가용성

정보보안의 목표: 가용성

정보보안의 3대 기술적 목표는 기밀성(Confidentiality) 보호, 무결성(Integrity) 보호, 가용성(Availability) 보호이다.

가용성은 권한 있는 자는 언제든지 보호 대상 정보를 이용할 수 있도록 하는 기술적 보안 목표이다. 권한 있는 자와 권한 없는 자 모두 대상 정보를 이용할 수도 있고, 후자는 이용하지 못하면서 전자만 이용할 수도 있다.

예를 들어 매우 중요한 정보가 적힌 문서가 있을 때, 가용성에 대한 공격은 권한 없는 자가 이 문서를 훔쳐가거나 문서 정보를 전혀 복원할 수 없을 정도로 훼손하는 것이다. 이 문서 정보의 가용성을 보호하려면, 문서를 금고에 넣고 열쇠를 안전하게 관리하거나 금고를 튼튼하게 설계된 방에 넣고, 방의 열쇠를 안전하게 관리하는 방법이 있다. 문 앞에 경비를 세울 수도 있다. 그 문서를 복사해 다른 곳에 보관하는 방법도 있다.

가용성 공격의 종류

• 서비스 거부(DoS: Denial of Service) 공격: 보통 대량의 트래픽을 네트워크와 서버에 보내 서버가 제공하는 서비스가 지연 또는 중단되도록 함. 많은 PC, 사물인터넷 기기 등을 악성코드에 감염시켜 분산된 곳에서 대량의 트래픽을 전송하기 때문에 주로 DDoS(Distributed DoS) 공격이라고도 함
• 차단(Interruption): 송신자가 수신자에게 보내는 메시지를 중간에 개입하여 전달되지 못하도록 함
• 암호화: 데이터나 소프트웨어를 암호화함으로써 시스템 또는 서비스가 작동하지 못하도록 함. 랜섬웨어 공격이 이에 해당함
• 데이터 삭제: 보호 대상 파일이나 데이터를 삭제

가용성 보호를 위한 방법

• DoS 공격에 특화된 대응 방법
• DDoS 공격 대응 장비: DDoS 공격 트패픽은 차단하고, 정상 트래픽은 통과시킴
• 사이버 대피소: DDoS 공격 트래픽을 DDoS 대응 장비가 있는 곳으로 라우팅하여 공격 트래픽을 차단하고, 정상 트래픽은 통과시킴
• 데이터 또는 서비스의 중복 제공: 서버 이중화, CDN(Contents Delivery Network) 이용, 클라우드 서비스 이용
• 백업과 복원: 랜섬웨어와 같은 서비스 또는 사업의 가용성에 대한 공격에 대해 필요한 사항을 백업하고 필요 시 복원함으로써 가용성 제공




• 일반적인 대응 방법
• 계정 및 권한 관리: 권한 없는 자가 중요 정보를 접근하지 못하도록 계정 및 권한 관리
• 사용자 인증: DB, 서버 등 중요 정보 접근 시 인증
• 접근 통제: 시스템, DB, 네트워크에 대한 방어

가용성 보호를 위한 유의사항

가용성은 매우 넓은 의미로 사용된다. 예를 들어 전원이 꺼져서 PC가 켜지지 않거나 배터리가 없어서 전화기가 작동하지 않는 것, USB 메모리를 분실해 사용하지 못하는 것도 가용성 문제이다. 이러한 가용성 문제에 대해서는 그에 적합한 방안을 찾아야 한다.