회원K1064;터공원 ǐ12;문에 hot Ȣ16;,172; .108; 1060;슈가 물리1201; ኖ1;ǥ16;리 1077;니다.
ኖ1;ǥ16;리에 대해서 1060;런 1200;런 1060;야기가 많1648;만 까라면 까야1424;.
토씨달면 괴씸1396; 먹습니다.
http://www.2cpu.co.kr/freeboard_2011/534669
사무실에 개0156;1109;비가 서버lj16; IDC에 1080;lj16; ᅆ1;우가 대ǥ12;ǥ16;1060;라서 개0156;ኖ1;1032; ǥ16;리를 해야 Ȣ16;lj16;데
ipTime1012; 개0156;ኖ1;1032; 1452; 보안1109;비/196; Ǹ16;기lj16; 1328; 그/111;기 ǐ12;문에 (뭐랄까... 1328;...)
많1008; ǥ16;들1060; 아시lj16; 0120;크/196;ᔘ1;1012; 개0156;ኖ1; 0169;Ǻ12;1032; 1452;1109;비/196; Ǹ16;기/196; 했습니다.
watchguard, netgear proSecure, 1452;니6140; መ1;መ1; 많1008; 1109;비를 테스트 해봤1648;만
2CPU 회원1064; 0120;크/196;ᔘ1;1060; 가성비도 높고 기술1648;원도 확실 Ȣ16;므/196; 0120;크/196;ᔘ1; 추천 합니다.
기본1201;1064; 사무실1032; ኖ1;구성1008; 아래와 같습니다 (1안)
- KT modem -> ipTime -> HP unmanaged SW -> 업무용 PC
                                -> 0120;크/196;ᔘ1; -> 개0156;용 PC/서버/웍스 መ1;መ1;
- ipTime 설1221; (192.168.0.000 0180;드)
. 유선ኖ1;
. 무선ኖ1; (비공개)
. 무선ኖ1; (공개/내ǥ12;ኖ1; 1217;속불가. 손님용 wifi)
. 네트웍크 감시기능 실행 (감시수1456; 높1020;)
- 0120;크/196;ᔘ1; 설1221; (192.168.254.000 0180;드)
. 개0156;ኖ1;1032; ᅆ1;우 무선기능1012; disable 시켜버립니다.
. 무선1004;/196; 개0156;ኖ1; 1217;속1012; Ȣ16;,172; Ȣ16;면 안.104;고 ,172;1076;처/100; 무선1217;속1060; 필요한 ᅆ1;우에lj16;
  1217;속1109;비1032; Mac1012; መ1;/197;Ȣ16;,144;나 한번 더 ǥ16;리Ȣ16;lj16; ,163;1060; 1339;습니다.
. 0120;크/196;ᔘ1;1032; 네트웍ኖ1;1012; 별도/196; ǥ16;리해1452;면 업무용 PC가 해킹.104;었다고 해도 개0156;ኖ1; 영향1060; 1089;습니다.
최1333;1201;1064; 보안ኖ1; 구성 
- KT modem -> MF2 UTM -> ipTime -> HP unmanaged SW -> 업무용 PC
                                      -> 0120;크/196;ᔘ1; -> 개0156;용 PC/서버/웍스 መ1;መ1;
* 기타 수1221;사항1060; 필요한 내용1060; 1080;1004;면 알/140;1452;세요.
* 물리ኖ1;1032; 케1060;블1008; 업무용1008; 회색, 개0156;ኖ1;1008; 파랑색 1077;니다. 확실Ȣ16;,172; 케1060;블1012; 구ǥ16;Ȣ16;lj16; ,163;1008; ኖ1;ǥ16;리1032; 기본 1077;니다.
   파랑색 케1060;블1012; ,148;드리lj16; 사람1008; 해커/196; 간1452;해서 엄벌에 처한다고 써.160;시면 1339;습니다.
* 1473;소기업용 ኖ1;ǥ16;리 1077;니다. 
   VPN1012; Ǹ16;1648;lj16; 않습니다. 머리도 아프고 포트 혼용1032; 우/140;도 1080;기 ǐ12;문 1077;니다. 물리 1109;비 늘리lj16;,172; 1339;습니다.
APT가 잠입한 것을 눈치도 못채는 바이러스 프로그램, email 프로그램 등에 대해서도 처벌을 하고
해킹한 놈들은 잡아줘야죠.
해커를 못 잡으니 북의 소행이라고만 하는 것 아닌가요?
망분리의 기준이 그때 이해하기로는 개발용PC에서는 인터넷자체가 안되야 했거든요..
그래서 인터넷이 되는 PC와 안되는 개발PC 이렇게 두대를 놓고 개발하느라 고통이 이만저만이 아니었죠
위치선정이
- KT modem -> MF2 UTM -> ipTime -> HP unmanaged SW -> 업무용 PC(인터넷가능)
-> 미크로틱 -> 서버/웍스 등등(인터넷 가능)
↗↙(이부분의 접근은 될 수 있으면 VPN을 통해서만)
공유기(NAT/인터넷불가) -> 개발용 PC
의 형태가 되어야 하지 않을까 싶어요 ㅎㅎ
개발PC에서는 서버에만 접근가능하고 인터넷이 불가(이부분은 사실 이상태에서 서버 접근조차 VPN으로 하는게 맞지요) 하기에 개발용 PC가 악성코드에 감염되었을 때 서버에 영향이 미치는걸 애초에 개발PC가 감염되지 않음으로서 예방이 가능해지지요.
대부분의 APT공격이 서버에 직접들어가는게 아니라 사용자 PC로부터 전염된다는걸 상기해 봤을때 망분리를 할때는 반드시 개발PC의 인터넷이 되지 않아야 한다는게 맞다고 생각해요...(다만 개발이 굉장히 짜증나집니다....source관리를 위한 repository를 외부저장소로 쓸수도없기에 내부망에 설치해야하고...JAVA 개발자분들의 경우에는 Maven을 활용하는데 있어서 Nexus까지 구축하고 유지관리까지 해야되는데다가...어휴...)
개발 PC에서 인터넷이 되버리는 상태에서 서버에 접근이 가능해지는 순간 더이상 망분리를 한 의미가 없어지는게 문제네요..;ㅁ;
(참고로 위의 회사에서는 PC사용자가 단지 알약을 깔았을 뿐이고 알약 서버가 털린상태에서 알약을 통해들어와서 털린걸로 알고있네요..결국 사용자가 일반적인 용도로 사용이 가능하고 타고타고 갈 수 있는 경로에 서버가 있는 순간 망분리의 관점에서 봤을 때 이미 취약한 상태가 되버린다는거지요 :S )
그래서 개발장비를 완전히 원천분리를 하지는 못할거 같고, 작은 회사에서는 거의 불가능하죠.
테스트서버도 IDC에 올려두게 되니까요. -..-
알이나 안 같은 바이러스는 안쓰고 카스퍼스키나, 노턴과 같은 해외 바이러스만 쓰고 있는데
물리적으로 망분리를 하라는 것이 과연 정답인지는 모르겠더라구요.
구글의 개발 PC가 인터넷에 연결되어 있다? 아니다?
개발자의 편의성을 너무 심각하게 훼손하고 있죠...
이건 정말 개발인력의 효율이 50%이하로 떨어트리는거 같더라구여...
더군다나 큰회사에서는 망분리된 PC간에는 파일전송조차 할 수 없으니..usb도 꼽지 못하게 하는데다가 ㅎㅎ
git의 경우에도 gitlab을 내부망에 설치하면 쉽게 해결이 되긴합니다만
뭐 여튼 이러나 저러나 망분리하나 한다고 여러사람 피곤하고 고생스럽기는 하죠...
그래도 우리나라에서 추진하는 망분리는 인터넷을 분리해라 라는말이라고 생각되긴해요...
참 그지같은정책......물론 털린회사는 책임지고 물리적 망분리 시켰으면 좋겠네요..
한번 망분리 당해보니까 이게 얼마나 엄청난 보안대책인지는 느껴지더군여 ㅡ,.ㅡ
초반에 개발자들 너무 답답해서 폐쇄망에서 서버에 접속해서 프록시 깔아서 하다가 걸려서 그것마저도 막혀버리고 막...
아무튼 물리적으로 완벽하게 분리시키고 배포자동화를 해놓은 상태라면 좋은 보안대책이 아니다라고는 말할 수 없더라구여..
서비스가 클라우드에 올라가 있는 경우에는 반쪽짜리 분리가 되어 버립니다.
SSL이 모든 해킹을 막는 전가의 보도인 것처럼 강요를 했었고
지금은 망문비가 모든 해킹을 막는 최후의 방법인 것처럼 강요를 하고 있는데
보안의 본질은 잊어버리고 tool과 서비스를 팔아 먹는 벤더 입장에서 일하고 있다는 느낌이라서...
모든 해킹을 북한의 일이라고 돌리버리지 말고 "정부에서 해결하는 것"이 최고의 방법 입니다.
큰 해킹범을 전혀 못 잡으니 한국의 사이트들이 호구가 되는 것 입니다.
도둑놈 잡을 생각은 못하고, 도둑 맞은 놈만 때리고 있는 현실이 좀 안타깝기도 하구요.
하지만....
많은 회사들이 보안에 너무 취약한것도 사실이더군여..
친구가 Cert분야에서 일을 하는데...얘기들어보면 가관도 아니에요...
굉장히 많은 회사들이 취약하고 보안에 허술한상태라서..
이걸 정부차원에서 강제로 망분리라도 시키면 어느정도 피해가 감소하긴 하겠다 라는 생각은 들어요...
물론 클라우드써야하는데 망분리 어쩔 이란 상황은..;ㅁ;(참고로 위의 회사에서는 아예 폐쇄망에 자체클라우드 환경까지 만들어준............)
여튼 결론은 다음에 회사를 들어가게 됬는데 망분리된 회사다 라면 안갈겁니다(...)
제대로 뭘 하려고 해도 그런 서비스나 시스템을 구매하기도 쉽지 않구요.
정부에서 팔라고 하는 품목만 열심히 팔쟎아요. Active-X 공인인증서처럼 쉬운 장사니까요.
제대로 보안을 하게 하려면 보안점검을 해주는 것을 세금으로 공제해주고
그러한 서비스를 잘 하는 회사들을 지원해줘야죠.
지금처럼 보안인증 만들어서 도장받기 사업이나 하게 한다면 모두에게 힘들고 불행한 일 입니다.
목적이 보안이지 도장 받는게 아닌데, 지금은 도장 받는 것이 보안의 목적이 되었어요.
보안점검 받는걸 세금공제 해주는방안!
훨씬 효율적이고 긍정적으로 작용할 것 같네요 ㅎㅎ
그런데 SSL과 망분리만 하고 인증받으면 책임을 묻지 않는건가요 아예;;;
그런게 있었군요;;
대장님 말씀처럼 뭔가 다른 현실적인 지원방안이 생겼으면 좋겠네요 ㅎㅎ
ISMS를 이렇게 많은 기업들이 인증한다고 하는데... 과연
https://search.naver.com/search.naver?where=nexearch&query=isms+%EC%9D%B8%EC%A6%9D&ie=utf8&sm=tab_she&qdt=0
매년 ISMS 적용대상을 늘려가면 10년 이상 꾸준히 밥벌이가 되는 완벽한 시장인데
ISMS를 했는데도 침해를 입었고 그런 것을 처벌해버리면 ISMS를 할 이유가 없죠. 과태료 내고 말죠.