1. 정보보호 개요

Size: px

Start display at page:

Download "1. 정보보호 개요"

주연 금
5 years ago
Views:

1 정보보호개론 14. 정보보호시스템 1

2 침입차단시스템 외부의불법사용자의침입으로부터내부의전산자원을보호하기위한정책및이를지원하는하드웨어와소프트웨어를총칭 방화벽 (firewall) 이라함 일반적으로내부의신뢰성있는네트워크와외부의신뢰성없는네트워크사이에위치 네트워크계층과전송계층에서도동작할수있는데, 이는들어오고나가는패킷의 IP 와 TCP 헤더를검사하여프로그램된패킷필터규칙에따라패킷을통과시키거나거절함 2

3 침입차단시스템의필요성 네트워크를위협하는공격유형 서비스거부공격 (DoS : Denial of Service) 패킷가로채기 (packet sniffing) 송신측주소위조 (IP spoofing) 패킷의내용변조 (modification) 전화망을이용한우회공격 (PPP) 패킷폭주를통한네트워크기능마비 (flooding) 등 최근네트워크위협요소가증가함에따라네트워크에대한효율적이고안전한보안정책의수립과보안시스템의도입이요구됨 침입차단시스템 단순히라우터나호스트시스템혹은네트워크보안을제공하는시스템을모아놓은것이아니라네트워크보안을실현하기위한한가지방법 침입차단시스템을사용하는일반적인이유 침입차단시스템이없을경우네트워크는네트워크파일시스템 (NFS : Network File System) 나네트워크정보서비스 (NIS : Network Information Service) 와같은보안상안전하지못한서비스가외부에노출 외부네트워크상의다른호스트로부터공격을당할가능성이높기때문 3

4 침입차단시스템의주요기능 (1) 올바른사용자를식별하고인증하는기능 데이터의위 변조여부를검증하는무결성검사기능 내부네트워크상의호스트에대한정당한권한행사여부를결정하는접근통제기능 각종이벤트의기록을담당하는감사서비스에대한추적기능 접근통제기능 접근통제기능은침입차단시스템의가장기본적인기능 침입차단시스템은호스트, 사용자, 서비스의속성을기초로내부네트워크에대한접근통제기능을제공 접근통제는패킷필터링규칙에의해가능 접근통제방법 강제적접근통제 자율적 ( 임의적 ) 접근통제 역할기반접근통제 4

5 침입차단시스템의주요기능 (2) 식별및인증기능 내부네트워크로접근하려는사용자또는컴퓨터의신원 (identity) 을식별하고인증하는기능을수행 인증기법강화 동일한패스워드의재사용을막을수있음 패스워드재사용위협을막을수있음 일회용패스워드개념 5

6 침입차단시스템의주요기능 (3) 감사기록및추적기능 침입차단시스템을통하여사용자의보안관련활동및사건을기록및조사하고침입사건의발생을탐지하는기능 보안관리 인가된관리자만보안기능과보안관련데이터에대해접근 침입차단시스템의보안관련데이터및보안기능을안전하게유지하기위하여필요한기능 네트워크사용통계정보와침입에대한증거를모으는이유 침입차단시스템이침입자의공격에잘견디어내는지여부와허가되지않은접근을적절히제어하는가에대한분석자료로서도활용가능 네트워크사용제어및취약성분석을위한자료로도활용가능 6

7 침입차단시스템의주요기능 (4) 비밀성및무결성기능 중요한트래픽에대한비밀성과무결성기능을제공 비밀성기능 전송되는데이터가인가되지않은사용자에게노출되었을경우, 노출된데이터를통하여정보가누출되는것을방지하기위한기능 무결성기능 침입차단시스템의중요한데이터에대해인가되지않은변경이발생할경우, 침입차단시스템을통하여전송되는데이터변경에대하여확인하는기능 암호화의장점 트래픽을보호하기위한다른보안기능과는달리데이터가비록외부침입자에게노출되어도의미를알아볼수없으므로비밀성보장 암호화기능은하드웨어와소프트웨어에의해제공가능 7

8 침입차단시스템의주요기능 (5) 주소변환기능 (NAT : Network Address Translation) 사설 IP 주소 (private IP address) 를사용하는네트워크내의사용자들이소수의공인 IP 주소 (public IP address) 만을사용하여인터넷에접속할수있도록하는기술 IETF(Internet Engineering Task Force) 의표준으로서기관내에서사용하는비공인사설 IP 주소를인터넷에서사용하는공인 IP 주소로변환하는기능 공인되지않은사설 IP 주소를내부네트워크의서버, 클라이언트, 장비등에할당하여더많은 IP 주소를사용할수있도록하며인터넷상의사용자가사설 IP 주소를사용하는내부네트워크의자원에직접접근할수없도록하는보안기능을제공함 OSI 모델의 3 계층인네트워크계층에서구현되며사설 IP 주소와공인 IP 주소간의변환을위해라우팅테이블을이용 8

9 침입차단시스템의주요기능 (6) 감사추적기능 로깅정보관리기능 모든트래픽은침입차단시스템을통과하므로모든접속정보에대한기록을유지 로그정보의재활용 접근통계, 취약점점검, 추적기능을제공 강화된보안정책을수립 관리자로서경고음과메시지를이용한알람기능을제공 가용성 (High Availability) 문제가발생하였을때서비스를지속할수있도록해주는기술 가용성기능을제공하기위하여주침입차단시스템이문제가발생할경우서비스를지속하기위해보조침입차단시스템이작동함 9

10 침입차단시스템의구성요소 (1) 패킷필터링라우터 패킷필터링방식의침입차단시스템 OSI 모델에서네트워크계층 (IP 프로토콜 ) 과전송계층 (TCP 프로토콜 ) 에서패킷의출발지 IP 주소정보및목적지 IP 주소정보, 각서비스에대한포트번호등을근거로하여접속을거부및허용하도록결정 패킷필터링방식 스크리닝 (screening) 라우터라고도불리는패킷필터링라우터는관리자에의해작성된규칙에근거하여두네트워크사이를통과하는패킷의전달여부를결정 패킷필터링방식의장점 침입차단시스템기능이 OSI 7 모델에서네트워크계층과전송계층에서처리되기때문에다른방식에비해처리속도가빠름 사용자에게투명성이보장 기존에사용하고있는응용서비스및새로운서비스에대해서쉽게연동할수있는유연성이높아서새로운서비스에적용하기가쉬움 하드웨어가격이저렴함 10

11 침입차단시스템의구성요소 (2) 패킷필터링라우터 ( 계속 ) 패킷필터링방식의단점 모든트래픽이 IP 패킷형태로되어있기때문에내부시스템과외부시스템이직접연결됨 데이터가 IP 수준에서처리되기때문에접속내역정보가불충분하여, 잠재적으로위험한데이터에대한분석이불가능 접속제어를위한복잡한패킷필터링규칙때문에운영상어려움 패킷필터링라우터와패킷필터링규칙의자료구조 11

12 침입차단시스템의구성요소 (3) 배스천 (Bastion) 호스트 외부네트워크와내부네트워크의경계에존재하는유일한호스트 침입차단시스템의주서버로사용 보안정책에따라사용자계정설정과접근권한설정기능등을수행 사용자의접속내역과사용내역을기록하여감사추적을위한근거제시 12

13 침입차단시스템의구성요소 (4) 프록시서버 외부네트워크로부터내부네트워크상의호스트에대한연결요청이있을때정해진규칙에근거하여연결의허용여부를결정 내부네트워크와외부네트워크사이에서프로토콜및데이터를중계하는역할을수행 내부네트워크상의호스트에대한연결관리를일원화하기위하여통상배스천호스트에서동작 배스천호스트에서데몬 (daemon) 프로세스형태로동작 외부네트워크로부터전달된연결요청을인증메커니즘을통해검증한후내부네트워크로의연결을허용함 침입차단시스템 배스천호스트를중심으로패킷필터링라우터와프록시서버가상호작용하면서함께수행하게됨 13

14 침입차단시스템의분류 (1) 침입차단의대상네트워크계층에따라 상태검사 (stateful inspection) 방식 네트워크계층패킷필터링 (network level packet filtering) 방식 회선계층게이트웨이 (circuit level gateway) 방식 응용계층게이트웨이 (application level gateway) 방식 침입차단시스템의구성방식에따라 단일패킷필터링 (single packet filtering) 방식 스크린호스트 (screened host) 방식 스크린서브넷 (screened subnet) 방식 듀얼홈드호스트 (dual-homed host) 방식 14

15 침입차단시스템의분류 (2) 네트워크계층에따른분류 상태검사 (Stateful Inspection) 방식 동적패킷필터링또는상태검사기법등으로불리기도함 OSI(Open Systems Interconnection) 계층구조에서 2 계층과 3 계층인데이터링크계층과네트워크계층사이에서동작 패킷필터링기술을사용 현재세션의트래픽상태와미리정의된정상상태와의비교를통하여접근을제어하는방식 15

16 침입차단시스템의분류 (3) 네트워크계층에따른분류 ( 계속 ) 네트워크계층패킷필터링 (network level packet filtering) 방식 OSI 7 계층의 3 계층인네트워크계층에서동작 송 수신측의 IP 주소, 포트번호, 프로토콜종류등의정보에기반을두어필터링을수행 장점 처리속도가빠름 비용이저렴 사용자에게투명성을제공 새로운서비스에대한연동이쉬움 구축이쉬움 기존응용서비스의수정이필요하지않음 16

17 침입차단시스템의분류 (4) 네트워크계층에따른분류 ( 계속 ) 네트워크계층패킷필터링 (network level packet filtering) 방식 ( 계속 ) 단점 세부적인접근정책설정이불가능 트래픽에대한정보수집이어려움 패킷필터링에만의존하므로공격자가포트번호또는 IP 주소를변경하여공격할경우차단하기어려움 필터링규칙이자주수정될경우규칙분석이어려움 접속에대한기록이유지되지않음 사용자에대한인증절차를포함하고있지않음 17

18 침입차단시스템의분류 (5) 네트워크계층에따른분류 ( 계속 ) 회선계층게이트웨이 (circuit level gateway) 방식 세션계층과응용계층사이에존재 어느어플리케이션도이용할수있는일반적인프록시가존재 침입차단시스템을통해서내부시스템으로접속 장점 클라이언트측에서킷프록시를인식할수있는수정된클라이언트프로그램이필요 보안성이좋음 비교적단순 서비스의유연성이좋음 18

19 침입차단시스템의분류 (6) 네트워크계층에따른분류 ( 계속 ) 응용계층게이트웨이 (application level gateway) 방식 응용계층게이트웨이전송계층 (TCP, UDP) 에서동작 서비스별로프록시서버데몬이존재하여사용자인증, 접근통제, 바이러스검색등의기능을수행 장점 폭넓은정책설정과프로토콜별세부정책수립이가능 외부네트워크에대한완벽한방어와내부 IP 주소의은폐가가능 강력한로그기록과감사기능이제공 일회용패스워드를통한강력한인증이가능 새로운기능의추가가쉬움 19

20 침입차단시스템의분류 (7) 네트워크계층에따른분류 ( 계속 ) 응용계층게이트웨이 (application level gateway) 방식 ( 계속 ) 단점 다른방식과비교해침입차단시스템의성능이떨어짐 일부서비스에대해사용자에게투명한서비스를제공하기어려움 새로운서비스에대한유연성이다소부족 하이브리드 (Hybrid) 형태의침입차단시스템 여러유형의침입차단시스템들을경우에따라복합적으로구성한것 장점 단점 사용자의편의성, 보안성등을고려하여침입차단시스템기능을선택적으로부여가능 보안성이좋음 다양한보안정책을부여함으로써구축및관리에어려움 20

21 침입차단시스템의분류 (8) 구성방식에따른분류 단일패킷필터링 (single packet filtering) 방식 스트리닝 (screening) 라우터가인터넷과내부네트워크사이에위치 패킷필터링기능을수행 내부네트워크를보호하는구성방식 장점 단점 처리속도가빠르고구축비용이저렴 세부적인필터링정책설정이어려움 입 출력트래픽에대한세부분석정보의획득이어려움 21

22 침입차단시스템의분류 (9) 구성방식에따른분류 ( 계속 ) 듀얼홈드호스트 (dual-homed host) 방식 듀얼홈드게이트웨이라고도함 멀티 - 홈드게이트웨이의특수한예로두개의네트워크인터페이스를갖는베스쳔호스트를말함 베스천호스트가인터넷과내부네트워크사이에위치하면서프록시서버를이용하여패킷필터링과서비스대행및연결관리기능을수행하여내부네트워크를보호하는구성방식 22

23 침입차단시스템의분류 (10) 구성방식에따른분류 ( 계속 ) 듀얼홈드호스트 (dual-homed host) 방식 ( 계속 ) 장점 응용서비스종류에좀더종속적이기때문에스크리닝라우터보다안전 정보지향적인공격을방어할수있음 각종기록정보를생성및관리하기쉽고, 설치및유지보수가쉬움 단점 제공되는서비스가증가할수록프록시소프트웨어가격이상승 게이트웨이가손상되면내부네트워크를보호할수없음 로그인정보가누출되면내부네트워크를보호할수없음 23

24 침입차단시스템의분류 (11) 구성방식에따른분류 ( 계속 ) 스크린호스트 (screened host) 방식 듀얼홈드게이트웨이와스크리닝라우터를혼합한사용한침입차단시스템 침입차단시스템의구성방법 인터넷과베스쳔호스트사이에스크리닝라우터를접속 스크리닝라우터와내부네트워크사이에서내부네트워크상에베스쳔호스트를접속 24

25 침입차단시스템의분류 (12) 구성방식에따른분류 ( 계속 ) 스크린호스트 (screened host) 방식 ( 계속 ) 장점 2 단계로방어하기때문에매우안전 네트워크계층과응용계층에서방어하기때문에공격이어려움 가장많이이용되는침입차단시스템 융통성이좋고, 듀얼홈드게이트웨이의장점을그대로가짐 단점 해커에의해스크리닝라우터의라우팅테이블이변경되면이들을방어할수없음 침입차단시스템구축비용이많이듬 25

26 침입차단시스템의분류 (13) 구성방식에따른분류 ( 계속 ) 스크린서브넷 (screened subnet) 방식 인터넷과내부네트워크를스크린된게이트웨이를통해서연결 일반적으로스크린된서브네트에는침입차단시스템이설치되어있음 인터넷과스크린된서브네트사이그리고서브네트와내부네트워크사이에는스크리닝라우터를사용 26

27 침입차단시스템의분류 (14) 구성방식에따른분류 ( 계속 ) 스크린서브넷 (screened subnet) 방식 ( 계속 ) 장점 단점 다단계필터링을통하여내부네트워크의안전성을향상 배스천호스트와내부네트워크의부하를감소 공개서버에대한공격으로부터내부네트워크를보호 다단계필터링에대한정책설정이어려움 다른방식에비해설치가난해함 비용이증가 27

28 침입차단시스템의구현 (1) 침입차단시스템의구축에대한최소한의고려사항 침입차단시스템은허가된서비스를제외한모든서비스를거부하는정책을지원할수있어야함 침입차단시스템은조직의보안정책을지원하여야함 침입차단시스템은새로운서비스나조직의보안정책이변경되었을경우, 이를수용할수있어야함 침입차단시스템은강한인증기법을설치할수있어야함 내부네트워크시스템의필요에따라특정한서비스를허가하거나거부할수있는필터링기능을제공하여야함 IP 필터링언어는유동성을지니고있어사용자가프로그래밍하기편하고, 발신처와목적지 IP 어드레스, 프로토콜형태, 발신처와목적지 TCP/ IP/ 포트그리고내부와외부의인터페이스를포함한가능한많은속성을필터링할수있어야함 28

29 침입차단시스템의구현 (2) 침입차단시스템의구축사례 29

30 침입차단시스템의평가기준 (1) 침입차단시스템에대한보안기능요구사항 항목 신분확인 접근제어 무결성 비밀성 감사기록및추적 보안관리 내용 침입차단시스템에접근하는관리자및사용자의신분을증명하는기능 주체가침입차단시스템을통하여객체에접근을시도하는경우미리정해진접근제어규칙을적용하여접근을제어하는기능 침입차단시스템의중요한데이터나침입차단시스템을통하여전송되는데이터에변경이발생하는경우이를확인하는기능 침입차단시스템을통하여전송되는데이터가인가되지않는사용자에게노출되는경우그내용이알려지는것을방지하는기능 침입차단시스템을통하여이루어지는사용자의보안관련활동및사건을기록, 조사하고침입사건의발생을탐지하는기능 관리자가침입차단시스템의보안관련데이터와보안기능을안전하게유지하기위하여수행하는기능 30

31 침입차단시스템의평가기준 (2) 침입차단시스템등급별기능요구사항 등급 K1 K2 K3 내용 관리자식별 / 인증기능제공 모든접속에대한임의적접근제어수행 보안목표명세서, 기능명세서, 시험서, 형상관리문서, 설명서등에대한평가후 K1 등급의보증제공 K1 등급의모든보안기능요구사항포함 사용자식별 / 인증 데이터패킷에대한임의적접근제어 감사기록레코드생성과관리 K1 등급의평가외에기본설계서, 운영환경, 취약성에대한분석후 K2 등급의보증제공 K2 등급의모든보안기능요구사항포함 무결성기능 감사기록및추적을위한추가기능 K2 등급의평가외에상세설계와형상관리체계에대한분석후 K3 등급의보증제공 31

32 침입차단시스템의평가기준 (3) 침입차단시스템등급별기능요구사항 ( 계속 ) 등급 K4 K5 K6 K7 내용 K3 등급의모든보안기능요구사항포함 재사용공격에대한대응 강제적접근제어기능 K3 등급에서의평가외에원시프로그램과검증명세서에대한분석후 K4 등급의보증제공 K4 등급의모든보안기능요구사항포함 상호인증 데이터패킷에대한강제적접근제어 K4 등급에서의평가외에보안모델명세서에대한분석, 설계서의준정형화검사, 각설계에대한검증후 K5 등급의보증제공 K5 등급의모든보안기능요구사항포함 침입탐지기능 데이터패킷에대한강제적접근제어 K5 등급에서의평가외에구조적인설계, 도구를이용한형상관리에대한평가후 K6 등급의보증제공 K6 등급의모든보안기능요구사항포함 정형화된기능명세와기본설계를통한설계검증요구 32

33 침입차단시스템의특징 침입차단시스템의장점 내부네트워크에대한접근통제기능을제공 사용자프라이버시를보호할수있을뿐만아니라취약한내부네트워크서비스에대한접근을차단할수있음 보안정책실현으로집중화된보안성을확보할수있음 암호화인증기능, 로그파일로내부네트워크에대한각종보안통계의획득이쉬움 내부네트워크의보안정책에대한전체적인제어가가능 침입차단시스템의단점 내부사용자로부터의공격을예방하기어려움 침입차단시스템을우회한공격을막기가어려움 알려지지않은새로운공격유형에대하여방어가어려움 바이러스에대하여효과적으로대처하기어려움 33

34 침입차단시스템구축시고려사항 네트워크접속정책결정 허용된작업외모두거부? 불허된작업외모두허용? 모니터링제어 허용또는거부할대상에대한리스트작성 비용 서비스설치및구성 ftp 서비스구성 익명계정, 업로드허용시악성자료검사 http 서비스구성 접근권한최대한제한 모바일코드에대한유입통제 34

35 침입차단시스템구축절차 보호할내부네트워크자산에대한위험분석 보호대상판별 제공할서비스구분 보안정책, 네트워크구성및서비스방식에대한전체적인보안정책수립 침입차단시스템설치 패킷필터링라우터설치 애플리케이션게이트웨이설치 서브네트워크호스트간의보안정책수립 보안관리자의보안인지에대한교육및유지 35

36 침입탐지시스템 IDS(Intrusion Detection System) 특징 탐지대상시스템에대한인가되지않은행위와비정상적인행동을탐지하고, 이를불법적인행위와구별하여침입여부에대한기록과통보를통해대응하도록하는기능 단순탐지기능을넘어서침입패턴데이터베이스와전문가시스템을이용하여네트워크나시스템을실시간모니터링 발생가능오류 오경보 (false alarm, false positive) 경보실패 (no alarm, false negative) 침입차단시스템의경우인정된 IP 로부터의공격은막을수없지만 IDS 는방어가능 통계분석, 호스트의파일이나로그모니터링, 네트워크트래픽상의비정상적인패턴탐지에유용 자체적인방어보다는관리자로하여금위협에대한경고를알리는차원의역할 자체적으로위험을차단하는적극적인행위는행하지않음 구성요소 정보수집 가공및축약 외부로부터공격뿐만아니라내부공격도탐지가능 분석및침입탐지 보고및조치 36

37 침입탐지시스템분류 데이터소스 호스트기반침입탐지시스템 host based IDS 시스템내부에설치되어내부사용자들의활동을감시하고해킹시도탐지 애플리케이션로그, 시스템로그등의정보를운영체제로부터획득 호스트마다설치되어야함 네트워크기반침입탐지시스템 network based IDS 네트워크의패킷을캡처하여네트워크를경유하는모든패킷을분석하여침입탐지 네트워크단위로설치 잘못된패킷에대한정보나포트스캔에대한정보획득가능 네트워크의상황을인지하고있으므로네트워크측면대응가능 모든패킷을재조립하여분석하므로네트워크의부하가큰경우패킷누락 (drop) 발생 암호화된패킷은분석불가 37

38 침입탐지시스템분류 침입모델 (1) 오용 (misuse) 탐지 알려진공격법 (knownattack) 이나보안정책에위반하는행위에대한패턴을패턴 DB 로부터찾아서특정공격탐지 지식기반 (knowledge-based) 탐지라고도함 자신이가지고있는지식에기반을두고있으므로탐지에대한정확도가높음 패턴데이터베이스의지속적인갱신필요 새로운취약성에대한최신정보유지가쉽지않음 취약성분석에대한시간소비형업무필요 매우낮은잘못된경보율 보안시스템에의해제안된분석이세밀하므로방어또는수정이용이 38

임계치를두어경보를울리는정량분석법도가능하나임계치에대한설정필요 통계적분석법의경우주기적인데이터의변경이나유지보수가필요없지만확률적인오차와오탐율이높다는문제

39 침입탐지시스템분류 침입모델 (2) 비정상적행위 (anomaly) 탐지 시스템사용자가정상적이거나예상된행위로부터이탈하는지의여부를조사함으로써탐지 정상적또는유효한행동모델을다양한방법으로수집 생성된정보를바탕으로만든탐지모델과모든행동을비교 높은확률의잘못된경보문제 임계치를두어경보를울리는정량분석법도가능하나임계치에대한설정필요 통계적분석법의경우주기적인데이터의변경이나유지보수가필요없지만확률적인오차와오탐율이높다는문제 신경망분석법 학습을통해신경망을만들고적용 비정상과정상을구분하는명확한기준설정에어려움 행위기반탐지방법 높은잘못된경고율 시간에따라변화하는행위프로파일에대한주기적인재설정필요 학습기간동안탐지불가 39

40 침입탐지시스템의기능과한계 기능 강력한보안정책은 IDS 의핵심기술 비정상적인네트워크트래픽에대한정보를저장, 제공가능 공격식별, 증거포착 보안관리자에게실시간으로경고하고, 통합방어전략하부구조로활용가능 한계 모든위협을탐지할수는없음 잘못된경보와경보실패발생가능 광범위한공격으로 IDS 자체의마비가능 네트워크기반 IDS 의경우고속네트워크에서효과적인동작이어려울수도있음 구축되기전에충분한테스트과정필요 40

41 침입대응 침입방어 (Intrusion Prevention) 무력화 침입선점 (Intrusion Preemption) 공격자에대한공격 침입방해 (intrusion Deterrence) 공격대상은닉등 침입편향 (Intrusion Deflection) 허니팟 침입탐지 (intrusion Detection) 대응 침입선점 41

42 침입탐지시스템을포함한망구성 (1) 침입탐지시스템과웹서버 침입탐지시스템과침입차단시스템 42

43 침입탐지시스템을포함한망구성 (2) 네트워크기반침입탐지시스템과스위칭허브 43

44 침입탐지시스템과환경 IDS 와 VPN VPN 을사용하는경우데이터를암호화해서전송하므로네트워크기반 IDS 는침입을탐지할수없음 호스트기반 IDS 사용하면로그와감사데이터를이용하여애플리케이션수준 IDS 운영가능 네트워크기반 IDS 와고속네트워크 IDS 탐지속도보다네트워크속도가빠르면패킷누락 (drop) 현상발생 해당 IDS 의네트워크수용임계치를확인하여적합한솔루션을구축해야함 헤더감사, 데이터감사등을여러대의 IDS 가작업을분담하여수행하거나, 동일한기능을갖는 IDS 를복수개설치하여작업수행하는방안도가능 44

45 침입탐지시스템의침입판정 판정하는방식 공격에대한축적된지식을바탕으로공격판정 정상행위에대한참조모델생성후정상행위에서벗어나는행위를찾는방식 지식기반침입탐지 ( 오용탐지 ) 전문가시스템 (expert system) 시그니처 (signature) 분석 패트리넷 (petri-net) 상태전이분석 (state transition analysis) 유전알고리즘 (genetic algorithm) 행위기반침입탐지 ( 비정상행위탐지 ) 통계적 (statistical) 방법 전문가시스템 (expert system) 신경망 (neural network) 컴퓨터면역학 (computer immunology) 데이터마이닝 (data mining) HMM(Hidden Markov Model) 기계학습 (machine learning) 45

46 통합시스템 통합보안관리 (Integrated Security Management) 날로복잡해지는보안제품들에대해통일성제공 운영자의실수로인한패해최소화 여러보안정책과장비들에대한일관되고통일된인터페이스제공 46

47 통합시스템분류 혼합형통합모델 (Hybrid Integration Model) 연동통합모델 (Interoperational Integration Model) 47

48 OPSEC (Open Platform for Secure Enterprise Connection) Checkpoint 사가제안한통합보안솔루션을위한 API 와표준안 침입차단시스템, 침입탐지시스템, 안티바이러스등의시스템을하나로연동 SVN(Secure Virtual Network) 이라고불리는구조를기반으로 VPN 게이트웨이를위한보안시스템에적용가능 48

49 보안운영체제 (1) 운영체제내에보안기능을위한보안커널을이식한운영체제 사용자에대한식별과인증 강제적접근통제 접근제어정책 인증사용정책 암호화사용정책 임의적접근통제 신뢰된 (trusted) 경로 보호된 (protected) 경로 재사용방지 침입탐지등 보안운영체제의필요성 응용프로그램수준의정보보호시스템은부분적인보안적용으로인해고비용발생 운영체제의버그등자체취약성을이용한공격증가 => 패치나업그레이드등임시방편적인취약성수정대응 운영체제커널에보안기법을가미한보안운용체제를개발하면보다효율적인보안시스템구축가능 49

50 보안운영체제 (2) 보안커널 보안커널설계 참조모니터개념을구현한하드웨어, 펌웨어, 혹은소프트웨어로시스템자원에대한접근을통제하기위해기본적인보안절차를커널에구현한컴퓨터시스템 보호대상객체에대한모든접근에대한검토를보장 운영체제소스코드에보안기능을추가하거나적재가능한커널모듈에보안기능만추가적으로구현하는방식으로개발 반드시제공하여야하는사항 운영체제의기본개념을기반으로설계 보안메커니즘의독립성이보장되고, 모든보안기능이단일코드집합에의해수행하도록하여무결성유지, 커널에대한분석, 검증가능 외부로부터의공격방어기능과함께탐지기능을통한역추적가능 시스템자원에대한통제가가능하고모든자원관리가능 모든운영상의접근과행위감시 각종프로그램과환경설정변경에대한기록 인증을통한신분확인 50

51 보안운영체제 (3) 참조모니터 (Reference Monitor) 보안커널의가장중요한부분 객체에대한통제기능 감사, 식별, 인증, 보안매개변수설정등의보안메커니즘과데이터를교환하면서동작 운영체제측면에서사용자가특정객체에대한접근권한이있는지, 특정동작이나행위를할수있는지여부를검사, 감시하는기능 주체와객체사이의모든정보를대상으로하는보안모듈 항상호출되는프로세스 51

52 보안운영체제 (4) 요구사항 사용자와프로그램을가능한최소의권한으로운영 우연혹은의도적인공격으로부터손상을최소화해야 충분한분석과검증이가능하도록작고단순한보호메커니즘이들어있는경제적인보안시스템이어야 충분한검토가가능하도록상대적으로작고주요한보안메커니즘에의존해야 해당기능을공개함으로써개방형설계지향해야 직접적, 우회적인모든접근에대한검사를통한완전한중재및조정이가능해야 객체에대한접근은하나이상의조건에의해결정되어, 하나를우회해도객체보호가이루어져야 공유객체는정보흐름가능성이있는채널을제공하므로최소화해야 보안메커니즘사용이용이하고우회가능성이적어야 52

53 접근통제모델링 (1) 임의적접근통제 주체나그것에속한그룹의 ID 에근거하여객체에대한접근을제한하는방법 최초객체에내포된 DAC(Discretionary Access Control) 관계는복사된객체로전파불가능 주체의 ID 에만의존하고객체의데이터의미에는지식이없으므로 ID 가도용될경우 DAC 체계가파괴될수있음 소유자의재량에근거하여데이터보호와공유가이루어짐 unix 의 ACL(Access Control List) 53

54 접근통제모델링 (2) 강제적접근제어 보안에대한민감성을가지고있는객체에대해주체가갖는권한에근거하여객체에대한접근을제한하는방법 객체의소유자에의해변경할수없는접근통제관계정의 최초객체가가지고있는 MAC(Mandatory Access Control) 은복사된객체로전파 데이터공유를시스템이결정 다중등급모델 (Multi Level Model) DAC 와 MAC 포함 주체및객체에등급을부여하여접근을통제 54

55 접근통제모델링 (3) 역할기반 (Role Based) 접근통제모델 사용자의역할및직능에따라접근을통제하는방식 중앙관리자가접근권한을통제 비임의적접근통제라고도함 사용자의역할및직능별권한의관리가용이 자원에대한보안이효율적으로이루어질수있음 기업및공공기관의자원보호에대한효율적인통제기능 장점 role 을이용상호관계설정최소화 사용자에게특정업무를수행하기위한최소한의권한만부여가능 role 중분쟁의소지가있는 role 을한사용자에게집중하는것을방지할수있음 업무수행에필요한모든추상적인권한을 role 로정의가능 55

56 침입방지시스템 (1) IPS(Intrusion Prevention System) 잠재적인위협을인지한후이에즉각적인대응을하기위한네트워크보안기술중예방적차원의접근방식 네트워크관리자가설정해놓은일련의규칙에기반을두고즉각적인행동을취할수있는능력을가지고있어야함 네트워크트래픽을감시하여부당한패킷이들어오는경우해당 IP 주소또는포트로들어오는트래픽을봉쇄하고, 합법적인트래픽은가용성제공 개별적인패킷, 트래픽패턴모두감시하고대응하는, 보다복잡한감시와분석수행 탐지기법 주소대조 HTTP 스트링과서비스트링대조일반패턴대조 TCP 접속분석변칙적인패킷탐지비정상적트래픽탐지 TCP/UDP 포트대조 56

57 침입방지시스템 (2) 침입차단시스템과침입탐지시스템의기능을결합한형태 정책기반접근제어는개방된포트를이용한공격에는한계 침입탐지시스템은침입자에대한판단을할뿐차단기능이없음 탐지와차단을동시에수행 다양하고지능적인침입기술에대한다양한방법의보안기술을이용하여침입이일어나기전에실시간으로침입을막고, 알려지지않은방식의침입으로부터네트워크와호스트보호 최소한의구성과고객화로관리자의업무경감 필요성 능동적인보안필요성증대 해킹기법의고도화, 지능화에따른크래킹의원천적차단및방지기능필요 IDS, Anti-Virus, Secure-OS 등기존보안시스템의대응능력한계 서비스제한을통한보안이아닌, 중요데이터에대한응용보안에대한요구 57

58 침입방지시스템 (3) 호스트기반 IPS 네트워크기반 IPS 커널레벨의시스템콜수행정보를기반으로미리설정된보안위반분석정책을적용하여보안위반여부를분석하는행위기반침입방지수행 주요기능 버퍼오버플로우공격방지 포맷스트링공격방지 경주상황공격방지 루트쉘획득방지 암호추측공격방지 다중프로세스생성공격방지 Disk Excess 공격감시 Memory Excess 공격감시 응용계층에서패킷분석을수행하는흐름제어기반침입방지수행 침입방지능력과빠른반응속도를위해네트워크상에위치 세션기반탐지지원 주요기능 IP/ARP Spoofing 공격방지 DoS. DDoS 방지 fragmentation/segmentation 공격방지 Protocol 변조공격방지 Portscan 공격방지 정상트래픽에위배되는공격방지 I/Worm, Virus, Backdoor 공격방지 유해사이트접속방지 우회공격방지 58

PowerPoint Template

PowerPoint Template 정보보호개론 Chapter 13 네트워크보안시스템 침입차단시스템 외부의불법사용자의침입으로부터내부의젂산자원을보호하기위한정책및이를지원하는하드웨어와소프트웨어를총칭 방화벽 (firewall) 이라함 일반적으로내부의싞뢰성있는네트워크와외부의싞뢰성없는네트워크사이에위치 네트워크계층과젂송계층에서도동작할수있는데, 이는들어오고나가는패킷의 IP 와 TCP 헤더를검사하여프로그램된패킷필터규칙에따라패킷을통과시키거나거젃함