제품제안서 망연계솔루션 Ver 3.0
목 차 1. 망연계배경 2. 소개 3. 세부기능가. 기능나. FTS 기능 4. 구성방안 5. Line up 6. UI 7. Reference
가. 보안침해사고급증 1. 망연계배경 사이버테러의지속적인증가 대규모자료손상피해액 100 억원이상추정 농협, 신한, 제주은행전산망마비. KBS, MBC, YTN 등언론사업무시스템마비 청와대홈페이지위 변조등정부, 정당, 언론사피해발생 APT 320 사이버테러 IT 보안전략수정 PC 망분리가속화 망연계필요성인식 3
나. 구조적취약성 1. 망연계배경 웹기반업무증가로인해웹이용시 80/443 등특정포트가항상 Open 되어있어내부네트워크는방화벽이나 IPS 로 100% 보호받기어려운구조적문제가존재함 구조적취약성으로인한침투경로존재 내부망 DB DMZ WEB 방화벽 Port Open WAS 인터넷 1 2 3 방화벽 Port Open 범 례 1 2 3 정상네트워크 비정상네트워크 어플리케이션공격 4
다. 보안위협증대 1. 망연계배경 구조적보안취약성으로인해다양한보안위협에노출되어있으며, 개인정보유출가능성이증대되어사회적문제가되고있음 1) 비인가된트래픽유입 - 인터넷망으로부터악성코드및허용되지않은정보등비인가된트래픽을보안영역으로유입시켜내부네트워크침해 3) 단말위장 - 스푸핑등을통해인가된단말 ( 자료전송의경우 ) 또는서버 ( 스트림연계의경우 ) 로위장하여전송통제서버에접근 5) 기록실패 - 보안사건이기록되지않도록감사기록저장용량을소진 7) 저장데이터유출및훼손 - 제품내부에저장된운영관련중요데이터를비인가된방식으로유출, 변경, 삭제 2) 비인가된보안영역데이터유출 - 보안영역의사용자가허가되지않은데이터를네트워크를통해비보안영역으로유출 4) 사용자위장, 관리자위장 - 인가된사용자 ( 관리자 ) 로위장하여전송통제서버에접근 6) 연속인증시도 - 전송통제서버에접근하기위해연속적으로인증을시도하여인가된관리자권한획득 8) 전송데이터유출및훼손 - 제품의구성요소간전송데이터를비인가된방식으로유출, 변경, 삭제 9) 재사용공격 - 관리자인증데이터를재사용하여전송통제서버에접근 5
라. 관련법규시행 1. 망연계배경 개인정보보호법강화 적용대상 : 공공 민간부문의모든개인정보처리자 포털, 금융기관, 병원, 학원, 제조업, 서비스업등 72개업종 350만전체사업자 - 국회 법원 헌법재판소 중앙선거관리위원회등헌법기관 - 부처, 지자체, 공사, 공단, 학교등 2.8만전체공공기관 - 사업자협회 동창회등비영리단체개인정보보호법은 11.9.30( 공포후 6개월경과일 ) 부터시행 ( 부칙 1조 ), 주민등록번호외의회원가입방법 (i-pin등) 적용은 12.3.30부터시행 ( 부칙 1조 ) 정보통신망법 INSERT TEXT 정보통신망이용촉진법시행령을개정하여개인정보를보호하기위한대책강화및의무화 - 망분리등기술적 관리적보호조치를하지않았을경우 3 천만원이하의과태료와 1 억원이하의과징금이부과될수있다. ( 정보통신망법제 76 조제 1 항 3 호, 제 64 조의 3 제 1 항 6 호 ) - 망분리등기술적 관리적보호조치를아니하여개인정보를분실 도난 누출 변조또는훼손한자는 2 년이하의징역또는 1 천만원이하의벌금에처할수있다. ( 정보통신망법제 73 조 1 호 ) 금융회사의전자금융기반시설보안강화 금융전산 INSERT 망분리 TEXT 의무화및가이드라인배포 금융회사의전산센터네대해우선물리적망분리를의무적으로실시하고, 본점 영업점등은규모에따라단계적추진 - ( 전산센터 ) 모든금융회사는전산센터에대해물리적망분리를실시하여, 2014 년 12 월까지인터넷망을원천차단. - ( 본점, 영업점 ) 금융회사의자산규모 임직원수등규모별로단계적망분리추진 ( 단, 망분리방식은선택가능 ) 망분리에따른불편해소를위해송수신은가능망간 ( 인터넷망 업무망 ) 중계서버등을이용하여파일 본가이드라인에서제시하지않은새로운기술도망분리의기본원칙에서벗어나지않으면적용이가능 망분리가이드라인 ( 13.09 월배포 ) 준수여부점검 ) 6
마. 망분리대상 다양한보안위협과정보통신망법시행에따라서 PC to PC 와간망분리필요 1. 망연계배경 to? 보안위협과 법개정에따른망분리대상 1. PC to PC 간망분리 2. to 간망분리 외부망 인터넷 외부망 (DMZ) 인터넷 내부망 PC 내부망 WEB PC 망분리 망분리 WAS 7
바. 망분리한계성 1. 망연계배경 망분리후업무망과인터넷망사이의서비스연계및보안위협에대한안전한파일전송에관한 Needs 가발생 1. PC to PC 간망분리 2. to 간망분리 외부망 인터넷 외부망 (DMZ) 인터넷 내부망 PC 내부망 WEB PC 안전한자료전송방안? WAS 안전한실시간연계방안? 안전한연계방안은?? 내부망 외부망 CD-ROM 보안 USB 8
사. 망연계필요성 1. 망연계배경 망분리후의문제점을보완하는망간자료전송과실시간서비스연계가가능한망연계의필요성증가 논리적, 물리적으로분리되어진네트워크또는방화벽으로구분되어진네트워크간폐쇄성기반자료전송과실시간서비스가가능하도록한제품. 1. PC to PC 간망연계 2. to 서비스연계 인터넷 인터넷 외부망 대외서비스망 내부망 FTS Outer PC or 내부망 Outer WEB PC or FTS Inner 안전한자료전송필요! WAS Inner 안전한서비스연계필요! 9
아. 망연계방식 (Non TCP/IP) 1. 망연계배경 UTP 기반의전용프로토콜방식 () UTP 케이블 연계장비간전용프로토콜을통하여 UTP 케이블을이용하여데이터를전송 전용연계장비 전용연계장비 IEEEE1394 방식 중계서버간 1394 케이블을이용하여데이터를전송 중계서버 1394 케이블 중계서버 스토리지방식 FC FC 중계서버간공유스토리지를통하여데이터를전송 중계서버공유스토리지중계서버 10
자. 기대효과 1. 망연계배경 망연계를사용하는목적은 국가용정보보호제품보안요구사항 에명시된보안위협을효과적으로차단하여내부자산을보호하기위함 구조적취약점을보완하여개인정보및기업정보를보호하기위함 1 2 3 11
가. 란? 2. 소개 는 국가용정보보호제품보안요구사항 을만족하는제품으로네트워크의폐쇄성유지하여내부망의자원을안전하게서비스가능한네트워크보안장비 [ 출처 : 국가정보원국가용정보보호제품보안요구사항, 2012 년 2 월 ] 만족 IP/MAC/ 프로토콜식별 / 통제 http/ssh/sql/ftp 등상세식별 응용계층의프로토콜을식별하여패킷의흐름을허용또는차단기능을제공해야한다. 인가된업무서버에서만접근할수있도록 IP 또는 MAC 주소등에기반한접근통제기능을제공해야한다. 만족 단방향접근통제 특수 Architecture 기반 통신요청은보안영역에서비-보안영역으로만이루어져야한다. 보안정책설정등보안관리활동은보안영역전송통제서버에서만수행해야한다. 비보안영역전송통제서버는보안영역전송통제서버로부터정책을수신받아수행하도록한다. 만족 국정원검증필암호모듈탑재 신뢰된암호화구간형성 제품구성요소간전송데이터에대한암호화를통해기밀성및무결성을보장하여야한다. 적용시주의사항 : 암호모듈검증제도에서검증대상으로지정된안전한암호알고리즘의사용을권고한다. 12
가. 란? 2. 소개 네트워크전체의폐쇄성을유지하며신속한연계서비스및망간자료전송이 가능한보안장비입니다. 특허획득듀얼 OS 를이용한보안시스템및그방법 국정원 CC 인증 CC EAL 3 인증획득 특허 EAL3 암호화모듈탑재국정원검증필암호화모듈탑재 실시간성보장메모리를통한실시간전송으로전송데이터의실시간성보장 13
나. 개요 2. 소개 는네트워크전체의폐쇄성을유지하며실시간연계서비스및망간자료전송이가능 스트리밍서비스 (Web-WAS) 연계구성 망간자료전송서비스연계구성 WEB DMZ 인터넷 Outer 인터넷망 WEB 업무망 Outer Inner Inner DB 폐쇄성유지 업무망 DB CASE 2 CASE 1 인터넷망 PC Outer FTS Inner 인터넷 FTS 업무망 폐쇄성유지 PC 적용모델 FTS 적용모델 14
다. 특장점 2. 소개 1. 구축방안의다양성 - 원격지구성 / 다중구성 / 방화벽없는망분리구성등 2. 전용프로토콜탑재 - 전용프로토콜탑재를통한네트워크레벨공격의전이차단 3. 성능의우수성 - 자체개발아키텍쳐에기반하여보안성및안정적인속도제공 4. TCP/IP 보안성 - TCP/IP 통신시헤더, FLAG 등을이용한네트워크공격들을효과적으로차단하기위하여응용데이터만추출하여전달 5. 연계데이터의실시간성확보 - 데이터전송시메모리를통해전송을하여 Write 과정을거치지않고실시간으로전송 15
라. CC EAL3 인증및특허 2. 소개 1. V3.0 은다중영역구분보안제품중높은보증등급인 EAL3 등급을획득 2. 듀얼 OS 를이용한보안시스템및그방법 으로특허등록 CC 인증서 V3.0 EAL3 획득 [ 듀얼 OS 를이용한보안시스템및그방법 ] 16
가. 기능 3. 세부기능 1. 접근통제 에접근하는시스템을 IP/Port/MAC/ 프로토콜을기반으로접근을통제하여악의적인접근이포함될수있는불필요한통신을차단 국정원보안요구사항 - 인가된서버만전송통제서버에접근하도록 IP 및 MAC 주소기반인증 OuterProxy 정책에등록된시스템 정책에등록되지않은시스템 Outer 허용 IP 등록여부 사용 Port 등록여부 허용시스템의 MAC 주소여부 규정프로토콜여부 내부망서버의경우 InnerProxy 에서동일접근통제수행 17
가. 기능 ( 계속 ) 3. 세부기능 2. 전용프로토콜 는장비내에물리적으로분리된 2 개의시스템간의통신을전용프로토콜로구현하여서비스연계구간에네트워크단절효과를제공 Outer iconnouter 정책등록시스템여부확인 ( 허용 / 차단 ) 허용 Protocol 식별 응용데이터추출 TCP/IP 접속점제거 네트워크단절효과 전용프로토콜구간 iconnouter 단방향접근통제 PNSB(Principle Non-Sever Blocking) 전용프로토콜 iconninner 와 InnerProxy 구간에도전용프로토콜구간존재 18
가. 기능 ( 계속 ) 3. 세부기능 3. 국정원검증필암호모듈탑재 는국정원검증필암호모듈을탑재하여신뢰된암호화통신을제공 국정원보안요구사항 중요자료, 소통 저장을위한암호사용시검증필암호모듈탑재필요 Outer 외부망 인터넷 Outer 외부망 인터넷 내부망 내부망 Inner 1 암호화구간 Inner 1 암호화구간 Outer Hijacking 또는 Spoofing 등해킹공격에대해안전보장 Inner 1 암호화통신 19
가. 기능 ( 계속 ) 3. 세부기능 4. 네트워크방역기능 TCP/IP 속성을제거후응용데이터만을추출하여전달하고내부망에서새로운세션으로연계하기때문에내부네트워크를방역된상태로운영가능 인터넷 WEB 1 Mail Outer 방역수행 2 Inner DB 1 2 외부망서버가 Outer 와맺었던세션은내부네트워크로전달될때응용데이터만추출하여 Inner 에게전달 Inner 는내부망서버와새로운세션을맺어서외부망의세션정보가내부로전달되지않아 Clean 네트워크통신을구현 20
가. 기능 ( 계속 ) 3. 세부기능 5. 수행 Flow 는자체개발한특수아키텍처에기반하여우수한보안성을제공
나. FTS 기능 3. 세부기능 승인, 미승인프로세스에따른절차 승인자 3 파일검사및전송승인요청발송 4 승인결과발송 ( 승인 / 대기 / 반려 ) [ 미승인절차시제외 ] [ 미승인절차시제외 ] 6 ID/PW 로그인후파일다운로드 FTS 승인자료이동 FTS 2 ID/PW 로그인후파일전송요청 Outer Inner 인터넷망 PC ( 수신자 ) 5 브라우져에서파일전송서버로접근 (IP 혹은 URL) 업무망 PC ( 승인요청자 ) 1 브라우저에서파일전송서버로접근 (IP 혹은 URL) 인터넷망 업무망경우도동일 22
나. FTS 기능 ( 계속 ) 3. 세부기능 1. 자료전송시중계파일및전송패킷전구간암호화 SSL(TLS1.2) AES256 암호화파일 SSL(TLS1.2) ARIA-128/AES-256 요청자 내부 FTS Inner Outer 외부 FTS 수신자 2. 자료전송시악성코드차단기능 3. 자료전송시위변조차단기능정의된파일유형, 전송데이터에대한암호화를통해기밀성및무결성검사후해당영역으로자료전송 4. 전송데이터및패킷에대한무결성제공자료교환을요청한파일은자체무결성, 기밀성검사완료후전송이완료됩니다. 5. 망간자료전송시스템을통한파일및다수파일들의단방향및양방향전송기능다수파일의단방향및양방향전송전송기능제공 23
나. FTS 기능 ( 계속 ) 3. 세부기능 6. 망간자료전송시스템을통한클립보드의단방향및양방향전송기능 7. 압축파일내의악성코드검사및위변조파일검사 8. 임시파일자동삭제기능 9. 멀티 Browser 지원 (Internet Explorer, Chrome, Safari, Firefox, Opera 등 ) 10. 멀티 OS (Windows / Linux OS / MAC OS 등 ) 11. 업무망에서인터넷망으로자료반출시승인기능 12. 인사DB와연동반출 / 반입에대한승인및사용자정보자동업데이트기능 13. 다단계승인절차제공 14. 승인위임자설정및위임기간설정기능 15. 승인대상파일유형지정기능 16. 승인결재 UI 제공 17. 승인자가승인시승인요청파일열람기능제공 24
나. FTS 기능 ( 계속 ) 3. 세부기능 18. GUI를통한내. 외부망간자료송수신정책설정기능 19. 망간자료전송서버상태실시간모니터링기능 20. 데이터송수신로그 ( 제목저장 ), 시스템장애추적분석및통계분석기능 21. 데시보드통합모니터링화면제공 (Export 기능제공등 ) 22. 망연계관련로그자료생성및관련분석자료제공 ( 엑셀등 ) 23. 데이터이동시모든자료로그추적및통계분석제공 24. 통제기능을위한일괄관리, 모니터링기능제공 25
다. 연계가능서비스 3. 세부기능 특정업무를위한데이터연계 - 상위기관의 ERP시스템연동 - 주정차단속및모바일업무연계 - CCTV망의영상데이터연계등 내부망 DB 를 Web 을통해서비스 - 개인정보조회 : 세금, 범칙금, 요금등 - 민원발급 : 여권, 증명서, 폐기물신고등 네트워크관리및모니터링 - 내부망 :, IPS, DB보안, NAC 등 - 외부망 : Web, IPS, DDoS 등 - 공통 : PMS, SMS, DMS, DRM, 백신Update 등 단절된네트워크간보안연계 - 망분리구성에서의자료교환및서비스연계 - SCADA, PLANT 등시스템의업데이트및관리 - 군내정보취급및상황관리 실시간서비스연계기반 26
가. 스트리밍연계방안 4. 구성방안 1) OO 시청스트리밍연계구성 CCTV 망의영상데이터연계서비스 DMZ DDOS 인터넷 Web Web B/B 내부망 SSL 관제 PC DB 업무 모니터링 Inner PC CCTV 망 Outer CCTV 영상중계 27
가. 스트리밍연계방안 ( 계속 ) 4. 구성방안 2) OO 시청 ERP 연계구성도 상위기관의 ERP 시스템연동연계 DMZ 인터넷 UTM L4 Web SSL Web Web Outer 내부 DB ZONE Inner DB Zone ERP 28 DB #1 Active DB #2 Standby
가. 스트리밍연계방안 ( 계속 ) 4. 구성방안 3) OO 시청관제망연계구성도 네트워크및보안솔루션들의관리및모니터링을위한연계 인터넷 Web SSL DMZ Outer Web DDOS PC IPS DB B/B 내부망 DB 보안 Outer 관제시스템 관제 Inner 29 관제 PC
가. 스트리밍연계방안 ( 계속 ) 4. 구성방안 4) OOOOO 본부업무연계 + 접근통제구성도 본부망과협력사망간의업무공유서비스모델 인터넷 본부망 DB 업무 Inner PC Outer 연계용폐쇄망 인터넷 업무 협력사망 DB 업무 PC 30
가. 스트리밍연계방안 ( 계속 ) 4. 구성방안 5) OO 청 Web/WAS 연계모델구성 대민서비스를위해 Web/WAS 간분리된구간을 로연계 인터넷 외부망 망연계폐쇄망 WEB 대민포털백본 L4 Outer L4 내부망 Inner 대외 DB 대외 WAS EAI 내부망백본대내 PORTAL 대내 DB 대내 WAS 31
나. 논리적분리망연계방안 4. 구성방안 1) PC 가상화환경적용시 인터넷 DMZ 업무사용사 Or 모바일사용자 WEB Mobile 보안 Gateway FTS 내부망 Outer FTS Inner DB 가상화 Manager 가상화 Client 32
나. 논리적분리망연계방안 ( 계속 ) 4. 구성방안 2) SBC 환경적용시 인터넷 가상화 PC 업무 DB FTS 내부망 Inner WEB 업무사용자 or 모바일사용자 DMZ Mobile FTS Outer 가상화 인증 가상화서버팜 33
나. 논리적분리망연계방안 ( 계속 ) 4. 구성방안 3) VDI 환경적용시 인터넷 가상화 PC 업무 DB FTS 내부망 Inner WEB DMZ Mobile GVPN 업무사용자 or 모바일사용자 FTS Outer 가상화서버팜 가상화 인증 34
다. 물리적분리망연계방안 4. 구성방안 1) 분리된네트워크간보안연계 망분리구성에서의자료교환및서비스연계, SCADA, PLANT 등시스템의업데이트및관리, 군 내정보취급및상황관리등의서비스적용모델 인터넷 업무사용자 or 모바일사용자 WEB Mobile FTS 인터넷망 Outer Inner DB 업무망 Upgrade & Pactch Outer Inner 관리시스템 35 폐쇄망 SCADA or Plant
가. 제품구성 5. Line up FTS 1100 2200 4400 제품사진 CPU Intel Core 2 DUO 2.2GHz x 2EA Intel Core 2 DUO 2.4GHz x 2EA Intel Core 2 Quad 2.4GHz x 2EA Memory 4 GB(DDR2 2GB x 2EA) 8 GB(DDR2 2GB x 4EA) 16 GB(DDR2 4GB x 4EA) H D D 전원 OS용 SSD 32GB x 2EA(for OS) SSD 32GB x 2EA(for OS) SSD 32GB x 2EA(for OS) 로그용 1TB x 2EA (for Log) 1TB x 2EA (for Log) 1TB x 2EA (for Log) 소모량 S/W 800W 이상 800W 이상 800W 이상 Redundant Redundant Redundant Redundant NIC (1000B-T x 2Ports) x 2EA (1000B-T x 2Ports) x 2EA Option : (1000B-SX x 2Ports) x 2EA 또는 (1000B-T x 2Ports) x 2EA (1000B-T x 2Ports) x 2EA (1000B-SX x 2Ports) x 2EA 렉타입 4U 4U 4U 36
가. UI 6. UI < 정책등록 TCP> < 정책수정 > < 정책등록 > < 정책등록 UDP> < 정책관리 > 37
가. UI( 계속 ) 6. UI < 접속로그 > < 서버별접속건수 > < 서버별접속정보 > < 시스템로그 > < 정책백업 / 복구 > 38
가. UI( 계속 ) 6. UI < 장비관리 > < 관리자로그 > < 라이선스 > < 정책백업 / 복구 > < 기본환경설정 > 39
나. FTS UI 6. UI <MGMT - 정책관리 > <MGMT - 사용자관리 > <MGMT - 로그관리 > <MGMT - 통계관리 > <MGMT - 시스템관리 > <MGMT - 관리자관리 > <Agent - 로그인 > <Agent - 요청함 > <Agent - 파일전송 > <Agent - 수신함 > 40
가. 구축사례 ( 계속 ) 7. Reference 사이트명 사업명 공공데이터개방을위한도홈페이지개편구축 (2014) 거제다중영역구분보안장비구축사업 (2014) 망분리에따른망연계시스템구축 (2014) 모바일앱스마트안전센터구축 (2014) 제2 ATC항공교통관제시설제작, 구매및설치사업 (2014) 모바일문서공유시스템구축 (2014) 불법주정차단속주행향 CCTV장비구매 (2014) 2014한국임업진흥원보안고도화및인프라증설 (2014) 망분리구축사업 (2014) 보안장비구매 (2014) 망분리구축사업 1단계 (2014) 41
가. 구축사례 ( 계속 ) 7. Reference 사이트명 사업명 망연계보안시스템 ( 이중화 ) 구축 (2014) 망분리구축사업 (2013) 온-나라시스템도입및통합정보체계개선구축 (2013) 망분리구축사업 (2013) 안전한업무환경을위한논리적네트워크망분리 (2013) CCTV영상유관기관연계시스템구축 (2013) 휴대형실시간현장정보시스템구축 (2013) U-강북구통합관제센터구축사업 (2013) WAMAC실증및테스트베드구축용자재 (2013) 전자결제서버및보안장비구입 / 설치 (2013) 망분리구축사업 (2013) 42
가. 구축사례 ( 계속 ) 7. Reference 사이트명 사업명 망분리구축사업 (2013) YGPA정보화 1차사업 (2013) 의약품안전원정보시스템고도화사업 (2013) 전자문서유통센터구축 (2013) 보안강화 1차사업 (2013) 신사옥네트워크망분리사업 (2013) 종로구 CCTV 통합관제센터구축 (2013) 인터넷망분리시범사업 (2013) 업무망과인터넷망간자료전송시스템구축 (2013) 경기도 119재난종합상황실구축사업 (2013) 차세대지능형보안인프라구축사업 (2012) 43
가. 구축사례 ( 계속 ) 7. Reference 사이트명 사업명 철도교통관제센터정보보안설비개량 (2012) 검찰사이버안전센터구축사업 (2012) 개인정보강화사업 (2012) 다중영역보안장비구매사업 (2012) 제휴복지서비스시스템구축사업 (2012) 네트워크연계 ( 다중영역구분보안 ) 시스템구축 (2012) 관제시스템보안장치구매설치사업 (2012) 차세대구축사업 (2012) 폐쇄망연계보안시스템사업 (2011) 홈페이지전면재구축사업 (2011) 재난종합상황실구축사업 (2011)/ 데이터센터프론트오피스통합인프라구축사업 (2012) 44
감사합니다. 오렌지테크구성철과장 02-562-7009 010-9181-7315 tomato@orangetech.co.kr