Home

앞서 서론에서 물리적 망 분리 시스템의 종류와 고려사항에 대해 다루어 보았다.

비용적인 문제와 전력소비, 업무효율성 저하 등의 문제로 논리적 망 분리 시스템이 대안이기는 하나, 각기 장단점이 있기 때문에 선택 시 단점을 보완할 수 있는 시스템으로 많은 연구가 필요하다[2][3].

현재 논리적 망 분리 시스템은 가상화 기반으로 두 가지로 분류될 수 있다. 서버기반의 망 분리 (Server Based Computing)와 클라이언트 기반의 망 분리(Client Based Computing)이다.

가상 머신을 탑재한 서버에 접속하여 내부 업무망을 사용하고 인터넷을 사용할 시에는 기존 PC는 환경과 동일하게 이용하는 방식이다. VMware와 같은 가상머신을 탑재한 서버를 중앙에 두고 각 사용자 PC가 중앙 서버에 접속하여 업무 망을 이용한다. 서버시스템 유지관리 효율성이 높으며, 서버에 생성된 문서는 서버에서만 보관되어 외부 유출의 위험성 또한 적다[5]. 물리적인 네트워크 증설비용은 없으나, 가상화 S/W와 가상화 서버에 설치되는 응용 S/W라이선스에 들어가는 비용이 매우 크다. 또한, DDos에 취약하며, 공공기관 특성상 공문에 의해 답변 자료가 몰리는 경우 다수의 이용자가 이용하게 되면 속도가 느려지는 문제점이 있을 수 있다.

개인 PC의 H/W 사양이 고도화되면서 쓰이기 시작한 방법이다. SBC 기반의 논리적 망 분리 시스템과 비슷하게 가상화 기반에서 동작하지만 개인별 데스크탑 PC에서의 가상화 방법이다. NIC를 두 개 사용하여 분리된 망으로 연결하는 방법이 있고, VPN을 이용하여 내부 망으로 접속함으로써 망 분리를 하는 방법이 있다. 전자의 경우에는 물리적 망 분리의 범주에 들어간다. 데스크톱 OS를 가상화 하여 Host OS와 Guest OS를 구성하여 각각의 영역에 다른 네트워크를 설정한다[4]. 서버 구축에 도입되는 비용은 없으나, 가상화 S/W나 개인 PC상 OS마다 설치되어야 하는 응용 S/W 라이선스에 대해 논란의 소지가 있으며, 응용 S/W의 충돌 현상이 잦다. 또한, 본 연구에서 제시되는 논리적 망 분리 시스템보다는 상대적으로 도입 및 관리비용이 많이 든다.

본 연구는 웹하드 S/W인 ClouDoc을 기반으로 한다. 형태는 SBC기반의 논리적 망 분리 시스템이지만, 근본적 설계가 다르다. 가상화 서버에 접속하는 것이 아닌 웹하드 S/W 관리서버에 접속하여 NFS가 개인 PC에 마운트 되는 것과 네트워크 락(Network-Lock) 설정의 서비스만 이용한다. 따라서 문서의 저장 및 액세스 부분이 SBC기반 논리적 망 분리 시스템과 같이 다수의 사용자가 몰릴 때 성능문제가 될 수 있다.

개인 사용자별 볼륨을 할당하는데 있어서 SAN을 고려해 볼 수 있지만, SAN Network를 별도로 구축하는데 엄청난 비용이 발생하고, 개인별 볼륨을 할당하는데 있어서 관리적 어려움이 발생한다. 기존 물리적 망 분리 및 SBC 기반의 논리적 망 분리 시스템에서 업무효율성의 문제가 있었다. 업무 문서를 생성하기 위해 인터넷 자료들이 상당수 필요하나 사용자 입장에서 공유하기 위해 보안 USB를 이용한 물리적 복사작업이 시간을 많이 낭비하고, 생산성을 저하시키는 요인이 되었다. 이를 해결하기 위하여 업무 망과 인터넷 망을 보안 정책에 위배되지 않게 데이터만 연동할 수 있는 연구가 진행되었으며, NAS를 이용한 방법이 연구되었다. 읽기/쓰기 권한을 망 접속 상태에 따라 차별적으로 부여하여 연동하는 방법이다[5]-[7]

기존에 NAS가 많이 쓰이지 않았던 이유는 네트워크 대역폭이 작다는 약점이 있어서였다. 수십 명 이상의 동시 접속자 처리 시 1Gbps의 대역폭으로는 이를 감당하기 어려웠지만, 본 연구에서는 웹하드 S/W와 NAS간의 네트워크 구성을 10Gbps로 설정하여 이러한 문제를 해결하고자 하였다.

NFS를 이용한 효율적인 논리적 망 분리 시스템 구현을 위해 다음과 같은 몇 가지 과제를 설정한다.

첫째로, 가상화에 기반을 두지 않는다. 본 연구 목적의 중요한 부분은 비용 절감이다. 가상화 자체가 논리적으로 2대의 운영체제를 이용하고, 망을 분리하여 독립적인 기기를 운영하는데 기반을 두고 있기 때문에, 상용 S/W 라이선스 정책에서 자유로울 수 없다.

다음으로, 업무 망에 연결되었을 때에는 인터넷 연결이 끊어지고, 인터넷을 쓸 때에는 업무 망에 접속이 불가한 환경을 만들 수 있다. 이 가정으로 1대의 PC자원으로 2개의 네트워크를 쓸 수 있다는 가설이 세워진다. 또한, 악성코드에 감염되었어도 업무망을 쓰는 동안은 인터넷 연결이 되지 않아 외부로 자료유출이 되지 않는다고 볼 수 있다.

업무용 데이터는 보안시스템 내부에 있는 스토리지에 저장하고, 사용자 PC에는 어떠한 업무용 자료를 남겨두지 않는다는 대전제를 세운다. 여기에서 NFS를 이용하는 당위성이 나온다. NAS 스토리지에 각 사용자별 계정을 만들어 관리서버에서 관리하고, 스토리지의 데이터는 사용자의 로컬 디스크에 저장을 시키지 않도록 한다. 업무 망을 이용할 때에는 사용자의 로컬 디스크는 쓰기가 금지되며, NAS에 설정된 “세이프드라이브”에만 쓰기가 허용된다.

사용자 PC가 세이프 드라이브에 로그인을 하면 인터넷이 차단되고, 업무자료를 사용자 PC에 있는 응용 S/W를 이용해 생성, “세이프드라이브”에 저장하면서 업무 시스템을 활용한다. 이후 로그아웃 시 사용자 PC에 업무자료가 저장되는 Cookie, 임시파일등을 삭제하고, 인터넷을 허용한다. 사용자 PC에는 기본적인 백신 및 키보드 보안 프로그램이 탑재되어야 하며, “세이프드라이브”는 메인 보안시스템 내부에 위치하여 외부 해킹 공격으로부터 보호되어야 한다.

기본방향은 업무 생산성 유지를 위해 기존 PC사용 환경에 최대한 친숙하게 구현하여야 한다. 시스템에 저장된 파일의 다운로드 후 접근 방식이 아닌 직접 접근하여 응용 S/W와의 호환성을 가진다.

시스템 접속에서의 보안은 Key-Logging방지 프로그램 작동 하에 ID+기관고유 PKI인증서를 사용하여 접속환경을 구현하였고, 기존 사용자 PC에 운영 중인 백신 프로그램의 최신 버전 적용 여부, 실시간 감시 상태 여부를 확인하도록 하였다. 구체적인 운영환경 및 구현 방법은 표 3과 같다.

보안성 여부에서 사용자가 자료공유를 원할 경우 생성한 폴더를 다른 사용자에게 Read-Only, Read-Write등의 권한별 공유 설정/해제하도록 한다. 자료 반출은 관리자가 허용한 IP 대역에서만 반출이 가능하도록 하며, 로컬 드라이브나 사용자의 메신저 메일 등으로 반출할 경우 관리자 승인 절차 경유하고, log로 기록이 남도록 한다. 접근기록은 각 파일별 접근 기록 및 통계를 낼 수 있고, 접근자의 PC IP, 이용자 ID가 포함된 세부적인 내용으로 기록을 남기도록 한다.

이후 인사이동 및 업무분장에 변화가 있을 경우 자료 인계에 대해서 특정 사용자에게만 인계될 수 있도록 한다. 이외에도 관리자가 지정한 정책, 권한 등을 실시간 적용하도록 하며, PC의 일반 저장장치에 업무용 자료를 저장하지 않도록 강제화 정책을 구현한다.

관리자가 설정한 네트워크 차단 정책을 통하여, 업무 PC는 인터넷을 차단하거나, 업무 망을 차단한다. 사용자는 두 차단 모드 간 전환을 통해 필요한 업무를 수행한다. 각 업무 PC에 설치된 Agent(NDIS Filter Driver)는 통신 패킷의 IP 정보를 바탕으로 해당 통신을 차단/ 허용할 것인지 판별한다. 이는 기존 연구되었던 트래픽 분석을 기반으로 하여 공격 트래픽 탐지 시 파티션 게이트웨이(Partition Gateway)에게 망 분리를 통보하는 LNP(Logical Network Partition)기법과 유사하다[8].

네트워크 락이 동작하는 데 있어서, 내부업무 시스템을 사용할 수 있는 네트워크 환경을 내부 망이라 정의하고, 관리자는 내부 망으로 허용할 복수의 IP 대역과 도메인을 관리한다.

또한, 인터넷을 이용 가능한 네트워크 환경을 외부 망이라 정의하고, 관리자는 외부 망 모드에서 차단할 복수의 IP대역과 도메인을 관리한다.

네트워크 락 기능과 관계된 클라이언트 모듈의 시스템 구성도는 그림 1과 같다. 네트워크 락 모듈 설치가 완료되면 위 시스템에서 NDIS Intermediate Filter Driver가 동작한다.

Fig. 1. 
Client module of network-lock

일반 응용 프로그램, 운영체제에서 통신이 발생하면 H/W에 전달되기 전에 네트워크 락 모듈에 의하여 내부망/외부망 정책을 적용받게 된다. 네트워크 락 클라이언트는 내부 망/외부 망 전환을 설정할 수 있으며, 네트워크 락 모듈에 내부 망/외부 망 정책 설정을 할 수 있다. 네트워크를 모니터링하여 통신 패킷을 관리자가 설정한 정책에 따라 차단/허용하고, 사용자의 망 전환 요청에 따라, 내부 망 정책 또는 외부 망 정책이 설정된다. 이때, 내/외부 망 정책을 로컬에 캐시 형태로 저장 관리하여 윈도우 재시작 후 외부 망이 기본으로 설정되도록 한다.

내부 망 모드에서 외부 망 모드 전환 시 수행되는 프로세스는 ClouDoc의 문서를 열고 있는 편집 애플리케이션을 종료하고서야 외부 망 연결모드로 전환이 가능하고, 강제 프로세스를 종료하기 보다는 사용자가 각 프로세스를 종료하게 유도하고, 종료된 프로세스는 목록에서 자동 삭제되도록 처리한다.

이후 ClouDoc 드라이브의 마운트를 해제하고, 클립보드 내용을 초기화 한 후 인터넷 임시 폴더를 삭제하는 프로세스로 이루어진다.

사용자 관점에서의 상황별 이용형태 결과는 다음과 같다. 윈도우 로그인 후 바로 외부 망 모드로 진행되며, 마지막 외부 망 정책을 적용받는다. 이때 사용 가능한 디스크는 로컬디스크이다.

외부 망 상태에서 내부 망 로그인 진행시 로컬디스크의 인터넷 캐시영역은 초기화되며, ClouDoc프로그램상의 세이프드라이브에 접속이 진행된다. 지속적으로 서버에서 주기적으로 정책을 받게 되고, 외부 망 자료를 카피하기 위한 클립보드는 초기화 시키지 않는다. 내부 망 상태에서 외부 망으로 전환 시에는 ClouDoc프로그램상의 세이프드라이브는 마운트 해제되며, 인터넷 캐시와 자료의 반출을 막기 위해 클립보드 역시 초기화시킨다. 이 프로세스에서도 주기적으로 서버에서 정책을 받아 진행한다.

사용자 관점에서 상황별 이용 형태는 표 4와 같다.

사용자가 외부 망 사용 시 웜이나 랜섬웨어 등에 감염될 수 있다. 3.2절에서 기본적으로 백신 및 키보드암호화 프로그램이 사용자 PC에 있고 주기적으로 업데이트 여부를 확인하고 있다. 백신 등에서 감염되었다고 판명되는 단말기는 내부 망으로 접속을 할 수 없다. 안전한 타 사용자의 PC에 기관고유 PKI인증서를 복사하여 이용하여야 한다. 내부 망 자료는 원천적으로 관리자의 승인 없이는 반출이 불가능하며, 내부 망 접속 시에는 개인 PC의 디스크에 쓰기가 금지된다. 외부 망 모드 시에는 내부 망의 NFS 연결이 끊어지므로 신종 멀웨어나 APT 공격에도 안전하다. 감염된 PC가 내부 망 자료를 전송하려 해도 외부 망이 끊어져 있는 상태여서 전송이 불가능하며, 별도의 파일을 만들어 저장했다가 차후 전송하려 해도 개인 PC의 로컬 디스크에 저장이 불가능한 상황이므로 자료 반출의 우려가 없다.

표 5와 같이 사용자 환경과 관리자 환경에서 테스트 하였다. 각 상황 분류 별 확인 방법을 통해 테스트 내용과 같이 운영하였고, 업무상 필요한 모든 내용을 만족하였다. 개인 PC와 문서 중앙화 되는 NFS간의 연계 문제로 백신 프로그램과 키보드 보안, 로그인시 공인인증서 관리 등이 연계되어야 하며, 각 솔루션을 모니터링 하여 내부 망 모드를 허가 또는 거부의 판단을 내려야 하는 것이 중요한 핵심이다. 전체 시스템 관리자는 그 허용 범위에 대해 지속적으로 판단하여 가장 업무에 적합하도록 정책 설정을 하여야 한다.