안전한 금융 시스템 위한 또 하나의 해법 NAC

현장속으로/세미나 2013.07.18 09:03

514일 화요일, 양재엘타워 그레이스홀에서 머니투데이, 데일리시큐에서 주관한 <FPIS 2013 금융보안&개인정보보호 페어>가 개최되었다. 이 세미나에선 국내외 보안 업계 최고 전문가들이 한 자리에 모여 직접 전하는 2013년도 금융 IT 방향과 함께 금융 보안 시스템 강화를 위한 다양한 보안 솔루션들을 접하는 시간을 가질 수 있었다.

       

2009년 7.7 DDoS 대란, 올해 3.20 사태까지 심각한 보안 사고들이 연달아 발생함에 따라 각 사의 보안담당자들이 보안 업무를 수행하기에 훨씬 어려워졌다. 많은 보안 솔루션을 구비했음에도 해킹에 대한 불안과 염려는 여전히 존재한다

이 날 넷맨(NetMan)의 마정우 전략기획부장이 전한 네트워크 접근 제어(NAC)를 통한 금융사 정보보호 강화 전략은 보안 담당자들이 지닌 걱정의 무게를 덜어주는 시간이었다 그는 현재 일어나는 해킹의 주요 사례와 이를 막는 보안 시스템의 구성, 네트워크 접근 제어(NAC)을 통한 보안, 그리고 이런 솔루션들이 보안 수준을 높이기 위해 어떤 프로세스를 거치는가에 초점을 맞춰 발표를 했다. 다음은 주요 내용.

 

 해킹 

IT 시스템이 만들어지기 시작한 1980년대 초기에는 공격자의 지식과 성향이 해킹을 성공시키는 가장 큰 요소로 작용하였지만, 2000년대로 넘어와선 툴의 활용도와 툴의 강력도가 해킹의 성공 요소로 작용하기 시작하였다. 현재 해킹의 공격 도구는 점점 다양해지고 있으며 해킹의 형태는 점차 웹을 통한 오픈서비스로 발전해 나가고 있다. 1980년대 초기엔 알려진 취약점을 통한 시스템 공격이 주류를 이루었으나, 1990년대 초반부터 2000년대 들어서는 네트워크적인 공격이 주류를 이루게 되었다.

해킹의 주요 사례로는 웹서버의 각종 취약점을 이용해 웹서버 계정을 탈취한 후, 클라이언트 보안 취약점을 통한 Botnet을 구성하여 컴퓨터를 공격하는 ‘DDoS 공격부터, 사용자 PC에 이메일 주소를 이용하여 대량의 스팸메일을 전송하는 스팸 릴레이 공격,’ 또는 해당 시간에 스스로 하드디스크 파괴 악성코드를 삽입하는 ‘PC 파일 시스템 파괴 공격,’ 정보 유출을 위한 폴더 리스트, 파일 리스트를 입수하는 개인정보 유출’ 해킹이 대표적이다. 최근 발생하는 해킹은 특정 공격 기법을 사용하기보다는 가능한 모든 방법을 동원하여 특정 타깃을 노리는 여러 공격의 집합체 형태를 가지고 있다.

 

 보안 시스템

그렇다면 이런 것들을 대응하기 위한 보안 시스템들은 어떤 형태가 있는지 알아보자네트워크에는 사용자, 서버, DB, 전산자원, 단말기 등이 여러 종류의 네트워크 스위치를 통해서 구성되어 있다. 각 접점에는 방화벽, 아이패스, 개인 정보 솔루션, 문서보안솔루션과 같은 각각의 기능으로 중점화된 보안 솔루션들이 각자의 위치에서 제 기능을 수행한다

과거엔 이러한 보안 시스템간의 접점이 보안의 가장 취약점으로 여겨졌으나, 요즘에는 하드웨어적으로 많이 오픈되고 시스템이 많이 강화되면서 공통화 된 보안 기능이 점점 늘어가고 있는 실정이다. 대표적인 예로 UTM 장비의 경우, 과거 UTM은 초기에는 방화벽과 IPS의 기능이 하나의 박스 안에 들어가 있는 형태로 제한되었다

하지만 현재는 Anti-Virus나 웹방화벽, SSL VPN등 각각의 기능을 모듈로 하여 UTM 장비가 만들어져 그 박스 안에서 점차 프로세스 되면서, 하나의 패킷이 안전하게 어플리케이션에 전달되기까지 일련의 과정을 수행하고 있다.

 

 네트워크 접근 제어(NAC)

이런 다양한 보안 솔루션을 사용하는 주체는 사용자로, 각 사에서 운영하고 있는 사용자들이 인터넷을 사용하는 주 대상이다. 하지만 사용자가 인지하지 못하는 사이에 일어난 보안의 허점들은 점차 큰 보안의 허점으로 커지게 되었다

네트워크 접근 제어(NAC)는 이런 보안 문제들을 해결하기 위한 사용자 인증 장치로, 사용자가 갖고 있는 권한 만큼만 접근할 수 있도록 인지하는 장치다. 비정상 활동을 탐지하고, 사용자가 정상적인 활동을 유지했을 때만 네트워크를 유지할 수 있도록 하는 장치로, 이러한 NAC를 통한 네트워크 보안의 필요성은 나날이 커져가고 있다.

                                 

현재 PC사용자들이 가장 불편을 토로하는 사항은 너무 많은 보안솔루션이 존재하여 PC를 한 번 켤 때마다 최소한 서너번 이상의 로깅을 해야지만 업무를 볼 수 있도록 시스템이 오픈된다는 사실이다. 그래서 NAC는 기존 보안제품과의 유기적 연동을 함으로써 각각 보안솔루션들의 좋은 기능을 모듈화 한 보안 체계를 보안 프로세스의 첫 요건으로 두고 있다 

NAC의 내부적 정책 몇 가지를 좀 더 설명하자면 사용자 권한에 대한 권리, 필수 소프트웨어 검증, 임시 사용자 검증, 우회 네트워크 경로 차단, IT 자산 통계가 있다. NAC는 차단 소프트웨어가 설치되어 있거나, 설치되어 있어야할 소프트웨어가 설치되어 있지 않은 경우 무조건 네트워크를 격리하여 설치 페이지나 제어 페이지로 리베이트시켜서, 사용자가 왜 네트워크에 접속하지 못했는가를 알림 창을 통해 확인하게끔 해준다. 또한 임시 사용자가 비정상적인 에이전트를 사용하거나 NAC가 희망하는 소프트웨어를 설치하지 않은 경우, 네트워크를 임시 사용자와 완전히 분리시켜 위험요소를 줄여준다.

한편 최근 사용자들은 스마트폰을 통한 테더링을 하여 회사망을 통하지 않고도 인터넷을 얼마든지 사용하고 있다. 하지만 문제는 보안 솔루션이 대부분 PC를 지원하고 스마트폰에는 정상적으로 지원되지 않아서 회사 내부에만 존재해야 할 중요 파일들이 테더링하는 과정에서 외부로 유출되는 상황이 발생하게 된다. 이러한 우회 네트워크와 같은 경우, 중요 정보 유출 피해가 일어날 수도 있기 때문에 NAC는 자동으로 우회 네트워크를 차단하는 정책을 시행하고 있다.

마지막으로, IT 자산 관리 기능의 경우 NAC는 에이전트를 통해서 확보가 되어있는 하드웨어와 소프트웨어 정보를 통해 회사에서 인가가 된 상태인 PC만 사용자가 생성할 수 있게끔 자산에 대한 관리, 소프트웨어에 대한 관리를 지원한다.

 

 보안 프로세스

마지막으로, 어떻게 보안의 취약점들을 최소화하고 보안의 효과를 극대화할 수 있는지 보안 프로세스 관점에서 보자. PC를 사용하든 노트북을 사용하든 각각의 자산을 사용하기 위한 프로세스는 반드시 필요하다

보안 프로세스는 단말사용자의 규제 준수 여부 등을 고려하여 프로세스 준수 여부를 파악하고 망 내 시스템의 네트워크 접속 정책과 연동하는 시스템이다. 이러한 보안 프로세스는 어떤 제품을 사용하는가의 문제가 아니라 어떤 절차를 시행하는가의 문제로, NAC는 각각의 프로세스를 단일화시킴으로써 프로세스를 통한 보안의 안정성을 높이는 역할을 한다. 

정보보안 시장에서 최근 네트워크접근제어(NAC) 솔루션에 대한 관심이 다시 높아지고 있다. 최근, 스마트폰과 태블릿 PC 등의 스마트 디바이스를 활용한 기업 업무 시스템이나 네트워크 접속이 점점 증가하고 있어, 보안 관리의 중요성도 나날이 커져가고 있다. 이에 따라 사내 보안정책을 준수하지 않는 경우나 네트워크 시스템에 접속하는 모든 단말에 대한 통제 및 관리를 하는 NAC는 필수적인 보안 대책으로서 주목받는 것이다. Ahn 

 


대학생기자 윤덕인/ 경희대 영미어학부

항상 배우는 자세를 잊지 말고 자신을 아낄 것

온몸을 던져 생각하고, 번민하고, 숙고하자

 


댓글을 달아 주세요

선량한 관리자가 되기 위한 필요조건

현장속으로/세미나 2013.06.14 08:43

지난 5월 14일, 양재동 엘타워에서 '스마트 융합 시대에 필수적인 개인정보보호와 금융보안'이라는 주제로 'FPIS 2013 금융보안&개인정보보호 페어'가 열렸다.

오전 세션에는 오프닝 연설과 기조연설이 진행되었고, 오후 세션에는 트랙A와 트랙B로 나뉘어 발표가 구성되었다. 발표장 바깥에는 전시부스가 마련되어 개인정보보호 관련 솔루션 등 다양한 프로그램의 체험이 가능했다.

소만사(소프트웨어를 만드는 사람들)의 김대환 대표의 기조연설 '컴플라이언스와 개인정보보호 2.0'를 들어보았다. 아래는 주요 발표 내용.

<개인정보 / 보안 침해사고 동향>

개인정보 유출사고의 원인에는 크게 두 가지가 있다. 첫째는 경제적 목적, 둘째는 정치적 목적이다. 개인정보를 통해 얻게 되는 이득이 커짐에 따라 개인정보 침해사고의 방식은 더욱 다양하고 치밀해지고 있다. 개인정보 침해사고의 신규 동향을 살펴보자. 

1. 웹서버나 어플리케이션에서의 개인정보 취득 : 어플리케이션 서버를 경유하여 개인정보를 조회한 후, 유출한다. 한번에 한 두건씩, 누적시켜 수십만건의 정보를 조회한다. 기존의 탐지 방식으로는 사용자의 이상조회를 식별할 수 없으므로 피해가 발생하게 된다.

2. APT 공격 : DB접속 권한자의 PC를 악성코드 배포를 통해 해킹하고, 권한자가 부재중일때 DB에 접속하여 개인정보 파일을 취득한 후 외부로 전송한다.

3. 웹서버에서의 개인정보 취득: 사용자들에게 활성화 되어 있지 않은 개발용 웹서버도 타겟이 된다. 웹어플리케이션 서버는 외부에 노출되어 있으므로, 가장 손쉬운 해킹의 대상이며, 웹서버 해킹만으로 수백만건의 개인정보 유출사고가 발생할 수 있다.

<개인정보 법적 분쟁 분석>

카드사, 증권사, 통신사 등 다양한 업종의 회사로 부터 개인정보가 유출된 사례가 있으며, 경로는 출력물, 웹서버, 이메일, FTP, 어플리케이션 등으로 다양하다. 이는 개인정보 집단 소송으로 불붙어 보안 사고 후의 화두가 되고 있다. 소송에 대한 법원의 판단 근거는 '선량한 관리자로서의 기술적 관리적 보호조치 의무를 다하였는가?' 이다. '선량한 관리자로서의 기술적·관리적 보호조치 의무'는 아래와 같다.


<개인정보 컴플라이언스>

개인정보에 대한 통제 체제(가버넌스)를 획득하기 위해서는 개인정보 보유 현황을 분석하고, 개인정보 조회와 취득을 통제하고, 개인정보 전송과 유출의 3단계에 대한 통제 및 감사가 이루어져야 한다. 

개인정보 보유 현황 파악 및 보호 조치 단계에서는 PC뿐 아니라, DBMS나 서버의 개인정보 보유현황을 체크해야 한다.

다음으로 개인정보 조회와 취득에 대한 통제 단계에서는 쿼리툴을 통한 개발자/DB관리자 접근, 어플리케이션을 통한 일반 취급자 접근, Shell service를 통한 시스템 관리자 접근에 대한 분리가 이루어져야 한다.

마지막으로 개인정보 전송과 유출 통제 단계에서는 인터넷을 통한 개인정보 전송, USB등 미디어를 통한 복사 및 전송, 망분리 요건, 비업무 사이트 통제 등의 통합 관리 체제가 이루어져야 한다.

<개인정보 기술적 보호조치 기술적 신동향>

사례 몇 가지만 살펴보자. 사례1의 'Content-Aware DB 접근통제'는 쿼리 자체의 통제가 아닌 개인정보 응답값 분석을 통한 통제를 통해 이루어진다. 사례4의 '개인정보화일 (웹)서버 저장 현황 분석'은 어플리케이션 서버, 파일 서버, 웹서버, 개발 서버에 무단보관된 개인정보 파일 분석/삭제/암호화를 활용한다. 사례5의 '출력물 개인정보 감사 통제'는 텍스트나 이미지 형태로 추출하여 로그를 저장하여 선별한다. 이 과정에서 개인정보가 포함된 것이 발견되면 결재를 필요로 하게 된다. 사례 6의 '오픈 소스코드 기반 분산병렬처리 분석(빅데이터 분석)'은 검색 조건에 따른 필드별 집계 표시로 상관 관계를 분석하여 실행한다.

발표를 통하여 개인정보 유출을 다루는 법적인 시각과 기술적인 부분을 모두 알아볼 수 있었다. 다양한 개념에 대해 심도있는 설명으로 뒷받침 하여, 가벼운 내용들이 아님에도 쉽게 이해할 수 있었다. 
잃고 나서 수습하는 것을 '소 잃고 외양간 고친다'라고 한다. 그러나 보안의 경우 '소를 잃고도 외양간을 고치지 않는' 기업들이 많다고 한다. '선량한 관리자의 의무'를 법적, 기술적으로 피해를 줄일 수 있는 방안이라 여기고 미리 지킬 수 있도록 해야 할 것이다. 알아야 지킬 수 있고, 지켜야 지킬 수 있다.Ahn

 

 대학생기자 이혜림 / 세종대 컴퓨터공학과

나를 바로 세우고, 타인을 존중하는 삶.

오늘도 새겨봅니다.


댓글을 달아 주세요