�ݺ�ߣ

기업 단말 관리의 이상과 현실
짶�니네트웍스(주) 김계연

김계연
• 공개소프트웨어, 프리랜서 프로그래머
• PC통신 에뮬레이터 신세대 개발
• 한글과컴퓨터, 두산정보통신
• 한컴네트, 인터피아 ISP 운영 및 개발
• Yahoo! Korea
• Chief Engineer, Yahoo Korea 서비스 런칭
• 어울림정보기술
• 연구소장, SecureWorks Firewall / VPN 개발
• 짶�니네트웍스
• 연구소장, Genian NAC / GPI 개발
• Technology
• C/C++, Network, Security, Application Lifecycle Management

환경적 변화
• 단말의 재정의
• IT기능이 포함된 사내의 모든 자원
• BYOD - 스마트폰, 테블릿 증가
• IoT - 비 IT기기의 IT기기화, 다양한 Things에 대한 전문지식 필요
• Mobility 환경
• 무선랜 필요성 증대
• Static IP 시대의 종말
• 다양한 운영체제
• Android, iOS, OSX, Tigen, WindowsPhone, BlackBerry…
• 지능화 고도화된 공격
• IoT형 공격 - 비 IT기기를 통한 공격 (전기주전자, 전자담배), Denial of Power
• 전력공급이 가능한 모든 자원에 대한 관리필요
• East - West 공격 증가

단말기반 보안의 한계
• 다양한 운영체제 지원의 어려움
• 윈도우즈 위주의 단말보안: 윈도우즈 점유율 하락
• 운영체제간 구현방식 보안수준의 차이
• 모든 운영체제 지원 현실적 한계
• 사용자권한의 변화
• 슈퍼유저 권한 미소유: Active Directory, iOS, Android
• 전통적 보안기능 불필요: iOS의 App간 독립, KNOX - Sandbox
• 보안기능 제공 제한적
• 중앙관리 부재
• IT관리자 확인없는 운영체제 패치
• 새로운 IT 트랜드 지원의 어려움
• 클라우드, 가상화, IoT

단말보안의 새로운 흐름
• 단말에 대한 가시성
• BYOD, IoT 단말에 대한 식별 - 사용자, 플렛폼, 타입, 연결방식
• 단말+네트워크 융합보안
• 단말 소프트웨어 기반 분석 및 제어의 한계
• 단말, 네트워크 독자적인 보안시스템에서 융합형 보안시스템으로 전환
• 단말에서는 정보수집, 제어는 네트워크에서
• 다양한 운영체제 지원에 적합
• 사람 및 프로세스 중심
• 시스템 위주의 단말보안에서 사람중심, 프로세스중심의 보안으로 전환
• 사용자 보안인식 향상이 가장 중요

단말 정보수집
• 에이전트기반 정보수집
• 전통적인 설치형 에이전트기반 정보수집
• 하드웨어, 소프트웨어, 연결장치, 프로세스, 사용자, 보안설정
• 네트워크기반 정보수집
• 플렛폼 비종속
• Active / Passive
• Wired / Wireless
• 사용자, 어플리케이션, 컨텍스트(트레픽, 첨부파일)
• 표준기반 정보수집
• Active Directory
• WMI: Windows Management Interface
• iOS MDM Profile
• 보안시스템 연계
• 기존 보안시스템에서 수집된 정보를 NAC/SIEM등에 제공하여 통제 및 모니터링

제어 통제 방법의 변화
• 동적 단말 제어
• 고정된 보안정책으로 통제불가
• 식별기반, 관리자 인가, IT시스템 연계
• Multi-layer Enforcement
• 에이전트: 사용자알람, 장치차단, 운영체제 설정
• 네트워크: Filtering, Poisoning, Terminating
• 인증: 802.1x, MAC Authentication Bypass
• 연동: Firewall, UTM, VPN, 기타보안제품
• 기존 네트워크기반 제어의 한계
• Inline Firewall, Connection Reset: 경계망 제어의 한계
• Switch ACL: 동적제어의 어려움, Stateless
• 802.1x, MAB, VLAN Steering: 서비스별 제어 불가
• SDN (Software Defined Networking)
• End to End 접근제어에 가장 적합
• OpenFlow, OpFlex, OnePK, VMWare NSX, OpenStack Neutron

Software Defined Networking (SDN)
• 네트워킹에서 전송과 제어를 분리
• Control Plain: 패킷의 흐름경로를 판단하는 Software
• Data Plain: Control Plain에 의해서 결정된 흐름경로에 따라 패킷을 전달
• 고성능 방화벽/L4 Switch에서 이미사용 (Fast Path / Slow Path)
• 네트워크 자동화
• 네트워크 확장, 변경에 대한 자동대응
• 새로운 서비스에 대한 대응력 강화
• 사용자가 스스로 프로그래밍
• 비용절감
• 어플리케이션 성능 확장과
데이터 플레인 성능확장을 분리
• 밴더 종속성 탈피

단말보안과 SDN
• SDN을 통한 단말 Access Control
• 비인가 단말에 대한 차단 또는 서비스제한
• End to End Firewall
• SDN을 통한 Deep Packet Inspection
• DPI가 필요한 특정한 단말, 서비스에 대한 패킷만 모니터링
• L4 Switch / Smart TAP 역할 대체
• Pure SDN
• 네트워크 기능 전체를 SDN화
• 가상네트워크, L2 Edge 네트워크
• Hybrid SDN
• 일반 네트워크 기능은 기존대로 유지, ACL을 SDN으로 구현
• 네트워크 안정성 유지, 장애시 빠른대처

SDN 기반 단말보안의 미래
• SDN on Edge Network
• 아직은 고가의 SDN Switch. 저렴한 Whitebox Switch필요
• 세션기반 제어를 위한 Flow Table 한계
• WAN 환경을 위한 Low Latency SDN 콘트롤러 필요.
• NFV (Network Function Virtualization)
• 전용 Network Appliance 대체
• Software Defined Security시대 도래
• NFaaS (Network Function as a Service)
• 임대형 보안서비스
• 가상화, 클라우드 환경 IT보안의 새로운 페러다임
• ON.LAB ONOS (Open Network Operating System)

무선 네트워크 환경
• BYOD, IoT 환경으로 인한 무선랜 요구 증대
• Tablet / eBook Reader등 WiFi Only 장비 증가
• 보안 이슈로 인한 무선랜 서비스 미제공
• Rouge AP 증가
• 개인적으로 무선랜 AP설치
• 노트북, USB무선랜 카드를 이용한 SoftAP 증가
• 무선기반 공격 증가
• Open AP를 대상으로한 공격: 스마트폰 App, 전기주전자, 드론
• SSID Spoofing, 공개 AP 가장 (iptime, SK, olleh, U+…)
• BYON (Bring Your Own Network)
• IoT로 인한 개인 네트워크 증가
• 개인 Hotspot, 테더링, Bluetooth
• 무선네트워크 가시성 확보 필요

무선랜 보안시스템
• 무선 네트워크 보안시스템 필요
• WIPS: 무선네트워크 가용성 보장
• WNAC: 무선네트워크 접근제어
• 고가의 무선보안 시스템, 무선제어의 위험
• 보안센서 설치의 어려움
• 에이전트 기반 무선 보안시스템 필요
• 사용자의 PC를 무선보안시스템 센서로 활용
• 에이전트 / 유선 네트워크 기반 제어
• SoftAP 감지
• 낮은 도입비용, 높은 효율
• 위치기반 보안
• 물리적 위치추적, 분실방지
• Geo Fencing
• WiFi, GPS, BLE(Bluetooth Low Energy)

사람 중심 보안
• 사회공학적 공격
• 보안시스템으로는 문제를 해결할 수 없음.
• 보안 자동화의 함정
• 보안을 보안 담당자의 일로 인식
• 책임의 주체: 보안담당자 vs 사용자
• 보안진단
• 자가진단: 사용자 스스로 점검, 사용자 스스로 문제 해결
• 불시진단: 불특정 시점에 자동점검하여 준수상태 확인
• Compliance: 사이버보안 진단의날, 정보통신 기반시설 점검, ISMS…
• 보안인지
• 보안공지: 보안서약, 사용자동의, 보안알림
• 보안평가: 보안지식, 규정인지확인등
• 보안포털: 사용자 보안수준확인(기업/조직), 경쟁심 유발

Better Together
• 보안제품간의 밀접한 연계 필요
• 수집시스템 - 제어시스템
• 보안시스템 - 관리시스템
• 일반 IT 시스템 - 보안시스템
• 보안 Eco System 구축
• API
• SOAP/REST등 표준화된 연동방법 공개
• 제약없는 공개
• 보안제품 구매시 확인필요 (API제공여부, 라이센스)
• Geni Networks with Palo Alto Networks
• Geni: IP-User, Group 정보 제공
• Palo Alto: Reported Node 정보 제공

감사합니다.
slideshare.net/double73
double73@gmail.com

�ݺ�ߣ

제18회 해킹방지워크샵 기업 단말 관리의 이상과 현실

Recommended

More Related Content

What's hot (20)

Viewers also liked (20)

Similar to 제18회 해킹방지워크샵 기업 단말 관리의 이상과 현실 (20)

제18회 해킹방지워크샵 기업 단말 관리의 이상과 현실