보안 위협 세미나 Part 3 - 보안솔루션 / VPN

◈ 기본적인 보안 위협형태

 ► 데이터 채집 : 암호화

 ► 데이터 갈취 

 ► 데이터 위/변조 : Hashing

 ► (분산)서비스 거부 공격

 

◈ 최근 보안 위협 요소의 변화

 ► 역할 분담 :Coding/Biz/Finance 을 통한 사이버 범죄 산업 형성

 ► 웨일링(Whaling) : Value있는 사람을 타겟으로 하는 피싱

 ► 스피어 피싱 : 불특정 다수??

 

◈ 보안 솔루션 도입 고려 사항

 ► 방어의 깊이

    ▪ 한가지 공격에 대해서 얼마나 방어할 수 있는가?

 ► 방어의 범위

 

◈ 완벽한 보안이 아니라, 보다 안전한 보안을… (완벽한 보안은 없음)

 

◈ 라우터 ACL vs 방화벽

 ► 소스포트는 1024이상의 정의되어 있지 않은 포트로 사용.(서비스 요청자 입장)

 ► 라우터는 기본적으로 Port 정보(L4)를 보지 않고 서비스.

 ► 방화벽은 TCP State를 관리.

      S: 1.1.1.1 : 1784   /  D : 2.2.2.2 : 80    interface in->out

      정보를 유지해서 외부로 나갔다가 들어오는 패킷은 허용.

 ► State 정보를 확인하는 것이 중요. (각 포인트 지점에서 : 세션이 맺히는지)

 ► 방화벽은 들어오는 트래픽에 대해서는 State에 대해서만 확인. (Payload에 대해서는 확인 안함.: default)

 

 ◈ 최근 바방화벽 기술

 ► 라우티드 모드 : 라우터 기능(라우팅)을 함께 수행해야 함. 네트워트를 분리해야 할 경우에 사용

 ► 트랜스페어런트모드 :

 ► 한대의 방화벽을 다수의 가상 방화벽으로 나누어 쓸 수 있는 Multiple-Context 기능

      : 투자대비 ROI를 높이는 방법

 ► L4 정보 이외의 L7정보를 분석할 수 있는 Application Inspection 기능

 ► DDoS 공격을 원천적으로 차단하는 Botnet 필터링(좀비 차단) 기능

 

◈ 라우티드모드 vs 트랜스페어런트 모드

 ►

 

◈ Multiple Context : Cisco에서만 현재 구현 가능.

 ► 각각의 컨텍스트에서는 각각의 보안 룰, 라우팅, NAT 정책을 서로 간 영향 없이 설정 가능

 ► 각각의 컨텍스트는 정해진 리소스를 넘어 다른 다른 컨텍스트에 영향을 주어서는 안됨.

 ► 사례 : IDC 내 입주 고객별로 독자적인 방화벽을 제공하는 서비스

           조직내 서로 다른 관할 부서에게 방화벽 설정 권한을 제공하는 경우(ex: 그룹사 DMZ서버 영역)

 

◈ Application Inspection – HTTP

 ► 관리자의 보안 정책 : 외부로 나가는 트래픽은 웹 트래픽만 허용한다.

      ▪ Payload : 분석해서 실제 허용된 웹 트래픽인지 확인 (Payload의 Header만 관찰)

 

◈ Application Inspection – FTP

 ► 관리자의 보안 정책 : 외부로 나가는 트래픽은 웹 트래픽과 FTP 트래픽만 허용한다.

      ▪ 방화벽에서 Payload에서 어떤 포트로 데이터를 전송할 것인지 확인. (Active모드)

      ▪ Active Mode : Control은 클라이언트에서 나가고, Data 전송은 서버에서 나감.

    ▪ Passive Mode : Control과 Data전송 모두 클라이언트에서 나감.

 

◈ DDoS/DoS 공격원리

 ► 나가는 곳은 정책을 거의 걸지 않음.

 ► 내부망에 공격자의 아이피가 숨겨져 있다가, 외부의 공격자로 연결을 맺으면 들어오는 경우 내부로의 접속이 허용이 가능함.

 ► DDoS 공격 시 법적의 책임은 Botnet 쪽에서 책임을 지게 됨. (보안을 제대로 적용하지 않았기 때문에)

 ► DDoS 대책

    ▪ Botnet : 감염이 되지 않도록 최선을 다함. (Ex : Security Agent (Cisco))

    ▪ Bontet Filter : 좀비 차단 기능

    ▪ 대규모 보안 관제팀

 

◈

► pps : 가장 작은 패킷을 보내서 확인

► bandwidth : 가장 큰 패킷을 보내서

► CPS(Connection Per Second) : 중요…

► 현재는 수 많은 세션을

► 방화벽의 대역폭

 차이 이외의 CPS의 성능이 중요.

   ▪ L4와 방화벽 사이의 CPS와 Bandwidth 등이 맞아야 효과적인 성능을 발휘..

 

◈ VPN 개요

► 보안성이 없는 네트워크를 통해 보안 통신을 하는 기술

  ▪ Authenticity

  ▪ Integrity

  ▪ Confidentiality

► 방식

  ▪ Remote-Access : 사용자가 기업네트워크에 붙는 방식

  ▪ LAN-to-LAN : Branch Office 와 기업네트워크(VPN HUB)와 붙는 방식

 

  ▪ 양방향 VPN :

  ▪ 단방향 VPN : 한 쪽에서 접속 요청시 Hub쪽에서 VPN 설정 값을 Spoke(사용자)로 자동 Push 됨.

-          내부 IP 주소/Netmask

-          내부 DNZ & WINS

-          Split Tunneling 여부

-          IP Sec Transforms

 

◈ VPN 암호화 알고리즘 : ▪ Confidentiality

► 대칭형 암호화(Symetric Encryption)

 ▪ 양쪽에서 같은 Key 가지고 암호화/복호화

 ▪ 단순하기 때문에 속도가 빠름.

 ▪ 주로 데이터 암호화에 사용 (속도가 빠르기 때문)

 ▪ 사용방식 : DES(잘 깨짐-쓰면 안 됨), 3DES, AES

► 비대칭형 암호화(Asymmetric Encryption)

   ▪ 양쪽에서 서로 다른 key를 가지고 암호화/복호화 수행

   ▪ 두 키로 모두 암호화/복호화가 가능

   ▪ 속도가 느리기 때문에 주로 상대방 인증에 사용(Digital Signature)

   ▪ RSA Encryption(Public Key & Private Key)

 

◈ Hash 알고리즘 : Integrity와 관련

► Hash 란?

  ▪ 정해진 길이의 고유 값을 생성.(해쉬된 값은 중복되지 않음)

  ▪ Hash 자체만으로는 아무런 보안 기능이 없음.

  ▪ 해킹할 경우에는 원래 Data 값과 해시된 값을 함께 바꿔서 보냄. 상대방 측에서는 변조되었는지 알 수 없음.

► HMAC(Hash Message Authentication Code)

  ▪ Hash를 할 때, 고유 Key를 넣어서 Hash를 돌림.

  ▪ Key를 모르면 Hash를 맞출 수 없음

  ▪ MD5, SHA-1 : 현재 HMAC를 사용 중인 암호화

 

 

◈ DH(Diffie-Hellman) 알고리즘 : Shared Key가 생성

► DH 알고리즘?

  ▪ 보안이 안된 통신 채널을 통하는데도 결과적으로 둘만이 알고 있는 비밀 공유 키를 생성하는 신기한 알고리즘.

  ▪ 중간에 스니핑을 해도 소용이 없음.

  ▪ 이 키는 Symmetric Encryption 또는 HMAC(Hash)에서 사용 됨.

 

 

◈ Split Tunneling : 편의성과 퍼포먼스에 영향

► 내부망 이외의 목적지로 접속 시 VPN head-end를 통하지 않고 직접 통신을 허용하는 것.

► 설정을 하면 : 보안홀이 생길 수 있음.

► 설정을 안하면 : 무조건 Head-end를 통해서 접속하게 됨. 외부에서 VPN Head-end로 들어오는 것을 막음.

   ▪ 퍼포먼스가 떨어짐. (병목현상 / 불필요한 암호화)

 

◈ IKE/IPSec 쉽게 이해하기

► IKE Phase 1: 노출되는 과정

  ▪ 상대방 검증(Phase2에서는 검증하지 않음)

  ▪ IKE Phase 2를 위한 준비 단계

  ▪ Phase1을 마치면 “ISAKMP SA”라는 것이 생성됨. (i.e IKE Tunnel)Tunnel= Security Association

 

► IKE Phase 2: 보호되는 과정

  ▪ 데이터 암호화를 위한 준비 단계

  ▪ Phase 2를 마치면 "IPSec SA"라는 것이 생성됨. 

 

Phase 1		Phase 2
Transform		넌누구니?(X)/Key는?(set)/How(사용)
`Key(DH)이용 key교환	Auth(넌누구니?)		IP Sec 터널 Data가 이용하는 터널
		Phase1 tunnel = 2KE tunnel생성

                         암호화 PFS : Perfect Forward Security             

      

  Phase1에서 사용한 Key는 Phase2에서 사용하지 않음. Key교환이 새로 이뤄지지 않음.

 

넌 누구니? Key는? 어떻게(암호화)할까? : nego..

 

 

Aggressive (Key교환전에 Auth하기 때문에 보여짐)

넌누구니? Key? 어떻게?

 

 

 

◈ 추가적인 사용자 인증이나 IP 할당

1.

2. IKE Extensions ( Phase 1.5 : Phase 1이 끝나고 Phase 2 사이에 )

 

◈ SSL VPN

► 웹 서버와 브라우저 간의 보안 터널 생성

► 인증/암호화/무결성 지원

► 대부분의 브라우저 및 SSL VPN 클라이언트에서 구현

► 포트 443(TCP)을 통해 https:// 통신함

► 쉽게 클라이언트를 설치할 수 없는 경우에 다음과 같은 클라이언트 방식으로 구현.

▪ Clientless(클라이언트가 없는 방식) : 기본 웹 접속/ 이메일 / MS파일서버

▪ Thin Client(가벼운 클라이언트 설치 ) : 어플리케이션을 위한 포트 리다이렉션

▪ Client-based(클라이언트 설치) : IPSec Remote-Access VPN과 동일한 수준의 Full 터널링

 

 

◈ SSL VPN 도입 시 고려할 보안 사항

► 기본적으로 보안에 취약한 End-Point에서 접속한다고 가정.

  ▪ Key logger 조심! (대책 : 가상 키보드 사용)

  ▪ 파일유무 검사(백신 Dat 파일이 있는지 확인)

  ▪ Cookie, URL History, Cache, 임시저장파일 – 일괄 삭제 혹은 가상 데스크탑 환경을 제공 (확인 필요!)

 

◈ Remote-Access VPN 디자인 가이드

 ► 기업 내부망 접속 방법 : 방화벽 정책 / VPN Access

 ▪ 방화벽 정책은 사용자 인증이 되지 않기 때문에 방화벽 정책은 최소화 하는 것이 좋음.

 ▪ VPN 망으로만 들어오는 것은 보안 정책을 적용하기 힘듬.

▪ IPSec와 SSL은 하나의 장비에서 운영하는 것이 현재의 네트워크 추세에 맞음. 혹은 방화벽까지 하나의 장비로 구현.