시스코적응형무선침입방지시스템 제품개요무선스펙트럼은많은 IT 조직에게새로운개척분야라고할수있습니다. 다른네트워크미디어처럼, 무선스펙트럼에대한보안이제대로이루어져야하며이는무선네트워크가사이트에구축되지않은경우에도마찬가지입니다. Cisco Adaptive Wireless IPS(WIPS) 는 Cisco Unified Wireless Network 인프라에통합되어무선네트워크에대한특정위협을탐지하고, 악성공격을제어하며, 보안취약점및성능저하의원인에대한정보를제공합니다. Cisco Adaptive WIPS( 그림 1) 는무선위협을탐지, 분석및식별할수있는기능을제공하고, 보안및성능과관련된문제를중앙에서관리하여이를제어및해결합니다. 또한, Cisco Adaptive WIPS는대부분의무선공격을막아내는견고한무선네트워크코어를위한사전위협방지기능을제공하며, 유 / 무선네트워크에계층화된위협방지수퍼셋을제공하는 Cisco Self-Defending Network 보안포트폴리오를보강할수있습니다. 그림 1. Cisco Adaptive Wireless IPS: 시스템개요 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 1 of 1
기능개요 Cisco Adaptive WIPS는무선네트워크인프라에완벽한무선위협탐지및제어기능을포함시켜업계에서가장포괄적이면서도정확하며운영비용도저렴한무선보안솔루션을제공합니다. Adaptive WIPS의기능으로는악성액세스포인트및클라이언트와 Ad-Hoc 연결탐지및제어, 무선해킹및위협탐지, 보안취약점모니터링, 성능모니터링및자가옵티마이제이션, 사전위협방지를위한네트워크강화, 완벽한무선보안관리및보고등이있습니다. Cisco Unified Wireless Network를기반으로구축되었으며효율적인 Cisco Motion의을활용하는 Adaptive WIPS는보다간편해진설치로언제든지기업용으로사용될수있는엔터프라이즈레디 (enterprise ready) 솔루션입니다. 무선네트워크인프라의통합기능 Cisco Adaptive Wireless IPS는시스코무선 LAN 컨트롤러, 시스코액세스포인트, Cisco Mobility Services Engine, Cisco Wireless Control System 등을비롯한 Cisco Unified Wireless Network의인프라컴포넌트로직접통합됩니다. 이통합된무선위협탐지및방지기능은비용을절감시키고, 운영을효율화하며, 포괄적인보호기능을제공합니다. 무선 IPS를무선LAN 인프라에통합하면무선 IPS 및무선LAN 서비스의단일인프라를사용함으로써얻게되는비용및운영효율성측면의외에도더많은혜택을누릴수있습니다. 즉, 인프라통합으로써단독오버레이무선 IPS 시스템으로는구조상구현키힘든수퍼셋기능을구현할수있습니다. 네트워크관리자는 Cisco Adaptive WIPS의인프라통합아키텍처를통해제공되는새로운기능을이용해다음을할수있습니다. 전체적인그림보기 : 일반적인 WIPS 솔루션은오로지 RF 에어모니터링에의존해위협을탐지합니다. Adaptive WIPS는위협탐지및성능모니터링을위한실시간장치인벤토리분석과네트워크구성분석뿐만아니라액세스포인트와무선LAN 컨트롤러내에서네트워크트래픽및이상분석을실시함으로써 RF 에어모니터링을보완하고있습니다. 이러한접근방식을통해보다정확하고철저하게위협을탐지할수있습니다. 올바른해결조치취하기 : Cisco Adaptive WIPS는위협, 취약점및성능문제를단순히탐지하는데서끝나지않고적절한해결조치까지제시해줍니다. Adaptive WIPS는무선 LAN 인프라에통합되어수동적인모니터링에그치는것이아니라인프라상에서보안위협과성능문제를실시간으로해결합니다. 전체무선LAN 풋프린트이용하기 : Adaptive WIPS는네트워크의모든액세스포인트를사용하여악성장치를탐색하고문제를제어할수있습니다. 이기능은위치탐색의정확도를높이고제어가능한범위를확대합니다. 유연한설치아키텍처활용하기 : Cisco Adaptive WIPS는풀타임에어모니터링전용액세스포인트또는무선LAN 사용자를지원하는액세스포인트를사용할수있습니다. 이와같은유연성을활용하여특정사이트에맞는적당한보안모델을구현할수있습니다. 종합적인보안및정확한탐지에어모니터링, 네트워크트래픽 / 이상분석, 네트워크장치및토폴로지에대한실시간정보, 네트워크구성분석을모두결합한시스코의위협탐지에대한고급접근방식은 Cisco Adaptive WIPS 분석엔진의종합적인이벤트보기를통해나타납니다. Adaptive WIPS는다양한정보를이용하여 OTA(Over the Air) 서명만으로는추적할수없었던이벤트를탐지하고, 참 / 거짓에대한결정의정확도를높여오탐지율은줄이면서동시에효율성은높여줍니다. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 2 of 1
코어탐지기능을바탕으로설계된 Cisco Adaptive WIPS는보안이벤트를자동으로분류및제어할수있는유연한규칙을사용자에게제공함으로써공격을다양하게분류하고있습니다. 시스템자체의정확도가뛰어나기때문에이자동분류기능을이용하면시스템에의해탐지된잠재적위협에대한수동조사와관련된운영비를크게줄일수있습니다. 시스코는이러한고급탐지및분류기술을광범위한공격, 취약점및성능탐지라이브러리에결합합니다. 탐지된이벤트클래스의예로는악성액세스포인트 / 클라이언트, Ad-Hoc 연결, 해커액세스포인트 ( 예 : 허니팟및이블트윈스 ), 네트워크정찰, 인증및암호화확인, 메시지가로채기 (man-in-the-middle) 공격 ( 예 : 스푸핑확인 / 식별 ), 재전송공격, 프로토콜공격, DoS 공격, OTA 및네트워크보안취약점, 성능문제 ( 채널간섭, 커버리지홀등 ) 등이있습니다. 사전위협방지기능으로보완된 Adaptive WIPS 네트워크를보호하는가장좋은방법은피해를입기전에공격을예방할수있는시스템을설계하는것입니다. Cisco Unified Wireless Network에내장된네트워크보안강화기능은 Adaptive WIPS 솔루션을보완하여다음과같은사전위협방지기능을제공합니다. 네트워크에서보안공격자제거 : 클라이언트제외정책 (Client Exclusion Policy) 은가장높은수준의사용자인증실패및 IP 주소스푸핑에자동으로대응할수있습니다. 네트워크정찰, 스푸핑및메시지가로채기 (man-in-the-middle) 공격약화 : IEEE 802.11w 기반인Cisco Management Frame Protection은무선LAN 관리프레임을암호화하고인증하여많은일반적인 OTA(Over the Air) 공격을방어합니다. 데이터도난방지 : 강력한사용자인증, WPA2(Wi-Fi Protected Access 2) 및 802.11i 암호화표준을통해무선LAN을경유하는네트워크와데이터에대한액세스를보호합니다. 악성액세스포인트잠금 : 시스코액세스포인트에서 802.1X 유선포트인증을사용하면악성액세스포인트가유선네트워크에침범할가능성이사실상사라집니다. 기능및 : 기술개요 다음섹션에서는 Cisco Adaptive Wireless IPS 솔루션의각기능영역및관련에대해개략적으로설명합니다. 악성탐지, 분류및제어 Cisco Adaptive Wireless IPS 기능은표 1 과같이악성탐지및제어기능을제공합니다. 악성액세스포인트및클라이언트는네트워크에대한백도어액세스를가능케하여무선클라이언트들이데이터를훔치는데이용될수있습니다. Adaptive WIPS 는악성액세스포인트, 악성클라이언트, 스푸핑된클라이언트및클라이언트 Ad-Hoc 연결을탐지하고, 사용자가지정한규칙에기반하여자동분류하며, 제어합니다. 표 1. 주요기능 주요기능및 : 악성탐지, 분류및제어 탐지 채널검사설정 / 해제 802.11 관련스펙트럼에서모든채널의악성액세스포인트, 악성클라이언트, 스푸핑된클라이언트및클라이언트 Ad-Hoc 연결을탐지합니다. 서명기반 / 네트워크분석기반탐지악성 /Ad-Hoc/ 스푸핑탐지의범위와정확성이늘어나고, 직원의수동위협조사가감소됩니다. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 3 of 1
주요기능 스펙트럼인텔리전스 이벤트분류사용자지정이가능한악성이벤트자동분류악성스위치포트추적 악성액세스포인트의실제위치탐색제어악성스위치포트비활성 OTA(Over the Air) 제어 블루투스, 레이더및마이크로파와같은비 802.11 주파수대의악성장치와 DoS 를탐지합니다. 사용자지정분류규칙에기반하여악성이벤트의위협수준을자동으로분류함으로써직원의개입이감소됩니다. 탐지된악성액세스포인트가고객네트워크에있는지를확인하여직원이위협을평가하기위해직접조사하는일이줄어듭니다. 플로어맵에악성액세스포인트및클라이언트의위치를표시하여악성위협을평가하고제거하는작업을용이하게합니다. 악성액세스포인트가연결된이더넷포트를원격으로비활성시켜제어속도가빨라집니다. 설치된시스코액세스포인트를사용하여악성액세스포인트, 클라이언트및 Ad- Hoc OTA(Over the Air) 연결을제어합니다. 그결과제어속도가빨라지고제어규모가확장됩니다. 자동 / 수동제어고객리스크환경및운영모델에맞는유연한제어가가능합니다. OTA(Over the Air) 공격탐지 Cisco Adaptive WIPS는표 2와같이 OTA(Over the Air) 공격탐지기능을제공합니다. OTA 공격은고객의 RF 환경가까운곳에있는해커에의해발생합니다. RF 신호는벽을침투할수있기때문에사무실앞주차장에앉아있는누군가가공격자일수도있습니다. 공격유형에는크랙, DoS( 서비스거부 ), 메시지가로채기공격 (man-in-the-middle), 위장공격 (impersonation attack) 및새로운알수없는공격등이있습니다. 표 2. 특징 주요기능및 : OTA(Over the Air) 공격탐지 다양한탐지범위 네트워크정찰및프로파일링탐지 인증및암호화크래킹탐지 악의적인 DoS 또는부주의에의한 DoS 탐지 메시지가로채기 (Man-in-the- Middle) 공격탐지 위장 (impersonation) 및스푸핑탐지 제로데이공격탐지 지속적인위협및취약점연구 / 탐지기술개발 이벤트분류및튜닝기본탐지프로파일 지식기반튜닝 트래픽동작을분석하고패턴매칭을통해 Netstumbler, Wellenreiter, Kismet, 허니폿액세스포인트등과같은툴및기술을탐지하며해커가공격방법을찾고있다는조기경보를발행합니다. 트래픽동작을분석하고패턴매칭을통해 AirSnarf, AirCrack, ASLEAP, Chop-Chop 등과같은툴및기술을탐지하며잠재적인데이터도난또는시도된데이터도난에대한경보를발행합니다. 트래픽동작을분석하고패턴매칭을통해 802.11 프로토콜남용, AirJack, RF 방해전파, 자원고갈공격등과같은툴및기술을탐지하며잠재적인네트워크서비스손상또는시도된네트워크서비스손상에대한경보를발행합니다. 트래픽동작을분석하고패턴매칭및인증방식을통해재전송공격 (Replay attacks), 위장액세스포인트, 802.11 프로토콜조작등과같은툴및기술을탐지하며잠재적인데이터도난또는허가받지않은네트워크액세스에대한경보를발행합니다. 트래픽동작을분석하고패턴매칭및인증방식을통해 MAC/IP 스푸핑, 위장액세스포인트, Evil Twin( 불법복제 AP) 액세스포인트, DHCP( 동적호스트구성프로토콜 ) 스포일링등과같은툴및기술을탐지하며잠재적인데이터도난또는허가받지않은네트워크액세스에대한경보를발행합니다. 트래픽동작을분석하여새로유입되었거나이전에는분류되지않았던공격방식을탐지하며잠재적인위협에대해경보를발행합니다. 시스코는새로운공격기법을발견하고, 악용될소지가있는취약점을발견하기위해네트워크를사전에분석하는작업을전담하는 ' 무선위협및취약점연구팀 ' 을운영하여 Cisco Adaptive WIPS 탐지기술이최신공격을앞서나갈수있도록하고있습니다. 고객유형에따라사용자정의된기본탐지튜닝및프로파일링을통해시스템을시작하자마자효율적으로운영할수있으며시스템을튜닝하는데있어유용합니다. 탐지튜닝은 WCS의위협지식기반에연결되어있어운영자에게튜닝지침뿐만아니라공격유형, 탐지방법을쉽게설명하여제공하기때문에초보보안운영자들도쉽게튜닝할수있습니다. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 4 of 1
보안취약점모니터링 Cisco Adaptive WIPS는표 3과같이보안취약점모니터링기능을제공합니다. 무선네트워크의보안상태 (security posture) 를실시간으로파악하는것은공격을예방하는데있어가장중요합니다. Cisco WCS 관리시스템은보안이약한네트워크또는정책에어긋나는구성을사전에끊임없이조사함으로써 365일 24시간무선취약점자동모니터링및평가를자동으로수행합니다. 표 3. 특징 주요기능및 : 보안취약점모니터링 자동화된 365 일 24 시간구성분석 산업모범사례또는특정고객의보안정책분석 광범위한취약점식별 모든무선컨트롤러, 액세스포인트및관리인터페이스보안구성을분석합니다. WCS는 OTA(Over the Air) 취약점스니핑 (sniffing) 에만의존하기보다는실제구성을분석하는방식을통해관리프로토콜보안분석및네트워크상의보안서비스운영분석등과같은보다정확하고깊이있는분석을제공합니다. WCS에는무선보안취약점평가와관련된업계최고의경험과사례들이반영되어있습니다. 또한, WCS Config Audit 기능을사용하면고객의자체적인특정보안정책에어긋나는구성을분석할수있습니다. 이러한이중적접근방식은뛰어난유연성을제공하며취약점분석의범위를확장시켜줍니다. 허가받지않은관리및네트워크액세스, 데이터도난, 메시지가로채기 (man-in-themiddle) 공격, DoS 공격, 프로토콜공격등을야기할수있는취약점을식별하고, 무선네트워크에서실행할보안서비스에대한조언을제공합니다. 성능모니터링및자동옵티마이제이션 Cisco Adaptive WIPS는표 4와같이성능모니터링기능을제공합니다. 네트워크의성능이저하되면네트워크및애플리케이션가용성에영향을미치고, 악의적이거나의도하지않은공격을야기할수도있습니다. 본시스템은 RRM( 무선자원관리 ) 을통해우수한성능과네트워크자가치료기능을제공합니다. 노이즈및간섭정보와클라이언트의신호세기및기타데이터등을이용하여사용채널을동적으로지정하고액세스포인트전송전력을실시간으로조정합니다. 이를통해, 동일채널간섭을피하며, 실패한장치를피해루트를지정하고, 커버리지홀을최소화할수있습니다. 표 4. 주요기능 Features and Benefits: Performance Monitoring and Auto-Optimization 네트워크의상태및성능에대한지속적인실시간모니터링 RF 도메인내의문제를자동으로수정전문가수준의스킬이필요없는완벽한 RF 관리 OTA(Over the Air) 간섭, 악의적이거나의도하지않은공격을방어합니다. 관리자가개입할필요없이 RF 기반 DoS 등과같은문제를해결하기때문에최소한의운영인력으로네트워크가동시간을최대화할수있습니다. 본시스템에는 RF 관리전문기술이탑재되어네트워크운영직원의부담을덜어줍니다. 관리, 모니터링및보고 Cisco Adaptive WIPS는표 5와같이완벽한보안관리, 모니터링및보고기능을제공합니다. WIPS 관리는 Cisco WCS와완벽하게통합되어, 무선네트워크및, 무선보안운영을위한통합도구를제공합니다. 무선네트워크및무선보안관리의통일을통해액세스포인트및클라이언트장치인벤토리와보안정책을일치시키고이벤트관리및리포트를단순화함으로써관련문제를최소화합니다. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 5 of 1
표 5. 주요기능 주요기능및 : 관리, 모니터링및보고 무선네트워크및보안을위한단일관리플랫폼 실시간장치인벤토리 가상관리도메인 단일관리플랫폼 Cisco Unified Wireless Network 기능과통합 명령허가및감사추적 엔터프라이즈급규모를위한설계 WCS 보안대시보드단일개요뷰 유선보안통합 WCS 성능 (RRM) 대시보드단일개요뷰 WCS 이벤트관리및보고완벽한이벤트포렌식 직원에게이벤트경보발행 개별관리자보고서 보고자동예약 PCI(Payment Card Industry) 보고 이벤트저장및보관 액세스포인트및클라이언트장치인벤토리는이중입력또는상호공급업체관리통합문제없이도항상최신상태를유지하기때문에관리오버헤드를최소화하는동시에악성공격을아주정확하게탐지할수있습니다. WIPS는다른무선관리역할또는지역으로부터무선보안관리및모니터링을분리할수있도록합니다. 모든 WIPS 및일반무선관리는 WCS에서수행되기때문에서로다른플랫폼에대한직원교육및지원의필요성이최소화됩니다. WIPS는일반무선네트워크구성, 무선보안정책정의및위치서비스운영을통합한단일워크플로우를제공합니다. AAA( 인증, 권한부여및계정관리 ) 를통해모든관리명령에대해권한을지정하고기록된구성, 조사및제어작업은나중에관리자가추적할수있기때문에신뢰성이강화됩니다. WCS는규모가가장큰환경을위해설계되었습니다. WCS 인스턴스하나에최대 3000명 / 개의사용자또는 WIPS 액세스포인트를지원합니다. 모든보안이벤트및취약점에대한단일스크린요약창이간결하고한눈에보기쉬운형식으로제공됩니다. 이벤트종류와개별이벤트를마우스로클릭하면상세보기가가능하며이로써매일모니터링하는작업이용이해집니다. WCS 보안대시보드를통해무선사용자와관련된악성이벤트및해킹이벤트를모니터링하여무선사용자의활동을전체네트워크차원에서볼수있도록해줍니다. 모든성능관련이벤트에대한단일스크린요약창이간결하고한눈에보기쉬운형식으로제공됩니다. 이벤트종류와개별이벤트를마우스를클릭하면상세보기가가능하며이로써매일모니터링하는작업이용이해집니다. 하나의공격과연관된모든트래픽을수집하기때문에공격에대한조사작업이용이해집니다. 직원에게중요이벤트에대한경보를자동으로발행함으로써대응시간을단축할수있습니다. 이벤트유형별로완벽하게사용자지정이가능합니다. 개별관리자는각자의성향과책임영역에따라내역보고서를사용자지정할수있어이벤트분석이보다간결해집니다. 특정시간에자동으로실행되도록내역보고서를예약할수있어워크플로우가간결해집니다. PCI(Payment Card Industry) 컴플라이언스에적합한이벤트를사용자지정할수있으므로감사관련작업이간결해집니다. Cisco Mobility Services Engine에보안공격이벤트가저장되어장기간보관되기때문에내역분석작업이간결해집니다. 개발구성요소, 확장성및플랫폼지원 Cisco Adaptive WIPS 의표준구성요소는다음과같습니다. WIPS 모니터링을위한 Cisco LWAPP 엑세스포인트 Cisco Aironet 1130 AG, 1140, 1240 AG 및 1250 시리즈액세스포인트는 Cisco Unified Wireless Network Version 5.2 이상과 Adaptive WIPS 기능세트를지원합니다. WIPS 모니터링액세스포인트를지원하는시스코무선 LAN 컨트롤러 Cisco 2100 시리즈무선 LAN 컨트롤러, Cisco 4400 시리즈무선 LAN 컨트롤러, Cisco 5500 시리즈무선 LAN 컨트롤러, Catalyst 6500 시리즈를위한시스코무선서비스모듈, Catalyst 3750G 통합무선 LAN 컨트롤러, Cisco 2800 및 3800 시리즈라우터를위한무선 LAN 컨트롤러네트워크모듈 Cisco Unified Wireless Network Version 5.2 이상부터 Adaptive WIPS 기능세트를지원합니다. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 6 of 1
Cisco Mobility Services Engine 3310 Series 및 Cisco Adaptive WIPS 소프트웨어라이센스는 Cisco Unified Wireless Network Version 5.2 이상을사용하여 Adaptive WIPS 기능세트를지원할수있습니다. Cisco Unified Wireless Network Version 6.0 이상을사용할때, 동일한 MSE 3310 에서 Cisco Adaptive WIPS 와함께여러무선네트워크서비스가존재할수있습니다. 단일 Mobility Services Engine 은최대 2000 개의 WIPS 액세스포인트를지원할수있습니다. Cisco Mobility Services Engine 3350 Series 및 Cisco Adaptive WIPS 소프트웨어라이센스는 Cisco Unified Wireless Network Version 6.0 이상을사용하여 Adaptive WIPS 기능집합을지원합니다. 동일한 MSE 3350 에서 Cisco Adaptive WIPS 와여러무선네트워크서비스가함께존재할수있습니다. 단일 Mobility Services Engine 은최대 3000 개의 WIPS 액세스포인트를지원할수있습니다. 관리, 구성및보고를위해 Cisco WCS Version 5.2 이상이요구됩니다. 단일 WCS 는최대 3000 개 / 명의 WIPS 또는사용자지원액세스포인트를지원할수있습니다. Mobility Services Engine 은오직하나의 WCS 인스턴스만으로관리됩니다. 따라서전반적인네트워크확장설계시이를고려해야합니다. 단일 WCS 인스턴스는여러무선네트워크서비스엔진을동시에관리할수있습니다. 라이센스및주문정보 Cisco Unified Wireless Network Version 5.2 이상에탑재되어있는 Cisco Adaptive WIPS는 Cisco Mobility Services Engine에서허가받은소프트웨어기능세트입니다. 표 6은 Adaptive WIPS에서사용할수있는모든라이센스수준을나타냅니다. 이러한라이센스수준은 Adaptive WIPS를실행하는데필요한액세스포인트에따라변경될수있습니다. 예를들어, 5개의액세스포인트와 25개의액세스포인트를합치게되면 Adaptive WIPS를 30개의액세스포인트에서실행하기위 한라이센스가제공됩니다. 표 6. Cisco Adaptive Wireless IPS 소프트웨어라이센스 부품번호 AIR-WIPS-AP-5 AIR-WIPS-AP-25 AIR-WIPS-AP-100 AIR-WIPS-AP-500 AIR-WIPS-AP-2000 설명 Adaptive WIPS 소프트웨어라이센스 : 5개의시스코모니터-모드액세스포인트지원 Adaptive WIPS 소프트웨어라이센스 : 25개의시스코모니터-모드액세스포인트지원 Adaptive WIPS 소프트웨어라이센스 : 100개의시스코모니터-모드액세스포인트지원 Adaptive WIPS 소프트웨어라이센스 : 500개의시스코모니터-모드액세스포인트지원 Adaptive WIPS 소프트웨어라이센스 : 2000개의시스코모니터-모드액세스포인트지원 서비스및지원시스코시스템즈는고객의성공을위해다양한서비스프로그램을제공합니다. 이러한혁신적인서비스프로그램은수준높은인력, 프로세스, 고객지원툴및파트너의기술력이어우러진것으로서높은고객만족도를실현합니다. 시스코는다양한서비스를통해여러분의네트워크투자를보호하고네트워크운영을최적화하며, 새로운애플리케이션에대비하여네트워크인텔리전스및비즈니스의성능을확장할수있도록도와드립니다. 시스코서비스에대한자세한내용은시스코기술지원서비스 (Cisco Technical Support Services) 또는시스코고급서비스 (Cisco Advanced Services) 를참조하십시오. 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 7 of 1
추가정보 Cisco Adaptive WIPS 정보 : http://www.cisco.com/go/wips. Cisco Self-Defending Network 정보 : http://www.cisco.com/go/sdn. Cisco Mobility Services Engine 정보 : http://www.cisco.com/go/mse. Cisco Unified Wireless Network 정보 : http://www.cisco.com/go/wireless. Printed in USA C78-501388-01 03/09 2009 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Page 8 of 1