데이터시트 Cisco IPS Sensor Software Version 5.0 제품개요 Cisco Systems IPS(Intrusion Prevention System) solution은악성트래픽이비즈니스의연속성에영향을미치기전에정확하게미리식별하고구분하여차단하도록설계되었습니다. 업계에서입증된탐지및인라인침입방지성능을제공하는 Cisco IPS solution은데이터와정보인프라를광범위하게보호해줍니다. Cisco IPS solution은다음과같은요소를사용하여더많은위협을보다확실하게차단할수있도록정확성과전향적인보호기능을제공합니다. 멀티벡터위협식별-레이어 2-7 트래픽을정밀검사하여네트워크에서정책위반, 취약성악용및이상활동을차단합니다. 정확한침입방지기술-합법적인트래픽이손실될위험없이다양한종류의위협을확실하게차단할수있습니다. 시스코의혁신적인 Risk Rating 및 MEG(Meta-Event Generator) 는공격을정확하게식별하여신속하게완화할수있습니다. 고유한네트워크협업-효율적인트래픽캡처기술, 로드밸런싱성능및암호화된트래픽에대한가시성과같은네트워크협업을통해향상된확장성과복원력을제공합니다. 광범위한배치솔루션-중소기업 (SMB) 과지사위치에서부터대기업과서비스제공업체설치에이르는모든환경에대해 IDS/IPS(Intrusion Detection/Prevention System) 솔루션을제공합니다. 특별한용도의시스코 IPS 장치제품군에는 Cisco IPS 4200 Series appliances 및 Cisco Catalyst 6500 Series switch 모듈이포함됩니다. 시스코액세스라우터용 IDS 모듈은향상된성능과더불어기존탐지기능을제공합니다. 또한일련의침입방지성능을시스코라우터용 Cisco IOS Software 솔루션으로사용할수있습니다. 장치구성및이벤트보기를위한시스코솔루션에는단일장치관리및이벤트모니터링을위한 Cisco IPS Device Manager와다중장치및다중이벤트의상호연관성분석을위한 CiscoWorks VMS(VPN/Security Management Solution) 가포함됩니다. 위와같은요소를함께사용하여광범위한인라인방지솔루션을제공함으로써다양한종류의악성트래픽이비즈니스의연속성에영향을미치기전에확실하게탐지하고차단할수있습니다. 기능및이점 웜및바이러스를차단하기위한 IPS 서비스 Cisco IPS Sensor Software Version 5.0은 Cisco 4200 Series appliance와 Cisco Catalyst 6500 Series IPS Module에인라인 IPS 성능을제공함으로써네트워크의중요한지점에서웜과바이러스를효과적으로완화합니다. 그림 1은 Cisco IPS 어플라이언스와모듈을통해광범위한배치솔루션을네트워크전체에제공하는방법을보여줍니다. 1
그림 1. IPS 제품군에컨버지드코드를제공하는 Cisco IPS Sensor Software Version 5.0 단일센서를 IDS 센서와 IPS 센서로동시에작동할수있는하이브리드 IDS/IPS 서비스를지원합니다. 그림 1은단일장치를사용하여 IDS 서비스와 IPS 서비스를제공하기위해단일 IPS 장치를전략적으로배치하는방법을보여줍니다. 이렇게하면네트워크에여러대의장치를배치할필요성이감소하기때문에총소유비용이상당히절감됩니다. 다양한종류의인라인패킷드롭작업을제공합니다. 이러한작업에는단일악성패킷, 여러악성패킷이포함된플로우내의모든패킷, 공격자의 IP 주소에서오는모든패킷을드롭시키는기능이포함됩니다. 이인라인대응작업은연결재설정과스위치, 라우터및방화벽에서의액세스제어목록 (ACL) 수정과같은기존의대응작업을보완하여업계에서가장다양한공격차단기술을제공합니다. 이러한기술을조화롭게사용하여웜과바이러스를효과적으로차단합니다. 정확한침입방지기술 Cisco MEG(Meta Event Generator)-MEG는웜을정확하게구별하기위해상호연관성분석을제공합니다. Cisco IPS Sensor Software Version 5.0은 IPS 센서가탐지한악성공격을보안관리자가자동으로구분할수있도록하기위해센서수준의고급이벤트상호연관성분석기능을제공합니다. 이러한메커니즘을통해네트워크전체에서웜및바이러스의유입과웜전파를차단할수있습니다. 2
이를위해다음과같은기술을사용합니다. 여러취약성을악용하는웜과관련된경보의상호연관성분석. 그림 2는단시간내에발생하는여러경보의상호연관성을실시간으로분석하여단일메타이벤트를제공함으로써웜활동을더욱정확하게파악하도록도와주는방법을보여줍니다. 웜감염을유발하는동작시퀀스의상호연관성분석. 웜의특성을분석하기위해이전의경향을분석하면웜침투바로이전에탐지된특정동작시퀀스를알수있습니다. 이러한동작은대상네트워크에대해일련의정찰활동이수행되는 검사 (probing) 단계 에서발생합니다. MEG 를통해사용자는특정시퀀스의이벤트가발생할때실행되는논리적알고리즘을지정함으로써웜침투를미리알수있습니다. 이러한상호연관성분석을통해메타이벤트를제공함으로써사용자는실제로발생한악성공격을더욱정확하게파악할수있습니다. 낮은심각도수준에서여러이벤트의상호연관성분석을통해높은심각도수준의단일이벤트생성. 웜은네트워크를통해전파하면서다양한심각도수준의경보를발생시킵니다. Cisco MEG는별로관련이없어보이는낮은심각도의경보를높은심각도의위험한이벤트에연결함으로써사용자가해당패킷을확실하게드롭할수있도록합니다 ( 그림 3). 하이브리드탐지알고리즘기반의동시트리거를통해경보정확도개선. 예를들어, 트래픽이상현상 (anomaly) 알고리즘과 플러드 형태의시그니쳐를발생시켜서서비스거부 (DoS) 공격을탐지하는경우, MEG를사용하여특정이벤트를다른이벤트와확인할수있습니다. 이렇게하면 DoS 공격이실제로발생했을가능성이높음을알려주는단일메타이벤트를제공할수있습니다. 이러한향상된보안수준은합법적인트래픽을드롭하지않고도인라인침입방지성능을확실하게구현하여네트워크에서웜을식별하고차단할수있습니다. 그림 2. 여러이벤트의상호연관성을분석하여웜존재여부를알려주는 MEG 3
그림 3. 낮은심각도수준의여러이벤트와높은심각도수준의단일웜이벤트의상호연관성을분석하는 MEG. 위험등급 (Risk Rating) 은위협을분류한위험등급방식으로 IPS 패킷드롭작업의정확성과신뢰성을향상시켜줍니다 ( 그림 4). Risk Rating 은자동화된방식으로고유의다차원알고리즘을사용하며이알고리즘에서는다음과같은사항을고려합니다. 이벤트심각도 (Event Security)- 의심되는트래픽의잠재적인피해를나타내는가중값이며사용자가수정할수있습니다. 시그니쳐충실도 (Signature fidelity)- 의심되는행위를탐지한시그니쳐의충실도를나타내는가중값이며사용자수정이가능합니다. 자산가치 (Asset Value)- 사용자가인식한대상호스트의가치를나타내는값이며사용자정의가가능합니다. 공격관련성 (Attack relevancy)- 이벤트의대상이이공격유형에노출되는정도를나타내는내부가중값입니다. 실제 Risk Rating은모든 IPS 시그니쳐, 정책또는이상현상탐지알고리즘에동적으로적용되는정수값입니다. 이값이높을수록관련경보에대한트리거이벤트의보안위험이더높습니다. 이메커니즘을통해사용자가네트워크공격방지정책을세울수있으며추가적인검사에우선순위를부여하기위해이벤트를특성화할수있습니다. 사용자가인라인 IPS 동작에대해더지능적인결정을내릴수있으며유효한트래픽이드롭되지않도록합니다. 그림 4. IPS 동작의정확도를향상시키는위험등급 (Risk Rating) 멀티벡터위협식별을위한익스텐션 애플리케이션탐지기술을통해애플리케이션레이어전용컨텐츠에따라정책을시행할수있습니다. 포트 80을통해위장된채널터널링을탐지하고방지함으로써관리자가사용자의정책위반 ( 회사보안정책에의해금지된애플리케이션을사용자가터널링하는경우 ) 을상세하게파악할수있습니다. 이기능의큰이점은비정상적으로많은대역폭을소모하는파일공유툴과같은애플리케이션을비활성화함으로써네트워크의대역폭을보존할수있다는점입니다. 4
HTTP 메서드에대해 RFC 규정준수여부를확인함으로써공격자가 HTTP 트랜잭션을조작하지않도록보장합니다. 이를통해사용자가 GET 또는 POST 와같은특정 HTTP 메서드를허용하거나거부할수있습니다. JPEG 익스텐션과같은엄선된 MIME 유형을기반으로트래픽을필터링함으로써관리자가특정 MIME 유형에포함된악성컨텐츠에연결될수있는웜과바이러스를정확하게차단할수있습니다. 또한, 문제가되는 MIME 유형의컨텐츠헤더를실제컨텐츠와확인하여공격자가다른헤더로가장한 MIME 유형의악성컨텐츠를심지못하도록막을수있습니다. 사용자는자신의정의한정책을사용하여허용된트래픽을제어할수있습니다. 기존의 IPS 검사및방지방법과달리 Cisco IPS Sensor Software Version 5.0를사용하면정책기반결정을통해특정유형의트래픽 ( 예 : 중요한네트워크대역폭을소모할가능성이있는피어- 투-피어트래픽 ) 을허용하거나거부할수있습니다. Cisco IPS v5.0은 Gator, Bonzi Buddy 및 SaveNow와같은공용애드웨어뿐만아니라악성스파이웨어애플리케이션을통해누설될수있는조직의민감한정보를완전하게보호함으로써애드웨어와악성스파이웨어로부터네트워크를보호합니다. Cisco IPS v5에는스파이웨어호스트서버와이스파이웨어로인해감염된네트워크장치사이의커뮤니케이션을효과적으로차단할수있는고유알고리즘이포함되어있습니다. Cisco IPS v5는또한공용애드웨어애플리케이션에서생성된불필요한커뮤니케이션도차단할수있습니다. VoIP(Voice over IP) 엔진은 H.225 통화설정메시지의프로토콜규정준수여부를보장합니다. 이엔진은또한고급버퍼오버플로우및 URL 오버플로우완화를통해음성게이트웨이에대한공격을차단합니다. MPLS(Multiprotocol Label Switching) 환경에서의위협검사및완화기능이지원됩니다. MPLS 트래픽은서비스제공업체사이트나기업네트워크에흔히나타날수있습니다. 패킷헤더와페이로드의악성컨텐츠를정확하게탐지하기위해서는 MPLS 패킷에대한가시성이요구됩니다. Cisco IPS Sensor Software Version 5.0은 MPLS 패킷을검사하여위협을구분하고차단합니다. 네트워크바이러스차단기능은바이러스발생을정확하게식별하고차단합니다. IPS 장치에서탐지하는기본적인위협이외에도 Cisco IPS Sensor Software Version 5.0에서는위협분류기능을확장하여네트워크상에서탐지되는바이러스공격까지도정확하게탐지하고방지합니다. 센서가배치되는방식에따라네트워크레이어에서최신바이러스활동을완화할수있기때문에이러한위협으로부터엔드포인트를효과적으로보호할수있습니다. Cisco IPS Sensor Software Version 5.0에서는또한업데이트전송이향상되어서최신위협과관련된업데이트를신속하게제공할수있습니다. Cisco IPS Sensor Software Version 5.0에서는프레그먼트리어셈블리와같은고급트래픽정규화알고리즘을지원합니다. IPv6 환경공격을식별하려면 IPv6로터널링중인 IPv4 트래픽을검사하면됩니다. 기타기능 자동및수동센서바이패스구성-Cisco IPS 센서의수많은메커니즘을통해높은가용성을실현할수있습니다. Cisco Catalyst 스위치상의 HSRP(Hot Standby Router Protocol) 구성및 Cisco EtherChannel 로드밸런싱과같은고유네트워크협업을통해복원력과리던던시를제공할수있습니다. 이렇게하면기본장치에장애가발생했을때예비 IPS 장치로트래픽을우회시킬수있습니다. 또한 Cisco IPS Sensor Software Version 5.0의바이패스메커니즘을통해 IPS 센서는특정한유형의센서장애가발생했을때 failopen 조건이라고자동으로가정합니다. 이바이패스메커니즘을수동으로구성할수도있습니다. 수동구성의경우 fail-open 조건을달성하려면사용자가센서를바이패스모드로전환해야합니다. 이렇게하면 IPS 장치의안정성이향상됩니다. SDEE(Security Device Event Exchange) 지원-ICSA의 IDS 컨소시엄을위해시스코에서개발한표준화된 IPS 통신프로토콜입니다. Cisco IPS Sensor Software Version 5.0에서는 SDEE 프로토콜을통해유연하고표준화된 API를 IPS 센서에제공하며이를통해타사의관리및모니터링솔루션을 Cisco IPS 솔루션에쉽게통합할수있습니다. 이렇게하면 Cisco IPS 센서에서생성된이벤트를모니터링하기위해사용자가타사솔루션을선택할수있습니다. SNMP(Simple Network Management Protocol) 트랩을통해센서경보를전달함으로써모니터링및알림메커니즘을확장-기존의경보형식이외에도 Cisco IPS Sensor Software Version 5.0에서는센서에서모니터링툴로 IPS 경보를전달하기위한사용자툴을제공합니다. 이모니터링툴은 SNMP 형식으로생성된경보를필요로합니다. 또한 SNMP를사용하면사용자에게센서의상태를알려주는중요한진단정보와상태정보를 IPS 센서에서검사할수있습니다. 5
시스템요구사항인라인 IPS 서비스의경우 Cisco IPS 4200 Series appliance sensors에둘이상의모니터링인터페이스가필요합니다. 업그레이드옵션에대한자세한내용은 http://www.cisco.com/go/ips에서 Cisco IPS 4200 Series 데이터시트를참조하십시오. http://www.cisco.com/go/ips Cisco IPS Sensor Software Version 5.0은 Cisco IDS 4215, IDS 4235, IPS 4240, IPS 4255 및 IDS 4250-XL appliance와 IDSM-2 Module for Cisco Catalyst 6500 Series switch에서지원됩니다. IDS 4210 및 Cisco IDS Network Module(NM-CIDS) 의경우는무차별기반 IDS 모드에서만 Cisco IPS Sensor Software Version 5.0이지원됩니다. 주문정보 표 1 은 Cisco IPS Sensor Software Version 5.0 의주문정보를나타냅니다. 표 1. Cisco IPS Sensor Software Version 5.0 주문정보 부품번호 설명 IPS-SW-K9-U Cisco IPS Sensor Software Version 5.0 주문을원하시면, 시스코주문 (Cisco Ordering) 홈페이지를방문해주십시오. 추가정보 Cisco IPS Sensor Software Version 5.0에대한자세한내용은지역고객담당자에게문의하시거나 http://www.cisco.com/go/ips를방문하십시오. www.cisco.com/kr 2005-07-15 Gold 파트너 ㄜ데이타크레프트코리아 02-6256-7000 ㄜ인네트 02-3451-5300 ㄜ인성정보 02-3400-7000 한국아이비엠ㄜ 02-3781-7800 ㄜ콤텍시스템 02-3289-0114 쌍용정보통신ㄜ 02-2262-8114 에스넷시스템ㄜ 02-3469-2400 ㄜ링네트 02-6675-1216 한국후지쯔ㄜ 02-3787-6000 한국휴렛팩커드ㄜ 02-2199-0114 ㄜLG 씨엔에스 02-6363-5000 SK 씨앤씨ㄜ 02-2196-7114/8114 Silver 파트너 포스데이타ㄜ 031-779-2114 Local 디스트리뷰터 ㄜ소프트뱅크커머스코리아 02-2187-0176 ㄜ아이넷뱅크 02-3400-7490 ㄜSK 네트웍스 02-3788-3673 IPT 전문파트너 인네트 02-3451-5300 ㄜ데이타크레프트코리아 02-6256-7000 에스넷시스템ㄜ 02-3469-2900 ㄜ인성정보 02-3400-7000 ㄜ크리스넷 1566-3827 ㄜLG 씨엔에스 02-6363-5000 ㄜ링네트 02-6675-1216 IPCC 전문파트너 한국아이비엠ㄜ 02-3781-7114 한국휴렛팩커드ㄜ 02-2199-4272 GS 네오텍 02-2630-5280 ㄜ인성정보 02-3400-7000 삼성네트웍스ㄜ 02-3415-6754 WLAN 전문파트너 ㄜ에어키 02-584-3717 ㄜ해창시스템 031-389-0780 Security 전문파트너 나래시스템 02-2190-5533 인포섹ㄜ 02-2104-5114 코코넛 02-6007-0133 UNNET Systems 02-565-7034 Optical 전문파트너 ㄜLG 씨엔에스 02-6363-5000 에스넷시스템ㄜ 02-3469-2900 미리넷ㄜ 02-2142-2800 CN 전문파트너 ㄜ메버릭시스템 02-845-4280 Storage 전문파트너 ㄜ패킷시스템즈코리아 02-558-7170 매크로임팩트 02-3446-3508