FAQ

자주 묻는 질문

Q: 에이전트를 설치할 수 없는 PC, BI 도구, 배치 서버는 어떻게 하나요?

관리자가 발급한 접속 주소로 게이트웨이에 직접 접속합니다(에이전트리스). 주소마다 감사에 남길 이름과 접속을 허용할 IP 대역을 정하고, 접근 규칙, SQL 통제, 마스킹은 에이전트를 사용할 때와 똑같이 적용됩니다.

여기에 없는 질문은 도입 문의로 보내 주십시오.

제품

BeeHind 는 무엇인가요?

BeeHind 는 DB 접근제어(DAC), AI 게이트웨이(AI Gateway), 서버 접근제어(Server Gateway)를 하나로 처리하는 보안 게이트웨이입니다. 사람과 애플리케이션이 데이터베이스, AI 서비스, 서버로 가는 접속이 게이트웨이를 지나는 동안 신원을 확인하고, 정책으로 허용하거나 막고, 개인정보를 마스킹하고, 감사를 기록합니다. 게이트웨이, Management, 데스크톱 에이전트로 이루어집니다.

기존 DB 접근제어 제품과 무엇이 다른가요?

세 가지가 다릅니다. 첫째, 컨테이너로 설치하는 구조로 만들어서 망마다 게이트웨이 클러스터를 설치하고 Management 한 대로 전체를 관리합니다. 둘째, 조회 결과의 각 항목이 어느 원본 컬럼에서 왔는지 계산해서(계보) 별칭이나 함수 뒤에 숨은 민감 컬럼까지 마스킹합니다. 셋째, DB 접근제어, AI 게이트웨이, 서버 접근제어를 한 제품으로 제공해서 사용자 목록, 정책 화면, 감사 저장소, 데스크톱 에이전트를 하나씩만 운영합니다.

누가 어떤 이상 행위를 했는지도 알 수 있나요?

네. Management 가 DAC, AI Gateway, Server Gateway 의 감사 기록을 탐지 규칙과 대조해, 차단된 시도, 민감 정보 대량 조회, 업무시간 외 접근, 신규 IP 접속 같은 행위를 사람별 검토 건으로 묶습니다. 검토자는 당사자에게 소명을 요청하고 검토 결과를 남기며, 매월 1일에 지난달의 월간 점검 보고서가 만들어집니다.

어떤 DB 를 지원하나요?

MySQL, MariaDB, PostgreSQL, Oracle, SQL Server 를 지원합니다. 게이트웨이가 각 DB 의 통신 규약(wire protocol)을 직접 해석하므로 JDBC 드라이버나 DB 쪽 설치가 필요하지 않습니다.

도입과 사용

사용자는 DB 도구의 설정을 변경해야 하나요?

데스크톱 에이전트를 사용하면 변경하지 않습니다. DB 도구에 실제 DB 주소와 평소의 DB 계정을 그대로 넣고, 에이전트에 로그인하면 가로채기가 자동으로 켜집니다. 에이전트 없이 접속하는 경우에는 호스트와 포트를 게이트웨이로 변경합니다. PostgreSQL, Oracle, SQL Server 는 DB 이름 앞에 발급받은 UUID 를 붙이고, MySQL 과 MariaDB 는 서비스마다 배정된 전용 포트로 접속합니다.

에이전트를 설치할 수 없는 PC, BI 도구, 배치 서버는 어떻게 하나요?

관리자가 발급한 접속 주소로 게이트웨이에 직접 접속합니다(에이전트리스). 주소마다 감사에 남길 이름과 접속을 허용할 IP 대역을 정하고, 접근 규칙, SQL 통제, 마스킹은 에이전트를 사용할 때와 똑같이 적용됩니다.

어떤 형태로 설치하나요?

서버 한 대에 Docker Compose 로 Management, 게이트웨이, PostgreSQL, Caddy 를 함께 설치하는 형태와, 게이트웨이를 Linux VM 에 systemd 서비스로 설치하는 형태를 제공합니다. Kubernetes(Helm), AWS, Azure 용 템플릿은 준비하고 있습니다.

폐쇄망에 설치할 수 있나요?

네. Management 와 게이트웨이는 실행 중에 외부 네트워크를 호출하지 않습니다. 이미지와 설치 스크립트를 한 묶음으로 반입해서 설치합니다.

어떻게 시작하면 되나요?

서버 한 대로 운영 DB 하나부터 시작하는 것을 권합니다. 이후 에이전트 없이 접속하는 곳을 더하고, 망마다 게이트웨이를 늘리고, AI 서비스를 등록합니다. 도입 문의를 보내 주시면 환경에 맞는 구성을 안내해 드립니다.

라이선스가 만료되면 접속이 막히나요?

아니요. 라이선스는 사용 기간만 확인합니다. 기간이 끝나도 접속 통제와 감사는 멈추지 않습니다.

보안

게이트웨이가 DB 패스워드를 보관하나요?

사용자의 DB 패스워드는 보관하지 않습니다. 게이트웨이는 DB 로그인을 대신하지 않고 클라이언트와 DB 사이에서 그대로 전달합니다(인증 중계). 패스워드가 맞는지는 DB 가 판단합니다. 선택적으로 테이블 컬럼별 마스킹을 설정하기 위해서는 조회 계정을 등록할 수 있습니다. 관리자가 등록한 이 계정의 패스워드는 암호화해서 보관하고 담당 게이트웨이에만 전달합니다.

별칭이나 함수로 감싼 컬럼도 마스킹되나요?

네. 게이트웨이가 필요할 때 스키마를 읽어 조회 결과의 각 항목이 어느 원본 컬럼에서 왔는지 계산하고, 결과의 위치로 마스킹합니다. 계산하지 못한 문장은 마스킹할 값을 놓치지 않도록 사유와 함께 거부합니다. 주민등록번호처럼 모양이 정해진 값은 어느 컬럼에 있든 값 패턴으로 찾습니다.

암호화된(TLS) DB 접속도 통제할 수 있나요?

네. 게이트웨이가 클라이언트 쪽과 DB 쪽의 TLS 를 각각 맺어 내용을 보고 통제합니다. 인증서는 게이트웨이 클러스터의 인증 기관이 발급하고 자동으로 교체합니다. 내용을 볼 수 없는 접속은 조용히 통과시키지 않고 거부합니다.

Management 가 멈추면 어떻게 되나요?

동작 중인 게이트웨이는 이미 받은 정책으로 판정을 계속하고 감사 기록도 저장소에 직접 기록합니다. 승인 기간이 끝난 세션을 끊는 일도 스스로 합니다. 다만 로그인과 정책 변경은 Management 가 돌아온 뒤에 할 수 있습니다.

감사 기록은 어디에 저장되나요?

게이트웨이가 OpenSearch, Elasticsearch, 관계형 DB(PostgreSQL, MySQL, MariaDB, Oracle) 중 선택한 저장소에 직접 기록합니다. 기록은 해시 체인으로 이어 무결성을 검증하고, syslog(RFC 5424)나 Splunk HEC 로 SIEM 에 사본을 보냅니다.

AI

직원의 AI 사용은 어떻게 통제하나요?

데스크톱 에이전트가 AI 서비스로 가는 접속을 게이트웨이로 보내면, 게이트웨이가 요청을 읽어 사용자와 모델을 확인하고 프롬프트의 개인정보와 자격 증명을 값 패턴으로 검사합니다. 패턴마다 차단, 마스킹, 감지만 중에서 선택합니다. OpenAI 호환 API, Anthropic API, claude.ai 웹 앱의 내용을 읽습니다.

회사의 LLM API 키를 직원에게 나눠 주지 않고 사용할 수 있나요?

네. 회사의 실제 키(조직 키)는 게이트웨이만 사용하고, 사용자와 애플리케이션에는 가상 키를 발급합니다. 게이트웨이가 요청을 보낼 때 조직 키로 교체합니다. 가상 키는 하나씩 폐기하고, 사용자와 서비스마다 모델과 사용 한도를 정합니다.

MCP 도구 호출도 통제하나요?

네. 네트워크로 호출하는 MCP 서버(Streamable HTTP)를 서비스로 등록하면 도구 이름을 허용 목록으로 제한하고, 인자에 든 값을 값 패턴으로 검사하고, 호출 이력을 사람 이름으로 기록합니다.

서버

서버 접속(SSH, SFTP)도 통제하나요?

네. 서버의 SSH 포트를 서비스로 등록하면 누가 어느 서버에 어느 계정으로 들어갈 수 있는지 판정하고, 접속과 실행한 명령을 감사에 남깁니다. 세션의 화면을 녹화해 관리 콘솔에서 재생하고, 게이트웨이가 보관한 패스워드나 SSH 키로 서버에 대신 로그인할 수 있습니다. SFTP 로 주고받는 파일은 업로드, 다운로드, 파일 변경 중 허용한 것만 넘기고 파일마다 감사에 남깁니다. 포트 포워딩은 사용자별로 허용한 목적지(호스트와 포트)로만 엽니다.

대상 서버에 무엇을 설치해야 하나요?

설치할 프로그램은 없습니다. 게이트웨이가 SSH 를 양쪽에서 종단하므로 대상 서버의 sshd 를 그대로 사용합니다. 보관한 SSH 키로 대신 로그인하는 계정은 공개키를 authorized_keys 에 넣고, 인증서로 로그인하는 계정은 서버마다 한 번 클러스터의 사용자 CA 를 신뢰하도록 sshd 를 설정합니다.

SSH 가 아닌 포트도 사용자별로 허용할 수 있나요?

지금은 SSH 포트 포워딩으로 합니다. 사용자가 ssh -L 이나 ssh -D 로 여는 포워딩을 사용자별로 허용한 목적지(호스트와 포트)로만 넘깁니다. SSH 를 거치지 않고 서버의 포트(예: 웹 관리 화면, Redis, RDP)에 바로 접속하는 경우를 사용자별로 허용하고 기록하는 기능은 준비하고 있습니다.

세션 녹화에는 무엇이 남나요?

대상 서버가 보낸 화면 출력과 창의 크기를 녹화해 관리 콘솔에서 재생합니다. 사용자가 입력한 글자는 저장하지 않으므로 패스워드가 남지 않습니다. 파일 전송(SFTP)은 녹화하지 않고 옮긴 파일마다 감사에 기록합니다. 녹화는 S3 호환 저장소에 저장합니다.

우리 환경에서 BeeHind 를 확인해 보십시오

보호할 DB, 서버, AI 서비스와 망 구성을 알려 주시면 맞는 구성과 도입 순서를 안내해 드립니다. 서버 한 대로 시작할 수 있습니다.

도입 문의하기 자주 묻는 질문