차이

문서의 선택한 두 판 사이의 차이를 보여줍니다.

차이 보기로 링크

다음 판
이전 판
다음 판 양쪽 다음 판
wiki_security_corp:a금융사_방화벽_정책_최적화_수립_컨설팅_사례 [2014/09/02 19:17]
wiki1122 새로 만듦
wiki_security_corp:a금융사_방화벽_정책_최적화_수립_컨설팅_사례 [2015/04/13 11:12]
wiki1122
줄 1: 줄 1:
 {{keywords>​ISO27001,​BS10012,​인증범위정의서,​국제표준,​BSI표준,​정보자산,​IT,​Non-IT,​금융그룹,​이해관계자,​실무자,​인증,​유지관리,​인증획득,​컨설팅,​상위감독기관,​관리체계,​보안솔루션,​금융기업,​금융감독원,​APT,​Zero-day,​유출사고,​그룹정책,​정보보호,​정보보안,​개인정보보호,​현장실사,​인터뷰,​위험평가,​위험조치계획,​취약점진단,​모의해킹진단,​정책,​지침,​마스터플랜,​계획서,​결과보고서,​금융그룹,​년간취약점진단,​방화벽,​보안정책,​미사용정책,​휴면정책,​불필요한정책,​최적화,​프로젝트성공요인,​컨설팅산출물}} {{keywords>​ISO27001,​BS10012,​인증범위정의서,​국제표준,​BSI표준,​정보자산,​IT,​Non-IT,​금융그룹,​이해관계자,​실무자,​인증,​유지관리,​인증획득,​컨설팅,​상위감독기관,​관리체계,​보안솔루션,​금융기업,​금융감독원,​APT,​Zero-day,​유출사고,​그룹정책,​정보보호,​정보보안,​개인정보보호,​현장실사,​인터뷰,​위험평가,​위험조치계획,​취약점진단,​모의해킹진단,​정책,​지침,​마스터플랜,​계획서,​결과보고서,​금융그룹,​년간취약점진단,​방화벽,​보안정책,​미사용정책,​휴면정책,​불필요한정책,​최적화,​프로젝트성공요인,​컨설팅산출물}}
 +
 +* 사업 등 관련 문의: T) 02-322-4688,​ F) 02-322-4646,​ E) [[info@wikisecurity.net]] ​
 +
 ===== A금융사 방화벽 정책 최적화 수립 컨설팅 사례 ===== ===== A금융사 방화벽 정책 최적화 수립 컨설팅 사례 =====
  
줄 9: 줄 12:
  
 ==== [ 배경 및 주제 ]==== ==== [ 배경 및 주제 ]====
-- A금융사는 년간 2회 이상의 기술적 취약점 진단을 수행하고 있었으며,​ 매회때마다 정기적인 취약점 진단이외에 ​한가지씩의 ​심층진단 이슈를 정하고 진행하였다. \\+- A금융사는 년간 2회 이상의 기술적 취약점 진단을 수행하고 있었으며,​ 매회 때마다 정기적인 취약점 진단이외에 심층진단 이슈를 ​한가지씩 ​정하고 진행하였다. \\
 - 당해의 심층진단 이슈는 대부분의 네트워크 방화벽 실무자에게 고민거리인 보안정책의 최적화이다. \\ - 당해의 심층진단 이슈는 대부분의 네트워크 방화벽 실무자에게 고민거리인 보안정책의 최적화이다. \\
 - 방화벽 정책의 최적화는 보안점검 항목의 일부분이기도 하지만 모든 서비스의 내용과 특성을 잘 파악하고 있지 못하는 방화벽운영자 입장에서는 머릿속 한 구석에 항상 존재하는 골치거리 중에 하나이기도 하다. \\ - 방화벽 정책의 최적화는 보안점검 항목의 일부분이기도 하지만 모든 서비스의 내용과 특성을 잘 파악하고 있지 못하는 방화벽운영자 입장에서는 머릿속 한 구석에 항상 존재하는 골치거리 중에 하나이기도 하다. \\
-- 이에 따라 A금융사는 이번 취약점 진단의 일환으로 내부와 외부 네트워크 방화벽에서 운영중에 보안정책을 최적화방안을 의뢰하였다. \\ +- 이에 따라 A금융사는 이번 취약점 진단의 일환으로 내부와 외부 네트워크 방화벽에서 운영중에 보안정책을 최적화하는 ​방안을 의뢰하였다. \\ 
-- 방화벽 정책 최적화 방법은 각 정책별 서비스 담당자를 인터뷰하고 방화벽 정책설정 요청이나 신청서를 모두 확인하여 해당 정책의 실효성 여부와 적절성 여부를 확인하는 방법도 있으나 실질적으로 해당 서비스 담당자들이 이를 인지하고 있는 경우는 상당히 드물며, 모든 정책들이 신청서와 같은 증적이 남아 있는 곳 또한 상당히 드문것이 대부분의 기업과 기관의 실무현황이다. \\ +- 방화벽 정책 최적화 방법은 각 정책별 서비스 담당자를 인터뷰하고 방화벽 정책설정 요청이나 신청서를 모두 확인하여 해당 정책의 실효성 여부와 적절성 여부를 확인하는 방법도 있으나 실질적으로 해당 서비스 담당자들이 이를 인지하고 있는 경우는 상당히 드물며, 모든 정책들이 신청서와 같은 증적이 남아 있는 곳 또한 상당히 드문 것이 대부분의 기업과 기관의 실무현황이다. \\ 
-- 이에 당사는 외국의 사례와 관련기법을 연구하여 방화벽 보안정책의 객체단위와 방화벽 로그를 매핑하여 정책의 사용도를 분석하는 기법을 적용함으로써 사용되지 않는 보안정책과(휴면정책) 불필요한 정책, 중복적인 정책을 통계화함으로써 ​방화벽 보안정책의 최적화 방안을 제시하였다. \\+- 이에 당사는 외국의 사례와 관련기법을 연구하여 방화벽 보안정책의 객체단위와 방화벽 로그를 매핑하여 정책의 사용도를 분석하는 기법을 적용함으로써 사용되지 않는 보안정책과(휴면정책) 불필요한 정책, 중복적인 정책을 통계화하여 ​방화벽 보안정책의 최적화 방안을 제시하였다. \\
 - 방화벽을 비롯한 보안정책이 적용되는 보안시스템들은 대부분 신규 보안정책에 대한 관리는 잘 운영되지만 정책 적용기간 연장 등으로 정책에 대한 변경관리는 어려운 것이 현실이기 때문에 장기간 운영된 보안솔루션에 대해서는 년 1회 이상은 보안정책의 최적화 분석을 수행하여 정책정비를 수행하는 것이 효과적이다. \\ - 방화벽을 비롯한 보안정책이 적용되는 보안시스템들은 대부분 신규 보안정책에 대한 관리는 잘 운영되지만 정책 적용기간 연장 등으로 정책에 대한 변경관리는 어려운 것이 현실이기 때문에 장기간 운영된 보안솔루션에 대해서는 년 1회 이상은 보안정책의 최적화 분석을 수행하여 정책정비를 수행하는 것이 효과적이다. \\
  
줄 27: 줄 30:
  
   * 정보보호 환경   * 정보보호 환경
-- 유사 규모의 금융사와 마가지로 대부분의 보안 시스템은 통합아웃소싱 체제로 외부 업체에 운영을 외뢰하고 있으며, 보안관제는 금융계열사에게 의뢰하여 24X7 서비스를 받고 있다. \\ +- 유사 규모의 금융사와 마가지로 대부분의 보안 시스템은 통합아웃소싱 체제로 외부 업체에 운영을 외뢰하고 있으며, 보안관제는 금융계열사에게 의뢰하여 24X7 서비스를 받고 있다. \\ 
-- 금번 방화벽 정책 최적화 분석 대상은 내부와 외부의 대표적인 네트워크 방화벽 각 1대씩을 대상으로 진행하였으며,​ 약 100여개의 보안정책이 파악되었으며, ​객체단위로는 약 10~20만개로 세분화되었다.+- 금번 방화벽 정책 최적화 분석 대상은 내부와 외부의 대표적인 네트워크 방화벽 각 1대씩을 대상으로 진행하였으며,​ 약 100여개의 보안정책이 파악되었고 객체단위로는 약 10~20만개로 세분화되었다.
  
 ==== [ 주요 수행 내용 ]==== ==== [ 주요 수행 내용 ]====
-- 대상 방화벽의 보안정책을 객체단위로 세분화하고 3개월 간의 방화벽 로그 트래픽을 ​출하여 매핑하는 작업을 수행하였으며,​ 여타 금융기관과 마가지로 상당히 많은 레코드를 처리하기 위하여 당사가 자체 개발한 분석툴로 마이그레이션하여 정책와 트래픽을 매핑하였다. \\ +- 대상 방화벽의 보안정책을 객체단위로 세분화하고 3개월 간의 방화벽 로그 트래픽을 ​출하여 매핑하는 작업을 수행하였으며,​ 여타 금융기관과 마가지로 상당히 많은 레코드를 처리하기 위하여 당사가 자체 개발한 분석툴로 마이그레이션하고 정책와 트래픽을 매핑하였다. \\ 
-- 보안정책의 객체 단위별로 해당 로그 트래픽을 매핑함으로써 최적화를 위한 실질적 데이터를 확보할 수 있었고, 객체기준으로 불필요하게 중복된 보안정책도 ​색출할 수 있었다. \\+- 보안정책의 객체 단위별로 해당 로그 트래픽을 매핑함으로써 최적화를 위한 실질적 데이터를 확보할 수 있었고, 객체기준으로 불필요하게 중복된 보안정책도 ​정리할 수 있었다. \\
 - 분석된 결과를 바탕으로 보안정책을 객체단위로 재 생성하고 적정위치에 등록하여 일정기간 운영하면서 추이를 분석 모니터링하였다. \\ - 분석된 결과를 바탕으로 보안정책을 객체단위로 재 생성하고 적정위치에 등록하여 일정기간 운영하면서 추이를 분석 모니터링하였다. \\
 - 실제 최적화된 보안정책이 서비스에 미칠 영향도는 대부분의 실무자들이 모르기 때문에 일정기간의 안정화를 위한 모니터링과 재분석을 반복 수행함으로써 미사용 보안정책과 정비된 보안정책의 최적화 여부를 확인하게 되었다. \\ - 실제 최적화된 보안정책이 서비스에 미칠 영향도는 대부분의 실무자들이 모르기 때문에 일정기간의 안정화를 위한 모니터링과 재분석을 반복 수행함으로써 미사용 보안정책과 정비된 보안정책의 최적화 여부를 확인하게 되었다. \\