본문 바로가기

IT News/Security

완벽하게 안전한 망 분리를 구축해야 한다면, 망분리

반응형

완벽하게 안전한 망 분리를 구축해야 한다면

2013.08.02

APT(Advanced Persistent Threat). 적들에게 완패한 기업들은 미래의 위협에 대응하기 위한 방책을 찾고 있다.

필자는 패치 강화와 화이트리스트(Whitelist) 사용을 권장한다. 필자가 지겹도록 반복했듯이 이 두 개의 대책으로 대부분의 경우에 악성코드 공격의 성공 가능성을 99% 낮출 수 있다.

하지만 그 누구도 필자의 주장에 귀를 기울이지 않는다. 대부분의 기업들은 다른 것들에 집중하고 있다. 때로는 보안성이 높은 '크라운 주얼(Crown Jewel)' 네트워크 구축이 보안계획에 포함되기도 한다.

망 분리 네트워크 효과는 다음과 같다. 해당 기업은 모든 서비스의 목록을 작성하고 가장 중요성이 높은 것을 파악한 후, 최선을 다해 해당 자산을 보호한다.

보호하고자 하는 자산에는 임무 수행에 필수적인 애플리케이션 또는 서비스, 이를 지원하는 서버와 인프라(액티브 디렉토리(Active Directory), DNS, 사용자 계정, 서비스 계정, 네트워크 장비 등), 애플리케이션 또는 서비스에 연결되는 모든 워크스테이션 등이 포함된다.

참으로 많은 것을 고려하고 신경 써야 한다.
기본적으로 기업내에 가장 가치있는 자산을 일컫는 크라운 주얼(Crown Jewel) 자산은 훨씬 높은 수준으로 보호해야 한다는 생각이 깔려있다. 문제는 보호 방법과 몇 개의 크라운 주얼 네트워크가 필요하냐는 것이다.

대부분의 APT 공격에서 악당은 결국 액티브 디렉토리 도메인 컨트롤러에 침입해 모든 암호 해시(Hash)를 가져가고, 해시통과 툴을 사용해 네트워크를 완전히 장악한다.

대부분의 기업들은 하나 이상의 개별적인 추가 네트워크를 구축해 하나의 도메인 컨트롤러에 침입했을 때 다른 기업 자산을 보호하고 싶어한다.


이제 향상된 보안영역으로 진입하자


크라운 주얼 네트워크의 아이디어가 이상한 것은 아니다. 많은 기업들이 최소한 하나를 소유하고 있으며, 모든 미군 부대에서는 복수의 보안 네트워크를 수십 년 동안 사용하고 있다.

하지만 이와 동시에 지난 20년 동안 대부분 네트워크를 통합해 네트워크 수를 감소시킴으로써 비용과 관리 간접비를 낮출 수 있는 방법을 찾고 있다.

최근 APT에 대한 인식이 바뀌면서 기업 책임자들이 이전의 통합 트렌드를 다시 고려하고 있다. 이는 상당히 긍정적인 현상이다. 해시 통과 공격의 전제조건인 도메인 관리자 그룹의 영구 구성원을 없애는 것도 좋은 방법이다. 하지만 이것이 불가능하다면 복수의 보안 도메인을 생성해 위험을 줄일 수 있다.

더 많은 네트워크의 추가를 고려하고 있다면, 반드시 몇 개의 보안 도메인이 필요할 지를 먼저 생각해 봐야 한다. 많은 기업들이 새롭고 안전한 단일 크라운 주얼 네트워크를 구성하기도 결정하고 있으며, 거기에 임무 수행에 필요한 모든 서비스를 위치시키고 있다.

필자는 보안을 강화하면서 관리할 네트워크가 너무 많아 발생하는 간접비를 줄일 수 있기 때문에 이 모델을 좋아한다. 즉, 임무 수행에 필요한 모든 서비스는 실제로 모두 중요하며, 이것들은 같은 보안 정책 하의 같은 보안 도메인 내에서 관리하는 것이 좋다.

하지만 오직 하나의 완벽히 안전한 새로운 네트워크를 보유하기로 결정했다 하더라도 반드시 계획을 세우고 노력해 악당들이 침입을 위해 사용하는 기존의 방식이 네트워크에서 먹히지 않도록 해야 한다.


그렇지 않으면, 모든 노력이 수포로 돌아갈 것이다. 보안을 극대화하기 위해서는 인터넷에 연결되지 않는 완전히 물리적으로 고립된 미 국방성 스타일의 네트워크를 선택하는 방법도 있다.

대부분의 기업들은 매우 안전한 별도의 네트워크를 갈망하겠지만 별도의 케이블 또는 무선 AP(Access Point)를 운영하기 위한 비용과 시간을 감당할 수 없다. 절충안은 별도의 VLAN을 사용하는 것이다. VLAN을 분리해도 침입이 가능하기는 하지만 실제로는 그렇게 자주 일어나지 않는다.


어느 정도의 분리를 원하는가?


하나 이상의 새로운 분리된 네트워크를 구축할 때의 핵심은 사용자, 기기, 기타 자원의 권한을 어떻게 설정할 것인가다.

단일 네트워크의 경우, 권한 설정은 일반적으로 HR 시스템에 태그로 처리된다. 직원을 고용하면 새로운 직원의 사용자 계정을 도메인에 추가하는 수동 또는 자동 프로세스가 시작된다.

이 프로세스가 자동으로 이뤄진다면 '신뢰의 루트(Root) 시스템(권한 설정 시 신뢰하는 시스템)'은 어디에 위치해야 할까?

예를 들어, 신뢰의 루트 시스템을 본래의 침입이 가능한 네트워크에 남겨둔다면 안전한 새로운 네트워크에 서비스를 제공하도록 허용할 수 있을까? 이는 정답이 아니다.

다른 방법이 아니라 데이터를 통합성이 낮은 시스템에 제공하는 통합성과 신뢰도가 높은 시스템을 신뢰할 수 있다.

현실적으로 대부분의 기업들은 선택권이 없다.
대신 두 가지 차선책이 존재한다. 침입 가능성이 있거나 새로운 침입이 발생할 수 있음을 알면서도 신뢰할 수 없는 루트 시스템이 도움을 주도록 허용하거나 비용이 많이 발생하고 시간에 따라 유지가 힘들어지지만 모든 새로운 네트워크를 위한 새로운 루트 시스템을 구축하는 방법이 있다.

사실, 이 결정은 네트워크를 추가할 때마다 내려야 한다. 새로운 네트워크가 기존의 네트워크에서 기존 하나 이상의 서비스를 사용할지, 아니면 완전히 새로운 서비스에만 의존해야 할지 결정을 내려야 한다.

네트워크 운용에 필요한 서비스로는 권한 설정, 지원센터, 보안, 사건대응, 감사, PKI, 이메일, 인쇄 등이 있다.

정확히 기존 네트워크의 어떤 서비스가 새로운 네트워크에서 필요한지 파악할 때, 대부분의 기업들은 새로운 그룹의 추가를 고려할 수 있지만 진정으로 분리된 네트워크를 구축하는 것은 보기보다 어렵다는 것을 깨닫게 된다. 더욱 안전한 네트워크에 대해 논의해야 하는 모든 팀들이 동원되어 비효율이 발생하는 것이다.


실질적 침입


일반적으로 기업들은 공유 서비스를 기존의 보안 도메인에 남겨두는 모델을 구축하거나 다른 모든 네트워크에서 공유하는 하나의 새로운 네트워크를 구축하게 된다. 또한 하이브리드 구축도 가능하다. 일부 네트워크는 공유 서비스를 두고 다른 네트워크에는 두지 않는 것이다.

각각의 새로운 네트워크에 서비스를 복제하기로 결정한 기업은 소수에 지나지 않았다. 대체적으로 이런 류의 결정은 쉽지 않다. 사실, IT가 내리는 결정 가운데 가장 어려운 결정에 해당한다 해도 과언이 아니다.

하나 이상의 새로운 네트워크를 보유할 지에 대한 결정은 각 기업, 그 문화, 위험에 대한 관용의 수준에 달려있다. 정답은 없다. 적절하다고 생각되는 것을 고르면 그만이고, 모든 것이 장단점은 있게 마련이다.

물론, 추후에 디자인을 변경할 수 있다. 사실, 이것은 첫 번째 디자인의 알려진 결과물에 작성한다. "필요한 변경사항은 첫 번째 것에서 배운 교훈에 따라 결정한다."

만약 필자에게 무엇을 할 지 질문한다면 매우 안전한 네트워크를 구축하는데 시간을 보내는 대신에 처음

어떻게 침입을 당했는 지에 초점을 맞출 것이다. 이것이 훨씬 큰 가치를 얻고 이런 공격에 대응하는 최선의 

방어책을 강구할 수 있을 것이다. 이를 통해 진정한 보안 영웅이 될 수 있다.

어쨌든, 안전한 네트워크를 구축하려면 엄청난 노력이 필요하며, 진정으로 안전해야 한다면 두 배의 노력이

 필요할 수도 있다. 기존의 네트워크 말고 이런 노력이 들어가지 않는 방안은 무엇이 있을까? 

editor@itworld.co.kr                                                             출처 : http://www.itworld.co.kr









반응형