백서 사이버보안개념및용어

Transcription

1 백서 사이버보안개념및용어

2 목차 1. 소개 3 2. 사이버보안 3 3. 위험평가 3 4. 보안위협환경 4 5. 위협행위자및그동기 4 6. 공격가치및비용 5 7. 공통적조직유형및위협 5 8. 위험 6 9. 보안관리조치 취약점및노출 취약점스캐닝 IP 필터링 네트워크격리 ( 네트워크분할 ) 네트워크암호화 HTTPS 인증기관 (CA) 네트워크액세스제어 802.1X SNMP Syslog 서버 상세정보 9

3 1. 소개 이문서에서는사이버보안개념및용어를폭넓게설명합니다. 이문서의내용은단순화된설명, 모델및구조에기반해있습니다. 대상자는물리적보안시스템에초점을맞추고사이버보안의기초를이해하려는개인과단체입니다. 이문서는다른 Axis 사이버보안관련문서의용어정의참조문서입니다. 2. 사이버보안 사이버보안은여러가지로정의됩니다. 위키피디아 (Wikipedia) 에서는컴퓨터보안을다음과같이정의하고있습니다. 컴퓨터보안은사이버보안또는 IT 보안이라고도하며컴퓨터시스템을하드웨어, 소프트웨어또는컴퓨터시스템에저장된정보의도난또는손상으로부터보호하고그러한컴퓨터시스템이제공하는서비스의중단또는오도로부터보호하는것입니다. 온라인에서안전을유지하는유일한방법은없습니다. 디지털보안은사용하는도구와관련된것이아니라직면하는위협과그러한위협에대응할수있는방법을이해하는것과관련되어있습니다. 보안성을높이려면무엇을보호해야하고누구로부터보호해야하는지결정해야합니다. 위협은어디에있는지, 무엇을하고있는지, 누구와함께작업을수행하고있는지하는것에따라달라질수있습니다. 따라서최상의솔루션을결정하려면위협모델링평가를수행해야합니다. 3. 위험평가 사이버공간의위험분석과정은물리적보호환경의위험분석과비슷합니다. 물리적세계에서는보호가필요한것은일반적으로물리적사물, 건물및사람입니다. 사이버공간에서는자산은정보 / 데이터이며자원은서비스입니다. 물리적균열은감지하기가더쉽고도난과손상은더많이눈에띕니다. 위험평가시의다섯가지기본적질문 : 1. 무엇을보호하고싶습니까? 2. 누구로부터보호하고싶습니까? 3. 보호가필요할가능성은어느정도입니까? 4. 실패할경우결과가얼마나나쁩니까? 5. 그러한결과를방지하기위해서얼마나많은수고를감당할것입니까? ISO 정보보호표준에서는자산의기밀성, 가용성및무결성 ( 또는보안삼각형이라고도알려져있는 ) 에대해기술합니다. 데이터또는서비스에액세스할수없을경우, 데이터가파손된경우또는데이터가승인되지않은당사자에게공개될경우어떤영향이있습니까? 영향을평가하려면, 데이터유형마다가치가다를수있기때문에데이터를분류해야합니다. 3

4 ISO 는데이터와서비스를접근제한형 (Restricted), 비공개형 (Private) 또는공용 (Public) 으로분류합니다. 예를들어하나의비디오시스템은비디오시스템리소스를다음과같은방법으로분류할수있습니다. > > 라이브비디오는공용으로분류됩니다. 이것은일반인에게공개되는것일수도있고, 조직내의구성원에게공개되는것일수도있습니다. 라이브비디오가일반대중에게노출될경우, 피해가제한적입니다. > > 녹화된비디오는비공개형으로분류될수있고, 특정조직단위만액세스할수있습니다. 녹화된사건중일부는민감할수있기때문입니다. > > 시스템구성, 계정및암호는접근제한형으로분류되고, 조직내의선택된사람들만액세스할수있습니다. 4. 보안위협환경 누군가취약점을활용하여시스템을공격하는근본적인이유가항상있습니다. 공격은기회주의적공격또는표적공격으로분류할수있습니다. 사이버보안에서공격자는악의적의도를갖고있을수있거나무의식적으로 ( 또는우발적으로 ) 자산에대한피해를유발할수있는적수라고도언급됩니다. 오늘날발생하는공격의대다수는기회주의적공격, 즉기회를포착하여이루어지는공격입니다. 대다수의경우에, 기회주의적공격자들은희생자가누구인지모릅니다. 이러한공격자들은개방형네트워크, 서비스및포트의스캐닝, 기본또는공통암호의입력시도, 패치되지않은서비스찾기, 피싱이메일전송과같은저비용공격벡터를사용합니다. 기회주의적공격자들은실패한공격에시간이나자원을투입하려하지않고다음희생자로이동합니다. 표준적인수준의보호를적용하면기회주의적공격과관련된대다수의위험이완화됩니다. 특정시스템을겨냥하고구체적목표를갖고있는표적공격은방어하기가더어렵습니다. 표적공격은기회주의적공격과동일한저비용공격벡터를사용합니다. 그러나, 초기공격이실패할경우, 표적공격자는더욱단호해지며, 얼마나많은가치가훼손될수있는가하는것에따라더정교한방법을사용하는데시간과자원을투여합니다. 표적공격자는종종정교한소셜엔지니어링및스피어피싱 ( 특정수신자를겨냥한이메일공격 ) 을사용하여시스템에액세스합니다. 실패할경우표적공격자는시스템, 소프트웨어또는프로세스를분석하여이용가능한대안적취약점을찾습니다. 5. 위협행위자및그동기 어떤행위자가공격할가능성이가장높은행위자인지어느정도이해하면, 공격자의동기를가정할수있고, 얼마만큼의시간과자원그리고의지를투입할것인지, 그리고어떠한취약점을노릴것인지이해할수있습니다. > > 절친한사람들 - 타인의사생활을꼬치꼬치캐내려고하는사람들. > > 피고용인, 또는정당한접근권한을갖는사람들 - 우발적으로또는의도적으로오용하는사람들. > > 장난꾼 - 컴퓨터시스템간섭을즐거운놀이라고생각하는사람들. > > 핵티비스트 - 정치적또는이데올로기적동기로단체를공격하려는사람들. > > 사이버범죄자 - 사기또는중요정보의판매를통해돈을버는데관심을갖는사람들. > > 산업경쟁자 - 자기회사를위해경제적우위를확보하는데관심이있는사람들. 4

5 > > 사이버테러리스트 - 이데올로기적또는정치적목표를갖고불안이나공포를유발하도록고안된공격을수행하는사람들. > > 국가 ( 해외정보수집기관 ) - 경제적 / 정치적이익을얻기위해서또는중요정보시스템을손상시키기위해서활동. > > 개인들, 개인들을대신하여행동하는특정인또는특정그룹 - 동기가위에서언급한동기와다를수있습니다. 탐사저널리스트또는화이트햇해커를예로들수있습니다. 결점과취약점을고치지않고숨기는데자원을사용할경우화이트햇해커 ( 윤리적해커 ) 가위협을제기할수있습니다. 6. 공격의가치및비용 공격의가치는공격비용대비성공적공격으로얻는이익에따라다릅니다. 사이버보안의목표는공격비용이공격으로얻는이익보다높아지게하여공격의가치 ( 가치 = 이익 비용 ) 를낮추는것입니다. 적절한보호수준을적용하려면 ( 공격비용을파악하려면 ), 무엇이가능한위협인지아는것이중요합니다. 모든시스템이위협행위자또는공격의도에노출될수있지만, 일부위협은다른위협보다가능성이높습니다. 어떤위협의가능성이더높은지이해하면어디에초점을두고보안조치를취해야하는지 ( 어떤취약점이이용될수있는지 ) 파악하는데도움이됩니다. 7. 공통적조직유형및위협 공격의부정적영향은일반적으로희생조직의유형에따라다릅니다. 조직유형예가능한공격자영향 소규모조직 > > 소비자 > > 가족사업체 > > 비영리 > > 절친한사람들 > > 장난꾼 > > 기회주의적해커 개인적수준 > > 프라이버시 > > 무결성 사업조직 > > 산업 > > 기업 > > 소매업체중요인프라조직 > > 에너지 / 수자원 > > 은행 / 금융 > > 통신 > > 교통 > > 공공보건 > > 경찰 / 군대 위의경우에서추가적으로 : > > 피고용인 > > 핵티비스트 > > 조직범죄자 > > 경쟁자위의경우에서추가적으로 : > > 국가 > > 사이버테러리스트 기업적수준 > > 금전손실 > > 가동정지 > > 신뢰 > > 지적재산 > > 경쟁우위공개적수준 > > 안전 > > 공급 > > 공포 5

6 8. 위험 사람마다 " 위험 " 이라는용어를다르게정의할수있습니다. RFC 2828 인터넷보안용어집 (RFC 2828 Internet Security Glossary) 에서는위험을다음과같이정의합니다. 특정위협이특정취약점을이용하여특정한유해한결과를얻을확률로표현되는손실예상. 다수의상황에서사용되는약칭버전은위험 = 확률 * 영향. 이공식은위협유형들의우선순위를정하는데사용됩니다. RFC 의용어정의에서는 " 특정한 " 이라는단어를사용하여위협, 취약점및유해한결과를설명합니다. 각위협은가장가능성이높고부정적영향이가장높은위협부터시작하여개별적으로조사해야합니다. 각보호유형 ( 기밀성, 가용성및무결성 ) 의경우, 위협의부정적영향을어느정도이해하는것이중요합니다. 이작업은힘듭니다 : 추정은많은경우에주관적이며, 영향은종종과소평가됩니다. ISO 영향유형 ( 제한적, 심각한, 중대한또는재앙적 ) 은영향을신속하게파악하여우선순위를정하는데도움이될수있습니다. 영향유형을복구에걸리는시간과관련하여생각할수있습니다. 제한적 = 시간 / 일, 심각한 = 주, 중대한 = 월, 재앙적 = 년등으로생각할수있습니다. 9. 보안관리조치 보안관리조치를추가하는과정을보안강화라고합니다. 보안관리조치는물리적재산, 정보, 컴퓨터시스템또는기타자산에대한보안위험을방지, 감지, 대응또는최소화하는데사용되는안전장치또는대책입니다. 액세스를제한하고노출을감소시키면시스템의사용성이감소합니다. 시스템사용성과시스템보호간의균형을유지하려면종종시스템사용자의필요와시스템보호담당자의필요사이의힘든타협이필요합니다. 제한이너무많으면사용자가보호를우회하는방법을찾아새로운취약점을발견할수도있습니다. 사용성과보호필요사이의바람직한균형은시스템소유자가정의합니다. 10. 취약점및노출 취약점은공격자에게시스템에액세스할기회를제공합니다. 취약점은결함, 기능또는사용자오류로인해발생할수있습니다. 공격자는그러한것들가운데하나를이용하려하고, 종종그러한것들을한개이상조합하여최종목표를달성합니다. 조사결과에따르면모든성공적공격의 95% 이상이사람의실수, 부실하게구성된시스템및부실하게유지보수되는시스템에서기인합니다. 이러한요소들은일반적으로적절한정책및지정된책임이없어서발생한결과입니다. 장치 API(Application Programming Interface) 와소프트웨어서비스에는공격에서이용될수있는결함이있을수있습니다. 어떤벤더도제품에결함이없다고보증할수없습니다. 결함을알고있을경우, 결함이보완하는보안관리조치로위험을완화시킬수있습니다. 한편, 공격자가알려지지않은결함을발견할경우, 제로데이익스플로잇 (zero-day exploits) 이발생하고희생자에게시스템보호시간을주지않을수있습니다. 중요하지않은취약점은영향이낮은취약점, 또는잠재적영향은심각할수있지만이용하기매우힘든취약점입니다. 중요결함을이용하려면다수의조건이충족되어야할수도있습니다. 이러한조건들에는네트워크및네트워크가제공하는리소스에액세스할권한을갖는것을포함합니다. 6

7 일반적취약점점수평가시스템 (Common Vulnerability Scoring System (CVSS)) 은소프트웨어취약점의심각도를분류하는한가지방법입니다. CVSS 는취약점을얼마나쉽게이용할수있고어떤부정적영향이있을수있는지파악하는공식을사용합니다. 점수는 0 점에서 10 점사이로평가되며 10 점일경우가장심각한것입니다. 공개된일반적취약점및노출 (Common Vulnerability and Exposure (CVE)) 보고서에서 CVSS 점수를볼수있습니다. Axis 는 CVSS 를소프트웨어 / 제품에서파악된취약점이얼마나위험할수있는지추정하기위한여러조치들가운데하나로사용합니다. 또한노출은취약점의위험을결정하는데일정한역할을합니다. 공격자가취약점을얼마나쉽게이용할수있는가? 이것은인프라, 서비스노출및일일운영에따라다릅니다. 예 : 취약점의위험은기업비즈니스포털역할을하는공용웹서버에서는심각한위험으로분류될수있습니다. 이러한취약점은로컬보호네트워크에서카메라에서사용될때제한적위험으로분류될수있습니다. 11. 취약점스캐닝 취약점스캐닝은소프트웨어또는제품에대한자동또는수동감사입니다. 여러종류의스캐닝도구가시장에존재합니다. 취약점스캐닝은알려진취약점을갖는서비스를파악하는데사용됩니다. 그러한서비스는공격자에게노출될경우공격자에의해이용될수있습니다. 취약점스캐닝은알려진취약점만찾을수있습니다. 취약점스캐닝의결과는제품의보안성에대한좋은척도가아닙니다. 새로운중요한취약점이내일발견될수도있습니다. 취약점스캐닝은때때로침투테스트와혼동됩니다. 침투테스트는보안관리조치를적극적으로우회하려할때이루어집니다. 취약점스캐닝은잠재적취약점만파악합니다. 12. IP 필터링 IP 필터링은카메라의로컬방화벽같은역할을합니다. 전문적인비디오시스템에서는비디오관리시스템 (VMS) 이시스템의중심입니다. 비디오클라이언트는카메라에서비디오에직접액세스하지못합니다 : 라이브비디오와녹화된비디오는 VMS 서비스를통해서클라이언트에게공급됩니다. 이것은정상적작동중에카메라에액세스하는유일한컴퓨터 / 서버는 VMS 서버라는것을뜻합니다. 비디오시스템이비 - 비디오클라이언트가네트워크를통해카메라에액세스할수있는비격리네트워크에연결된경우, IP 필터링을추가적보호로서적용할수있습니다. IP 필터링의경우, 카메라가화이트리스트에정의되지않은어떠한 IP 주소의요청에도응답하지않습니다. 화이트리스트에는 VMS 서버, AXIS Camera Manager(ACM) 서버및고장진단과유지보수에사용될수있는기타 PC( 있을경우 ) 가포함되어야합니다. 13. 네트워크격리 ( 네트워크분할 ) 네트워크격리는중요한네트워크자원을서로분리하여서로부정적영향을줄위험을줄이는방법입니다. 격리는서로상호작용할필요가없는 ( 또는상호작용해서는안되는 ) 리소스들에특히적합합니다. 네트워크분리는가상일수있습니다 (VLAN). 이것은관리형스위치의인프라를요구합니다. 또한네트워크를다른케이블배선및네트워크기어를사용하여격리할수있습니다. 사용할분리유형은비용, 인프라및정책에따라다릅니다. 전체적으로좋은보호는물리적보안네트워크를다른 ( 도메인 ) 네트워크리소스들과격리하는것입니다. 한네트워크의비디오클라이언트가다른세그먼트의 VMS 서버에액세스할필요가있을경우두세그먼트사이에방화벽을추가할수있습니다. 방화벽은클라이언트와 VMS 서버 ( 카메라로전송되는트래픽이아니라 ) 사이에서만개방되어야합니다. 7

8 14. 네트워크암호화 HTTPS 네트워크암호화는클라이언트, VMS 및카메라사이의통신을보호하고, 네트워크트래픽스니핑을이용한정보추출을방지하며, 전송중의데이터변경을방지합니다. 네트워크암호화가카메라, VMS 또는클라이언트에대한보호를반드시높여주는것은아닙니다. Axis 카메라는 HTTPS( 보안 SSL/TLS 터널을통한 HTTP) 를지원합니다. 클라이언트 ( 예를들어 VMS) 도 HTTPS 를지원해야합니다. HTTPS 는모든관리트래픽 ( 정상적 HTTP 트래픽 ) 을암호화하지만반드시비디오를암호화할필요는없습니다. 왜냐하면비디오는 RTSP(Real-Time Streaming Protocol) 를통해전송되기때문입니다. 비디오를암호화하려면 VMS 도암호화된 TLS 터널을통해터널링되는 RTSP 요청을지원해야합니다. 모든 VMS 가이것을지원하는것은아닙니다. VMS 벤더에게확인하십시오. HTTPS 가설정되기전에카메라가인증서 ( 자가서명되거나 CA 가서명한 ) 를가져야하고 HTTPS 정책이설정되어야합니다. 15. 인증기관 (CA) 자가서명인증서를사용하든 CA 가서명한인증서를사용하든암호화수준에는차이가없습니다. 차이가있다면자가서명인증서는네트워크스푸핑 ( 공격컴퓨터가정상적클라이언트또는서버로위장하려하는상황 ) 을방지하지않는다는것입니다. CA 가서명한인증서는신뢰되는카메라에액세스하고있음을클라이언트가인증하기위한트러스트포인트를추가합니다. CA 가서명한인증서는 HTTPS( 서버인증서 ) 와 802.1x( 클라이언트인증서 ) 모두에사용됩니다. 공개 CA vs. 사설 CA Comodo 및 Symantec( 이전의 Verisign) 과같은공개적으로신뢰되는 CA 는일반적으로공용웹사이트및이메일서버와같은공용서비스에사용됩니다. 공개적으로신뢰되는 CA 용 CA 루트인증서는대다수운영체제 (Windows, Linux, Mac) 와브라우저에미리설치되어있습니다. 사설 CA 는내부 / 사설네트워크서비스용트러스트포인트입니다. 사설 CA 는모든내부클라이언트및서버용인증서를발행하는데사용되는소프트웨어 / 서버 ( 일반적으로 Active Directory/Certificate Service) 입니다. 사설 CA 루트인증서를사설리소스에액세스하는모든클라이언트에설치해야합니다. 인증서는사용가능한도구및인프라에따라수동으로또는자동으로배치할수있습니다. 16. 네트워크액세스제어 802.1X IEEE 802.1X 는승인되지않은네트워크장치가로컬네트워크에액세스하는것을방지하도록고안된표준입니다. 장치는네트워크 ( 및그리소스 ) 액세스가허용되기전에, 자체인증을해야합니다. MAC 주소 (MAC 필터링 ), 사용자 / 암호또는클라이언트인증서와같은여러인증방법을사용할수있습니다. 시스템소유자는사용할방법을결정합니다. 적절한선택은위협, 위험및비용에따라다릅니다 X 인프라운영은투자입니다. 관리형스위치와추가서버, 일반적으로 RADIUS(Remote Authentication Dial-In User Service) 가필요합니다. 클라이언트인증서를사용하려면클라이언트인증서를발행할수있는 CA( 사설또는공용 ) 가필요합니다. 대부분의경우, 인프라는유지보수및모니터링인력을필요로합니다. 최종사용자가기존에 802.1X 인프라를사용하고있지않을경우, 네트워크비디오 / 보안시스템이추가될때 802.1X 인프라가추가될가능성은적습니다 X 의대안을제공할수있는보완적관리조치는네트워크를격리하여다른중요네트워크리소스의노출을줄이는것입니다. 8

9 17. SNMP SNMP(Simple Network Management Protocol) 는 IP 네트워크의관리형장치에대한정보를수집하고정리하는데사용됩니다. SNMP 를사용하여카메라를모니터링하면공격을받았을수도있음을나타낼수있는카메라오작동및연결끊김을감지하는데도움이될수있습니다. 18. Syslog 서버 모든카메라에는카메라의모든동작을기록하는내부로그가있습니다. 내부로그는카메라를재부팅할경우소실될수있으며, 또는공격자가침입공격을하여내부로그를삭제하거나변경할수있습니다. 원격 Syslog 서버는일상운영중의모든카메라로그메시지를수집할수있습니다. 원격 Syslog 서버를사용하면로그보안이유지됩니다. 따라서문제해결, 또는비정상및침입흔적을찾기위한과학수사를단순화할수있습니다. 19. 상세정보 : > > AXIS 취약점정책 > > AXIS 보안강화가이드 > > 보안권고 (CVE) > > 백서 > > AXIS Academy 사이버보안교육 > > 사이버보안에대한다양한블로그포스팅 9

10 71007/KO/R1/1708 Axis Communications 에대하여 네트워크비디오분야의선도기업인 Axis 는보다스마트하고안전한세상을위한지능형보안솔루션을제공합니다. 업계리더로서 Axis 는개방형플랫폼에기반한혁신적인네트워크제품을지속적으로출시하여시장의성장을이끌어가고있으며, 글로벌파트너네트워크를통해고객에게한차원높은가치를제공하고있습니다. Axis 는파트너들과신뢰를바탕으로한공고한관계를장기간유지하고있으며기존및신규시장에서새로운수요를창출할수있도록파트너들에게전문지식제공과함께, 혁신적인네트워크제품을공급하고있습니다. Axis 는전세계 50 개이상의국가에지사를두고 2,700 명이상의직원이일하고있으며, 90,000 곳이상의파트너로구성된글로벌네트워크를보유하고전세계고객들에게최상의제품과서비스를제공하고있습니다 년에설립된 Axis 는스웨덴에본사를두고있으며현재 NASDAQ Stockholm 에상장 (AXIS) 되어있습니다. Axis 에대한보다자세한정보는 에서확인하실수있습니다 Axis Communications AB. AXIS COMMUNICATIONS, AXIS, ETRAX, ARTPEC 및 VAPIX 는여러관할지역에서 Axis AB 의등록상표또는출원상표입니다. 다른모든회사명및제품은해당회사의상표또는등록상표입니다. Axis 는사전통지없이변경할권리를갖고있습니다.