[Product Issue] TrusGuard, 사랑받는 이유 있었네

실제 사례를 통해 본 TrusGuard의 강점

 

AhnLab TrusGuard(이하 트러스가드)는 2007년 출시된 ㈜안철수연구소의 대표적인 네트워크 보안제품이다. 트러스가드는 한 대의 장비에 복수의 보안기능을 보유하고 있는 통합보안솔루션(Unified Threats Managements, UTM)으로 분류된다. 최근 네트워크 보안 솔루션 전문업체들의 화두는 UTM 출시와 기능/성능 고도화에 있다. UTM이 보안기능의 다양성과 보안 기술력의 경쟁우위를 바탕으로 기존의 방화벽, VPN 전용시장의 기반을 흔들고 있기 때문이다. 트러스가드는 국내 솔루션으로는 최초의 UTM으로써, 2007년부터 약 4년 간 1,000여 고객 사이트에 구축ㆍ운영되면서 성능과 안정성을 인정받고 있다. 2010년에는 정부기관/ 대기업 데이터센터 네트워크 고도화 사업 및 2단계 NIS 고도화 사업 등 굵직한 대형사업들을 수주하면서 시장인지도 제고뿐만 아니라 매출성과에서도 최고의 한 해를 보냈다. 대부분의 여타 경쟁 UTM 솔루션들이 출시된지 1~2년 밖에 되지 않아 아직 시장 검증단계에 있다는 것과 극명히 대조를 이루는 부분이다. 이번 기고에는 여러 형태의 구축사례를 중심으로 ㈜안철수연구소의 대표 네트워크 보안 솔루션인 트러스가드의 차별화 포인트에 대해 집중 분석하도록 하겠다.

TrusGuard, 성능 논란에 마침표를 찍다.

A 데이터센터는 얼마 전 세션기반의 DDoS 공격을 받았다. 다행히 DDoS 공격 트래픽의 많은 부분이 DDoS 전용 보안장비에 의해 필터링 되었지만, 일부 탐지되지 않은 DDoS 트래픽이 내부로 유입되면서 초당 약 5만 세션 정도를 생성시켰고, 게이트웨이(Gateway) 방화벽의 CPU를 100% 가까이 끌어올렸다. 이로 인해 일정 시간 동안 방화벽에서 다량의 패킷 드랍(Packets Drop) 현상이 발생하였고, 외부 네트워크 연동 업무가 매우 느려지는 현상을 경험하였다. 이에 A 데이터 센터는 현재 게이트웨이(Gateway) 방화벽의 교체를 심각하게 검토하고 있다.

2009년 7.7 DDoS 대란 이후, DDoS 공격은 끊임없이 발생하고 있고, 더불어 지속적으로 진화하고 있다. 흥미로운 점은 DDoS 공격의 여파로 인해 덩달아 기업 네트워크 경계에 위치한 방화벽(Firewall) 성능의 중요성이 부각되고 있다는 점이다. 과거 DDoS 전용 보안솔루션이 도입되기 전에는 DDoS 공격이 발생하면 가장 먼저 영향을 받는 보안장비가 바로 방화벽이었고, 대용량 트래픽을 처리하지 못해 빅팀(victim) 서버가 다운되기도 전에 방화벽이 먼저 다운되는 현상이 비일비재하게 발생하였기 때문으로 여겨진다. DDoS 전용 보안장비가 많이 도입된 요즘에는 2~3년 전과 양상이 많이 달라지긴 하였지만, 지금도 DDoS 공격은 끊임없이 진화하고 있다.또한 진화한 공격은 DDoS 전용 보안장비를 우회하고 있다. 최근 DDoS 공격은 대용량 트래픽을 동시에 발생시키는 단순한 방식에서 벗어나 적은 트래픽으로도 목표서버의 가용성을 침해할 수 있는 방식으로 진화하고 있다. 대표적인 방식으로 일시에 다량의 세션을 유발시켜 목표 서버의 리소스를 고갈시키는 세션 기반의 공격을 들 수 있다. 이러한 DDoS 공격 동향으로 인해 시간이 지날수록 방화벽 처리 성능은 그 중요성을 더할 것으로 관측된다.
 

보통 통합보안장비는 개별 보안기능의 성능이 전용 보안장비에 비해 떨어질 것이라는 편견이 있다. 복합기능을 구동한다면 모를까, 단일 보안기능만을 평가한다면 결코 전용 장비 성능에 뒤질게 없는데도 말이다. 트러스가드의 차별화 포인트 중 하나가 바로 전용 장비를 압도하는 방화벽 처리성능이다. 트러스가드는 전 모델이 멀티코어 전용 하드웨어로 구성되어 있으며, 자체 개발한 멀티코어 최적 분산활용 아키텍처(A-TEAM) 구조를 바탕으로 동급 최강의 방화벽 처리성능을 자랑한다. 트러스가드 10G 모델인 트러스가드 10000 모델은 초당 64byte 패킷을 5G 정도 처리할 수 있고 동시에 최대 500만 세션을 수용할 수 있다. 트러스가드 10000 모델의 방화벽 처리성능은 여타 국산 경쟁 모델 대비 2배~2.5배의 성능우위를 점유하고 있고, 특히, 경쟁사 대비 높은 세션 처리 성능은 최근 많이 발생하는 세션 기반의 DDoS 공격에 대한 높은 내구성을 제공한다.

 

[그림 1] TrusGuard 10000 방화벽 성능

 

강력한 보안 위협 대응력을 보유한 TrusGuard IPS

B 투자증권은 조만간 HTS 시스템 신규 오픈을 준비하고 있다. HTS 시스템은 서비스의 중요성을 감안했을 때, 단순 방화벽 이외에 해킹 등의 공격에 대응할 IPS 시스템의 구축이 필수적이라는 결론에 도달했다. 문제는 투자비였다. 서비스 안정성을 위해 방화벽/IPS를 모두 이중화 하여 구성해야 하는데 금융위기 여파로 보안 투자예산이 대폭 감소한 것이다. 이에 비용 효율적인 HTS 시스템 보안 구축방안을 고민하고 있다.

통합보안의 가장 중요한 기능 요소는 바로 IPS(Intrusion Prevention System)다. 통합보안 솔루션의 복합기능을 사용하는 고객의 대다수가 IPS 기능은 필수로 여기고 있다. 트러스가드 사용 고객의 70% 이상도 IPS 기능을 활용하고 있다. 트러스가드는 안철수연구소의 지난 20년 간 축적된 보안 위협 모니터링/분석/대응 노하우와 인프라가 결집된 강력한 IPS 기능을 제공한다. 트러스가드는 약 1,000만 대에 달하는 보안 위협 모니터링 센서에서 수집되는 정보를 바탕으로 실시간 확산되는 악성코드 및 각종 네트워크 기반 공격을 탐지하고, 약 100여 명에 이르는 보안 위협 분석/ 대응조직과 다양한 자동화된 분석시스템을 기반으로 발 빠른 대응 서비스를 제공하고 있다.

이렇게 제작된 보안 위협 대응 시그니처(Signature)들은 AST/CDN 등 배포 서비스 인프라를 통해 전 세계에 빠르고 안정적으로 배포된다. 트러스가드는 이러한 인프라를 기반으로 약 6,000여 개에 달하는 경쟁 솔루션 대비 최대의 보안 위협 대응 시그니처 셋(Signature-set)을 보유하고 있다. 트러스가드는 이를 기반으로 웹/ 애플리케이션/ 네트워크의 각종 취약점 공격뿐만 아니라 트로이 목마, 봇(Bot), 스파이웨어 등 악성코드 활동을 강력하게 탐지•차단할 수 있다. 이러한 풍부한 시그니처는 1일 2~3회 주기적으로 자동 업데이트되어 신종 공격에 누구보다도 빠르게 대응할 수 있다. 이와 함께 트러스가드는 멀티코어 기반의 최적화된 아키텍처를 바탕으로 방화벽과 IPS 동시 구동 시에도 높은 처리성능을 지원하여 방화벽+IPS 통합 형태의 보안 구성에 가장 적합한 솔루션이다.

보안 위협 차단 및 악성코드 확산 방지력이 뛰어난 VPN, TrusGuard

 

얼마 전 C 주유소는 직영 주유소로부터 올라온 악성 트래픽 때문에 전체 VPN 네트워크가 느려지는 현상을 경험하였다. 직영 주유소가 방화벽에 의해서만 보안이 통제되다 보니 C 주유소는 방화벽을 우회하는 다양한 악성코드의 내부 유입을 차단할 수 없었고, 일단 직영 주유소로 유입된 악성코드의 본사 확산을 제어할 수 없었다. C 주유소는 직영 주유소의 보안 환경을 강화하면서 VPN을 통해 확산되는 악성코드를 효과적으로 차단할 수 있는 방안을 고민 중에 있다.

최근 악성코드의 유입경로는 매우 다양화되고 있다. 과거에는 이메일 첨부파일이나 P2P/메신저 등을 통해 주로 전파되었던 반면, 최근에는 특정 웹사이트 접속만으로도 악성코드에 감염되거나 USB와 같은 이동식 매체를 통해 내부에서 악성코드에 감염되는 사례가 빈번하게 발생하고 있다. 이러한 악성코드는 상대적으로 보안이 취약한 지사/지점을 통해 감염되는 경우가 많고, 이렇게 침투한 악성코드가 전용선이나 VPN을 통해 본사로 확산되어 주요 시스템을 공격하는 사례가 증가하고 있다.

트러스가드는 안정적인 VPN 기술 위에 강력한 보안 위협 차단 및 악성코드 확산 방지력을 보유하고 있다. 국내 시장점유율 1위인 V3 기반의 안티바이러스(Anti-Virus) 기능은 상대적으로 보안이 취약한 지사/지점에 강력한 악성코드 사전유입차단 기능을 제공한다. 이와 더불어 약 800만 대의 센서로부터 수집된 악성코드 유포 사이트 데이터베이스(Database) 연동 서비스는 최근 악성코드 유입경로로 가장 많이 악용되는 웹을 통한 악성코드 감염을 효과적으로 차단할 수 있다.

트러스가드는 VPN 트래픽의 IPS 연동을 통해 다양한 경로로 지사/지점에 유입된 웜, 봇 등 확산형 악성코드가 VPN 터널을 통해 본사로 확산되는 것을 강력하게 제어함으로써 본사 주요 시스템의 가용성을 보장한다. 이제 VPN도 단순 암호화에서 벗어나 보안 위협에 대한 대응력을 생각할 때다. 트러스가드는 VPN의 보안 취약점을 완벽히 보완할 수 있는 통합 VPN 솔루션이다.

 

그림 2 보안성이 강화된 VPN, TrusGuard

 

비용효율적인 NAC, TrusGuard

D 대학교는 최근 확산형 웜 공격에 의해 학사관리 시스템이 다운되는 일이 발생했다. 원인분석 결과, 학생 컴퓨터실의 한 PC가 학생이 사용한 USB로부터 악성코드에 감염되어 전체 네트워크로 확산되면서 학사관리 시스템을 감염시킨 것이었다. D 대학교는 평소에도 여러 악성코드에 의해 내부 네트워크가 느려지는 현상을 경험한 바 있으며, 내부의 좀비 PC들이 외부로 DDoS 공격을 감행하는 경우를 종종 탐지했다. 이에 D 대학교는 악성코드의 전체 네트워크 확산을 방지하거나 내부 좀비 PC들의 외부 DDoS 공격을 차단하기 위한 방안을 고심하고 있다.

인터넷 경계에 위치하는 네트워크 보안 솔루션만으로는 내부에서 확산되는 악성코드를 방어할 수 없다. 그러나 트러스가드는 엔드포인트(End-point) 보안 솔루션인 V3와의 긴밀한 연동을 통해 이러한 보안 취약점을 효과적으로 차단할 수 있다.

트러스가드는 V3와 연동하여 별도의 전용 NAC(Network Access Control) 솔루션 도입 없이도 PC의 보안상태에 따른 인터넷 접근제어 기능을 제공하며 악성코드에 감염된 PC의 유해 트래픽 확산차단/자동 치료 기능 또한 제공한다. 특히 V3의 설치유무 및 V3 최신 업데이트 상태를 관리하는 APC 에이전트(Agent)가 설치되지 않은 PC의 네트워크 접속을 차단함으로써 PC 보안상태에 따른 네트워크 접근제어 기능을 제공한다.

이와 함께 트러스가드는 변종/신종 악성코드에 감염된 PC의 악성코드 확산행위의 차단에서부터 자동치료까지 일련의 자동 프로세스를 제공한다. 트러스가드는 악성코드에 감염된 PC의 악성코드 전파 행위나 DDoS 공격행위를 감지할 수 있으며, 악성코드 감염 PC의 네트워크 접속을 격리하거나 PC의 악성 유해 트래픽만 선별적으로 차단하도록 동작한다. 이후 V3를 실시간 업데이트 하여 혹시 모를 V3 업데이트의 미비로 인한 감염을 치료한다. 만약 치료가 되지 않을 경우, 자동으로 PC의 악성코드 샘플파일을 수집/보고(Reporting)하여 V3를 통한 자동치료를 지원한다.

 

그림 3 트러스가드와 V3 연동을 통한 시너지 효과

IPv6 시대를 위한 완벽한 준비, TrusGuard

E 시청은 대민 서비스 시스템을 IPv6로 구축하여 조만간 다가올 IPv6 전환에 대비할 계획이다. 이에 시장에 나온 몇 개의 보안솔루션을 검토한 결과, 단순히 IPv6 주소를 인식하는 수준의 기능을 제공하거나 구축 레퍼런스가 없다는 점이 불안 요소로 떠올랐다. 이에 실제 네트워크 망에 적용 가능한 수준의 IPv6 기능을 제공하면서 IPv6 인증을 보유한, 그리고 IPv6 구축 레퍼런스가 있는 보안솔루션을 찾고 있다.

2011년 6월이면 IPv4 신규할당 주소자원이 고갈될 것으로 알려져 있다. IPv4 주소가 고갈되면, IPv6 주소자원이 신규로 할당되는데, 다른 IT 분야에 비해 네트워크 보안 분야는 IPv6에 대한 대비가 부족한 것으로 평가되고 있다.

트러스가드는 국산 네트워크 보안 솔루션 중 IPv6 CC인증/IPv6 TTA Verified 인증/IPv6 구축 레퍼런스 사이트를 보유한 유일한 솔루션이다. 트러스가드는 실제 IPv6 네트워크에 구축적용이 가능한 수준의 다양한 IPv6 기능을 제공한다. IPv6 & IPv4 Dual-Stack 지원, 다양한 IPv6 네트워크 및 라우팅 기능(Static & Dynamic), IPv4와 IPv6가 혼재된 네트워크를 지원하기 위한 트랜지션 기능, 그리고 IPv6 방화벽 기능 등 실제 네트워크 환경에서 반드시 필요한 필수 기능들을 보유하고 있다.

트러스가드의 강점을 한 마디로 요약하면 탄탄한 네트워크보안 기반기술 위에 보안 위협 대응력이 결합되었다고 할 수 있다. 이와 더불어 네트워크보안의 기본인 방화벽/VPN 솔루션으로서 뛰어난 경쟁력을 보유하고 있는 것은 물론이고, 보안 위협 탐지 및 차단 능력과 결합하여 강력한 시너지 효과를 낸다는 것이다. 이에 2011년 트러스가드의 높은 도약을 기대해 본다.@