금융전산망분리적용방안 금융보안연구원임형진팀장 2014. 8. 29.
목차 Ⅰ 관련현황및보안위협 Ⅱ 망분리방식 Ⅲ 금융전산망분리보안고려사항 Ⅳ 금융전산망분리 Q&A
Ⅰ 관련현황및보안위협
1. 관련현황및보안위협 금융전산망현황 외부인터넷 외부인터넷 ( 서비스용 ) 웹 DMZ 메일 패치관리 외부인터넷과업무망을구분하기위해침입차단시스템, 백본스위치등이용 업무망 금융망또는타기관연동망 전용선 PC PC 내부직원 DB 서버 응용서버 업무서버 업무서버영역 < 금융회사의일반적인네트워크구성 > 대부분내부직원이사용하는 PC 는외부인터넷및업무망에접속할수있도록구성 4
1. 관련현황및보안위협 금융전산보안위협현황 정보유출 내부관리시스템이외부인터넷망에서접근가능 2008 년 7 월 7 개저축은행의대출정보관리시스템이해킹되어 300 만건의고객정보가유출 2011 년 4 월 2011 년 5 월 H 社서버취약점을통해웹쉘등이설치되어 175 만명의고객정보와 13 만명의신용등급정보가유출 L 社홈페이지관리서버의개인정보데이터베이스관리소홀로인해 1 만 3 천여건의개인정보가유출 서비스마비 2011 년 4 월 서버관리용노트북의외부반출및인터넷망접속가능 서버관리를맡은외주직원의노트북이악성코드에감염된채 N 社의서버에접근하여, 인터넷뱅킹, 개발서버등 270 여대의서버가마비되어정상적인서비스가제공되지않음 서비스장애 2013 년 3 월 그룹웨어서버, 패치관리시스템등이인터넷망에서접근가능 N 社와 S 社등패치관리시스템 (PMS) 특성을이용하여패치파일을가장한악성코드를내부업무용 PC 에유포시켜, DB 서버및 ATM 등 4 만여대의데이터가삭제되어약 4 시간동안서비스장애가발생 5
1. 관련현황및보안위협 관련정책현황 금융전산보안강화종합대책 (2013.7) - 금융회사의전산센터에대해우선물리적망분리를의무적으로실시하고, 본점 영업점등은규모에따라단계적추진 - 금융회사는망분리구축시기획단계에서금감원의사전검토를받고, 시스템운영이전에사전검토에서발견취약점제거 금융전산망분리가이드라인배포 (2013.9) - 적용대상 : 전자금융거래업무를수행하는금융회사및전자금융업자 전자금융감독규정일부개정 (2013.12) - 모든금융회사의전산센터는 14 말까지외부통신망과분리 차단하고, 본점 영업점의경우 15 년말까지분리 차단 ( 은행 15 년말, 그외 16 년말까지 ) 6
1. 관련현황및보안위협 관련정책현황 전자금융감독규정제15조 ( 해킹등방지대책 ) 1 금융회사또는전자금융업자는정보처리시스템및정보통신망을해킹등전자적침해행위로부터방지하기위하여다음각호의대책을수립 운용하여야한다. 1. 해킹등전자적침해행위로인한사고를방지하기위한정보보호시스템설치및운영 2. 해킹등전자적침해행위에대비한시스템프로그램등의긴급하고중요한보정 (patch) 사항에대하여즉시보정작업실시 3. 내부통신망과연결된내부업무용시스템은인터넷 ( 무선통신망포함 ) 등외부통신망과분리 차단및접속금지 ( 단, 업무상불가피하여금융감독원장의확인을받은경우에는그러하지아니하다 ) 4. 내부통신망에서의파일배포기능은통합및최소화하여운영하고, 이를배포할경우에는무결성검증을수행할것 5. 전산실내에위치한정보처리시스템과해당정보처리시스템의운영, 개발, 보안목적으로직접접속하는단말기에대해서는인터넷등외부통신망으로부터물리적으로분리할것 7
Ⅱ 망분리방식
2. 망분리방식 망분리방식분류 물리적망분리 2 대 PC 이용망분리 네트워크전환장치이용망분리 서버기반논리적망분리 가상화서버기반인터넷망분리 가상화서버기반업무망분리 터미널서버기반인터넷방분리 PC 기반논리적망분리 가상화 PC 기반인터넷망분리 9
2. 망분리방식 물리적망분리 개념 (2 대 PC 이용 ) 인터넷망에접근하는 PC 와업무망에접근하는 PC 를별도로사용 ( 네트워크전환장치이용 ) 하드디스크, IP 주소등정보처리및네트워크연결자원을분할한 PC 에서네트워크전환장치를통해인터넷망과업무망에선택적으로접속 < 2 대 PC 이용망분리 > < 네트워크전환장치이용망분리 > 10
2. 망분리방식 물리적망분리 보안고려사항 1 네트워크통제 업무 PC 를인터넷망에연결하여사용할수있으므로각망에접속하는네트워크케이블을구분하고네트워크접근통제필요 2 악성코드유입방지 인터넷망과업무망간자료전송시, 악성코드탐지등보안조치필요 3 내부정보유출방지 보조기억장치반출 입관리및비인가된보조기억장치접근통제필요 < 물리적망분리 보안고려사항 > 11
2. 망분리방식 서버기반논리적망분리 개념 ( 업무망분리 ) 인터넷은 PC 에설치된서버접속용프로그램으로인터넷망가상화서버에접속하여사용 ( 인터넷망분리 ) 업무는 PC 에설치된서버접속용프로그램으로업무망서버 ( 가상화혹은터미널 ) 에접속하여수행 < 가상화서버기반인터넷망분리 > < 가상화서버기반업무망분리 > 12
2. 망분리방식 서버기반논리적망분리 보안고려사항 1 악성코드유입방지 인터넷망과업무망간자료전송시, 악성코드탐지등보안조치필요 2 내부정보유출방지 보조기억장치반출 입관리및비인가된보조기억장치접근통제필요 < 가상화서버기반인터넷망분리 > 3 사용자 PC 통제 관리자권한실행차단, 백신프로그램설치, 입출력정보에대한보안통제등보안강화필요 4 접근통제 서버팜에대한네트워크접근통제, 관리자및사용자식별 인증수행필요 < 가상화서버기반업무망분리 > 5 호환성확보 가상화서버환경에서각종보안제품및업무프로그램등과의호환성확보필요 13
2. 망분리방식 ( 가상화 )PC 기반논리적망분리 ( 인터넷망분리 ) 개념 / 보안고려사항 사용자 PC 의영역을분리하는 PC 가상화전용프로그램을설치하고, 분리된가상영역에서인터넷을사용하는방식 1 악성코드유입방지 인터넷망과업무망간자료전송시, 악성코드탐지등보안조치필요 2 내부정보유출방지 보조기억장치반출 입관리및비인가된보조기억장치접근통제필요 3 가상영역통제 가상영역은각종보안제품등과의호환성을확보하고, 접근시인증수행필요 < 가상화 PC 기반인터넷망분리 > < PC 기반논리적망분리 - 보안고려사항 > 4 접근통제 PC 의가상영역에서네트워크분리를위한장비 (VPN 등 ) 을통해인터넷에접속하도록네트워크접근통제필요 14
2. 망분리방식 망분리방식별고려사항 ( 보안성 ) 물리적망분리 타방식에비해상대적으로높은보안수준을제공 망간자료전송시악성코드유입, 자료유출등에대한추가적인통제가필요 서버기반논리적망분리 논리적인네트워크분리를기반으로인터넷망을분리하므로물리적망분리방식에비해보안성이감소 서버를논리적으로분리하는가상화기술의보안위협에대해검토필요 PC 기반논리적망분리 논리적인네트워크분리를기반으로인터넷망을분리하여물리적망분리방식에비해보안성이감소 PC 를논리적으로분리하는가상화기술의보안위협에대해검토필요 15
2. 망분리방식 망분리방식별고려사항 ( 성능 ) 물리적망분리 추가되는 PC 또는하드디스크의성능을그대로활용가능 서버기반논리적망분리 가상영역을구동하는서버의성능과서버팜네트워크성능등에대해별도검토필요 PC 기반논리적망분리 PC 내에서실행되는가상영역의성능과네트워크분리를위한장비 (VPN 등 ) 의성능등에대해별도검토필요 16
2. 망분리방식 망분리방식별고려사항 ( 비용등 ) 공통 추가 PC 에대한운영 OS, 보안프로그램등에대한비용소요 물리적망분리 네트워크증설필수적 네트워크구축및추가 PC 또는하드디스크, 네트워크전환장치등에대한비용소요 서버기반논리적망분리 가상화또는터미널서버팜구축필수적 서버팜구축및서버접속전용프로그램도입등에대한비용소요 PC 기반논리적망분리 PC 의영역분리를위한전용프로그램설치필수적 전용프로그램및네트워크분리를위한장비등을도입하기위한비용소요 17
Ⅲ 금융전산망분리보안고려사항
3. 금융전산망분리보안고려사항 PC 보안관리 - 인터넷 PC : 업무와관련된정보를생성 저장할수없으며, 외부이메일및웹서버접속등은인터넷 PC 를통해서만수행 - 업무관련정보를생성 저장할수있으며, 외부이메일, 웹서버접속등인터넷접속차단등보안관리 인터넷메일사용 - 인터넷메일을송 수신하는메일서버는악성코드감염에의한업무망피해를방지하기위해인터넷망구간에구축하고인터넷 PC 에서만접근가능 - 사내전용메일이필요한경우업무망에사내메일서버를별도구축 운영하고인터넷 PC 의접근을차단 패치관리시스템관리 시스템및소프트웨어등에대한취약점, 업데이트파일을관리하는패치관리시스템은보안성강화를위하여외부인터넷연결을차단하고인터넷망과업무망에각각설치 운영 19
3. 금융전산망분리보안고려사항 네트워크접근제어 인가된기기 (PC, 노트북등 ) 만인터넷망과업무망에접근을허용하고, 비인가된기기로부터의보안위협차단및망분리 PC 간네트워크혼용사용을차단 보조기억장치관리 - PC 에저장된중요데이터가외부로유출되는것을방지하기위하여인가된보조기억장치 (USB 메모리, CD, 이동식하드디스크등 ) 만인터넷 PC 와업무 PC 에서사용 - 보조기억장치의관리서버는인터넷망과업무망에각각두어운영 망간자료전송 - 인터넷망과업무망이분리된환경에서인터넷 PC 와업무 PC 간자료전송또는공개서버와업무서버간실시간서비스연계를위하여망간자료전송시스템을구축 운영 - 인터넷 PC 와업무 PC 간자료전송시에는보안 USB 를이용하여망간자료전송가능 프린터등주변기기운영 프린터등주변기기는인터넷망과업무망에각각설치하는것을원칙으로하며, 공유하는경우프린터서버등추가장비를이용 20
Ⅳ 금융전산망분리 Q & A
4. 금융전산망분리 Q & A 1. 인터넷및업무 PC 에서의메신저등정보통신수단이용 업무시메신저등을통해정보의전달, 파일송수신을하는경우가많습니다. 망분리환경에서메신저이용기준은어떠한가요? Answer 인터넷 PC 에서웹하드, 인터넷메신저등의이용은원칙적으로금지하고, 금융회사의업무특성상메신저이용이필요한경우에는제한적승인 관리가필요합니다. 단, 업무 PC 에서내부직원간사내메신저등의이용은가능합니다. 제한적승인 관리 : 업무용정보통신수단 지정, 처리가능한업무범위정의등 참고 금융전산망분리가이드라인 제 3 장금융전산망분리보안가이드라인, 금융회사의정보통신수단등전산장비이용관련내부통제모범규준 ( 금융감독원, 11.3 월 ) 22
4. 금융전산망분리 Q & A 2. 업무 PC 의인터넷접속허용 업무 PC 에서외부인터넷접속이필요한경우가있습니다. 이에대한대책은어떻게되나요? Answer 업무 PC 는원칙적으로업무망을제외한인터넷망에직접접속할수없습니다. 업무 PC 에서자료수집등외부인터넷접근이필요한경우, 관리자의승인 관리하에망간자료전송시스템을활용하는등보안대책수립시일부허용가능합니다. 망간자료전송시스템활용방안 1 주기적인자료수집시 : 관리자의승인 관리하에망간자료전송시스템의서비스연계방식을이용 2 인터넷자료수집시 : 인터넷 PC 에서정보를수집한후망간자료전송시스템의자료전송방식을이용하여업무 PC 로자료를전달 참고 금융전산망분리가이드라인 제 3 장금융전산망분리보안가이드라인, [ 부록 2] 망간자료전송방안 23
4. 금융전산망분리 Q & A 3. 그룹사메일시스템구축방안 그룹사차원에서메일시스템이통합구축되어있는경우, 금융회사의메일시스템은어떻게구축되어야하나요? Answer 기존에그룹사와메일시스템을통합관리하였던금융회사의경우, 업무 PC 에서해당시스템에접속이불가능하므로그룹사와는별도로인터넷에서송수신되는메일을위한시스템을구축하여야합니다. 즉, 업무 PC 에서는그룹사메일시스템에접속하여사내메일을송수신하고인터넷 PC 에서는 DMZ 구간에별도로구축한금융사메일시스템을통해서인터넷메일을송수신하여야합니다. 그룹사메일시스템구축방안 1 그룹사메일시스템 : 사내메일송수신 2 금융사메일시스템 : 인터넷메일송수신 참고 금융전산망분리가이드라인 제 3 장금융전산망분리보안가이드라인 24
4. 금융전산망분리 Q & A 4. 패치파일업데이트방안 대용량패치파일업데이트, 온라인상에서만패치를지원하는소프트웨어, 백신소프트웨어등의업데이트는어떻게하여야하나요? Answer 수동으로패치파일을지원받을수없는경우, 관리자승인하에인터넷 PC 를통해패치파일을다운로드받고, 악성코드탐지및무결성검증을수행한후관리자의관리하에인터넷망의패치관리시스템에패치파일을적용하여야합니다. 업무망의패치관리시스템에는수동으로패치파일을적용하거나, 인터넷망패치관리시스템을통해업무망패치관리시스템으로패치파일을전송할수있습니다. 인터넷망패치관리시스템에서패치파일을전송하는경우, 관리자의승인하에망간자료전송시스템의서비스연계방식을통해패치파일을전송하여야합니다. 패치관리시스템도입이어려운중소형금융회사의경우패치관리시스템을활용하지않고, 수동으로각 PC 에패치업데이트수행도가능 참고 금융전산망분리가이드라인 제 3 장금융전산망분리보안가이드라인, [ 부록 2] 망간자료전송방안 25
4. 금융전산망분리 Q & A 5. 공개서버와업무서버간망분리적용 인터넷뱅킹, HTS 등성능이중요시되는실시간서비스는추후장기적으로안정성등확보후적용검토하도록되어있는데, 공개서버와업무서버간에도망분리를적용하여망간자료전송시스템을도입하여야하나요? Answer 전산센터내에위치하는업무서버는물리적망분리방식을적용하여야합니다. 다만, 실시간전자금융서비스를제공하고있는공개서버 (Web 서버, HTS 서버등 ) 와업무서버간에물리적망분리방식을적용하는것은현실적으로어려움이있어장기적으로검토할예정입니다. 참고 금융전산망분리가이드라인 제 3 장금융전산망분리보안가이드라인 26
4. 금융전산망분리 Q & A 6. 서버, 네트워크장비등의관리 PC 망분리시인터넷망에구축된공개서버의운영및관리를위한 PC 는업무망에서접속이가능하나요? Answer 공개서버, 업무서버, 서버, 네트워크장비등시스템관리는중요단말기로지정된별도의 PC 에서수행되어야하며, 공개서버는인터넷망에연결되어있는관리 PC 에서관리하고, 업무서버는업무망에연결되어있는관리 PC 에서관리하여야합니다. 또한해당 PC 는인터넷망및업무망에접속할수없도록지정용도 ( 시스템관리 ) 이외에는사용을금지하여야합니다. 관리자 PC 유형 : 1 인터넷망시스템관리 PC 2 업무망시스템관리 PC 3 업무용 PC 4 인터넷용 PC 참고전자금융감독규정제 12 조, 전자금융안전성제고를위한금융전산보안강화종합대책 ( 금융위원회, 13.7 월 ) 27
4. 금융전산망분리 Q & A 7. 대외업무망관리 대외기관또는계열사 ( 지주사등 ) 업무을위한망은어떻게구성하고관리하여야하나요? Answer 대외기관과연결된망은인터넷망과업무망외별도의망으로금융회사별내부기준에의한보안관리필요합니다. 대외기관망구성방안 1 전용회선을통한대외기관연결 2 VPN 등인터넷망을통한대외기관연결시망간자료전송시스템을활용한서비스연계 참고 금융전산망분리가이드라인 [ 부록 2] 망간자료전송방안 28
4. 금융전산망분리 Q & A 7. 대외업무망관리 29
감사합니다