유선 네트워크 보안은 네트워크단에서 접근제어를 구현하는 구성 요소 중의 하나를 말한다.

유선 네트워크 보안은 최근 새롭게 증가하는 보안위협을 효과적으로 대응하기 위하여 네트워크단에서 접근제어를 구현하는 네트워크 접근제어(NAC, Network Access Control:이하 본문에서는 NAC으로 기술)에 대한 기반지식 및 주요 기술 구조를 다음과 같이 기술하였다.

일반적으로 통용되는 의미는 네트워크에 접근하는 접속단말의 보안성을 강제화할 수 있는 보안 인프라로 허가되지 않거나 웜/바이러스 등 악성코드에 감염된 PC나 노트북, 모바일 단말기 등이 회사 네트워크에 접속되는 것을 원천적으로 차단하여 시스템 전체를 보호하는 솔루션을 말한다. 이러한 NAC에 대해 많은 산업분석가들은 각각 다른 용어와 정의를 내리고 있지만 본문에서는 가트너그룹에서 정의한 NAC을 기준으로 작성한다.

가트너그룹은 2005년에 NAC 참조모델을 정의하면서 “지속적인 접속단말에 대한 보안 평가, 보안문제에 대한 대응, 네트워크 접근 허용, 보안정책 준수에 대한 지속적인 모니터링 및 대응에 대한 업무 순환 절차”로 NAC을 정의하였다.

주) Cisco에서는 NAC이란 사용자의 기본적인 보안상태와 다양한 사용자 보안프로그램들의 상태 정보를 파악해 사용자가 보안의 건강성을 충분히 가지고 있는지를 점검, 사용자가 보안 건강성을 유지하고 있지 않는 상태일 경우 자동 격리/치료하는 것이라고 정의하고 있다.

NAC(Network Access Control)은 “네트워크에 접근하는 접속단말의 보안성을 강제화 할 수 있는 보안 인프라(하드웨어 및 소프트웨어)”로서 다음과 같은 IT환경의 변화에 따라 더욱 필요성이 커지고 있음

• 모바일 환경의 일반화
  • 근무자가 이동하면서 업무를 수행하는 경우, 즉 회사 이외의 장소에서 기업내부의 네트워크를 접속하여 사용하는 경우가 늘고 있음. 외근자의 접속단말은 제대로 관리가 되지 않기 때문에 외부에서 웜ㆍ바이러스가 감염된 상태로 기업 네트워크에 다시 접속하여 기업 네트워크에 웜ㆍ바이러스를 전파하는 경우가 많으며 일부 기업에서는 출장자의 접속 단말을 재 반입 시, 일일이 수작업으로 보안상태를 점검하고 치료하는 업무를 수행하지만, 이 또한 상당한 비용이 발생하고 있음
• 접속단말의 다양화
  • 최근에는 데스크탑 PC 외에 노트북, 팜PC, 스마트 폰, PDA 등 다양한 접속단말이 네트워크에 접속하고 있음
  • 스마트 폰, PDA 등에는 보안프로그램이 설치되지 않고 관리되거나 관리할 수 없는 경우가 대부분이며 이러한 관리대상이 되지 못하는 접속단말들이 기업 네트워크에 접속하여 보안문제를 야기시키는 사례가 늘어나고 있음
• 내부 보안관리의 필요성 증가
  • 현재 기업IT 보안체계는 네트워크 관문에 주로 구성되어 있다. 즉, 외부 보안위협을 차단하기 위한 목적으로 주로 운영되고 있다. 그러나 최근 보안사고의 유형을 살펴보면, 내부로부터 발생하는 보안문제의 비중이 높아지고 있음을 알 수있음
  • 물론, 대부분의 기업에서는 내부 보안을 위해 각 접속단말(서버 포함)에 패치관리 시스템, 바이러스 백신 프로그램, PC방화벽 등 단위보안 솔루션들을 각각 설치ㆍ운영하고 있으나 정상적인 운영이 되지 않거나, 기업의 보안정책을 따르지 않는 경우가 많음. 또한, 불법사용자에 대한 인증기능을 수행하지 못하고 있음
  • “Infonetics Research” 보고서에서는 “대부분의 기업은 네트워크 관문에서의 보안체계 구축이 완료되면 내부보안으로 관심을 가질 것이며, 이에 대한 해답으로 NAC을 구축하고자 할 것이다.”라고 언급했음

NAC은 다양한 네트워크 장비와 솔루션의 유기적인 협력을 통해 End Point에 대한 보안 아키텍처를 구성하여 End Point에 대한 보안 강화를 목표로 하고 있다.

• 일반적으로 NAC의 목표는 다음과 같은 5가지로 정의할 수 있음
  1. 어떤 경로를 통해 접속했는지에 관계없이 사용자에 대한 인증을 수행함
  2. 사용자의 컴퓨터에 대한 무결성 검사를 수행함(운영체제 패치와 구성 정보. 특히 안티바이러스 프로그램, PC 방화벽 유무 등의 검사)
  3. 인증과 무결성 검사 결과를 정책 관리서버에 설정된 정책과 비교함
  4. 인증과 무결성 검사 결과를 바탕으로 사용자가 액세스하는 대상과 장소에 대한 정책 결정을 수행함
  5. 허용, 거부, 격리할 수 있는 일부 적용 장비 유형에 대한 네트워크 액세스 인증을 수행하며 이 절차가 없다면 사용자의 트래픽을 조작할 수 있음

일부에서는 NAC가 이전의 IAM(Identity & Access Management) 혹은 EAM(Extranet Access Management)과 유사한 개념이라는 평가도 존재하지만 EAM이나 IAM의 경우 애플리케이션이나 서버에 대한 접근 통제일 뿐 네트워크에 대한 통제는 불가능하다는 점에서 차이가 있다.

계정관리솔루션과 NAC의 주요 특징은 다음과 같다.

NAC과 관련된 기술 표준은 2006년 5월에 라스베가스에서 개최된 “Interop” 에서 제시된 NAC 아키텍처를 이용하게 되며 다음과 같이 분류될 수 있다.

• 산업계 공개 아키텍처 표준: TCG(Trusted Computing Group)의 TNC(Trusted Network Connect)
• 업체 아키텍처 표준: sco의 NAC(Network Admission Control), Microsoft의 NAP(Network Access Protection), 기타 솔루션 업체들의 독립적인 아키텍처

위의 아키텍처들은 표준화가 현재 진행중이며 2006년 “Interop”에서 실시한 상호호환성 테스트 결과 상호 연동되지 않는 것으로 나타났다.
이러한 아키텍처들 간의 상호호환성 확보를 위한 노력이 IETF의 NEA그룹에서 시작되었으며 이와 관련되어 IETF의 NEA 그룹은 새로운 NAC 아키텍처를 정의하는 것이 아니라 여타 아키텍처들이 사용하는 공통 인터페이스를 식별하고 중복을 제거하고 상호호환성을 확보할 수 있는 표준 프로토콜을 규정하기 위하여 개별 아키텍처들을 위한 메타표준을 발표하였다.

NAC의 구성요소는 크게 다음과 같은 3가지로 구분할 수 있다.

“NAC 기술 아키텍처”의 “NAC 아키텍처 및 흐름도”는 전형적인 NAC 처리흐름을 나타내고 있으며 이러한 처리흐름은 다른 아키텍처도 통합적으로 설명될 수 있다.

주) “NAC 아키텍처 및 흐름도”은 설명의 편의성을 위해 네트워크 접속 시점만의 처리흐름을 나타내고 있지만, 대다수 제품들은 네트워크 접근 이후에도 지속적으로 보안정책을 점검하고 점검결과에 따른 대응절차를 수행하는 순환구조로 이루어져 있음을 주의하여야 한다.

• 2003년에 설립된 산업연합체인 TCG는 당초 하드웨어 보안에 치중하였으며 디지털 인증서, 키 및 패스워드를 위한 “Trusted Computing Module”에 관련된 스펙을 개발함
• 현재에는 네트워크 인프라, PC 클라이언트, 소프트웨어 및 서버 보안에 대한 스펙을 개발하고 있으며 NAC의 출현에 따라 Trusted Network Connect(TNC) 스펙을 개발하기 시작했고, TNC는 네트워크 자원에 접근하는 것을 허가하기 전에 정책 기반 모델(Policy-based model)을 기반으로 접속단말의 보안준수 여부를 판단하는 공개된 아키텍처로 개발하고 있음
• TCG에 따르면 “TNC 아키텍처는 네트워크 접근제어를 위한 상호호환성 및 이러한 솔루션들의 보안성 향상을 위한 기반으로서 신뢰된 컴퓨팅에 목표를 두고 있다”라고 정의함
• TCG는 현재 Microsoft를 포함하고 12개 주요 업체가 활동하는 등, 산업계의 전폭적인 지지를 받고 있으며 Cisco는 회원으로 가입하지 않은 상태임

• Cisco는 NAC(Network Admission Control) 기술과 프레임워크를 최초로 소개함
• NAC 프레임워크는 네트워크 인프라 요소들을 안티바이러스 및 안티스팸 솔루션과 같은 다양한 제 3의 툴들과 통합하는데 치중하고 있으며 약 60여 보안 벤더들이 이러한 통합 프로그램에 참여하고 있음
• Cisco NAC은 접속단말의 보안정보를 정책서버에 전송하기 위하여 접속단말 단에 “Cisco Trust Agent”를 설치해야 하며 정책 서버는 접속단말을 완전히 허가할지 거부할지 혹은 일부에 대해서만 허가할 지를 결정해야 하며 이러한 Cisco 방식의 최대 문제점은 Cisco 네트워크 장비에서만 동작하는 것이며 다른 NAC솔루션들은 불특정 다수의 라우터 및 스위치 환경에서도 작동함

• Cisco NAC이 Cisco 장비에 종속되는 것과 동일하게, Microsoft의 NAP(Network Access Protection) 또한 차세대 운영체제인 Vista에만 포함됨
• Microsoft의 발표에 따르면 문제가 있는 클라이언트의 애플리케이션에 대한 접근을 제한하는 것에 중점을 두고 있고, 네트워크 보안 아키텍처가 아니라 애플리케이션 보안 아키텍처라고 강조하고 있음
• 그러나, Cisco와 동일하게 클라이언트에 대한 무결성 확인, 문제가 있는 접속단말에 정책 기반의 통제 및 필요 시 치료 기능을 제공하므로 그 구분은 명확하지 않은 것이 사실임
• 물론, Cisco는 라우터, 스위치, 방화벽에 있어서 자기들 것을 고집하는 반면, Microsoft는 네트워크 인프라 구성요소들과 연동할 수 있는 API를 제공하고 있음

• Interop의 랩테스트 결과에서 상기 3가지 아키텍처들이 현재 까지 상호 호환되지 않고 있는 것으로 밝혀 졌으며 IETF에서는 서로 다른 아키텍처가 상호호환 할 수 있는 메타 표준화 작업을 시작하여 2007년 여름까지 표준화를 완료하는 것을 목표로 하고 있음
• 2006년 3월에 NEA 그룹은 상호호완성을 위하여, 문제영역(호환성을 떨어트리는 영역)을 인터페이스 기반으로 식별하여 어떠한 방법으로 표준화를 할 것인가를 결정하였으며 NAC 아키텍처의 구성요소에 명칭을 새로이 표준화하여 문제영역과 같이 정리하여 IETF의 Draft문서로 작성함

최근의 NAC솔루션은 여러 가지 방식을 동시에 지원함으로 단일화된 기준의 제품구분은 문제가 있지만, “Forester”의 분류를 참조할 경우 서버기반의 제품과 포트기반의 제품으로 구분하고 있으며 최근 서버기반 및 포트기반 기능을 동시에 제공하는 제품들이 출시되고 있다.

• 서버기반: DHCP, RADIUS 그리고 정책서버를 사용하는 소프트웨어 기반의 제품
• 포트기반: 802.1X와 같은 포트기반 인증기능을 스위치 및 라우터에 통합하여 정책을 강제화 하고 격리시키는 하드웨어 기반의 제품

주) Forester 분류외에 네트워크 기반 NAC과 호스트 기반 NAC으로 구분하기도 하며 이외에도 IPS 기반 NAC, 소프트웨어 기반 NAC, 다이내믹 NAC 등 NAC 솔루션 업체들이 새로운 방식의 NAC을 선보이고 있다.

현재의 NAC의 종류 및 구축형태는 매우 다양하므로 소비자들에게 많은 혼란을 가중시키고 있는 것이 사실이다. 또한, 표준화에 대한 주도권 경쟁이 심하고 표준화의 성숙도가 아직 미비하다는 것이 이러한 혼란을 증폭시키고 있다.

현재의 NAC 구축 및 제품 방식은 일반적으로 다음과 같은3가지로 구분 될 수 있다.

NAC과 관련된 기술은 벤더에 따라서 차이가 발생하고 있으며 서버기반, 포트기반에 따라 관련 기술이 다르게 된다.

Cisco NAC은 포트기반 중 스위치형 제품의 대표격이며, ConCentry, Nevis Networks 등이 포트기반 중 어플라이언스형 제품에 해당되고 ENDFORCE, MaAfee, Symantec은 소프트웨어 기반의 제품으로 분류할 수 있다. 그러나, 상기 제품들을 포함해 현재 많은 제품들은 하나의 방식만을 지원하지 않고 다양한 방식을 동시에 지원함으로써 고객의 환경적 특성을 고려하여 선택적으로 구축하고 운영할 수 있도록 하는 추세이다. 즉, 802.1X 기반의 NAC를 구축하는 경우 스위치 기반의 802.1X 인증 및 에이전트 기반의 격리 방식(혹은 Dynamic ACL방식)을 선택적으로 사용할 수 있으며, DHCP 기반의 NAC을 구축하는 경우 어플라이언스 기반의 인증 및 에이전트 기반의 격리 방식을 선택적으로 사용할 수 있다.

이러한 NAC기술은 사용자를 식별하고 신원을 확인한 다음 무결성을 검사하고 이 결과에 따라 사용자와 시스템의 네트워크 접근에 대한 권한을 부여한다.

NAC을 적용하는 범위에 따라서 내부접속과 외부접속으로 구분할 수 있으며 각 장단점은 다음과 같다.

에이전트의 설치 유무에 따라서 설치방식 및 미설치 방식으로 구분할 수 있으며 각각의 장단점은 다음과 같다.

접근제어를 구현하는 격리방식에 따라 다음과 같이 구분할 수 있으며 각각의 장단점은 다음과 같다.

네트워크 관련 정보에 대한 무결성을 검사하는 방식에 따라 다음과 같이 구분되며 각각의 장단점은 다음과 같다.

사용자를 인증하는 방식에 따라 다음과 같이 구분되며 각각의 장단점은 다음과 같다.

Enforcer위치에 따라 다음과 같이 구분되며 각각의 장단점은 다음과 같다.

주) Enforcer: 일종의 클라이언트로 NAC적용 시 보안정책을 강제적으로 수행하는 모듈

NAC솔루션에서 네트워크를 보호하고 End Point Security를 강화하는 과정 및 원리는 다음과 같다. (Cisco NAC 기준)

NAC솔루션은 기존의 다른 보안솔루션들과 다르게 End-Point단까지 보안을 적용하기 위한 것으로 네트워크 차원에서 보안정책을 구현하고 있다. NAC솔루션 주요 특징은 다음과 같다.

현재 시장에 출시되어 있는 NAC 솔루션들은 벤더사별, NAC아키텍처별 등으로 각기 다른 구현방식을 보이고 있으며 최근의 통합추세에 따라 하나의 제품에서 여러 가지 기능을 수행하도록 구성되고 있다. 이러한 NAC솔루션에서 제공하는 주요 기능은 다음과 같다.

NAC솔루션은 네트워크 인증을 위하여 다음과 같은 주요 인증 기능을 수행하고 있다.

NAC솔루션은 네트워크 접근통제를 위하여 다음과 같은 주요 접근통제 기능을 수행하고 있다.

• 사용자별/조직별/그룹별 네트워크 자산 접근 권한 통제
• 인증되고 보안정책을 준수하는 사용자에게만 IP를 할당하는 DHCP 기능

NAC솔루션은 보안위협에 노출된 관리대상의 격리 및 치료를 위하여 다음과 같은 주요 기능을 수행하고 있다.

• 단말기 인증 실패 시 차단 또는 별도 치료 네트워크로 이동
• 치료 네트워크에서 자동 치료(패치)수행 후 재 접속

NAC솔루션은 보안위협을 관리하기 위하여 지속적인 위협 모니터링을 수행하며 다음과 같은 주요 기능을 수행하고 있다.

• 네트워크 사용 중 바이러스/웜의 확산 방지 및 내부 위협 모니터링 탐지(별도 IPS와 연동 가능)
• 문제 단말기 탐지 시 “격리 및 치료” 수행

추가적으로 NAC솔루션에서는 다음과 같은 부가 기능을 수행하고 있다.

NAC솔루션을 구현하기 위해서는 기본적으로 3-Tier구조로 동작하고 있으며 필요시 추가적으로 별도의 구성요소를 추가할 수 있다.

NAC솔루션을 구현하기 위해서는 기본적으로 3-Tier구조로 동작하고 있으며 필요시 추가적으로 별도의 구성요소를 추가할 수 있다.