데이터베이스는 그 중요도에 비해 일반 사용자들이 직접 접근할 일이 많지 않아 상대적으로 웹에 비해 관심이 낮은 편이었다. 하지만, 기업에서 사용되는 중요한 정보들이 모두 데이터베이스에 저장되는 만큼, 데이터베이스에 대한 체계적인 보안과 해킹에 대한 이해가 절실한 상황이다. 이 책은 8개 부와 26개 장으로 구성되었으며, 이 책의 대부분은 7가지 유명 데이터베이스 시스템(오라클, DB2, 인포믹스(Informix), 사이베이스 ASE(Sybase ASE), MySQL, SQL 서버, PostgreSQL)에 존재하는 실전 보안 취약점을 상세히 설명한다. 보안연구자나 취약점 분석가뿐만 아니라 보안 관리자 및 데이터베이스 설계자에게도 매우 유용한 정보를 제공해 줄 책이다.

오라클과 마이크로소프트 SQL 서버에서 새로운 취약점을 찾는 방법

IBM DB2, PostgreSQL, 사이베이스(Sybase) ASE, MySQL 서버를 위한 최상의 방어 방법

버퍼 오버플로우 취약점의 발견, SQL을 통한 권한 상승, 저장 프로시저 또는 트리거 악용, 해커의 접근을 가능하게 해주는 SQL 인젝션

각 데이터베이스에 대한 고유 취약점을 식별하는 방법

공격자가 무엇을 이미 알고 있는지 확인하는 방법

이 책은 데이터베이스 보안의 실전 지침에 흥미가 있는 사람들을 위한 책이다. 이 책의 대상 독자층으로는 데이터베이스 관리자, 네트워크 관리자, 보안 감사관, 광범위한 보안 연구 커뮤니티 등이 해당될 것이다. 이 책은 다분히 기술적이고, 독자들이 버퍼 오버플로우, 서식 문자열 버그, SQL 인젝션, 기본 네트워크 아키텍처 같은 개념들을 잘 알고 있다는 전제하에 작성했다. 때로는 C, C++, 어셈블리어 소스코드도 대강 훑어보지만 프로그래밍 기술이 이 책의 내용을 이해하는 데 필수는 아니다. 무엇보다도, 이 책은 최대한 데이터베이스를 안전하게 보호하고자 하는 사람들을 대상으로 집필되었다.

이 책은 26개 장과 3개 부록을 포함한 개별적인 8개 부로 나뉘었다. 데이터베이스 시스템은 각 절에서 다룬다.

각 절에서는 데이터베이스의 기본 구조와 네트워크에서 데이터베이스를 찾는 방법, 데이터베이스 구성 요소, 그리고 구조에 대한 특성을 다룬다. 그러고 나서 데이터베이스 시스템이 어떻게 공격을 당하는지 설명하고, 다양한 보안 문제를 포함하며, 어떻게 이와 같은 문제점이 공격자에 의해 악용될 수 있는지, 그리고 어떻게 이런 문제점을 사전에 방어할 수 있는지 설명한다. 다음으로 공격자가 네트워크에 더 많은 접근 권한을 얻고 데이터베이스를 공격하는 방법을 알려준다. 마지막으로, 빠른 참조 가이드와 더불어 데이터베이스 시스템을 안전하게 보호하기 위한 가장 최상의 접근 방식을 설명한다.

왜 우리는 데이터베이스 보안에 관심을 가져야 하는가?

돈을 네트워크 어디엔가 두어야 한다면 분명 데이터베이스 안에 있어야 할 것이다. 현대의 경제가 컴퓨터에 의존하고 있다고 말할 때, 실제로는 데이터베이스 시스템에 의존한다고 볼 수 있다. 데이터베이스는 우리 삶 대부분에 영향을 미친다. 은행 계좌, 의학 정보, 연금, 고용 기록, 휴대폰 기록, 세금 기록, 자동차 등록, 슈퍼마켓 구입, 아이들의 성적 정보 등 우리 삶의 거의 모든 중요한 정보가 관계형 데이터베이스 관리 시스템에 저장돼 있다. 이 책에서는 가장 유명한 7가지 관계형 데이터베이스 시스템을 모두 다루며, 여러분의 개인 정보 역시 이 책에서 다루는 데이터베이스 중 어딘가에 저장돼 있을 것이다.

우리(이 책의 저자들)는 데이터베이스 보안이 현존하는 가장 중요한 정보 보안 문제라고 생각한다. 우리의 가장 민감한 데이터를 보관 중이라 여겨지는 데이터베이스 시스템이 안전하지 않다면 우리 삶에 잠재적인 악영향을 미칠 것이고, 심지어 사회에 큰 재앙이 닥칠 수도 있다.

그렇다면 왜 우리는 데이터베이스에 대한 공격 방법까지 이 책에서 다뤄야 했을까?

간단하게 말해 이 정보를 데이터베이스 관리자, 보안 전문가, 네트워크 감사관이 알고 있었으면 하고, 그래서 어떻게 공격이 이뤄지는지에 대한 이해를 바탕으로 관리 중인 데이터베이스를 더욱 더 안전하게 만들었으면 하는 바람에서 공격에 대한 내용도 포함했다. 이 책은 이 책에 관심 있는 사람들이 알지 못하는 내용도 알려주고자 한다. 가장 유명한 데이터베이스 소프트웨어 벤더의 보안이 잘 구축돼 있으리라 믿을지 모르지만, 실제로 유명한 데이터베이스에서 보안 버그를 발견하는 것은 어렵지 않다. 대부분의 보안 문제점은 보안 연구자들이 자발적으로 발견해 벤더에 알렸으며, 아직 벤더에 알리지 않은 보안 문제점을 파악한 사람들도 여전히 있을 것이다. 네트워크와 데이터베이스를 알려지지 않은 취약점부터 막을 수 있는 가장 최선의 방법은, 버그를 단순히 패치하거나 제로데이 익스플로잇으로부터 어떤 공격을 받지 않을 것이라는 막연한 희망을 갖는 것보다는 버그에 대한 전체 구조를 파악하고, 안전한 환경을 설정하고, 알려진 버그에 대한 메커니즘을 깊이 이해하는 것이다.

더도 덜도 말고 데이터베이스를 안전하게 유지하는 것은 네트워크 보안에 적용되어 온 시도 및 테스트 원칙을 적용해야 한다는 사실이다. 시도 및 테스트 원칙은 수십 년 동안 네트워크 보안에 사용돼 왔고, 이는 데이터베이스에 대한 접근 권한을 최소화 시키고, 인증과 접근 통제를 엄격히 하며, 암호화를 적용시키고, 개별적인 영역에 따라 기능을 분리시키며, 불필요한 기능을 제거해서 ‘공격 표면’을 줄이는 방식이다. 오직 실제 차이점은 데이터베이스에 있고, 이런 모든 메커니즘은 데이터베이스 자체의 소규모 세계 내에서 동작한다.

제조사가 만든 보안 관련 문서를 읽으면 최근 데이터베이스 구현에 있어 과도한 보안 측정을 보증하도록 부추긴다. 거의 모든 데이터베이스 시스템은 권한, 접근 통제, 포괄적인 감사 기능, 시스템 컴포넌트에 통제된 접근 기능을 갖고 있다. 데이터베이스 제조업체는 위에서 언급한 보안 메커니즘을 적절히 수행하고 있음을 보증하는 보안 인증서를 얻으려고 노력한다. 이런 보안 인증서가 중요하기는 하지만, 보안 인증서가 있다고 해서 데이터베이스 보안이 완벽하다고 보장할 수는 없다.

이 책에서 언급하는 모든 데이터베이스는 이런 보안 메커니즘이 침해되는 버퍼 오버플로우 취약점에 영향을 받으며, 보안 표준과 평가, 인증에 대한 우리의 믿음이 완벽히 작동하지는 않는다. 그렇기 때문에 이 책에서는 실전 내용을 다루고, 보안 위협을 막을 수 있는 내용을 설명한다.

데이비드 리치필드(David Litchfield)

데이터베이스 시스템과 웹 애플리케이션의 새로운 취약점을 전문적으로 찾는 연구자로서 중대한 보안 취약점 발견 건수에 대한 비공식 세계 신기록을 보유하고 있다. 데이터베이스 보안에 대해 영국과 미국 정부기관 담당자를 대상으로 강의를 했고, 정기적으로 블랙햇 보안 컨퍼런스에서 발표를 한다. 『The Shellcoder’s Handbook』과 『SQL Server Security』, 『Special Ops』의 저자이며, 네스트 제너레이션 시큐리티 소프트웨어Next Generation Security Software의 매니징 디렉터로도 활동 중이다.

크리스 앤리(Chris Anley)

보안 취약점 연구와 관련해서 베스트 셀러인 『The Shellcoder’s Handbook』의 공동 저자다. SQL 서버, 사이베이스(Sybase), MySQL, DB2, 오라클 등 수많은 데이터베이스 시스템에 대한 보안 권고안과 백서를 발간했다.

존 히스먼(John Heasman)

NGS 소프트웨어의 프린시펄 보안 컨설턴트다. 마이크로소프트 윈도우, 리얼플레이어(Real Player), 애플 퀵타임, PostgreSQL 등 대중의 큰 인기를 끈 제품과 관련된 수많은 보안 권고안을 발표했다.

빌 그린들리(Bill Grindlay)

NGS 소프트웨어에서 선임 보안 컨설턴트와 소프트웨어 엔지니어로 근무 중이다. 데이터베이스 보안 스캐너의 집합인 NGSSOqirreL과 Typhon III 취약점 스캐너 개발에 중점적으로 참여했다. 데이터베이스 관리자 가이드인 『SQL Server Security』의 공저자다.

<Next Generation Security Software Ltd>

NGS 소프트웨어는 영국에 기반을 둔 회사로, NGSSQuirreL 집합을 포함한 데이터베이스 서버 취약점 진단 툴을 개발하는 회사다. NGS 소프트웨어는 2001년에 설립되었고, NGS 소프트웨어의 컨설팅 부서는 유럽에서 가장 큰 보안 팀을 운영하고 있다. 이 책의 저자진 모두 NGS 소프트웨어에서 근무 중이다.

우리가 온라인 쇼핑몰에서 물건을 사고자 할 때, 우리의 신원을 확인하기 위해 이름, 전화번호, 주소 등과 같은 개인정보를 온라인 쇼핑몰에 제공한다. 그리고 온라인 쇼핑몰은 물건에 대한 정보와 함께 판매자와 구매자들의 정보를 가지고 있으며, 이러한 정보를 바탕으로 온라인 물건 거래가 이뤄진다. 사용자들은 웹 브라우저를 통해 특정 웹 사이트 화면을 보게 되지만, 웹 사이트 내부에는 수많은 정보와 데이터를 저장하고 관리하는 데이터베이스가 있다.

데이터베이스는 말 그대로 수많은 데이터를 관리하는 시스템이다. 기업의 규모나 특징에 따라 다양한 종류의 데이터베이스를 사용한다. 데이터베이스는 일차적으로 외부 사용자에게 노출되지 않지만, 웹 애플리케이션을 통해 데이터베이스를 유추하거나, 또는 내부자에 의해 데이터베이스에 쉽게 접근을 허용하게끔 하는 경우가 있다. 데이터베이스는 종류가 다양한 만큼 각 데이터베이스 고유의 보안 특징을 지닌다.

실제 필드에서 일하고 있는 저자들의 다양한 경험과 노하우를 담은 이 책은 역자들이 지금까지 접했던 데이터베이스 해킹과 관련된 책 중에서 바이블이라고 삼을 정도로 다양한 데이터베이스에 대해 자세한 내용을 담고 있다. 이 책은 8개 부와 26개 장으로 구성되어 있으며, 이 책의 대부분은 7가지 유명 데이터베이스 시스템(오라클, DB2, 인포믹스, 사이베이스 ASE, MySQL, SQL 서버, PostgreSQL)에 존재하는 실전 보안 취약점을 상세히 설명하며, 각 장마다 데이터베이스 아키텍처, 취약점 발견, 공격, 방어에 대한 상세한 내용을 담았다.

이 책은 보안연구자나 취약점 분석가가 데이터베이스에 존재하는 새로운 취약점을 발견하는 데 좋은 가이드가 될 수 있다. 보안 관리자나 데이터베이스 설계자는 이 책을 통해 데이터베이스의 보안 취약점을 이해하고 공격자의 공격 패턴을 파악해서 더욱 더 안전한 데이터베이스를 설계하고 개발할 수 있을 것이라고 믿는다. 이 책을 합법적인 영역에서 활용해 중요한 정보를 보관하고 있는 데이터베이스를 더욱 더 안전하게 만드는 데 일조하기를 바란다.

김경곤

현재 세계적인 글로벌 컨설팅 펌인 딜로이트(Deloitte)에서 사이버 시큐리티(Cyber Security) 담당 시니어 매니저(Senior Manager)로 일하고 있으며, 주 업무는 사이버 시큐리티, 리스크 관리(Risk Management), 포렌식(Forensics)이다. 130여 개에 달하는 클라이언트를 대상으로 모의해킹과 보안 컨설팅을 진행했으며, 대기업과 금융업체, 학교 등에서 정보보안 관련 강의를 했다. 숭실대학교 컴퓨터학부를 졸업하고 고려대학교 정보보호대학원 석사를 수료 했으며, A3 Security Consulting, SK인포섹, 삼일PwC에서 보안 컨설턴트와 IT감사관으로 일한 경험이 있다.

제1회 해킹방어대회에서 대상을 수상해 정보통신부 장관상을 수여했으며, 2007년도 세계해킹컨퍼런스인 데프콘에 아시아에서 유일하게 한국 팀 멤버로 참여하기도 했다. 그 외 EBS와 중앙일보에서 보안 컨설턴트에 대해 인터뷰를 하기도 했다.

저서로는 『정보보안 개론과 실습: 인터넷 해킹과 보안(개정판)』(2014)이 있으며, 옮긴 책으로는 에이콘출판사에서 출간한 『와이어샤크를 활용한 실전 패킷 분석』(2007), 『웹 해킹 & 보안 완벽 가이드』(2008), 『윈도우 시스템 관리자를 위한 커맨드라인 활용 가이드』(2009), 『엔맵 네트워크 스캐닝』(2009), 『(개정판) 웹 해킹 & 보안 완벽 가이드』(2014)이 있다.

장은경

De La Salle University에서 영어교육학을 전공했으며, 2001년도에 개최한 제1회 여성해킹대회 본선에 진출한 경력을 가지고 있다. 국내 유수 보안 그룹에서 활약했으며, IT 분야에 약 7년간의 경력을 쌓았다. 옮긴 책으로 에이콘출판사에서 출간한 『와이어샤크를 활용한 실전 패킷 분석』(2007), 『웹 해킹 & 보안 완벽 가이드』(2008), 『(개정판) 웹 해킹 & 보안 완벽 가이드』(2014)이 있다.

박병익

(주)에이쓰리시큐리티를 거쳐 현재 (주)엔씨소프트 보안점검팀에서 근무한다. HSD(Hacker’S Dream) 그룹에서 활동 중이며, 심플스 사이트(http://simples.kr)를 운영하고 있다. 저서로는 『리버스 엔지니어링 (역분석 구조와 원리)』과 『리눅스 웹 서버와 실전 웹해킹』이 있고, 역서로는 『페도라 리눅스 툴박스』와 『인터넷 포렌식』이 있다.