Bell-Lapadula 모델로 보는 기밀성 중심 접근제어

기밀성 보호를 위한 보안 등급의 규칙

Bell-Lapadula 모델은 1973년 David Elliott Bell과 Leonard J. LaPadula가 미국 국방부를 위해 개발한 기밀성 중심 접근제어 모델이다. 군사 및 정부 기관의 정보보호를 목적으로 설계됐으며, 정보가 낮은 보안 등급으로 흘러가는 상황을 제어하는 데 초점을 둔다.

이 모델은 수학적 토대 위에 구축된 최초의 공식 보안 모델 가운데 하나다. 현대 정보보안 시스템에서도 보안 등급과 접근 권한을 설계할 때 그 기본 원칙을 확인할 수 있다.

접근 관계를 다루는 대상은 다음과 같다.

• 주체(Subject): 사용자나 프로세스처럼 정보에 접근하는 엔티티
• 객체(Object): 파일, 데이터베이스 등 접근 대상이 되는 정보 또는 리소스
• 보안 레벨(Security Level): 비밀, 대외비, 일반처럼 정보 민감도를 구분하는 수준

읽기와 쓰기를 분리하는 통제 방식

Bell-Lapadula 모델은 기밀성을 지키기 위해 ss-속성, *-속성, ds-속성을 함께 사용한다.

상위 보안 등급은 읽을 수 없다

Simple Security Property, 즉 ss-속성은 주체가 자신의 보안 레벨보다 높은 레벨의 객체를 읽지 못하도록 한다. 이를 no read up 또는 read-down 규칙이라고 부른다.

예를 들어 일반 보안 레벨의 사용자는 대외비나 비밀 문서를 읽을 수 없다. 주체가 허가된 등급보다 높은 정보를 취득하는 경로를 차단하는 규칙이다.

하위 보안 등급에는 쓸 수 없다

*-Property는 주체가 자신의 보안 레벨보다 낮은 레벨의 객체에 정보를 기록하지 못하게 한다. write-up 또는 no write down 규칙으로도 표현한다.

비밀 보안 레벨의 사용자는 대외비나 일반 문서에 정보를 쓸 수 없다. 상위 레벨에서 다루던 정보가 낮은 레벨의 문서로 내려가 유출되는 것을 막기 위한 제약이다.

매트릭스로 세부 권한을 더한다

Discretionary Security Property, ds-속성은 접근 제어 매트릭스(Access Control Matrix)를 이용해 주체와 객체 사이에 추가 제한을 둘 수 있게 한다. 시스템 관리자는 이 매트릭스를 통해 특정 사용자 또는 프로세스의 접근 권한을 세밀하게 조정할 수 있다.

이는 필수 접근 제어(MAC)와 임의 접근 제어(DAC)를 결합한 형태다.

보안 상태를 구성하는 요소

Bell-Lapadula 모델은 보안 상태 정의, 상태 전이 규칙, 초기 상태를 바탕으로 보안 상태 집합을 다룬다.

⤢✕

보안 상태는 현재 접근 집합(b), 접근 제어 매트릭스(M), 보안 레벨 함수(f)로 구성된다.

계층형 문서와 민감 정보에 적용하는 방식

미국 국방부와 같은 정부 기관은 Bell-Lapadula 모델을 기반으로 문서 관리 시스템을 구축해 사용할 수 있다. 보안 등급을 계층으로 나누고, 사용자 등급에 따라 읽기와 쓰기를 다르게 허용하는 구조다.

⤢✕

금융기관과 의료기관처럼 민감한 정보를 다루는 기업 환경에도 같은 원칙을 적용할 수 있다. 금융기관에서는 일반 직원이 기본 고객 정보에만 접근하고, 중간 관리자는 거래 내역과 같은 중요 정보에 접근하며, 임원급은 모든 정보에 접근하도록 구성할 수 있다.

의료기관에서는 접수 직원에게 환자의 기본 인적사항만 허용하고, 간호사에게 기본 의료 기록을, 의사에게 모든 의료 기록을 허용하는 식으로 접근 범위를 나눌 수 있다.

이 모델이 제공하는 것과 남는 문제

보안 레벨에 따른 접근 규칙이 명확해 이해와 적용이 비교적 단순하다. 수학적 기반이 있으므로 보안 정책의 일관성을 형식적으로 검증할 수 있으며, 정보가 하위 등급으로 유출되는 상황을 통제하는 데 적합하다. 특히 군사 조직이나 정부 기관처럼 계층 구조가 뚜렷한 환경과 잘 맞는다.

반면 이 모델은 데이터 무결성을 보장하지 않는다. 무결성 문제는 Biba 모델처럼 무결성에 초점을 둔 모델로 별도 보완해야 한다. 엄격한 규칙은 정보 공유와 협업을 어렵게 만들어 시스템 가용성에 영향을 줄 수도 있다.

은닉 채널(Covert Channel)도 모델만으로 차단할 수 없다. 상위 보안 레벨 사용자가 파일 존재 여부나 시스템 리소스 사용 패턴을 통해 하위 레벨 사용자에게 정보를 전달할 가능성이 남는다. 클라우드 컴퓨팅, 분산 시스템, 모바일 환경에서는 적용 자체가 복잡해질 수 있다는 점도 고려해야 한다.

정책과 시스템에 녹여낼 때의 흐름

정보보호 정책에 Bell-Lapadula 원칙을 반영하려면 조직에 맞는 보안 레벨을 먼저 정해야 한다. 일반-내부용-대외비-기밀처럼 레벨 체계를 수립한 뒤, 사용자와 정보 자산을 해당 레벨에 따라 분류한다.

그 다음 ss-속성과 *-속성에 맞춰 접근 규칙을 설정하고, 예외가 필요한 관계는 접근 제어 매트릭스로 관리한다. 규칙 위반 시도를 감지할 수 있도록 모니터링 체계도 함께 구성해야 한다.

⤢✕

클라우드에서는 저장소 데이터에 보안 레벨 태그를 지정하고, IAM(Identity and Access Management)에서 사용자와 서비스 계정에 보안 레벨을 할당할 수 있다. Bell-Lapadula 규칙에 맞춘 접근 제어 정책, 보안 레벨별 차등 암호화, 모든 접근 시도의 로깅과 분석이 함께 필요하다.

데이터베이스에서는 보안 레벨에 따라 테이블과 칼럼을 설계하고, 사용자 레벨별 데이터 뷰(View)를 제공할 수 있다. 보안 레벨과 연계된 데이터베이스 역할을 정의하며, 레코드별 보안 레벨을 지정하는 로우 레벨 보안과 모든 쿼리의 로깅·분석을 적용할 수 있다.

기밀성 모델을 현대 환경에 해석하는 일

Bell-Lapadula 모델은 40년이 넘는 역사에도 정보보안의 기본 원칙으로 남아 있다. 군사 및 정부 환경에서 출발했지만, 기밀성이 필요한 기업 환경에서도 접근제어 정책을 검토하는 기준이 된다.

다만 현대 정보 시스템에서는 이 모델만으로 충분하지 않다. Biba 모델의 무결성 관점, Clark-Wilson 모델의 상업적 환경 관점, RBAC(Role-Based Access Control) 같은 접근제어 체계를 함께 적용해야 한다. 분산 시스템, 클라우드 컴퓨팅, 모바일 환경에서는 기존 규칙을 확장하거나 재해석하는 작업도 필요하다.