침입방지시스템
침입방지시스템(IPS, Intrusion Prevention System)은 다양하고 지능적인 침입 기술에 대해 다양한 방법의 보안 기술을 이용해, 침입이 일어나기 전에 실시간으로 침입을 막고 알려지지 않은 방식의 침입으로부터 네트워크 와 호스트 를 보호할 수 있는 차세대 능동형 보안 솔루션이다.
개요
침입방지시스템(IPS, Intrusion Prevention System)은 인터넷 웜, 악성코드, 해킹 등 외부로부터의 침입을 방지하고 유해트래픽을 차단하며 네트워크와 호스트를 보호하는 차세대 능동형 보안솔루션이다. 또한 침입방지시스템은 방화벽과 침입탐지시스템의 조합이다. 침입탐지시스템의 기능을 갖춘 침방지시스템의 모듈이 패킷 하나하나를 검사해 그 패턴을 분석한 후, 정상적인 패킷이 아닌 경우 방화벽 기능을 갖춘 모듈로 하여금 해당트래픽을 차단하게 하는 것이다. 침입방지시스템은 크게 두 가지로 나눌 수 있는데, 네트워크 기반 침입방지시스템과 호스트 기반 침입방지시스템이 있다. 네트워크 기반 침입방지시스템은 방화벽처럼 네트워크에 인라인 모드로 설치돼 공격을 차단해주는 기능을 하고 호스트 기반 침입방지시스템은 서버 애플리케이션을 담당하며 시큐어 OS 등과 비슷한 기능을 수행한다.[1]
등장배경
인터넷 기술이 발달하면서 악의적인 사용자에 의한 네트워크 공격이 증가하였다. 일반적인 네트워크 장비들은 보안을 고려하지 않은 상태에서 생성되었기 때문에 침입탐지시스템과 방화벽이 생기게 되었다. 처음에는 방화벽과 침임탐지시스템으로 외부로부터의 공격을 방어했는데 기술이 발달하면서 방화벽과 침임 탐지 시스템만으로 해킹, 바이러스 웜의 공격을 막을 수 없다. 그 이유는 바로 속도이다. 해킹, 바이러스, 웜이 공격으로 발전하는데 과거에는 반년에서 일 년의 시간이 걸리던 것이, 지금은 하루아침에 공격이 이루어지기 때문이다. 이를 제로데이공격(Zero Day Attack)이라 부른다. 침입방지시스템의 핵심기술로 가장 중요시되는 것은 급속한 증가가 예상되는 제로데이공격(Zero-day Attack)의 위협에 대한 능동적 대응 기법과 알려지지 않은 공격(Unknown Attack)이나 이상 트래픽(Anomaly Traffic)을 효율적으로 탐지하고 방어할 수 있는 정확한 분석 기능이다. 따라서 이를 탐지하고 방지하기 위해 침입탐지시스템과 방화벽의 조화가 이루어진 차세대 능동형 보안솔루션인 침입방지시스템이 개발되기 시작했다.[1]
특징
- 기술
침입방지시스템은 5가지의 기술체계가 있다. 먼저 첫 번째 기술체계는 인라인 네트워크 침입방지시스템이다. 인라인 네트워크 침입방지시스템은 모든 트래픽은 인라인 장비를 통과하며, 취약성에 대하여 패킷을 검사하게 된다. 인라인 NIDS의 능력에 방화벽의 차단능력을 제공한다. 두 번째 기술체계는 L7 스위치이다. L7 스위치는 복수 서버 간 애플리케이션의 부하 균형을 위하여 주로 사용되고 있다. 이를 위하여 교환이나 라우팅 결정을 위하여 HTTP, DNS, SMTP와 같은 7계층 정보를 검사할 수 있다. 웹 애플리케이션의 경우, 미리 정해진 규칙에 기초하여 특정 요구를 서버로 보내기 위하여 URL을 검사할 수 있다. 이런 장치를 만드는 제조사들은 그들의 제품에 서비스 거부((Denial of Service)공격과 보호와 같은 보안 기능을 추가하기 시작했다. 고성능을 위하여 하드웨어상으로 구축하며, 수 기가비트 트래픽을 취급할 수 있다. 공격을 막기 위해 시그니처 기반 인라인 NIDS와 유사하게 동작한다. 단점은 NIDS와 비슷하게 알려진 공격에 대해서만 막을 수 있다는 것이나 NIDS처럼 시그니처를 쓰기 위한 방법을 제공한다. 세 번째 기술체계는 애플리케이션 방화벽과 침입탐지시스템이다. 애플리케이션 방화벽과 침입탐지시스템은 솔루션보다는 보통 침입방지 솔루션으로 시장에 나오고 있다. 이 솔루션은 패킷 레벨 정보를 보지 않고, 대신 API(Application Programming Interface) 호출, 메모리 관리, 어떻게 애플리케이션이 운영체제와 상호작용하는지, 어떻게 사용자가 애플리케이션과 상호작용하는지를 본다. 네 번째 기술체계는 하이브리드 스위치이다. 이 형태는 호스트의 기반 애플리케이션 방화벽과 침입탐지시스템, L7 스위치 사이의 교차 제품이다. 이 시스템은 L7 스위치와 같이 서버 앞에 위치하는 하드웨어이다. 그러나 정규 NIDS 형태의 룰 셋을 사용하는 대신에 하이브리드 스위치는 애플리케이션 침입탐색시스템과 방화벽과 비슷한 정책을 사용한다. 마지막 기술체계는 거짓 애플리케이션이다. 이 형태의 기술은 약간의 거짓 실체를 사용한다. 먼저 네트워크 트래픽을 검사하여 애플리케이션 방화벽과 침입탐지시스템의 프로파일링 단계와 유사하게 무엇이 좋은 트래픽인지 판단한다. 그런 후, 그 서버에 존재하지 않거나 적어도 존재하는 서비스에 연결하기 위한 시도를 보면, 공격자에게 대응을 보낸다. 대응은 어떤 엉터리 데이터와 함께 표시하고 공격자가 들어와서 서버를 이용하고자 할 때, 침입방지시스템은 표시된 데이터를 보고 공격자로부터의 모든 트래픽을 막게 된다.[2]
- 장점
침입방지시스템은 탐지 능력과 차단 능력을 결합한 것으로, 알려지지 않은 공격 패턴에 효과적인 대응을 함과 동시에 명백한 공격에 대해서는 사전 방어 조치를 취함으로써 다음과 같은 장점을 가진다. 우선 방화벽에서 취약한 요소를 보완할 수 있는 2단계의 방어(방화벽,침입방지시스템)을 제공한다. 그리고 도스와 디도스(Dos, DDos) 등과 같은 공격을 차단함으로써 보안 인프라와 네트워크의 영향을 제거하고 공격에 대한 조사로 인해 소용되는 관리자 운영 부담을 없앤다. 마지막으로 차단은 TCP 리셋 기능처럼 TCP에 한정되지 않고 모든 트래픽(IP, TCP, UDP 등)을 대상으로 한다. 정확하게 탐지하고 공격을 정밀하게 차단하는 인라인 장치, 라인 속도로 동작하여 네트워크 성능 또는 가용성에 악영향을 주지 않음, 보안관리 환경 안에 통합, 미래의 공격에 대한 방어를 쉽게 수용, 빠른 투자회수가 가능하도록 효과적인 비용이어야 비로소 침입방지시스템의 자격을 갖추게 된다.[2]
- 보안성 품질평가 기준
보안성이란 권한이 없는 사람 또는 시스템은 정보를 읽거나 변경하지 못하게 하고, 권한이 있는 사람 또는 시스템은 정보에 대한 접근이 거부되지 않도록 정보를 보호하는 소프트웨어의 능력을 의미한다. 품질평가 기준으로는 총 7가지가 있다. 보안성은 보안감사, 접근 통제 가능성 등의 평가항목을 가진다.[2]
- 보안감사성 : 보안과 관련된 행동에 대한 책임을 추적하기 위해 지식정보보안 제품에서 발생하는 관련 사건들의 감사 레코드를 생성, 기록, 검토하고 감사 된 사건에 대한 잠재적 보안 위반을 탐지하고 대응행동을 수행하는 능력을 의미한다. 보안감사성은 보안 경보, 감사 데이터 생성, 잠재적 위반 분석, 감사 검토, 감사증적 저장소 보호, 대응 행동, 손실 방지의 평가항목을 가진다. 보안 경보는 보안위반탐지 시 대응행동의 목록을 취하는가를 평가하고 감사 데이터 생성은 규정된 감사데이터를 생성하는지를 평가, 잠재적 위반 분석은 사건을 검사 시, 규칙집합을 적용하고 규칙에 기반을 두어 잠재적 위반을 지적할 수 있는지를 평가한다. 그리고 감사 검토는 인가된 관리자가 감사 레코드로부터 모든 감사데이터를 읽을 수 있는지를 평가하고 저장소 보호는 인가되지 않은 삭제로부터 감사 레코드를 보호하는지 평가, 대응행동은 감사 데이터가 한도를 초과할 경우, 관리자에게 통보하고 대응행동을 취하는지에 대해 평가를한다. 마지막으로 손실 방지는 감사 증적이 포화인 겨우, 감사 저장 실패 시 취해야 할 행동을 수행하는지에 대해 평가를 한다.[2]
- 식별 및 인증 : 해당 정보보호 제품의 관리자를 포함한 사용자의 신원을 식별 및 인증하고 인증 실패 시 대응 행동을 제공하는 능력을 의미한다. 식별 및 인증은 인증실패 처리, 사용자 보안속성 유지, 사용자 인증, 재사용 방지, 사용자 식별 등의 평가항목을 가진다. 인증실패 처리는 인증실패를 탐지하고 대응행동을 수행하는지를 평가하고, 사용자 보안속성 유지는 각 사용자에 대해 규정된 보안속성 목록을 유지하는지 평가, 사용자인증은 사용자에게 행동을 허용하기 전에 사용자를 성공적으로 인증하는지를 평가한다. 그리고 재사용 방지는 인증 데이터의 재사용을 방지하는지를 평가하고, 사용자 식별은 사용자에게 행동을 허용하기 전에 각 사용자를 성공적으로 식별하는지를 평가한다.[2]
- 보안관리성 : 해당 지식정보보안 제품의 보안기능, 보안속성, 보안 관련 데이터, 보안 역할 등과 관련된 사항을 관리하는 능력을 의미한다. 보안관리성은 보안기능 관리, 보안속성 관리, 데이터 관리, 데이터 한계치의 관리, 관리기능 수행, 관리자 역할 유지 등의 평가항목을 가진다. 보안기능 관리는 인가된 관리자만 보안기능을 관리할 수 있도록 제한하는지를 평가하고, 보안 속성 관리는 보안속성의 디폴트값을 제공하도록 강제하는지를 평가, 데이터 관리는 식별 및 인증 데이터의 관리를 인가된 관리자로 제한하는지를 평가한다. 그리고 한계치 관리는 검사 저장소 용량, 실패한 인증 시도 횟수, 자체 시험이 발생하는 시간 간격에 대한 한계치의 관리는 인가된 관리자로 제한하는지를 평가한다. 마지막으로 관리기능 수행은 규정된 관리 기능을 수행하는지를 평가한다.[2]
- 보안기능 보호 : 보호란 주기적 또는 관리자의 요구에 따라 무결성을 검증하는 능력을 의미한다. 보호는 데이터 변경 탐지, 자체 시험의 평가항목을 가진다. 데이터 변경 탐지는 전송 중인 모든 보안 관련 데이터의 변경 및 위조를 탐지하는 능력을 제공하는지를 평가하고, 자체 시험은 데이터 및 실행코드의 무결성을 검증하기 위해 자체 시험을 실행할 수 있는가를 평가한다.[2]
- 접근통제성 : 시스템이 정보흐름을 중재하기 위해 관련 보안 정책에 기반하여 패킷필터링 등을 통하여 외부망으로부터 내부망을 보호하는 능력을 의미한다. 접근 통제성은 세션 잠금의 평가항목을 가진다. 세션 잠금은 사용자 비활동 기간 후 상호작용하는 세션을 잠가 활동을 무력화 시키는지 평가한다.[2]
- 침입방지성 : 시스템이 보안을 위협하는 침입 행위가 발생할 경우 이를 방지하는 능력을 의미한다. 침입방지는 정보수집, 침입분석, 침입대응, 침입방지 결과 보호, 대응행동, 손실방지 등의 평가항목을 가진다. 정보수집은 보호대상시스템으로부터 침입방지를 위해 필요한 정보를 수집하는지를 평가하고 침입분석은 수집 데이터에 기반하여 정해진 분석 기능을 수행하는지 평가한다. 침입대응은 보안위반 가능성 및 사실을 탐지하였을 경우 수행해야 할 활동을 수행하는지 평가, 침입방지 결과보호는 인가되지 않은 삭제로부터 지정된 침입방지 결과를 보호하는지를 평가한다. 마지막으로 대응행동은 침입방지 결과에 대한 손실이 예측될 때 필요한 대응행동을 수행하는지 평가하고 손실방지는 침입방지 결과 기록을 위한 저장소가 포화하거나 기타문제 발생 시 취해야 할 행동을 수행하는지를 평가한다.[2]
- 준수성 : 보안성과 관련된 표준, 관례 또는 법적 규제 및 유사한 규정을 고수하는 소프트웨어 제품의 능력을 의미한다. 준수성은 보안성 표준 준수율의 평가항목을
가진다. 보안성 표준 준수율은 침입방지시스템의 보안성 관련 표준, 기준 및 지침에 따라 시스템이 구현되어 있는지를 규정을 준수하는 항목의 수수성 및 준수성 관련 항목의 수로 평가한다.[2]
종류
네트워크 기반
- 국내제품
네트워크기반 침입방지시스템 출시를 계획 중인 업체는 안철수연구소, 티맥스소프트, 케이디디에스(KDDS), 윈스테트넷 등의 국산 보안 솔루션 업체들이 있다. 안철수연구소는 애초에는 네트워크기반 침입탐지시스템을 목표로 하였으나 시장여건에 따라 침입방지시스템으로 선회한 경우이다. 티맥스소프트는 최근 엔터프라이즈 인프라 솔루션 시장 흐름이 기존에 형성된 WAS(Web Application Server) 분야의 토대를 바탕으로 기업 애플리케이션통합(EAI), 기업포털(EP), 웹 서비스 개발툴(IDE), 보안 등의 제품을 묶은 통합 e-비즈니스 플랫폼 형태로 발전함에 따라 네트워크 기반 침입방지시스템을 새롭게 개발하고 있다. 국내 침입탐지시스템 시장의 대표주자인 인젠은 네트워크 기반 침입탐지시스템의 기술 수준이 이미 오탐지율, 미탐지율을 최소화하는 데 성공했으며, 침입탐지시스템 자체에서 공격에 대한 차단 기능을 탐재한 만큼 네트워크 기반 침입방지시스템과 비교해 결코 손색이 없다고 주장한다. 따라서 앞으로도 지속해서 오탐지와 미탐지를 낮추기 위해 노력할 뿐, 침입방지시스템 제품군 별도로 출시할 계획은 없다고 밝혔다.[3]
- 국외제품
국내 네트워크기반 침입방지시스템 시장의 외산 제품으로는 이카디아, 넷스크린테크놀로지스, 탑레이어네트웍스, 엔터라시스네트웍스 등의 다국적 기업의 제품들이 있으며 넷스크린코리아, 탑레이어코리아, 엔터라시스코리아 등에서 마케팅을 하고 있다. 이카디아는 이지스(Ezis)를 출시하고 있으며 기가비트 트래픽을 지원하는 네트워크 기반 침입방지시스템을 목표로 하고 있고 향후는 ASIC(Application Specific Integrated Circuit)기반 제품을 개발하고 있는 것으로 알려져 있다. 이 제품은 국내대학과 농림수산부 정보센터에 공급되었다고 한다. 탑레이어코리아의 네트워크기반 침입방지시스템은 어택 미티게이터 침입방지시스템 이며 LG 투자증권, 서울은행, 매일경제, 배화여자대학교 등에 공급되었다고 한다. 이 제품은 타제품에 비해 성능에서 앞서고 있다고 평가되고 있으며 이는 ASIC기반의 아키텍처로 설계되어 빠른 처리 속도로 침입방지 기능을 구현하였기 때문이라고 한다. 넷스크린코리아는 넷스크린 IDP-100과 넷스크린 IDP-500을 내놓고 있다. 이 제품의 특징은 멀티 레벨 공격 조사 기능, 외부 공격에 신속히 대응 가능한 관리 기능, 고가용성과 클러스터링 기능, 용이한 구축을 위한 마법사 유저 인터페이스 기능을 제공한다는 특징이 있다. 현재는 침입탐지와 방지 기능을 소프트웨어적으로 구현하였고 향후 ASIC기반의 제품을 발표할 예정이라고 한다. 엔터라시스코리아의 침입방지시스템은 드래곤침입방지시스템이 있다. 이 제품은 네트워크 기반 침입탐지시스템 제픔인 드래곤침입탐지시스템 기반으로 개발되었다고 한다.[3]
호스트 기반
- 국내제품
호스트기반 침입방지시스템은 서버 보안 솔루션이라는 용어로 시장에서 사용되고 있지만 향후 호스트기반 침입방지시스템이 더 보편화 될 것이다. 국내에서는 시큐브, 티에스온넷, 시큐브레인, 아카디아, 인젠, 조은시큐리티 등의 회사가 이들 제품을 개발 및 판매하고 있으며 시큐브가 선도적인 역할을 수행하고 있다. 시큐브에서는 시큐브 TOS라는 제품을 판매하고 있으며 버퍼오버플로(Buffer OverFlow: BOF) 등의 최신 해킹 공격 방지나 보안 위험요소 관리와 같은 침입탐지 및 대응 기능을 제공한다. 또한, APDR(Automatic Prevention Detection Response) 아키텍처에 기반한 제품을 개발 중에 있으며 이 제품은 침입에 대한 탐지, 방지 및 대응을 자동화함으로써 침입 방지 기능을 극대화하는 것을 목적으로 하고 있다. 티에스온넷은 일반적으로 서버 보안 솔루션으로 알려진 레드아울 시큐OS 제품이 있으며 운영체제기반의 침입방지시스템을 지향하고 있다. 이 제품은 운영체제 수준의 보안 제공 및 시스템 성능 저하를 방지할 뿐 아니라 루트 권한 탈취 및 불법 프로그램 등을 이용한 해킹 행위를 원천적으로 봉쇄하는 것을 목표로 한다. 기술적으로는 시스템 파일 및 실행 파일의 불법 변조 및 실행을 방지하고, 포트 제어나 IP제어 기능까지 제공한다. 시큐브레인은 하이자드(Hizard)라는 제품을 출시하고 있다. 이 제품은 접근제어 기능과 함께 다양한 방어 기술을 접목하여 아웃고잉 네트워크 제어 기능과 해킹 방지 기능 제공을 목표로 하고 있다. 이 제품이 내세우는 장점은 일반적인 호스트기반 침입방지시스템이 설치가 까다로운 반면 이 제품은 혼자서도 쉽게 설치가 가능하며 보안정책도 전문 엔지니어의 도움 없이도 사용자가 쉽게 할 수 있다는 점을 장점으로 내세우고 있다. 이카디아와 티에스온넷은 외산제품을 국내에 총판 또는 마케팅을 위주로 하고 있으며 이카디아는 엔터셉터시큐리티의 엔터셉터 웹 서버 에디션을 티에스온넷과 레드햇은 아거스시스템즈의 핏뿔을 공동 마케팅으로 판매하고 있다. 인젠과 조은시큐리티는 출시를 임박하고 있으며 침입방지시스템을 목표로 개발되었다기 보다는 침입탐지시스템의 기능을 확장하는 형태의 접근방법을 선택한 제품들을 개발하고 있으며 궁극적으로는 향후 통합 보안 솔루션을 목표로 하고 있다고 보는 것이 정확할 것 같다.[3]
- 국외제품
현재 시중에 출시되어 있는 제품으로는 CA(Computer Associate)사의 이 트러스트 액세스 컨트롤(eTrust Access Control)과 아거스시스템즈의 핏뿔 등이 있고 그 이외에는 인트루버트네트웍스의 인트루쉴드와 오키나의 스톰와치, 엔터셉터시큐리티테크놀로지스의 엔터셉터 웹 서버 에디션 등이 있다. 이중 전자는 호스트기반 침입방지시스템이라고 말하고 있지는 않지만 그 기능을 제공하고 있어 호스트기반 침입방지시스템이라고 분류해도 무관하다. 후자는 쉴딩(Shielding) 기술이나 시그니처, 행동기반 분석 알고리듬을 탐재한 호스트기반 침입방지시스템이며 이들이 초기시장을 주도하고 있는 제품들이다.[3]
- 기타 정보보호시스템
- 무선침입방지시스템(WIPS) : 무선랜의 모든 취약점 및 모든 위협에 대해 탐지하는 시스템이다. 기업의 사내 무선랜 사용자와 단말기를 자동으로 탐지및 분류해 보안정책에 따라 관리하고 주변에 불법적으로 설치되어 있거나 침입을 시도하는 공격자의 위치까지도 실시간으로 찾아내 사전에 위험요소를 제거할 수 있는 보안조치를 수행하는 솔루션이다. 무선침입방지시스템은 무선랜 모든 장치, 채널 및 트래픽을 지속해서 탐지하고 무선랜 취약점을 관리자에게 경고 및 보고를하고 해킹 공격 위협에 대해 자동으로 탐지하고 무선으로 차단한다. 마지막으로 유선 구간의 위협 차단뿐 아니라 전체 네트워크에 대한 위협으로부터 자동방어하는 특징을 가지고 있다.[4]
- 방화벽(Firewall) : 수신및 발신 네트워크 트래픽을 모니터링하고 정의된 보안 규칙 집합을 기준으로 하여 특정 트래픽의 허용 또는 차단을 결정하는 네트워크 보안 디바이스이다. 방화벽은 25년이 넘는 기간 동안 네트워크 보안의 1차 방어선에서 사용되었다. 방화벽은 신뢰할 수 있는 안전하고 통제된 내부 네트워크와 인터넷과 같이 신뢰할 수 없는 외부 네트워크 사이에 장벽을 설치힌다. 방화벽은 하드웨어, 소프트웨어 또는 두 가지 모두의 형태일 수 있다. 대표적으로 프록시 방화벽, 스테이트풀 인스펙션 방화벽, UTM(Unified Threat Management) 방화벽, 차세대 방화벽(NGFW), 위협 중심 NGFW 등의 유형이 있다. 프록시 방화벽은 특정 애플리케이션을 위한 네트워크 사이의 게이트웨이 역할을 한다. 프록시 서버는 네트워크 외부에서의 직접 연결을 차단함으로써 콘텐츠 캐싱 및 보안 등의 부가적인 기능을 제공할 수 있다. 그러나 그만큼 성능 및 지원 가능한 애플리케이션에 영향을 미칠 수 있다. 스테이트풀 인스펙션 방화벽은 상태, 포트 및 프로토콜에 따라 트래픽을 허용하거나 차단한다. 이 방화벽은 연결이 시작되는 시점부터 끝날 때까지 모든 활동을 모니터링한다. 관리자가 정의한 규칙과 상황 정보를 모두 확인한 후 필터링 여부가 결정된다. 상황 정보란 동일한 연결에 속한 패킷과 이전 연결의 정보를 사용한다는 의미이다. UTM방화벽은 일반적으로 스테이트풀 인스펙션 방화벽과 침입 방지 및 안티바이러스 솔루션의 기능을 결합한 형태이다. 또한 클라우드 관리와 같은 부가적인 서비스를 포함할 수 있다. UTM의 주요 장점은 단순한 기능과 간편한 사용법이다.[5]
- 브이피엔(VPN) : 인터넷 트래픽을 암호화하고 온라인 ID를 보호하는 서비스인 가상사설망을 의미하다. 브이피엔을 사용하면 전 세계 어디서나 앱과 웹사이트, 엔터테인먼트 플랫폼에 안전하게 액세스할 수 있다. 브이피엔을 통해 인터넷 검색을 하면 트랙픽이 암호화된다. 그리고 인터넷 사용자가 온라인에서 무엇을 하는지 그 누구도 알 수 없으며, 어떤 식으로든 온라인 탐색을 방해할 수 없다. 인터넷 검열도 우회할 수 있다. 원격 서버에 연결하면 글로벌 인터넷에 쉽게 액세스 할 수 있다. 브이피엔은 공공 와이파이를 정기적으로 사용해야 하는 경우, 차단된 웹사이트에 액세스하고자 할 때, 데이터를 암호화하고자 할 때, 정부 감시를 피하고 싶은 경우, 사용자가 자신의 위치를 숨기고 싶을 경우, 파일 공유 서비스 사용할 경우에 사용한다.[6]
- 침입탐지시스템(IDS) : 시스템과 네트워크 작업을 분석하여 권한이 없는 사용자가 로그인하거나 악의성 작업이 있는지 찾아내는 활성 프로세스 또는 장치를 말한다. 침입탐지시스템이 예외적인 작업을 찾아내는 방법은 다양하다. 그러나 모든 침입탐지시스템의 궁극적인 목적은 침입자가 시스템 자원에 심각한 손상을 끼치기 전에 범인을 찾아내는 것이다. 침입탐지시스템은 시스템 공격, 오용이나 침입을 방지한다. 또한 네트워크 활동을 감시하고 네트워크와 시스템 설정에 취약점이 있는지 확인하며 데이터 무결성을 분석하는 등의 다양한 작업을 수행할 수 있다. 사용자가 사용하는 탐지 방법에 따라서 침입탐지시스템을 사용함으로서 여러가지 직접적인 혜택과 간접적인 혜택을 받을 수 있다.[7]
활용사례
- 광주시청
광주시청은 전산상으로 2개의 구역을 분리해 체계적인 정보관리를 하고 있어, 보안정책, 보안시스템 구축 시에도 각기 다른 방향으로 접근하고 있다. 2개 분리 구역은 광주시청의 내부 핵심 구간인 B 구간과 읍, 면, 동 사업소, 남한산성 등을 연결하는 A 구간이다. 두 구간과 인터넷 및 경기도청 행정망을 연결하는 구역에 각각 스나이퍼 침입방지시스템을 구축해 자체 구조에 적합한 보안정책 설정과 침입방지시스템을 통한 대응으로 보안성을 강화했다. 광주시청은 침입방지시스템의 필요성은 인지하고 있었지만, 구축 후 망 구조의 변화와 트래픽 성능 저하를 우려했다. 이에 윈스테크넷은 기존 네트워크의 라우터와 스위치 사이에 침입방지시스템을 설치하는 물리적 망구성과 패킷 우회경로 지정기능을 적용한 논리적 망구성을 병행해 광주시청 네트워크 특성에 효과적인 보안정책을 제시했다. 침입방지시스템을 경유하도록 연결을 재구성하는 것 이외에 어떠한 물리적인 변경도 하지 않아, 공공기관으로서의 업무 연속성을 유지하면서도 적극적인 보안정책 설정이 가능해졌다. 또한 감시, 차단 대상 네트워크에 어떠한 패킷도 발생시키지 않고, 스나이퍼 침입방지시스템을 통과한 정상 패킷에 대해서는 맥 어드레스(Mac address)를 포함한 변경도 일으키지 않음으로써 신규 시스템 설치로 인한 네트워크 정상작동 방해 가능성을 제거했다. 또 침입방지시스템의 FOD(Fail Over Device) 기능을 적용해 네트워크 단절을 복구와 네트워크의 안정성을 높였다.[8]
- 구리시청
구리시청과 같은 지방자치단체는 상위 관청의 통합 전산망의 일부로 규모는 작으나, 크고 작은 기관을 관리하고 있어 자체적 보안관리가 중용해짐에 따라 침입방지시스템을 도입했다. 구리시청은 시청에 관련된 기밀정보, 시민 개개인의 신상에 관한 중요정보를 보관하고 타 관공서간에 중요한 자료들이 네트워크상에서 교환되는 등 철저한 보안이 시급한 상황이었다. 구리시청은 침입방지시스템 도입의 가장 큰 효과로 내부정보 유출을 원천적, 능동적으로 차단할 수 있는 점을 꼽는다. 또 불필요하게 네트워크 자원을 소모시키는 트래픽을 해소하고 세션상태 실시간 체크, 차단, 탐지정보, 네트워크 자원 소모량, 트래픽 원인 파악 등의 리포팅으로 네트워크상의 문제점을 제거하고 보다 빠르게 안전한 서비스를 제공할 수 있어 만족하고 있다.[8]
- 숭실대
숭실대 전산원은 바이러스, 웜, 트로이 목마 드으이 공격으로 인한 트래픽 부하로 하루에도 여러 번씩 네트워크 다운에 시달렸다. 컴퓨터 실습실은 많은 학생들이 공통으로 사용하다 보니 설치해놓은 백신 소프트웨어를 임의대로 삭제해 바이러스나 웜에 무방비 상태로 노출되었다. 지적 호기심이 강한 일부 학생들은 바이러스나 웜을 만들어 유포하기도 하고, 내부 서버 해킹을 시도하는 등 보안상의 다양한 문제가 나타나 이를 해결하기 위해 각각의 모듈이 하나의 기본 엔진에 통합된 하드웨어 일체형 통합 보안 제품 포티게이트-500을 도입했다. 전산원은 포티게이트-500의 기능 중 바이러스월, 침입방지시스템, QoS(Quality of Service), 방화벽 기능만을 사용하고 있다. 방화벽은 30개의 정책을 적용해 수문장 역할을, 침입방지시스템은 해킹 트래픽 탐지 및 웜 트래픽 차단 역할을 한다. 숭실대 전산원은 포티게이트-500을 설치한 이후 단 한 번도 웜이나 바이러스에 의해 네트워크가 다운된 적이 없다. 2003년 최고의 악성 코드로 꼽히는 소빅, 두마루의 출현에도 전산원의 네트워크는 안전하게 유지되고 있다.[8]
- 한미은행
한미은행은 외부에서 발생하여 금융권으로 들어오는 각종 바이러스와 악의적인 공격에 방어하고 내부에서 발생하는 유해 트래픽을 감지, 차단하고자 침입방지시스템 구축사업을 진행하였고, 애플리케이션 스위치를 도입했다. 애플리케이션 스위치는 네트워크상에 일어나는 IP나 웹서비스 애플리케이션에 대해 멀티 기가비트 속도의 보안성을 제공하는 다기능 장비로써 포괄적인 트래픽 전달과 실시간 침입방지 기가비트 소고의 도스, 디도스 공격 차단기능을 제공한다. 구축 후에는 새로운 바이러스 패턴에 대한 자동 업데이트로 항상 최적의 보안상태를 유지할 수 있을 것 이다.[8]
악성코드
- 바이러스 : 악성코드의 가장 일반적인 형태로, 대부분의 사람들이 악성코드와 혼용하여 사용한다. 바이러스는 매우 형태가 다양하며, 그 종류에 따라 CPU 사용부터 메모리 점유, 데이터 손상, 시스템 작동 방해에 이르기까지 다양하고 광범위한 곳에 영향을 끼칠 수 있다. 바이러스의 가장 큰 특징은 전염성으로, 기회만 되면 스스로를 복제하여 다른 파일을 감염시키고 피해 범위를 확대하려 한다. 바이러스는 이메일이나 USB 등을 통해 다른 PC로도 전파될 수 있다.[9]
- 웜 : 네트워크를 통해 전파되면서 가능한 많은 컴퓨터를 감염시키는 형태의 악성코드이다. 바이러스와 달리 웜은 파일 자체에 직접적인 피해를 주기보다 네트워크 트래픽에 영향을 미치려는 목적이 크다. 따라서 웜의 유포자는 웜에 감염된 PC 클러스터를 이용에 대규모 사이버 공격을 일으킬 수 있다.[9]
- 루트킷 : 사용자가 모르게 PC 운영 권한에 접근할 수 있도록 하는 악성코드 키트(kit)라고 할 수 있다. 즉 정상적인 인증 과정을 거치지 않고 우회하여 운영체제나 소프트웨어에 접근할 수 있는 악성코드 집합으로, 백도어, 트로이목마 등이 포함된다. 루트킷은 바이러스나 웜과 달리 다른 파일을 복제하거나 감염시키지는 않지만, 스파이웨어나 애드웨어, 랜섬웨어 등을 함께 들여와 사용자에게 피해를 입힌다. 루트킷 감염에는 소셜 엔지니어링, 혹은 이전에 설치된(주로 프로그램 개발 과정에서 설치하고 삭제하지 않은) 백도어 프로그램이 이용될 수 있다. 특히 웹사이트의 콘텐츠 관리 시스템과 같이 패치되지 않은 보안 취약점이 있는 프로그램은 백도어 공격의 매개 변수가 될 수 있다.[9]
- 랜섬웨어 : 컴퓨터에 저장된 파일에 락을 걸고 몸값을 요구하는 악성코드이다. 랜섬웨어에 감염된 파일은 해커만이 풀 수 있도록 암호화되며, 비트코인 등을 대가로 지불해야만 잠금을 푸는 키를 받을 수 있다. 랜섬웨어는 가장 유행하고 있는 악성코드지만 예방과 치료, 복구가 모두 쉽지 않아 최악의 악성코드라 불리기도 한다. 랜섬웨어는 스팸 사이트, 의심스러운 첨부파일, 소셜 엔지니어링(피싱, 스미싱 등) 등을 통해 감염될 수 있다. 랜섬웨어에 대비하기 위해선 주기적으로 주요 문서를 백업하고, 주백신과 충돌하지 않으면서도 랜섬웨어 감지에 특화된 보조백신을 사용하는 것이 좋다.[9]
- 애드웨어 : 백신 프로그램을 사용해도 지속적으로 광고가 팝업되는 등 악성코드가 제거되지 않는 느낌이 든다면 백신을 우회하는 악성코드, 혹은 악성코드로 인식되지 않는 소프트웨어 때문이다. 애드웨어는 기술적으로 악성코드의 범주에 들지 않지만 PUP(Potentially Unwanted Program)로 분류되어 PC 보안에 부정적인 영향을 미친다. 애드웨어는 비윤리적인 마케팅의 파생품으로, 주로 무료로 배포되는 소프트웨어와 함께 다운로드된다. 애드웨어는 사용자를 무차별적으로 광고에 노출시킬 뿐만 아니라 다른 악성코드의 유포 수단이 되기도 한다.[9]
- 스파이웨어, 카로거 : 사용자의 정보를 비밀리에 수집하여 제3자에게 전송하는 악성코드이다. 스파이웨어가 수집하는 정보는 주로 방문한 웹사이트, 브라우저, 시스템 정보 및 IP 주소 등, 마케팅 수단으로 거래될만한 내용이 많다. 그러나 악의적인 것들은 로그인 정보나 신용정보 같은 민감한 개인정보를 빼내 해킹에 사용하기도 한다. 사용자가 누른 키를 기록하는 키로거 역시 스파이웨어의 한 종류로, ID와 패스워드, 카드 번호 등을 수집해 해커에게 전송한다. 만일 키로거에 감염된 이력이 있다면 로그인 정보를 비롯한 주요 정보를 모두 수정하거나 다중요소인증(MFA)을 사용해 피해를 예방해야 한다.[9]
- 봇넷 : 악성코드인 봇에 감염된 PC 네트워크이다. 봇에 감염된 PC는 해커에 의해 원격 조종될 수 있어 흔히 말하는 좀비 PC 상태가 된다. 해커는 주로 수십에서 수십만 대의 PC를 봇에 감염시킨 뒤, 이들에게 명령을 내려 동시에 특정 호스트에 네트워크 요청을 보내도록 한다. 그러면 트래픽 과부하가 발생하게 되는데, 이를 분산 서비스 거부 공격(DDoS)이라고 한다. 봇넷은 스파이에웨어와 유사한 방식으로 감염및 작동하여 사용자는 자신의 PC가 감염되거나 공격에 사용되어도 그 여부를 알기가 쉽지 않다.[9]
전망
침입방지시스템은 기존 시스템의 오탐지가 발생하는 것을 피할 수 있도록 정확하게 침입을 구별하고 패킷을 감시하므로 빠른 성능으로 실시간 반응이 가능하도록 개발된 솔루션으로, 최소한의 구성과 커스터마이징으로 관리자의 업무를 줄여줄 수 있다는 장점을 가진다. 최근 가트너 발표자료에 의하면 2004년에는 네트워크 기반 침입방지 시스템이 이미 설치된 침입탐지시스템의 50%를 대체하고, 새롭게 도입하고자 하는 고객의 75%가 네트워크 기반 침입방지시스템을 선택할 전망이라고 한다. 이를 통해서 알 수 있는 것은 현재 추세대로라면 침입방지시스템이 침입탐지시스템을 대체할 것이며 침입방지시스템 기술이 안정화되는 시점이 언제냐에 따라서 더 빠르게 진행될 수도 있다는 것이다. 이미 2001년부터 미국은 AIPS(Advanced IPS) 개발에 착수하였으며 이는 다중 노드와 다중 도메인의 침입을 방지하는 기술이며, 이 기술의 근간은 분산처리, 협동 처리와 이동형 에이전트를 통한 침입방지와 침입에 대한 원천 추적, 침입에 대한 공조 방어를 목표로 하고 있다. 또한, 기존의 정보시스템의 방어뿐만 아니라 통신 시스템의 도청, 전력, 통신 인프라에 대한 공격, 절도와 같은 물리적인 침입에 대한 탐지와 대처까지 포함하고 있다. 가트너의 R. 스티넌과 M. 이즐리 애널리스트는 “침입탐지시스템 로그를 살펴보는 것은 마치 보석 가게의 CCTV 녹화 테이프를 돌려보는 것이나 다름없다”고 말했다. 즉, CCTV는 네트워크 기반 침입탐지시스템과 마찬가지로 탐지는 해내지만, 탐지를 해냈을 때에는 이미 도둑이 자리에 없기 때문에 보석 가게를 터는 도둑을 잡을 수는 없다는 말이다. 따라서 웹에서 쉽게 다운로드할 수 있는 보통 툴의 사용으로도 공격이 가능하며 점점 더 지능화되고 다양해지는 현재 및 미래의 해커들의 침입기술에 대항하기 위해서는 침입방지시스템이 대안으로 부각될 것이다. 또한, 더 나아가서는 비즈니스 환경에서 더 이상 선택이 아닌 필수 보안 제품이 될 수도 있을 것이다. 서버 보안 솔루션으로 더 잘 알려진 호스트기반 침입방지시스템은 한국정보호보산업협회(KISIA)에서 발표한 자료에 따르면 지난해 국내 서버 보안 시장은 전녀대비 34% 성장한 120억 원 규모인 것으로 집계되었다. 또한 이 협회는 국내 서버 보안 시장이 연평균 성장률 67.25%의 고속 성장을 거듭할 것으로 내다보고 있어, 국내및 국외 서버 보안 솔루션 업체들이 호스트기반 침입방지시스템 개발에 대한 투자와 마케팅에 집중하고 있고 이미 미국시장에서는 서버 보안 솔루션을 호스트기반 침입방지시스템과 혼용해서 사용하고 있는 실정이다.[3]
각주
- ↑ 1.0 1.1 채호석, 〈정보보호시스템(firewall, IDS, IPS, VPN, 기타보안장비〉, 《티스토리》, 2013-04-10
- ↑ 2.0 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 2.9 침입방지시스템의 보안성 품질 평가기준 및 측정체계의 개발 백서 - http://jkais99.org/journal/v11n4/42/424l/424l.pdf
- ↑ 3.0 3.1 3.2 3.3 3.4 정보흥, 김정녀, 손승원, 〈침입방지시스템 기술 현황 및 전망〉, 《아이티파인드》
- ↑ 〈IPS〉, 《지덤사전》
- ↑ 방화벽이란? 공식 홈페이지 - https://www.cisco.com/c/ko_kr/products/security/firewalls/what-is-a-firewall.html
- ↑ 브이피엔은 무엇인가요 공식 홈페이지 - https://nordvpn.com/ko/what-is-a-vpn/
- ↑ 레드햇앤터프라이즈리눅스4 공식홈페이지 - http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-sg-ko-4/ch-detection.html
- ↑ 8.0 8.1 8.2 8.3 장윤정 기자, 〈(국내 IPS 시장 A~Z ③)IPS 활용사례〉, 《데이터넷》, 2004-06-09
- ↑ 9.0 9.1 9.2 9.3 9.4 9.5 9.6 바이러스부터 랜섬웨어까지, 자주 나타나는 악성코드들 공식 홈페이지 - http://library.gabia.com/contents/infrahosting/4961
참고자료
- 채호석, 〈정보보호시스템(firewall, IDS, IPS, VPN, 기타보안장비〉, 《티스토리》, 2013-04-10
- * 침입방지시스템의 보안성 품질 평가기준 및 측정체계의 개발 백서 - http://jkais99.org/journal/v11n4/42/424l/424l.pdf
- 정보흥, 김정녀, 손승원, 〈침입방지시스템 기술 현황 및 전망〉, 《아이티파인드》
- 〈IPS〉, 《지덤사전》
- 방화벽이란? 공식 홈페이지 - https://www.cisco.com/c/ko_kr/products/security/firewalls/what-is-a-firewall.html
- 브이피엔은 무엇인가요 공식 홈페이지 - https://nordvpn.com/ko/what-is-a-vpn/
- 레드햇앤터프라이즈리눅스4 공식홈페이지 - http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-sg-ko-4/ch-detection.html
- 방화벽이란? 공식 홈페이지 - https://www.cisco.com/c/ko_kr/products/security/firewalls/what-is-a-firewall.html
같이 보기
