통합보안 이슈와 기업 정보보호, UTM이 딱이네

올 여름 장대비 퍼붓듯이 7월 7일 출처를 파악하기 힘든 정체불명의 DDoS 공격이 IT 강국이라 자부하던 대한민국에 거대한 DDoS 폭우를 퍼붓고 지나갔다. 이번 공격은 다수의 공공기관/ 기업을 타겟으로 한 지엽적인 공격이였지만, 이로 인해 국내 전체 인터넷 환경이 혼란에 빠졌다는 측면에서 지난 2003년 1.25 인터넷 대란과 흡사하다고 할 수 있다. 만약 공격 대상이 다수의 공공기관/ 기업의 홈페이지가 아닌 ISP 사업자의 DNS서버를 공격했거나, 요즘 한창 주가를 올리고 있는 VoIP 서버를 공격했다면, 그 여파는 1.25 인터넷 대란 이상 이였을 것이라고 생각한다. 이번 공격의 가장 큰 특성은 기존의 단순한 DDoS 공격과는 다르게 여러 가지 복합적인 공격이 잘 조합되어 시간차를 두고 매우 지능적으로 움직였다는 것이다. 또한 기존 DDoS 공격 유형에서 반드시 필요했던 CNC (Command & Control) 서버 없이 악성코드 자체에 스케쥴러 (Scheduler)가 내장되어 독립된 유기체처럼 동작하여 기존의 대응방식으로는 완벽히 방어하기가 어려왔다는 점이다. 이번 사태로부터 얻을 수 있는 학습효과는 인터넷 상에 잠재되어있는 보안위협은 끊임없이 진화하고 있고, 그 복잡성과 다양성 그리고 파괴력은 날이 갈수록 확대되고 있다는 것이다.

보안위협의 심각성에 대한 이해를 돕기 위해 간략하게 최근의 보안위협 동향을 살펴보도록 하자.

1. DDoS 공격의 손발이 될 수 있는 Zombie PC의 숫자가 급격하게 증가하고 있다.

한국정보보호진흥원의 통계보고서에 의하면 2007년 12월 말 전세계 악성 Bot 감염 PC IP수는 3만 개 수준 이였다. 이 숫자는 2008년 12월에 와서는 22만개 수준으로 10배 이상 폭증하였으며, 2009년 5월에는 75만개 수준으로 가히 기하급수적으로 증가하고 있다. 물론 이 수치가 지속적으로 폭발적인 증가세를 보일 것이라고는 생각하지 않지만, 향후에도 꾸준한 증가세를 보일 것이라고 예측된다. 문제는 인터넷 세상에는 우리 회사가 운영하는 웹 서비스를 마비시킬 수 있는 75만개의 좀비들이 존재하고 있다는 것이고, 이들은 누군가 마음만 먹으면 언제라도 악의적인 행위를 아무런 도덕적인 죄책감 없이 행동에 옮길 수 있다는 것이다.

2. DDoS 공격과 더불어 정상적인 웹서비스를 위협하는 웹 애플리케이션 취약점 공격 또한 그 심각성을 더해가고 있다.

웹 취약점을 이용한 공격의 목적은 사용자의 웹사이트 로그인 계정을 탈취하여 범죄에 악용하거나 웹사이트를 악성코드 경유지/ 유포지로 삼아 접속하는 PC를 2차 감염시키는 것이다. 웹사이트를 통해 2차로 감염됨 PC는 개인정보유출이나 DDoS 공격의 좀비 PC로 이용될 수 있다. 정보보호진흥원에 따르면 2008년 웹 취약점 공격 신규발생 건수가 8978건으로 2007년도 5551건에 비해 약 60%가 증가하였다. 웹 취약점 공격 중 가장 위세를 떨치고 있는 공격은 SQL Injection과 XSS (Cross-site Scripting) 공격으로 전체 웹 취약점 공격 중 약 40%를 차지하고 있다. 이러한 공격은 주로 개인정보가 밀집되어 있으나 보안이 허술한 중소규모 온라인 비즈니스 업체에 집중되고 있다. 웹 서비스가 비즈니스의 중심에 서게 되고, 그 비중이 증가할수록 그 취약점을 노려 부당한 이득을 취하려는 악의적인 공격은 계속 이어질 것으로 생각된다.

3. 2008년 한 해 동안 계속 이슈가 되어 왔던 것이 중국발 트로이목마의 급증이다.

안철수연구소에 의하면 2007년 신규 발견된 17,457개의 웜•바이러스 중 약 70%가 트로이목마로 집계되었다. 2009년 1Q에도 전체 웜•바이러스 중 약 60%가 트로이목마로 나타났다. 이러한 트로이목마는 주로 온라인 게임의 계정정보를 탈취하기 위한 목적의 Hack으로 이용되거나, DDoS 공격에 이용되는 좀비 PC를 양산하기 위한 목적으로 많이 사용되고 있어, 이로 인한 피해는 결코 좌시할 수 없는 수준이라 할 수 있다.

4. Internet Explorer의 취약점을 악용한 공격이 OS 취약점을 이용한 공격보다 많아지고 있으며, PDF, DOC, PPT 등 Application 취약점을 악용하는 악성코드도 급증하고 있다.

이는 악성코드의 공격 타겟이 전통적인 MicroSoft의 OS에 머무르지 않고, 다양한 Application으로 확산되고 있으며, 내 PC의 보안 허점이 증가하고 있다는 것을 의미한다. 이러한 악성코드는 웹사이트 접속을 통해서 감염되거나 이메일의 첨부파일을 통해서 감염되는 것이 일반적이며, 파일 실행 시 가짜 백신을 설치하거나 ARP Spoofing 공격을 하도록 프로그램화 되어있어 심각한 2차 피해를 불러 일으키고 있다.

7.7 DDoS 대란과 같은 국가 IT 근간을 뒤흔드는 공격이 발생하고, 각종 악성코드와 취약점을 악용한 공격이 지속적으로 양산되는 상황에서 기업/기관의 네트워크를 책임지는 게이트웨이형 네트워크 보안장비에 대한 관점도 크게 변하고 있다. 불과 몇 년 전 까지만 해도 네트워크 보안의 핵심은 방화벽과 VPN 이였다. 방화벽만 있으면 웬만한 보안위협은 막을 수 있다는 생각이 지배적이었고, 그 또한 크게 틀리지 않은 얘기였다. 하지만 80 port와 같은 대 고객 서비스를 위해 어쩔 수 없이 열어 놓아야 하는 대문을 통해서 다양한 악성코드와 공격이 비집고 들어오기 시작하면서 IDS와 같은 공격 탐지 시스템이 필요하게 되었고, 탐지 만으로도 부족하다는 인식의 전환이 일어나면서 차단까지 할 수 있는 IPS가 급격하게 시장을 형성하였다. 웹 서비스가 활성화 되면서 웹 취약점을 노리는 공격에 방어하기 위한 전용솔루션이 나오고, 최근에는 DDoS 공격만 전용으로 방어할 수 있는 솔루션도 활황을 이루고 있다. 하지만 기업/기관의 입장에서 이러한 다양한 종류의 네트워크 보안 솔루션을 모두 구비한다는 것은 구축 및 운영비용 측면에서 막대한 투자와 비용을 수반하게 된다. 투자/ 비용대비 효과성에 의문이 제기되는 부분이다. 또한 네트워크 게이트웨이의 계위를 증가시킴으로써 서비스의 Latency의 이슈를 야기할 수 있고, 장애 포인트가 증가함으로써 서비스 가용성에 심대한 악영향을 미칠 수 있다. 이러한 기업/기관의 문제의식으로부터 출발한 솔루션이 바로 통합보안솔루션이다.

통합보안솔루션은 한 장비에 방화벽, IPSec VPN, SSL VPN, IPS, DDoS 방어, Anti-Virus, Anti-Spam, 웹사이트 필터링, NAC 기능 등이 구현되어 있는 다재 다능한 네트워크 보안장비다. 보안위협 및 공격이 갈수록 복잡화 되고 다양해지는 환경에서 통합보안솔루션의 위상은 점차 강화되고 있다. 통합보안솔루션의 등장은 2000년 대 초•중반 외산제품인 FortiGate가 국내에 처음 소개되면서 시작되었고, 국내업체로는 최초로 2007년 중반 안철수연구소가 TrusGuard 제품을 출시하면서 본격적인 경쟁의 장을 마련하였다. 통합보안솔루션은 출시 이 후 수많은 업그레이드를 통해 다양한 기능을 흡수하였고, 멀티코어, ASIC 등 하드웨어의 비약적인 발전에 힘입어 성능에 있어서도 눈에 띌 만한 성장을 이루었다. 성능과 기능 측면에서 제품 완성도와 경쟁력이 상승함에 따라 기존에 SMB 시장의 방화벽 교체시장에 머물렀던 타겟도 이제는 엔터프라이즈급 방화벽 교체시장을 바라보고 있다. 공공기관 방화벽 교체수요도 2008년을 기점으로 지방자치단체 및 초중고, 대학교를 중심으로 통합보안수요가 증가하고 있는 상황이다.
여기에 2000년대 초•중반 활발하게 구축되었던 IPSec VPN 장비의 교체시기가 도래하면서, 그 수요를 다양한 보안기능을 강점으로 한 통합보안솔루션이 대부분 흡수하고 있다. VPN 네트워크를 구축함에 있어 통합보안솔루션의 가장 큰 장점은 VPN 터널을 통해 전파되는 악성코드의 전체 네트워크 확산을 방지할 수 있고, End-point 백신 솔루션과 연동하여 NAC 형태의 이중보안을 구축할 수 있다는 것이다.

그럼 당사 TrusGuard의 다양한 구축사례를 살펴봄으로써, 기업 네트워크 보안에 있어서 통합보안솔루션의 이점을 살펴보도록 하자.

1. DDoS 방어와 웹 취약점 공격방어를 한꺼번에!!

 A기관은 정치적인 이슈로 인해 작년 중반부터 기관에서 운영하는 홈페이지에 DDoS 공격과 웹 취약점을 이용한 공격이 자주 발생하여 서비스 가용성에 심각한 침해를 입히고 있었다. DDoS 공격의 유형은 SYN Flooding 공격과 HTTP Get Flooding이 주를 이루고 있었고, 웹 취약점 공격은SQL Injection 과 XSS (Cross-site Scripting) 공격이 대부분을 차지하고 있었다. A 기관의 네트워크 보안 상황은 방화벽만이 설치되어 있었고, 방화벽은 DDoS 공격에 다운되는 현상이 자주 발생하였고, 웹서버 또한 마찬가지 상황이었다. 이에 긴급하게 TrusGuard를 방화벽 앞 단에 설치하여 IPS 기능과 DDoS 기능을 활성화 하여 구축하였다. 설치 이 후 일주일 사이 HTTP GET Flooding 공격이 들어왔지만 TrusGuard의 DDoS 엔진에서 효과적으로 방어하였다. 이 후에도 여러 차례 다양한 유형의 DDoS 공격이 들어왔지만 90% 이상의 차단율을 보이며 웹서버의 가용성을 한 단계 업그레이드 해주었다. 이 번 7.7 DDoS 대란 때도 A기관은 공격대상에 포함되어 SYN Flooding, Ack Flooding 등 복합적인 공격을 받았지만, 서버로 유입되는 약 10만 PPS의 공격패킷의 90% 정도를 차단하고 실제 서버로 약 1~2천 PPS의 정상 패킷만을 전송함으로써 서비스를 정상으로 유지할 수 있었다. DDoS 공격 이외에도 방화벽을 우회하는 SQL Injection 및 웜, 트로이목마, 스파이웨어 등을 TrusGuard IPS의 약 6,000여 개에 이르는 광범위한 공격대응 시그니처를 통해 효과적으로 차단/ 모니터링 함으로써 투자 대비 높은 효과를 거두고 있다.

2. 악성코드로부터 자유로운 VPN 구축

B 기업은 국내 대표적인 유통업체로써 2000년 대 초반에 전국 유통망에 구축한 VPN의 교체시기가 도래하여 다양한 솔루션을 검토하고 있었다. B 기업의 고민은 유통점에서 본점과의 통신에는 IPSec VPN 기술을 활용하여 안전한 채널을 가동하고 있지만, 유통점 자체의 보안은 VPN 전용장비 내 단순 방화벽 기능에 의해서만 보호가 되고 있기 때문에, 인터넷 서핑으로부터 유통점 PC로 유입되는 악성코드나 웜 등이 VPN 터널을 통해 본점 네트워크나 시스템을 공격하는 사례가 빈번하게 발생하고 있다는 것이었다. VPN은 단순하여 이러한 악성 트래픽이라 하더라도 친절하게 암호화 하여 본점으로 던지게 되어 있기 때문이다. 또 하나의 이슈는 유통점의 PC 중 IPSec VPN Client를 사용하는 PC의 VPN 서비스 장애로 인해 과도한 유지보수 이슈가 발생하고 있다는 것이었다. 이러한 상황에서 B업체는 기존 VPN 교체장비로 TrusGuard 장비를 선택하였다. B 업체는 본점-유통점 간의 VPN Traffic에 IPS 기능을 연동하여 유통점에서 감염된 악성코드의 본점 전파를 사전에 차단하도록 구성하였고, 유통점에 설치된 TrusGuard에 방화벽, VPN 이외 에도 IPS/ Ant-virus 기능을 올림으로써, 유통점 보안의 수준을 한 단계 업그레이드 하였다. 또한 TrusGuard의 SSL VPN 기능을 십분활용하여 IPSec VPN Client를 이동성과 장애에 대한 내구력이 뛰어난 SSL VPN으로 전환하는 작업을 진행하고 있다.

3. End-point 백신 솔루션과의 연동을 통한 Security niche hole의 완벽제거

C 대학은 학생과 교직원 수가 수만명에 이르는 대규모 네트워크를 가지고 있다. C 대학의 고민은 학생들이 P2P등 과도한 트래픽을 유발시키는 인터넷 접속을 많이 이용함으로써 WAN 구간 인터넷 대역폭이 항상 모자르다는것과, 웹사이트로부터 감염되거나 또는 악성코드에 감염된 USB로부터 감염된 내부 PC들이 전체 네트워크로 악성코드를 전파하면서 백본망이 흔들리는 현상이 가끔 발생하고 있다는 것이었다. 이에 C 대학은 NAC (Network Access Control) 솔루션을 도입하여 네트워크 보안과 End-point 백신의 연동을 통해 내부 Client PC의 보안수준을 한 단계 업그레이드 할 계획을 가지고 있었다. 하지만 NAC 솔루션 도입의 장벽은 바로 고가의 전용솔루션을 도입해야 한다는 것이었고, 현재 C대학이 사용하고 있는 스위치와의 인터페이스 방식이 맞지 않아 잘못 도입하면 전체 네트워크 장비를 교체해야 하는 상황이 발생할 수 도 있다는 것이었다. 이에 C대학은 TrusGuard와 End-point 백신 V3 간의 연동 보안 기능을 100% 활용하여 비용효율적인 NAC 환경을 구축하게 되었다. 인터넷 게이트웨이에 TrusGuard를 방화벽+IPS 용도로 구축하고 각 강의동마다 TrusGuard를 설치하여 V3연동 및 IPS기능을 활성화하여 구축하였다. TrusGuard는 V3와 연동하여 V3 제어 소프트웨어가 설치되지 않은 PC는 인터넷 접근을 제어하고, V3 제어 소프트웨어를 설치하도록 유도한다. 이를 통해 PC의 보안상태를 항상 최선으로 유지할 수 있도록 유도한다. 또한 TrusGuard가 특정 PC의 악성코드 다운로드 및 악성코드 전파를 감지했을 때, 해당 PC를 자동격리하고 V3를 자동으로 구동시켜 악성코드의 내부 네트워크 확산을 사전에 방지한다. 이를 통해 악성코드에 감염된 PC를 치료하기 위해 투입되었던 과도한 인력낭비를 최소화 할 수 있게 되었다. NAC으로 인한 효과 외에도 인터넷 접점에서 IPS 기능을 이용하여 다양한 종류의 보안위협과 공격의 유입을 사전에 차단하고, 강의동 간 발생하는 공격 또한 막을 수 있어 이중의 효과를 거두고 있다.

보안위협이 복잡해지고 공격의 파괴력이 강력해 질수록 침해사고로 인해 기업/기관이 입게되는 피해의 규모는 더욱 증가할 것이다. 네트워크 보안 영역의 탄생자체가 이러한 보안위협으로부터 내부 네트워크 및 시스템 자원을 안전하게 보호하는 ‘사전차단’의 개념으로부터 출발하였기에 다양한 기능과 성능으로 탁월한 방어능력을 보유하고 있는 통합보안솔루션의 위상은 기능의 폭과 성능의 깊이를 업그레이드 해나가면서 지속적으로 높아질 것이다. 향후 기능의 정교함이 더해진다면 통합보안과 전용보안의 경계는 사라질 것이며, 전체 기능에서 전용 기능만 부분적으로 구동시킨 통합보안솔루션이 전용보안솔루션의 자리를 대체하는 날도 머지 않을 것이라 예측된다.@