위에 대한 정보를 제공하여 상기 주체의 상기 객체로의 접근허여를 요청하는 정책요청 및 집행모듈; 및상기 객체의 접근이 허여된 주체에 대해 통계적인 분석을 수행하여 이상행위 여부를 판단하여 상기 주체의 상기 객체에 대한 접근을 허여할지 여부를 최종 결정하는 정책제어모듈을 포함하는 것을 특징으로 하는 보안시스템.
- 제1항에 있어서,상기 정책요청 및 집행모듈은 상기 주체, 상기 객체, 상기 행위에 대한 정보를 메시지 형태로 구성하는 메시지 생성부를 포함하는 것을 특징으로 하는 보안시스템.
- 제2항에 있어서,상기 메시지 생성부는 상기 주체, 상기 객체, 및 상기 행위에 대한 정보를 커널로부터 인출하는 것을 특징으로 하는 보안시스템.
- 제3항에 있어서,상기 정책요청 및 집행모듈은 상기 메시지 생성부에서 생성된 메시지를 상기 정책결정모듈로 전송하는 메시지 전송부를 더 포함하는 것을 특징으로 하는 보안시스템.
- 제4항에 있어서,상기 정책요청 및 집행모듈은 상기 정책제어모듈에서 생성된 접근허여 정보를 수신받는 메시지 수신부를 더 포함하는 것을 특징으로 하는 보안시스템.
- 제5항에 있어서,상기 접근허여 정보는 상기 주체의 상기 객체에 대한 접근을 허여/거절에 대한 내용인 결정정보와 상기 정책제어모듈에서 지원되는 각종 제어들에 대한 제어정보를 포함하는 것을 특징으로 하는 보안시스템.
- 제6항에 있어서,상기 메시지 수신부는 상기 정책제어모듈에서 생성된 접근허여 정보를 수신하고, 상기 주체에게 접근이 허여되었음을 통지하는 것을 특징으로 하는 보안시스템.
- 제7항에 있어서,상기 메시지 수신부는 상기 정책제어모듈에서 생성된 접근허여 정보를 수신하고, 상기 주체와 상기 객체를 연결시키는 것을 특징으로 하는 보안시스템.
- 제8항에 있어서,상기 정책결정모듈은 상기 정책요청 및 집행모듈로부터 제공된 정보를 이용하여 상기 주체가 상기 객체에 대해 행위를 수행할 수 있는 접근권한을 결정하는 정책결정부를 포함하는 것을 특징으로 하는 보안시스템.
- 제9항에 있어서,상기 정책결정부는 상기 주체, 상기 객체, 상기 행위, 및 상기 접근권한 여부를 포함하는 결정이력풀을 포함하는 것을 특징으로 하는 보안시스템.
- 제10항에 있어서,상기 정책결정부는 상기 결정이력풀에 저장된 정보와 상기 정책요청 및 집행모듈로부터 제공된 정보를 비교하여 상기 정책요청 및 집행모듈로부터 제공된 주체가 객체에 대해 행위를 수행할 수 있는 접근권한을 결정하는 것을 특징으로 하는 보안시스템.
- 제1항에 있어서, 상기 보안 시스템은,미리 정의된 상기 주체에 대한 접근권한을 결정하기 위한 접근정책이 저장된 정책 데이터베이스를 더 포함하는 것을 특징으로 하는 보안시스템.
- 제12항에 있어서,상기 정책결정모듈은 상기 정책 데이터베이스로부터 상기 주체, 상기 객체, 및 상기 행위에 부합되는 접근정책을 인출하는 정책로딩부를 더 포함하는 것을 특징으로 하는 보안시스템.
- 제12항에 있어서,상기 정책로딩부는 상기 정책 데이터베이스로부터 인출된 접근정책을 저장하는 정책이력풀을 포함하는 것을 특징으로 하는 보안시스템.
- 제1항에 있어서,상기 정책제어모듈은 상기 주체와 객체 사이에서 형성될 수 있는 관계들에 대해 통계적인 분석을 수행하는 분석기를 포함하는 것을 특징으로 하는 보안시스템.
- 제15항에 있어서,상기 분석기는 상기 분석기에서 기분석한 통계자료들이 저장된 통계정보풀을 포함하는 것을 특징으로 하는 보안시스템.
- 제16항에 있어서,상기 통계정보풀에는 상기 주체, 상기 객체, 상기 행위, 상기 결정정보, 및 상기 정책정보가 포함되는 것을 특징으로 하는 보안시스템.
- 제17항에 있어서,상기 분석기는 상기 통계정보풀에 포함된 정보를 이용하여 상기 주체의 이상행위를 판단하는 것을 특징으로 하는 보안시스템.
- 제18항에 있어서,상기 정책제어모듈은 상기 분석기로부터의 상기 주체의 이상행위 판단결과에 따라 상기 주체의 객체로의 접근을 허여할 것인지 여부를 판단하는 제어기를 더 포함하는 것을 특징으로 하는 보안시스템.
- 제19항에 있어서,상기 제어기는 상기 분석기로부터 이상행위로 판단된 정보가 저장되는 블랙리스트풀을 포함하는 것을 특징으로 하는 보안시스템.
- 제20항에 있어서,상기 제어기는 상기 분석기로부터 제공된 상기 주체, 상기 객체, 및 상기 행 위에 대한 정보와 상기 블랙리스트풀에 저장된 정보를 비교하고, 상기 블랙리스트풀에 저장된 정보와 부합되지 아니할 경우 상기 정책요청 및 집행모듈로 상기 주체의 객체 접근을 허여하는 접근허여 정보를 제공하는 것을 특징으로 하는 보안시스템.
- 제20항에 있어서,상기 정책제어모듈은 상기 분석기에서의 분석결과와 상기 제어기에서 접근허여 정보를 저장하는 로그 데이터베이스, 및 상기 제어기로부터 상기 분석기에서의 분석결과와 상기 접근허여 정보를 제공받아 상기 로그 데이터베이스에 저장하는 로거를 더 포함하는 것을 특징으로 하는 보안시스템.
- 주체로부터 상기 주체가 접근하고자 하는 객체와 상기 주체가 상기 객체에 대해 수행하고자 하는 행위에 대한 정보를 입력받는 단계;미리 설정된 접근권한 정보를 이용하여 상기 주체의 상기 객체로의 접근 허여여부를 결정하는 단계;상기 객체의 접근이 허여된 주체에 대해 통계적인 분석을 수행하여 이상행위 여부를 판단하여 상기 주체의 상기 객체에 대한 접근을 허여할지 여부를 최종 결정하는 단계를 포함하는 것을 특징으로 하는 보안방법.
- 제23항에 있어서, 상기 보안방법은,상기 최종 결정된 상기 주체의 객체에 대한 허여 여부를 상기 주체에게 통지하는 단계를 더 포함하는 것을 특징으로 하는 보안방법.
- 제24항에 있어서, 상기 보안방법은,상기 최종 결정단계에서 접근이 허여되면, 상기 주체와 상기 객체를 연결시키는 단계를 더 포함하는 것을 특징으로 하는 보안방법.
- 제23항에 있어서, 상기 보안방법은,상기 주체, 상기 객체, 상기 행위, 및 상기 접근권한 여부를 포함하는 결정이력풀을 형성하는 단계를 더 포함하며,상기 접근권한 정보를 이용하여 상기 주체의 객체로의 접근 허여여부를 결정하는 단계는 상기 결정이력풀에 저장된 정보와 상기 주체로부터 제공된 정보를 비교하여 상기 주체가 객체에 대해 행위를 수행할 수 있는 접근권한을 결정하는 단계인 것을 특징으로 하는 보안방법.
- 제23항에 있어서, 상기 보안방법은,미리 정의된 상기 주체에 대한 접근권한을 결정하기 위한 접근정책이 저장된 정책 데이터베이스를 구축하는 단계를 더 포함하며,상기 접근권한 정보를 이용하여 상기 주체의 객체로의 접근 허여여부를 결정하는 단계는 상기 정책 데이터베이스로부터 상기 주체로부터 제공된 정보에 매칭되 는 접근정책을 인출하여 비교하여 상기 주체가 객체에 대해 행위를 수행할 수 있는 접근권한을 결정하는 단계인 것을 특징으로 하는 보안방법.
- 제23항에 있어서, 상기 보안방법은,상기 주체와 상기 객체 사이에서 형성될 수 있는 관계들에 대해 통계적인 분석을 수행하는 단계를 더 포함하는 것을 특징으로 하는 보안방법.
- 제28항에 있어서, 상기 보안방법은,이미 분석한 통계자료들이 저장된 통계정보풀을 구축하는 단계; 및상기 통계정보풀에 포함된 정보를 이용하여 상기 주체의 이상행위를 판단하는 단계를 더 포함하는 것을 특징으로 하는 보안방법.
- 제23항 내지 제29항 중의 어느 하나의 항에 기재된 보안방법을 수행하기 위한 프로그램을 기록한 기록매체.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020050067968A KR100657353B1 (ko) | 2005-07-26 | 2005-07-26 | 다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020050067968A KR100657353B1 (ko) | 2005-07-26 | 2005-07-26 | 다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 |
Publications (1)
Publication Number | Publication Date |
---|---|
KR100657353B1 true KR100657353B1 (ko) | 2006-12-14 |
Family
ID=37733244
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020050067968A KR100657353B1 (ko) | 2005-07-26 | 2005-07-26 | 다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR100657353B1 (ko) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101497629B1 (ko) * | 2014-07-30 | 2015-03-03 | 주식회사 피앤피시큐어 | 리눅스 커널 기반의 파일 접근 통제시스템과 통제방법 |
KR101784821B1 (ko) * | 2016-04-01 | 2017-10-23 | 서원대학교산학협력단 | 행위 심리학을 이용한 불법적 접근의 접근통제 시스템 및 그 방법 |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20020033859A (ko) * | 2000-10-30 | 2002-05-08 | 송영호 | 리눅스 보안 커널 |
KR20020075601A (ko) * | 2001-03-26 | 2002-10-05 | 주식회사데이콤 | 접근통제기능을 개선한 리눅스 시스템 및 리눅스 시스템의운영방법 |
-
2005
- 2005-07-26 KR KR1020050067968A patent/KR100657353B1/ko active IP Right Grant
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20020033859A (ko) * | 2000-10-30 | 2002-05-08 | 송영호 | 리눅스 보안 커널 |
KR20020075601A (ko) * | 2001-03-26 | 2002-10-05 | 주식회사데이콤 | 접근통제기능을 개선한 리눅스 시스템 및 리눅스 시스템의운영방법 |
Non-Patent Citations (1)
Title |
---|
논문 |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101497629B1 (ko) * | 2014-07-30 | 2015-03-03 | 주식회사 피앤피시큐어 | 리눅스 커널 기반의 파일 접근 통제시스템과 통제방법 |
KR101784821B1 (ko) * | 2016-04-01 | 2017-10-23 | 서원대학교산학협력단 | 행위 심리학을 이용한 불법적 접근의 접근통제 시스템 및 그 방법 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US8590052B2 (en) | Enabling granular discretionary access control for data stored in a cloud computing environment | |
US9049195B2 (en) | Cross-domain security for data vault | |
US9053302B2 (en) | Obligation system for enterprise environments | |
US8769605B2 (en) | System and method for dynamically enforcing security policies on electronic files | |
US8893300B2 (en) | Security systems and methods to reduce data leaks in enterprise networks | |
US9639678B2 (en) | Identity risk score generation and implementation | |
US7593942B2 (en) | Mandatory access control base | |
US7814075B2 (en) | Dynamic auditing | |
US7831570B2 (en) | Mandatory access control label security | |
US7814076B2 (en) | Data vault | |
US20090282457A1 (en) | Common representation for different protection architectures (crpa) | |
US20070136603A1 (en) | Method and apparatus for providing secure access control for protected information | |
US20060265598A1 (en) | Access to a computing environment by computing devices | |
US8095969B2 (en) | Security assertion revocation | |
US8510796B2 (en) | Method for application-to-application authentication via delegation | |
US11595372B1 (en) | Data source driven expected network policy control | |
KR100657353B1 (ko) | 다양한 접근 통제 정책을 수용할 수 있는 보안 시스템,보안방법, 및 그 기록매체 | |
KR100706338B1 (ko) | 전자상거래에 있어서 가상접근통제 보안시스템 | |
KR102430882B1 (ko) | 클라우드 환경 내 이벤트 스트림 방식의 컨테이너 워크로드 실행 제어 방법, 장치 및 컴퓨터-판독 가능 기록 매체 | |
KR100707940B1 (ko) | 전자상거래에 있어서 가상접근통제 보안방법 | |
CN112970021A (zh) | 一种用于实现***状态感知安全策略的方法 | |
US8627072B1 (en) | Method and system for controlling access to data | |
Lad | Application and Data Security Patterns | |
Haber et al. | Privileged Access Management (PAM) | |
Batra et al. | Multilevel policy based security in distributed database |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant | ||
FPAY | Annual fee payment |
Payment date: 20130131 Year of fee payment: 7 |
|
FPAY | Annual fee payment |
Payment date: 20131209 Year of fee payment: 8 |
|
FPAY | Annual fee payment |
Payment date: 20141208 Year of fee payment: 9 |
|
FPAY | Annual fee payment |
Payment date: 20151207 Year of fee payment: 10 |
|
FPAY | Annual fee payment |
Payment date: 20161207 Year of fee payment: 11 |
|
FPAY | Annual fee payment |
Payment date: 20171207 Year of fee payment: 12 |
|
FPAY | Annual fee payment |
Payment date: 20191209 Year of fee payment: 14 |