WHITE PAPER
들어가며... 현재기업용무선랜네트워크는빠른속도, 강화된인증과암호화등의표준화를기반으로다양한단말을통하여기업의중요업무를담당하는인프라로성장하고있습니다. 그럼에도불구하고고객은지속적으로무선구간에서의보안위협과성능및운영의이슈를제기하고있는것도사실입니다. 이에많은고객들은무선침입차단시스템 (WIPS) / 무선침입탐지시스템 (WIDS) 의도입을고려하고구축하고있습니다. 이에본고에서는시장에다양하게판매되고있는무선침입방지시스템의구성및구축방법의장단점과도입시반드시고려해야할사항을알아보고, 마지막으로상기와같은관점에서삼성보안 AP 의차별화기능을소개드리고자합니다. 먼저 WIPS가나온배경과발전과정을살펴보겠습니다. 이는현재의제품들이왜서로다른구조로서비스를하고있는지이해할수있는좋은방법이라고생각됩니다. 대부분의 WIPS는초기의무선랜이해커들의 기업네트워크의침입경로 로사용되었을때부터입니다. 보통잘못설정된 AP 또는허가받지않은 AP에접속하여보안Key를 Cracking 하고그 Key를사용하여재침입하는방식이었습니다. 이에대한초기대응은수동적으로무선네트워크를스캐닝하여주변의동작하고있는 AP를찾아수동으로조치하는수준이었습니다. 이러한방법은 WLAN이성장함에따라부족할수밖에없었으며, 이에중앙에서여러센서를관리하여무선네트워크를모니터링하는솔루션이탄생하게되었습니다. 이러한초기 WIPS는유선네트워크에서이미광범위하게사용되고있었던 IPS와동일한구조였고, 순수하게 WIPS 만을목적으로하는단독형 WIPS 솔루션이었습니다. 즉무선네트워크를모니터링하는센서와센서로부터취합되는정보를중앙에서서버가분석 ( 시그니쳐기반, 행위기반, ACL, Policy 기반등 ) 하여관리자에게정보를제공하고, 관리자는그정보 ( 보고서나알람 ) 를보고해당불법 AP 및침입자를물리적으로제거하는방식이었습니다. ( 이후자동차단및격리로발전하게됩니다.) Fat AP 시대를지나 WLAN 에 AP Controller가등장하기시작했습니다. AP Controller를기반으로하는무선랜제조사들은제한적인무선탐지기능을 Controller에탑재하여제공하기시작했고, 이를통해자연스럽게 AP가센서로활용되기시작했습니다. 이러한 AP 가무선랜을모티터링하는방식은무선서비스와동일한채널을탐지하거나주기적으로서비스채널이아닌다른채널을감시하는방식으로구현되었습니다. 이러한방식은제한적인탐지 / 차단방식이었지만초기대응방법과비교하면운영및투자비관점에서효율적인면이있었습니다. 점차무선랜업체들은고객의커져만가는보안 Needs에대응하기위해 WIPS 업체를인수하여무선랜통합형 WIPS 제품의성능과기능을더욱강화시키고있습니다. 서비스 AP에서탐지를동시에수행하던방식에서서비스 AP의소프트웨어를변경하여 ( 하드웨어변경없이 ) 센서역할을하도록한 Full-time 센서용 AP와 Controller가아닌별도의 WIPS 서버도시장에출시됩니다. 반면독립적인 WIPS 제품을보유한업체들도가만히지켜만보지않았습니다. 기구축된무선랜인프라로부터인가된장비의리스트를공유받고무선랜 AP의스캔정보도제공받아독립적인 WIPS 센서의스캔및모니터링능력을추가적으로보강하여대응하였습니다. 하지만특정벤더간에국한되어있는실정입니다. 이와같은형태로무선랜과 WIPS 제품은상호발전하여오늘날과같은 WIPS 제품및시장으로형성되었습니다. 그러면이제두종류의제품의차이점과장단점을살펴보도록하겠습니다. 먼저독립형 WIPS는별도의 WIPS Controller 와 WIPS 센서로이루어져있다고앞서설명드렸습니다. 즉 WIPS 센서측면에서보면무선서비스를하는 AP와별도의센서가보안을위하여무선랜을모니터링하고있는것입니다. 이렇게함으로써무선랜에대하여센서의 Full Time Scanning이가능해집니다. 또한무선랜서비스때문에 AP의 Channel Utilization이증가하더라도센서의 Detection rate 가떨어지는상관관계는없어집니다. 또한별도의전용 WIPS 센서를통하여모니터링한정보에대한분석을센서자체적으로수행하여알람및필요정보만WIPS Controller로전송함으로써본-지사구조에유연하게대처할수있습니다. 한편독립형 WIPS는기구축되어있는무선랜인프라의무선랜서비스에관여하지않음으로 Physical Layer 와 Data Link layer의트래픽을모니터링하는데한계가있습니다. 또한무선랜인프라의인가된디바이스, RF 상태, 위치정보등의활용에제한적이기때문에기무선랜인프라와유기적인연동및통합운영에제약이있습니다. 구축비용측면에서살펴보면무선랜인프라와는별개로 WIPS Controller, WIPS 센서, PoE 스위치등을추가로설치해야함으로도입비용이부담스러울수있습니다. 이제는통합형 WIPS 솔루션에대하여알아보겠습니다. 통합형 WIPS 의구조는무선랜서비스용 AP가무선랜서비스를하다가주기적으로무선랜서비스를중단하고보안을위해모니터링하는구조로되어있습니다. 또한서비스용 AP를센서전용모드로변경하여사용하기도합니다. WIPS Controller 측면에서보면초기에는무선랜 Controller에서 WIPS 관련제어를같이제공하다가무선랜업체를인수하면서별도의 WIPS Controller를사용하는제조사도생겨났습니다. WHITE PAPER 2
이러한구조의통합형 WIPS 솔루션의가장큰장점은구축비용이독립형 WIPS보다상대적으로저렴하다는점입니다. 기존무선랜인프라를공통으로사용함으로써최소의비용 ( 라이선스비용또는 WIPS Controller만구매등 ) 으로 WIPS 솔루션을도입할수있기때문입니다. 또한인가된무선랜서비스를모니터링하고무선랜서비스내의공격과불법디바이스를파악하는데유리합니다. 반면, 무선랜서비스중이아닌다른채널및주파수대역을모니터링하는능력에는한계가있습니다. 또다른통합 WIPS 솔루션의형태인무선랜용 AP를모드변경을통하여센서전용으로사용한다면상기와같은문제점이해결될까요? 이경우에는다른문제점이발생할수있습니다. 오늘날대부분의무선랜제조사의 AP는 AP Controller에많은기능을의존하는 Thin 모니터링 ( 탐지 ) 분석 / 차단방식 독립형 모든채널및주파수 대역모니터링가능 Flood attack, DoS Attack 차단에 효과적 channel hopping 방식으로모니터링 함으로지속적인동 일채널모니터링에 제한적 통합형 현재서비스중인무 선랜 ( 채널, 주파수 ) 모니터링에유리 서비스중인채널및 주파수외다른채널, 주파수모니터링은 제한적 AP 형태로구현되어있습니다. 이러한 Thin AP를모니터링모드로변경하여 WIPS 센서로활용할경우에는센서내에서분석기능을수행할수없기때문에모니터링한데이터를모두 WIPS Controller나무선랜 Controller로전송하여분석처리후불법디바이스판단및차단을수행하게됩니다. 이런경우본-지사구조로구축시 WAN 구간대역폭의제약으로인해유연한대처가어려울수있습니다. 구축 / 구성 센서내분석 / 차단기능수행 캠퍼스구조, 본 - 지사구조모두용이 일반적으로센서는모니터링한데이터를컨트롤러로전송하고컨트롤러는분석후차단명령수행 본 - 지사구조대응어려움 지금까지말씀드린내용을표로정리해보았습니다. 독립형 통합형 WIPS구성 센서 전용 WIPS 센서로 무선랜용 AP 에서주 Full Time 모니터링 기적으로모니터링을 하는방식 같이하는방식 무선랜용 AP를 센서모드로변경하여 Full Time 모니터링하 는방식 구축비용 무선랜인프라와별개로각각설정 전용 WIPS 센서, Controller 구매유선망연결용스위치구매 무선랜, WIPS 설정기능연동으로관리가상대적으로용이함 별도센서추가구매없음제조사에따라 Controller 구매필요독립형 WIPS 에비하여상대적으로저렴 충분하지는않지만독립형 WIPS 와통합형 WIPS 의탄생배경및동 작방식그리고각각의장단점을파악하셨다고생각됩니다. 제어 전용 WIPS Controller 무선랜 Controller 내장형 그렇다면삼성보안 AP는어떠한형태이고어떻게동작하며, 어떤장점을가지고있을까요? 이에대하여알아보도록하겠습니다. 전용 WIPS Controlle 한번에두마리토끼를잡는삼성보안 AP 모니터링 ( 탐지 ) 분석 / 차단방식 Full Time Scanning Time Sliced Scanning 채널, 주파수 Hole 발생가능성높음 결론부터이야기하자면삼성보안 AP는전용 WIPS 센서가추가로내장된무선랜 AP 입니다. 좀더자세히설명드리겠습니다. 겉으로보기엔위에서설명드린통합형 WIPS 와다르지않습니다. 하지만 무선랜서비스 Load 증가와관계없이모니터링가능 Full Time Scanning 무선랜서비스부하증가에따라모니터링능력저하됨 내부를들여다보면얘기가달라집니다. 즉무선랜인프라용 AP가무선랜서비스를하다가주기적으로모니터링을하는통합형 WIPS 센서와는달리삼성보안 AP는내장되어있는별도의 WIPS 센서모듈이보안모니터링을담당하고, 무선랜서비스용모듈은무선랜서비스에충실하게됩니다. 이렇게함으로써서두에말씀드린통합형 WHITE PAPER 3
WIPS 와단독형 WIPS 의장점을모두수용하여완벽한무선랜보안 성능과효율적인무선랜운영을할수있도록합니다. 전용센서를통해탐지 / 차단알고리즘수행 CPU +Wi-Fi PCIe Wi-Fi chip CPU PCIe Wi-Fi chip Ethernet 2.4/5GHz 2.4GHz 5GHz < 그림 1. 삼성보안 AP RF 구조도 > [ 그림 1] 에서와같이무선서비스용 RF 모듈과 WIPS 센서용 RF 모 듈을 HW 기반으로별도탑재하고있습니다. 아래 [ 그래프 1] 은불법 AP 의차단수를증가시키면서동시에서비스되고있는무선랜의 Throughput 성능을시험한자료입니다. 90Mbps 85Mbps 80Mbps 75Mbps 70Mbps 65Mbps 60Mbps 55Mbps 50Mbps 45Mbps 40Mbps 35Mbps 30Mbps 2.4GHz 무선랜서비스 Module 88.9 86.6 88.4 85.7 86.8 85.1 WIPS 센서 Module 86.3 85.8 86.3 85.8 84.6 85.2 5GHz 무선랜서비스 Module 0 1 2 3 4 5 10 84.5 84.3 차단 AP 수량 WIPS 서비스 AP 서비스 < 그림2. WIPS 모듈내탐지 / 차단알고리즘지원 > [ 그림2] 와같이삼성보안 AP의 WIPS 모듈은별도의 Wi-Fi Chip과 CPU를보유하고있습니다. 이를활용하여보안 AP 에서모니터링 ( 취합 ) 한데이터를보안 AP 내에서분석하고탐지 / 차단을직접수행합니다. 이러한방법은무선랜용 AP를센서모드로변경하여모니터링만하는 WIPS 센서와는차별화된성능과유연성을제공합니다. 신속한탐지및차단뿐만아니라 WIPS Controller로최소의알람및 Management Frame만전송함으로써기존유선망에부하를주지않아특히본-지사무선랜망구축시 WIPS Controller를지역마다구축할필요가없습니다. 본사지사지사 # < 그래프 1. 차단 AP 증가에따른무선랜성능비교 > 만약무선랜용 AP로주기적으로모니터링하는통합형 WIPS 센서의경우무선랜서비스와모니터링을동시에수행하면 Channel Utilization이증가할수록 Detection 능력이급격히악화되는현상이발생할것입니다. 그렇다면무선랜용 AP의모드를센서모드로변경하여 Full Time Scanning하는 WIPS 센서는삼성보안 AP와무엇이다를까요? < 그림3. 본-지사무선랜 / 무선보안구성도 > 위의구성은전형적인기업의본-지사네트워크구성입니다. 일반적으로 WAN 구간의대역폭은 LAN 구간보다훨씬부족합니다. 전용선비용문제와사용빈도및용도에따라큰대역폭을유지한다는것은당연히낭비요소이기도합니다. 이러한구조에서지사에있는 WIPS 센서가모니터링한데이터를본사의 WIPS Controller로전송한다면 WAN 구간의병목현상은물론실제사용하고자하는트래픽역시 WHITE PAPER 4
원활한통신을할수없을것입니다. 삼성의보안 AP는전용모니터링모듈에서모니터링데이터를분석하여탐지 / 차단을직접수행하고최소의관리데이터만 WIPS Controller에전달함으로써유연한네트워크구성을제공합니다. WIPS 도입시고려사항 지금까지시장의주류를형성하고있는통합형 WIPS 와단독형 WIPS의장단점을살펴보고삼성의보안 AP가왜 WIPS 센서를내장했는지, 그렇게함으로써고객에게어떠한장점을제공할수있는지를살펴보았습니다. 이제 WIPS의 Architecture는잠시접어두고 WIPS 도입시고려해야할사항을알아보도록하겠습니다. WIPS 도입고려시적어도상기 6항목정도는상세히따져보고 WIPS를도입해야할것입니다. 또한모든항목이중요하지만 WIPS 본연의기능인탐지 / 차단성능과위치정보의정확도가가장우선순위가높다고할수있습니다. 삼성보안 AP는내장된 WIPS 센서모듈에전용안테나를탑재하고있습니다. 이를통하여 Full time scanning으로무선랜을모니터링하고불법 AP나 Client가발견되면동일한전용센서및안테나를통해차단을수행합니다. 모니터링시채널당 100msec간격의고속채널스위칭으로전체채널을탐지하는데 4초이내의빠른탐지싸이클을지원하며, 탐지분석을서버에서수행하고서버에서차단명령을내리는방식과다르게내장 WIPS 센서에서탐지 / 차단을수행하여차단속도및차단율에서탁월한성능을제공할수있습니다. Multi-Antenna 1. RF Monitoring : 802.11 기반의모든채널을모니터링할수있어야합니다. 나라마다사용하지않는채널, non-wifi interference 를통하여공격이가능하기때문입니다. 또한동일한지역에몇개의 WIPS 센서가필요한지, WIPS가 Bandwidth를얼마나소모하는지도고려해야합니다. 2. 탐지 / 차단 : 보안위협에대한탐지시제약사항이있는지확인해야합니다. 기업네트워크의 NAT, VLAN, Encryption 과같은구성에방해받지않고탐지가가능해야합니다. 차단기능에는무선연결차단, 유선스위치차단, 기존인프라와 ACL 연동등여러가지방법이있습니다. 이러한방법들이유기적으로연동되고원하지않은 Side Effect가없어야합니다. 또한가장중요한것은차단율입니다. 실질적으로차단을수행했지만 RF 세기및 HW Resource 부족으로차단이안될수있습니다. 3. 위치정보 : AP와 Client의위치를지도상에표시하는기능입니다. 위치정보는정확도가중요합니다. 보통정확도는센서나 AP 의수에비례하며이는도입비용과도관계가있습니다. 어떻게불법 AP와 Client의위치를정확하게제공할수있는지확인해야합니다. 4. Compliance Report : 정기적 / 비정기적리포트를자동또는 On-demand type으로생성할수있어야합니다. 또한특정산업에서규정하고있는보안규정의 Compliance Report를 Export 하는기능으로관리자의업무를줄일수있습니다. 5. Certification : 보안관련인증보유여부 ( 예, CC EAL2, FIPS 등 ) 6. High availability and scalability : WIPS Controller 장애시 WIPS 센서동작여부와장애시간동안모니터링된데이터의저장분량과리포트생성가능용량을확인하여업무에영향을주지않아야합니다. 12개의서비스용안테나 (2x2 모델은 8개 ) 2.4/5GHz 별도안테나 Monitoring Antenna 보안모듈전용안테나 3개 (11n 모델은 2개 ) < 그림4. 모니터링용전용안테나 > 아래 [ 표1.] 은실제타사단독형 WIPS 솔루션과비교시험한자료입 니다. 탐지 / 차단시간은최대 8~10배차이가나며, 탐지거리역시 2 배정도거리차이를보이고있습니다. 구분 성능결과 성능 탐지시간 비혼잡환경 ( 쉴드룹 ) 10 ~ 30초 ( 타사 1~ 4분 ) 혼잡환경 ( 주변 AP 500개이상 ) 30초 ~ 1분이내 ( 타사 1~ 5분 ) 탐지거리 혼잡환경 50M ( 타사 25M) 차단성능 차단시간 ( 쉴드룸 ) 30초 ~ 1분 ( 타사 30초 ~ 5분 ) 차단성능 ( 쉴드룸 ) 동시 8개채널차단시 85% 차단율제공 ( 타사 75%) < 표1. WIPS 성능비교 ( 삼성보안 AP vs 타사단독형 WIPS 제품 ) > WHITE PAPER 5
아래의시험결과는동일한환경에서불법 AP 10대를탐지및차단하는성능시험상세결과입니다. 평균차단율의차이도삼성보안 AP는 93% 의차단율로타사단독형 WIPS의 53% 차단율보다월등한성능을보였습니다. 더욱중요한부분은삼성보안 AP의경우모든불법 AP에대하여 88% 이상의차단율을보인반면, 타사의경우는 50% 미만의차단율을보였고, 12%, 24% 의차단율을보인 AP도있습니다. 이런불법 AP는거의차단을못했다고판단하는것이맞을것입니다. 다른표현으로보안에구멍이뚫렸다고표현할수있을것입니다. 삼성보안 AP AP 차단시 Index Rouge AP SSID 채널차단율 타사단독형 WIPS AP 차단시 6 BMT_Rogue_4 149 58.7 7 BMT_Rogue_3 153 41.2 8 BMT_Rogue_13 157 37.8 9 BMT_Rogue_8 161 24 10 BMT_Rogue_12 165 12.4 평균 53.35 1 BMT_Rogue_15 9 89.2 2 BMT_Rogue_17 9 93.3 3 BMT_Rogue_5 13 92.7 4 BMT_Rogue_14 9 91.7 5 BMT_Rogue_16 13 88 6 BMT_Rogue_7 149 97.7 글을마치며.. 이제무선랜에서보안은필수사항이고, 고객에게아주중요한네트워크인프라중하나입니다. 그러나시장에서는고객이필요한기능이아닌제한된환경속에서제조사들이만들어낸단독형또는통합형 WIPS 라는제한된기능의제품을강요받아온것이사실입니다. 삼성보안 AP는철저하게고객의 Needs에기반하여보안이기본이되는무선랜, 그리고단독형 / 통합형의장점만아우르는무선보안솔루션입니다. 7 BMT_Rogue_18 153 98.3 8 BMT_Rogue_20 157 98.3 9 BMT_Rogue_10 161 95.1 10 BMT_Rogue_9 149 89.4 평균 93.37 타사단독형 WIPS AP 차단시 Index Rouge AP SSID 채널차단율 1 BMT_Rogue_17 9 95.9 2 BMT_Rogue_5 13 64.3 3 BMT_Rogue_14 9 54.8 4 BMT_Rogue_16 13 44.4 5 BMT_Rogue_15 9 100 WHITE PAPER 6
Copyright 2013 Samsung Electronics Co. Ltd. All rights reserved. Samsung is a registered trademark of Samsung Electronics Co. Ltd. Specifications and designs are subject to change without notice. Non-metric weights and measurements are approximate. All data were deemed correct at time of creation. Samsung is not liable for errors or omissions. All brand, product, service names and logos are trademarks and/or registered trademarks of their respective owners and are hereby recognized and acknowledged. Samsung Electronics Co., Ltd. (Maetan dong) 129, Samsung-ro, Yeongtong-gu, Suwon-si, Gyeonggi-do 443-772, Korea www.samsungenterprise.co.kr WHITE PAPER 7