2015. 4.28. 배경 : 보안 을바라보는알서포트의관점 - 원격서비스, 편리한만큼안전해야 기술적보안 : 보안취약점점검및보호대책적용 - 인증및액세스 - 데이터보호 - 네트워크보안 물리적보안 : 데이터센터운영및관리 - 외부인침입통제 - 안전한서버운영 관리적보안 : 보안체계수립및운영 - 개인정보보호 - 보안표준기준준수 결론 : 원격서비스선택의기준은 보안 - 보안기준준수를넘어 보안커스터마이징 까지 Appendix 1. 알서포트원격서비스의강력한보안설정 2. 알서포트의서버보안가이드 3. 용어설명
배경 - 보안 을바라보는알서포트의관점 원격서비스, 편리한만큼안전해야알서포트는원격기술전문기업으로, 2002년부터원격지원, 원격제어, 원격화상회의등전문화된 B2B/B2C 원격서비스를제공하고있습니다. 이러한원격서비스의기본목표는, 다양한산업분야에종사하는고객들이각자처해있는다양한환경속에서유무선으로연결된 IT서비스와각종디바이스를보다 편리하게활용할수있도록 하는데에있습니다. 이를위해알서포트의원격서비스가추구하는 편리함 은다음의네가지요소를포함하고있습니다. 1. 쉽다 : 누구나어떤환경에서든간단한절차를통해원격접속을할수있다. 2. 빠르다 : 원격접속완료까지의시간이짧고, 원격접속후의제어속도가빠르다. 3. 안정적이다 : 전세계어디서나, 어떤네트워크환경에서도끊김없이원격접속을유지할수있다. 4. 안전하다 : 원격접속을통해송수신되는정보는어떤경우에도노출되지않도록안전하게보호한다. 상기네가지요소중 1번 ~3번까지는알서포트가아닌다른회사의서비스에서도찾아낼수있을지도모릅니다. 그러나, 4번의 안전하다 를만족시키기위해서는기술적, 조직적지원은물론물리적관리까지필요하기때문에, 이는가장갖추기힘든요소입니다. 따라서원격서비스의품질을구분짓는가장중요한요소는쉽고빠르면서안정적으로송수신되는데이터를결국어떻게처리하느냐, 즉 얼마나안전한가 일것입니다. 알서포트는상기네가지요소를모두갖춘원격서비스제공을위한기술과인프라를갖추고있으며, 서비 스의모든단계에서보안성을고려하여기술적 / 물리적 / 관리적측면의철저한보안대책을수립및적용하고 있습니다. 기술적보안 - 보안취약점점검및보호대책적용 인증및액세스알서포트의원격지원인증에사용되는접속코드는랜덤 6자리숫자로제공되고, 생성된접속코드는상담사와의원격연결을위해일회성으로사용되며제 3자의임의접근은원천차단됩니다. 또한모든원격지원세션은원격접속페이지에서다른사용자들의원격지원리스트를표시하지않습니다. 원격지원시스템의관리자 ( 예. 콜센터관리자 ) 는사용자 ( 예. 상담사 ) 의네트워크또는장비의위치를제한할수있습니다. 관리자는관리페이지에서지정 IP 또는 IP 그룹, Mac Address 를설정등록하고, 사용자는허용되는위치에서만원격상담에이전트로그인후상담을시작할수있습니다. 또한관리자는사용자에게등급별로직접제어또는간접제어권한을부여할수있습니다. 간접제어권한의사용자는마우스 / 키보드 1
직접제어가제한되며레이저포인터, 그리기도구를통한안내및사용법지시를할수있습니다. 외부에서 ( 예. 외부용역업체 ) 내부시스템에원격접근해야하는경우, 안전한작업을위하여일회성접근권한을제한적으로부여할수있습니다. 이경우, 권한부여후지정시간이내에 1회만접속이가능하고모든원격작업로그가저장됩니다. 또한 OTP, SMS, E-mail을이용한사용자이중인증으로더욱안전합니다. 데이터보호접속정보를암호화처리없이평문 (plain text) 으로전송하면스니핑 (Sniffing) 에의해해커에게고스란히노출될위험이있습니다. 안전한데이터전송을위해서는로컬에서 1차암호화를통하여전송될데이터에대한보안처리를거쳐야합니다. 알서포트는모든원격세션에서전달되는데이터를 End-To-End에서 256-bit AES (Advanced Encryption Standard)₁ 압축암호화하여전송합니다. 원격지원을하기위해서는제어권한에대한고객의사전동의가필요하고, 고객의사전동의가있는경우에만화면공유및원격지원이가능합니다. 고객이동의를한경우라도, 고객은원격지원세션중에언제든지상담사로부터키보드 / 마우스제어권한을회수할수있습니다. 또한상담사가원격지원중파일송수신, 화면녹화 / 저장 / 캡쳐등의기능을실행하고자하는경우, 사전동의와는별도로기능실행시마다고객의추가동의를받도록하여고객데이터를안전하게보호합니다. 뿐만아니라원격지원종료후에는지원을받은고객 PC의원격지원모듈을모두삭제할수있습니다 원격지원및제어를위한채팅및파일송수신시주고받았던모든기록은로그로기록되며, 서버로전송되 어안전하게관리됩니다. 네트워크보안알서포트의보안서버는 SSL 웹서버인증서를사용합니다. 원격지원세션연결시강력한 2048-bit SSL (Secure Sockets Layer)₂ 암호화통신을제공합니다. SSL 웹서버사용으로 PC와서버사이에전송되는모든데이터에대해서암호화통신을제공함으로써, 악의적인공격자의스니핑 (Sniffing) 공격에도해독이불가능한상태로안전하게데이터를전송합니다. 알서포트는원격서비스사이트접속시 HTTPS 통신을통한안전한웹접근을제공하며, 원격지원웹서버는외부에서액세스할수있는페이지에중요데이터를저장하지않습니다. 클라이언트 PC 및서버에최신보안패치를적용하며, 메시지 / 요청 / 응답등의세션에서잘못된재전송공격을방지하기위한방침을수립하여적용하고있습니다. 물리적보안 - 데이터센터운영및관리 외부인침입통제 2
IoT 시대의원격지원, 리모트콜비주얼팩 알서포트는전세계데이터센터를기반으로한알서포트전용그리드망을구성하고이망을기반으로서비스를운영, 관리합니다. 현재, 알서포트의중계서버는한국, 일본, 유럽 ( 네덜란드, 아일랜드 ), 호주, 브라질, 미국, 싱가포르등 8개국의 15개 edge에위치하고있으며, 각데이터센터는 24(hour) x 7(date) x 365(day) 유인체제로운용되고있습니다. 데이터센터의출입통제는생체인식보안시스템으로관리되고있으며, 정보보안관리책임자에의해교육을받은전담기술자에한해출입권한을부여합니다. 출입로그와 CCTV촬영기록이 3개월이상저장되고전용운용단말에대한상세한계정관리와작업로그저장으로더욱강력한보안을유지하고있습니다. 일반업무네트워크에서격리된전용네트워크를사용하며외부방문자는출입이불가합니다. 안전한서버운영 알서포트의원격서비스는글로벌수준의클라우드서비스 ( 아마존, MS Azure) 를사용하므로보안상의어 떤위협에대해서도가장빠르고효율적으로대처할수있습니다. 알서포트는원격클라우드서비스를사용하는고객들이늘안정적으로서비스를이용할수있도록만반의 대응체계를갖추고있습니다. 서버구성을이중화하여, 천재지변으로특정데이터센터가불능상태가된다 하더라도다른데이터센터를통해안정적인서비스제공이가능합니다. 관리적보안 - 보안체계수립및운영 개인정보보호 알서포트는정보보호관련법규를준수합니다. 대륙별, 국가별관련법령또한엄격히준수하며, 국가간의 개인정보데이터이전에대한관한개인정보보호법을엄격하게지킵니다. 알서포트는정보보안및개인정보를관리하는조직을별도로운영하고, 매년정보보호정책 / 지침을개정하 여연간계획에따라수행하며정보보안에대한사내규칙을제정하고이를시행하고있습니다. 정보보안및개인정보관리에관한교육 훈련을의무화하여, 정보관련조직의책임자와담당자에대해연 2회전문교육 ( 사내교육, 외부강사초빙교육, 외부교육등 ) 을실시하고있습니다. 또한일반직원에대해서도보안의식을고취하기위한정기교육을진행하고있으며, 정보관리업무에종사하는직원은정규직고용계약만가능하도록하여내부에서의공격위험을최소화하고있습니다. 모든정보시스템장비 ( 서버, 클라이언트 PC 등 ) 는관리대장및자산데이터베이스로관리하고있으며보 유기록매체관리대장을별도관리합니다. 알서포트직원이정보시스템에로그인할때는반드시 ID( 계정 ) 와암호를사용하여액세스인증을실시하 며, 비밀번호설정조건 ( 문자, 숫자의조합및자리수등 ), 변경빈도등의관리사항을규칙으로정하고 3
이를준수하고있습니다. 엑세스한사용자등급에따라권한과자원 ( 디스크공간, 메모리량, 대역폭등 ) 의 사용을허용및거부할수있도록운영하고있습니다. 보안표준기준준수 알서포트는개인정보보호국내 / 외보안표준기준을준수하며다음과같은활동을수행하고있습니다. 국가보안기술연구소 (NSRI) 보안가이드준수 알서포트의모든원격제품은국가보안기술연구소 (NSRI) 의소프트웨어업데이트체계보안가이드를준수 하여, 모든모듈은전자서명기반으로인증된정보로만업데이트됩니다. 비밀번호단방향암호화제공 개인정보보호법관련권고안에서제시하는 SHA-2 기반의 SHA-256 해쉬알고리즘 ₃ 을사용합니다. 안전한코딩가이드 (Secure Coding Guide) 준수 정부에서제공하는개발보안가이드를준수한개발및검토를실시하며, 관련된사이버보안위협에대한 대응및예방책을수립하여적용하고있습니다. 10 대웹보안위협대응 (OWASP) 매년발표되는 10 대웹취약점에대응하여관련취약점들을제거하고각종점검툴을통한점검에만전을 기하고있습니다. 결론 - 원격서비스선택의기준은 보안 ' 보안기준준수를넘어 보안커스터마이징 까지 알서포트는기술적 / 물리적 / 관리적측면의철저한보안관리를통해고객이가장편리하고안전한원격서비 스를이용할수있도록하고있습니다. 또한알서포트는자체적인보안기준을외부적으로도엄격히적용하여, 원격서비스제공을위한보안환경을고객사에맞게커스터마이징하기도합니다.( 이하, 서버제품 ) 원격서비스를이용하려는고객사의현재암호화방식이알서포트의보안수준에적합하지않은경우, 고객사의기존암호화방식을고도화하여암호화수준을강화한후에서비스를제공합니다. Admin 계정의 ID생성규칙과접속가능 IP대역설정, 비밀번호규칙변경은물론, DMZ구간₄의 Proxy를경유하여내부망웹서버에접근하는방식으로네트워크보안을강화할수도있습니다. 보안은하루이틀에개선되지도, 완성되지도않습니다. 지속적인투자와조직적지원, 그리고글로벌수준의 물리적환경이동시에갖춰질때비로소빈틈없는보안이가능합니다. 알서포트는이모든것을고객의안전 한서비스이용을위해아낌없이투자하고있습니다. 이제는보안수준이원격서비스선택의기준입니다. 4
Appendix 1 알서포트원격서비스의강력한보안설정 : RemoteCall 개인정보보호관련보안설정관리자에서상담사의옵션을체크하여개인정보보호관련보안사항을설정할수있습니다. 보안등급관리관리자에서이력보관주기, 비밀번호수준, 로그인실패시잠금설정이가능합니다. - 비밀번호의보안등급을 3가지수준 ( 약, 중, 강 ) 으로조절할수있습니다. - 비밀번호사용기간을 30일, 60일, 90일로지정할수있습니다. - 로그인실패시 1분 ~ 60분까지로그인잠금설정이가능합니다 모바일응용프로그램사용잠금 관리자에서모바일원격지원중실행또는실행불가한앱을등록하여허용목록 (White List) 또는잠금목 록 (Black List) 을설정할수있습니다. ( 그림. Black List 설정화면 ) 5
알서포트원격서비스의강력한보안설정 : RemoteView 원격제어시원격지화면잠금기능 원격제어시 원격화면잠금 기능을이용하여원격지화면을끄고켤수있습니다. OTP, SMS, E-mail을이용한이중인증일회성접속만가능한 One Time기반의 Key를생성하여원격제어하는경우, OTP, SMS, E-mail을이용하여원격제어사용자를이중으로인증합니다. 이러한이중인증은로그인 ID, PW가노출된경우라도허가되지않은사용자의접근을차단합니다. 6
Appendix 2 알서포트의서버보안가이드알서포트는서버에대한최소한의보안수준을달성하고자, 서버운영에필요한점검항목과그에대한대처방안을정하고이를기준으로서버를정기적으로자체점검함으로써서버의안정성과보안성을강화하고있습니다. 윈도우서버보안가이드 7
리눅스서버보안가이드 8
MySQL 보안가이드 SQL Server 보안가이드 9
Appendix 3 용어설명 AES (Advanced Encryption Standard)₁ 고급암호화표준 (AES, Advanced Encryption Standard) 은 2001년미국표준기술연구소 (NIST) 에의해제정된암호화방식으로서암호화 / 복호화과정에서동일한키를사용하는대칭키알고리즘입니다. 이전의 DES(Data Encryption Standard), 3DES보다훨씬안전한암호화를제공합니다. SSL (Secure Sockets Layer)₂ SSL은클라이언트와서버간의정보를암호화함으로써도중에해킹을통해정보가유출되더라도정보내용을보호할수있게해줍니다. SSL은응용프로그램과 TCP/IP 사이에서동작하며, 데이터의암호화, 서버의인증, 메시지의무결성을제공해줍니다. SHA-2 기반의 SHA-256 해쉬알고리즘₃ SHA(Secure Hash Algorithm, 안전한해쉬알고리즘 ) 함수들은서로관련된암호학적해시함수들의모음입니다. 이들함수는미국국가안보국 (NSA) 이 1993년에처음으로설계했으며미국국가표준으로지정되었습니다. 그중 SHA-2 기반의 SHA-256은 32비트워드를사용하는해쉬함수이며, SHA-1 또는 SHA-0 보다암호학적공격이더힘든것으로알려져있습니다. DMZ 구간 ₄ Demilitarized Zone. 내부자원을보호하기위해내부망과외부망사이에서접근제한을수행하는영역을 말합니다. 10
RSUPPORT Co.,Ltd. Connecting Lifestyle www.rsupport.com Korea Japan USA China 138-827 서울시송파구위례성대로 10 ( 방이동 44-5) 에스타워 11,12,15 층전화 : +82-70-7011-3900 팩스 : +82-2-479-4429 기술문의 : support.kr@rsupport.com 구매문의 : sales.kr@rsupport.com 기타문의 : info.kr@rsupport.com 105-0001 東京都港区虎ノ門 1-2-20 第 3 虎の門電気ビル TEL : +81-3-3539-5761 FAX : +81-3-3539-5762 お問い合わせ : support.jp@rsupport.com Sales : sales.jp@rsupport.com Info : info.jp@rsupport.com 333 Sylvan Ave. STE#110, Englewood Cliffs, NJ 07632, USA TEL : +1-888-348-6330 FAX : +1-888-348-6340 Tech : support.us@rsupport.com Sales : sales.us@rsupport.com Info : info.us@rsupport.com 北京市朝阳区广顺南大街 16 号嘉美中心写字楼 1210 电话 : +86-10-8256-1810 传真 : +86-10-8256-2978 支持咨询 : support.cn@rsupport.cn 业务咨询 : sales.cn@rsupport.cn 销售咨询 : info.cn@rsupport.cn 2015 RSUPPORT Co., Ltd. All rights reserved. All other trademarks are the property of their respective owners. RSUPPORT and the RSUPPORT logo are registered trademarks of RSUPPORT Co., Ltd. The information herein is for informational purposes only and represents the current view of RSUPPORT Co., Ltd. as of the date of this presentation. Because RSUPPORT must respond to changing market conditions, it should not be interpreted to be a commitment on the part of RSUPPORT, and RSUPPORT cannot guarantee the accuracy of any information provided after the date of this presentation. RSUPPORT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.