LG_ITSeminar_Security_

Size: px

Start display at page:

Download "LG_ITSeminar_Security_"

설윤 배
6 years ago
Views:

LG GS LS 그룹 Technology Leader Forum Open Network 환경하에서

2 PROPRIETARY STATEMENT This document and any attached materials are the sole property of Verizon and are not to be used by you other than to evaluate Verizon s service. This document and any attached materials are not to be disseminated, distributed, or otherwise conveyed throughout your organization to employees without a need for this information or to any third parties without the express written permission of Verizon. The Verizon and Verizon Business names and logos and all other names, logos, and slogans identifying Verizon s products and services are trademarks and service marks or registered trademarks and service marks of Verizon Trademark Services LLC or its affiliates in the United States and/or other countries. All other trademarks and service marks are the property of their respective owners.

3 목차 보안의일반버라이존보안서비스 Security Management Program ( 보안관리프로그램 ) Vulnerability Assessment ( 취약성관리 ) 국내고객사례

4 보안의일반 Internet Architecture와보안관리의목적 User Internet Router DDos NIDS Firewall, Web Firewall Extranet DMZ Web Server Firewall WAS Server IntraNet - 보안컴플라이언스요구사항만족 -Risk 를규정함으로써사전보안능력을향상 - 비용절감을위해중첩되는부분을줄이고리소스를효과적으로사용 - 반복되는테스트를최소화하고이전 Audit 의결과를다시사용 - 기업의명성을지킴

5 보안의일반 Defense In Depth Web 사용시보안도구설치 - 키보드보안 - 백신 - 안티피싱 -

6 보안의일반 Defense In Depth 변경관리 / 구성관리 Audit 정책리뷰 취약성점검 외부 / 내부네트워크 침투테스트 ( 외부 / 내부 )

7 보안의일반 Defense In Depth 변경관리 / 구성관리 Audit 정책리뷰 취약성점검 외부 / 내부네트워크, 시스템 침투테스트 ( 외부 / 내부 ) Application 취약성점검 / 소스코드분석

8 목차 보안의일반버라이존보안서비스 Security Management Program ( 보안관리프로그램 ) Vulnerability Assessment ( 취약성관리 ) 국내고객사례

9 버라이존의보안서비스 보안솔루션 IT 솔루션 전문서비스 관제서비스 IT Services Structure 관제서비스 전문서비스 리스크관리 보안컴플라이언스 PCI 평가및감사 보안관리프로그램. 파트너보안프로그램 온라인컴플라이언스 거버넌스, 리스크, 컴플라이언스 PCI 컴플라이언스관리 E-Commerce 솔루션 Identity and Access 관리 애플리케이션보안 데이터분류및식별 포렌식과사고대응 Identity 관제서비스 MSS: Application Firewall, HIDS/HIPS Application Scanning MSS: 컨텐트모니터링과필터링, DB 보안 정보보안 사용자애플리케이션데이터 애플리케이션서비스 IT 서비스데스크 Desk Side Support Managed Messaging 애플리케이션관리 웹애플리케이션가속 백업과복원 애플리케이션성능 애플리케이션최적화 애플리케이션인프라디자인 데이터베이스평가와디자인 데이터백업 / 복제진단 취약성분석 과모의해킹 보안정책 보안아키텍처 보안기술구현 비즈니스연속성과재해복구 보안운영서비스 MSS: 로그관리 MSS: Firewall, (SSL) VPN, NIDS/NIPS, UTM, , Web Content, Proxy, DOS 정보시스템 보안 시스템네트워크장치 정보시스템서비스 정보시스템관제 On-Demand 컴퓨팅 메인프레임관리 콘텐트배포네트워크 콜로케이션 CaaS 통합진단 ( 가상화 ) 스토리지진단 네트워크애플리케이션진단 운영성숙도진단 Technology Upgrade/Migration

10 목차 보안의일반버라이존보안서비스 Security Management Program ( 보안관리프로그램 ) Vulnerability Assessment ( 취약성관리 ) 국내고객사례

11 보안관리프로그램 보안관리프로그램은지속적으로보안진단을하고보안컨트롤을입증하는프로그램입니다. Governance 지원 Standardized Program Measurable and comparable results Risk 감소 Improves security posture Tested methodologies Compliance 입증 ISO based controls Alignment mappings to key standards

12 보안관리프로그램 현재보안컨트롤검증 Security Management Program 은정보보안컨트롤의시너지효과를극대화한프로그램 컨트롤의시너지효과다섯가지개별컨트롤이 80% 이상만족될경우조직의전반적인보안효율은 99.97% 가된다. 물리적환경컨트롤 SMP 표준 선택적인컨트롤 시너지효과모델 (defense in depth) 컨트롤은각계층의리스크를균일하게하는방법에기초합니다. 컨트롤은적절한리스크와노력의수준에맞추어최상의보호효과를가져옵니다. 논리적환경컨트롤시스템과플랫폼컨트롤응용프로그램과서비스컨트롤관리적컨트롤

13 보안관리프로그램 지속적인보안관리 SMP Activity (ISO Controls) Q1 Q2 Q3 Q4 원격지원 Desktop Risk Assessment Filter Check External Risk Assessment* (* meets PCI requirement) War Dial Assessment 온사이트지원 Internal Risk Assessment Physical Inspection courtesy Policy Review Process & Procedure Validation ongoing ongoing ongoing Wireless Assessment

& EFC (Proprietary Tools) 외부네트워크 (Internet-facing, Telephonic) 외부취약성스캔및워다이얼링 Vulnerability

14 보안관리프로그램 분석방법 On-site, Remote 고객사 분석전문가 취약성분석데이터센터 분석도구노트북 (ncircle & Kismet) Onsite Results 취약성분석전문가 데이터전송및분석도구운용 Internal Application Servers 내부네트워크 (DMZ, LAN Wireless) DRAT & EFC (Proprietary Tools) 외부네트워크 (Internet-facing, Telephonic) 외부취약성스캔및워다이얼링 Vulnerability Scanner (ncircle IP360) War Dialer (PhoneSweep) SMP Database Servers External Application Servers

15 SMP Dashboard 보안규정 Scorecard 기반의직관적인관리 현재컴플라이언스상태, 취약성상태위험정보에대한손쉬운접근 개별지역에대한통합된보안그리고컴플라이언스상태 보안접속

16 리포트산출물 분기별관리 / 수행리포트 연 1회 SMP 컴플라이언스리포트 각각의평가활동에대한리포트 요약 상세 컴플라이언스 Alignment 리포트 SOX HIPPA GLBA ISO

17 목차 보안의일반버라이존보안서비스 Security Management Program ( 보안관리프로그램 ) Vulnerability Assessment ( 취약성관리 ) 국내고객사례

18 현실 2008년, 2억 8500만개의레코드유출 비즈니스와명성에직접적인악영향 5 년간의조사전반에서이문제는속도보다는범위와관계되어있었습니다. 조직들이최대한빨리패치하는것에서보다일관되고포괄적으로패치하는것으로방법을변경한다면훨씬더많은가치를얻게될것입니다 데이터보안침해조사보고서 (Verizon Business RISK 팀연구 )

19 컴플라이언스의복잡도 관리가어려움 컴플라이언스시대

20 취약성점검에대한 표준 / 규정의범위 규정또는표준 PCI HIPAA FISMA 범위카드사용자정보를보유한내부외부시스템의료정보를보유한내부시스템 모든 IT 시스템 빈도분기마다기준없음기준없음 Financial and GLBA 조직의정보자산 리스크진단결과가기준 ISO 정보시스템 기준없음

21 Vulnerability Scanning의발전 컨설팅서비스 프리웨어에기반한포인트솔루션 COTS 도구에기반한포인트솔루션 기업은엔터프라이즈취약성분석으로이동 기업전체의취약성뷰를제공 네트워크와비즈니스단위의정보의동향을제공 취약성조치에대한자세한정보 표준화를위한정책기반리포팅 워크플로우와티케팅시스템지원

22 시장의요구사항 컴플라이언스 다양한정부의규제와업계의표준 체계적이고반복적인취약성분석에대한요구 (ISO 27001, PCI-DSS) 엔터프라이즈뷰 개별적노력 자산과취약성에대한광범위한시각 적절한도구를사용해서진단 기업의전체시각에서전략적인취약성도구를사용 모든정보보호의핵심 기업은취약성을발견하고완화시키는데있어서사전에대비할필요가있다. 이것은늘어가는다양하고복잡한공격에대하여신속한대응을할수있게한다.

23 버라이존취약성관리솔루션 What: 기업수준의취약성과위험관리시스템 사전대비, 비용효과적, 네트워크리스크경감 진단 우선순위 대상 : 기업고객을위한취약성관리 리포트 조치 가치 : 기업이체계적인취약성관리프로세스를통하여기업의정책을준수할수있게함 네트워크보안위험을인식하고목적에맞게측정 IT 보안팀이우선순위에기반한조치를취할수있도록조력 효과적으로짧은시간에최대한의위협감소효과

24 Verizon 취약성관리의장점 발견된취약성을지속적으로관리 취약석측정, 관리, 경감 비용효율적 기업수준의취약성관리솔루션제공 우선순위에자세한평가기준 (scoring) 을적용 모든계층을대상으로적절한리포팅을제공 상세스캔리포트, 트랜드리포트 이전결과와비교분석하여취약성의감소추이를이해 MSS, SMP, OCP, 그리고 PSP 같은다양한서비스에서핵심도구로통합 효율적인프로젝트수행 시스템의자동화를통해보다많은범위를짧은기간에수행

25 취약성분석방법 On-site, Remote 고객사 분석전문가 취약성분석데이터센터 분석도구노트북 (ncircle & Kismet) Onsite Results 취약성분석전문가 데이터전송및분석도구운용 Internal Application Servers 내부네트워크 (DMZ, LAN Wireless) DRAT & EFC (Proprietary Tools) 외부네트워크 (Internet-facing, Telephonic) 외부취약성스캔및워다이얼링 Vulnerability Scanner (ncircle IP360) War Dialer (PhoneSweep) SMP Database Servers External Application Servers

26 취약성관리의다양한형태 Outsourced Co-Sourced In-sourced SMP Pcheck, MSS, SMP, OCP, PSP, Consulting Co-Managed VM On-site VM Solution VM Solutions 스캔 데이터분석 데이터유지 스캐닝장치 VM Direct 고객 고객 고객 고객 VM ASP 고객 고객 고객과 Managed VM 고객또는 고객또는 고객과

27 목차 보안의일반버라이존보안서비스 Security Management Program ( 보안관리프로그램 ) Vulnerability Assessment ( 취약성관리 ) 국내고객사례

28 국내고객적용사례 도입시고려사항 고려사항취약성분석제품구입운영시업데이트및리포트 도입효과 문제점 고정자산증가 운영전담인력필요 소수의전문가가수행 버라이존취약성분석서비스 고정자산이아닌서비스비용 (OPEX) 서비스형태로제공 전담조직및운영조직이수행 다수의글로벌기업의취약성도함께관리하여최신취약성발견시빠른업데이트 리포팅시스템의표준화, 취약성레벨의표준화 PCI-DSS 컴플라이언스준수 전체서버의 Level 5, 4 취약성빠른시간에완전해결 취약성분석도구전담팀의최신업데이트와지속적인온라인시스템관리 고객에게신뢰할수있는취약성리포트를드릴수있었음 조치과정을정기적으로진행하여취약성관리프로세스정착

29 감사합니다! GLOBAL CAPABILITY. PERSONAL ACCOUNTABILITY.

F1-1(수정).ppt

F1-1(수정).ppt , thcho@kisaorkr IPAK (Information Protection Assessment Kit) IAM (INFOSEC Assessment Methodology) 4 VAF (Vulnerability Assessment Framework) 5 OCTAVE (Operationally Critical Threat, Asset, and Vulnerability