최근 3.20 사태로 인하여 금융기관들이 직원들의 인터넷 접속을 차단하는곳이 많다고 합니다. 사용자의 PC가 인터넷을 통하여 악성코드에 감염되는 경우가 많다보니 극약처방으로 이같이 하고 있는것 같습니다. 하지만 언제까지 모든사용자에 대해서 인터넷 접속을 차단할수는 없는일이다 보니 결국 대안은 망분리로 흘러가는것 같습니다. 망분리를 통하여 업무망과 인터넷망용 PC를 분리하여 사용자에게 다시 인터넷을 허용하는 형식인 것이지요.
망분리를 하는 방식에는 크게 3가지 방식이 있습니다. 사용자의 PC에서 가상화 또는 Sandbox방식으로 구동되는 형태와 VDI라 불리는 서버형 가상화시스템을 통한형태 그리고 마지막으로 물리적으로 2대의 PC를 사용하는 물리적 망분리 형태가 있습니다.
3.20 이후로 보안에 대한 우려가 커지면서 보안적으로 가장 안전하다는 물리적 망분리 형태로 진행하는 경우가 최근에 늘어나는듯 합니다. 물리적 망분리가 완전히 별도의 네트워크와 별도의 PC를 사용하기 때문에 가장 안전한것 같으나 사실 여기에도 여러가지 보안적인 이슈사항이 있습니다.
1. 망 혼용 PC
사용자의 고의 또는 실수로 인해 PC가 원래 허용된 네트워크가 아닌 다른 네트워크에 연결될 수 있습니다. 즉, 업무망PC가 인터넷망에 연결되거나 인터넷망PC가 업무망에 연결될 수 있다는 것입니다. 업무망PC가 인터넷망에 연결되게 되면 웜에 감염되거나 보안문제가 발생될 가능성이 높아지게 됩니다. 해당 PC가 다시 업무망으로 전환되어도 이미 PC가 웜에 감염되었다면 업무망 전체를 감염시킬수도 있게 됩니다. 인터넷망PC가 업무망에 연결되어도 마찬가지 결과를 가져오게 됩니다.
따라서 가장 첫번째 고려해야할 보안이슈는 이같은 망 혼용 PC를 얼마나 빠르게 감지 해내느냐 하는 문제일 것입니다.
2. 망 혼용 사용자 식별
망 혼용 문제가 발생되었을때 관리자는 즉각적으로 해당 PC의 사용자가 누구인지 식별할 수 있어야 합니다. 누구의 PC인지 확인하여 해당 사용자에게 통지하여 PC를 잘못된 망으로부터 분리하도록 할 수 있어야 합니다. 이를 위해서는 각 개인의 PC가 가진 고유값(MAC주소등)별로 사용자가 누구인지 식별할 수 있어야 합니다.
3. 망 혼용 PC 차단
망 혼용 PC를 감지하고 사용자까지 식별하는것과 함께 중요한것은 망 혼용 PC를 자동적으로 네트워크에서 차단시켜주는 것입니다. 네트워크에서 특정 단말을 차단하는 방법은 여러가지가 있지만 실제로 적용가능한 방법은 많지 않은것이 현실입니다. 일반적인 네트워크 단말 차단방법에는 다음과 같은것들이 있습니다.
- 802.1x 인증제한 (Port MAC Authentication)
- 스위치 포트 차단
- ARP Poisoning
- 에이전트 기반 차단
가장 좋은 방법은 802.1x를 통한 차단입니다. 스위치에서 제공되는 차단기능을 통하여 단말을 물리적으로 차단해주기 때문에 가장 보안성이 높은 방법입니다. 허나 이를 위해서는 모든 스위치가 802.1x를 제공해야 한다는 단점이 있습니다. 스위치포트 차단 역시 SNMP또는 CLI를 통하여 각 포트별 제어가 가능해야만 사용할 수 있습니다. 즉, 비관리형 스위치를 사용하는 환경에서는 사용할 수 없다는 단점이 있습니다. 비관리형 스위치를 사용하는 환경에서 선택할 수 있는 제어방식은 ARP Poisoning 방식또는 에이전트기반 차단을 사용할 수 있는데 네트워크 환경의 변화없이 적용할 수 있는 장점은 있으나 앞의 두가지 방식만큼 강력한 차단을 제공하기는 어려우므로 사용자가 원하는 보안수준에 따라 적절한 방식을 선택해야 할것입니다.
에이전트 기반 차단은 에이전트가 설치된 PC에 한해서만 차단이 가능하다는 단점이 있으나 사용자의 실수로 인한 망 혼용시에는 가장 적절한 차단 방법입니다. 에이전트가 망 혼용을 모니터링 하다가 망 변경이 감지되면 사용자의 네트워크 인터페이스를 차단하고 사용자의 화면을 잠궈버리는 차단방식을 제공해야 합니다.
4. Offline PMS
망분리를 통하여 인터넷연결이 불가능해지면 문제가되는 부분중 하나가 바로 온라인을 통한 패치서비스를 받을 수 없다는 것입니다. 특히 윈도우즈 운영체제에 대한 업데이트가 불가능해 지므로 반드시 인터넷 연결없이 운영체제 패치가 가능한 Offline PMS시스템을 구축해야 합니다. 망분리로 인하여 운영체제및 각종 취약한 소프트웨어에 대한 패치가 제때 이루어지지 못하게 되면 망분리가 오히려 보안을 약화시키는 결과를 가져오게 되므로 필수적인 구성요소라 할 수 있겠습니다.
5. PC간 자료전달 제어
업무를 하다보면 업무망PC와 인터넷망PC간에 자료를 전달해야하는 경우가 발생되게 됩니다. 이 자료전달에 대한 보안이 아주 중요하며 이부분에서 제대로 통제가 되지 못하면 망분리한 효과가 하나도 없게됩니다. 망분리시 사용자의 불편함중 하나가 키보드 마우스를 별도로 사용해야 한다는 점인데 그 문제를 해결하기 위해 키보드/마우스 공유기를 사용하는경우가 많습니다. 헌데 그런 제품중에는 두 PC간의 자료전송을 가능하게 하는 기능을 가진 제품들이 있어 정확한 장치제어가 반드시 요구됩니다. 따라서 PC간 자료전달을 통제하기 위해서는 다음과 같은 보안정책을 적용할 수 있어야 합니다.
- 인가된 USB(보안USB)이외의 이동식 저장매체는 사용하지 못하도록 하여야 한다.
- 업무망 PC에 스마트폰, 태블릿, 키보드 공유기등 인가되지 않은 외부장치를 연결할 수 없도록 하여야 한다. (whitelist기반 장치제어)
- 업무망과 인터넷망간의 데이터전송을 위한 별도의 망연계 솔루션을 통하여 안전한 전송을 보장한다.
- 파일 복사시 실행파일은 복사할 수 없어야 한다.
6. 소프트웨어 관리
망분리로 인해 업무망 PC가 별도로 분리되게 되면 업무망 PC는 보다 강력한 보안정책을 가져갈 수 있게됩니다. 그중 하나가 바로 소프트웨어 관리인데 업무망 PC에 대해서는 whitelist기반 소프트웨어 정책을 가져가야 합니다. 즉, 인가된 소프트웨어 이외에는 다른 소프트웨어를 설치할 수 없어야 하고 설치된 경우 통제 및 격리할 수 있어야 합니다.
7. 무선랜 제어
인터넷망과 업무망을 분리해도 업무망을 완벽한 폐쇄망으로 유지하기는 쉽지 않습니다. 그중 대표적인 문제가 사용자들의 실수 또는 임의로 설치하는 무선랜 장치에 의해서 업무망이 외부로 노출될 가능성 입니다. 시중에서 값싸게 구입할 수 있는 공유기를 업무망에 연결하는것으로 손쉽게 우회경로를 만들수 있게 됩니다. 특히 공유기의 경우 NAT와 Switch기능을 제공하기 때문에 기존회선에 연결할 경우 일반적인 방법으로 감지해내기 쉽지 않습니다. 굳이 공유기를 사용하지 않더라도 USB형 무선랜카드만 있으면 Windows 7 부터는 간단한 netsh 명령만 입력하면 PC가 AP로 동작하게 됩니다. Windows 7이 아니더라도 SoftAP소프트웨어를 설치해서 간단히 AP로 동작시킬 수 있습니다.
최근 다양한 무선랜지원 장비들로 인하여 주변에는 무수히 많은 AP가 존재하기때문에 AP의 존재사실만으로 해당 AP가 내부망에 연결된 불법AP인지를 식별하는것이 거의 불가능 합니다. 따라서 내부망에 연결된 AP를 식별해내고 차단하는 기능을 위해서는 전문적으로 이같은 Rouge AP를 탐지해주는 솔루션의 도움이 필수적 입니다.
대응방안
위 문제들을 해결하기 위해서는 여러가지 보안시스템들이 필요합니다. 그중 대표적인 것들만 알아보도록 하겠습니다.
0. 사용자의 보안의식
망분리를 할때 보안솔루션보다 먼저 고려해야 하는것이 있습니다. 바로 사용자들의 보안의식입니다. 혹시 망분리의 당위성을 쉽게 설명하기위해 사용자에게 망분리를 하면 업무망PC는 안전하다고 교육되고 있는건 아닌지 살펴봐야 합니다. 그는 바로 사용자의 보안의식 해이를 가져오게 되고 폐쇄망이니까 안전한데 아무런 보안조치를 하지 않아도 된다는 오해를 가져올 수 있게 됩니다. 이같은 사용자들의 의식은 망분리를 하지 않은것만 못한결과를 가져오게 될것입니다.
1. NAC (Network Access Control)
최우선적으로 필요한 솔루션은 NAC입니다. NAC는 네트워크에 연결되는 단말 및 사용자에 대해 식별하고 차단하는 기능을 제공합니다. 802.1x지원을 위한 RADIUS인증서버 기능과 스위치제어기능, ARP제어, 에이전트기반 제어기능등 사용자의 보안 요구수준에 맞는 다양한 레벨의 제어기법을 제공하고 아울러 PMS및 장치제어, 소프트웨어관리 기능을 제공하여 위 문제에 대한 가장 폭넓고 효과적인 대비책을 제공해줄 수 있습니다.
2. WNAC (Wireless Network Access Control)
WNAC는 사용자가 불법적으로 설치한 AP를 감지하고 내부망에 연결된 Rouge AP를 찾아서 차단해주는 역할을 수행해줍니다. 특히 NAC와 연계하여 유무선 네트워크정보를 통합하여 정확하게 내부망에 설치된 AP를 검출해내는 능력이 중요합니다.
3. 망연계솔루션
망연계 솔루션은 두 망간의 데이터전송을 안전하게 수행해주는 솔루션으로 사용자가 망간 전달해야하는 자료가 있을경우 망연계솔루션에 업로드한뒤 다른망에서 다운로드하는 방식으로 사용됩니다. 두 장비는 TCP/IP가아닌 저장장치연계 형태로 서로간의 데이터를 공유하여 처리됩니다.
4. 보안USB 시스템
보안USB는 지정된 USB만을 사용하게 해주고 복사되는 데이터에 제한 제한 및 감사기록을 남길수 있도록 도와줍니다.
단순한 망분리만으로는 보안성을 높이기 힘듭니다. 망분리가 의도한대로 네트워크가 분리된 상태로 잘 유지될 수 있도록 도와주는 관리시스템이 없이는 큰 비용을 들여 구축한 망분리가 제기능을 발휘하지 못하게 될수도 있습니다. 심지어는 보안을 더욱 악화시키거나 관리자의 네트워크및 단말에 대한 가시성을 떨어트려 보안의 위협만 키우는 결과를 가져올수도 있습니다. 망분리전에 위의 보안이슈및 다른 부분들도 잘 따져서 성공적으로 운영될 수 있도록 많은 고민이 필요합니다.