[Special Report 1부] 왜 엔드포인트 보안과 네트워크 보안이 결합되어야 하는가

엔드포인트 보안과 네트워크 보안의 결합

 

우리가 익히 잘 알고 있는 옛 속담 중에 ‘백지장도 맞들면 낫다’ 라는 말이 있다. 아무리 쉬운 일이라도 함께 하면 일이 더 쉬워진다는 뜻이다. 이 속담은 최근 현대사회의 다양한 분야에서 화두가 되고 있는  ‘시너지 효과 (Synergy Effect)’를 아주 적절히 잘 나타내고 있다. 우리 조상들의 혜안을 엿 볼 수 있는 격언이다. 다만 옛날과 차이가 있다면, 사회가 복잡해 지고, 기술이 발달하면서 더 이상 ‘쉬운 일’ 이란 없다는 것이다. 그 만큼 시너지 효과라는 개념은 시대가 지날수록 중요성이 강조될 것으로 보인다.
기업 정보 보안분야에서도 시너지 효과에 대한 관심이 증폭되고 있다. IT 기술의 비약적인 발전과 더불어 보안위협의 규모와 범위, 그 파괴력 또한 비례적으로 발전하면서 보다 효과적인 대응방식에 대한 필요성이 부각되고 있기 때문이다.
최근 인터넷과 IP 기반의 다양한 서비스, 애플리케이션(Application)의 통합이 추세를 이루고 있다. 음성과 IP의 결합인 VoIP 서비스가 600백만 가입자를 돌파하였고, 손 안의 컴퓨터인 스마트폰의 사용자가 300백만을 훌쩍 넘어섰다. 트위터(Twitter)와 같은 소셜 네트워킹은 사회 의사소통 방식의 주류로 자리매김하고 있고, 무선(Wireless)은 이제 더 이상 유선(Wired)의 주변 영역이 아니다. 이러한 현상을 기업의 보안위협 관점에서 바라본다면 보안위협에 대한 노출 정도와 유입경로가 증가하고 있다고 말할 수 있다. VoIP 전화기는 도청 및 악성코드의 감염에 항상 노출되어 있고, 스마트폰과 무선 네트워킹 기술은 기업 보안을 위협하는 큰 골칫거리로 부상하고 있다.

 

[그림 1] 보안위협의 Route의 다양화

기업 보안을 위협하는 악성코드 및 공격의 유입경로가 다양화 됨에 따라 기존 기업 보안을 책임지고 있는 포인트(Point) 보안 솔루션만으로는 제어할 수 없는 보안의 허점이 나타나고 있다. 현재 기업들이 많이 사용하고 있는 대표적인 두 가지 유형의 보안 솔루션이 바로 안티바이러스(Anti-Virus) 제품으로 대표되는 엔드포인트(End-point) 보안과 방화벽/ IPS(Intrusion Prevention System, 침입방지시스템)로 대표되는 네트워크 보안이 있다. 안티바이러스 제품은 PC로 유입되는 악성코드의 탐지•치료 및 PC 기반 접근제어의 보안기능을 수행함으로써, PC의 보안 상태를 최적으로 유지하는 역할을 수행하고 있다. 방화벽/IPS는 내부 네트워크로의 불법적인 접근제어 및 네트워크 기반 공격을 탐지•방어하는 기능을 수행함으로써, 네트워크의 무결성을 유지하는 역할을 한다. 하지만 각 포인트 보안 솔루션이 본연의 보안 기능을 훌륭히 수행한다고 하더라도, 보안이 결여된(백신 미 설치된 또는 최신 업데이트 미비한) PC, 노트북, 무선 단말기 등의 내부 네트워크 접속 위험이 존재한다. 또한 그로부터 유발될 수 있는 악성코드의 내부 네트워크 확산 및 주요 시스템 침해 현상을 방어할 수 없게 된다. 예를 들어, 회사 직원이 집에서 사용하던 악성코드에 감염된 USB를 회사의 PC에 사용하려 하는데 마침 회사 PC에 백신을 설치하지 않았거나 업데이트가 미비한 상태라면, 회사 PC가 악성코드에 감염될 확률이 매우 높아진다. 이 감염된 회사 PC로부터 악성코드의 자가전파 행위 또는 내부 주요 목표 시스템으로의 대량 트래픽 유발 공격이 발생하게 되면, 회사 내부 전체 네트워크는 물론이고, 주요 인트라넷 시스템의 가용성에 심각한 침해를 불러 일으킬 수 있다. 이러한 상황은 보안 솔루션들의 독립적인 기능만으로는 절대 막을 수 없다.

 

[그림 2] 기존 보안솔루션들의 보안 허점

이러한 보안위협 유입 루트의 다양화와 그로 인한 기존 보안솔루션들의 보안 허점을 보완하기 위해 나온 솔루션이 바로 NAC (Network Access/Admission Control) 솔루션이다. NAC 전용 솔루션은 기존 엔드포인트 보안 솔루션의 한계점으로 지적되었던 사후대응 개념을 네트워크 보안 시스템과 효율적인 협업을 통해 사전예방 개념으로 전환시키는데 목적이 있다. NAC 전용 솔루션의 주요기능은 허가되지 않은 PC 또는 보안 상태가 결여된 PC의 기업 내부 네트워크 접속을 제어하는 것이다. 이를 통해 악성코드와 같은 보안위협 인자를 보유하고 있을 가능성이 높은 PC들이 유발시킬 수 있는 내부 공격을 사전에 방지하는 목적을 가지고 있다. 하지만 이러한 NAC 전용 솔루션도 사전예방에만 초점이 맞추어져 있다 보니 아래와 같은 한계점을 가지고 있다.

 

• 이미 악성코드에 감염된 PC의 내부 네트워크 악성코드 확산 행위를 효과적으로 제어할 수 있는 방법이 없다. 감염된 PC의 악성 트래픽 유포 행위를 정확하게 탐지할 수 있는 방법이 없거나 있어도 오탐이 많아 서비스 가용성을 심각하게 침해할 수 있다.

• 악성코드에 감염된 PC에 대한 효율적인 자동치료 기능이 없다. 그러다 보니 감염된 PC를 치료하기 위해 전산 담당자가 일일이 해당 PC에 원격접속 하거나 직접 현장에 뛰어가야 하는상황이 발생하기도 한다.

• 악성 트래픽을 전송하거나 또는 보안상태가 결여된 PC의 네트워크 접속을 전면 차단함으로써 해당 PC의 네트워크 가용성을 심각하게 침해한다. NAC 전용 솔루션은 PC 내 에이전트(Agent)를 활용하거나 PC가 연결된 스위치 포트를 제어함으로써, 이상행위를 한다고 판단된 PC의 모든 네트워크 행위를 차단한다. 이 상황이 해결되지 않는 한 해당 PC 사용 담당자는 모든 업무를
할 수 없는 처지에 놓이게 된다.

• 마지막으로, 별도의 NAC 전용 솔루션을 구축하기 위해서는 과도한 추가 투자비용이 필요하고 운용의 복잡성을 따라잡기 위한 막대한 유지보수 비용이 발생할 수 있다. 최근의 NAC 솔루션의 동향은 어플라이언스(Appliance) 형태의 센서와 서버 형태의 중앙관리시스템 그리고 PC단 에이전트 형태로 구성되는데, 각 네트워크 세그먼트(Segment) 단에 어플라이언스 타입의 장비를 모두 설치해야 하는 과도한 투자를 불러 일으키기도 한다.

안철수연구소의 트러스가드(TrusGuard)와 V3 간 연동을 통한 NAC 기능은 기존 NAC 전용 솔루션이 가지고 있는 기술적 한계를 극복하기 위해 ‘감염 PC의 네트워크 가용성 보장’과 ‘악성코드 자동치료를 통한 인력/시간/비용절감’에 초점이 맞추어져 있다. 트러스가드-V3 연동 NAC 기능이 구현하고 있는 기술적인 특징은 아래와 같다.

 

• 필수 보안솔루션(안티바이러스, 네트워크 IPS) 간의 연동을 통해 효과적인 NAC을 제공한다.
   - V3, APC 에이전트 (V3 제어 에이전트), 트러스가드(네트워크 통합 보안 솔루션)

• 악성코드에 감염된 PC의 악성 트래픽 외에 정상 트래픽 사용을 보장하기 위해 안철수연구소의 독자적인 ‘트러스가드와 V3 간 시그니처(Signature) 연동 기술’을 적용했다.

• 감염된 PC의 효과적인 악성코드 자동치료를 위해 V3 실시간 자동 업데이트 기술을 적용했다.

• V3 실시간 업데이트로도 치료되지 않은 악성코드의 자동치료를 위해 악성코드 의심파일 자동추출 프로세스를 제공한다. 이 기능은 악성 트래픽을 유발하는 프로세스와 연관된 의심파일을 자동으로 추출하는 방식을 적용함으로써 높은 적중률을 자랑한다.

• 이렇게 추출된 악성코드 의심파일은 안철수연구소에 자동으로 신고되고, 일정시간 경과 후 PC가 자동치료 되는 긴급대응 프로세스를 적용했다.

안철수 연구소의 NAC 솔루션의 가장 큰 특징은 별도 NAC 전용 솔루션의 구축 없이도, 필수 보안 시스템 간의 연동만으로도 효과적인 NAC 환경을 구축할 수 있다는 것이다.
트러스가드-V3 연동 NAC은 제품간 단순연동 차원을 벗어나서

①안철수연구소의 핵심역량인 악성코드 네트워크 행위 분석•탐지기술,
②네트워크보안-PC보안 연동을 통한 악성 트래픽 선별차단 기술 그리고
③신종 악성코드 자동치료를 위한 리버스 엔지니어링(Reverse Engineering)이 결합된 종합적인 프로세스라고 말할 수 있다. 즉, 엔드포인트 보안, 네트워크 보안, 보안위협 모니터링 및 대응 능력과 인프라스트럭처(Infrastructure)를 보유한 안철수연구소만이 제공할 수 있는 특화된 보안이다.

 

필수 보안솔루션인 트러스가드와 V3의 결합이 본연의 보안 기능을 충실히 하면서 어떤 시너지 효과를 낼 수 있는지 제 2부-3부에서 자세하게 소개하도록 한다.