Transcript 단계별 보안솔루션 구축방안

『KT Managed 보안서비스』
단계별 보안솔루션 구축방안
지금부터 ‘2014년 Managed 보안서비스 컨설팅 방법론에 대해 설명을 드리겠습니다.
발표 : 위드네트웍스 윤재덕
No.
KT Managed ICT
KT Managed ICT
KT Managed ICT
첫번째. 해킹 vs Managed 보안서비스
두번째. 개인정보보호법 개요 및 대응방안
세번째. 구축사례
No.
KT Managed ICT
KT Managed ICT
KT Managed ICT
서비스 소개
Managed 보안서비스는 다양한 보안서비스와 함께 네트워크/무선랜까지 통합구축 및 운용이 가능합니다.
Managed 차세대UTM
Managed 차세대방화벽
Managed Secure NLB
Managed 웹방화벽
Managed Voice방화벽
다양한 보안 위협을 합리적인 비
용으로 통합방어 할 수 있는 서비
스입니다.
기존 방화벽에서 통제하지 못한
어플리케이션의 완벽한 통제가 가
능한 서비스입니다.
효율적인 회선 로드밸런싱을 기반
으로 기업 보안을 강화할 수 있는
서비스입니다.
중요 웹서비스를 전용장비
를 통해 방어할 수 있는 서비스있
습니다.
최근 증가하고 있는 VoIP환경의
보안 위협을 전용장비를 통해 방
어할 수 있는 서비스입니다.
Managed Anti-virus
Managed PC암호화
Managed DLP
Managed DRM
Managed 보안스위치
PC/Server/Mobile 환경의 원천적
인 보호가 가능한 End-point 통합
보안서비스입니다.
업무용 PC의 개인정보를 현황관리
및 암호화를 통해 안전하게 관리
할 수 있는 서비스입니다.
업무용 PC의 내부정보/개인정보
를 안전하게 통제 및 암호화를 통
해 관리할 수 있는 서비스입니다.
암호화 및 권한관리 기술로 허가
된 사용자가 허가된 범위 내에서
만 문서를 이용하도록 통제하는
서비스입니다.
보안 기능이 탑재된 스위치를 통
해 내부 네트워크를 안전하게 관
리할 수 있는 서비스입니다.
U TM
DLP
Managed DB접근제어
DB서버로의 접근제어 및 사후감
사를 통해 안전하게 관리할 수 있
는 서비스입니다.
Managed 원격접속관리
Managed DB암호화
Managed 스위치
Managed 무선랜
서버 및 네트워크 접근권한을 사
용자별로 통제하고 작업 모니터링
및 감사 로그를 생성하는 서비스
입니다.
DBMS에 저장된 중요 데이터에 대
한 암호화를 성능/개발 Issue 없이
구축할 수 있는 서비스입니다.
저렴한 비용으로 내부 네트워크
설계를 지원 또는 유지보수를 제
공해 드리는 서비스입니다.
복잡한 무선랜 설계 및 구축을 전
문가를 통해 체계화된 서비스로
쉽게 구축할 수 있는 서비스입니
다.
No. 2
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
악성코드란?
프로그램밍 언어에 사용되는 수많은 코드
중에서 사용자의 시스템에서 악의적인 동
작을 하는 코드
KT Managed ICT
KT Managed ICT
컴퓨터바이러스
웜
No.
트로이목마
3
컴퓨터 바이러스
컴퓨터 프로그램이나 실행 가능한 부분을 변형하여, 자기 자신
또는 자신의 변형을 복사하여 컴퓨터 작동에 피해를 주는 명령어
들의 조합.
바이러스는 스스로 다른 네트워크의 컴퓨터로는 전파되지 않는다.
프로그램 변형
파일복제
파일감염
No.
PC
작동불능
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
웜(Worm)
윈도우의 취약점이나 응용 프로그램의 취약점을 이용하여
E-mail 및 공유 폴더 같은 네트워크를 통해 컴퓨터로 전파되는
KT Managed ICT
KT Managed ICT
악성 프로그램을 뜻한다.
웜은 스스로 다른 네트워크의 컴퓨터로 전파된다.
취약점이용
네트워크를
통해 전파
파일감염
No.
네트워크 및
PC마비
5
KT Managed ICT
KT Managed ICT
KT Managed ICT
트로이 목마
정상적인 기능을 하는 프로그램으로 가장하여 프로그램 내
에 숨어서 의도하지 않은 기능을 수행하는 프로그램의 코드
조각으로 주로 자료삭제·정보탈취 등 컴퓨터의 정보를 외부
로 유출하는 것이 특징이다.
파일
첨부
▪
▪
▪
▪
▪
▪
▪
웹
전자
메일
위장
정보유출
원격조종
패스워드 가로채기
키보드입력 가로채기
시스템 파일파괴
DDoS 공격
시스템 보호기능 삭제
물리적
접근
No.
6
Ⅰ. 보안 용어정리 및 최근 보안위협
DoS 공격 (Denial of Service attack)
DDoS 공격 (Distributed Denial of Service)
서비스거부공격 : 시스템을 악의적으로 공격해 해당 시스템의
자원을 부족하게 하여 원래 의도된 용도로 사용하지 못하게 하
는 공격
분산서비스거부공격 : 다수의 PC를 이용하여 특정 시스템으로
대량의 유해 트래픽을 전송함으로써 해당 시스템을 공격
마스터
마스터
공격자
(죽음의 핑날리기)
공격대상
(F5 Key attack)
KT Managed ICT
KT Managed ICT
KT Managed ICT
마스터
에이젼트
스푸핑 공격 (Spoofing attack)
제로데이 공격 (Zero-Day attack)
한 사람 또는 프로그램이 데이터를 위조함으로써 불법 우위를
확보하여 데이터를 가로채는 공격
컴퓨터 소프트웨어의 취약점을 공격하는 위협으로, 해당 취약
점에 대한 패치가 나오지 않은 시점에서 이루어지는 공격
새로운 솔루션개발
새로운 위협 등장
PC 패치 및 백신 업데이트
ARP 스푸핑
IP 스푸핑
Zero-Day Attack
E-mail 스푸핑
DNS 스푸핑
취약점 보고
No. 7
Signature
배포
KT Managed ICT
Ⅰ. 보안 용어정리 및 최근 보안위협
파밍 공격(Pharming attack)
진짜와 유사한 가짜 사이트를 개설하여 접속하도록 유도하여
불법적으로 개인정보를 취득하기 위한 목적의 공격
피싱공격이 고도화된 공격 기법으로 정교한 해킹 기술을 통해
사용자를 속여 가짜 사이트로 접속하도록 유도하는 해킹수법
으로 DNS 서버 해킹을 통해 대규모 피해가 발생
웹해킹 (WEB Hacking)
Voice 공격
웹사이트의 취약점을 공격하는 기법으로 시스템에 접근하여
데이터 유출 및 파괴와 같은 피해를 입힌다.
음성패킷에 대한 도청 및 서비스방해, 서비스오용공격, 호 가
로채기 등 음성서비스에 대한 공격이 증가되고 있음
KT Managed ICT
KT Managed ICT
피싱 공격 (Phishing attack)
SQL injection 공격
XSS 공격
No. 8
Ⅰ. 보안 용어정리 및 최근 보안위협
개인정보 해킹후 거래
Auction
1,081만명 개인정보유출
개인정보 해킹 후 협박
현대 캐피탈
네이트 / 싸이월드
175만명 개인정보유출 3,500만명 개인정보유출
SK Broadband
넥슨
개인정보 유출 – 4억 배상 1,320만명 개인정보유출
판결
Target: 대기업을 대상으로 해킹
(개인정보가 많은 기업)
Target: 보안이 허술한 중/소기업 대상으로 해킹
(개인정보 수는 의미 없음)
No. 9
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
Ⅱ. 개인정보보호법 개요 및
대응방안
KT Managed ICT
KT Managed ICT
No.
Ⅱ. 개인정보보호법 개요 및 대응방안
 개인정보보호법은 공공, 기업, 금융, 의료 등 각 분야별 적용되던 규범을 일원화하여, 개인정보를 취급하는 모든 기
업 및 단체가 정보유출에 대한 보호조치를 하도록 의무화 하도록 개정된 법률.
개인정보보호법 시행( 2011.09.30.)
법 시행 이전
법 시행 이후
적용대상 : 공공민간부문의 모든 개인정보처리자
분야별 개별법이 있는 경우에 한해 적용
(약 51만)
•공공기관 : 공공기관 개인정보보호법
•신용정보 제공이용자 : 신용정보법
•정보통신서비스제공자 : 정보통신망법
•여행사백화점 등 준용사업자 : 정보통신망법
• 포털, 금융기관, 병원, 학원, 제조업, 서비스업 등 72개 업종
350만 전체 사업자
• 국회법원헌법재판소중앙선거관리위원회 등 헌법기관
• 부처, 지자체, 공사, 공단, 학교 등 2.8만 전체 공공기관, 사
업자 협회동창회 등 비영리단체 등
• 적용범위 : 전자파일 형태 외에 동창회 명부, 민원서류, 이
벤트 응모권 등 수기문서 포함
개인정보보호법 &
개별법간 관계
『개인정보 보호법 제 6조 다른 법률과의 관계』
개인정보보호법은 개인정보 보호에 관한 일반법적 성격을 가지므로 다른 법률에 특별한 규정이 있는 경우
에는 그 법률의 규정이 우선하여 적용된다. 이는 해당 분야의 특수성을 고려한 것이다.
No. 11
KT Managed ICT
KT Managed ICT
KT Managed ICT
Ⅱ. 개인정보보호법 개요 및 대응방안
 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만
으로는 특정개인을 알아 볼 수 없더라도 다른 정보와 쉽게 결합하여 알아 볼 수 있는 것을 포함한다.
간접식별 개인정보
직접(고유)식별 개인정보
직접 개인을 알아볼 수 있는 정보
① 『주민등록법』 제7조 3항에 따른 주
직접 식별 개인정보와 결합하거나 간접
민등록번호
식별 개인정보들을 결합하여 해당 개인
② 『여권법』 제7조 1항 1호에 따른 여
을 용이하게 알아볼 수 있는 정보
권번호
① 이름과 주소의 결합
③ 『도로교통법』 제80조에 따른 운전
② 이름과 휴대폰번호 결합
면허의 면허번호
③ 이름과 회사, 회사전화번호 결합
④ 『출입국관리법』 제31조 4항에 따른
외국인등록번호
 직접식별개인정보 유출시 처벌
 암호화 대상 : 암호화 미적용시 처벌
 간접식별개인정보 유출시 처벌
 암호화 대상은 아님
개인정보의 성립 요건 : 살아있는 개인, 식별 가능성, 저장 매체
No. 12
KT Managed ICT
KT Managed ICT
KT Managed ICT
Ⅱ. 개인정보보호법 개요 및 대응방안
STEP 2 : PC Level
STEP 1 : Network Level
UTM(뱡화벽, IPS, VPN)
본사
암호화통신
지사
접근통제
 기업내부에서 외부로 또는
기업 외부에서 내부로 통과하
는 트래픽에 대한 접근 통제
및 VPN을 활용하여 암호화 설
계 필요
웹방화벽
Anti-virus
DMZ
PC암호화 & DLP
관리서버
웹서버
관리서버
ERP
서버
 기업내부의 웹서버를 방어
하기 위한 목적으로 설치되는
솔루션으로
 PC레벨의 안티바이러스 및
방화벽 IPS등을 통합한 서비
스로 PC의 안정성 확보를 위
한 최소한의 보안서비스
개발
서버
 개인정보 및 내부기밀정보
유출을 방지하기 위해 PC 개
인정보 암호화 및 온라인/오
프라인 매체제어를 통해 PC
를 통제하는 솔루션
STEP 3 : Server Level
DB암호화
개인정보보호법 Compliance 준수 중요
[단계별 대응방안]
DB접근통제
암/복호화
및 접근제어
DB서버
 DB서버내의 주요정보 컬럼
단위 암호화 및 일부 DB접근
제어를 통한 감사기능을 제공
No. 13
업무서버
DB서버
 DB접근에 대하여 게이트웨
이방식으로 사용자의 접근 및
전송 쿼리에 대하여 강력한
접근통제/권한통제/감사 기능
을 제공한다..
KT Managed ICT
KT Managed ICT
KT Managed ICT
Ⅲ. 구축사례
1단계 : Network Level 보안 강화
구축 사례
불법적인 접근
OWASP TOP 10 취약점
구분
허가안된 경로
국정원 8대 취약점
Who : 누가
KT 관리고객
When : 언제
2011년 9월 30일 이후 ~ 현재
Where : 어디서
KT 전체 1,774건(2012년 12월 기준)
What : 무엇을
UTM, 웹방화벽
Why : 왜
개인정보보호법 『제6조(접근통제 시스템 설치 및 운영)』
기술적 보호조치 충족
How : 어떻게
KT Managed 보안서비스
Internet
외부의 해킹
WEB DDoS공격
내용
악성코드 유입
스팸메일 유입
허가안된 사이트
UTM
웹서버
메일
서버
웹방화벽
Network Level 보안 후 개선 사항
백본스위치
DLP서버
유저존
유저존
DB
접근제어
대응 상품
개선효과
UTM
(Unified Threat
Management)
• 네트워크 설계 개선 (내부 Zone 분리)
• 통합보안 UTM 구축에 따른 외부의 해킹에 의한 내부 네
트워크 보호 개선
• 본/지사간 IPSec 또는 SSL VPN 구축을 통한 보안성 강화
• 보안 로그 저장 개선
웹방화벽
서버존
No. 14
•
•
•
•
•
OWASP 기술된 “TOP 10” 취약점 방어
국가정보원에서 제시한 8대 취약점 방어
WEB DDoS 공격 방어
웹서버의 개인정보유출 탐지 및 차단
알려진 해킹 공격의 약 70%는 웹서버 해킹임.
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
Ⅲ. 구축사례
2단계 : PC Level 보안 강화
구축 사례
구분
내용
Internet
웹서버
메일
서버
관리서버
(PC암호화&DLP)
PC암호화
(검출/암호화현황 전송)
KT 관리고객
When : 언제
2011년 9월 30일 이후 ~ 현재
Where : 어디서
KT전체 200건(2012년 기준)
What : 무엇을
PC암호화, DLP(Data Loss Prevention)
Why : 왜
개인정보보호법 『제7조(개인정보암호화)』 기술적 보호
조치 충족
How : 어떻게
KT Managed 보안서비스
개인정보
30건
PC Level 보안 후 개선 사항
DLP
유저존
유저존
서버존
DLP
지원
범위
개인정보검
출
DLP
대응 상품
개선효과
PC암호화
• 개인정보 검출/완전삭제 기능을 통한 회사내 개인정보 관
리 강화
• 개인정보 암호화를 통한 안전한 개인정보 보유
DLP
(Data Loss
Prevention)
• 개인정보 검출/완전삭제 기능을 통한 회사내 개인정보 관
리 강화
• 개인정보 암호화를 통한 안전한 개인정보 보유
• 온라인/오프라인 매체제어를 통한 보안성 강화
PC암호화
상세확인
완전삭제
암호화
온라인통
제
오프라인
통제
프린터
통제
PC Level 보안 범위
No. 15
KT Managed ICT
KT Managed ICT
DLP
(매체제어)
Who : 누가
Ⅲ. 구축사례
3단계 : Server Level 보안 강화
구축 사례
구분
내용
Internet
웹서버
메일
서버
유저존
유저존
서버존
Who : 누가
KT 관리고객
When : 언제
2011년 9월 30일 이후 ~ 현재
Where : 어디서
KT 전체 50건(2012년 기준)
What : 무엇을
DB접근제어, DB암호화
Why : 왜
개인정보보호법 『제4조(접근 권한의 관리)』 『제7조(개인
정보암호화)』 『제8조(접속기록의 보관 및 위∙변조방지)』
기술적 보호조치 충족
How : 어떻게
KT Managed 보안서비스
PC Level 보안 후 개선 사항
DLP
DLP
DLP
DLP
DB
접근제어
DB
암호화
No. 16
대응 상품
개선효과
DB접근제어
• DB서버로 접근하는 내부사용자의 접근제어 및 권한제어
를 통해 보안성 강화
• 접근기록 보관(6개월) 개선 (개인정보보호법 충족)
DB암호화
• 개인정보처리시스템에 보관중인 개인정보 비밀번호, 바
이오정보, 주민등록번호 등과 같은 주요 개인정보를 암호
화 하여 기업 신뢰성 보호
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed ICT
KT Managed Service 안전한 IT관리의 시작입니다.
kt Managed Service
No.
17