정보보안의 원리
웹 416쪽 무료 · 종이책 B5 416쪽
정보보안의 원리 · 방향 3
© K-BOOKS · 무료 웹 열람용 콘텐츠입니다. 무단 복제·저장·인쇄·재배포를 제한합니다.
열세 번째 발걸음통과 조건과 탐지 조건을 실제 경로에 놓기
외부 고객은 웹 서비스를 이용해야 하지만 데이터베이스의 관리 기능까지 만질 필요는 없습니다. 방화벽은 이런 요구를 통신의 허용·거부 정책으로 적용합니다. 주소와 포트, 프로토콜을 보는 패킷 필터링에서 시작하여 연결 상태와 응용 정보, 확인된 사용자 정보까지 정책에 활용하는 방식이 있습니다. 무엇을 검사할 수 있는지는 실제 장비와 배치, 암호화된 구간과 연동 정보에 달려 있습니다.
상태 기반 방화벽은 각 패킷을 따로 보는 데 더해 기존 연결의 상태 표와 비교합니다. 내부에서 시작한 허용된 연결의 응답인지, 새로운 연결을 시작하려는 것인지 구분할 수 있습니다. 다만 TCP의 ACK 표시만 있다는 이유로 모든 패킷을 정상 응답으로 믿는 것은 아닙니다. 상태 추적의 구체적인 조건과 시간 제한은 구현에 따라 달라집니다. 연결이 성립해도 그 안의 모든 업무 요청이 적절한 권한을 가진 것은 아니어서 서버의 인증·인가가 여전히 필요합니다.
| 출발 구역 | 목적 대상 | 허용할 통신 | 목적 |
|---|---|---|---|
| 외부 고객 | 공개 웹 서버 | TCP 443 | 문서 서비스 이용 |
| 웹 서비스 계층 | 지정 DB 서버 | 업무용 DB 연결만 | 필요한 자료 조회·저장 |
| 승인된 관리 구역 | 지정 관리 대상 | 정한 관리 프로토콜만 | 운영 작업 |
| 그 밖의 경로 | 내부 보호 자원 | 원칙적으로 거부 | 불필요한 이동 제한 |
함께 따라가기 · 규칙이 실제 경계를 만드는지 확인하기
외부–공개 웹 구역–내부 DB 구역으로 구성한 가상 서비스입니다. 위 표는 정책의 의도이며 특정 제품의 완성된 설정 파일은 아닙니다.
각 허용에 실제 주소 범위와 포트, 프로토콜, 적용 방향을 넣습니다. DB 연결을 “웹에서 내부 모두 허용”으로 넓히지 않습니다. 이름으로 묶은 자원 그룹에 어떤 대상이 실제 포함되는지도 확인합니다.
순서에 따라 첫 일치 규칙을 적용하는 제품이라면, 위에 있는 넓은 허용 규칙이 뒤의 세밀한 거부를 가리는지 살핍니다. 모든 제품이 같은 순서 규칙을 쓰지는 않으므로 평가 방식을 먼저 확인합니다. 경로가 방화벽을 실제로 통과하는지도 대조합니다.
정상 웹 이용과 필요한 웹→DB 요청은 성공하고, 외부→DB 및 방문망→관리 대상 접근은 거절되는지 확인합니다. 양쪽 결과와 일치한 규칙·시각을 기록합니다. 규칙을 저장했다는 사실과 실제 적용된 결과를 구분합니다.
깨달음방화벽 정책은 업무 관계를 주소·프로토콜·방향과 실제 경로로 번역한 결과입니다.
외부에 공개할 서버를 내부 업무망과 분리한 구역을 DMZ라고 부릅니다. 공개 서버가 침해되더라도 내부로의 이동을 제한하려는 목적이므로 DMZ에서 내부로 가는 연결도 필요한 대상과 기능으로 좁혀야 합니다. VLAN은 하나의 스위치 기반에서도 링크 계층의 전달 범위를 논리적으로 나누는 방법입니다. 802.1Q 태그는 트렁크 링크에서 여러 VLAN의 프레임을 구별하는 데 쓰입니다. VLAN을 나누어도 라우팅으로 모든 구역을 자유롭게 연결하면 의도한 접근 제한은 생기지 않습니다.
구역 안에서도 서버나 애플리케이션의 실행 단위인 워크로드별로 통신 경계를 더 잘게 나눌 수 있습니다. 이런 접근을 마이크로세그멘테이션이라고 합니다. 같은 업무망의 두 서비스가 각각 다른 DB를 사용한다면, 한 서비스가 침해되어도 다른 서비스의 DB와 관리 기능까지 자유롭게 접근하지 못하도록 필요한 관계만 허용합니다. 자원 앞의 게이트웨이, 호스트의 방화벽이나 에이전트 등에서 이 정책을 실제로 집행할 수 있습니다. 작은 구역의 개수보다 어느 실행 주체가 어느 대상의 어떤 서비스에 접근할 수 있는지, 역할과 구성이 바뀔 때 정책이 함께 바뀌는지가 중요합니다. VLAN 이름만 더 많이 만든 것으로 이러한 통제가 완성되지는 않습니다.
IDS는 수집한 활동에서 침입 의심 징후를 찾아 알리고, IPS는 일반적으로 실제 통신 경로에서 정책에 따라 차단까지 수행하도록 둡니다. IDS도 다른 장비와 연동해 대응을 유발할 수 있어 기능을 절대적으로 나누지는 않습니다. 알려진 특징을 찾는 서명 기반 탐지는 명확한 패턴에 강점이 있지만 알려지지 않은 변형을 놓칠 수 있습니다. 정상 상태와의 차이를 보는 이상 기반 탐지는 새로운 변화의 단서를 얻지만 정상적인 업무 변화도 경보로 만들 수 있습니다.
IPS의 잘못된 차단은 정상 업무를 끊을 수 있습니다. 탐지 조건을 시험하고 관찰 모드의 결과를 살핀 뒤 필요한 규칙을 조정하며, 장애 때 통신을 계속 보낼지 중단할지의 결정도 가용성·위험에 맞추어 정합니다. WAF는 HTTP 등 웹 요청의 구조를 이해하여 웹 공격을 통제하는 기능에 초점을 둡니다. 일반 방화벽에서 TCP 443을 허용했다는 사실은 웹 입력의 안전을 검사한 결과가 아닙니다. WAF 역시 서버의 입력 처리·권한 검사를 대신 완성하지는 않습니다.
클라우드에서도 평가 위치를 읽기
VPC는 클라우드에서 논리적으로 분리한 네트워크 공간을 구성하는 방법입니다. 서브넷·경로 표·인터넷 및 다른 망과의 연결을 함께 읽어야 공개 여부를 판단할 수 있습니다. AWS의 보안 그룹은 연결한 자원의 트래픽을 상태 기반으로 제어하며 허용 규칙을 사용합니다. 반면 네트워크 ACL은 서브넷 경계의 상태 비추적 통제로, 규칙의 번호 순서와 허용·거부 및 응답 방향을 고려해야 합니다. 이는 AWS의 구체적인 모델이며 같은 이름이 다른 제공자에서 동일한 동작을 보장하지 않습니다.
예를 들어 상태 기반 보안 그룹에서 허용된 요청의 응답은 연결 추적 규칙에 따라 처리되지만, 상태 비추적 네트워크 ACL에서는 응답이 돌아가는 방향의 주소·포트 조건도 필요합니다. “클라우드에서 포트를 열었다”는 말은 어느 층에서 어떤 흐름을 허용했는지 없으면 불완전합니다. 호스트 방화벽과 서비스의 바인딩 주소까지 함께 확인하면, 네트워크 통제와 시스템 통제의 접점이 보입니다.
이 브라우저에 학습 기록을 저장합니다.