TIC 감시체계를 통한 사이버 돔 환경으로 보안 강화

[보안뉴스= 임채호 KAIST 초빙교수] 미국 ‘FISMA’ 법령에 기반하고 있는 예산청 ‘OMB Memorandum M-08-05’에 의한 TIC(Trusted Internet Connection)는 인터넷을 이용하는 연방정부의 개별 인터넷 접속을 최적의 보안표준으로 제공하기 위해 만들어졌다. 즉, 많은 연방기관에서의 외부 인터넷 접속에서 발생하는 보안상황을 감시(모니터링)하고 여러가지 상황을 집중 관리하기 위해 구현된 것이다.


▲ 그림 1. 비즈니스와 보안 아키텍처(참조: https://en.wikipedia.org)

US TIC 표준과 사이버 돔
△ TIC(Trusted Internet Connection)
그림 2는 TIC의 기본 개념이다. 미국 예산청이 관리하는 연방정부 및 산하기관이 수 천개에 이르는 상황에서 예산청은 이들의 인터넷 접속 표준 관리에 있어 구조적인 장점을 지녔다. 모든 정부 활동과 기업 활동의 기본은 예산이다. TIC는 연방정부기관들의 인터넷 접속관리를 담당하는데, 중앙집중식 관리만이 주가 아니다. 각 연방정부마다 서로 다른 보안위협을 DHS를 비롯한 보안담당부서가 중앙 감시함으로서 나타나는 장점이 더욱 크다.


▲ 그림 2. TIC의 기본 개념

이는 마치 은행에 있는 많은 CCTV 카메라를 중앙에서 집중관리하는 것과 같다. 여기에서 침입탐지시스템(IDS), 침입방지시스템(IPS) 등을 동작시켜 침입을 탐지하는 통로를 제공하는 것이다. 중앙에서 나타나는 각종 침입데이터를 대상으로 실무보안(Practice) 분석과 침입정보(Signature)를 가지고 보안 장비에 입력되고 연구개발의 기초가 되는 것이다.

정부의 모니터링은 ‘US-CERT.ORG’가 관리하며 NSA, CIA, FBI 등이 참여한다. 이들은 전문가 및 보안업체와 공동으로 분석하고 있다. 수십 테라바이트 이상의 정부 자원이 중국으로 넘어가는 상황에서 공무원과 국민이 인터넷을 자유롭게 활용하며 비정상행위를 탐지하는 이 방식은 공격 증거값(Signature) 업데이트에 매우 효과적이다. 다만 정부 네트워크를 이용하는 개별 연방정부기관은 다른 부정한 접속이 없어야 한다. 개별 연방정부기관 특유의 보안에 전념해야 하는 것이다. 출입보안, USB 보안 등 물리보안과 애플리케이션 시스템 보안, 인적보안 등이다. 예산청은 매년 각 연방정부에게 TIC 표준 이행 내용을 요구한다.

△ US TIC
현재 미국은 TIC 2.0 버전을 운영 중이다. 이는 모든 연방정부에 강제적인 이행사항이며 위협에 대한 정부네트워크에 접속에 대한 기술적 요구사항이 있다.
- TIC 접근제공자(TICAPs)를 연결해야 한다.
- 상용망 사업자가 ‘Managed Trusted IP Service(MTIPS)’가 되며, 가입기관은 Network MTIPS나 TICAP 서비스를 이용해야 한다.


▲ 그림 3. TIC 기술적 아키텍처

이는 예산청이 TIS 진행과정을 매년 DHS에 보고할 것을 의무조항으로 둔다. TIC는 미국 백악관이 정의한 ‘CNCI(Comprehensive National Cybersecurity Initiative)’에 명문화되어 있다. 이는 전 연방정부 차원으로 외부연결의 축소 개념으로 실행되고 있다. 그림 3은 TIC 기술적 아키텍처를 나타낸 것이다.


▲ 그림 4. TIC 구체적인 아키텍처

TIC 접속에는 각종 감시 및 모니터링 체계를 요구한다. 국내 관제 업체들의 구조와 유사하다. 패킷필터, 콘텐츠 필터, IDS/IPS, 인증 및 관리 체계 등을 요구한다. 중요한 것은 로깅, 저장과 분석하는 프로그램으로서 모니터링, 책임추적(Audit), 보고, 소스분석, 대응이 있다는 것이다.


▲ 그림 5. TIC 감시 체계

또한 외부 접속 시나리오로, 공무원 VPN 접속, 원격 접속, 외주 업체 접속, 외부 비정상 연결, 웹 호스팅 등을 요구사항으로 거론하면서 ‘TIC Capabilities List’를 정의했다.

△ 사이버 돔(Dorm) 환경
만약 어떤 정부기관이 인터넷 경로를 정부통합전산망을 이용한다면, TIS 환경이라고 보는가? 그렇다고 볼 수 있다. 공무원이 재택근무를 해도 협력업체나 산하기관도 정부통합전산센터를 경유하지 않고서는 통신이 불가능하다면 그렇다고 볼 수 있다. 이것이 사이버 돔이다. TIS 환경에서 통로의 비정상을 판단해주는 시스템이 존재하고 이를 통과한 통신 트랜잭션을 분석하고(Analye), 조사하고(Forensic), 탐지하고(Detect), 대응하고(Response) 통계를 내고(Statistcs), 보고하고(Dash Board), 알려주고(Warning), 업체에게 최신정보를 제공하며(Signature) 사이버 돔 밖의 기관에게도 알려주는 환경이 된다.

정부통합전산센터는 마치 미국의 DHS US-CERT와 같이 그 기능이 보장되어야 한다. 가입된 모든 정부기관의 통신 트래픽을 감시할 수 있어야 한다. 정부가 정부의 자산을 감시하는 것이 불법은 아니다. 정부통합전산센터는 미래부·국정원·국방부·경찰·검찰 등에서 공동으로 근무해야 한다. 정부의 자산을 노리는 불법 트래픽이 있고 그 대응을 각각의 정부기관 R&R에 의해 이루어져야 효율적이고 효과적이다.

이는 정부예산을 이용하는 산하단체나 공공기관도 마찬가지다. 중앙집중적인 감시가 없다면 보안관련 예산을 사용하는데 있어서 엄청난 중복과 낭비를 초래하는 것이다. 현재 중복되고 이중적인 정책 집행으로 비용효율은 사라진 셈이며, 정부 및 산하기관에 과중한 업무를 주고 있는 것이다. 대기업은 그렇지 않다. 대기업 유관기업은 모두 하나의 보안관제센터를 거쳐야만 통신이 가능하다. 그래도 수 많은 사이버 불법행위가 발생하고 있다.

새로운 보안 아키텍처
△사이버보안은 보이지 않는다?
사이버보안 위협은 겉으로 드러나지 않는다. 일례로 국정원이 한국수력원자력(이하 한수원)에 대해 양호한 보안점수를 준 것으로 알려졌다. 한수원의 보안점수는 87.22점으로 보안수준 평가 상위 두 번째에 해당하는 양호 등급을 받았다. 이 내용을 분석하자면, △상위기관에서의 보안평가는 인증 값이 되기 어렵다. 이는 ISMS 인증체제도 마찬가지다. △한수원의 보안점수인 87점은 B+ 수준의 양호수준이다. 하지만 여전히 13점 수준의 위험요소가 남아 있는 것이다.

결론적으로 정부는 사이버보안에 대해 지원하는 역할만 할 뿐이며, 모든 것은 해당 기관이 책임져야 한다는 것이다. 보안점수는 보안통제 준수율일 뿐이다. 만약 사고 등 문제가 생겼다면, 어떠한 보안 통제가 문제인지 가려내고 그 보안통제의 현황을 파악해 개선방안을 제시한 후, 지속적인 갱신이 필요한 것이다.

한수원과 같은 산업제어시설뿐만 아니라, 인터넷에 연동된 모든 기업은 기존의 사이버보안 아키텍처에서 다음과 같은 문제가 있다. 이러한 문제의 출발은 실무가 없는 사이버보안 정책과 기술, 즉 사례(Practice)가 없는 사이버 보안을 해 왔기 때문이다. 아래에서 열거한 새로운 아키텍처 요구사항 항목들은 국내에서 모두 경험 중이다. KAIST가 수행한 과제에서도 모 금융기관 모의해킹(2012), 모 전자회사 모의해킹(2013)에서 증명한 사항이다. 악성코드를 어떤 일반직 직원 이메일로 감염시키고 침투한 후, 중요 서버 관리자 권한까지 획득했으며 결국 물리적인 망 분리를 통한 중요 네트워크를 보호하는 아키텍처를 개선했다.

새로운 보안 아키텍처의 필요성은 다음과 같은 현상에서 나타난다. 이러한 현상은 국내에서 모두 겪고 있는 상황이며, 이를 어떤 중요한 조직이나 조직의 어떤 부서가 겪고 있느냐의 문제다.

1) 네트워크 경계보안(DMZ, 망분리 등)에서도 악성 백도어 출현
2) 모뎀 등, 인터페이스 연동 장비의 취약한 운영
3) DB SQL 인젝션 취약성
4) 중간자 공격(Man-in-Middle Attack)
5) SW, 펌웨어 취약성관리 및 패치관리 취약성
6) 부적절한 코딩 기법
7) 부적절한 내부 및 외부 인력 보안 절차
8) 시스템 및 서버의 보안통제 부적절

다음 표 1은 중요 산업정보와 일반 IT 보안이슈와의 관계를 나타내고 있다. 이는 SCADA 환경뿐만 아니라 개인정보 DB나 중요한 공장자동화, 금융 비즈니스 서버를 보유한 곳도 해당된다.


▲ 표 1. 일반 IT 보안과 중요인프라 보안의 차이

그동안 보안 목표로 기밀성(Confidentiality)이 우선시 되어온 전략이 대폭 변경되어 가용성(Availability)를 우선순위로 배치해야 한다는 사실이다. 기밀성보다 가용성이 우선되는 순위는 처리속도가 생명인 클라우드(Cloud) 환경에서도 마찬가지다.

△ 위험한 현재의 보안 아키텍처
그림 6은 물리적인 망 분리가 없는 현재의 위험한 보안 아키텍처이다. 위의 서브 네트워크는 보통의 오피스 네트워크이다. 아래 서브 네트워크는 중요한 네트워크이다. ‘SQL 인젝션’ 공격이나 APT 공격으로 오피스 망이 뚫리고 주요 망이 뚫리는 과정을 보여준다. 항상 허점이 없는 웹 서버, 악성코드를 100% 탐지하는 보안체계가 불가능한 상태에서 경영자들은 실무를 알 길이 없다. 이는 앞서 설명한 10가지 신종 보안 위협도 마찬가지이다. 물리적인 망 분리만 이루어 진다고 보안문제가 해결되지 않는다. 보안 제품으로서 해결되지 않은 구조적인 아키텍처 및 감시, 지속적인 모니터링 등이 요구되는 것이다.


▲ 그림 6 위험한 현재의 보안 아키텍처

그림 7에서는 보안체계를 보여주고 있다. ISMS가 기본 보안통제가 되지만 각 조직 독자적인 보안통제가 필요하며 어떤 경우에는 중요하다고 판단되는 보안통제는 훨씬 더 자주 검검되고 평가되고 갱신되어야 한다.


▲ 그림 7. 보안 관리 표준 및 체계

1) 조직의 보안위험을 정량적으로 분석, 양질의 결과를 확인해야 한다.
2) 위험을 약회시키기 위한 중요 자원을 활용해야 한다.
3) 중복적인 분야에 있어 중요 자원을 정의한다.
4) 중요 보안 통제에 대한 표준을 정의한다.
5) 중요 보안 통제를 어떠한 조직에 임무를 부여해 둔다.


▲ 그림 8. 구조적인 보안 아키텍처

△ 사전대비 보안모델(Proactive Security Model)
기관이나 기업에선 무엇보다 사전 예방 대비가 가능한 보안모델이 필요하다.
1) 보안정책, 표준이 시스템/네트워크 전반으로 적용되고 정기적으로 재평가되어야 한다.
2) 경계 네트워크 보안을 운영해 자원 접근을 막고 제어한다.
3) 비정상행위를 탐지 분석 대응하기 위해 네트워크, 호스트 기반 침입탐지 체계를 운영한다.
4) 가능할 수 있는 공격을 차단한다. 취약성을 제거하지 못한 시스템 접근을 차단한다.
5) 중요 문제를 해결해야 한다. 하지만 대부분은 SW 업데이트 문제다.

▲ 그림 9. Proactive security

[글 _ 임채호 KAIST 초빙교수, KAIST 전산학과 정보보호 전공(hlim@kaist.ac.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>