회원K인터공원 때문에 hot 하게 된 이슈가 물리적 망분리 입니다.
망분리에 대해서 이런 저런 이야기가 많지만 까라면 까야죠.
토씨달면 괴씸죄 먹습니다.
http://www.2cpu.co.kr/freeboard_2011/534669
사무실에 개발장비가 서버는 IDC에 있는 경우가 대부분이라서 개발망의 분리를 해야 하는데
ipTime을 개발망의 주 보안장비로 쓰기는 좀 그렇기 때문에 (뭐랄까... 좀...)
많은 분들이 아시는 미크로틱을 개발망 방어의 주장비로 쓰기로 했습니다.
watchguard, netgear proSecure, 주니퍼 등등 많은 장비를 테스트 해봤지만
2CPU 회원인 미크로틱이 가성비도 높고 기술지원도 확실 하므로 미크로틱 추천 합니다.
기본적인 사무실의 망구성은 아래와 같습니다 (1안)
- KT modem -> ipTime -> HP unmanaged SW -> 업무용 PC
-> 미크로틱 -> 개발용 PC/서버/웍스 등등
- ipTime 설정 (192.168.0.000 밴드)
. 유선망
. 무선망 (비공개)
. 무선망 (공개/내부망 접속불가. 손님용 wifi)
. 네트웍크 감시기능 실행 (감시수준 높음)
- 미크로틱 설정 (192.168.254.000 밴드)
. 개발망의 경우 무선기능을 disable 시켜버립니다.
. 무선으로 개발망 접속을 하게 하면 안되고 게임처럼 무선접속이 필요한 경우에는
접속장비의 Mac을 등록하거나 한번 더 분리하는 것이 좋습니다.
. 미크로틱의 네트웍망을 별도로 분리해주면 업무용 PC가 해킹되었다고 해도 개발망 영향이 작습니다.
최종적인 보안망 구성
- KT modem -> MF2 UTM -> ipTime -> HP unmanaged SW -> 업무용 PC
-> 미크로틱 -> 개발용 PC/서버/웍스 등등
* 기타 수정사항이 필요한 내용이 있으면 알려주세요.
* 물리망의 케이블은 업무용은 회색, 개발망은 파랑색 입니다. 확실하게 케이블을 구분하는 것은 망분리의 기본 입니다.
파랑색 케이블을 건드리는 사람은 해커로 간주해서 엄벌에 처한다고 써두시면 좋습니다.
* 중소기업용 망분리 입니다.
VPN을 쓰지는 않습니다. 머리도 아프고 포트 혼용의 우려도 있기 때문 입니다. 물리 장비 늘리는게 좋습니다.
APT가 잠입한 것을 눈치도 못채는 바이러스 프로그램, email 프로그램 등에 대해서도 처벌을 하고
해킹한 놈들은 잡아줘야죠.
해커를 못 잡으니 북의 소행이라고만 하는 것 아닌가요?
망분리의 기준이 그때 이해하기로는 개발용PC에서는 인터넷자체가 안되야 했거든요..
그래서 인터넷이 되는 PC와 안되는 개발PC 이렇게 두대를 놓고 개발하느라 고통이 이만저만이 아니었죠
위치선정이
- KT modem -> MF2 UTM -> ipTime -> HP unmanaged SW -> 업무용 PC(인터넷가능)
-> 미크로틱 -> 서버/웍스 등등(인터넷 가능)
↗↙(이부분의 접근은 될 수 있으면 VPN을 통해서만)
공유기(NAT/인터넷불가) -> 개발용 PC
의 형태가 되어야 하지 않을까 싶어요 ㅎㅎ
개발PC에서는 서버에만 접근가능하고 인터넷이 불가(이부분은 사실 이상태에서 서버 접근조차 VPN으로 하는게 맞지요) 하기에 개발용 PC가 악성코드에 감염되었을 때 서버에 영향이 미치는걸 애초에 개발PC가 감염되지 않음으로서 예방이 가능해지지요.
대부분의 APT공격이 서버에 직접들어가는게 아니라 사용자 PC로부터 전염된다는걸 상기해 봤을때 망분리를 할때는 반드시 개발PC의 인터넷이 되지 않아야 한다는게 맞다고 생각해요...(다만 개발이 굉장히 짜증나집니다....source관리를 위한 repository를 외부저장소로 쓸수도없기에 내부망에 설치해야하고...JAVA 개발자분들의 경우에는 Maven을 활용하는데 있어서 Nexus까지 구축하고 유지관리까지 해야되는데다가...어휴...)
개발 PC에서 인터넷이 되버리는 상태에서 서버에 접근이 가능해지는 순간 더이상 망분리를 한 의미가 없어지는게 문제네요..;ㅁ;
(참고로 위의 회사에서는 PC사용자가 단지 알약을 깔았을 뿐이고 알약 서버가 털린상태에서 알약을 통해들어와서 털린걸로 알고있네요..결국 사용자가 일반적인 용도로 사용이 가능하고 타고타고 갈 수 있는 경로에 서버가 있는 순간 망분리의 관점에서 봤을 때 이미 취약한 상태가 되버린다는거지요 :S )
그래서 개발장비를 완전히 원천분리를 하지는 못할거 같고, 작은 회사에서는 거의 불가능하죠.
테스트서버도 IDC에 올려두게 되니까요. -..-
알이나 안 같은 바이러스는 안쓰고 카스퍼스키나, 노턴과 같은 해외 바이러스만 쓰고 있는데
물리적으로 망분리를 하라는 것이 과연 정답인지는 모르겠더라구요.
구글의 개발 PC가 인터넷에 연결되어 있다? 아니다?
개발자의 편의성을 너무 심각하게 훼손하고 있죠...
이건 정말 개발인력의 효율이 50%이하로 떨어트리는거 같더라구여...
더군다나 큰회사에서는 망분리된 PC간에는 파일전송조차 할 수 없으니..usb도 꼽지 못하게 하는데다가 ㅎㅎ
git의 경우에도 gitlab을 내부망에 설치하면 쉽게 해결이 되긴합니다만
뭐 여튼 이러나 저러나 망분리하나 한다고 여러사람 피곤하고 고생스럽기는 하죠...
그래도 우리나라에서 추진하는 망분리는 인터넷을 분리해라 라는말이라고 생각되긴해요...
참 그지같은정책......물론 털린회사는 책임지고 물리적 망분리 시켰으면 좋겠네요..
한번 망분리 당해보니까 이게 얼마나 엄청난 보안대책인지는 느껴지더군여 ㅡ,.ㅡ
초반에 개발자들 너무 답답해서 폐쇄망에서 서버에 접속해서 프록시 깔아서 하다가 걸려서 그것마저도 막혀버리고 막...
아무튼 물리적으로 완벽하게 분리시키고 배포자동화를 해놓은 상태라면 좋은 보안대책이 아니다라고는 말할 수 없더라구여..
서비스가 클라우드에 올라가 있는 경우에는 반쪽짜리 분리가 되어 버립니다.
SSL이 모든 해킹을 막는 전가의 보도인 것처럼 강요를 했었고
지금은 망문비가 모든 해킹을 막는 최후의 방법인 것처럼 강요를 하고 있는데
보안의 본질은 잊어버리고 tool과 서비스를 팔아 먹는 벤더 입장에서 일하고 있다는 느낌이라서...
모든 해킹을 북한의 일이라고 돌리버리지 말고 "정부에서 해결하는 것"이 최고의 방법 입니다.
큰 해킹범을 전혀 못 잡으니 한국의 사이트들이 호구가 되는 것 입니다.
도둑놈 잡을 생각은 못하고, 도둑 맞은 놈만 때리고 있는 현실이 좀 안타깝기도 하구요.
하지만....
많은 회사들이 보안에 너무 취약한것도 사실이더군여..
친구가 Cert분야에서 일을 하는데...얘기들어보면 가관도 아니에요...
굉장히 많은 회사들이 취약하고 보안에 허술한상태라서..
이걸 정부차원에서 강제로 망분리라도 시키면 어느정도 피해가 감소하긴 하겠다 라는 생각은 들어요...
물론 클라우드써야하는데 망분리 어쩔 이란 상황은..;ㅁ;(참고로 위의 회사에서는 아예 폐쇄망에 자체클라우드 환경까지 만들어준............)
여튼 결론은 다음에 회사를 들어가게 됬는데 망분리된 회사다 라면 안갈겁니다(...)
제대로 뭘 하려고 해도 그런 서비스나 시스템을 구매하기도 쉽지 않구요.
정부에서 팔라고 하는 품목만 열심히 팔쟎아요. Active-X 공인인증서처럼 쉬운 장사니까요.
제대로 보안을 하게 하려면 보안점검을 해주는 것을 세금으로 공제해주고
그러한 서비스를 잘 하는 회사들을 지원해줘야죠.
지금처럼 보안인증 만들어서 도장받기 사업이나 하게 한다면 모두에게 힘들고 불행한 일 입니다.
목적이 보안이지 도장 받는게 아닌데, 지금은 도장 받는 것이 보안의 목적이 되었어요.
보안점검 받는걸 세금공제 해주는방안!
훨씬 효율적이고 긍정적으로 작용할 것 같네요 ㅎㅎ
그런데 SSL과 망분리만 하고 인증받으면 책임을 묻지 않는건가요 아예;;;
그런게 있었군요;;
대장님 말씀처럼 뭔가 다른 현실적인 지원방안이 생겼으면 좋겠네요 ㅎㅎ
ISMS를 이렇게 많은 기업들이 인증한다고 하는데... 과연
https://search.naver.com/search.naver?where=nexearch&query=isms+%EC%9D%B8%EC%A6%9D&ie=utf8&sm=tab_she&qdt=0
매년 ISMS 적용대상을 늘려가면 10년 이상 꾸준히 밥벌이가 되는 완벽한 시장인데
ISMS를 했는데도 침해를 입었고 그런 것을 처벌해버리면 ISMS를 할 이유가 없죠. 과태료 내고 말죠.