| 최신판 |
당신의 편집 |
| 45번째 줄: |
45번째 줄: |
| | ; 단점 | | ; 단점 |
| | *방화벽에 접속을 위해서 서킷 게이트웨이를 인식할 수 있는 수정된 클라이언트 프로그램이 필요하므로 사용자들에게 프로그램을 배포해야 하거나 사용 중인 응용프로그램을 수정해야 하는 번거로움이 있다.<ref> 별의수다, 〈[https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=wnrjsxo&logNo=221066364387 침입차단시스템(방화벽, Firewall)의 종류]〉, 《네이버 블로그》, 2017-08-03 </ref> | | *방화벽에 접속을 위해서 서킷 게이트웨이를 인식할 수 있는 수정된 클라이언트 프로그램이 필요하므로 사용자들에게 프로그램을 배포해야 하거나 사용 중인 응용프로그램을 수정해야 하는 번거로움이 있다.<ref> 별의수다, 〈[https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=wnrjsxo&logNo=221066364387 침입차단시스템(방화벽, Firewall)의 종류]〉, 《네이버 블로그》, 2017-08-03 </ref> |
| − |
| |
| − | ==== 하이브리드 ====
| |
| − | 하이브리드(Hybrid) 방식은 패킷 필터링 방식과 어플리케이션 방식을 혼합한 것이다. 패킷 필터링의 장점과 어플리케이션 방식의 장점을 결합한 방식으로 패킷 레벨의 접근 제어뿐만 아니라 응용 프로그램의 사용자 제어의 장점을 가지고 있다. 애플리케이션 방식의 최대 단점인 다양한 응용 서비스의 수용은 패킷 필터링 방식으로 제공하게 된다.
| |
| − |
| |
| − | ;장점
| |
| − | * 내부 보안 정책 및 어플리케이션 등에 맞추어 선택적인 보안 설정이 가능하다.
| |
| − | * 여러 유형의 방화벽 특징을 보유하기 때문에 새로이 등장하는 인터넷상의 모든 서비스에 가장 유동적으로 대처 가능하다.
| |
| − |
| |
| − | ;단점
| |
| − | * 관리가 복잡하다.
| |
| − | * 설치 시 전문적인 네트워크 컨설팅이 필요하다.
| |
| − |
| |
| − | ==== 상태 추적 ====
| |
| − | 상태 추적(State Inspection) 방식은 기존 방화벽의 단점을 극복하고 장점만을 구현한 새로운 개념의 방화벽이다. 방화벽의 초기 개념은 크게 두 가지 방식 즉, 패킷 필터링 방화벽과 어플리케이션 게이트웨이 방화벽으로 분류되었다. 하지만 이 두 가지 방식의 방화벽은 완벽한 방화벽 기능을 수행하지 못하거나 속도가 저하되는 등의 여러 가지 단점을 가지고 있었다. 상태 추적은 이스라엘의 방화벽 업체인 [[체크포인트]](checkpoin)가 최초로 사용한 용어로, 네트워크 계층(3계층)에서 패킷을 처리하면서도 프로토콜의 상태정보 테이블을 유지하여 프로토콜 특성에 따른 변화를 동적으로 대응해 주는 방화벽이다. 최근 모든 방화벽 시스템에서 채용되어 사용되고 있다. 3세대 방화벽에 속한다. 기존 패킷 필터링 기능에 세션 추적 기능을 추가하여 일련의 네트워크 서비스의 순서를 추적하여 순서에 위배되는 패킷들은 모두 차단되게 된다. 예를 들어, 내부 사용자가 인터넷으로 핑이 허용된 경우 내부자의 정상적인 핑 리퀘스트에 대해 인터넷으로부터 들어오는 핑 리플라이는 허용되지만, 인터넷으로부터 내부자의 리퀘스트가 존재하지 않은 상태에서 불법적인 핑 리퀘스트 패킷들은 차단된다.
| |
| − |
| |
| − | ;동작원리
| |
| − | # 클라이언트 A는 특정 웹서버 B 연결을 방화벽에 요구한다.
| |
| − | # 방화벽은 상태 목록(state table)에 출발지, 도착지, 포트 서비스 및 되돌아오는 패킷 여부 기록 후 접근제어목록(ACL)을 검토한다.
| |
| − | # 접근제어목록에서 해당 패킷 통과가 허용되는지 검토한다.
| |
| − | # 해당 패킷 통과가 허용된다면 외부 웹서버 B 에 연결한다.
| |
| − | # 웹서버 B 의 응답 패킷이 방화벽에 진입한다.
| |
| − | # 방화벽은 해당 응답 패킷을 접근제어목록에서 검토한다.
| |
| − | # 허용된 패킷일 경우 상태 목록에서 기존 패킷에 대한 응답 패킷인지를 확인한다.
| |
| − | # 정상적인 응답 패킷인 경우 클라이언트 A에게 연결한다.
| |
| − |
| |
| − | ; 장점
| |
| − | * 모든 통신채널에 대해 추적 가능하다.
| |
| − | * 한 차원 높은 패킷 필터링 기능을 제공한다.
| |
| − | * 응용프로그램 방화벽과 같은 성능 감소가 발생하지 않는다.
| |
| − | * [[UDP]]와 [[RPC]] 패킷 추적이 가능하다.
| |
| − | * 패킷 내의 데이터 상태와 정황(context)이 저장되고 지속적으로 갱신된다.
| |
| − |
| |
| − | ; 단점
| |
| − | * 상태 목록에 [[도스]](DOS)나 [[디도스]](DDoS) 공격으로 인해 거짓 정보가 가득 차게 되면 장비가 일시적으로 정지하거나 재가동해야 한다.
| |
| − | * 어떠한 이유로 방화벽을 재구동시 현재 연결에 대한 모든 정보를 잃어버리게 되고 정당한 패킷에 대해 거부가 발생할 수 있다.
| |
| | | | |
| | ===인터넷=== | | ===인터넷=== |
