음성을 보호하라

Keeping Voice Confidential

음성을 보호하라

VoIP 환경에서 위험 요소 노출 … 방어 전략 꼼꼼히 세워야



IP 음성 패킷이통합 WAN 서비스에서 기업 LAN으로 급속하게 확장되고 있다. 시장조사 기관인 인사이트 리서치에 따르면 미국에서만 IP폰이 2004년 1,400만 대에서 2008년 4,500만대로 3배 이상 증가할 것으로 예상된다.

IP폰이 늘어날수록 사용자들은 보안 문제를 걱정하게 된다. 실제로 통신 사업자들은 음성 메일 같은 서비스를 이용하는 것은 개인적인 문제라며 '훔쳐 쓰는' 장거리 통화 서비스를 방지하기 위한 조치를 취하고 있다.

IP 네트워크를 보호했던 통합 시스템 접근법은 오늘날 수많은 애플리케이션의 안전을 지켜준다. 전통적인 음성 커뮤니티에서 개별적인 서킷 스위치 PXI 시스템을 보호했던 많은 경험들이 존재하기 때문이다. 이때 다음과 같은 의문이 생길 수 있다. IP 통신 음성 서비스를 기존 시스템 보다 더 안전하게 사용하기 위해서는 어떻게 하면 될 것인가?


위협 요소 미리 파악
우선 음성 네트워크 기능과 서비스에 대한 위협 요소부터 파악한 다음 개선 방법을 논의해보자. 몇 가지 리스크가 음성 서비스 자체의 효용과 품질, 음성 대화 프라이버시를 위협하고 있다. 다른 위험 요소의 경우 음성 네트워크를 데이터 네트워크에 침투하기 위한 숙주로 사용하는 형식이다.구내 기반(premises based) VoIP 환경에서 가장 일반적인 리스크는 다음과 같다.

서비스 불법 도용이나 요금 사기
음성 메일 같은 음성 수단 저작권 불법 이용
음성 장비와 기본 시설을 진입점으로 사용하는 데이터 네트워크 절충안
다운 타임/DoS와 관련된 생산성 감소
통화 프라이버시 침해

데이터 네트워크의 경우 음성 네트워크 요소에 다중 레이어 또는 심층적인 방식으로 표준 네트워크 디자인과 최적화된 구성을 억지로 적용함으로써 방해 될 수 있다.

앞의 두 가지 리스크는 서킷 스위치 환경과 동일한 방식으로 IP 환경에서 처리될 수 있다. 해커들이 사설 PBX에 접속하거나 장거리 네트워크에 접근하는 것을 막는 문제는 일반적으로 금지된 내선이 시외 포트로 전달되는 사례로 볼 수 있다.

예정된 수신인만 사용할 수 있게 제한된 음성 수단에 지속적으로 접근하는 것이 중요하다. 이렇게 되면 통화 대상이나 중요한 비즈니스 제휴 문제, 합병, 기밀 정보 등을 외부인들이 눈치 챌 수 없기 때문이다. 이때 엄격한 접근 암호, 비밀 번호, 암호화가 필요하다. 데이터 도용(음성 지원 네트워크 침입), 서비스 거부나 도청 같은 리스크들은 공동 시설을 공유하는 음성, 데이터 패킷과 보다 밀접한 관련이 있다. 이런 취약점을 방지할 수 있는 해결책은 다음과 같다.

음성 VLAN(virtual LAN), 혹은 논리적인 네트워크 분할
장소와 사용에 의존하는 특정 전화의 특정 기능 통제
애플리케이션-레이어 방화벽과 ACL(Access Control Lists) 사용
DoS 공격 완화용 수단 제한 기능
미디어, 링크 암호화

이들이 각자 어떻게 적용되는지 살펴보도록 하자.

"분할해서 지켜라"
음성과 데이터 트래픽을 논리적으로 분할하기 위해 VLAN에 보이스 트래픽을 할당하는 방식은 업계에서 가장 선호하는 방법이다. 가능한 많은 음성 장비들이 음성 VLAN 범위로 제한돼야 한다. 이 장비들은 타 음성 장비로만 의사소통 할 수 있다. 시스코 IP 통신 보안 담당 수석 시스템 마케팅 매니저인 로저 펀워스(Roger Farnworth)에 따르면 보다 중요한 사실은 음성 트래픽이 쉽게 차단되거나 변경되는 일반 데이터 네트워크와는 다르다는 것이다.

"VLAN은 네트워크에 접속하는 싸구려 장비들을 방어하는데 도움이 된다. VLAN은 특정 멤버쉽 방식으로 관리되며, VLAN 장비들은 인증받기 위한 까다로운 기준을 만족해야 한다. 데이터통신용 장비는 VLAN을 활용해 음성 트래픽만을 처리하기 위해 만들어 졌다"고 펀워스는 설명한다.

"DoS 관점에서 볼 때 자체 논리적 VLAN으로 음성을 분할하는 것은 공격 가능성을 줄일 것"이라고 시스코 IP 통신 보안 담당 기술 마케팅 엔지니어인 그렉 무어(Greg Moore)는 말한다. 해커들은 대체로 가장 유명한 소프트웨어용 바이러스를 개발하는 경향이 있으며, 지금까지 다용도 데이터 서버 관리 시스템이 표적이었다.

"시스코 콜매니저 서버와 같은 호 프로세싱 요소에 대한 신뢰성 있는 범위는 다용도 데이터 서버 범위 이상으로 제한된다. 음성을 논리적으로 구분하는 것은 이러한 침입에 음성의 취약성을 감소시켜준다"고 무어는 설명한다.

음성 VLAN은 엄격한 QoS라는 부가적인 이점을 선사해준다. VoIP 잠복을 지속적으로 감소시키기 위한 스위치/라우터의 우선 큐(queue)에 있는 데이터 VLAN를 통해 우선순위가 매겨질 수 있기 때문이다.

펀워스는 "VLAN을 만들 때 디폴트값 VLAN 주소를 사용하지 말라"고 충고한다. VLAN 숫자는 해커들이 해독해내기 어렵기 때문이다. "그런 의미에서 전혀 다른 숫자로 된 VLAN를 사용하라"고 그는 덧붙인다.

미국 IP PBX 폰 구축 현황(단위: 백만대)  
2004 2005 2006* 2007* 2008*
13.6 19.4 26.6 35.3 45.2
<출처 : 인사이트 리서치>
* 예상 수치
 
보안 위험 증가 IP 텔레포니 시장이 커질수록 보안 문제가 심각해진다.



IP폰 액세스 신중하게 배치
보안 음성 네트워크에서 중요한 사실은 단말기와 소프트폰을 포함한 IP폰이 통화 서버라고 명기됨으로써 IP전화 네트워크에서 합법적인 참가자로 인증 받았다는 점이다(시스코 콜매니저나 콜매니저 익스프레스).

"확인하는 작업이 음성 보안에 있어 중요한 요소"라고 펀워스는 얘기한다.

무어 역시 IP폰을 가장 잘 사용하는 법에 대해 다음과 같이 조언한다. 첫 번째, 로비나 카페, 제품 창고, 수위실 같은 직원보다 일반 사람들이 네트워크 접근에 용이한 환경에서 PC에 연결되는 전화 포트의 기능을 자제하는 것이다. 유사하게 공공장소 같은 경우도 IP폰 웹 액세스를 억제하라고 충고한다.

"보안이 되지 않는 폰과 연동함으로써 어쩌면 네트워크에 대해 비싼 수업료를 내고 많은 부분을 배울 수 있을 것이다. 전화의 XML 애플리케이션은 웹 애플리케이션과 동일한 HTTP 포트 80을 사용한다"고 그는 설명한다.

음성과 데이터가 분리돼 있더라도 포트 80은 IP폰에 열려있으며, 웹에서 전화로 또는 음성 네트워크로 자유자재로 오갈 수 있다.

그는 이어 "ACL은 XML 서버가 전화와 이어질 수 있도록 기록하고 있다. 따라서 포트 80을 통한 폰 투 웹(phone-to-Web) 액세스는 억제돼야 한다. 시스코 콜매니저를 사용하면 이 모든 게 간편해진다"고 덧붙인다.


여러 제한 툴 구사해야
펀워스에 따르면, 요금 제한과 QoS 툴을 사용하면 보안 음성 네트워크가 DoS 공격과 패킷 범람에 의한 고장을 줄이는데 도움이 될 수 있다. 예를 들어, 주어진 프로토콜로 사용될 수 있는 프로세서와 링크 수단의 용량을 제한하면 DoS 공격의 파장을 줄일 수 있다.

시스코 QoS 기능인 LAN 마이크로플로우 폴리싱은 사용자당 대역폭의 특정 용량까지 하나의 IP 주소나 세션으로 제한하면서 플로우를 기초로 한 기능을 처리한다. 이렇게 함으로써 특정 IP소스 주소에서 시작된 공격과 대역폭 최대 용량보다 더 많이 사용하는 것을 예방하게 된다(항상 트래픽 생성에 필요한 여분 용량은 남아있다).

한편 CIS(Catalyst Integrated Security)라고 불리는 제품은 미리 이러한 공격들을 저지시킨다. 이러한 툴 중에서 다이나믹 ARP 검사기능은 레이어 2에서 테이블을 결합시키며 모순(contradiction) 원리를 위해 ARP 요청을 감시하고, IP 소스 가드는 레이어 3 모순을 감시한다. 이 두 가지 기능은 CIS와 시스코 IOS 소프트웨어를 통해 이용할 수 있다. 무어에 따르면, 모순을 발견해내는 이러한 기능은 연결된 패킷을 떨어뜨리고 연결된 포트 기능을 억제하도록 프로그램 될 수 있다.


관리시스템 지속적 패치
제1세대 방화벽은 IP 주소 정보에서만 보였고 허용/거부 결정을 내리는 ACL과 잘 맞았다. 그러나 애플리케이션 계층 방화벽의 경우, 트래픽이 실제로 합법적인지 보다 심도 깊게 결정을 내리기 위해 현재 IP 헤더에 있는 포트 레이어와 레이어 7 애플리케이션 정보를 검사할 수 있다.

VoIP 신호 프로토콜이 다양한 포트 사이로 옮겨 다닐 수 있기 때문에, 포트 영역을 열어둔 채 침입자에게 공격받는 것 보다는 애플리케이션 계층 방화벽은 세션을 따라서 포트를 열고 닫는 것이 필수다.

그런 다음 IP 단말기나 소프트폰, 시스코 콜매니저나 콜매니저 익스프레스 콜 서버(유동적인 애플리케이션의 경우 RTP 미디어 서버) 사이에서 신호가 발생할 수 있도록 방화벽과 연결된 ACL은 독특하게 VoIP용으로 제작돼야 한다. 뿐만 아니라 특정 애플리케이션은 특이하게 통화 라우팅 애플리케이션을 자동화시킨 시스코 어텐던트 콘솔(Attendant Console)이나 웹 다이얼러 클릭-투-다이얼 애플리케이션처럼 VoIP와 결합되기도 한다. 이러한 애플리케이션이 사용하는 레이어4 세션 포트는 방화벽을 통해 혜택을 부여하도록 구성돼야 한다.

네트워크 보안을 최상으로 실행하는 관리 시스템은 지속적으로 패치시켜야 한다. 다양한 폼 팩터에서 사용할 수 있는 시스코 시큐리티 에이전트 소프트웨어 형태인 호스트 기반 침입 예방과 네트워크 기반 침입 탐지, 예방은 서버 상의 운영 시스템과 네트워크를 보전하는데 도움이 된다. 시스코 시큐리티 에이전트로 적절하게 구성된 버전은 현재 시스코 콜 매니저, 시스코 컨택 센터, 시스코 유니티(Unity) 호스트 관리 시스템도 지원하고 있다.

미디어 암호화 지원
트래픽 차단은 하찮은 업무가 아니라고 무어는 말한다. "언급된 보안 레이어를 막을 수 있다면 굳이 모든 사람들이 암호화할 필요가 없다"는 것이다. 그러나 미디어와 링크 암호화는 몇 몇 조직에서 필요로 하는 또 다른 보안 레이어로 사용할 수 있다.

시스코는 SRTP(Secure Real-Time Protocol)를 사용해 IP폰과 폰 사이를 철저하게 암호화 시킨다. 음성 패킷용으로 특별히 디자인된 SRTP는 AES(Advanced Encryption Standard)를 지원하고 IETF 표준(RFC 3711)이다. SRTP를 사용하는 미디어 암호화는 IPSec보다 더 대역폭에 효율적이며, 잠복에 민감한 VoIP 전송에 있어 중요한 고려 대상이다.

시스코는 시스코 IP폰 7940G, 7960G, 7970G를 포함한 시스코 IP폰의 다양한 분야에서 미디어 암호화를 지원하고 있다. 이 제품들은 암호화용 엔드 디바이스 능력을 인증하는 산업 표준 X.509 디지털 증명서도 제공할 계획이다. 이는 주요 데이터 암호화를 매뉴얼 등록에 의존하는 대신 대규모 설치 작업에서 확장성을 용이하게 한다.

미디어 암호화는 시스코 1800, 2800, 3800 시리즈 통합 서비스 라우터를 포함한 시스코 미디어 게이트웨이에서도 통용된다. SRTP 미디어 암호화 기능을 제공하는 것과 함께 시스코 게이트웨이 제품의 경우 IPSec에 셋업 정보를 요청하는 암호화도 가능하다. 또 암호화의 프라이버시 보호 문제는 메시지 시스템을 통합한 시스코 유니티용 개인 메시지 보호 기능을 통해 음성 메시지에 적용될 수 있다. 의도된 수신인만 메시지를 해독하고 들을 수 있는 그런 사생활 보호 기능이 특징이다.

끊임없는 보안 위협
현재 급격하게 성장하고 있는 IP 텔레포니 산업은 새롭지만 처리할 수 있는 리스크를 기업측에 안겨준다. 이런 리스크를 미리 숙지하는 것이 성공을 향한 첫 관문이 될 것이다. IP 전화 서비스가 IP 데이터 시설과 관련이 있으므로 네트워크 전반에 놓인 보안 문제와 전략에 따른 방어책을 꼼꼼히 세우는 일이 중요하다. 데이터 네트워크를 보호해온 많은 단계들은 음성 네트워크를 보호하는 문제에서도 필수적으로 요구된다. 마찬가지로, 서킷 스위치 음성 네트워크에 따른 동일한 위험들이 IP 네트워크 내에서 완화될 필요가 있다.

음성 VLAN을 운영하고 애플리케이션 인식 방화벽과 ACL을 음성 인식으로 배열하고, 공공장소에서 단말기 특정 기능의 사용을 자제하고, 프라이버시 암호화를 사용하는 것이 음성 네트워크를 잘 사용하는 지름길이며 조직간 중요한 데이터의 해킹을 예방할 수 있는 해결책이다.

추가자료

■ 보안 RTP를 사용하는 미디어 인증과 암호화:
    cisco.com/packet/172_6c1


 


Packet 지난 호 보기