사전 환경조사가 NAC 구축의 성패 가른다

NAC의 기능과 사용환경 정확히 파악하고 구축절차 수립해야

NAC는 지난 호에서 언급했듯이 다양한 형태에서 제품으로 발전되어 왔으며 구축 방법에 있어서도 제품의 분류에 따라 다양한 방법이 있지만 기본 개념은 같다고 볼 수 있다. 다양한 형태의 제품을 이 글에서 모두 제시하기는 어렵기 때문에 향후 NAC의 성장모델로 평가되고 있는 Network Based NAC 위주로 알아보자.

지난 호에서는 NAC(Network Access Control)의 개념, 필요성 및 제품 분류 등에 대해 알아보았다. 다시 한번 정리를 하면 NAC는 접속 단말에 대한 인증 및 보안평가, 보안문제에 대한 대응, 네트워크 접근 허용, 보안정책 준수(Compliance)에 대한 지속적인 모니터링 및 대응에 대한 업무 순환 절차를 종합적으로 구현한 네트워크 보안 솔루션이다.

아래 그림1의 개념도는 Gartner에서 정의한 모델로 NAC를 한눈에 보여주는 자료이다. 이번 호에서는 구축방법론으로 NAC 도입 및 구축하는데 있어서 사전 점검사항, 구축 프로세스 및 각 프로세스 별로 어떤 정책을 적용해야 하는지에 대해서 정리하고자 하며 그 흐름은 Gartner가 정의한 모델에 기초를 두고 있다.

NAC는 지난 호 내용에서 보았듯이 워낙 다양한 형태에서 제품으로 발전되어 왔으며 구축 방법에 있어서도 제품의 분류에 따라 다양한 방법론이 필요할 수 있지만 기본 개념은 같다고 볼 수 있고 다양한 형태의 제품을 본고에서 모두 제시하기는 어려우므로 이번 연재에서는 향후 NAC의 성장모델로 평가되고 있는 Network Based NAC을 위주로 정리해 보겠다.

NAC 구축 절차

NAC를 구축하려면 먼저 NAC의 기능을 어디까지 구현할 것인지 정확히 설정하고 네트워크 인프라와 사용자 환경을 면밀히 파악해 구축 절차를 수립하는 것이 중요하다. 그렇지 않으면 네트워크 인프라를 교체해야 하는 많은 투자비용이 발생할 수도 있다. 일반적으로 NAC 시스템은 그림 2와 같은 구축 절차와 같은 프로세스를 통해 구축 진행을 하게 된다.

특히 NAC 시스템을 구축하는데 있어서는 가장 중요한 부분은 사전 환경조사 절차이다. 네트워크 구성정보를 잘못 파악했거나 Client 환경에 대한 정보가 부족할 경우 등 사전 환경조사에서 부정확한 정보를 파악하게 되면 NAC 도입 과정에서 사용자의 업무불편 또는 네트워크 중단 등 업무에 지장을 초래할 수 있는 불편함을 야기할 수 있다. 따라서 사전 환경조사 과정에서는 반드시 현장을 방문하여 NAC 도입 체크리스트에 따라 사전 환경을 파악해야 한다.

NAC 구축 전 사전 점검사항

NAC 구축을 위해서 사전 환경조사는 필수적이다. 체크리스트를 통하여 필요한 점검항목 조사는 물론이고 현장방문을 통해 다음과 같은 사항을 점검해야 한다.

실제로 구축하는 NAC 제품과 네트워크 구조상의 문제점은 없는지
장치 및 사용자 인증 시스템은 어떤 시스템을 사용중인지
네트워크 중단 등 업무에 영향을 주는지
NAC에서 통제하는 네트워크 장비가 오래된 장비로 펌웨어 등 패치가 필요한지
Multiple Network Vendor 제품을 운영 중인지
VoIP를 사용 중인지
Client 환경에 따라 추가 개발요소가 있는지
무선단말기들이 존재하는지
이기종 네트워크 환경인지
외주업체나 방문자의 출입 등이 얼마나 많은지
네트워크 구성이 3-Tier 구조인지 2-Tier 구조 인지 등 조사 필요

또한 NAC 장비의 설치 대수와 환경에 따라 투자비용이 상당히 증가하는 경우가 발생하며 배치 위치에 따라 고려해야 할 성능과 제어범위의 차이가 발생하고 제품의 장애시 발생되는 파급효과 및 대비책도 반드시 점검해야 한다.

관리대상 선정 및 인증

환경조사 단계를 지나 NAC 시스템을 구축하게 되면 NAC 시스템에서 관리할 대상 단말장치에 대한 범위를 선정해야 한다. NAC를 도입하는 주목적이 내부 네트워크의 단말장치에 대한 접근제어를 통한 안전한 내부 네트워크 보호이므로 보호대상 범위를 정확히 분류하여 내부사용자, 외부협력업체, 방문자 등 사용자 네트워크에 대한 사용 운영 범위를 선정해야 한다.

관리대상이 NAC의 통제범위 안에 등록되면 NAC에서는 대상 네트워크 범위 안에서 보호할 사용자 및 연결장치를 감지하고 해당 정보를 수집하여 업무역할별로 분류하게 된다.

관리할 대상 단말장치에 대한 식별이 완료되면 NAC에서는 단말장치 및 사용자에 대한 인증작업을 수행한다. 여기서는 사용자 인증을 수행 시 운영중인 인증 시스템에 대한 사전 분석이 필요하다. NAC 시스템의 인증 지원은 각 제품별로 인증시스템과 호환 또는 추가적인 개발지원이 필요할 수 있기 때문이다.

해외에서는 사용자 인증시 AD(Active Directory) 인증이 일반적으로 많이 사용되고 있으나 국내에서는 아직은 많이 사용하고 있지 않고 장치 인증 방법을 사용하고 있는 기관이 많이 있다. AD 인증, LDAP 인증 또는 802.1x 인증 간에 사용자 인증이 필요할 경우에는 NAC에서 인증 시스템과 연동이 기본적으로 지원이 되어야 한다. NAC에 따라서 자체적으로 인증시스템에 대한 Plug-in을 제공하기도 하고 추가적으로 개발지원이 필요할 수도 있으므로 제품 검증시 사전에 잘 판단해야 할 요소이다.

특히 802.1x와 같은 경우는 Port Based Authentication을 구현한 기술로 표준화된 Protocol이고 또한 네트워크 단의 최종 말단 스위치(End Point와 접속되는) 및 무선 AP(Access Point)에서 사용자 인증을 통해 접근을 제어하는 기술이다. 단말장치에 Supplicant(인증프로그램)이 반드시 설치되어야 하고 인증을 받은 후에만 비로소 IP 통신을 할 수 있다는 문제로 신규접속 사용자의 Supplicant 배포 문제(없는 경우 통신자체가 안됨), 지원되지 않는 단말에 대한 통제 문제, 하나의 특정포트를 막는 것이 그 포트 하단의 Non 802.1x 스위치 전체를 차단하게 되는 단점들도 가지고 있으므로 잘 판단해야 할 부분이다.

NAC 보안정책

NAC에서 구현되는 보안정책은 네트워크 접근제어, 네트워크 위협통제, 단말장치 무결성, 컴플라이언스로 크게 분류할 수 있다. 각각의 기능들이 분리되어 동작되는 게 아니라 유기적인 연결을 통해 복합적인 기능을 수행하도록 되어 있다. NAC 보안정책은 보안 관리자에 의해 다양한 형태로 생성하여 적용할 수 있는 유연성(Flexibility)을 제공해야 한다.

일부 NAC 제품에서는 Binary 형태로 고정된 정책만 사용할 수 있도록 기능 구성이 되어 있는데 이는 업무 부하와 생산성 및 사용자에게 혼란을 일으킬 수 있는 단점들을 가지고 있다. 수립해야 할 기본적인 보안정책에 대해서 정리하면 다음과 같다.

Network Access Control(네트워크 접근 통제)

OS&Non-OS 장치에 대한 분리 식별
방문자가 네트워크에 접속하는 순간 해당 장치를 탐지한 후 웜겧牡肩??등 악성코드에 감염되지 않았는지 정밀 조사
감염된 경우 가상 방화벽 차단, 격리 및 치료 VLAN에 배치, 스위치 포트 차단 등을 수행한 후 방문자와 관리자에게 감염사실을 통지
감염되지 않은 경우 정책 준수 점검을 시도하고 방문자 전용구간에 배치
IP 변경 추적 및 통제 기능을 제공하여 임의적인 변경이 일어나지 않도록 조치
방문자가 필요한 권한에 따라 네트워크에 활동할 수 있도록 인증프로세스 진행(IP, MAC, Hostname, Active Directory, Radius 서버 등)
방문 역할별 장치 연결, 이 후 정책 위반 시 광범위한 대응조치 수행
인증된 모든 장치를 지속적으로 모니터링 하여 정책 준수 유지
내부직원 및 협력업체 직원이라 하더라도 인증 프로세스를 거쳐 사용자의 신원 확인
Virtual F/W(가상방화벽) 정책에 의해 사용자 역할별 접근 권한 부여 및 주어진 권한에 한해 네트워크 접근 사용

Network Threat Control(네트워크 위협 통제)

ARP 스푸핑에 의한 공격 탐지 및 방지 정책
내장된 행위기반 IPS를 통해 ZeroDay 웜 탐지 및 포트 차단
감염된 장치로부터의 공격을 차단하기 위해 감염장치의 스위치 포트 Disable, 트래픽을 유발하는 특정포트만 차단, 감염된 장치 격리 VLAN구간으로 이동 및 치료, 네트워크에 중대 영향 시 컴퓨터 종료처리
사용자 행위기반 분석을 통한 사전 행위를 탐지하여 격리 VLAN으로 이동, 해당 장치의 화면에 경고 통보, 가상 방화벽이 동적으로 IP가 아닌 사용자를 차단, 스위치 포트 Disable로 네트워크사용 중지
P2P/Messenger 사용통제, 공유 디렉토리 사용 통제, Dual Network 통제

단말장치 무결성

다양한 Client(Windows, Linux, Macintosh, Mobile OS, Workstation 등)에 대한 장치 인식, 식별 및 자산관리 정책
OS/프로그램 패치 정보 수집 및 미 패치 장비에 대한 격리 및 메시지 경고 통보
다양한 백신 시스템 정보 수집 및 백신 미 패치 장비에 대한 격리 및 메시지 경고 통보
가상 머신 관리 정책
설치된 프로그램 등록, 실행, 삭제 방지
스크린 세이버 관리 및 암호 설정
외부 장치 매체 제어(USB, Bluetooth, DVD/CD-ROM, PDA, PCMCIA 등)

컴플라이언스

사내 정보보호 관리체계 보안요건 준수 점검
국가정보원 정보보호 가이드 보안요건 준수 점검
PCI-DSS, SOX, ISO 27001 등 보안요건 준수 체계 정립 및 준수 점검

보안정책을 구현하는데 있어서 Client/Clientless에 따라서 정책구현 방법이 다를 수 있고 장단점이 있을 수 있다. Client는 단말장치에서 대부분 보안정책이 수행되는 구조이고 Clientless는 NAC 어플라이언스에서 보안정책을 수행하는 구조로 볼 수 있다. Client 구조는 주기적인 패치, 장애발생 및 버전 변경 시 관리적인 비용 및 HelpDesk 비용이 많이 발생 할 수 있으므로 도입 검토시 고려해야 할 사항이다.

보안정책 구현 후 NAC 보안정책은 일정기간 Listen Only(시뮬레이션) 모드를 거쳐 Normal 적용을 하게 된다. 잘못된 정책을 바로 적용하였을 경우 네트워크 전반에 걸친 업무에 지장을 초래하게 되므로 내부 업무 사용자 및 IT 관리부서의 업무 효율성을 위해 필요한 부분이다. NAC 구축 및 정책 적용을 완료한 후에는 NAC가 제공하는 End-Point 보안의 필요성과 효과에 대해 다시 한번 만족하게 될 것이다.

NAC 사후 관리

NAC는 궁극적으로 도입한 보안 솔루션 중 가장 강력한 내부 보안제품이 될 것이다. 그러나 NAC는 제품 특성상 사용자의 사용상의 불편을 초래 할 수 있다.

관리자에게는 내부 네트워크 내의 단말기를 관리할 수 있는 좋은 솔루션이지만 사용자에게는 정책 위반 시 네트워크를 차단하는 문제로 사용 중인 단말장치가 감시를 받고 있다는 오해를 할 수 있는 부분이 있다. 사용자에게는 최대한 친근하게 다가갈 수 있는(내가 어떤 정책으로 위반되었는지를 메시지로 실시간으로 보여 주는 Action 등) 정책이 필요하고 하위단계부터 단계별 정책 적용이 필요하다.

관리자 측면에서는 주기적인 로그 점검과 정책 점검으로 최신 해킹 공격들에 대응 할 수 있도록 관심과 주의를 기울여야 한다. 모든 보안 솔루션과 마찬가지로 NAC도 도입하면 다 끝나는 것이 아니라 관리자의 관심과 관리방법에 따라 최대의 보안효과를 낼 수 있기 때문이다.

NAC 구축 점검사항 및 구축방법에 대한 것은 지면 관계상 여기까지 정리하면서 NAC에 대해 관심이 많은 독자들에게 도움이 되기를 바란다. 다음 호에서는 NAC 최근 동향 및 발전방향 등에 대해 간단히 알아보겠다.

<글 : 박영철 포어사이트 Director(pyc@foresight.co.kr)>

[월간 정보보호21c 통권 제112호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)