보안 시스템

'모바일 네트워크 중간고사 범위'

 

 

인증 시스템

인증하고자 하는 주체(Subject)에 대해 식별(Identification)하고, 이에 대한 인증 (Authentication & Authorization) 서비스를 제공하는 시스템

 

인증 수단

 알고 있는 것 (something you know)

 사용자가 알고 있는 정보로 인증. 대표적인 예는 사용자의 아이디와 패스워드를 이용한 인증.

 사용자의 기억에 의존하므로 값싸고 편리하지만, 패스워드를 안전하게 관리하기가 어려움

 자신의 모습 (something you are)

 사용자의 고유한 생체 조직을 이용하여 인증.

 지문

가장 흔히 사용되는 생체 인식 수단.

지문 인식 시스템은 가격이 부담 없고 효율성이 좋으며 사용 시 거부감이 없지만 손에 땀이 많거나 허물이 잘 벗겨지는 사람의 경우 오탐률이 높음.

인증 소요 시간은 약 3초.

 손 모양

손가락의 길이나 굵기 등 손 모양(hand geometry)을 이용한 인증.

매우 간편하고 인증 데이터의 크기가 작아서 빠른 인증이 가능하지만 높은 보안 수준을 제공하지 못함.

인증 소요 시간은 약 3초 미만.

보안 수준을 높이기 위해 손 정맥 모양을 이용하는 방법도 있으나 가격이 비싸고 장비가 큰 것이 단점.

 망막

눈 뒷부분의 모세혈관을 이용한 인증. 인증 소요 시간은 10~15초 정도로 정확도가 매우 높음.

안경을 쓴 상태에서는 인증을 거칠 수 없고 눈병에 걸리면 인식률이 떨어지므로 매우 높은 보안 수준을 요구할 때 사용.

 홍채

눈의 색깔을 결정하는 부분인 홍채를 이용한 인증.

망막 인증보다 정확도가 높으며, 장치에 따라 50cm 거리에서도 인증이 가능함.

망막 인증이 홍채 인증으로 대체되고 있지만 장비가 고가라는 것이 단점.

 서명

서명의 진위 여부를 판단하는 인증 장치도 있으나 보안 수준이 그다지 높지 않아 일반적으로 사용되지는 않음.

 키보드

키보드를 누를 때 발생하는 특정한 리듬(keyboard dynamics)을 이용하여 신분을 확인하는 방법.

오탐률이 높고 효율적이지 못하여 높은 보안 수준을 요구하는 경우에는 사용하지 않음.

 성문

사람마다 각기 다른 성문(voice print)을 이용하는 인증.

성문은 환경이나 감정에 따라 변하기도 하고 흉내 낼 수도 있어서 보안 수준이 높지 않음.

 얼굴

얼굴 사진을 이용하는 인증. 얼굴 인증의 대표적인 예는 여권 사진으로 인증 장비가 다양한 표정의 얼굴을 정확히 인증하지 못하여 무표정한 얼굴만 확인이 가능.

 가지고 있는 것 (something you have)

 스마트키 또는 스마트카드

스마트카드를 소유한 사람만 출입을 허가하는 방식.

 신분증

사진이 포함된 신분증으로 본인임을 확인하는 것.

'가지고 있는 것'과 '자신의 모습'을 모두 이용하는 경우.

 OTP

OTP(One Time Password)는 1분마다 다른 패스워드를 생성하는 단말 장치.

고정된 번호 중에서 임의의 지시 번호를 입력하는 보안 카드보다 좀 더 안전한 방식.

 공인인증서

인터넷 뱅킹이나 온라인상의 신용카드 거래에서 많이 사용함.

공인인증서 패스워드를 알아야 하므로 '가지고 있는 것'과 '알고 있는 것'을 동시에 이용하는 인증.

 위치하는 곳 (somewhere you are)

 

싱글사인온(sso)

 가장 기본적인 인증 시스템인 SSO(Single Sign On)는 '모든 인증을 하나의 시스템에 서'라는 목적으로 개발.

 시스템이 몇 대라도 한 시스템의 인증에 성공하면 다른 시스템의 접근 권한을 모두 얻는 것.

 서비스 기반으로 SSO를 구현하는 경우

마이크로소프트 패스포트(Microsoft Passport).

사용자는 마이크로소프트가 관리하는 중앙의 패스포트 서버로 서비스 가입, 인증받음.

가맹 사이트는 패스포트 서버로 인증을 받으므로 인증 시스템을 따로 구축할 필요 없음.

사용자 로그인 시 같은 정보를 중복으로 입력하는 번거로움을 피하도록 패스포트가 가진 정보를 자동으로 채워주는 템플릿 기능도 제공.

웹 기반 SSO는 가입자의 인터넷 사용 정보를 효과적으로 얻을 수 있다는 이점으로 사용률이 매년 증가.

동일한 인증 정보가 광범위한 서비스에서 사용되면 취약 포인트가 많아져서 보안 측면에서 우려되 는 점이 많음.

 SSO의 약점

최초 인증 과정을 통과하면 모든 서버나 사이트에 접속할 수 있는 단일 장애 점(single point of failure)이 약점.

약점을 보완하기 위해 중요 정보에 접근할 때는 지속적인 인증을 하게 되어 있음.

 

 

 

방화벽

네트워크 트래픽을 모니터링하고 정해진 보안 규칙을 기반으로 특정 트래픽의 허용 또는 차단을 결정하는 네트워크 보안 디바이스

신뢰하지 않는 외부 네트워크와 신뢰하는 내부 네트워크 사이를 지나는 패킷을 미리 정한 규칙에 따라 차단하거나 보내주는 기능을 하는 하드웨어나 소프트웨어

내부 네트워크의 보안을 제공하기 위한 가장 기본적인 솔루션

기능

접근제어

관리자가 통과시킬 접근과 거부할 접근을 명시하면 방화벽이 그에 따라 수행.

구현 방법에 따라 패킷 필터링(packet filtering) 방식, 프록시(proxy) 방식으로 나뉨.

접근제어를 수행하는 룰셋(rule set)은 방화벽을 기준으로 보호하려는 네트워크의 외부와 내부에 존재하는 시스템의 IP 주소와 포트로 구성.

로깅과 감사 추적

방화벽은 룰셋 설정과 변경, 관리자 접근, 네트워크 트래픽의 허용 또는 차단과 관련한 사항을 로그로 남김.

사고 발생 시 출입자를 확인하여 추적하기 위함.

인증

방화벽에서는 메시지 인증, 사용자 인증, 클라이언트 인증 방법 사용.

메시지 인증

VPN과 같은 신뢰할 수 있는 통신선으로 전송되는 메시지의 신뢰성을 보장.

사용자 인증

패스워드를 이용한 단순한 인증부터 OTP, 토큰 기반 인증 등 높은 수준의 인증까지 가능.

클라이언트 인증

모바일 사용자처럼 특수한 경우에 접속을 요구하는 호스트 자체가 정당한지 확인하는 방법.

데이터 암호화

한 방화벽에서 다른 방화벽으로 데이터를 암호화해서 보내는 것.

일반적으로 VPN의 기능을 이용.

한계

바이러스는 파일 등을 통해 감염되므로 근본적으로 방화벽이 영향을 미치기 어려움.

일부 웜은 막을 수 있지만 정상적인 서비스 포트에 대해 웜이 공격을 시도할 때는 막을 수 없음

 

 

 

침입탐지 시스템

침입 탐지 시스템은 네트워크를 통한 공격을 탐지하기 위한 장비로 내부의 해킹이나 악성 코드 활동 탐지와 같이 방화벽이 하지 못하는 일을 수행.

설치 위치와 목적에 따른 구분

 

호스트 기반 침입 탐지 시스템(Host-based Intrusion Detection System, HIDS)

데이터 수집

윈도우나 유닉스 등의 운영체제에 부가적으로 설치, 운용되거나 일반 클라이언트에 설치.

운영체제에 설정된 사용자 계정에 따라 어떤 사용자가 어떤 접근을 시도하고 어떤 작업을 했는지 기록을 남기고 추적.

네트워크 환경과의 연계성이 낮으므로 전체 네트워크에 대한 침입 탐지가 불가능하고 자신이 공격 대상이 될 때만 침 입 탐지 가능.

운영체제의 취약점이 HIDS를 손상할 수 있으며 다른 침입 탐지 시스템보다 비용이 많이 드는 것이 단점.

 

네트워크 기반 침입 탐지 시스템(Network-based Intrusion Detection System, NIDS)

데이터 수집

네트워크에서 하나의 독립된 시스템으로 운용.

감사와 로깅을 할 때 네트워크 자원이 손실되거나 데이터가 변조되지 않고 HIDS로는 할 수 없는 네트워크 전반에 대 한 감시를 할 수 있으며 감시 영역이 상대적으로 큼.

IP 주소를 소유하지 않아 해커의 직접적인 공격을 거의 완벽하게 방어할 수 있고 존재 사실도 숨길 수 있음.

공격에 관한 결과를 알 수 없으며 암호화된 내용을 검사할 수 없음.

스위칭 환경에서 NIDS를 설치하려면 다른 부가 장비 필요.

10Gbps 이상의 고속 네트워크에서는 네트워크 카드 등의 하드웨어적인 한계로 네트워크의 모든 패킷을 검사하기 어렵다는 것이 단점.

 

HIDS와 NIDS는 각각 장단점이 있어 상호 보완적으로 사용함.

 

기능

데이터 필터링과 축약

HIDS와 NIDS로 수집한 침입 관련 데이터를 상호 연관시켜 좀 더 효과적으로 분석하면 공격에 빠르게 대응 가능.

보안이 강화된 시스템에 데이터를 보관하면 침입으로 인한 손실을 막을 수 있음.

보안 감사에서는 세밀하고 자세한 데이터보다 빠르고 정확하게 파악할 수 있는 데이터가 더 유용하므로 데이터의 효과적인 필터링과 축약이 필수.

효과적인 필터링에는 데이터수집 규칙을 설정하는 작업 필요.

클리핑 레벨(clipping level)을 설정하여 잘못된 패스워드로 일정 횟수 이상 접속하면 로그를 남기도록 하여 조정 가능.

침입 탐지

 

오용 탐지 기법

이미 발견되고 정립된 공격 패턴을 미리 입력해두었다가 해당하는 패턴이 탐지되면 알려주는 것.

비교적 오탐률이 낮고 효율적이지만, 알려진 공격 외에는 탐지할 수 없고 대량 데이터를 분석하는 데는 부적합하며 어 떤 순서로 공격을 실시했는지에 대한 정보를 얻기 어려움.

오용 탐지 기법의 또 다른 형태인 상태 전이(state transition) 방법은 공격 상황에 대한 시나리오를 작성해두고 각 각의 상태에 따른 공격을 분석하는 것. 결과가 매우 직관적이지만 세밀한 시나리오를 만들기가 어렵고 추론 엔진이 포 함되어 시스템에 부하 가능.

 

이상 탐지 기법

정상적이고 평균적인 상태를 기준으로 급격한 변화를 일으키거나 확률이 낮은 일이 발생하면 알려주는 것.

인공지능 침입 탐지 시스템은 스스로 공격을 판단하고 결정을 내려 알려주지만, 판단 근거가 확실치 않고 오탐률 높음.

면역 시스템은 새로운 공격을 당하면 스스로 학습하여 다시 그 공격이 발생하면 대응, 재설치를 하면 처음 상태로 되돌 아가는 것이 단점.

인공지능과 면역 시스템은 아직 개발 단계로 다른 침입 탐지 시스템과 병행하는 형태로만 운용되고 있음.

 

책임 추적 및 대응

침입 탐지 시스템은 기본적으로 침입을 알려주는 시스템.

최근에는 공격을 역추적하여 침입자의 시스템이나 네트워크를 사용하지 못하게 하는 능동적인 기 능이 많이 추가됨. 이를 침입 방지 시스템(Intrusion Prevention System, IPS)이라고 함.

 

설치위치

1. 패킷이 라우터로 들어오기 전

네트워크에 실행되는 모든 공격 탐지 가능.

공격 의도를 가진 패킷을 미리 파악할 수 있지만 공격이 아닌 패킷을 너무 많이 수집하고 내부 네트워크로 침입한 공 격과 그렇지 않은 것이 구분되지 않아 효율적인 대응이 어려움.

2. 라우터 뒤

라우터의 패킷 필터링을 거친 패킷 검사.

패킷 필터링 과정에서 단순한 공격 패킷이 걸러지므로 더 강력한 의지를 가진 공격자 탐지 가능.

3. 방화벽 뒤

방화벽 뒤에서 탐지되는 공격은 네트워크에 직접 영향을 주므로 공격에 대한 정책과 방화벽 연동성이 가장 중요.

내부에서 외부로 향하는 공격도 탐지할 수 있어 내부 공격자도 어느 정도 탐지 가능.

침입 탐지 시스템을 한 대만 설치할 수 있다면 이곳에 설치하는 것이 좋음.

4. 내부 네트워크

내부의 클라이언트를 신뢰할 수 없어 내부 네트워크 해킹을 감시하려 할 때 설치.

5. DMZ

DMZ에 침입 탐지 시스템을 설치하는 이유는 능력이 매우 뛰어난 외부 및 내부 공격자에 의한 중요 데이터의 손실이나 서비스 중단을 막기 위함.

중요 데이터와 자원을 보호하기 위해 침입 탐지 시스템을 별도로 운영하기도 함.

우선순위 3 > 5 > 4 ＞ 2 > 1

네트워크의 목적에 따라 중간에 NIDS를 선택적으로 설치 가능.

HIDS는 유지, 관리 비용이 너무 많이 들어서 웹 서버와 같이 사업을 유지하는 매우 중요 한 시스템에만 설치.

 

개발 이유

방화벽이 공격을 차단하는 비율은 30%.

공격에 대한 능동적인 분석과 차단을 수행하기 위해 침입 방지 시스템(Intrusion Prevention System, IPS) 개발.

 

필요성

방화벽은 IP 주소나 포트에 의한 네트워크 공격을 차단할 수 있지만 응용 프로그램 수준의 공격과 새로운 패턴의 공격에 대한 적응력이 무척 낮고 실시간 대응을 할 수도 없음.

침입 탐지 시스템은 실시간 탐지는 가능하지만, 대응책을 제시하지 못하기 때문에 대안 필요.

취약점 발표 후 실제 공격까지 하루가 채 걸리지 않는 제로데이 공격(zero day attack)이 많음.

 

동작 원리

침입 방지 시스템은 침입 탐지 시스템과 방화벽의 조합.

침입 탐지 기능을 수행하는 모듈이 패킷 하나하나를 검사, 분석하여 정상적이지 않으면 방 화벽 기능의 모듈로 패킷 차단.

공격의 종류와 기술이 다양해지면서 모든 유형의 패턴을 등록하여 차단할 수는 없음.

침입 방지 시스템에 가상 머신(virtual machine)을 이용한 악성 코드 탐지 개념 도입.

가상 머신을 이용한 탐지는 네트워크에서 확인되는 실행 파일, 악성 코드와 같은 형태, 공 격으로 보이는 패킷 등을 분석하지 않고 침입 방지 시스템에 내장된 가상 머신에 보내 그대로 실행시키는 것.

가상 머신에서 실행된 코드나 패킷이 키보드 해킹이나 무차별 네트워크 트래픽 생성 등 악 성 코드와 유사한 동작을 보이면 해당 패킷을 차단.

 

설치

침입 방지 시스템은 일반적으로 방화벽 다음에 설치.

방화벽이 네트워크 앞부분에서 불필요한 외부 패킷을 한 번 걸러주어 더 효율적으로 패킷 검사 가능.

방화벽 없이 침입 방지 시스템만 설치하기도 함.

하드웨어 칩으로 만든 ASIC(Application Specific Integrated Circuit)를 소프트웨어로 많이 이용.

 

기타 보안 솔루션

VPN (가상사설망)

VPN(Virtual Private Network)은 방화벽, 침입 탐지 시스템과 함께 사용되는 가장 일 반적인 보안 솔루션.

기업 내부의 네트워크에서 주고받는 데이터는 외부로 유출되면 안 되는 경우가 많아 기업 내의 데이터 통신에는 인터넷과 구분된 별도의 임대 회선(leased line)을 사용.

VPN은 고가의 임대 회선 대신에 인터넷 회선을 임대 회선처럼 사용할 수 있게 해주는 솔 루션.

VPN의 용도

재택근무: 집에서도 회사 내의 서버에 보안 상태로 접근하는 경우

원격지 기업 내부망 연결: 원격의 두 지점을 내부 네트워크처럼 이용하는 경우

 

NAC (네트워크접근통제)

NAC(Network Access Control) 시스템은 IP 관리 시스템에서 발전한 솔루션.

네트워크 통제를 강화한 NAC의 주요 기능

접근제어 및 인증

pc 및 네트워크 장치 통제 무결성 확인

해킹, 웜, 유해 트래픽 차단

접근 제어 및 인증 기능은 MAC 주소를 기반으로 수행됨.

NAC는 등록된 MAC 주소만 네트워크에 접속할 수 있게 허용하므로 라우터로 구분된 서 브 네트워크마다 에이전트 시스템이 설치되어야 함.

순서

❶ 네트워크 접근 요청: 접속하려는 PC 사용자가 네트워크에 대한 접근을 처음 시도.

❷ 사용자 및 PC 인증: NAC에 등록되어 있는 MAC 주소로 사용자 PC 인증, SSO와 연계하여 네트워크에 접근하는 사용자의 아이디와 패스워드를 추가로 요청하여 인증 수행. 인증 과정 중 백신, 보안 패치의 적절성 여부 검토.

❸ 네트워크 접근 허용: 인증이 완료되면 네트워크 접근 허용.

❹ 네트워크 접근 거부: 보안 정책을 제대로 준수하지 않거나 바이러스에 감염되었을 때는 네트워크 접근이 거부되고 네트워크에서 격리됨. 격리된 PC는 필요한 정책 적용이나 치료 과정을 거친 후 다시 점검.

 

보안 운영체제

운영체제에 내재된 결함으로 발생할 수 있는 각종 해킹으로부터 시스템을 보호하기 위해 보안 기능 이 통합된 보안 커널을 추가로 이식한 운영체제.

일반적인 서버용 시스템은 보안성보다 가용성이 우선이지만 보안 운영체제는 기본으로 열려 있는 취약 서비스를 모두 차단하여 더 나은 보안 체계로 운영되도록 함.

보안 운영체제는 일정 수준의 CPU를 점유하므로 성능이 중요할 때는 신중하게 도입해야 함. 보안상의 이유로 구매했다가 성능 때문에 다시 제거하는 경우가 많음.

 

백신

시스템의 바이러스를 잡기 위해 만들어진 것.

우리나라의 대표적인 백신 프로그램은 V3.

백신 프로그램이 시스템에 상주하면서 바이러스나 웜이 구동하면 실시간 탐지 및 제거하는 형태로 운영.

바이러스, 웜, 인터넷으로 유포되는 악성 코드까지 탐지 및 제거 가능.

 

PC 방화벽

네트워크 상의 웜이나 공격자로부터 PC를 보호하기 위해 사용.

PC 내부로 유입되는 패킷뿐만 아니라 나가는 패킷도 모두 차단하고 사용자에게 네트워크 패킷의 적절성 여부를 확인 받음..

최근의 윈도우 운영체제는 운영체제 수준에서 방화벽을 제공.

윈도우 방화벽에서는 일반적인 방화벽 솔루션과 같은 방식으로 외부에서 내부로 들어오는 패킷에 대한 규칙인 '인바운드 규칙'과 내부에서 외부로 나가는 패킷에 대한 규칙인 '아웃 바운드 규칙'을 통제 가능.

 

스팸 필터 솔루션

메일 헤더 필터링

메일 헤더의 내용 중에서 ID/보내는 사람 이름/도메인에 특정 내용이 포함되어 있는지 검사 후 보 낸 서버에서 IP/도메인/반송 주소(Reply-to)의 유효성과 이상 유무 검사.

메일 헤더의 받는 사람, 참조자, 숨은 참조자 필드에 너무 많은 수신자가 포함되어 있는지, 존재하지 않은 수신자가 포함되어 있는지 검사.

 

스팸 필터 솔루션-con’t

제목 필터링

메일을 이용한 웜 공격은 제목에 특정 문자열이 있거나 일정 수 이상의 공백 문자열이 있는 것이 특 징이므로 메일 제목에 '광고' 등의 특정 문자열이 포함되어 있는지 검사하여 웜 차단 가능.

본문 필터링

메일 본문에 특정 단어나 문자가 포함되어 있는지 검사.

메일 본문과 메일 전체의 크기를 비교하여 유효성 확인.

첨부 파일 필터링

첨부된 파일의 이름, 크기, 개수 및 첨부 파일 이름의 길이를 기준으로 필터링 수행.

특정 확장자를 가진 첨부 파일만 전송되도록 설정.

exe, com, dll, bat처럼 실행이 가능한 확장자를 가진 첨부 파일을 필터링.

 

DRM

DRM(Digital Right Management)은 문서 보안에 초점을 둔 기술로 문서의 열람, 편집, 인쇄에 접근 권한을 설정하여 통제.

운영체제 커널에 DRM 모듈을 삽입하는 형태로 사용.

DRM 모듈은 응용 프로그램이 문서를 작성하면 하드디스크에 암호화하여 기록 후 저장함.

응용 프로그램이 하드디스크에 저장된 파일을 읽으려면 읽을 자격이 있는지 확인 후 복호화하여 전 달.

DRM 모듈로 운영되는 시스템의 하드디스크는 파일이 암호화되어 저장되므로 보안 위험이 적음.

DRM 인증 체제는 인증서를 이용하는 경우가 많음.

관리자는 각각의 인증서에 권한을 설정하여 문서 접근 권한을 설정.

DRM 기술은 첨단 지식 관련 산업이나 높은 보안성을 요하는 정부 기관에서 주로 사용.

 

DLP (정보유출 방지 시스템)정보유출방지시스템)

DLP(Data Leak Prevention)는 다양한 데이터 전송 인터페이스를 제어하여 사용자 수준에서 정보가 유출되는 것을 막는 솔루션을 통칭.

매체 제어

다양한 매체를 제어하는 DLP가 있지만 SATA 인터페이스로 하드디스크에 연결하는 경우는 제어 불가능.

통신 인터페이스 제어

방해 전파 발생기와 같은 원리로 통신 라인을 통한 정보 유출을 막는 솔루션 등장.

그러나 통신 인터페이스가 포함된 단말 장치 반입을 금지하거나 업무용 단말 장치는 통신 인터페이스를 제거하고 사용하는 것이 일반적임.

인터넷 통신 제어

클라우드 저장 공간을 통한 정보 유출을 막기 위해 해당 사이트의 접속을 막는 식으로 대응.

그러나 개인이 자신만의 클라우드 저장 서버를 생성할 수도 있어 완벽히 차단하기 어려움.