이 책의 기획 의도

몇년 전, 구글링을 하던 도중에 우연히 DB의 공격 코드를 접하게 되었다. 혹시나 싶어 자체 실습 환경에서 코드를 실행해보니 속수무책으로 DB가 뚫려버렸고, 이에 큰 충격을 받았다. 하지만 소위 ‘보안’이라는 영역인지라 DB튜닝과 모델링만을 전문적으로 하던 내게 왠지 높은 벽으로 느껴져 그때에는 단순히 취미로서 이런저런 정보를 수집하고 모으기만을 하였다. 그러다 얼마 후, 어느 엔지니어와 대화를 하던 중 “DB 보안은 상용 보안 애플리케이션만 설치하면 신경을 쓸 필요가 없다.”라는 말에 나름‘DB쟁이’라고 자부하던 나로서는 왠지 자존심이 상했다. 또한 다양한 사이트에 지원을 나가서도, 그리고 강의를 진행하면서도 대다수가 ‘DB 보안’이라는 분야를 전혀 모르거나 혹은 무시하는 것을 보고서 뭔가 아니다 싶다는 생각이 자꾸만 들었다.

데이터베이스 보안이라는 분야는 다른 분야와 비교할 때에 상대적으로 접근하기가 까다롭다. 데이터베이스의 영역만으로도 혼자서는 감당하기 힘들 정도로 폭넓은 분야이고, 보안의 영역 또한 엄청나게 포괄적이다. 그러다 보니 DB를 하는 사람이 보안을 할 줄 아는 경우가 드물고, 보안을 하는 사람이 DB 보안을 구현할 수 있을 정도로 DB의 내부 구조를 꿰뚫어 볼 줄 아는 사람 또한 매우 드물다. 하지만 웹상에서 발생되는 대부분 공격의 최종 목표가 일련의 데이터이고, 기업의 경우에는 이 데이터가 DB 서버 내에 저장되어 있음을 부정할 수는 없다. 실제 미주나 유럽에서는 이미 DB 보안이라는 영역이 보안 영역의 주된 요소 중의 하나로 자리잡고 적용되고 있는 상황이다. 하지만 이 DB 보안 분야가 우리나라에서는 워낙 생소하다. 정확히는 ‘DB 보안’이라는 단어 자체를 처음 들어본 사람들도 상당히 많으리라 생각한다. 게다가 관련 원서가 간략한 방식으로 2, 3권 출판된 상태이라 이를 혼자서 공부하기에는 어디서부터 시작을 해야 할지가 너무나 막막하다. 이 같은 이유로 이 책이 세상의 빛을 보게 되었다.

이 책의 목표와 특징

이 책은 SQL과 DB 서버의 기본적인 구조를 어느 정도 숙지하고 있다면 누구라도 손쉽게 이해하고 접근할 수 있는 난이도로 집필되었다. 또한 불필요하게 책이 두꺼워지지 않은 한도 내에서 최대한 많은 예제를 포함하여 실무에서 손쉽게 활용할 수 있도록 하였다. 때문에 다음과 같은 사람들에게 많은 도움이 될 것이다.

-WEB 혹은 DB 관련 개발자
-DB 서버 담당자 혹은 관리자
-보안 담당자
-기타 DB나 보안 쪽에 관심이 있는 사람

이 책의 주된 목표는 DB 보안에 필요한 레이아웃 및 구성요소들을 디자인하고, 최종적으로 결정된 디자인을 별도의 프로그램 구입 등과 같은 추가 비용 발생을 최대한 배제한 상태에서 해당 RDBMS 서버가 자체적으로 제공하는 기능들만을 활용하여 구현하는 것이다. 물론, 이 같은 방안이‘DB 보안’의 완벽한 솔루션을 제시하거나, 완벽한 보안을 구현할 수 있다는 것은 절대 아니다. 하지만 일정 레벨 이상의 보안을 자신의 환경에서 손쉽게 구현한다는 것만으로도 그 노력의 가치는 충분하리라 생각한다.
주지할 사항은 모든 RDBMS마다 기능이나 명령어가 조금씩 다를 뿐, 핵심적인 흐름은 동일하기 때문에 활용할 수 있는 여지가 많다는 것이다. 이 같은 이유로 이 책 내의 특정 RDBMS가 자신에게는 비전문 RDBMS이라고 할지라도 한 번쯤은 꼭 읽기를 권한다. 특히 맨 앞부분의‘DB 보안 공통’ 부분과 맨 뒤의 ‘Oracle 보안’ 부분은 꼭 보기를 바란다.

이 책의 내용

1부 DB 보안 공통에서는 1장 데이터베이스 보안 공통과 2장 애플리케이션 보안 공통에 대해서 배운다. 1장에서는 데이터베이스 보안의 범위 지정과 그 책임의 범주에 대해 언급하고, 각 보안 범위별로 정의할 수 있는 보안 접근법에 대해 설명한다. 더불어 모든 DBMS에 공통적으로 적용되는 뷰를 통한 보안 기법 및 암호화, 그리고 데이터베이스 감사의 당위성 및 적용 기법에 대해 언급한다. 2장에서는 DBMS에 공통적으로 적용되는 SQL 인젝션의 기본 골격과 확장된 공격 기법에 대해 언급하고, 절차형 언어에 기반하는 인젝션 개요 및 기법에 대해 학습한다. 또한 이 기법들이 최종적으로 웹 애플리케이션에서 활용되는 기법과 데이터베이스 루트킷에 대해 학습한다. 그리고 이런 공격 패턴에 대응할 수 있는 보안 기법 중에 모든 DBMS에 공통 적용 가능한 애플리케이션 보안 기법에 대해 서술한다.

2부 MySQL 보안에서는 3장 MySQL 서버 개요, 4장 MySQL 서버 보안, 5장 유저 및 권한 관리, 6장 애플리케이션 보안에 대해 배운다. 3장에서는 MySQL 데이터베이스 서버의 기본 구조 및 취약점으로 작용할 수 있는 설정 및 감사에 활용할 수 있는 서버 로그의 구조에 대해 설명한다. 4장에서는 MySQL 데이터베이스 서버에 특화되어 발생되는 로컬 공격 및 네트워크 공격 패턴에 대해 언급하고, 이에 대응할 수 있는 보안 기법을 운영체제 및 MySQL 서버에서의 접근을 기준으로 설명한다. 5장에서는 MySQL에서의 유저 계정 관리법과 패스워드 관리법에 대해 설명하고, MySQL 권한 구조 및 유저에게 할당된 권한을 통제하며 자원 사용 통제 기법에 대해 학습한다. 또한 이를 통합하여 총체적인 보안 관리 기법에 대해 학습한다. 6장에서는 MySQL에 특화된 SQL 인젝션 기법의 패턴에 대해 학습하고, 이에 대응할 수 있는 애플리케이션 보안 기법 구현에 대해 설명한다.

3부 MS SQL 보안에서는 7장 서버 보안, 8장 ID 및 액세스 제어, 9장 데이터 암호화, 10장 애플리케이션 보안, 11장 데이터베이스 감사에 대해 배운다. 7장에서는 MS SQL 데이터베이스 서버의 관리를 통한 기본적인 보안 구현 기법에 대해 학습한다. 또한 네트워크의 공개 영역 설정과 DB 서버의 네트워크 통제에 대해 설명하고, 보안이 강화된 연결 설정에 대해 기술한다. 8장에서는 MS SQL의 관리 대상인 보안 주체와 보안 개체에 대해 학습하고, 이를 대상으로 역할을 통해 구현하는 권한 통제 기법 및 스키마 관리 기법에 대해 학습한다. 또한 계정 정책 관리 기법과 패싯 기반의 정책 관리 기법에 대해 학습한다. 9장에서는 MS SQL 데이터베이스 서버에서 구현할 수 있는 암호화 기법의 개요를 설명하고, 네트워크, 데이터 파일, 데이터 등을 대상으로 적용하는 암호화에 대해 언급한다. 또한 암호화 기법을 구현할 시에 고려할 사항에 대해 설명한다. 10장에서는 MS SQL에서 구현할 수 있는 애플리케이션의 보안 기법에 대해 설명한다. 또한 프로그램 모듈에서 EXECUTE AS를 통해 지정할 수 있는 실행 컨텍스트 설정 기법에 대해 서술하고, 사용자 및 로그인 보안 토큰 설정 및 관리와 모듈 서명 및 가장 범위 확장에 대해 설명한다. 11장에서는 MS SQL 서버에서 구현할 수 있는 감사 기법에 대한 개요를 설명하고, 프로파일러와 DDL 트리거를 통한 감사 기법 구현 방식과 SQL 2008에서 구현할 수 있는 감사 기법, 모니터링 기법에 대해 설명한다.

4부 Oracle 보안에서는 12장 기반 환경 및 네트워크 보안, 13장 유저 계정 제어, 14장 권한 및 롤 관리, 15장 데이터 액세스 제어: VPD, 16장 데이터 암호화, 17장 애플리케이션 보안, 18장 데이터베이스 감사에 대해 배운다. 12장에서는 오라클의 기반 환경과 관련된 보안 관리 기법에 대해 설명한다. 또한 오라클 네트워크의 개요에 대해 언급하며, 가장 핵심적인 리스너의 보안 기법에 대해 설명한다. 이에 더불어 TNS 프로토콜과 EXTPROC의 보안 설정 기법에 대해 기술하고, 11g부터 제공되는 네트워크 ACL 구현에 대해 설명한다. 13장에서는 유저 계정과 패스워드 관리 기법 및 통제 기법에 대해 기술하고, 컨텍스트의 기본 개념과 종류별 구현 기법에 대해 설명한다. 14장에서는 권한과 롤에 대한 기본 개념에 대해 기술하고, 이를 통합하여 권한 할당 내역 분석 및 권한 통제 기법에 대해 설명한다. 또한 유저의 자원 허용량을 제어하는 프로파일링 기법에 대해 설명한다. 15장에서는 유저에게 공개되는 구조 및 데이터를 DB 서버 레벨에서 통제할 수 있는 Virtual Private Database의 기본 개념 및 구현 기법에 대해 학습하고, VPD의 디버깅 시 주의 사항과 성능을 위해 고려해야 할 사항에 대해 설명한다. 16장에서는 오라클에서 제공하는 암호화 기법 중 DBMS_CRYPTO 패키지를 통해 데이터를 구현하는 기법에 대해 설명하고, 테이블스페이스 레벨에서 구현할 수 있는 암호화 기법인 TDE 기능의 기본 구현 방식과 적용 기준에 대해 설명한다. 17장에서는 오라클에 특화된 PL/SQL 기반의 다양한 인젝션 기법에 대해 기술하고, 이에 대응할 수 있는 액세스 통제 기법과 고정형 SQL 및 바인드 변수 기법에 대해 설명한다. 또한 모듈 보호를 위해 적용할 수 있는 구현 기법에 대해 설명한다. 18장에서는 오라클에서 제공하는 다양한 기법의 감사 기법에 대해 학습하고, 각 기법들의 구현 방식 및 장단점에 대해 학습한다.