밤늦게 릴리스를 푸시하고 알림을 훑어보면, 개인 저장소에서 절대 나가지 shouldn't never 한 자격증이 나타납니다. 그것은 데이터베이스 패스워드였거나, 더 넓은 권한을 가진 클라우드 접근 키였습니다. 그 문제는 alguien someone 로그인할 수 있기 때문이 아니라, 데이터베이스 보안이 로그인 문제로 다루어지고 있지만 실제로는 저장 라이프 사이클 문제입니다.
이것은 모든 실제 시스템에서 나타납니다. 팀은 암호화를 한번만 활성화하고, 그들이 끝났다고 생각합니다. 백업을 유지하지만, 복원 테스트를 하지 않습니다. 편의를 위해 관리자 서비스 계정을 만들고, 그것이 존재하는 것을 잊습니다. 프로덕션을 잠근 다음, 스테이징에 고객 데이터를 복사한 채로 남깁니다. 모바일 또는 웹 앱을 개발하고 있다면, 데이터베이스 보안은 모든 것을 다 포함해야 합니다: 주 데이터베이스, 복제본, 수출, 로그, 백업, 그리고 모든 것을 제어하는 키.
그리고 다음 앱의 인증을 해결하고 있다면인증 및 저장소 보안은 다른 실패 모드를 해결하는 데 사용되는 것입니다. 인증은 누구에게 입장할지 결정합니다. 저장소 보안은 누군가가 입장하거나 데이터가 예상치 못한 경로를 통해 유출되는 경우에 발생하는 손해를 제한합니다. 고객 대면 앱을 배포하는 팀에게는 저장소 결정이 인접한 제어와 일치하는 것이 또한 중요합니다. API.
실제로 긴급성이 아니다. 2020년 64.2 제타바이트의 전 세계 데이터 생산량은 2025년까지 180 제타바이트로 증가할 것으로 예상되었습니다. Edge Delta의 데이터 저장소 요약 목차데이터베이스 보안은 단순한 암호만으로는 충분하지 않다.
침묵된 경로에서 보안이 실패한다.
- 인증 도난을 견뎌내야 하는 방어
- 데이터베이스 위협 모델 이해
- 안전한 데이터베이스 저장의 핵심 원리
- 실제로 암호화 구현 패턴
- Key 및 Secret 관리를 마스터하는 방법
- 백업 및 복구 전략을 설계하는 방법
- 데이터베이스 보안을 위한 개발자 체크리스트
- 자주 묻는 질문
데이터베이스 보안은 단순히 암호만으로는 충분하지 않습니다.
비밀번호는 하나의 진입점을 보호하지만, 인증 정보가 유출되거나 스냅샷이 복사되거나 내부 서비스가 테이블을 읽는 경우 데이터를 보호하지 않습니다. 따라서 안전한 데이터베이스 저장은 layering이 필요합니다.
구형의 정신 모델은 단순했습니다: 데이터베이스를 방화벽 뒤에 두고, 강력한 비밀번호를 요구하고, 외부로부터를 차단하면 됩니다. 그러나 cloud 시스템, 모바일 백엔드, 현대 CI/CD pipeline에서 이 모델은 깨집니다. 데이터는 서비스 간에 이동합니다. 개발자는 임시 수출을 생성합니다. 분석 작업은 레코드를 복제합니다. 백업 시스템은 복사본을 다른 인프라에 저장합니다. 공격자는 데이터베이스 엔진을 깨트리지 않아도 키를 훔치거나 API 토큰을 악용하거나 더 약한 제어를 가진 복제본을 찾으면 됩니다.
보안은 조용한 경로에서 실패합니다.
가장 손상된 저장소 실패는 처음에는 드라마틱하지 않습니다. 보통 보통입니다.
- 개발자 편의성이 프로덕션 위험으로 변합니다: 공유 관리자 인증 정보가 스크립트에 의해 재사용됩니다. 이는 배포를 중단하는 것을 회피하기 때문입니다.
- 복사된 데이터베이스가 규제를 벗어난다: 프로덕션 레코드가 스테이징으로 복사되어 버그를 재현하기 위해 QA가 복사합니다.
- A backup은 약점이 됩니다. 생산 환경은 강력한 제어가 있지만 복원 버킷 또는 스냅샷 정책이 없습니다.
실용적인 규칙: 만약 공격자가 읽을 수 있는 데이터에 대한 유일한 장애물이 하나의 자격증만 있다면, 보안 저장소가 아니라 단일 실패 지점이 있습니다.
공격을 막는 것은 자격증 남용을 막는 것입니다.
마이크로소프트의 클라우드 지침은 암호화 전송 및 암호화 저장, 최소 권한 접근 제어, 비인가 활동 모니터링을 포함하는 기본 라인으로 추천합니다. 이는 클라우드 데이터 보안 최적화 가이드라인에 나와 있습니다.실제 사고는 종종 유효한 접근 권한을 잘못 사용한 경우에 시작됩니다.
실용적인 방법은 단순하고 일관적입니다. 데이터베이스 파일을 암호화하세요. 연결을 암호화하세요. 서비스 역할을 분리하세요. 관리자 접근 권한을 제거하세요. sensitive한 연산을 로깅하세요. 비정상적인 접근 패턴에 대한 알림을 설정하세요. 그 중 하나도 이쁘지 않지만 실제 침해를 막습니다.
실용적인 방법은 물리적 금고를 생각하는 것입니다. 금고 문이 중요합니다. 또한 격리 장치, 카메라 footage, 방문 로그, box를 열 수 있는 사람의 정책이 중요합니다. 보안 데이터베이스 저장소도 마찬가지입니다. 패스워드는 단지 금고 문 앞에 있는 것입니다.
데이터베이스 저장소 위협 모델 이해
컨트롤을 선택하기 전에 시스템이 실패할 수 있는 방법을 매핑하세요. 데이터베이스 저장소 위협 모델은 학술적인 필요가 없습니다. 데이터베이스에 접근할 수 있는 사람, 접근 방법, 성공 시 발생하는 결과를 알려줘야 합니다.
敏感 데이터는 거의 항상 한 개의 정돈된 프로덕션 데이터베이스에 존재하지 않습니다. 현대적인 지침은 발견과 포지처 관리를 강조합니다. 왜냐하면敏感 정보는 종종 복사본, 백업, 로그, 개발 환경에 저장되기 때문입니다. 따라서 주요 데이터베이스 외부에서 실패가 발생하는 경우가 많습니다. 이는 Cloudflare의 Cloud Data Security and Posture Management 개요 에서 설명한 바와 같이. 세 번째 파티의 데이터 유출 대응 지침Third-Party Breach Response Best Practices
가 관련이 됩니다.
도구보다 자산부터 시작하십시오.
품목을 목록화하기 전에 중요 자산을 목록화하십시오.
- 대부분의 앱 팀에게는 이러한 중요한 자산이 명확합니다: 고객 기록
- 프로필, 주문 내역, 결제 관련 메타데이터, 또는 건강 관련 콘텐츠와 같은 것들입니다. 예를 들어 비밀번호 해시, 세션 기록, 갱신 토큰, 또는 API 비밀 정보.
- 운영 데이터 예를 들어 감사 로그, 작업 큐, 관리자 노트 및 지원 내보내기.
- 복구 자산 예를 들어 스냅샷, 논리적 덤프, 특정 시점 로그 및 암호화 키.
마지막 항목은 팀이 생각하는 것보다 더 중요합니다. 공격자가 백업을 삭제하거나 복호화 키에 접근할 수 있다면 복구 스토리가 붕괴됩니다.
가장 중요한 3가지 위협 그룹
개발자와 함께 사용하는 간단한 모델은 3개의 그룹이 있습니다.
외부 공격자
이것은 처음으로 생각하는 그룹입니다. SQL 인젝션, 훔친 API 토큰, 누출된 클라우드 자격 증명, 노출된 관리자 패널, 취약한 의존성. 공통된 주제는 데이터에 접근할 수 있는 외부 경로입니다.
질문:
- 어떤 사람이 데이터베이스를 간접적으로 앱을 통해 조회할 수 있나요?
- 서버 인증 정보가 도난 당해도 여러 서비스가 필요로 하는 것보다 더 많은 서비스를 읽을 수 있나요?
- 복사한 스냅샷이 독립적으로 읽을 수 있나요?
내부 위협
이것은 악의적인 내부자와 권한이 너무 많은 잘못된 의도 없는 직원도 포함합니다. 지원 엔지니어는 티켓을 해결하기 위해 데이터를 내보냅니다. 계약자들은 로컬 복사본을 유지합니다. 플랫폼 관리자는 생산 라인에 접근할 수 있지만 그들의 직무에는 필요하지 않습니다.
이것을 도와주는 것은 책임 분리, 역할 기반 접근, 감사 기록이敏감한 읽기 액세스를 표시하는 것입니다.
접근한 고객 기록, 언제 접근했는지, 왜 그 접근이 허용되었는지에 대한 정보를 제공할 수 없다면, 데이터베이스 제어는 더 강력하게 보이지만 실제로는 약합니다.
부주의 노출
이것은 빠르게 움직이는 팀에서 가장 일반적인 범주입니다. 미설정된 저장소 버킷. 스테이징 환경에 라이브 데이터를 채워넣은 것. 토큰이나 개인 정보를 포함한 디버그 로그. 복원된 백업을 낮은 보안 환경에서 디버깅을 위해 배치한 것입니다.
부주의 노출이 강력한 저장소 보안이 운영에 있어야 하는 이유입니다. 단일 설정으로 해결할 수 없습니다. 데이터 분류, 경계, 검토, 정기적인 청소로 해결할 수 있습니다.
데이터베이스 보안의 핵심 원칙
보안 데이터 저장은 일반적인 실수 chain을 여러 지점에서 끊고, 시스템이 변경될 때마다 계속 끊어야 합니다.
나는 작업을 네 가지 기둥으로 분류합니다: 암호화, 접근 제어, 감사, 최소화. 백업 및 복구도 중요하지만, 복원된 데이터가 새로운 노출 경로가 될 수 있기 때문에, 누구도 그것이 어디에 도착하는지, 누구도 그것을 읽을 수 있는지, 어떤 키가 그것을 해독할 수 있는지 테스트하지 않는 한, 운영 처리에 riêng한 가치가 있습니다.
암호화는 훼손된 데이터의 가치를 줄입니다.
암호화는 시간을 벌고 영향을 줄입니다. alguien이 디스크 스냅샷, raw 백업 파일, 또는 내부 네트워크에서 traffic를 가져오면, 암호화된 데이터는 고객 기록으로 변환하기가 훨씬 더 어렵습니다.
휴지 상태에서 암호화는 데이터베이스 파일, 스냅샷, 백업 아티팩트를 보호합니다. 전송 중에 TLS는 애플리케이션 서버, 프록시, 데이터베이스 엔진 간의 연결을 보호합니다. NIST는 SP 800-111 및 관련 데이터-휴지 상태 권장 사항에서 이 두 가지 제어를 다룹니다. SP 800-111은 데이터-휴지 상태 권장 사항을 포함합니다..
운영상의 트레이드 오프가 아닌 이론적인 것입니다. 암호화는 데이터 경로와 함께 키 관리가 분리되어 유지되는 경우에만 도움이 됩니다.velope 암호화는 빌딩 마스터 키와 잠긴 사무실 키와 같이 작동합니다. 키 관리 서비스는 마스터 키를 보호하고, 그 마스터 키는 실제 레코드 또는 파일을 위한 실제 데이터 키를 암호화합니다. 이 설계는 키 회전 시 노출을 제한하고, 키 재발급 또는 키 재치환을 수행할 때 모든 것을 다시 작성하지 않고 쉽게 취소하거나 대체할 수 있도록 합니다.
팀이 암호화를 활성화하고 그만두면 문제가 생깁니다. 키가 어디에 있는지, 누구가 키를 사용할 수 있는지, 키 회전이 예약되어 있는지, 그리고 잊어버린 키 버전이 여전히 이전 백업에 의존하는지 확인해야 합니다.
접근 제어는 폭파 반경을 제한합니다.
권한은 조직 차트와는 별도로 애플리케이션 경계를 따라야 합니다.
체크아웃 API에 대한 데이터베이스 역할은 급여 데이터를 읽을 수 없습니다. 배경 작업자는 초기 마이그레이션 시 편리했기 때문에 스키마 변경 권한이 없습니다. 지원 도구는 필터링된 뷰 또는 승인된 절차를 사용하여 대량의 테이블 접근을 피해야 합니다.
실용적인 모델은 다음과 같습니다.
- 웹 애플리케이션 역할: 사용자 요청에 대한 테이블 뒤의 읽기 및 쓰기 권한이 제한됩니다.
- 작업자 역할: 작업자가 실행하는 작업을 위한 레코드에 대한 접근 권한이 있습니다.
- 분석 역할: 필터링된 데이터 세트에 직접 식별자 제거가 가능한 경우에만 읽기 전용 접근 권한이 있습니다.
- 보안 역할: 단기적 승인에 대한 강력한 로깅 및 검토.
데이터 변환과 함께 pair하면 이 기둥이 더 강해집니다. 팀이 마스킹된 데이터 또는 축소된 데이터로 작업할 수 있다면, 그 버전을 사용하는 것이 전체 프로덕션 값 대신에 더 좋습니다. 규제된 건강 데이터의 경우 PHI의 비식별화 유용한 접근과 불필요한 노출의 차이입니다.
__CAPGO_KEEP_0__ 키 보안은 앱 스토어 준수에 특히 중요합니다. API 앱스토어 준수성을 위한 보안 키감사 결과가 제어가 실제로 작동하는지 여부를 보여줍니다.
검증할 수 없는 정책은 단순히 희망입니다.
절대 신뢰할 수 없는 정책은 단순히 희망일 뿐이다.
또한 느린 드리프트를 드러냅니다. 예를 들어, 서비스 계정은 이전에 필요하지 않은 테이블에 접근하기 시작했습니다.
사용 가능한 감사 범위는 일반적으로 다음과 같습니다.
- 인증 활동: 성공 로그인, 실패 로그인, 토큰 사용, 및 관리자 세션.
- 권한 변경: 허가, 취소, 역할 생성, 정책 편집, 및 스키마 변경.
- Sensitive 접근 패턴: 대량 읽기, 큰 내보내기, 비정상적인 쿼리 경로, 및 예상 시간 또는 원본 네트워크 외부 접근.
- 키 관리 이벤트: 키 생성, 회전, 암호화 실패 시도, 비활성화 버전, 및 KMS 또는 비밀 저장소의 정책 변경.
보존은 여기에서 중요합니다. 또한 검토도 중요합니다. 로그가 만료되기 전에誰도 조사하지 못한 경우, 또는 이미 침해가 발생한 경우에만 권한 변경을 확인하지 않는다면, 감사 시스템은 이론적으로만 존재합니다.
implementation 세부 사항이 너무 추상화되기 전에 좋은 설명자입니다:
민감한 데이터를 잘 수호할 수 없는 곳에서 제거하는 것이 중요합니다.
민감한 데이터를 잘 수호할 수 없는 곳에서 제거하는 것이 중요합니다. 이는 많은 팀이 최소한의 엔지니어링 노력으로 가장 큰 보안 이익을 얻는 곳입니다.
더 적게 저장하고, 더 짧은 기간 동안 보관하고, 더 적은 곳에 복사하세요. 만약 특정 기능이 연령대만 필요로 한다면, 생년월일을 전부 저장하지 마세요. 만약 지원이 마지막 네 자리만 필요한 식별자에 대해만 지원한다면, 전부 노출하지 마세요. 만약 테스트 환경이 실제 개인 데이터가 필요하지 않다면, 생산 백업을 복원하지 마세요.
이것도 운영 방식입니다. 보존 일정은 강제로 지켜야 합니다. 오래된 내보내기도 삭제해야 합니다. 다운스트림 시스템도 검토해야 합니다. 왜냐하면_sensitive field가 검색 색인, 캐시, 데이터 레이크, 모바일 저장소, ad hoc CSV 파일에 복제될 때마다 위험성이 증가하기 때문입니다. Capacitor 앱들에 대해 @capgo/capacitor-데이터 저장소-sqlite 그리고 @capgo/capacitor-빠른 SQL 암호화된 앱 내부 저장소를 제공할 수 있지만, 여전히 지역 저장소에 저장되지 않아야 하는 항목을 결정해야 합니다.
이러한 기둥의 목적은 첫 번째 날에 완벽함을 달성하는 것이 아닙니다. 그것은 키 회전, 직원 변경, 사고 대응, 백업 복원, 제품 성장과 같은 상황에서 저장 시스템이 지속적으로 방어할 수 있는 시스템을 구축하는 것입니다. 그게 보안 데이터베이스 저장이 성공하거나 실패하는 지점입니다.
실용적인 구현 패턴
모든 시스템에 적합한 암호화 패턴은 없습니다. 올바른 선택은 무엇을 보호하고, 누구에게 쿼리할 수 있고, 팀이 지원할 수 있는 복잡도에 따라 달라집니다. 실수는 가장 강력한 sounding 패턴을 선택하고 나서 그것을 나쁘게 구현하는 것입니다.
TDE는 가장 빠른 기본선.
Transparent Data Encryption, 또는 TDE는 일반적으로 가장 쉬운 시작점입니다. 데이터베이스 엔진은 디스크에 파일을 암호화하고 엔진이 메모리에 읽어 들이면 암호화된 파일을 복호화합니다. 애플리케이션은 일반적으로 code 변경이 필요하지 않습니다.
이것은 다음과 같은 강력한 기본선입니다:
- 전체 데이터베이스 보호
- 저장 장치 수준의 준수 요구 사항
- 스냅샷, 디스크, 또는 원시 파일 접근으로부터의 위험 감소
TDE는 모든 것을 보호하지 않습니다. 공격자가 유효한 데이터베이스 접근 권한을 얻으면 엔진은 여전히 복호화된 데이터를 제공합니다. 따라서 TDE는 저장 장치 위반이 아닌 유효한 자격 증명으로의 남용을 방지합니다.
애플리케이션 수준 암호화는 가장 중요한 field를 보호합니다.
애플리케이션 수준 암호화는 데이터가 데이터베이스에 도달하기 전에 발생합니다. code가 선택한 field를 암호화한 후, ciphertext를 저장 장치에 쓰는 방식으로 작동합니다. 특히 sensitive한 열(예: 정부 ID, 은행 정보, 복구 비밀, 개인 노트)과 같은 경우가 있습니다.
그것은 추가 제어를 제공하지만 다음과 같은 트레이드 오프가 있습니다:
- 복잡성이 더 많습니다: 키 선택, 암호화 라이브러리, 회전 동작 및 오류 처리가 필요합니다.
- 쿼리하기가 더 어려워집니다: 정확한 일치, 부분 검색 및 색인화가 설계 문제가 됩니다.
- 개발자들은 discipline이 필요합니다: 이동 스크립트에서 단 하나의 단축키가 모델 전체를 무력화시킬 수 있습니다.
간단한 가짜 코드 패턴은 다음과 같습니다:
| 단계 | 작업 |
|---|---|
| 1 | 요청에서 평문 필드를 읽습니다 |
| 2 | 키 서비스에서 데이터 암호화 키를 요청하거나 wrapped local key를 사용합니다 |
| 3 | 데이터베이스 저장을 위한 보안화 |
| 4 | 데이터베이스에 암호문과 메타데이터를 저장하십시오. |
| 5 | 만약 읽기 경로가 승인된 경우에만 암호문을 해독하십시오. |
애플리케이션의 로컬 영속성에 대한 설계 질문은 동일합니다. 장치에 오프라인 토큰이나敏感한 동기화 상태를 저장하는 경우, 기본적으로 모바일 저장소가 안전하다고 가정하지 마십시오. 플랫폼에 대한 패턴을 사용하십시오. __CAPGO_KEEP_0__에서 discussed된 것과 같은 것들. secure storage for offline tokens in Capacitor.
안전한 데이터베이스 저장
문서를 작은 안전한 곳에 잠금해 두십시오. 그 작은 안전한 곳의 키는 다시 은행 금고에 잠금해 두십시오. 만약 someone가 문서 저장層을 훔치더라도, 그들은 여전히 더 높은 보호 수준의 금고 키에 접근해야 합니다. 그 키를 얻기 전에는 유용한 것을 열 수 없습니다.
일반적인 흐름:
데이터 키를 생성하십시오.
- 데이터 키를 생성한 후에 데이터를 암호화하십시오. 데이터를 암호화한 후에 데이터 키를 암호화하십시오.
- 데이터 키를 생성하십시오. 데이터를 암호화하십시오.
- 데이터 키를 wrapping하세요 KMS 또는 HSM에서 master key를 사용하세요.
- 암호화된 데이터와 wrapping된 키 메타데이터를 함께 저장하세요 레코드 또는 객체와 함께.
- 권한이 있는 읽기 동안에만 unwrap하세요.
Field 조언: 강력한 격리와 모든 애플리케이션 서버에 노출되지 않는 장기적인 master key를 노출하지 않고도 사용할 때 envelope encryption을 사용하세요.
이 패턴은 성능과 제어가 균형을 이루는 이유로 일반적입니다. 애플리케이션은 실제 암호화 작업을 위해 짧은 수명 데이터 키를 사용하며, KMS 또는 HSM은 wrapping 및 unwrapping을 위해 사용하는 master key를 보호합니다.
암호화 패턴 비교
| 패턴 | implementation 복잡도 | 성능 영향 | 최고 추천 |
|---|---|---|---|
| 디스크 또는 볼륨 암호화 | 낮음 | 낮음 | 서버 및 연결된 스토리지에 대한 인프라 수준 보호 |
| 투명한 데이터 암호화 | 낮음에서 중간 | 낮음에서 중간 | 최소한의 앱 변경으로 전체 데이터베이스 보호 |
| 애플리케이션 수준 암호화 | 중간에서 높음 | 필드 사용 및 쿼리 디자인에 따라 다름 | 높은 민감도 컬럼과 엄격한 분리 필요성 |
| 봉투 암호화 | 중간에서 높은 | 중간 | 강한 키 분리 및 확장 가능한 키 관리가 필요한 시스템 |
실용적인 규칙은 간단합니다. 강력한 기본선인 TDE 또는 관리 중인 암호화가 있는 경우부터 시작하고, 데이터 민감도 및 위협 모델이 추가 엔지니어링을 정당화하는 경우에만 field-level 또는 envelope encryption을 추가하세요.
키 및 비밀 관리
침해는 일반적인 비밀 처리 오류로 시작합니다. 프로덕션 데이터베이스가 암호화되어 있고 백업이 존재하고, 접근 권한이 종이로 제어되는 것처럼 보입니다. 그런 다음 CI 작업이 로그에 토큰을 출력하거나 엔지니어가 지원 스크립트에 관리자 자격을 재사용하거나 오래된 키가 팀이 생성한 후에도 활성화된 채로 남아 있는 경우가 있습니다.
이는 키 및 비밀 관리가 운영 관행이기 때문입니다.
데이터베이스가 잘못된 키로 암호화된 경우, 접근 권한이 있는 서버 룸과 동일하게 작동합니다. 정부 지침도 같은 점을 강조합니다. 암호화만으로는 KMS 또는 HSM 기반 키 관리, 최소 권한 접근, 복구 계획을 생략하는 팀이 존재할 경우 격차를 메우지 못합니다. NSA와 파트너의 클라우드 데이터 보안 지침.
팀이 이것을 잘못하는 경우
사고 리뷰에서 익숙한 패턴은 다음과 같습니다:
- code의 소스에서 비밀을 찾습니다: 직접 입력된 인증 정보, 임베디드 인증서 또는 생산 의존성이 된 스크립트가 있습니다.
- 복사된 구성 파일에 비밀을 찾습니다: 노트북을 옮기거나 공유 폴더에 저장하거나 급히 고쳐야 하는 경우에 파일을 전달합니다.
- 강제 제어가 약한 환경 변수: 편리하지만, 빌드 로그, 셸 히스토리, 크래시 리포트 또는 광범위한 런타임 권한을 통해 노출됩니다.
- 회전에 대한 책임이 없습니다: 키가 몇 년 동안 존재하는 이유는 팀이 재발급, 배포, 롤백 계획을 소유하지 않기 때문입니다.
- 고급 권한의 공유 비밀: 응용 프로그램, 엔지니어, 및 자동화가 사용하는 하나의 인증 정보로, 감사 및 제한이 더 어려워집니다.
앱 및 인프라 비밀을 저장하는 방법에 대한 실용적인 참고 자료를 만드는 경우 보안 데이터 저장 보안 환경 변수
팀이 임의의 비밀 분산에서 벗어나도록 도울 수 있습니다.
좋은 키 관리 방법 KMS 위험, 규정 준수 요구 사항, 서명 및 키 보호 규칙이 전용 하드웨어 경계를 정당화할 때 사용하는 보안 모듈(HSM) HSM 봉투 암호화는 여기서 좋은 정신 모델입니다. 애플리케이션은 암호화 작업을 위해 짧은 수명 데이터 키를 처리합니다. 보관함 키는 KMS 또는 HSM에 머물며 접근이 엄격하게 제한됩니다.
실제 사고를 방지하는 제어는 운영적입니다:
안전하게 실행할 수 있는 일정에 따라 키를 회전하세요:
- 회전은 compromized 키의 유용한 수명을 줄지만, 애플리케이션, 작업, 복원 작업이 이후에도 작동하는지 확인해야 합니다. key rotation은 해킹된 키의 유용한 수명을 줄이지만, 애플리케이션, 작업, 복원 등이 이후에도 작동하는 경우에만 그렇다.
- 업무 분리: 고객 데이터를 읽는 서비스는 키 정책 변경이나 로깅 비활성화도 할 수 없어야 합니다.
- _sensitive한 키 이벤트 로깅: 키 생성, 회전, 암호 해독 요청, 접근 실패, 정책 변경 등 모든 이벤트가 표시되어야 합니다.
- 재 암호화 경로 테스트: wrapping key 회전은 일반적으로 애플리케이션 데이터 재 암호화보다 쉽지만, 둘 다 롤백 단계와 재 암호화 경로가 필요합니다.
- 기존 비밀번호를 의도적으로 비활성화하고 폐기: cutover 시간을 남겨두고 오래된 자격 증명을 제거하여 quiet backdoor가 될 수 없도록 하세요.
CI/CD는 프로덕션 런타임과 같은 discipline을 deserves합니다. 빌드 시스템은 넓은 접근 권한과 약한 가시성을 가지고 있어, 비밀누출의 일반적인 장소입니다. 이에 대해 진지하게 생각하는 팀은 CI/CD pipeline에서 비밀 관리를 formalize합니다. 대신 pipeline 자격 증명을 임시 예외로 취급하지 않습니다. pipeline 인증 정보를 임시 예외로 다루지 말고.
응용 프로그램은 code에서 암호화 연산을 요청하는 신뢰할 수 있는 시스템으로부터, 환경에서 원시 마스터 키를 운반하지 말아야 합니다.
스택 내에서 가장 강력한 암호화 설계가 의미가 없는 것은 개발자, pipeline 또는 지원 도구가 마스터 키를 잘못된 위치에 복사할 수 있게 되면 말입니다.
강건한 백업 및 복구 전략 설계
백업은 안전한 데이터베이스 저장에 포함되어야 하며, 별도의 관리 업무가 아님을 기억하세요. 만약 프로덕션 환경이 보호되고 백업이 보호되지 않는다면, 공격자는 더 쉬운 경로를 선택할 것입니다.
Independent storage guidance recommends keeping backup and recovery systems at the same protection level as production because ransomware and malware incidents often leave secure, tested backups as the only viable recovery path, according to 안전한 데이터 저장 방법.
백업은 자신의 보안 경계를 필요로 합니다.
강건한 백업 설계에는 몇 가지 속성이 있습니다:
- 백업은 전송 중 및 저장 중 암호화됩니다.
- 백업 자격 증명은 프로덕션 자격 증명과 분리됩니다.
- 삭제 및 보존 제어는 일반 앱 접근보다 더 어렵습니다.
- 복원 대상은 약한 제어가 있는 shadow 프로덕션 환경이 되지 않습니다.
일반적인 실패 모드는 암호화된 백업을 저장하는 것입니다. 그러나 마찬가지로 손상된 프로덕션 역할이 삭제할 수 있도록 허용합니다. 또 다른 것은 복원 시 임시 환경에 넓은 엔지니어 접근 권한과 로깅이 없는 환경으로 복원하는 것입니다. 복구 경로도 주된 경로와 같은 심도에 검토할 가치가 있습니다.
테스트 복원은 실제 제어입니다.
테스트되지 않은 백업은 단순히 희망적인 저장소입니다.
복원에 성공한 팀은 단순히 백업 작업이 완료되었는지 확인하는 것만으로는 충분하지 않습니다. 그들은 복원 작업이 작동하는지, 복원된 데이터가 사용할 수 있는지, 필요할 때 암호화 키, 연결 설정 및 종속 서비스가 모두 일치하는지 증명합니다.
실용적인 복원 프로그램에는 다음과 같은 요소가 포함됩니다:
- 정기적인 복원 연습 분리된 환경으로.
- 응용 프로그램 기능의 검증 데이터베이스 복원 후, 파일 복원만으로는 아닙니다.
- 키 사용 가능성 확인 암호화된 백업이 복원될 수 있도록.
- 복원된 시스템에 대한 접근 검토 사고 시敏감데이터가 널리 공개되지 않도록 방지합니다.
백업만으로는 당신을 구하지 못합니다. 성공적인 복원만이 당신을 구합니다.
백업만 생성 테스트하고 복원 테스트를 하기만 하면, 회복 전략을 검증하지 못했습니다. 파일이 누적되는 곳을 검증했습니다.
안전한 데이터베이스 저장소 유지에 대한 개발자 체크리스트
이 체크리스트는 디자인 리뷰, 릴리즈 리뷰, 그리고 사후 사고 정리 시 팀이 사용해야 하는 체크리스트입니다.
설계
- _sensitive field_을 명확하게 식별했습니까?: 개인 데이터, 인증 자료, 금융 기록, 그리고 보존 규칙에 따라야 하는 모든 항목.
- 저장하지 않기로 결정했습니까?: 필요하지 않은 필드와, 다운스트림 팀이 피할 수 있는 복사본.
- 데이터가 어디서 살아남을지 매핑했습니까?: 생산, 스테이징, 로그, 수출, 분석 시스템, 백업, 그리고 클라이언트 장치.
구현
- 데이터는 저장 중 및 전송 중 암호화되어 있는가: 데이터베이스, 복제본 및 백업 경로에 대해
- 응용 프로그램 및 서비스 역할은 엄격하게 범위가 지정되어 있는가: 일반 앱 트래픽에 대해 공유 슈퍼 사용자 없음.
- 비밀 키와 암호화 키는 code와 느슨한 구성 외부에서 처리되는가: 통제된 접근 및 감사 가능성.
- 敏감 데이터 접근 및 특권 변경은 중앙 위치에서 로깅되는가: 수정 가능.
운영
- 키 회전 및 비밀 검토는 정상적인 운영의 일부인가: 연간 대란이 아닌.
- 정기적으로 복원 테스트를 수행합니까? 복원 시스템에서 암호화, 애플리케이션 시작, 및 접근 검토를 포함합니다.
- 데이터 스푸로를 지속적으로 감사합니다. 준비 중인 복사본, 지원 수출, 개발 데이터 세트 및 잊혀진 백업 위치를 포함합니다.
좋은 보안 데이터베이스 저장은 프로젝트 단계가 아닙니다. 그것은 반복적인 관행입니다.
자주 묻는 질문
Cloud 제공업체의 기본 암호화가 충분합니까?
그것은 강력한 기초선이지만 완전한 전략이 아닙니다. 기본 암호화는 저장 매체 및 관리 서비스를 보호하지만, 그것은 권한이 과도한 접근, 복사된 데이터 세트, 약한 백업 제어, 또는 나쁜 키 관리를 해결하지 않습니다.
암호화가 데이터베이스 성능에 영향을 미치나요?
일부 경우에, 그렇습니다. 영향의 패턴에 따라 달라집니다. 인프라 및 데이터베이스 수준 암호화는 일반적으로 더 적은 애플리케이션 복잡성을 가지고 있습니다. field-level 암호화는 선택된 데이터에 더 강한 제어를 제공하지만, 인덱싱, 필터링 및 검색을 복잡하게 할 수 있습니다. 작업로드에 대한 측정 전에 광범위한 배포를 하기 전에.
이것은 SQL 및 NoSQL 시스템과 다르나요?
원칙은 동일합니다. 여전히 암호화, 최소 권한, 감사, 키 관리 및 테스트 복원 필요합니다. 구현 세부 사항은 문서 저장소, 키-값 저장소 및 관계형 시스템이 다른 접근 모델 및 쿼리 동작을 노출하기 때문에 다릅니다.
토큰화와 암호화의 차이점은 무엇인가?
암호화는 권한이 있는 시스템이 올바른 키로 암호를 해독할 수 있도록 데이터를 변환합니다. 토큰화는敏感한 값을 대체 값으로 대체하고 원본 데이터를 분리합니다. 토큰화는 앱 워크플로우에서 노출을 줄일 수 있지만 시스템 설계 복잡성을 추가하고 강력한 저장 제어 필요성을 제거하지는 않습니다.
Capgo은 Capacitor 및 Electron 앱에 빠르게 수정을 배포하는 데 도움이 됩니다. signed web bundle delivery, rollout controls, rollback protection, 및 release observability가 포함됩니다. Storage, auth, 또는 API 오류로 인한 사고 대응 계획이 클라이언트 측 수정을 빠르게 배포하는 데 의존한다면 Capgo을 평가하는 것이 가치가 있습니다. Capgo __CAPGO_KEEP_0__
