네트워크 보안

• 네트워크 보안의 목표는 외부 네트워크로부터 내부 네트워크를 보호하는 것

주요 개념

• 트러스트(trust) 네트워크
  • 외부로부터 보호받아야 하는 네트워크
• 언트러스트(untrust) 네트워크
  • 신뢰할 수 없는 외부 네트워크
• DMZ 네트워크
  • 내부 네트워크이지만 신뢰할 수 없는 외부 사용자에게 개방해야 하는 서비스 네트워크
  • 내부 네트워크 - 방화벽 - DMZ - 방화벽 - 외부 네트워크
    
• 트래픽 방향에 따른 네트워크 보안 분야
  • 인터넷 시큐어 게이트웨이(Internet Secure Gateway)
    
    • 트러스트 or DMZ -> 언트러스트 통신 통제
    • 방화벽, SWG(Secure Web Gateway), 웹 필터, 애플리케이션 컨트롤, 샌드박스 등의 서비스와 장비 사용
  • 데이터 센터 시큐어 게이트웨이(Data Center Secure Gateway)
    
    • 언트러스트 -> 트러스트 or DMZ 통신 통제
    • 외부의 직접적인 공격을 막아야 함, 고성능
    • 방화벽, IPS, DCSG(DataCenter Secure Gateway), WAF(Web Application Firewall), Anti-DDos 등의 장비 사용
• 네트워크 보안 정책 수립에 따른 분류
  • 화이트리스트
    • 방어에 문제가 없다고 명확히 판단되는 통신만 허용
    • IP와 통신 정보에 대해 명확히 아는 경우에만 사용 가능
      ex. 회사 내부에서 사용하는 방화벽
  • 블랙리스트
    • 공격이라고 명확히 판단되거나 문제가 있었던 IP, 패킷 리스트 기반으로 데이터베이스를 만들고 그 정보를 기반으로 방어
  • 대부분의 장비는 수립 정책에 따라 둘 다 사용 가능
  • 화이트리스트가 안전하지만 통신 정보를 상세히 알아야 하고 많은 인력 필요하므로, 인력 부족한 경우 블랙리스트 기반으로 정책을 수립하고 공격 데이터베이스를 최신으로 유지하는 방법이 좋음
• 탐지 에러 타입
  • 정탐 : 공격이라 추론했는데 실제 공격인 경우, 공격이 아니라고 추론했는데 실제 공격이 아닌 경우
  • 오탐 : 공격이라 추론해서 패킷을 드롭했지만 실제로는 공격이 아닌 경우
    • 예외로 처리해 오탐을 줄이는 튜닝 작업 필요
  • 미탐 : 공격이 아니라고 추론했는데 실제 공격인 경우

보안 솔루션 종류

• 보안 솔루션은 방어 가능한 범위가 달라서 새로운 형태의 장비가 출시되더라도 기존 장비+α
• 여러 단계로 공격을 막도록 인라인 상에 여러 장비 배치

DDoS 방어 장비

• DoS 공격
  • 공격 목표에 대량의 트래픽이나 요청을 보내서 부하를 발생시켜 서비스를 방해하는 공격
  • 단일 컴퓨터 또는 단일 네트워크에서 공격을 수행하므로 짧은 시간 안에 탐지, IP 주소 기반으로 방어 가능
• DDoS 공격
  • 여러 대의 컴퓨터(주로 감염된 봇넷)로 동시에 공격
  • C&C 서버 : 악성코드, 봇넷에 감염된 좀비 PC를 원격으로 제어하기 위해 사용하는 서버
• 볼류메트릭(Volumetric) 공격
  • 회선 사용량이나 그 이상의 트래픽을 과도하게 발생시켜 회선 사용을 방해하는 공격
  • 회선을 공급해주는 ISP 가장 바깥에 위치해서 공격을 완화시켜야 함

방화벽

• 일반적으로 DDoS 방어 장비 바로 뒤에 놓는 네트워크 보안 장비
• 3, 4계층 정보 기반으로 정책 세워서 패킷 필터링
• 다른 보안 장비보다 비교적 간단히 동작

IDS(Intrusion Detection System:침입 탐지 시스템), IPS(Intrusion Prevention System:침입 방지 시스템)

• 기존에는 구분했지만, 최근에는 IPS로 통칭
• 방화벽에서 방어할 수 없는 다양한 공격을 방어하는 장비
  • 규격을 따르지 않는 비정상적인 프로토콜 동작
  • 웜공격
    cf. 웜 : 스스로 복제하여 네트워크를 통해 퍼지는 악성 코드
  • 스캐닝(포트, 네트워크) : 공격자가 취약한 부분을 찾기 위해 여러 포트나 IP 주소 자동으로 검색
• 사전에 공격 데이터베이스를 제조사나 위협 인텔리전스 서비스 업체에서 제공받아서 이를 기반으로 차단
  • 블랙리스트 기반
  • 위협 인텔리전스 서비스 업체 - 사이버 보안과 관련된 최신 위협 정보를 수집, 분석, 제공하는 업체
• 최근에는 방화벽과 IPS를 통합한 DCSG 장비 사용이 늘어남

WAF(Web Application Firewall)

• 웹서버 전용 보안 장비로 HTTP, HTTPS 웹 프로토콜 공격 방어
• IPS 장비보다 범용성은 떨어지지만 웹 프로토콜에 대해서는 더 세밀히 방어 가능
• 사용자와 웹 어플리케이션 사이에 위치, 프록시처럼 동작
  • IPS에서 방어할 수 없는 IPS 회피 공격 방어
    • IPS는 패킷 단위로만 처리하여 개별 패킷을 탐지
    • WAF는 패킷을 재조합하여 전체 데이터를 처리, 회피 공격 쉽게 만들기 어려움
  • 데이터 수정 및 추가
    • 공격 트래픽을 방어만 하지 않고 공격자에게 통보
    • 민감한 데이터 제거,마스킹 해서 전달
    • IPS는 통보 불가, 전체 공격 내용에 대한 차단만 가능

샌드박스

• 의심스러운 파일이나 프로그램을 안전한 가상 환경에서 실행하여, 실제 시스템에 영향을 주지 않고 악성 여부를 분석하는 방식
• 사용 예시
  • 첨부 파일이나 다운로드된 파일이 악성인지 아닌지 판단할 때, 파일을 먼저 샌드박스에서 실행해 보고 결과에 따라 사용자에게 알림을 주거나 파일 차단 (기업 보안 솔루션)
  • 보안 연구: 악성 코드 분석가들이 새로운 악성 프로그램을 연구할 때, 샌드박스를 사용해 안전하게 분석
  • 기존 보안 솔루션에서 탐지되지 않는 새로운 악성 코드 탐지 가능

VPN(Virtual Private Network)

• 기존에는 별도의 VPN 서비스 제공하는 하드웨어가 있었지만 대부분 방화벽이나 라우터 장비에 VPN 기능 포함
• IPSEC
  • 네트워크 연결용
  • 원본 패킷 전체 암호화해서 새로운 패킷으로 캡슐화, VPN 터널 통해 두 네트워크 간 통신에 사용
• SSLVPN
  • 사용자가 내부 네트워크에 연결할 때 주로 사용
    ex. 회사 외부에서 회사 내부 네트워크에 접속(원격 근무)

방화벽

• 네트워크 중간에 위치해 해당 장비를 통과하는 트래픽을 사전에 주어진 정책 조건에 맞추어 허용하거나 차단하는 장비
• 네트워크에서 보안을 제공하는 장비를 넓은 의미에서 모두 방화벽으로 볼 수 있지만,
  일반적으로 방화벽은 네트워크 3,4계층에서 동작하며 세션을 인지하는 상태 기반 엔진(Stateful Packet Inspection, SPI)으로 동작
  • 상태 기반 엔진 : 세션을 인지

초기 방화벽

• 초기 방화벽에는 SPI X
• 상태값 없이 장비에 등록된 정책만으로 단순히 패킷 필터링
  • 단순히 ip 주소, 포트번호 확인
  • 참고하는 조건 5-튜플(소스 ip/포트, 목적지 ip/포트, 프로토콜 번호-tcp:6, udp:17)
• stateless 방화벽 or 패킷필터 방화벽이라고 함
• 지정된 구간에서 간단한 정책을 정의할 때는 문제가 없지만 인터넷 통신과 같이 불특정 다수 기반의 정책을 정의할 때는 복잡해지고 보안 약화됨
• 그럼에도 부하가 적고 간단히 동작해서 완전히 없어지지 않고 특수한 기능을 위해 남겨놓음
  • 지정된 ip를 방어하는 블랙리스트 처리를 위해 SPI 엔진과 상태 기반 엔진을 같이 동작시키기도 함
    
• 사용자가 특정 외부 웹(20.20)에 접근 가능
• 특정 웹에서 오는 모든 응답을 허용(요청에 대한 응답 규칙 별도 설정)
• 패킷 필터 방화벽에서 목적지가 불특정 다수의 웹으로 설정하면 외부로 나가는 모든 패킷을 허용
  (출발지: 10.10 / 목적지: Any / 서비스포트: Any / 접근: 허용)
• 하지만 이에 대한 응답 규칙을 설정할 수 없음 - 보안 매우 취약
  (출발지: Any / 목적지: 10.10 / 서비스포트: Any / 접근: 허용)

현대 방화벽 (SPI 엔진)

• 통신의 양방향성을 인지하지 못하고 단순히 패킷의 조건 일치만 검사하는 초기 방화벽의 한계 극복 위해 개발
• 현재 '방화벽'이라 부르는 모든 장비는 세션 기반을 동작하는 SPI 엔진 탑재
  
• SPI 엔진은 패킷의 인과 관계와 방향성(연결 흐름)을 인지
  • TCP 헤더의 컨트롤 플래그(SYN, FIN...)
  • UDP는 SPI 불가
• 내부에서 외부 인터넷으로 통신을 시도해 받은 응답(허용)과 외부에서 내부로 직접 들어오려는 패킷(차단) 구분 가능
• 방화벽이 많은 곳에서 사용되자 공격 목표가 시스템이나 계정 탈취 -> 서비스 중단으로 변경되고 DDoS 공격이 트렌드가 됨

방화벽 동작 방식

• 모든 방화벽의 동작 방식과 일치하지는 않지만 가장 기본적인 동작 방식임
  
• 세션 테이블에는 현재 활성화된 연결에 대한 정보
• 포워딩 테이블에는 라우팅, ARP 테이블 포함
• 방화벽 정책은 맨 위부터 최종까지 확인한 후 없을 때 암시적인 거부 규칙을 참고해 차단
  • 암시적 거부 규칙 : 어떤 정책에도 허용되지 않은 패킷은 자동 차단

IPS

• 애플리케이션 계층에서 이루어지는 공격을 탐지(IDS), 방어(IPS)

동작방식

패턴 매칭 방식

• 공격 데이터베이스(시그니처)를 습득해 공격 파악/차단
• IPS 기능의 대부분 차지
• 대부분의 IPS 생산 업체는 만 개 이상의 공격 데이터 보유, 정기 업데이트 1~n일
• 일종의 블랙리스트 기반 방어 기법
  ex. 코드 레드 웜 - 공격 스트링을 웹 서버에 보내서 감염, 좀비 역할로 퍼져나감
  이런 공격 데이터가 데이터베이스에 존재

어노말리 공격 방어

• 패턴 기반 방어는 극미한 변화만 생겨도 적절한 대응 불가능
• 패턴 기반의 공격 방어는 확실히 공격인 것만 방어했다면
  어노말리 기법은 확실한 공격이 아니여도 특정 기준 이상의 행위를 이상하다고 판단하고 방어

프로파일 어노말리

• 관리자가 정해놓은 기준이나 IPS 장비가 모니터링해서 정해진 기준과 다른 행위가 일어나면 공격으로 판단
• 평소 트래픽 양, 사용 빈도, 시간대 등을 학습하여, 평소와 다르게 행동하는 트래픽을 이상 행동으로 간주
• 웜공격 방어하는데 효과적
  웜이 감염되면 다른 타깃들을 추가로 감염시키는 행위를 반복하기 때문에
  트래픽이 평균보다 급증하고, 많은 외부 IP 대상으로 대량의 연결을 시도하는 패턴을 포착
• 향후 DDoS 방어 장비로 진화

프로토콜 어노말리

• 정상적으로 사용되는 프로토콜과 다른 방식으로 데이터가 전송되는 것을 방어
  
• 방화벽, NAT 기능 대중화되면서 직접 일반 사용자의 PC를 쉽게 공격할 수 없게됨
• 해커는 웹 서버나 이메일에 악성 코드를 올려놓고 내부 사용자가 악성 코드를 내려받아 직접 실행하도록 유도
• 사용자의 PC에서 실행된 악성 코드가 외부 C&C 서버와 연결되면 좀비 PC가 되고 이 연결로 사용자 정보 전달받고 해커의 지시에 따라 동작
• 좀비 PC가 정상적으로 서비스 요청하는 것처럼 동작해서(같은 IP, 포트로 요청, 응답) 일반 방화벽에서는 감지 X
  
• 좀비 PC가 공격 통신을 할 때 잘 알려진 포트를 사용하지만 실제 그 포트에서 동작하는 프로토콜이 아닌 다른 프로토콜을 사용하는 경우가 흔함
• 잘 알려진 포트와 실제로 통신하는 프로토콜이 다를 때 IPS가 이것을 파악해 방어하는 것이 프로토콜 어노멀리

포트	프로토콜
80	HTTP
443	HTTPS
20, 21	FTP (파일전송)
25	SMTP (이메일 전송)
110	POP3 (이메일 수신)
53	DNS

• VNC(Virtual Network Computer)은 원격 데스크톱 공유를 위한 프로토콜
  사용자가 네트워크를 통해 다른 컴퓨터의 화면을 보고, 직접 조작할 수 있음 (원격 접속)
  일반적으로 5900 포트 사용

DDoS

볼류메트릭 공격

• 볼류메트릭 공격은 DDoS 공격 타입 중 가장 빈번한 공격
• 충분한 좀비 PC를 확보하지 못했거나 더 강력한 DDoS 공격을 위해 증폭 공격을 함
• 공격자가 상대적으로 적은 대역폭으로 중간 리플렉터에 패킷을 보내면 이 트래픽이 증폭되어 피해자 네트워크에 수십~수백 배의 공격 트래픽이 발생
  • 보통 리플렉터로 DNS 서버 사용함(DNS 증폭 공격)
    
• 볼류메트릭 공격은 회선을 사용하지 못하게 방해하는 공격이므로 회선을 공급해주는 ISP 내부나 사용자 네트워크 최상단에서 완화해야함
• DDoS 장비를 보유하는것도 중요하지만 혼자서는 대부분 방어 불가능하므로 ISP 통한 방어나 Cloud DDoS 솔루션을 통해 서비스 네트워크로 트래픽이 직접 도달하지 못하게 조치해야 함

ISP 통한 방어

• DDoS 방어 장비 배치
  • 인라인 배치
    • 모든 트래픽 통과
    • 방어 장비가 실시간으로 모니터링, 필터링, 공격 차단
    • 지속적이지만 성능저하 우려
  • 대피경로 배치 (위 이미지)
    • 평소에는 직접 서버에 도달
    • 공격 발생 시 대피경로로 우회
• 대부분 ISP는 두 개 같이 사용하는 것 같음 (kt보안백서)
  

Cloud DDoS 솔루션

• 주로 클라우드에 호스팅된 웹 서버 대상
• 실제 서비스 서버 전에 위치해 문제가 없는 요청만 서버로 전달
• 클라우드 서비스 제공업체가 이미 DDoS 공격 방어를 위한 인프라와 기술을 내장하고 있기 때문에 호스팅하는 기업들은 별도의 하드웨어 장비를 구매하거나 관리할 필요 없음
• 실제 서비스 네트워크의 주소, 즉 데이터 센터의 서버 주소가 가려져서 보안 강화

VPN

• 인터넷과 같은 공중망을 전용선처럼 사설망으로 사용하기 위해 도입하므로 강력한 보안 필요
  → IPSEC, SSL 처럼 암호화 프로토콜 주로 사용, 해커가 패킷을 봐도 해석 불가능
• IPSEC VPN 연결 구성도
  
  • 일반적으로 네트워크-네트워크(본사-지사) 연결에 사용
  • 두 네트워크 모두 IPSEC VPN 기능을 지원하는 네트워크 장비 필요
• SSLVPN 연결 구성도
  
  • 사용자가 네트워크에 접속하는 경우(본사-사용자)
  • PC/모바일 단말과 같은 원격지의 사용자는 별도의 네트워크 장비 없이 VPN 연결 가능
• 개인은 사이트 우회, 특정 국가 결제 등 다양하게 VPN 사용중
  
• 단순한 우회 뿐만 아니라 공중 무선망 사용 시 해커의 공격을 암호화로 방어 가능