[CISCO Network Security] 3장 Cisco PIX 방화벽

안녕하세요 뿅뿅뽁입니다.

1,2장에서 네트워크에 대한 모델, 계층별 보안법과 악성코드 및 공격, 방어를 알아보았습니다.

오늘은 PIX 방화벽에 대해 알아 볼려고 합니다. 원래 개념위주로 글을 쓸려고 했는데, 아무래도 장비와 실습을 해야 개념도 생기고 저 또한 공부가 될 것 같아 이렇게 할려고 합니다.

1. PIX방화벽이란

네트워크 접근을 제어하며 각 회사의 필요에 맞는 보안 정책을 적용시킵니다. 쉽게 말해 필터링을 제공해주는 장비라 생각하시면 됩니다.

PIX는 내부네트워크와 인터넷사이에 두어 필터링 할 수 있게 설치해주어야 합니다.

여기서 Routing and Switching을 하신 분들은 라우터에 ACL 자체 필터링이 있는데 굳이 PIX  장비를 쓰는 이유를 궁금해 하실 것으로 생각됩니다.

PIX vs Router

공통점 : 출발지/목적지 IP주소와 TCP/UDP 포트 번호를 이용한 패킷 필터링을 제공합니다.

차이점 : 라우터와 달리 PIX는 URL, ActiveX, Java 필터링, Flood Defender, IP Frag Guard 등 많은 기능을 제공합니다.

           

            라우터 : 패킷 라우팅이 주 목적      PIX : 보안 기능이 주 목적

PIX 방화벽 시리즈는 아래와 같습니다.

2.  PIX의 기능

PIX는 위에서 언급했다싶이 보안 전문 장비로 설계 되었기 떄문에 많은 보안 기능을 제공합니다. 이 책은 2005년에 출간된 책이라 현재는 많은 보안기능과 방법, 공격기법이 나왔지만 이 책을 기준으로 기술하겠습니다.

2.1 패킷 필터링

외부에서 내부 네트워크로 들어오는 인바운드 트래픽을 제한하는 방법입니다. 라우터의 ACL과 유사해 설명은 생략하겠습니다.

2.2 프록시 서버

OSI7계층의 상위 계층을 검사하는 장치. 프록시 서버는 출발지와 목적지를 별도의 연결을 맺음으로서 연결하고, 특정 프록시 서버는 사용자에게 인증을 요구하기도 합니다. 그러나 제한된 프로토콜만을 지원하고 인증을 할 경우 성능이 낮아진다는 단점이 있습니다.

2.3 상태 감시(Stateful Filtering)

패킷을 분석하여 패킷에 대한 많은 정보를 테이블에 저장하는 안전한 방법. TCP연결을 맺을 때마다, 그 정보가 상태 감시 세션 플로우 테이블에 자동으로 기록되고, PIX는 인바운드 패킷을 세션 플로우 테이블과 비교하여 적절한 연결이 존재할 때만 통과시킵니다.

2.4 NAT, PAT (네트워크 주소 변환, 네트워크 주소 포트 변환)

네트워크를 감춰주는 기능. Routing and Switching에서 내부와 외부를 연결하기 위해 NAT을 사용 했듯이 NAT을 사용하는 궁극적인 목표는 IP주소의 고갈 문제를 막기 위해서입니다. 그래서 NAT에 전적으로 보안을 의존하는 것은 좋지 않습니다.

2.5 IPSec

전자 인증서 또는 미리 공유한 키를 통한 VPN 접근을 제공합니다.

2.6 Flood Defender, Flood Guard, IP Frag Guard

2장에서 배운 TCP SYN 홍수 공격, IP 분할 공격으로부터 네트워크를 보호하며 AAA서비스의 비정상 로그인 시도에 대한 허용장치를 제어합니다. AAA에 대해서는 추가적으로 배우겠습니다.

2.7 DNS Guard

아웃바운드 DNS 요청을 식별하여 오직 하나의 DNS 응답만을 받도록 합니다.

2.8 FTP, URL 로깅

사용자가 입력하는 인바운드/아웃바운드 FTP 명령, URL을 보여줍니다.

2.9 Mail Guard

외부에서 내부 이메일 서버에 연결하는 SMTP 접근을 안전하게 보호해줍니다.

2.10 Active 블로킹

HTML object 명령을 막고 HTML 웹 페이지에서 주석처리를 합니다. 간단히 말하자면 웹에서 공격할 수 있는 코드를 막는것입니다.

2.11 Java 필터링

내부 네트워크의 호스트가 Java 애플릿을 다운로드하는 것을 막을 수 있도록 합니다.

2.12 URL 필터링

NetPartners WebSENSE 제품과 함꼐 사용되므로 생략하겠습니다.

2.13 AAA

AAA서버 (ex. RADIUS, TACACS+ 등)와 연동하여 인증, 인가, 어카운팅 기능을 제공합니다.

그 외에도 PIX OS가 업데이트가 되면서 CPU 이용률 통계, 장치 관리자, 스키니 포로토콜 지원, VPN클라이언트, 세션 상태 감시 공유 등을 제공합니다.

3. 초기설정

password, IP 설정, NAT, PAT은 따로 적지 않겠습니다. 왜냐하면 제가 적는 것보다 더 잘 아시는 분들이 포스팅 하신것을 보는 것이 더 정확할 뿐더러 Routing and Switching에서 했던 방식과 유사합니다. 따라서 보안정책 설정하는 것만 적겠습니다.

4. 보안 정책 설정

보안 정책은 네트워크 보안에서 가장 중요한 요소입니다. 관리자로서 정책을 설계할 때 많은 것을 고려해야 하는데, 보호할 자원을 파악하는 것, 보안 위험과 비용/생산성의 균형을 맞추는 것, 로그를 남기는 것은 매우 중요합니다. 그리고 로그는 우리가 보안 정책의 약점을 찾는데 많은 도움을 줄것입니다. 암호 또한 길고 불규칙적이게 만드는 것이 중요합니다. 추후에 암호화에 관하여 포스팅 하겠지만 무작위로 넣어서 대조하는 프로그램인 John the Ripper 프로그램으로 해시코드를 해독한 결과 4자리는 1초, 5자리는 3분 6자리는 10분 걸렸었습니다. 따라서 8자리 이상 암호를 넣는 것을 권장합니다.

4.1 보안 전략

보안 정책은 안전한 네트워크를 설계 할 때 가장 중요하지만 세상에 완벽히 안전한 네트워크는 불가능합니다. 보안 정책의 목표는 보안과 비용/생산성간의 균형입니다. 예를들어 내부와 외부를 분리하는 것이 가장 좋지만 회사 직원들이 웹을 통해 자료를 찾도록 허용하는 것이 필수적이라면 그렇게 하는 것이 좋습니다. 이러한 요인들을 따져서 보안 정책을 사전에 명확히 정의하고 방화벽을 구축해야 합니다.

4.2 명시적으로 허용하지 않은 모든 것을 거부

보안 정책에서 가장 많이 쓰이는 전략중 하나가 특정한 IP 트래픽만을 허용하고 나머지를 거부하는 것입니다.  이 방법은 Routing and Switching 에서 사용했던 ACL의 맨 끝에 명시적 deny all 문장을 추가하는 것과 동일합니다.

4.3 명시적으로 거부하지 않은 모든 것을 허용

이것은 4.2와 반대 방법으로 ACL 마지막에 permit all 문장을 추가하는 것입니다. 그러나 이 방법은 Routing and Swtiching에서 배웠다싶이 권장하지 않습니다. 안전하지도 않을 뿐더러 트래픽 종량제로 과금을 하는 상황에서는 이러한 정책 때문에 소비자들이 많은 돈을 내야하기 때문입니다.

4.4 보호할 자원 파악

보안 정책의 관점에서 자원이란 회사에 금전적 또는 다른 측면에서 손해를 입히는 공격에 취약한 모든 네트워크 장치라고 정의할 수 있습니다. 중요한 것은 보호해야 할 자산을 신중히 평가하는 것이고 취약한 영역도 보안 정책을 구현하기 전에 미리 파악해야 합니다. 하지만 웹사이트를 회사 내부에서 운영하는 경우는 NAT을 이용해 IP를 변환하는 방법을 생각해 볼 수있지만 보안 정책에 따라 위험이 클 수 있습니다. 이럴 경우는 공개 서버들을 배치할 비무장 지대를 만드는 방법을 생각해 볼 수 있습니다.

4.5 비무장지대

DMZ. 비무장지대는 내브 네트워크, 외부 네트워크와 논리적 그리고 물리적으로 구분된 영역입니다.  DMZ는 PIX에 추가 NIC를 설치하여 만들 수있습니다.(인터페이스가 추가 안되는 모델도 있습니다^^:;) 이렇게 DMZ를 만들면 관리자는 내부/외부 모두에서 접근해야 할 공개 서버를 다른 영역으로 빼 놓을 수 있습니다.

위의 그림과 같이 DMZ로 뺴놓으면 서버는 내부/외부에서 이용하면서 내부 네트워크가 외부에 공개되는 것을  막을 수 있습니다.

5. 구현할 보안 서비스 구분

보안 정책의 설계에 따라 내부 네트워크 설계와 구현이 달라집니다. 보안 정책 설계 때 고려해야 할 요소들을 살펴 보겠습니다.

5.1 인증과 인가

어떤 사용자의 정체를 확인하는 것(인증)과 사용자가 호스트에 접근하기 위해 어떤 서비스를 사용할 수 있는지 파악하는 것(인가)입니다.

군대를 다녀오셨으면 비밀문서를 열람하기 위한 비취인가증이라 생각하시면 됩니다. 관리자는 보호해야 할 자원, 그 자원에 접근할 수 있는 사용자의 유형, 사용자가 그 자원에 접근하기 위해 사용해야 할 서비스를 명시한 보안 정책을 설계하고, 다 만들어 졌으면 인증 서버를 설치하여 그 보안정책을 구현해야 합니다. AAA에 대해서는 6장에서 기술하겠습니다

5.2 접근 제어 

ACL을 이용해 트래픽을 필터링하여 자원을 보호하는데 도움을 줄 수 있습니다

5.3 기밀성

암호화하지 않은 데이터들은 쉽게 탈취하여 볼 수 있습니다. password 같은 것이 탈취되면 그 피해가 심각해질 수 있음으로 암호화하기 위한 프로토콜을 사용해야 합니다. IPSec 같은 것으로 암호화 할 수 있고 자세한 것은 5장에서 설명하겠습니다.

5.4 URL, ActiveX, Java 필터링

PIX에 URL을 필터링하여 특정 사이트에 접근을 금지할 수 있고 ActiveX는 워크스테이션을 다운시키거나, 네트워크 보안 문제를 야기하거나 서버가 죽도록 할 수있으므로 이것을 막기 위해 블로킹을 해줍니다. Java 필터링으로 애플릿이 클라이언트로 다운로드 되는 것을 막아줍니다.

PIX에 대한 대략적인 내용은 이정도입니다. 3장에서는 1,2장을 이해한 내용으로 PIX장비를 이용하여 보안 정책을 수립, 설계하는 것을 배웠습니다. 다음 장에서는 트래픽 제어에 대해 적겠습니다.