보안 요구 분석 (2)요구 분석 명세화

* 침입 차단 시스템(방화벽)

- 외부 network와 내부 network를 구분하기 위한 장치

- 보안에서 외부와 network와 내부 network의 구분은 정보보안 정책 적용 여부로 구분 

- 참고로 네트워크에서 외부 network와 내부 network의 구분은 IP 주소로 구분 
- 보안을 높이기 위한 1차적인 장치로 외부와 내부 network사이에 지나가는 패킷을 보안 정책에 따라 통과시켜주거나 차단하는 소프트 웨어

 

침입 차단 시스템 구성요소

1. 침입 차단 시스템 소프트웨어
- 스크린 라우터와 일부 기능 중복 
- 애플리케이션 레벨의 서비스와, 다양한 로그정보를 리포트

 

2. 베스천 호스트 (Bastion host)
- 침입 차단 소프트웨어가 설치되어 있고, 내부 네트워크와 외부 네트워크 간의 게이트웨이 역할을 하는 호스트
- 내부 네트워크 전면에서 보안을 책임지는 호스트(IP를 가진 컴퓨터)이기 때문에 해커의 공격목표가 됨

- 다른 서버와 같이 사용하지 않고 단독으로 사용해야 함. 
- 보안에 허점이 생기지 않도록 불필요 프로그램 삭제, 불명확한 서비스 제한, 최신 버전 패치를 통해 신중히 관리

 

3. 스크린 라우터
- 내부와 외부 네트워크의 물리적인 연결점(여기서의 내부와 외부 네트워크 구분은 ip 네트워크로 구분) 
- 네트워크 레벨의 방어를 수행
- 패킷필터링, 접근제어(IP, PORT), NAT

 

* 침입 탐지 시스템(IDS : Intrusion Detection System)

- 시스템에 대한 원치 않은 조작을 탐지

- 설치 위치와 목적에 따라 host 기반의 IDS와 network기반의 IDS로 나눈다.

 

host 기반의 IDS(HIDS)

- 컴퓨터 시스템의 내부를 감시하고 분석하는데 중점

- 운영체제에 설치 된 사용자 계정에 따라 어떤 사용자가 어떤 접근 시도, 작업을 했는지 기록하고 추적

- 네트워크에 대한 침입탑지는 불가능하며, 스스로가 공격 대상이 될때만 침입 탐지 가능

- 트로이 목마, 논리 폭탄, 백도어 탐지

- ex) tripwier

 

network 기반의 IDS(NIDS)

- 네트워크를 통해 전송되는 패킷 정보 수집 및 분석해 침입을 탐지

- 네트워크에서 독립된 시스템으로 운용

- IP 주소를 소유하지 않아 직접적인 해커 공격은 거의 완벽하게 방어 가능 

- 공격당한 시스템의 공격에 대한 결과는 알 수 없으며, 암호화된 내용 탐지 불가

- 감사와 로깅을 할때 네트워크 자원이 손실되거나 데이터가 변조되지 않는다

- ex) snort

 

* 침입 방지 시스템(IPS : Intrusion Preventing System)

- IDS와 방화벽의 조합.

- 공격탐지를 뛰어넘어 탐지된 공격에 대한 웹 연결 등을 적극적으로 막아주는 솔루션

- 침입 탐지 기능을 구생하는 모듈이 패킷을 검사해 패턴을 분석, 정상적인 패킷이 아니면 방화벽 기능을 가진 모듈로 이를 차단

- 일반적으로 IPS는 방화벽 안쪽에 설치(방화벽과 연동하여 공격을 탐지할 수 있기 때문)

- 방화벽이 불필요한 외부 패킷을 한번 걸러주기 때문에 더 효율적인 패킷 검사 가능

 

* bastion host

- 침입 차단 소프트웨어가 설치되어 있고 외부 네트워크와 내부 네트워크 사이에서 방화벽 시스템 역할을 함
- 내부 네트워크로의 접근을 원할 경우 무조건 bastion host를 한번은 거쳐가야 함. 

- 다른 서버와 같이 사용하지 않고 단독으로 사용해야 함. 
- 보안에 허점이 생기지 않도록 불필요 프로그램 삭제, 불명확한 서비스 제한, 최신 버전 패치를 통해 신중히 관리 

 

장점

- 정보 지향적인 공격에 대해 방어가 가능
- Log 정보의 생성 및 관리 가능

 

단점

- 전면에서 보안을 책임지는 호스트(IP를 가진 컴퓨터)이기 때문에 외부에서 접근 가능해 해커의 공격목표가 됨.

- 디도스등의 공격을 받을 경우 bastion host가 손상 되면 내부 네트워크도 공격 당함.

 

* dual homed gateway

- 2개의 NIC(네트워크 인터페이스)를 가진 Bastion Host 
- 한 개는 외부 네트워크에 연결, 다른 하나는 내부 네트워크에 연결

- 양 네트워크간 라우팅은 존재하지 않기 떄문에 직접적인 접근은 허용되지 않음.

장점

- Bastion Host보다 안전
- 정보 지향적인 공격에 대해 방어가 가능
- Log 정보의 생성 및 관리가 용이

- bastion host가 죽어도 내부 네트워크의 연속성이 바로 망가지지 않음.

- 설치 및 유지보수가 쉬움 

 

단점

- 라우터가 bastion host의 외부에 있다고 가정할경우 gateway 설정 문제가 발생

- bastion host에 gateway를 설정할 경우 보통 내부 네트워크를 NAT로 구성하는데 그러면 bastion host의 강력한 방화벽 기능을 사용하지 못 하고 사실상 공유기와 같은 기능만을 수행

 

* screened host gateway

- screening router + bastion host(또는 dual homed gateway)

- 2개의 방화벽으로 나눠서 수행. 네트워크 코어와 관련된 일은 router가 network edge와 관련된 일은 basthost가 수행 

- 예전에 가장 많이 사용했던 방화벽 시스템

 

장점
- 네트워크 계층과 응용 계층에서 2단계로 방어때문에 안전

- Dual-Homed 게이트웨이의 장점을 그대로 유지

 

단점

- 해커에 의해 스크리닝 라우터의 라우팅 테이블이 변경되면 이들을 방어 할 수 없다.

- 방화벽 시스템 구축 비용이 많다.

 

* screened subnet gateway

- 외부 네트워크와 내부 네트워크를 screened gateway를 통해서 연결 
- 외부 네트워크와 screened subnet 사이, screened subnet과 내부 네트워크 사이에 각각 스크리닝 라우터를 사용하며 screened subnet에 방화벽이 설치

- screened router는 입출력되는 패킷 트래픽을 패킷 필터 규칙을 이용하여 필터링

- screened subnet에 설치된 Bastion 호스트는 proxy 서버(응용 게이트웨이)를 이용하여 명확히 진입이 허용되지 않은 모든 트래픽을 거절하기 때문에 screened subnet에 액세스는 Bastion 호스트로 인해 침입자가 통과하기 어려움.

- 만약 침입하려고 한다면 침입자는 자유롭게 내부 네트워크를 액세스할 수 있도록 외부 network, screened subnet, 내부 network의 라우팅 테이블을 재구성해야하나 스크리닝 라우터로 인해 어려움

- bastion host가 침해되었더라도 침입자는 내부 네트워크상에 존재하는 호스트로 침입해야 하고, screened subnet에  액세스하기 위해서 스크리닝 라우터를 통과해야 함.

 

장점
- 매우 안전
- screened host gateway의 장점을 그대로 적용
- 융통성이 뛰어남

- 해커들이 공격하기 위해서 통과할 방어벽이 많아 침입이 어려움

 

단점
- 구현이 어렵고, 관리하기가 어려움
- 구축비용이 많이 듦
- 서비스 속도가 느림