Audit & Access Management 시스템 접근제어 및 감사 솔루션 제안 [ No Agent install! ]
목차 1. 정보 보안 현실 02 2. 제품 기능 소개 06 3. 구성 방식 29 4. 구축 사례 33 5. Reference Sites 39 1
Audit & Access Management SecureGuard 제품 소개서 (No Agent install!) 1. 정보 보안 현실 - 개인정보 보호법률 2
개인정보의 기술적 관리적 보호조치 기준 제목 내용 해석 기술적 보호대책 3조 (내부관리 계획의 수립, 시행) - 개인정보관리책임자, 취급자 지정 - 개인정보 내부관리계획의 수립, 승인 - 기술적, 관리적 보호조치 이행 점검 - 연2회 개인정보보호 교육 계획 - 대표이사의 승인을 받고 전사적으 로 공유해야 함 - 전사적인 개인정보 보유현황 파악 필요 - 전사적인 개인정보 보유현황 파악을 위하여 개인정보 보유 통제 솔루션 도입 고려 접근통제 - 개인정보처리시스템에 개인 정보관리책임 자, 취급만이 접근가능 - 접근권한관리 및 5년간 기록 보관 - 외부에서 접속할 경우 인증 필수 - 개인정보취급자 최소화 원칙에 부 합해야 함 - IP, ID, 시간대, Table/Column별 접 속 차단기능 제공 - DB 운영자와 개인정보취급자 사이 의 직무분리적용 - Query tool 통제가능 - 접근제어 및 감사 솔루션 - DB 방화벽 - 방화벽 - IPS - DDoS 4조 접근통제 및 유출 탐지 솔루션 적용 - 개인정보처리시스템에 대한 인가 받지 않 은 접속제한 및 불법유출 탐지 - IP/ID/시간대별 DB접속차단 - 이상 쿼리 경보 및 차단 - 접근제어 및 감사 솔루션 - DB 방화벽 - 방화벽 - IPS -DDoS 비밀번호 - 비밀번호 작성규칙 수립, 이행 및 반기별 1회 변경 - 숫자, 알파벳, 특수문자의 조합으로 비밀번호 작성 및 주기적인 변경 인터넷을 통한 유출방지 - 인터넷 홈페이지, P2P, 공유설정 등을 통 하여 개인정보가 공개, 유출되지 않도록 함 - 인터넷은 가장 대표적인 유출 통로 - DLP 솔루션 - 웹 필터링 솔루션 - PC 보안 솔루션 3
개인정보의 기술적 관리적 보호조치 기준 제목 내용 해석 기술적 보호대책 5조 접속 기록의 위 변조 - 개인정보처리 시스템에 대한 접속기 록을 월1회 이상 확인, 6개월 이상 보존 (기간 통신사업자는 2년) - 접속기록은 유출사고 발생시 형사소송의 중요한 증거 -DB 접속 시 SQL query와 응답값에 대한 저장 - 접근제어 및 감사 솔루션 - 접속기록이 위/변조되지 않도록 별도 의 저장장치에 보관 - 관리솔루션을 통한 로그백업 등 관리 -CD-ROM/DVD에 로그백업 - 접근제어 및 감사 솔루션 연동 6조 개인정보를 PC 에 저장할 때 암 호화 -주민등록번호, 신용카드번호, 은행계좌번호는 안전한 암호 알고리즘 으로 암호화 - DB, 파일서버, 스토리지, PC, 백업미디어 저장 시에 암호화 - DB 암호화 프로젝트 수행 - 개인정보 및 인증정보를 정보통신망 을 통해 송수신할 때 암호화 - 보안서버 구축(웹 서버) - 개인정보 전송 시 VPN 등 안전한 채널 확보 - 개인정보 및 인증정보를 정보통신망 을 통해 송수신할 때 암호화 - 보안서버 구축(웹 서버) - 개인정보 전송 시 VPN 등 안전한 채널 확보 - 보안서버(어플리케이션 방식 등) 구축 - DB-VPN 기능 - VPN 적용 - 개인정보를 PC에 저장할 때 암호화 - 개인정보 취급자가 아니면 PC 에 개인정보를 저장해선 안 됨 - 개인정보 취급자도 PC에 보관 시 반드시 암호화 - 파일 암호화 - 개인정보 보유통제 솔루션 - DRM 솔루션 8조 9조 출력 복사 시 보 호조치 개인정보 표시 제한조치 - 개인정보의 출력 최소화 - 화면출력항목 최소화 - DB 접속 후 취득한 개인정보출 력 및 인쇄방지기능 - 인쇄항목 최소화 - 인쇄/저장매체 복사 시 내역기록 및 사전승인 - 인쇄 및 저장매체 복사 시 로그저장, 사전승인(결재) - 출력물 보안솔루션 - Query tool 통제기능 - 출력물 보안솔루션 - USB 등 미디어통제솔루션 - 업무처리 목적으로 조회/출력 시 - 권고사항 - 어플리케이션 개발 시 마스킹 규정적용 - 전문 마스킹 솔루션 적용 4
개인정보보호 시장 주요 PLAYER (솔루션) 구분 솔루션 (요구 기술) 주요 제공 업체 방화벽/IDS/IPS/UTM 내부정보유출방지 (네트워크 기반) 접근제어 및 감사(AM) / DB 암호화 DRM/출력물 관리 단일 솔루션 악성코드 탐지 매체제어 로그관리(AM) PC내의 개인정보 탐지 개인정보 특화 웹사이트 개인정보 탐지 개인정보 영향평가 시스템 개인정보 등록 차단 SI 솔루션 개인정보 위험관리 시스템 계정/권한관리(IAM) BMC 연동 + 계정관리 연동 제품 5
Audit & Access Management SecureGuard 제품 소개서 (No Agent install!) 2. 제품 기능 소개 - 제품의 개요 - 제품의 특징 - 제품의 성능 및 용량 측정치 - 제품의 연동 및 옵션 6
SecureGuard AM은 네트워크 기반 시스템 접근제어 및 감사 솔루션 입니다. Agent-Less 방식으로 기존 시스템 환경에 변경 없이 구축이 가능하며 시스템의 리소스를 사용하지 않습니다. 2,000대 서버와 동시 접속자 2000명의 통신사 엔터프라이즈 환경에서 이미 2년간 운영되어 안정성이 입증 되었습니다. 감 사 Client의 서버 접속 이력 기록 Client의 명령어사용 내용 기록 vi 등 화면 단위 프로그램 완벽 제현 L2 Recorder ( Bridge, Proxy, NAT, Hybrid ) 접 근 통 제 안전성,확장성 Client IP+서버 ID접근 통제 명령어 접근 통제 Dynamic IP Support (Simple Sign-On) ROOT 권한 신청 기능 FOD 자체 내장 어플라이언스 서버 이중화 지원 대규모 사이트를 위한 Replication 지원 지원 프로토콜 Telnet, Rlogin, Rsh, Ftp, SSH, SFTP, Oracle, Windows Terminal Service, Windows XP 접근 통제/감사 워크플로우 사용자 계정 신청,승인,자동 생성 접근 서버에 대한 권한 신청 및 승인 보고 / 통계 사용자 상황 통계 및 리포팅 제공 감사디스크, 데이터베이스 사용량 제공 명령어 사용 내역 제공 자체 감사 기능 제공 7
Audit/Access/Identity Management SecureGuard 종합관리 콘솔 SG 콘솔은 별도의 설치 과정이 필요 없는 웹 브라우저 환경에서 운영 됩니다. SG 콘솔은 모든 서비스 상태를 한눈에 확인 할 수 있는 Dashboard를 제공합니다. 관리자 웹 콘솔 데쉬보드 Appliance 서버 CPU, 메모리 사용량 실시간 감시 네트워크 트래픽양 감시 로그인/이벤트 추이 분석 접근 통제 이벤트 및 금지 명령어 사용 이벤트 정보 8
Audit/Access Management SecureGuard Access/Audit Manager 특징 Appliance 설치와 구축의 간편함과 관리 비용을 절감 합니다. Java console Java기반 관리자 콘솔을 제공, No admin console install Agent-Less 감사/통제 대상 서버에 Agent 설치가 필요 없습니다. 관리자 Network Web 기반 관리자 콘솔 Network Agent-Less 네트워크 기반 계정/감사 통제 9
Audit/Access Management SecureGuard Access/Audit Manager 특징 다양한 프로토콜 지원 Telnet, Rlogin, Rsh, Ftp, SSH, SFTP, Windows Terminal Service 명령어 및 실행 결과 실시간 Logging과 접근통제 기능 명령어 통제 계정별 명령어 통제 기능 제공으로, 사용자 실수로 인한 셧다운이나 특정명령어 금지로 보안성 강화 IP+계정 기반 규칙설정 사용자 업무 환경에 변화없이 계정기반 감사/통제 규칙을 세밀하고 유연하게 적용하도록 지원 합니다. FTP 다양한 프로토콜 지원 Terminal Service Telnet SSH I P 사용자 A 다양한 규칙 설정 SG Policy 명령어 통제 10
Audit/Access Management SecureGuard Access/Audit Manager 특징 작업내역 감사 세션 로그인 시점부터 로그 아웃 할 때까지 모든 작업 내용 기록을 실시간으로 감사하고,Playback기능으로 내용 확인 VI 실시간 감사 Vi 등, 화면 단위 프로그램의 사용자 입/출력 내역 100% 완벽 제현 패스워드 보호 입력 내용 중 패스워드 정보는 감사 기록시 * 로 대체해서 기록 로그 다운로드 감사 로그 내용 다운로드 기능 제공 VI id:root pw:*** 사용자 A 감사 로그 PlayBack VI 실시간 패스워드 보호 로그 다운로드 SecureGuard Network Network 사용자 A 11
Audit/Access Management SecureGuard Access/Audit Manager 특징 계정정보 수집 각 서버의 계정정보를 자동으로 수집하여 다운로드 가능 합니다. 계정 감사/통제 도입 시 빠른 구축을 지원 합니다. 감사로그 레벨 유저(그룹) 별, 계정 별, 호스트 별 감사 기록 On/Off 기능 제공 로그관리 사용자 세션 별 감사 Logging Limit 설정 기능 제공 로그파일 무결성 감사 데이터 웸 디스크 백업/복구 기능 SecureGuard 각 서버의 계정 정보 자동 수집 세션 로그 Limit 로그파일 무결성 보장 WormDisk 12
Audit/Access Management SecureGuard Access/Audit Manager 특징 프로토콜 퉁제 IP 기반 통제 계정기반 통제 명령어 통제 접속세션 통제 접속시간 통제 Telnet, Rlogin, Rsh, Ftp, SSH, SFTP, Windows Terminal Service 허용 IP, 거부 IP, 개별IP 및 대역 별 통제 ex) 10.10.10.x 호스트(서버) 단위, 호스트의 계정 단위, 그룹별 통제 계정 단위, 사용자 단위로 명령어를 통제 할 수 있습니다. 접속 중인 세션에 대한 kill 기능 제공 특정기간이나 요일단위,시간 단위로 접속시간을 통제 할 수 있습니다. 사용자 A 사용자 B 프로토콜 IP 계정 Network 사용자 C 사용자 D 명령어 접속세션 접속시간 SecureGuard 통제 정책 Network 13
Audit/Access Management SecureGuard Access/Audit Manager 특징 통제 경보 Acknowledge 룰기반 잠금 통보 계정관리 통보 접근 통제 및 명령어 통제 경보 기능 발생 이벤트에 대한 Acknowledge 기능 특정 시간 동안 N회 로그인 실패 시 경보 및 특정 시간 동안 자동 잠금 기능 특정 시간 동안 N회 로그인 접근 통제 시 경보 및 특정 시간 동안 자동 잠금 기능 계정 생성 알림 기능 패스워드 변경 주기 통보 기능 패스워드 자동 생성 및 초기 패스워드 통보 기능 로그인 실패 잠금 통보 PW 변경통보 계정생성 통보 사용자 A 사용자 B 접근통제 Acknowledge 사용자 C 사용자 D 룰위반 SG 통보기능 계정관리 14
SecureGuard Access/Audit Manager 중요 명령어 승인 기능 시스템 접근제어 및 감사 솔루션 Audit/Access/Identity Management 1. root 및 중요 계정(DB, WAS 등)에서 수행되는 중요 명령어에 대한 승인 기능 제공 2. OTP, Workflow 연동 3. 허가되지 않은 명령어 su, rm, dd등에 의한 위험으로부터 보호 사용자 A 사용자 B Network 명령어 정상 명령어 정상 명령어 su Network rm 사용자 C 사용자 D dd [ OTP ] 15
Audit/Access Management SecureGuard Access/Audit Manager Unix/Linux/Network Device 유닉스 /리눅스/네트워크 장비 접근 제어 실행 명령어 및 결과 로깅 감사 기록 재생 사용자가 로그인한 순간부터 로그 아웃 할 때까지 모든 작업 내역 확인 가능!! 로그인 조회 명령어 조회 로그인/로그아웃 한 모든 서버와 접속 자 정보를 조회 합니다. 개별 호스트에서 사용자가 작업한 내역을 목록화하여 조회 합니다. 사용자 A 실시간 조회 사용자가 작업 중인 내역을 실시간으로 확인 합니다. 16
Audit/Access Management SecureGuard Access/Audit Manager - Windows 윈도우 터미널 서비스에 대한 계정별 접근 통제 및 감사 기능 제공 실행 어플리케이션 제어 기능 제공 사용자 키보드 입력 정보 실시간 로깅 사용자 화면 작업 내역 실시간 녹화 및 재성 실행 명령어 감사 작업내용 레코딩 Windows Server SecureGuard 사용자 명령어 선택 시 해당 작업 화면으로 바로 이동 17
Audit/Access Management SecureGuard 사용자 화면 호스트별 일반 사용자의 서버 접속 및 Proxy 기능을 쉽게 사용할 수 있도록 할당 받은 서버의 리스트 제공 사용자 접속 Trend 그래프 제공 사용자 이벤트 발생 Trend 그래프 제공 Workflow를 통한 계정 신청/접속 권한 신청 기능 클릭만으로 사용자 할당 서버에 자동 접속 기능 제공 호스트 계정 로 그 인 Host1 root Telnet FTP Windows Host2 oracle Telnet FTP Windows 1 SG WEB Login 3 자동로그인 4 자동로그인 2 Login할 서버선택 18
Audit/Access Management 자동화 기능 유닉스/윈도우 서버/Network 장비 일괄 작업 지원 - 유닉스/윈도우 서버/ Network 장비의 주기적으로 반복되는 업무를 스크립트 등록을 통해 일괄 작업을 수행하는 기능 지원 - 유닉스/윈도우 서버/ Network 장비의 특정파일이나 구성을 비교 분석하는 기능을 지원 - 유닉스/윈도우 서버/ Network 장비의 configuration 백업 지원 Cron 변경 정보 모니터링 소스 디렉토리 변경 정보 모니터링 서버 하드웨어 자산 수집 기능 자동화 기능으로 다수 장비에 반복 작업 일괄 수행 네트워크 관리자 서버 관리자 19
Audit/Access Management 리포트 기능 호스트별, 사용자별, 클라이언트별 서버의 접근 이력을 차트와 엑셀 다운로드를 지원하며, 서버 접근 정책 위반에 관련된 호스트별 사용자별, 클라이언트별 차트와 엑셀 다운로드 기능을 지원 합니다. SecureGuard는 접근이력 및 이벤트 발생 정보와 관련된 다 양한 보고서를 기본적으로 제 공합니다. 기본적으로 제공되는 보고서 이외 다른 내용의 보고서를 원 할 경우 리포팅 툴을 사용하거 나 추가 개발을 해야 합니다. 기본적으로 제공되는 보고서는 종합 보고서, 호스트별, 그룹별, 접속 PC별 접근 내역 리포트와 호스트별, 그룹별, 접속 PC별 이벤트 발생 보고서가 있습니 다. 20
SecureGuard Access/Audit Manager 관리/감사 권한 위임 기능 다수의 관리자를 위한 권한 위임 기능 제공 Audit/Access Management 서버별로 관리자를 지정하여 관리 권한을 위임 할 수 있습니다. 해당 관리자는 위임 받은 서버에 대하여 계정 관리/접근제어/통제 정책 설정 관리자 별 정책 설정 및 감사 이력 조회 권한 위임 권한을 가짐 해당 관리자는 위임 받은 서버에 대하여 계정 관리/감사 정보 조회 및 재현 권 한을 가짐 SG Admin 슈퍼 유저 Admin 홍길동 Admin 김삿갓 Admin 이순신 Admin 홍경례 Account Account Account Account Account Account Account Account Account Account Account Account 21
SecureGuard Access/Audit Manager 감사/접근 통제 정책 Hierarchy-기반 기능 제공 정책 설정 기능 제공 시스템 접근제어 및 감사 솔루션 Audit/Access Management 관리자는 어떠한 단계에서라도 권한을 다양하게 설정 할 수 있으며 설 정된 권한은 단계별로 우선 순위를 가집니다. 계정 별/그룹 별/서버 별 권한 설정 및 우선 순위 이점: 계정 별 권한 설정 및 그룹 별 권한 설정, 호스트 별 권한 설정 모 두를 지원할 수 있으며 손쉬운 보안 정책 변경을 수행 할 수 있습니다. SG Admin SecureGuard Group Admin Group 홍길동 Server A Server B Allow IP:192.168.10.21 Deny IP:192.168.10.123 Audit Level:ALL Allow IP:192.168.10.23 Deny IP:192.168.10.126 Audit Level:Input only Allow IP:192.168.10.23 Deny IP:192.168.10.126 Audit Level:Input only Allow IP:192.168.10.23 Deny IP:192.168.10.126 Audit Level:Input only Allow IP:192.168.10.45 Deny IP:192.168.10.16 Audit Level:ALL Allow IP:192.168.10.45 Deny IP:192.168.10.16 Audit Level:ALL Server A root Server B root Server C root Server A kdhong Server B kdhong Server C kdhong Server A kilee Server B kilee Server C kilee 22
제품의 성능 및 용량 측정치 # 로그 저장소 용량 산정 부산은행 네트워크 감사 통제 시스템 도입사업에 제앆하는 SecureGuard 제품의 데이터 저장소의 용량 측정값입니다. (CLI Text 기반의 저장 용량 및 Windows Snapshot 화면의 저장 용량) * CLI 기반의 Text 저장 용량 산정 (최대치) 구분 기능 1세션 별 저장 용량 (byte) 기간 별 용량 산정 (단위: Byte) 1분 1시간 1일 6개월 GB환산 인증 로그 (장비 접속 Log in / out) 100 13,557 813,409 19,521,818 3,513,927,240 3.27 CUI로그 용량 산정 Request 로그 (Command) 200 82,847 4,970,833 119,300,000 21,474,000,000 19.99 Request 로그 (젂체 CLI 로그) 1600 649,221 38,953,258 934,878,182 168,278,072,760 156.72 합 계 179.98 23
제품의 성능 및 용량 측정치 * GLI 로그 용량 산정 (최대치) - 흑백 구분 기능 접속 장비수 (Windows) 초당 프레임 이미지 용량 장비 별 하루 접속시간 저장 기간 (단위:일) 용량산정 (단위:Kbyte) MB 환산 GB 환산 한대의 장비에 하루 한시간 접속 시 용량 산정 1 1 20 1 1 36,000 35.1 0.03 1000대의 장비에 하루 한 시간 접 속 시 용량 산정 1,000 1 20 1 1 12,000,000 11,718 11.44 GUI 로그 용량 산정 1000대의 장비에 하루 한 시간 씩 30일(한달) 사용시 용량 1,000 1 20 1 30 360,000,000 351,562 343.322 1000대의 장비에 하루 한 시간 씩 180일(6개월) 사용시 용량 1,000 1 20 1 180 2,160,000,000 2,109,375 2,059.93 * GLI 로그 용량 산정 (최대치) - 컬러 구분 기능 접속 장비수 (Windows) 초당 프레임 이미지 용량 장비 별 하루 접속시간 저장 기간 (단위:일) 용량산정 (단위:Kbyte) MB 환산 GB 환산 한대의 장비에 하루 한시간 접속 시 용량 산정 1 1 20 1 1 108,000 105.4 0.010 1000대의 장비에 하루 한 시간 접 속 시 용량 산정 1,000 1 20 1 1 36,000,000 3,515 34.33 GUI 로그 용량 산정 1000대의 장비에 하루 한 시간 씩 30일(한달) 사용시 용량 1,000 1 20 1 30 1,080,000,000 105,468 10299.68 1000대의 장비에 하루 한 시간 씩 180일(6개월) 사용시 용량 1,000 1 20 1 180 6,480,000,000 6,328,125 10,334.02 - 타사 (LGU+) 실운영 환경시 흑백 스냅샵을 기준으로 하였을 경우 생성 로그는 8~10M/시간이 생성됩니다. 24
SecureGuard Access/Audit Manager 개인 정보 유출 감시 기능(옵션) Audit/Access/Identity Management 1. 개인 정보 유출 감시 기능이 없는 경우 개인 정보 유출에 대한 사전 차단이 불가능 2. 서버 혹은 데이터베이스에 존재하는 각종 개인 정보에 대한 유출 감시 기능 제공 3. 주민 번호, 카드 번호, 전화 번호 등의 정보를 조회하거나 열람할 경우 실시간 경보 기능 제공 서버 데이터베이스 SecureGuard 서버 서버 개인 정보 조회 및 열람 실시간 감시 25
SecureGuard Access/Audit Manager root 권한 신청/승인 프로세서(옵션) Audit/Access/Identity Management 1. root 및 중요 계정(DB, WAS 등)으로의 전환에 대한 요청 시 권한 요청/승인을 통한 강화된 권한 관리 2. 권한 요청 및 승인/거부에 대한 인증 정보가 기록됨 3. 계정 권한 전환 시 패스워드 노출 방지 4. 허가되지 않은 rm,shutdown 등에 의한 위험으로부터 보호 [ 직원 ] [ 협력 사 직원 ] 직원 협력 사 직원 SU 명령을 이용하여 'root' 접속 $su root Password:******** # id # 'root'(0), gid(0) [ 협력 사 직원 ] 일반 계정으로 로그인 승인 요청 SecureGuard [ 직원 ] 승인/거절 #승인 대기중 승인 되었습니다. #id #root(0), group(0) root 권한 요청 승인 거절 승인 이 거절 되었습니다. $ 인증 요청 기록 [ DB ] 26
SecureGuard Access/Audit Manager Worm Disk 2차 백업 연동 기능(옵션) NetApp Worm Disk Audit/Access/Identity Management SG Master Worm Disk 정합성 및 무결성 자동 error scanning Block-level checksums 즉각적인 쓰기 검증 주기적인 Media scans Self-healing 단일 디스크 장애를 대비한 RAID 구성 2개의 디시크 장애를 대비한 RAID-DP RAID scrubs Finger Print Hash 알고리즘 이용 하여 File 레벨 무결성 검증 기밀성 IPSec protocol SSH/SSL-encrypted management interface Enterprise SAN Departmental Enterprise NAS Departmental SG Slave NAS or SAN Disk Fibre Channel SAN (Block) iscsi FCoE Dedicated Ethernet NetApp FAS SnapLock (WORM) Volume NAS (File) Corporate LAN 27
SecureGuard Access/Audit Manager 계정관리 및 OTP인증 연동 기능(옵션) 시스템 접근제어 및 감사 솔루션 Audit/Access/Identity Management SecureGuard와 계정관리, OTP, 서버보앆과 연계된 사례로서 SGN은 기업의 시스템 접근 및 권한관리를 위해 통합계정관리시스템을 구축하는 역량을 가짂 동종 업계에서 독보적인 특장점을 가지고 있습니다. Step 1. 계정발급 싞청 : 사용자는 자싞의 업무와 관련되어 필요한 계정을 싞청합니다.(사용자 화면 로그인시 OTP 인증) Step 2. 계정발급 승인 : 사용자의 싞청정보를 심사하여 내부 결재시스템으로 부터 도출된 최종 승인 정보를 IM으로 젂달합니다. Step 3. Target 서버에 계정 발급 : 발급 싞청한 Role에 할당된 계정을 발급합니다. Step 4. Target 서버에 로그인 : 사용자는 target system에 로그인 을 시도합니다. Step 5. OTP발급 : 사용자는 OTP를 생성하여 입력하고 인증서버에서 사용자를 인증합니다.(로그인 후 SU 시도 시에도 OTP를 입력하고 인증합니다.) Step 6. OTP발급 : 로그인 후에 로그아웃까지 연동된 범위의 권한을 부여 받게 됩니다. Step 7. 사용자 이벤트 감사 /로깅 : 사용자의 로그인 내역을 포함한 사용자의 작업내역이 중앙의 감사추적 시스템에 기록 저장됩니다. Step 8. 주요 명령어 사용 싞청 : 사용자는 대상서버의 사용 명령어를 사용기간을 명시하여 싞청합니다. Step 9. 주요 명령어 사용 권한 발급/회수 : 최종 승인된 명령어의 사용 권한을 발급하고 사용 기간 후 회수 합니다. Step 9. 명령어 수행 : 획득한 권한 내에서 명령어를 수행하고 사용 내역은 중앙의 감사추적 시스템에 기록 됩니다. Batch 1. 인사정보 연동 : 인사서버에서 필요한 정보를 배치형태로 넘겨받아 변경/퇴사 상황에 대응합니다. Batch 2. 휴면계정 처리 : 장시간 사용하지 않았거나 퇴사한 사용자의 계정을 잠금으로써 휴면계정의 악용을 방지합니다. 28
Audit & Access Management SecureGuard 제품 소개서 (No Agent install!) 3. 구성방식 29
Audit/Access Management Bridge(Inline) 방식 외부 사용자 Firewall & VPN SG의 브리지 방식은 Layer 2를 기본적으로 지원합니다. 모든 네트워크 패킷은 SG 서버를 통해 전달 되도록 설계됩니다. 브리지 방식의 경우 기본적으로 FOD 네트워크 인터페이스가 사용됩니다. FOD 네트워크 인터페이스를 기본으로 사용함으로써 서버 장애 시에도 다른 서비스에 영향을 미치지 않습니다. 네트워크 구성 변경이 필요 없고 및 사용자 PC IP 주소 변경이 불필요 어플라이언스 서버 장애시에도 사용자 세션 접속 유지 Internal Network Server A Server B 내부 사용자 SG 감사 및 통제 Server C Server D 30
Audit/Access Management Proxy 방식 Proxy 기능을 사용하기 위해서는 사용자가 서버로 직접 접속하는 것을 통 Firewall & VPN 제하여야 합니다. 사용자와 서버 팜 사이에 방화벽을 이용하거나 유닉스 서버에 Tcp-wrapper 등을 설치하여 구현 할 수 있습니다. 서버 내부에서의 이동 통제. 외부 사용자 Active Standby SG는 접속된 사용자의 명령어를 통제하는 기능을 제공합니다. 서버 A로 접속된 사용자에게 Telnet, Rlogin 등의 명령어를 사용하지 못하도록 설정 함으로써 서버내부를 통한 이동을 통제 할 수 있습니다. 감사 및 통제 Internal Network SG Server A 명령어 Server B 통제 Server C 내부 사용자 Server D 일반 패킷 Telnet 등 31
Audit/Access Management SecureGuard Series 구 분 SG-500 SG-1200 SG-2200 비 고 제 품 Interface 2X10/100/1000 2X10/100/1000 2x10/100/1000 UTP/Fiber FOD 2 Pair UTP/Fiber FOD 2 Pair UTP/Fiber FOD 4 Pair 확장 가능 확장 가능 (UTP,Fiber) HDD CPU SATA2 500G 7200 RPM 1 (Intel Dual-Core i3-2100 3.10GHz) 2(1T) (500G 2.5" 7200rpm) RAID(0,1) 1 (Intel Xeon Quad-Core E5620 2.4GHz) 6(3T) (HI 500G 2.5" 7200rpm) RAID(0,1,5) 2 (Intel Xeon Quad-Core E5620 2.4GHz) 확장 가능 Memory 4GB DDR3-10600E ECC 2(2GB DDR3-10600E) 4(2GB DDR3-10600E) 확장 가능 OS 임베디드 Linux 임베디드 Linux 임베디드 Linux 지원 PLATFORM 운용방식 Unix, Network Device, NT Unix, Network Device, NT Unix, Network Device, NT Agent-Less:Unix Agent-Less:Unix Agent-Less:Unix Agent-Less:Network Device Agent-Less:Network Device Agent-Less:Network Device Agent:Widows 계열 Agent:Widows 계열 Agent:Widows 계열 2U Appliance Redundant Power 외 형 1U Appliance 1U Appliance 설치 Type Bridge, Proxy, PF, Sniffing Bridge, Proxy, PF, Sniffing Bridge, Proxy, PF, Sniffing 옵 션 Fail Over Device Fail Over Device Fail Over Device In-line 구성 필수 IM 연동 구현 IM 연동 구현 IM 연동 구현 Root 권한 승인 모듈 Root 권한 승인 모듈 Root 권한 승인 모듈 자동화 모듈 (Automation) 자동화 모듈 (Automation) 자동화 모듈 (Automation) IM 구성 필수 개인정보 보호 모듈 개인정보 보호 모듈 개인정보 보호 모듈 OTP 연동 모듈 OTP 연동 모듈 OTP 연동 모듈 Worm Disk 연동 모듈 Worm Disk 연동 모듈 Worm Disk 연동 모듈 32
Audit & Access Management SecureGuard 제품 소개서 (No Agent install!) 4. 구축 사례 33
1. 제 1 금융 1. 제 1 금융 H 은행 계정 관리 연동 - SecureGuard 전체 기능 Full 사용 Audit & Access Management PC보안 SecureGuard 제품 소개서 인사DB PC보안 내부 외부 (No Agent install!) 외부사용자 Firewall 내부사용자 SG Master WAN AREA LAN AREA BacKbone MAIL APP FTP ETC PC보안 SG Slave 감사 및 통제 Switch 계정 관리 기반의 접근 제어 OS 계정 단위 접근 제어 정책 사용 SG Policy SG Policy SG Policy NETWORK Devices PC보앆 자동 연동 인사 DB 자동 연동 개인 정보 유출 감시 명령어 제어 및 경보 34
1. 제 1 금융 1. 제 1 금융 K 은행 OTP 연동 계정관리 시스템 및 서버보앆 연동 내부 사용자 내부 사용자 Active-Standby Si Si Si Si Active-Standby 유지보수 유지보수 비 인가자 UNIX Windows Network UNIX Windows Network 비 인가자 주젂산 및 카드 인터넷뱅킹(외부) 인터넷뱅킹(내부) UNIX Windows Network OTP 시스템을 Proxy 방식의 이중화로 구성 OS 계정 단위 접근 제어 룰 사용 Si Si 사용자가 서버로 직접 접속하는 것을 통제하기 위하여 방화벽, 서버보앆, Tcp-wrapper 등을 통하여 구현 함 Active-Standby OTP 인증 수행 실시간 모니터링, 세션제어 수행 내부 사용자 유지보수 비 인가자 범 례 OTP/접근제어 시스템 Si 백본 Switch 35
1. 제 2 금융 2. 제 2 금융 K 증권사-계정 관리 연동 내부 외부 외부사용자 내부사용자 SG Master WAN AREA 단일 VIP(Proxy 방식으로) 서버 접속 LAN AREA 개인별 VIP(Portforward 방식으로) 서버 접속 MAIL APP FTP ETC AS IS SG Slave 감사 및 통제 계정 관리 기반의 접근 제어 OS 계정 단위 접근 제어 사용 인사 DB 자동 연동 3단계 사용자 Level에 따른 명령어 제어 개별 VIP 를 이용한 서버 접근 Switch SG Policy SG Policy SG Policy Firewall MAIL APP FTP ETC 차세대 36
3. 텔코 3. 텔코 L 텔레콤 사례-계정 관리 연동,2000 여대 관리 감사/통제 서버(proxy) 감사/통제 서버(proxy) 사업 부분 Ⅱ 사업 부분 Ⅰ 계정관리서버 계정관리서버 감사/통제 서버(proxy) 사업 부분 Ⅲ 계정관리서버 37
4. 유통 4. 유통 S사 구축 사례 Worm Disk 연동 외부사용자 WAN AREA Firewall Firewall 내부사용자 LAN AREA 내부 외부 BacKbone MAIL APP FTP ETC Switch SG Master Worm Disk SG Policy 1 SG Policy 2 SG Policy 3 NETWORK / UNIX / STORAGE SG Slave Switch 38
Audit & Access Management SecureGuard 제품 소개서 (No Agent install!) 5. Reference Sites 39
Chakra : 국내 금융권 시장점유율 1위 금융 기업 공공 학교 40
리얼시큐 지역협력사 부산광역시 해운대구 센텀북대로 60 센텀IS타워 809호 영업지원 : 이 시 현 E-mail: shlee@realsecu.net Phone : 010-4107-9118 Tel : 051-552-9118 Fax : 051-552-9121 http://www.realsecu.net 감사합니다. 41