정보보호개론] 15. 침입차단 시스템

* 침입차단 시스템

○ 침입차단 시스템(firewall)

  - 방화벽 시스템이라고도 하며 컴퓨터 네트워크 환경에서 네트워크 보안사고가 주변 혹은 내부로 확대되는 것을 막기위해 내부와 외부 네트워크 사이의 정보 흐름을 안전하게 통제하는 시스템

  - 목적 : 외부 네트워크로부터 내부 네트워크 보호

  - 침입차단 시스템의 용어

   · 일반적으로 네트워크를 보호하기 위한 다양한 보안 장치의 구조와 보안기능을을 포괄적으로

   · 경우에 따라서 하드웨어 암호화 장치나 스크린라우터, 응용게이트웨이 같은 네트워크 보안 장치만을 나타냄

  - 침입차단 시스템의 특징

    · 침입차단 시스템은 활성화된 인터넷 서비스를 접속함과 동시에 내부 네트워크의 보안 수준을 향상

    · 침입차단 시스템을 이용한 네트워크 보안은 전체 호스트의 보안을 동시에 강화

   · 보안 통제가 한곳에서 이루어지므로 보안 정책을 효율적으로 시행 가능

○ 침입차단 시스템의 기능

 • 내부네트워크에 대한 접근통제기능

   - 전자우편 서버나 공개정보 서버와 같은 특정 호스트를 제외하고 외부에서 내부 네트워크에 접속하는 것을 통제

   - 내부 네트워크에 대한 접근통제는 패킷 필터링 규칙에 의하여 가능 (접속 통제를 위한 규칙을 설정하여 외부에서 내부 네트워크로 들어오는 패킷의 IP주소나 서비스 포트번호를 분석 후 접속 허용여부 결정)

   - 내부에서 외부 네트워크로 나가는 패킷도 동일하게

   - 내부에서 외부보다 외부에서 내부로 들어오는 패킷에 대해 접근통제 강화 내부->외부, 외부->내부의 패킷에 서로 다른 패킷 필터링 규칙 적용)

 • 사용자 신분확인 기능

   - 침입차단시스템은 내부 네트워크 호스트에 접속할 때 반드시 통과하기 때문에 강력한 인증소프트웨어나 하드웨어를 설치하기에 적합한 장소

 • 감사 추적 및 보안 관리 기능

   - 접속 정보 및 네트워크 사용에 따른 통계정보를 제공하는 감사 추적 기능 제공 (사용자의 보안 관련 활동 및 사건을 기록, 조사, 검토하는 기능)

 • 비밀성과 무결성

   - 침입차단 시스템은 호스트의 보안 취약점을 보호

   - 비밀성 기능 : 전송되는 데이터가 인가되지 않은 사용자에게 노출되었을 경우 노출된 데이터를 통해 정보가 누출되는 것 방지

   - 무결성 기능 : 중요한 데이터에 대한 인가되지 않은 변경이나 침입차단 시스템을 통하여 전송되는 데이터의 변경을 확인함

   - 트래픽의 암호화는 네트워크 프로토콜의 각 계층에서 이루어질 수 있음

○ 침입차단 시스템의 역할

 • 프라이버스 보호

   - 특정 사이트의 일반적 정보가 공격자에게 유용한 정보!

   - 침입차단 시스템은 내부 네트워크의 정보 유출을 방지하고 이중 DNS 기능을 지원하며, 라우팅 통제 기능을 제공함으로 프라이버시 보호에 필요한 정보의 노출을 막거나 공격자에게 유용한 정보를 숨김

 • 서비스 취약점 보호

   - 네트워크 보안을 혁신적으로 개선하여 안전하지 못한 서비스를 필터링함으로 내부 네트워크의 호스트의 취약점 감소

   - 외부의 부당한 서비스를 막을 수 있는 동시에 서비스가 부당하게 사용될 위험을 상당히 줄임

 • 보안기능의 집중화

   - 보안소프트웨어가 침입차단 시스템에 집중적으로 탑재되어 있는 것이 관리의 관점에서 효율적

   - 일회용 패스워드 시스템과 인증 소프트웨어는 호스트보다 침입차단 시스템에 설치되어야

   - 호스트 보안기능을 강화하여 네트워크 보안을 향상시킬수도 있으나 일반적으로 침입차단 시스템을 이용하여 필요한 소프트웨어만을 추가함으로 원하는 보안기능을 간단히 실현하는 것이 효율적

 • 제한된 서비스

   - 가장 큰 문제점은 Telnet, FTP,X-Windows,NFS 등과 같은 특정 서비스에 대해 장애

   - 이런 장애는 보안 요구사항과 사용자 요구사항을 적절히 만족시켜 주는 보안정책을 잘 설계함으로써 완화될 수 있음

○ 침입차단 시스템의 문제점

 • 백도어위협

   - 백도어로 내부 네트워크로 들어오는 건 방어 못함

   - 내부네트워크에 모뎀으로 접속할 수 있으면 우회침입가능

   - 현재 모뎀은 SLIP과 PPP를 실행할 수 있을 정도로 빠름

   - 허가되지 않는 모뎀 접속은 정책적으로 제한

 • 내부 사용자에 의한 보안 침해

   - 침입차단 시스템은 내부사용자에 의한건 방어 못함

   - 외부에서 들어오는 것만 막지, 내부 사용자가 데이터를 복사하거나 다른 장소로 빼내는 것은 방어못함

 • 기타 문제점

   - 기존 침입차단 시스템에 새로운 서비스 적용 어려움

   - 멀티캐스트IP들은 일반적으로 적절히 필터링 되지않고 전송

   - 내부사용자가 바이러스에 감염된 파일을 다운받거나 전자우편으로 전송하는 것 못막음

   - 바이러스 프로그램들은 압축이나 인코딩 되어 있어 칩입차단 시스템으로는 검색 못함

   - 침입차단 시스템에서 병목현상 발생

   - 침입차단 시스템에 보안 기능이 집중 -> 침입차단 시스템 붕괴시 내부 네트워크 심각한 보안위협

○ 침입차단 시스템의 구성요소

  - 침입차단 시스템의 구성요소는 합법적 접속만 가능하도록 네트워크 내부, 외부를 경유하는 접속을 통제하는 방식

○ 스크린라우터

내부 네트워크	내부포트	스크린라우터	외부포트	외부네트워크
	<!--[if !supportEmptyParas]--> <!--[endif]-->		<!--[if !supportEmptyParas]--> <!--[endif]-->

   - 라우터 : LAN을 연결해주는 장치. 정보에 담긴 수신처 주소를 읽고 가장 적절한 통신통로를 이용하여 전송하는 장치

    · 인터넷 패킷을 전달하고 라우팅 담당

    · 패킷해더 내용을 보고 필터링 수행할 수 있는 능력 있음

  - 스크린라우터는 OSI 참조모델 계층 3, 4에서 동작하는 프로토콜인 IP, TCP, UDP의 헤더 내용을 분석하여 동작

  - 스크린 라우터는 네트워크에서 사용하는 통신 프로토콜의 형태, 발신지 주소와 목적지 주소, 통신 프로토콜 제어 필드, 포트번호를 분석하여 내부에서 외부, 또는 외부에서 내부로 들어가는 패킷 트래픽을 허가 또는 거절

  - 이런 진입 허가 결정은 패킷 필터 규칙에 따른 라우팅 테이블에 의해 결정

  - 패킷 필터 라우터 : 스크린 라우터는 일반 패킷과 특수한 프로토콜에 입각한 포트로 전송되는 패킷 구별

  - 라우터의 펌웨어 수준으로는 제한점이 많고 복잡한 보안정책을 구현하기 어려워 베스천 호스트를 함께 운영

○ 베스천 호스트

  - 침입차단 시스템 기능 중 가장 중요한기능 제공

  - 침입차단 소프트웨어가 설치되어 내부와 외부 네트워크 사이에서 일종의 게이트 역할을 수행하는 호스트

  - 내부 네트워크 전면에서 내부 네트워크 전체의 보안을 책임지기 때문에 보안 침해자의 공격 목표가 되기 쉬움

  - 신중히 관리 : 불필요 프로그램 삭제, 최신버전사용 등

  - 베스천 호스트가 침입당하면 후방 네트워크 전체가 위험

  - 베스천 호스트의 물리적 위치도 중요 : 네트워크의 로비 역할을 하므로 물리적 보안도 중요

  - 외부와 내부 네트워크를 연결하는 라우터 바로 뒤에 설치하는 것이 바람직

  - 내부로 들어오는 모든 패킷이 베스천 호스트를 거쳐야하기 때문에 효율성을 고려하면 두 장비가 가까워야

○ 프락시 서버

  - 침입차단 시스템이 설치되어 있는 호스트에서 동작하는 서버이며, 침입차단 시스템 내에 있는 사용자들이 외부의 서버에 서비스의 요구와 응답을 자유롭게 할 수 있도록 함

  - 내부의 모든 사용자들은 프락시 서버에게만 서비스를 요구

  - 프락시 서버는 사용자 대신 서비스를 요구하고 그 내용을 원래 사용자에게 전달

  - 프락시 서버는 사용자의 브라우저와 침입차단 시스템 외부의 서버들 사이에서 침입차단 시스템을 통과하는 중계 게이트웨이 역할 수행

  - 프락시 위해 SOCKS 보안 패키지 사용 가능

  - SOCKS는 침입차단 시스템 내부에 있는 호스트가 보안요건을 유지하면서 FTP, Telnet 등을 사용하여 침입차단 시스템 외부에 있는 정보자원에 접속가능토록 해주는 보안패키지로 클라이언트에 맞게 환경을 설정하여 프락시 서비스 제공

  - SOCKS는 TCP/IP 응용에 독립적

  - 사용자에게 투명성을 제공, 침입차단 시스템이 중간에 없는 것처럼 느끼게

  - 단점 : SOCKS를 사용하기 위해서는 클라이언트의 소프트웨어를 용도에 맞게 변경해야 하고, 응용프로그램이나 TCP/IP코드를 변경해야 함

* 침입차단 시스템의 적용방식

○ 응용수준의 침입차단 시스템 - 프락시 서버 기반

  - 내부 네트워크에 연결을 원할 때 내부서버에 대한 호스트 주소를 보여 주지 않도록 하는 프락시서버 기능 제공

 • 프락시 서버 호스트

   - 중요 데이터 보유 서버 운용시 서버를 대표하는 프락시 서버를 침입차단 시스템 외부에서 운영할 수 있다

   - 외부 사용자의 접근은 프락시 서버가 대신 접수

   - 데이터 서버는 침입차단 시스템 내부에 위치하고 사용자는 프락시 서버를 실제 서버로 인식

 • 서킷 게이트웨이

   - 트랜스포트 층에서 운영되어 TCP 중계해주는 역할

   - 송신측에서 TCP포트로 접속을 하면 게이트웨이는 내장된 보안규칙에 따라 수신측에 연결 여부 결정

   - 이때 트랜스포트층에서 운영되는 게이트웨이는 침입차단 시스템 내부 수신측의 IP주소를 변환시켜 침입차단 시스템 내부의 수신자 보호(이 때 발생하는 트래픽에 대한 로그를 한다)

   - 트랜스포트층에만 운영되므로 TCP/IP 이외의 특별한 응용을 하면 투명성이 제공되지 않을 수 있고 성능상 과부하 가능

   - 많이 적용하는 방식 아님

 • 이중 홈 게이트 웨이

   - 두 개의 네트워크 인터페이스를 가진 베스천 호스트

   - 하나의 인터페이스는 외부와, 다른 하나는 내부와 연결(양 네트워크간 라우팅은 없음)

   - 라우팅이 없는 이중 홈 게이트웨이를 이용한 응용서비스 제공방법

    · 이중 홈 게이트웨이 상에서 실행되며 서비스를 제공하는 프라시 서버 사용

    · 응용서비스를 제공하는 이중홈게이트웨이에 직접 접속한 다음 내부 네트워크로 접근하는 방법 - 강력한 인증방법

   - 응용서비스 종류에 보다 종속적이기에 스크린 라우터보다 안전하며 정보지향적 공격 막을 수 있다

   - 각종 로그 정보를 생성 및 관리와 설치, 유지보수 쉽다

   - 단점 : 제공되는 서비스가 증가할 수록 프락시 소프트웨어 가격 증가, 게이트웨어 손상되거나 로그인 정보가 누출시 내부 네트워크 보호 불가

○ 네트워크 수준의 침입차단 시스템

 - IP 패킷 필터링 기능을 가진 스크린 라우터를 이용하여 특정한 프로토콜이나 IP 주소에 대해 블로킹 및 필터링이 가능하도록 구성된 가장 단순한 침입차단 시스템

 - 패킷 필터링을 이용한 네트워크 수준의 침입차단 시스템은 가격이 저렴, 환경에 대한 변화 없이 쉽게 구성 가능

 - IP 위장과 같은 공격을 통해 스크린 라우터를 우회할 수 있으며 그 결과 전체 네트워크가 외부에 노출

 • 베스천 호스트

   - 외부 네트워크에 연결되어 있으면서 내부 내트워크에 하나의 연결점을 갖는 호스트로서 내부에 대한 침입차단 시스템의 역할을 함

   - 배스천 호스트는 보안 관리자가 지정한 IP 패킷 필터링 규칙에 의해 배스천 호스트를 경유하는 트래픽을 검사함

   - 배스천 호스트는 안전한 운영체제에서 운영되야 함

   - 보통 독립적으로 사용되기 보다 좀더 정교한 네트워크 보안을 구현하기 위한 기본적인 모듈로 많이 사용

   - 배스천 호스트는 응용 서비스의 종류에 보다 종속적이기 때문에 스크린 라우터 보다 안전하며 정보 지향적인 공격을 막을 수 있다

   - 각종 로그 정보를 생성 및 관리가 쉽다

   - 베스천 호스트가 손상되거나 로그인 정보가 누출되면 내부 네트워크를 보호할 수 없다

 • 스크린 호스트 게이트웨이

   - 이중 홈 게이트웨이 + 스크린 라우터

   - 인터넷과 같은 외부 네트워크부터 내부로 들어오는 패킷 트래핏을 스크린 라우터에서 패킷 필터링 규칙에 의해 일차로 방어하고 스크린 라우터를 통과한 트래픽은 모두 프락시 서버를 구동하는 배스천 호스트에서 점검함(내부에서 외부는 거꾸로...)

   - 배스천 호스트는 서비스 요청을 허용 또는 거절할 것인지 결정하기 위해서 응용 계층의 프락시 서버를 구동함

   - 스크린 라우터의 라우팅 테이블은 외부 트래픽이 배스천 호스트로 입력되도록 구성되어야 하며 안전하게 보호되어야 함

   - 스크린 호스트 게이트웨이는 네트워크 계층과 응용 계층에서 2단계로 방어하기 때문에 매우 안전하며 따라서 가장 많이 이용되는 침입차단 시스템이고 융통성이 좋음

   - 서비스 속도가 다소 느리고 구축 비용이 많이 들며 스크린 라우터의 라우팅 테이블이 변경되면 내부 네트워크를 방어할 수 없다

 • 스크린 서브네트 게이트웨이

   - 스크린 호스트 게이트웨이와 이중 홈 게이트웨이의 변형으로 외부 및 내부 네트워크와 동시에 분리되는 네트워크로 구성

   - 이러한 격리된 형태의 네트워크는 스트린 라우터의 조합을 이용하며 배스천 호스트는 격리된 네트워트인 스크린 서브네트 상에 위치함

   - 배스천 호스트를 통과해야지만 스크린 서브네트에 접근할 수 있고 그 다음에는 내부의 스크린 라우터를 통과해야 하므로 내부 네트워크는 매우 안정

   - 매우 안전하며 융통성이 뛰어나지만 설치,관리가 어렵고 서비스 속도가 느리며 시스템 구축 비용이 비싸다

○ 혼합형 침입차단 시스템

  - 네트워크 수준 + 응용 수준의 침입차단 시스템(보안수준↑)

  - 전체적으로는 패킷 필터링을 통해 네트워크 트래픽에 대한 검사를 수행하지만 동시에 응용 수준의 내용인 IP 주소와 목적지, 포트번호 등에 대한 조사를 수행함

○ 침입차단 시스템 구축시 고려사항

  - 허가된 서비스를 제외한 모든 서비스를 거부하는 정책 지원

  - 조직의 보안 정책을 지원

  - 새 서비스나 조직의 보안정책이 변경시 이를 수용가능 해야

  - 강력한 인증 기법을 지원하거나 수용가능

  - 내부네트워크 필요에 의해 특정 서비스의 필터링기능 제공

  - IP 필터링 언어는 유동성, 편리성 및 다양한 기능을 제공

  - Telnet, FTP,SMTP 등의 다양한 프락시 서비스를 제공

  - 침입차단 시스템은 호스트에 대한 공개 접속을 제공하며 공개된 정보 서버는 침입차단 시스템에 의해 보호되야 함. 비공개 호스트는 공개 서버와 물리적으로 분리되어야 함

  - 다이얼업 접속을 한곳으로 집중하여 침입차단 시스템의 앞쪽에 설치 필터링 기능을 제공

  - 트래픽과 수상한 행위에 대한 로깅 기능을 제공

  - 보안이 검증된 운영체제를 침입차단 시스템에 설치하여야 하며 침입차단 시스템의 무결성을 보장할 수 있는 다른 보안 도구들도 함께 설치

  - 강도와 정확성을 검증 받을 수 있는 방법의 개발 필요

  - 설계를 단순화하여 유지보수가 용이하여야 함

  - 오류가 발견 되었을 경우 즉시 수정이 가능해야 함