[특집]사전 환경조사가 NAC 도입 성공의 관건

NAC 시스템을 구축하는데 있어서는 가장 중요한 부분은 사전 환경조사 절차이다. 네트워크 구성정보를 잘못 파악하였거나 클라이언트 환경에 대한 정보가 부족할 경우 사전 환경조사에서 부정확한 정보를 파악하게 되면 NAC 도입 과정에서 사용자의 업무불편 또는 네트워크 중단 등 업무에 지장을 초래할 수 있는 불편함을 야기할 수 있다. 따라서 사전 환경조사 과정에서는 반드시 현장을 방문하여 NAC 도입 체크리스트에 따라 사전 환경을 파악해야 한다.

NAC(Network Access Control : 네트워크접근제어) 솔루션은 내부 네트워크에 존재하는 IP를 가진 장치에 대해 보안요건(Compliance)을 준수하도록 함으로써 단말기를 통한 보안위협 및 보안사고를 사전탐지 및 차단하기 위한 Internal Network Access Control & EndPoint Enforcement 제품이다.

최근 보안사고의 발생현황 통계를 보면 발생되는 보안사고는 외부에서의 원인보다는 내부 장치의 취약성 또는 관리부실로 인한 원인이 대부분을 차지하고 있는 것을 알 수 있다. 내부 단말기의 패치 미적용 등 취약성으로 인해 웜이나 유해트래픽을 발생하여 정보를 유출하거나 내부망을 혼란하게 하는 사례가 좋은 예이다. 본 고에서는 NAC의 도입 및 구축을 위하여 사전 점검사항, 구축 프로세스 및 각 프로세스 별로 어떤 정책을 적용해야 하는지에 대해 정리하도록 하겠다.

NAC 구축 절차

NAC를 구축하려면 먼저 NAC의 기능을 어디까지 구현할 것인지 정확히 설정하고 네트워크 인프라와 사용자 환경을 면밀히 파악해 구축 절차를 수립하는 것이 중요하다. 그렇지 않으면 네트워크 인프라를 교체해야 하는 많은 투자비용이 발생할 수도 있다. 일반적으로 NAC 시스템은 표 1과 같은 구축 절차를 통해 진행을 하게 된다.

특히 NAC 시스템을 구축하는데 있어서는 가장 중요한 부분은 사전 환경조사 절차이다. 네트워크 구성정보를 잘못 파악하였거나 Client 환경에 대한 정보가 부족할 경우 등 사전 환경조사에서 부정확한 정보를 파악하게 되면 NAC 도입 과정에서 사용자의 업무불편 또는 네트워크 중단 등 업무에 지장을 초래할 수 있는 불편함을 야기할 수 있다. 따라서 사전 환경조사 과정에서는 반드시 현장을 방문하여 NAC 도입 체크리스트에 따라 사전 환경을 파악해야 한다.

NAC 구축 전 사전 점검사항

NAC 구축을 위해서 사전 환경조사는 필수적이다. 체크리스트를 통하여 필요한 점검항목 조사는 물론이고 현장방문을 통하여 실제로 구축하는 NAC 제품과 네트워크 구조상의 문제점은 없는지, 장치 및 사용자 인증 시스템은 어떤 시스템을 사용 중인지, 네트워크 중단 등 업무에 영향을 주는지, NAC에서 통제하는 네트워크 장비가 오래된 장비로 펌웨어 등 패치가 필요한지, Multiple Network Vendor 제품을 운영 중인지, VoIP를 사용 중인지, Client 환경에 따라 추가개발요소가 있는지, 무선 단말기들이 존재하는지, 이/기종 네트워크 환경인지, 외주업체나 방문자의 출입 등이 얼마나 많은지, 네트워크 구성이 3-Tier 구조인지 2-Tier 구조 인지 등 조사가 필요하다. 그리고 NAC 장비의 설치 대수와 환경에 따라 투자비용이 상당히 증가하는 경우가 발생하며 배치위치에 따라 고려해야 할 성능과 제어범위의 차이가 발생하고 제품의 장애 시 발생되는 파급효과 및 대비책도 반드시 점검해야 한다.

관리대상 선정 및 인증

환경조사 단계를 지나 NAC 시스템을 구축하게 되면 NAC 시스템에서 관리할 대상 단말장치에 대한 범위를 선정해야 한다. NAC를 도입하는 주 목적이 내부 네트워크의 단말장치에 대한 접근제어를 통한 안전한 내부 네트워크 보호이므로 보호대상 범위를 정확히 분류하여 내부사용자, 외부협력업체, 방문자 등 사용자 네트워크에 대한 사용 운영 범위를 선정해야 한다. 관리대상이 NAC의 통제범위 안에 등록되면 NAC에서는 대상 네트워크 범위 안에서 보호할 사용자 및 연결장치를 감지하여 해당 정보를 수집하여 업무역할별로 분류하게 된다.

관리할 대상 단말장치에 대한 식별이 완료되면 NAC에서는 단말장치 및 사용자에 대한 인증작업을 수행한다. 여기서는 사용자 인증을 수행 시 운영중인 인증 시스템에 대한 사전 분석이 필요하다. NAC 시스템의 인증 지원은 각 제품별로 인증시스템과 호환 또는 추가적인 개발지원이 필요할 수 있기 때문이다.

해외에서는 사용자 인증 시 AD(Active Directory) 인증이 일반적으로 많이 사용되고 있으나 국내에서는 아직은 많이 사용하고 있지 않고 장치 인증 방법을 사용하고 있는 기관이 많이 있다. AD 인증, LDAP 인증 또는 802.1x 인증 등 간에 사용자 인증이 필요할 경우에는 NAC에서 인증 시스템과 연동이 기본적으로 지원이 되어야 한다. NAC에 따라서 자체적으로 인증시스템에 대한 Plug-in을 제공하기도 하고 추가적으로 개발지원이 필요할 수도 있으므로 제품 검증 시 사전에 잘 판단해야 할 요소이다. 특히 802.1x와 같은 경우는 Port Based Authentication을 구현한 기술로 표준화된 Protocol이고 또한 네트워크 단의 최종 말단 스위치(End Point와 접속되는) 및 무선 AP(Access Point)에서 사용자 인증을 통해 접근을 제어하는 기술이다.

단말장치에 Supplicant(인증프로그램)이 반드시 설치되어야 하고 인증을 받은 후에만 비로소 IP 통신을 할 수 있다는 문제로 신규접속 사용자의 Supplicant 배포 문제(없는 경우 통신자체가 안됨), 지원되지 않는 단말에 대한 통제 문제, 하나의 특정포트를 막는 것이 그 포트 하단의 Non 802.1x 스위치 전체를 차단하게 되는 단점들도 가지고 있으므로 잘 판단해야 할 부분이다.

NAC 보안정책

NAC에서 구현되는 보안정책은 네트워크 접근제어, 네트워크 위협통제, 단말장치 무결성, 컴플라이언스로 크게 분류할 수 있다. 각각의 기능들이 분리되어 동작되는 게 아니라 유기적인 연결을 통해 복합적인 기능을 수행하도록 되어 있다. NAC 보안정책은 보안관리자에 의해 다양한 형태로 생성하여 적용할 수 있는 유연성(Flexibility)을 제공해야 한다. 일부 NAC 제품에서는 Binary 형태로 고정된 정책만 사용할 수 있도록 기능 구성이 되어 있는데 이는 업무부하와 생산성 및 사용자에게 혼란을 일으킬 수 있는 단점들을 가지고 있다.

수립해야 할 기본적인 보안정책에 대해서 정리하면 다음과 같다.

Network Access Comtrol(네트워크 접근 통제)

OS & Non-OS 장치에 대한 분리 식별
방문자가 네트워크에 접속하는 순간 해당 장치를 탐지한 후 웜/바이러스 등 악성코드에 감염되지 않았는지 정밀한 조사
감염된 경우 가상 방화벽 차단, 격리 및 치료 VLAN에 배치, 스위치 포트 차단 등을 수행한 후 방문자와 관리자에게 감염사실을 통지
감염되지 않은 경우 정책 준수 점검을 시도하고 방문자 전용구간에 배치
IP 변경 추적 및 통제 기능을 제공하여 임의적인 변경이 일어나지 않도록 조치
방문자가 필요한 권한에 따라 네트워크에 활동할 수 있도록 인증프로세스 진행(IP, MAC, Hostname, Active Directory, Radius 서버 등)
방문 역할별 장치 연결, 연결 후 정책 위반 시 광범위한 대응조치 수행
인증된 모든 장치를 지속적으로 모니터링 하여 정책 준수 유지
White List/Black List를 통한 진보된 접근제어
내부직원 및 협력업체 직원이라 하더라도 인증 프로세스를 거쳐 사용자의 신원 확인
Virtual F/W(가상방화벽) 정책에 의해 사용자 역할별 접근 권한 부여 및 주어진 권한에 한해 네트워크 접근 사용

Network Threat Control(네트워크 위협 통제)

ARP 스푸핑에 의한 공격 탐지 및 방지 정책
내장된 행위기반 IPS를 통해 ZeroDay 웜 탐지 및 포트 차단
감염된 장치로부터의 공격을 차단하기 위해 감염장치의 스위치 포트 Disable, 트래픽을 유발하는 특정 포트만 차단, 감염된 장치 격리 VLAN구간으로 이동 및 치료, 네트워크에 중대 영향 시 컴퓨터 종료처리
사용자 행위기반 분석을 통한 사전 행위를 탐지하여 격리 VLAN으로 이동, 해당 장치의 화면에 경고 통보, 가상 방화벽이 동적으로 IP가 아닌 사용자를 차단, 스위치 포트 Disable로 네트워크 사용 중지
P2P/Messenger 사용통제, 공유 디렉토리 사용 통제, Dual Network 통제

단말장치 무결성

다양한 Client(Windows, Linux, Macintosh, Mobile OS, Workstation 등)에 대한 장치 인식, 식별 및 자산관리 정책
OS/프로그램 패치 정보 수집 및 미 패치 장비에 대한 격리 및 메시지 경고 통보
다양한 백신 시스템 정보 수집 및 백신 미 패치 장비에 대한 격리 및 메시지 경고 통보
반드시 사용해야 하는 프로그램과 사용하지 않아야 되는 프로그램 탐지 및 강제화에 의한 단말기 통제
가상 머신 관리 정책
스크린 세이버 관리 및 암호 설정
외부 장치 매체 제어(USB, Bluetooth, DVD/CD-ROM, PDA, PCMCIA 등)

컴플라이언스

사내 정보보호 관리체계 보안 요건 준수 점검
국가정보원 정보보호 가이드 보안요건 준수 점검
PCI-DSS, SOX, ISO 27001 등 보안요건 준수 체계 정립 및 준수 점검

보안정책을 구현하는데 있어서 Client/Clientless에 따라서 정책구현 방법이 다를 수 있고 장단점이 있을 수 있다. Client는 단말장치에서 대부분 보안정책이 수행되는 구조이고 Clientless는 NAC 장비에서 보안정책을 수행하는 구조로 볼 수 있다. Client 구조는 주기적인 패치, 장애발생 및 버전 변경 시 관리적인 비용 및 HelpDesk 비용이 많이 발생 할 수 있으므로 도입 검토시 고려를 해야 할 사항이다.

보안 정책 구현 후 NAC 보안정책은 일정기간 Listen Only(시뮬레이션) 모드를 거쳐 Normal 적용을 하게 된다. 잘못된 정책을 바로 적용하였을 경우 네트워크 전반에 걸친 업무에 지장을 초래하게 되므로 내부 업무 사용자 및 IT 관리 부서의 업무 효율성을 위해 필요한 부분이다. NAC 구축 및 정책 적용을 완료한 후에는 NAC 제공하는 End-Point 보안 필요성과 효과에 대해 다시 한번 만족하게 될 것이다.

<글 : 박영철 포어사이트 상무, CISA(pyc@foresight.co.kr)>

[월간 정보보호21c 통권 제121호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)