|
||
DownloadsFact SheetCisco IOS Firewall Feature Set 우수한 인터넷 통신 기능을 활용하고자 하는 사람들에게는 다음과 같은 안전한 솔루션이 필요합니다. 오늘날 인터넷은 원거리 위치에 있는 고객, 공급자, 파트너 및 사원들과의 통신을 극적으로 향상시키는 강력한 신기술의 핵심을 이룹니다. 사용자들은 네트워크 트랜잭션, 특히 공중망을 통한 네트워크 트랜잭션이 안전하다는 확신을 가질 수 있어야 합니다.
새로운 방화벽 기능 및 이점Cisco IOS 보안 서비스에는 관리자들이 시스코 라우터를 방화벽처럼 구성할 수 있는 기능들이 있습니다. Cisco IOS Firewall Feature Set는 기존의 Cisco IOS 보안 솔루션에 더 많은 기능과 유연성을 추가합니다. 표 1은 이미 방화벽 기능을 하고 있는 라우터에 한층 더 많은 유연성과 보호를 제공하는 새로운 기능들을 개략적으로 보여줍니다. 이러한 기능들은 1998년 1분기부터 Cisco 1600 및 2500 시리즈 라우터에 이용되고 있습니다.표 1: Cisco IOS Firewall Feature Set 개요
이전에 발표된 Cisco IOS 방화벽 기능은 다음과 같습니다.
새로운 기능에 대한 세부 정보Context-based access controlCBAC(Context-Based Access Control)는 Cisco IOS 기능 세트에 추가된 핵심 기능입니다. CBAC 기술의 중요성은 처음으로 관리자들이 지능형 방화벽을 통합된 단일 솔루션의 일부로 구현할 수 있다는 점입니다. 이제 철저한 보안이 갖추어진 네트워크는 오늘날의 애플리케이션 트래픽을 허용하고 멀티미디어 및 화상회의와 같은 미래의 고급 애플리케이션에 대비할 수 있습니다. CBAC는 소스 주소 및 수신 주소를 면밀히 조사함으로써 잘 알려진 포트(ftp 및 전자메일 트래픽 등)를 사용하는 TCP 및 UDP 애플리케이션의 보안을 향상시킵니다.CBAC의 작동 방식CBAC는 표준 TCP 및 UDP 인터넷 애플리케이션, 멀티미디어 애플리케이션(H.323 애플리케이션, CU-SeeME, VDOLive, Streamworks 등) 그리고 Oracle 데이터베이스를 포함하여 IP 트래픽에 대한 애플리케이션별 제어 메커니즘입니다. CBAC는 TCP 및 UDP 패킷을 검사하고 패킷의 "상태" 또는 연결 상태를 추적합니다.TCP는 연결 지향 프로토콜입니다. 데이터를 전송하기에 앞서 발신 호스트는 "3방향 핸드쉐이크(three-way handshake)"라는 과정에서 수신측과 연결을 negotiation합니다. 이 핸드쉐이킹 프로세스는 유효한 TCP 연결 및 오류 없는 전송을 보장합니다. 연결 설정 시 TCP는 몇 가지 "상태" 또는 단계를 통과하는데, 이러한 단계는 패킷 헤더에서 쉽게 식별됩니다. 표준 및 확장 ACL(Access Control List)은 패킷 헤더에서 상태를 읽고 트래픽의 링크 통과가 허용되는지를 결정합니다. CBAC는 전체 패킷을 읽어 애플리케이션 상태 정보를 얻음으로써 ACL 기능에 지능형 검사를 추가합니다. 이 정보를 사용하여CBAC는 임시 세션 특정 ACL 항목을 생성하여, 신뢰성 있는 네트워크로의 반환 트래픽을 허용합니다. 이 임시 ACL은 사실상 방화벽의 문을 엽니다. 세션의 시간이 초과되거나 세션이 종료되면 ACL 항목은 삭제되고 문은 닫혀 추가 트래픽이 허용되지 않습니다. 표준 및 확장 ACL은 임시 ACL 항목을 생성할 수 없으므로 지금까지 관리자들은 정보 액세스 요건에 비추어 보안 위험을 평가할 수 밖에 없었습니다. 반환 트래픽을 위해 여러 채널에서 선택되는 고급 애플리케이션은 지금까지 표준 또는 확장 ACL을 사용하여 보안을 유지하기가 어려웠습니다. CBAC는 방화벽을 통한 세션 허용 여부를 결정할 때 애플리케이션 유형을 설명하고 그 애플리케이션이 반환 트래픽을 위해 여러 채널에서 채널을 선택하는지의 여부를 결정하기 때문에 현재의 ACL 전용 솔루션에 비해 더 안전합니다. CBAC 이전에는 관리자들이 영구 ACL 작성을 통해서만 고급 애플리케이션 트래픽을 허용할 수 있었고 이러한 영구 ACL은 곧 본질적으로 방화벽 문을 항상 활짝 열어두는 것과 같았기 때문에, 대부분의 관리자들은 이러한 애플리케이션 트래픽을 거부하는 쪽을 선택하였습니다. 이제 CBAC를 사용함으로써 그들은 필요할 때 방화벽을 열고 다른 때에는 닫아둠으로써 멀티미디어 및 기타 애플리케이션 트래픽을 안전하게 허용할 수 있습니다. 예를 들어 내부 사용자가 연결을 시작할 때 Microsoft NetMeeting을 허용하도록 CBAC를 구성하면 방화벽은 반환 트래픽을 허용합니다. 그러나 외부 NetMeeting 소스가 내부 사용자와의 연결을 시작할 경우 CBAC는 항목을 거부하고 패킷을 드롭합니다. 좀더 기술적인 관점에서 보면 CBAC는 다음과 같은 몇 가지 실행 메커니즘을 사용합니다. 1. 패킷 검사(packet inspection)는 패킷 제어 채널을 모니터하고, 제어 채널에 있는 애플리케이션 특정 명령을 인식하여, 애플리케이션 수준의 공격을 탐지 및 방지합니다. 2. 검사를 통과하는 패킷은 전송되고, CBAC는 상태 테이블(state table)을 생성하여 세션 상태 정보를 유지합니다. 반환 트래픽은 패킷이 유효한 세션에 속한다는 상태 테이블이 존재할 경우에만 통합 방화벽을 통과하도록 허용됩니다. 이러한 구성 가능 기능은 정의된 세션을 모니터합니다. 3. 세션이 닫히거나 시간이 초과되면 상태 테이블은 삭제됩니다. 무선 서비스인 UDP의 경우 CBAC는 UDP 세션을 결정하기 위해 주소/포트 쌍에 따라 패킷을 검사함으로써 UDP "세션" 액세스를 적절히 종료시킵니다. 4. CBAC는 상태 테이블에 있는 정보에 따라 각 라우터 인터페이스에서 액세스 제어 목록 항목을 동적으로 생성하고 삭제합니다. 이러한 항목은 통합 방화벽에서 임시 "통로(opening)"를 생성하여 유효한 반환 트래픽이 네트워크로 반환되도록 허용합니다. 상태 테이블과 마찬가지로 동적 ACL은 세션 종료 시 저장되지 않습니다. CBAC는 어디에 사용하는가?CBAC는 인터페이스별 기준으로 구성됩니다. CBAC는 방화벽의 양쪽에서 발신되는 트래픽(양방향)을 제어하도록 구성할 수 있으나, 대부분의 고객은 한쪽에서만 발신되는 트래픽(단방향)에 CBAC를 적용할 것입니다.클라이언트 세션이 내부 네트워크 내부에서 시작되고 방화벽을 통과하여 호스트에 액세스해야 할 경우에는 단방향 제어로 CBAC를 구성하십시오. 예를 들어 지사는 WAN 링크나 인터넷을 통해 회사 서버에 액세스해야 할 것입니다. CBAC는 필요 시마다(동적으로) 링크를 열고 반환 트래픽을 모니터합니다. CBAC는 방화벽의 양쪽 모두에 보호가 필요할 때 양방향 솔루션으로 적합합니다. 이 구성의 일례로 한 방향으로 일부 애플리케이션에 대해 트래픽이 제한되고 다른 방향으로는 다른 애플리케이션에 대해 트래픽이 제한되는 두 개의 파트너 회사의 네트워크를 들 수 있습니다. 기타 CBAC 관련 정보
Java 블로킹인터넷에서 Java 애플릿 사용이 확산되면서 악의적인 애플릿으로부터 네트워크를 보호하는 일이 네트워크 관리자의 주요 관심사가 되었습니다. Java 블로킹은 아카이브 또는 압축 파일에 내장되지 않은 Java 애플릿에 대한 액세스를 필터링하거나 완전 거부하도록 구성될 수 있습니다.서비스 거부(DoS) 탐지 및 방지새롭게 더욱 향상된 서비스 거부(Denial of Service) 탐지 및 방지는 syn 쇄도, 포트 스캔 및 패킷 주입에 대해 네트워크를 보호합니다. 서비스 거부 탐지 및 방지는 TCP 연결에서 패킷 시퀀스 번호를 검사합니다. 번호가 예상 범위 안에 있지 않을 경우 라우터는 의심스러운 패킷을 드롭시킵니다. 라우터가 예외적으로 높은 속도의 새로운 연결을 탐지할 경우 라우터는 경보 메시지를 발행합니다. 라우터는 또한 절반만 열린 TCP 연결 상태 테이블을 드롭시켜 시스템 자원 고갈을 방지합니다.감사 추적향상된 감사 추적 기능은 syslog를 사용하여 모든 트랜잭션을 추적합니다. 즉 시간 스탬프, 소스 호스트, 수신 호스트, 사용된 포트, 세션 기간 및 전송된 총 바이트 수를 기록합니다.실시간 경보실시간 경보는 의심스러운 활동이 탐지되는 즉시 중앙의 관리 콘솔에 syslog 오류 메시지를 전송합니다. 네트워크 관리자는 침입에 즉각 대응할 수 있는 능력을 갖추게 됩니다.ConfigMaker 지원Cisco IOS Firewall Feature Set는 ConfigMaker를 사용하여 설정이 아주 쉽습니다. ConfigMaker는 네트워크 상의 모든 지원되는 라우터를 방화벽으로 구성해주는 Win95/WinNT-Wizard 기반 관리 툴입니다. ConfigMaker는 기존의 시스코 CLI(Command-Line Interface) 툴을 대신하는 구성 대안 툴입니다. 이 툴은 리셀러와 네트워크 관리자들의 네트워크 설계 및 라우터 설치 프로세스를 자세히 안내해 줍니다. ConfigMaker는 각각의 라우터를 독립된 장치로 구성하기보다 단 한 대의 PC에서 모든 라우터를 구성하는 하나의 전체 라우터 네트워크의 구성을 허용합니다.애플리케이션본사와 인터넷에 지사 연결지사 보안의 핵심 요소인 Cisco IOS Firewall Feature Set는 와이어링 클로짓에 추가 공간이 필요하지 않습니다. 예를 들어 Cisco 2500 라우터는 인터넷에 연결하고 본사 자원에 전용 회선을 연결하여 두 개의 Token Ring을 관리합니다. 이 방화벽 기능 세트를 사용하여 관리자들은 한 인터페이스상에서 특정 애플리케이션 트래픽과 인터넷에서 다운로드되는 Java 애플릿을 거부하고, 또 다른 WAN 인터페이스를 통해 SNA(Systems Network Architecture) 트래픽과 Java 애플릿이 본사에서 네트워크로 전송되도록 라우터를 원격으로 구성할 수 있습니다. 이 솔루션은 SNA 메인프레임 및 클라이언트/서버 애플리케이션과 같은 필수 애플리케이션에 대한 액세스는 부여하고 원치 않는 애플리케이션 트래픽에 대한 액세스는 거부합니다.소규모 기업 웹 서버또 다른 시나리오에서 현장 인터넷 웹 서버를 통해 고객 및 공급업자와 통신하는 중소기업 사장이 있다고 가정합시다. 고객과 공급업자는 Cisco 1605 라우터를 사용해 언제든지 이 웹 서버에 로그인할 수 있는 한편, 내부 이더넷 LAN은 다른 인터페이스에서 보호됩니다. 방화벽 기능 세트는 각 포트에서 CBAC 검사를 제공하여 트래픽을 철저히 모니터하고 웹 서버와 내부 네트워크 모두를 외부 공격으로부터 보호합니다.시스코 엔드-투-엔드 네트워크견고한 보안 정책은 단순히 경계(perimeter) 제어나 방화벽 설정 및 관리의 수준에 머물지 않습니다. Cisco IOS 소프트웨어는 전역 보안 정책을 구현하기 위한 이상적인 수단입니다. 엔드-투-엔드 시스코 솔루션을 구축함으로써 관리자는 네트워크 성장에 따라 네트워크 전반에 보안 정책을 시행할 수 있는 능력을 갖출 수 있습니다.시스코 지원지원 프로그램이 마련되어 있어 Cisco IOS 보안 소프트웨어 업데이트는 수상 경력이 있는 시스코의 웹 사이트 Cisco Connection Online에서 언제든지 이용할 수 있습니다. 업계 최고의 네트워킹 솔루션을 보완하기 위해 시스코는 완벽한 지원 솔루션을 개발하였습니다. 수명주기에 맞춘 시스코의 지원 제품 포트폴리오는 고객의 투자를 보호하고 극대화하기 위한 시작, 유지 보수, 마케팅, 고급 및 맞춤 서비스를 자랑합니다. 이러한 서비스들은 함께 작동하여 특정 애플리케이션과 환경에 맞추어 솔루션을 조정할 수 있는 다양성과 유연성을 제공합니다. 네트워크 관리자들은 세계 수준급 시스코 지원 서비스를 사용하여 근거리 또는 원거리 시스코 네트워크 엔드-투-엔드를 지원할 수 있습니다.표 2: Cisco IOS Firewall Feature Set 사양 출시 계획 및 가격1998년 1분기부터 고객은 Cisco 1600 및 2500 시리즈 라우터를 위한 특정 소프트웨어 이미지를 가진 옵션으로서 Cisco IOS Firewall Feature Set를 주문할 수 있습니다. 1998년 Firewall Feature Set 출시로 고객은 시스코의 웹 사이트에서 이것을 소프트웨어로 다운로드하거나 CD-ROM을 요청할 수 있습니다. Firewall Feature Set는 추가 비용이 드는 옵션이며 가격은 미정입니다.추가 정보Cisco IOS 소프트웨어 및 Cisco IOS 보안 서비스에 대한 자세한 내용을 알아보려면 아래 주소의 시스코 웹 사이트를 방문하십시오.http://cisco.com/warp/public/732/. <업데이트: 2003년 6월 20일> |
||||||||||||||||
