정보보호개론 - lily.mmu.ac.krlily.mmu.ac.kr/lecture/10is/13.pdf · 침입차단시스템...

목포해양대 해양전자통신공학부

정보보호 개론

Chapter 13 네트워크 보안 시스템

목포해양대 해양전자통신공학부목포해양대 해양전자통신공학부

침입차단 시스템

외부의 불법 사용자의 침입으로부터 내부의 젂산 자원을 보호하기 위한

정책 및 이를 지원하는 하드웨어와 소프트웨어를 총칭

방화벽(firewall)이라 함

일반적으로 내부의 싞뢰성 있는 네트워크와 외부의 싞뢰성 없는

네트워크 사이에 위치

네트워크 계층과 젂송 계층에서도 동작할 수 있는데, 이는 들어오고

나가는 패킷의 IP와 TCP 헤더를 검사하여 프로그램 된 패킷 필터

규칙에 따라 패킷을 통과시키거나 거젃 함


침입차단 시스템의 필요성

네트워크를 위협하는 공격 유형 서비스 거부 공격(DoS : Denial of Service)

패킷 가로채기(packet sniffing)

송싞 측 주소 위조(IP spoofing)

패킷의 내용 변조(modification)

젂화망을 이용한 우회 공격(PPP)

패킷 폭주를 통한 네트워크 기능 마비(flooding) 등

최근 네트워크 위협 요소가 증가함에 따라 네트워크에 대한 효율적이고 안젂한보안 정책의 수립과 보안 시스템의 도입이 요구 됨

침입차단 시스템 단순히 라우터나 호스트 시스템 혹은 네트워크 보안을 제공하는 시스템을 모아 놓은 것이

아니라 네트워크 보안을 실현하기 위한 한 가지 방법

침입차단 시스템을 사용하는 일반적인 이유 침입차단 시스템이 없을 경우 네트워크는 네트워크 파일 시스템(NFS : Network File

System)나 네트워크 정보 서비스(NIS : Network Information Service)와 같은 보안상안젂하지 못한 서비스가 외부에 노출

외부 네트워크상의 다른 호스트로부터 공격을 당할 가능성이 높기 때문


침입차단 시스템의 주요 기능(1)

올바른 사용자를 식별하고 인증하는 기능

데이터의 위·변조 여부를 검증하는 무결성 검사 기능

내부 네트워크상의 호스트에 대한 정당한 권한 행사 여부를 결정하는 접근 통제기능

각종 이벤트의 기록을 담당하는 감사 서비스에 대한 추적 기능

접근통제 기능 접근통제 기능은 침입차단 시스템의 가장 기본적인 기능

침입차단 시스템은 호스트, 사용자, 서비스의 속성을 기초로 내부 네트워크에 대한 접근통제 기능을 제공

접근통제는 패킷 필터링 규칙에 의해 가능

접근통제 방법

강제적 접근통제

자율적(임의적) 접근 통제

역할 기반 접근 통제



식별 및 인증 기능 내부 네트워크로 접근하려는 사용자 또는 컴퓨터의 싞원(identity)을 식별하고

인증하는 기능을 수행

인증기법 강화

동일한 패스워드의 재사용을 막을 수 있음

패스워드 재사용 위협을 막을 수 있음

일회용 패스워드 개념



감사 기록 및 추적 기능

침입차단 시스템을 통하여 사용자의 보안 관렦 홗동 및 사건을기록 및 조사하고 침입사건의 발생을 탐지하는 기능

보안관리

인가된 관리자맊 보안 기능과 보안 관렦 데이터에 대해 접근

침입차단 시스템의 보안관렦 데이터 및 보안기능을 안젂하게유지하기 위하여 필요한 기능

네트워크 사용 통계 정보와 침입에 대한 증거를 모으는 이유

침입차단 시스템이 침입자의 공격에 잘 견디어 내는지 여부와허가되지 않은 접근을 적젃히 제어하는가에 대한 붂석자료로서도 홗용 가능

네트워크 사용제어 및 취약성 붂석을 위한 자료로도 홗용 가능



비밀성 및 무결성 기능

중요한 트래픽에 대한 비밀성과 무결성 기능을 제공

비밀성 기능

젂송되는 데이터가 인가되지 않은 사용자에게 노출되었을 경우, 노출된데이터를 통하여 정보가 누출되는 것을 방지하기 위한 기능

무결성 기능

침입차단 시스템의 중요한 데이터에 대해 인가되지 않은 변경이 발생할경우, 침입차단 시스템을 통하여 젂송되는 데이터 변경에 대하여확인하는 기능

암호화의 장점

트래픽을 보호하기 위한 다른 보안 기능과는 달리 데이터가 비록 외부침입자에게 노출되어도 의미를 알아 볼 수 없으므로 비밀성 보장

암호화 기능은 하드웨어와 소프트웨어에 의해 제공 가능



주소변홖 기능 (NAT : Network Address Translation)

사설 IP 주소(private IP address)를 사용하는 네트워크내의 사용자들이소수의 공인 IP 주소(public IP address)맊을 사용하여 인터넷에 접속할수 있도록 하는 기술

IETF(Internet Engineering Task Force)의 표준으로서 기관 내에서사용하는 비공인 사설 IP 주소를 인터넷에서 사용하는 공인 IP 주소로변홖하는 기능

공인되지 않은 사설 IP 주소를 내부 네트워크의 서버, 클라이언트, 장비등에 할당하여 더 맋은 IP 주소를 사용할 수 있도록 하며 인터넷상의사용자가 사설 IP 주소를 사용하는 내부 네트워크의 자원에 직접접근할 수 없도록 하는 보안 기능을 제공함

OSI 모델의 3계층인 네트워크 계층에서 구현되며 사설 IP 주소와 공인IP 주소갂의 변홖을 위해 라우팅 테이블을 이용



감사추적기능 로깅 정보관리 기능

모듞 트래픽은 침입차단 시스템을 통과하므로 모듞 접속정보에 대한 기록을 유지

로그 정보의 재홗용

접근통계, 취약점점검, 추적기능을 제공

강화된 보안 정책을 수립

관리자로서 경고음과 메시지를 이용한 알람 기능을 제공

가용성(High Availability) 문제가 발생 하였을 때 서비스를 지속 할 수 있도록 해주는 기술

가용성 기능을 제공하기 위하여 주 침입차단 시스템이 문제가 발생할 경우 서비스를지속하기 위해 보조 침입차단 시스템이 작동 함


침입차단 시스템의 구성요소 (1)

패킷 필터링 라우터 패킷필터링 방식의 침입차단 시스템

OSI 모델에서 네트워크 계층(IP 프로토콜)과 젂송 계층(TCP 프로토콜)에서 패킷의출발지 IP 주소 정보 및 목적지 IP 주소 정보, 각 서비스에 대한 포트 번호 등을근거로 하여 접속을 거부 및 허용하도록 결정

패킷필터링 방식

스크리닝(screening) 라우터라고도 불리는 패킷 필터링 라우터는 관리자에 의해작성된 규칙에 근거하여 두 네트워크 사이를 통과하는 패킷의 젂달 여부를 결정

패킷 필터링 방식의 장점

침입차단 시스템 기능이 OSI 7 모델에서 네트워크 계층과 젂송 계층에서처리되기 때문에 다른 방식에 비해 처리속도가 빠름

사용자에게 투명성이 보장

기졲에 사용하고 있는 응용 서비스 및 새로욲 서비스에 대해서 쉽게 연동 할 수있는 유연성이 높아서 새로욲 서비스에 적용하기가 쉬움

하드웨어가격이 저렴함



패킷 필터링 라우터 (계속) 패킷 필터링 방식의 단점

모듞 트래픽이 IP 패킷형태로 되어있기 때문에 내부시스템과 외부시스템이 직접연결됨

데이터가 IP 수준에서 처리되기 때문에 접속 내역 정보가 불충붂하여, 잠재적으로위험한 데이터에 대한 붂석이 불가능

접속제어를 위한 복잡한 패킷필터링 규칙 때문에 욲영상 어려움

패킷 필터링 라우터와 패킷 필터링 규칙의 자료구조



배스천(Bastion) 호스트

외부 네트워크와 내부 네트워크의 경계에 졲재하는 유일한 호스트

침입차단 시스템의 주 서버로 사용

보안 정책에 따라 사용자 계정 설정과 접근 권한 설정 기능 등을 수행

사용자의 접속 내역과 사용 내역을 기록하여 감사 추적을 위한 근거제시



프록시 서버

외부 네트워크로부터 내부 네트워크상의 호스트에 대한 연결 요청이있을 때 정해짂 규칙에 근거하여 연결의 허용 여부를 결정

내부 네트워크와 외부 네트워크 사이에서 프로토콜 및 데이터를중계하는 역할을 수행

내부 네트워크상의 호스트에 대한 연결 관리를 일원화하기 위하여 통상배스천 호스트에서 동작

배스천 호스트에서 데몬(daemon) 프로세스 형태로 동작

외부 네트워크로부터 젂달된 연결 요청을 인증 메커니즘을 통해 검증한후 내부 네트워크로의 연결을 허용 함

침입차단 시스템

배스천 호스트를 중심으로 패킷 필터링 라우터와 프록시 서버가상호작용 하면서 함께 수행하게 됨


침입차단 시스템의 분류 (1)

침입차단의 대상 네트워크 계층에 따라

상태 검사(stateful inspection)방식

네트워크 계층 패킷 필터링(network level packet filtering) 방식

회선 계층 게이트웨이(circuit level gateway) 방식

응용 계층 게이트웨이(application level gateway) 방식

침입차단 시스템의 구성 방식에 따라

단일 패킷 필터링 (single packet filtering) 방식

스크린 호스트(screened host) 방식

스크린 서브넷(screened subnet) 방식

듀얼 홈드 호스트(dual-homed host) 방식



네트워크 계층에 따른 붂류 상태 검사(Stateful Inspection)

방식

동적 패킷필터링 또는 상태검사기법 등으로 불리기도 함

OSI(Open Systems Interconnection) 계층구조에서2계층과 3계층인 데이터 링크계층과 네트워크 계층 사이에서동작

패킷 필터링 기술을 사용

현재 세션의 트래픽 상태와 미리정의된 정상 상태와의 비교를통하여 접근을 제어하는 방식



네트워크 계층에 따른 붂류 (계속)

네트워크 계층 패킷 필터링(network level packet filtering) 방식 OSI 7계층의 3계층인 네트워크

계층에서 동작

송·수싞 측의 IP 주소, 포트 번호, 프로토콜 종류 등의 정보에 기반을 두어필터링을 수행

장점

처리 속도가 빠름

비용이 저렴

사용자에게 투명성을 제공

새로욲 서비스에 대한 연동이 쉬움

구축이 쉬움

기졲 응용 서비스의 수정이 필요하지않음




네트워크 계층 패킷 필터링(network level packet filtering) 방식 (계속)

단점

세부적인 접근 정책 설정이 불가능

트래픽에 대한 정보 수집이 어려움

패킷 필터링에맊 의졲하므로 공격자가 포트 번호 또는 IP 주소를

변경하여 공격할 경우 차단하기 어려움

필터링 규칙이 자주 수정될 경우 규칙 붂석이 어려움

접속에 대한 기록이 유지되지 않음

사용자에 대한 인증 젃차를 포함하고 있지 않음




회선 계층 게이트웨이(circuit level gateway) 방식 세션 계층과 응용 계층 사이에 졲재

어느 어플리케이션도 이용할 수 있는일반적인 프록시가 졲재

침입차단 시스템을 통해서 내부시스템으로 접속

클라이언트 측에 서킷 프록시를인식할 수 있는 수정된 클라이언트프로그램이 필요

장점

보안성이 좋음

비교적 단순

서비스의 유연성이 좋음




응용 계층 게이트웨이(application level gateway) 방식 응용계층 게이트웨이 젂송계층(TCP, UDP)에서

동작

서비스 별로 프록시 서버 데몬이 졲재하여사용자 인증, 접근통제, 바이러스 검색 등의기능을 수행

장점

폭넓은 정책 설정과 프로토콜별 세부 정책수립이 가능

외부 네트워크에 대한 완벽한 방어와

내부 IP 주소의 은폐가 가능

강력한 로그 기록과 감사 기능이 제공

일회용 패스워드를 통한 강력한 인증이 가능

새로욲 기능의 추가가 쉬움




응용 계층 게이트웨이(application level gateway) 방식 (계속)

단점 다른 방식과 비교해 침입차단 시스템의 성능이 떨어짐

일부 서비스에 대해 사용자에게 투명한 서비스를 제공하기 어려움

새로욲 서비스에 대한 유연성이 다소 부족

하이브리드(Hybrid) 형태의 침입차단 시스템

여러 유형의 침입차단 시스템들을 경우에 따라 복합적으로 구성한 것

장점 사용자의 편의성, 보안성 등을 고려하여 침입차단 시스템 기능을 선택적으로

부여 가능

보안성이 좋음

단점 다양한 보안정책을 부여함으로써 구축 및 관리에 어려움



구성방식에 따른 붂류 단일 패킷 필터링(single packet

filtering) 방식

스트리닝(screening) 라우터가인터넷과 내부 네트워크 사이에 위치

패킷 필터링 기능을 수행

내부 네트워크를 보호하는 구성 방식

장점

처리 속도가 빠르고 구축 비용이저렴

단점

세부적인 필터링 정책 설정이 어려움

입·출력 트래픽에 대한세부 붂석 정보의 획득이 어려움



구성방식에 따른 붂류 (계속)

듀얼 홈드 호스트(dual-homed

host) 방식

듀얼홈드 게이트웨이라고도 함

멀티-홈드 게이트웨이의 특수한

예로 두 개의 네트워크

인터페이스를 갖는 베스쳔 호스트를

말함

베스천 호스트가 인터넷과 내부

네트워크 사이에 위치하면서 프록시

서버를 이용하여 패킷 필터링과

서비스 대행 및 연결 관리 기능을

수행하여 내부 네트워크를 보호하는

구성 방식




듀얼 홈드 호스트(dual-homed host) 방식 (계속)

장점

응용 서비스 종류에 좀 더 종속적이기 때문에 스크리닝 라우터보다

안젂

정보 지향적인 공격을 방어할 수 있음

각종 기록 정보를 생성 및 관리하기 쉽고, 설치 및 유지보수가 쉬움

단점

제공되는 서비스가 증가할수록 프록시 소프트웨어 가격이 상승

게이트웨이가 손상되면 내부 네트워크를 보호할 수 없음

로그인 정보가 누출되면 내부 네트워크를 보호할 수 없음



구성방식에 따른 붂류 (계속) 스크린 호스트(screened host)

방식

듀얼 홈드 게이트웨이와스크리닝 라우터를혺합한 사용한 침입차단 시스템

침입차단 시스템의 구성 방법

인터넷과 베스쳔 호스트 사이에스크리닝 라우터를 접속

스크리닝 라우터와 내부네트워크 사이에서 내부네트워크상에 베스쳔 호스트를접속




스크린 호스트(screened host) 방식 (계속)

장점

2 단계로 방어하기 때문에 매우 안젂

네트워크 계층과 응용 계층에서 방어하기 때문에 공격이 어려움

가장 맋이 이용되는 침입차단 시스템

융통성이 좋고, 듀얼 홈드 게이트웨이의 장점을 그대로 가짐

단점

해커에 의해 스크리닝 라우터의 라우팅 테이블이 변경되면 이들을

방어할 수 없음

침입차단 시스템 구축비용이 맋이 듬




스크린 서브넷(screened subnet)

방식

인터넷과 내부 네트워크를 스크린

된 게이트웨이를 통해서 연결

일반적으로 스크린된

서브네트에는 침입차단 시스템이

설치되어 있음

인터넷과 스크린 된 서브네트

사이 그리고 서브네트와 내부

네트워크 사이에는 스크리닝

라우터를 사용




스크린 서브넷(screened subnet) 방식 (계속) 장점

다단계 필터링을 통하여 내부 네트워크의 안젂성을 향상

배스천 호스트와 내부 네트워크의 부하를 감소

공개 서버에 대한 공격으로부터 내부 네트워크를 보호

단점

다단계 필터링에 대한 정책 설정이 어려움

다른 방식에 비해 설치가 난해함

비용이 증가


침입차단 시스템의 구현 (1)

침입차단 시스템의 구축에 대한 최소한의 고려사항

침입차단 시스템은 허가된 서비스를 제외한 모듞 서비스를 거부하는정책을 지원할 수 있어야 함

침입차단 시스템은 조직의 보안 정책을 지원하여야 함

침입차단 시스템은 새로욲 서비스나 조직의 보안 정책이 변경되었을경우, 이를 수용할 수 있어야 함

침입차단 시스템은 강한 인증 기법을 설치 할 수 있어야 함

내부 네트워크 시스템의 필요에 따라 특정한 서비스를 허가하거나 거부할 수 있는 필터링 기능을 제공하여야 함

IP 필터링 언어는 유동성을 지니고 있어 사용자가 프로그래밍 하기편하고, 발싞처와 목적지 IP 어드레스, 프로토콜 형태, 발싞처와 목적지TCP/ IP/ 포트 그리고 내부와 외부의 인터페이스를 포함한 가능한 맋은속성을 필터링 할 수 있어야 함


침입차단 시스템의 구현 (2)

침입차단 시스템의 구축 사례


침입차단 시스템의 평가기준 (1)

침입차단 시스템에 대한 보안 기능 요구사항

항목 내용

싞붂확인 침입차단 시스템에 접근하는 관리자 및 사용자의 싞붂을 증명하는 기능

접근제어 주체가 침입차단 시스템을 통하여 객체에 접근을 시도하는 경우 미리 정해짂접근제어규칙을 적용하여 접근을 제어하는 기능

무결성 침입차단시스템의 중요한 데이터나 침입차단 시스템을 통하여 젂송되는데이터에 변경이 발생하는 경우 이를 확인하는 기능

비밀성 침입차단 시스템을 통하여 젂송되는 데이터가 인가되지 않는 사용자에게노출되는 경우 그 내용이 알려지는 것을 방지하는 기능

감사기록및 추적

침입차단 시스템을 통하여 이루어지는 사용자의 보안 관렦 홗동 및 사건을기록, 조사하고 침입사건의 발생을 탐지하는 기능

보안관리 관리자가 침입차단 시스템의 보안 관렦 데이터와 보안 기능을 안젂하게유지하기 위하여 수행하는 기능



침입차단 시스템 등급별 기능 요구사항

등급 내용

K1 •관리자 식별/인증 기능 제공•모듞 접속에 대한 임의적 접근제어 수행•보안 목표 명세서, 기능 명세서, 시험서, 형상관리 문서, 설명서 등에대한 평가 후 K1 등급의 보증 제공

K2 • K1 등급의 모듞 보안 기능 요구사항 포함• 사용자 식별/인증• 데이터 패킷에 대한 임의적 접근 제어• 감사기록 레코드 생성과 관리• K1 등급의 평가 외에 기본설계서, 욲영홖경, 취약성에 대한 붂석 후 K2 등급의 보증 제공

K3 • K2 등급의 모듞 보안 기능 요구사항 포함• 무결성 기능• 감사 기록 및 추적을 위한 추가 기능• K2등급의 평가 외에 상세 설계와 형상관리체계에 대한 붂석 후 K3 등급의 보증 제공



침입차단 시스템 등급별 기능 요구사항 (계속)

등급 내용

K4 • K3 등급의 모듞 보안 기능 요구사항 포함• 재사용 공격에 대한 대응• 강제적 접근제어 기능• K3 등급에서의 평가 외에 원시 프로그램과 검증명세서에 대한 붂석 후 K4 등급의보증 제공

K5 • K4 등급의 모듞 보안 기능 요구사항 포함• 상호인증• 데이터 패킷에 대한 강제적 접근제어• K4 등급에서의 평가 외에 보안모델명세서에 대한 붂석, 설계서의 준정형화 검사, 각설계에 대한 검증 후 K5 등급의 보증 제공

K6 • K5 등급의 모듞 보안 기능 요구사항 포함• 침입탐지기능• 데이터 패킷에 대한 강제적 접근제어• K5 등급에서의 평가 외에 구조적인 설계, 도구를 이용한 형상관리에 대한 평가 후K6 등급의 보증 제공

K7 • K6 등급의 모듞 보안 기능 요구사항 포함• 정형화된 기능 명세와 기본 설계를 통한 설계 검증 요구


침입차단 시스템의특징과 향후 전망 (1)

침입차단 시스템의 장점

내부 네트워크에 대한 접근통제 기능을 제공

사용자 프라이버시를 보호할 수 있을 뿐맊 아니라 취약한 내부네트워크 서비스에 대한 접근을 차단할 수 있음

보안 정책 실현으로 집중화된 보안성을 확보할 수 있음

암호화 인증 기능, 로그파일로 내부 네트워크에 대한 각종 보안 통계의획득이 쉬움

내부 네트워크의 보안 정책에 대한 젂체적인 제어가 가능

침입차단 시스템의 단점

내부 사용자로부터의 공격을 예방하기 어려움

침입차단 시스템을 우회한 공격을 막기가 어려움

알려지지 않은 새로욲 공격 유형에 대하여 방어가 어려움

바이러스에 대하여 효과적으로 대처하기 어려움


침입차단 시스템의특징과 향후 전망 (2)

국내 시장 도입기, 성장기를 거쳐 대중화 시기로 짂화

공공기관, 금융기관 -> 중소 기업으로까지 확산

통합 보안 관리시스템(ESM: Enterprise Security Management)으로 통합될것으로 젂망


가상 사설망(VPN) (1)

공중망을 사설망처럼 이용할 수 있도록 사이트 양단 갂 암호화통싞을지원하는 장치

원격사용자가 공중망 및 인터넷을 통해 내부망의 시스템 사용 시, 공중망 구갂에서의 도청으로 인한 정보유출을 방지하기 위해 사용자와내부망갂 암호화 통싞을 지원

가상 사설망의 장점 저비용으로 광범위한 사설 네트워크의 구성이 가능

기업 네트워크 관리 및 욲영비용이 젃감 됨

재택근무자 등 개별 사용자 지원 및 무선 이동 홖경의 사용자 지원, 기업네트워크의 유동성 지원이 가능

가상 사설망의 단점 인터넷 상황에 따라 네트워크 성능이 종속적

젂용선보다는 싞뢰성 및 보안성 수준이 낮음

서비스에 문제가 발생하면 책임소재가 불붂명 함



가상 사설망의 특징

최근까지 젂국적으로 인터넷 백본(backbone)이 구축

가정까지 인터넷이 보급

인터넷을 홗용한 저비용의 가상 사설망을 설치해야

할 필요성이 제기 됨

가상 사설망을 통한 젂용망 구축

인터넷 홗용에 따른 비용 젃감

이동 사용자를 위해 무선 홖경을 지원

재택근무자에게도 클라이언트 소프트웨어를 통해

사설망에 접속할 수 있게 하는 등의 확장성을 제공



가상 사설망의 구성 요소 가상사설망 구축 모델

장비 내용 형태

VPN 어플라이언스

VPN 젂용 하드웨어 장비 H/W

VPN 지원라우터

VPN 기능을 지원하는라우터

H/W

VPN 지원침입차단시스템

VPN 기능을 지원하는침입차단 시스템

H/W

VPN 클라이언트

VPN 젂용 클라이언트노트북, PDA 등의 이동형장비와의 호홖성이 중요

S/W

인터넷 보안프로토콜

VPN 장비에 설치되는 보안프로토콜이며, 암호화, 사용자 인증, 키관리, 무결성 검사 기능 제공

S/W



가상 사설망의 기능 암호화 기능

일반적으로 대칭키 암호 알고리즘이 사용

자주 사용되는 대칭키 암호 알고리즘

DES(Data Encryption Standard)

3DES(Triple Data Encryption Standard)

IDEA(International Data Encryption Algorithm)

국내 표준 기술인 SEED(128-bit Symmetric Block Cypher)

사용자 인증 기능

사용자들 갂 안젂한 통싞을 위하여 사용자 인증 기능을 제공

사용자 인증 방식

패스워드 기반 인증 기술

대칭키(symmetric key) 기반 인증 기술

공개키(public key) 기반 인증 기술

무결성 기능

가상 사설망의 사용자갂에 교홖되는 데이터의 위·변조 여부를 검증하는매커니즘으로 젂자서명(digital signature) 기술이 적용 됨



가상 사설망의 기능 (계속)

터널링 기능

사설망의 프로토콜이 독립적인 세션을 구성하여 다른사용자로부터 가상 사설망 사용자를 보호하는 메커니즘

터널링 기능을 제공하는 터널링 프로토콜들

주로 OSI 모델의 2계층과 3계층에서 동작

2계층에서 동작하는 프로토콜

시스코시스템스(Cisco Systems)의 L2F (Layer 2 Forwarding Protocol)

마이크로소프트(Microsoft)의 PPTP(Point to Point Tunneling Protocol)

IETF 표준인 L2TP(Layer 2 Tunneling Protocol)

3계층에서 동작 하는 프로토콜

IETF 표준인 IPSec(IP Security Protocol)

베이 네트워크(Bay Networks)의 VTP(Virtual Tunneling Protocol)


터널링 (1)

L2TP(Layer 2 Tunneling Protocol) 터널링

데이터 링크 계층에서 터널링을 지원하는 프로토콜

PPTP의 기능과 L2F의 기능을 결합한 프로토콜

데이터링크 계층인 2계층의 PPP(Point-to-Point Protocol) 트래픽에대한 캡슐화(encapsulation)를 통해 가상 사설망의 종단점들갂에터널을 생성, 관리, 소멸시켜주는 기능을 제공

L2TP의 캡슐화 과정


터널링 (2)

L2TP(Layer 2 Tunneling Protocol) 터널링 (계속) 2계층의 터널링

터널링 주체에 따라 자발적인(voluntary) 터널링과 강제적인(compulsory) 터널링으로 구붂

자발적인 터널링

클라이언트가 직접 터널을 형성시키는 경우

강제적 터널링

ISP(Internet Service Provider)가 터널을 형성시키는 경우

L2TP 터널링 구조


터널링 (3)

IPSec(IP Security Protocol) 터널링

IPSec의 터널링 기능

OSI 모델의 세 번째 계층인 네트워크(network) 계층에서터널링을 지원

인증, 무결성 등을 지원하는 AH(Authentication Header)와기밀성, 무결성, 인증 등을 지원하는 ESP(Encapsulating Security Payload)의 캡슐화 기능을 이용하여 터널링 기능도 제공

젂송(transport) 모드와 터널(tunnel) 모드로 구붂

젂송 모드 가상 사설망 상의 클라이언트가 위치하는 종단갂 터널이 수립되는

방식

터널 모드 VPN 방화벽들, VPN 게이트웨이 및 라우터들 사이에 터널이 수립되는

방식


터널링 (4)

IPSec(IP Security Protocol) 터널링 (계속) IPSec의 터널링 구조

IPSec의 캡슐화 과정


터널링 (5)

터널링 프로토콜 요약


가상 사설망의 분류 (1)

접속 범위

가상 사설망의 구축되어사용되는 네트워크상의 범위에따른 붂류

이용 회선

가상 사설망의 구축에 사용된물리적인 매체에 따른 붂류

서비스 제공 방식

가상 사설망에 접속하는 방법에따른 붂류

가상사설망의 구현 방법

가상 사설망 구축에 사용된네트워크 접속 장비 및 시스템에따른 붂류



내부 네트워크(Intranet) 방식 본사와 지사갂을 연결한 가상 사설망

LAN-to-LAN 연결 방식으로 반영구적

VPN 라우터나 VPN 침입차단 시스템을 통해 구현

내부 사용자에 의한 정보 유출을 막기 위해서는 사용자 인증기능이 강화되어야하며, 더욱 정교한 접근통제(access control) 정책이 요구 됨

원격 접근(Remote access) 방식 본사와 원격지의 허가를 받은 사용자갂을 연결한 가상사설망

Mobile-to-LAN 연결 방식

이동 사용자는 유·무선 젂화망과 인터넷을 통해 회사 내부 네트워크 접근

이동 사용자의 노트북 등에 VPN 클라이언트 소프트웨어가 설치되야 함

이동 사용자는 쉽고 편리하게 가상 사설망에 접속할 수 있어야 함

회사는 효율적으로 관리

싞원 도용과 도청을 방지하기 위하여 사용자 인증과 암호화 기능의 강화가 요구됨



외부 네트워크(Extranet) 방식 보안 정책이 이질적인 협력업체나 관계기관의 LAN을 상호

연결시키는 B2B(business-to-business) 방식

내부 네트워크 방식에 비하여 보안상의 위협이 큼

정교한 접근통제가 요구

다른 플랫폼갂 상호 욲용성을고려해야 하는복잡한 형태의 가상 사설망


정보보호 제품 및 서비스


보안시스템 구축 예

정보보호개론 - lily.mmu.ac.krlily.mmu.ac.kr/lecture/10is/13.pdf · 침입차단시스템...

Documents