[지디넷코리아]현재 보안 위협의 두드러진 동향은 한마디로 ‘하이브리드 위협(Hybrid Threat)’이라고 설명할 수 있다. 바이러스 기술과 해킹 기술의 결합으로 날로 복잡한 신종 공격이 등장하고 있으며, 불특정 다수에게 무차별하게 전파되고 감염돼 자기도 모르는 사이에 중요한 정보들이 외부로 유출될 수 있는 위험에 처해 있다.

90년대 후반까지만 하더라도 바이러스 백신만으로 대부분의 악성 코드들을 탐지하고 차단할 수 있었지만 2001년 출현한 코드레드(CodeRed)를 기점으로 바이러스 백신에 의존해 오던 수동적인 공격 대응에서 능동적 공격 대응으로 눈을 돌려야 할 필요성이 제기됐다.

보안 솔루션의 화두, 능동형과 다계층
바이러스 백신에서 웜을 식별하기 위해서는 일단 공격이 시작된 후에 해당 공격을 탐지할 수 있는 특성을 추출한 시그너처(signature)라고 불리는 패턴이 만들어져야 한다. 백신은 이러한 공격 탐지의 정보가 되는 시그너처가 포함된 바이러스 정의 파일을 업데이트해 주어야만 동작하게 된다. 따라서 새로운 공격이 등장했을 때 이 공격에 대한 시그너처 파일이 업데이트되기 전까지 시스템은 언제 공격당할 지 모르는 취약한 상황에 놓이게 되는 것이다.

반면에 웜의 확산 속도가 3분 이내로 빨라지고 있는 시점에서 백신을 이용한 이러한 수동적 대응 방법은 근본적인 대처 방법이 되지 못한다. 설상가상으로 2003년 하반기부터는 웜의 피해 대상이 일반 PC로까지 확대되고 있다. 이러한 상황속에서 웜을 차단하기 위해서는 사후 대응이 아닌 사전 대응을 할 수 있는 능동적인 보안 능력이 요구된다.

웜은 네트워크 상의 패킷을 일일이 스캔함으로써 탐지하고 차단할 수 있다. 코드레드, SQL 슬래머 등 알려져 있는 웜이라면 이미 나와 있는 시그너처를 가지고 탐지 및 차단이 가능하겠지만 전 세계적으로 순식간에 전파되는 신종, 혹은 변종 웜의 경우 시그너처가 작성되기까지는 아무리 빨라도 몇 시간이 소요되기 마련이다. 이런 신종 웜이나 변종 웜을 해당 웜의 시그너처 없이도 탐지하고 차단하는 기술이 바로 침입방지시스템(IPS)의 핵심 기술이다.

IPS가 이러한 침입방지 기능을 수행하기 위해서는 현존하는 모든 네트워크 프로토콜을 이해할 수 있어야 하며, 이는 운영체제 혹은 애플리케이션의 취약성에 대한 정보를 가지고 있어야 함을 의미한다. 바이러스 백신 소프트웨어가 실행 가능 파일에서의 악성 코드를 탐지해내듯이 IPS는 네트워크 패킷 내에서 악성 코드를 탐지하고 차단하는 것이다.

바이러스와 웜 모두를 하나의 제품만 사용하여 차단할 수 있다면 가장 이상적이겠지만 현재 하나로 통합된 완벽한 솔루션은 존재하지 않는다. 웜을 탐지하고 차단하기 위해서는 네트워크 상의 패킷을 분석하고 프로토콜을 이해할 수 있는 기술이 요구되는 반면, 바이러스는 네트워크 상의 패킷 비교만으로 탐지할 수 있는 것이 아니기 때문이다. 이러한 백신과 IPS의 탐지 알고리즘의 차이로 인해 바이러스 백신 소프트웨어와 웜을 네트워크 상에서 탐지하고 차단할 수 있는 IPS가 단일 시스템으로 개발되는 데는 어려움이 있다. IPS와 백신이 서로를 대체하는 솔루션이 아닌 보완 관계임을 이해해야 한다.

따라서 바이러스와 웜을 모두 탐지하고 차단하기 위한 합리적인 해결책은 바로 다계층 보안 솔루션을 도입하는 방법이다. 즉 네트워크 기반의 IPS와 함께 이메일을 통해 유입되는 바이러스를 차단하기 위한 바이러스월 및 바이러스 백신 소프트웨어가 전방위적으로 동시에 구축돼야만 한다. 오늘날의 복잡한 보안 위협에 대처하기 위해서는 이러한 다계층 보안 체제 도입만이 가장 효과적인 방법이라 할 수 있다.
　　　　　　　　　　　　　
네트워크 IPS
네트워크 IPS가 진정한 침입탐지 능력을 제공하기 위해서는 무엇보다도 알려지지 않은 공격과 변종을 탐지하고 차단할 수 있는 기술이 요구된다. 이러한 공격을 식별하기 위해서는 이상현상(anomaly)을 탐지할 수 있는 알고리즘이 구현되어 있어야 하는데 이러한 알고리즘은 현재까지 3가지 종류로 나눠져 있다.

첫 번째, 프로토콜 이상 탐지로 공격을 탐지해내기 위해 패킷별로 프로토콜의 표준에 근거해 작성되어 있는지, 또한 운영체제와 애플리케이션의 취약성을 공격하는 코드가 있는지를 탐지하게 된다. 두 번째, 애플리케이션 이상 탐지로, 애플리케이션에 종속적인 프로토콜 패킷에서 악성 코드를 찾아내는 탐지 방법이다. 세 번째, 통계 이상 탐지로 IPS가 네트워크 트래픽을 감시하고 있다가 DoS 공격과 같은 대량의 비정상 패킷 발생을 탐지하고 차단할 수 있는 알고리즘을 말한다.

네트워크 입구에 설치되는 네트워크 IPS는 네트워크의 유선 속도에는 지장을 주지 않으면서 침입방지 기능을 제공할 수 있는 빠른 속도와 고성능이 요구된다. 최근 네트워크 IPS 솔루션은 ASIC 기반의 고성능 어플라이언스 하드웨어를 채택하고 있는 것이 추세이다.

IPS는 24시간 보안 능력 제공을 위해 안정성 또한 빼놓을 수 없는 조건인데 이를 위해 장애 대처를 위한 고가용성(HA) 구성 및 시스템 장애시 트래픽을 바이패스할 수 있는 기능(fㄱail-open) 또한 필수적이다. 오탐율을 최소화할 수 있는 공격 탐지의 정확성, 고성능과 더불어 관리의 편이성과 사후 분석을 위한 기능도 충실하게 구현돼야 한다. 최근 IPS 솔루션은 수많은 경고들 중에서 연관되어 있는 경고들을 분석하여 이벤트별로 추적할 수 있도록 하는 기능이 통합되어 가고 있는 추세이다.

국내에도 이미 많은 기업이나 학교에서 IPS를 도입하거나 도입을 추진중에 있으며, 이러한 추세는 예전에 방화벽이 네트워크 보안에 필수적인 장비로 인식되었던 것과 비슷하게 자리를 잡아가고 있다. 한편 네트워크 IPS는 바이러스와 행위 기반의 공격 등을 탐지하거나 차단하는 데에는 제약이 있어서 바이러스 탐지 및 차단을 위해서는 별도의 바이러스 백신을 도입하거나 메일 서버 앞에 바이러스월을 구축해야만 한다. 또한 네트워크 IPS와 함께 소프트웨어 형태로 서버 상에 설치되어 SQL Injection 등과 같은 행위 기반의 공격, 암호화된 공격 등을 탐지하고 차단할 수 있는 호스트 IPS와도 상호 보완적으로 구축, 운영돼야 완벽한 보안을 이룰 수 있다.

<그림 1> 다계층 보안 전략

SMTP용 바이러스월
이메일은 바이러스 유입 경로의 약 90%를 차지할 정도로 바이러스 예방을 위하여 매우 중요한 관리 대상이다. 지금까지는 대부분 기존 메일 서버에 바이러스 백신 소프트웨어를 설치하여 이메일이 들어오고 나갈 때 바이러스에 대한 스캔을 해왔으나 현재는 메일 서버와는 분리해 별도의 전용 장비를 이용하여 메일 서버에 바이러스가 보내지기 전에 바이러스를 검사하고 치료할 수 있도록 하는 바이러스월이 안티 바이러스 솔루션의 추세로 자리잡고 있다.
　
바이러스 백신 소프트웨어
현재 바이러스 백신 소프트웨어는 바이러스 정의 파일을 일일이 업데이트함으로써 최신 바이러스를 탐지하고 차단하는 수동적인 접근 방법이 아닌 보다 능동적으로 바이러스를 비롯한 각종 공격을 탐지하고 차단할 수 있도록 하는 기능들이 통합되어 가고 있는 추세이다. 또한 많은 기업들에서 백신 관리 소홀로 인한 취약성으로 바이러스 백신 소프트웨어의 경우에 사용이 간편하고 효과적인 관리 기능이 점점 중요해지고 있다. 바이러스 백신 소프트웨어를 자동으로 관리하고 보고서를 생성해주는 바이러스 백신 관리 소프트웨어의 출현에 이어 이제는 바이러스 백신 소프트웨어 자체를 벤더에서 관리해주는 ASP 개념의 솔루션도 널리 확산되고 있다.

상호보완적인 보안 환경 구축이 중요
하루가 다르게 발전하고 있는 네트워크 기술을 보안 기술이 따라잡기란 현실적으로 매우 어려운 일이다. 이러한 보안 현실 속에서 보안 업계에서 지향하고 있는 것이 바로 다계층, 능동형 보안이다. 이를 통해최상의 보안 효과를 거두기 위해서는 현재의 네트워크와 보안 환경을 꼼꼼히 평가하고, 방화벽, 침입방지시스템, 바이러스월, 바이러스 백신 등이 상호보완적으로 각각의 기능 및 성능을 발휘할 수 있도록 구축, 운영하는 것이 중요하다. @