previous  next  Title  Contents  Index        Previous    Next     Top   Detailed TOC 

10. LAN/WAN 네트웍 보안

in English

네트웍 보안은 중요하다. 많은 어플리케이션들은 (IBM 3270 telnet emulation, Telnet, ftp...) 네트웍을 통해 암호화되지 않은 패스워드를 보낸다.네트웍이 완벽하게 안전할 수는 없지만, 가장 약한 링크들은 보호되어야 한다. 네트웍이 100% 안전하기를 기대한다는 것은 비현실적이다.T오늘날 네트웍 보안에는 두가지 주요 경향이 있다 :

  1. 개발중인 새로운 어플리케이션들은 종종 안전하지 못한 네트웍을 통해 안전하게 데이타를 전송할 수 있도록 설계된다. 즉 어떤 종류의 인증/암호화가 내장된다.
  2. IP 레벨의 암호화는 (TCP/IP 네트웍을 위한) 두 시스템 사이에, 안전하지 못한 네트웍을 거친다 하더라도, 안전한 채널을 제공한다. 한 예로써 SKIP 이 있다 ("메카니즘" 장 참조).

네트웍 보안은 벤더들이 ftp, telnet 그리고 rlogin과 같은 유물들을 ssh ("메카니즘" 장 참조) 와 같은 보다 안전한 대체물로 바꾼다면, NIS+ 및/또는 Kerberos 클라이언트가 모든 주요 OS에 번들로 포함되고, pgp 같은 안전한 이메일 시스템이 벤더 이메일 클라이언트에 완전히 통합된다면, 쉽게 강화될 수 있다. 그러나 과거를 돌아볼 때 이런 일은 일어날 것 같지 않다......

네트웍 보안을 유지하기 위해서는 중앙화된 네트웍 관리가 중요하다. 네트웍은 (LAN과 WAN을 의미) 여기서 다음과 같은 관점으로 분석된다 :

11.1 네트웍 모델 (OSI)

Open Systems Interconnect 모델은 네트웍을 통한 데이타 전송을 기술하기 위한 표준이다. 7 계층 모델은 다른 아키텍쳐와 비교하는 데 있어서 특히 유용하다. 다음의 그림은 OSI, TCP/IP 와 Lan Manager에서 사용하는 통신 계층 간의 관계를 이해하는 데 도움이 될 것이다.

osi_layers.gif (32196 bytes)

11.2 네트웍 프로토콜

11.2.1 Lan Manager / 마이크로소프트 네트웍 / NT 도메인

NetBEUI: 로컬 서브넷에서만 사용한다.

WINS (Windows Internet Naming Service) 는 고도로 자동화된 동적 데이타베이스를 이용해 Netbios 이름을 IP 주소로 풀어준다. 이것은 LMHOSTS 파일의 필요성을 절감시켜준다. "윈도우 NT" 장 참조.

RAS (Remote Access Service), "윈도우 NT" 장 참조.

11.2.2 TCP/IP

11.2.2.1 취약점

TCP/IP 는 고도의 보안을 목표로 설계된 것이 아니다:

그러나, TCP/IP 는 신뢰성 있고, 견고하며 사실상의 표준이다.

위의 문제점들 중 많은 부분을 다루는 새로운 IP 레벨 암호화 제품에 대한 논의는 메카니즘 장을 참조한다.  

11.2.2.4 DNS (Domain Name Service)

11.2.2.5 NIS, NIS + (Network Information Service)

" UNIX 보안 ". 장 참조

11.2.2.6 DHCP (Dynamic Host Configuration Protocol)

DHCP 는,특히 랩탑이나 재조직이 계속 발생하는 환경에서, 매우 실용적이다. 그러나, 동적 DHCP 를 쓰면 시스템을 유일하게 식별하기 힘들어지므로, 등급   의 네트웍에서는 동적 IP 주소의 사용을 피한다. 정적 DHCP 는 IP 주소를 중앙관리 하는데 유용할 수 있다.

11.2.2.7 NFS (Network File System)

NFS 에 대한 논의는 " UNIX 보안 " 장을 참조한다.

11.3 물리적인 네트웍 유형Physical network types

기밀성이 주요 관심사라면, 광케이블을 사용한다. 이것은 끼어들기나 스니핑하기가 매우 어렵다.

11.3.1 이더넷

11.3.2 전용 회선

구리 전용선은 하드웨어나 소프트웨어적으로 암호화 되어야 한다. 

11.3.3 FDDI

FDDI 는 광섬유 링으로, 자기장을 탐지해서 "듣기" 가 불가능하고 어떤 사람이 링에 연결하려고 시도한다면 전문적인 장비가 있어야 하고 그러면 링을 방해하게 된다 - 들키지 않고 할 수 없다.

11.3.4 ATM

ATM (Asynchronous transfer mode) 은 대역폭 할당, 가상 네트웍, 고속...등과 같이 다양한 흥미있는 기능을 가진 복잡한 프로토콜 수트이다. 이것은 주로 통신 사업자들에게 유용하다. ATM 의 복잡성으로 인해 해커들이 크랙하기 힘들지만, 올바르게 구성하기도 힘들다.

11.4 네트웍 장비

대부분의 공격은 내부로부터 온다, 따라서:

중요한 서브넷 상에서는, 네트웍 장비를 올바르게 구성하는 것이 중요하다: 필요한 서비스만 활성화 하고, 포트/인터페이스/IP 주소로 구성 서비스 접근을 제한하고, 브로드캐스트, 소스 라우팅을 불능으로 하며, 강력한 (디폴트가 아닌) 패스워드를 사용하고, 로깅을 활성화 하고, 사용자/기능활성화/관리 등등의 접근을 할 수 있는 사람을 신중히 선택한다

11.4.1 허브

11.4.2 브리지

11.4.3 라우터

라우터는 복잡해지고 유닉스 호스트 만큼이나 다양한 구성 옵션을 가질 수 있다...

11.4.4 모뎀

한달에 한번 (밤에) 모든 내부 전화선을 훑어서 모뎀이 몇개나 연결되어 있고 번호는 무엇인지 확인한다. 이를 등록된 모뎀 목록과 비교 확인할 수 있다. TBD: 이를 수행할 수 있는 제품 예!

11.5 WAN 에의 외부 연결

11.5.1 외부 연결에 대한 허가

내부 시스템으로의 외부 접속 (예를 들어 모뎀을 통해) 또는 내부 시스템으로부터 외부로의 접속 (예를들면 인터넷), 사용자는 서면 허가를 가지고 있어야 한다. 사용자는 그러한 외부 접속이 절대적으로 필요하다는 것을 증명해야 한다.

이러한 외부 연결은 들어오는 것과 나가는 것으로 등급을 매길 수 있다: 

11.5.2 들어오는 연결의 예

11.5.3 나가는 연결의 예

11.5.4 단순한 인터넷이나 게시판 접속

민감한 지역에서 정보를 탐색하기 위해 인터넷 접속이 필요하다면 (e.g. ftp 또는 Web), 모뎀이 있고 (내부) 네트웍 연결은 전혀 없는 간단한 PC를 사용하는 것이 해법이 될 수 있다.

이러한 연결들을 등록하고 중앙 보안 인력이 정기적으로 감사하는 것이 중요하다. 

11.5.5 안전하지 못한 서브넷

한 건물에 많은 외부 연결이 필요한 경우, 외부 연결들을 그룹지어서 외부에 직접 연결되고 내부와는 방화벽으로 분리된 하나의 "안전하지 못한 서브넷" 에 모을 수 있다. 이것은 비용을 최소화 하고 (한대의 방화벽만 있으면 되므로) 유연성을 최대화 하지만, "안전하지 못한 서브넷" 상에 있는 이 시스템들은 위험하고 침투된 호스트로 간주되어야 하므로, 일상적인 사용에 대해 많은 주의가 필요하다.  

11.6 네트웍 관리/감시

네트웍은 더욱 중요해지고 있고, 데이타 속도와 양도 증가하고, 네트웍은 점점 더 잡다한 환경이 되어가고 있다. 전문적인 네트웍 감시는 분석 및 문제 예측에 도움이 될 수 있다 (가용성 증가에도). 이러한 감시도구는 두가지 방법에 의해 보안을 증대시킬 수 있다 :

a) "이상한" 네트웍 행태는 침입일 가능성이 있으므로, 감시도구는 "이상한" (즉, "정상적" 이지 않은) 네트웍 행태에 유의하도록 구성되어야 한다.
b) 보안 정책에서 특정 서비스를 특정 호스트가 특정 시간에 사용할 수 없도록 규정했다면, 네트웍 감시 소프트웨어는 이를 검사하는 데 사용될 수 있다. e.g. 어떤 네트웍에 대한 보안정책에서 ftp 는 00:00 부터 06:00 까지 사용할 수 없다고 규정한다면, 이 시간에는 그 네트웍 상의 어떤 ftp 트래픽도 감시되고 보안 경보로 보고되어야 한다. 이러한 종류의 감시는 로컬의 보안성이 높은 네트웍에 특히 유용하다.

previous  next  Title  Contents  Index        Previous    Next     Top   Detailed TOC