식별 및 인증은 대부분의 액세스 제어 시스템의 핵심입니다. 식별 내용은 다음과 같습니다.
정답: A
식별 및 인증은 대부분의 액세스 제어 시스템의 핵심입니다. 식별은 시스템의 작업에 대한 사용자 책임을 설정합니다.
시스템의 식별, 인증, 권한 부여 및 권한 사용과 관련된 활동을 기록하기 위해 제어 환경을 구축할 수 있습니다. 이는 오류 발생, 무단 작업 수행 시도를 감지하거나 제공된 자격 증명이 언제 실행되었는지 확인하는 데 사용할 수 있습니다. 탐지 장치로서의 로깅 시스템은 승인된 사용자가 실행한 작업(성공 및 실패 모두)과 작업에 대한 증거를 제공합니다.
사용자 ID 또는 이와 유사한 값을 통해 개인이 식별되면 인증을 받아야 합니다. 즉, 자신이 누구인지 증명해야 합니다. 인증에는 세 가지 일반적인 요소, 즉 개인이 알고 있는 것, 개인이 갖고 있는 것, 개인이 누구인지를 사용할 수 있습니다. 지식에 의한 인증, 소유권에 의한 인증, 특성에 의한 인증이라고도 한다.
사용자가 리소스에 액세스할 수 있으려면 먼저 자신이 누구인지, 필요한 자격 증명을 가지고 있는지, 요청하는 작업을 수행하는 데 필요한 권리나 권한을 부여받았는지 입증해야 합니다. 이러한 단계가 성공적으로 완료되면 사용자는 네트워크 리소스에 액세스하고 사용할 수 있습니다. 그러나 사용자의 활동을 추적하고 그의 행동에 대한 책임을 강요하는 것은 필요합니다.
식별은 주체(사용자, 프로그램 또는 프로세스)가 주장하는 엔터티인지 확인하는 방법을 설명합니다. 사용자 이름이나 계정 번호를 사용하여 식별이 제공될 수 있습니다. 적절한 인증을 받으려면 일반적으로 주체가 자격 증명 세트에 두 번째 부분을 제공해야 합니다. 이 조각은 비밀번호, 패스프레이즈, 암호화 키, 개인 식별 번호(PIN), 해부학적 속성 또는 토큰일 수 있습니다.
이 두 자격 증명 항목은 이 주제에 대해 이전에 저장된 정보와 비교됩니다. 이러한 자격 증명이 저장된 정보와 일치하면 주체가 인증됩니다. 하지만 아직 끝나지 않았습니다. 주체가 자격 증명을 제공하고 적절하게 식별되면 액세스하려는 시스템은 이 주체에게 요청된 작업을 수행하는 데 필요한 권리와 특권이 부여되었는지 확인해야 합니다. 시스템은 특정 유형의 액세스 제어 매트릭스를 살펴보거나 보안 레이블을 비교하여 이 주체가 실제로 요청한 리소스에 액세스하고 시도 중인 작업을 수행할 수 있는지 확인합니다. 주체가 리소스에 접근할 수 있다고 시스템이 판단하면 주체에게 권한을 부여합니다.
식별, 인증, 권한 부여 및 책임은 밀접하고 보완적인 정의를 갖고 있지만 각각은 액세스 제어 프로세스에서 특정 요구 사항을 충족하는 고유한 기능을 가지고 있습니다. 사용자는 네트워크에서 적절하게 식별되고 인증될 수 있지만 파일 서버의 파일에 액세스할 수 있는 권한이 없을 수도 있습니다. 반면, 사용자는 파일 서버의 파일에 액세스할 수 있는 권한을 부여받았지만 적절하게 식별되고 인증될 때까지 해당 리소스에 접근할 수 없습니다.
이 질문에 사용된 참고 자료:
슈나이터, 앤드루 (2013-04-15). CISSP CBK 공식 (ISC)2 가이드, 제3판: 액세스 제어((ISC)2 Press)(Kindle 위치 889-892). 아우어바흐 출판물. 킨들 에디션. 및 해리스, 손(2012-10-25). CISSP 올인원 시험 가이드, 6판(Kindle 위치 3875-3878). 맥그로힐. 킨들 에디션. 및 해리스, 손(2012-10-25). CISSP 올인원 시험 가이드, 6판(Kindle 위치 3833-3848). 맥그로힐. 킨들 에디션. 출처: KRUTZ, Ronald L. & VINES, Russel D., CISSP 준비 가이드: 컴퓨터 보안의 10가지 도메인 마스터하기, 2001, John Wiley & Sons, 36페이지.
