인터넷 방화벽
인터넷 방화벽방화벽이란, 내부 네트워크가 외부 네트워크에 연결되어 있을 경우 외부 네트워크로부터의 불법 침입으로부터 내부 네트워크를 보호하기 위해 네트워크 경로에 설치하는 시스템이다. 일반 적으로 방화벽은 게이트웨이(Gateway)로 사용되는 시스템에 구축을 하게 되며, 방화벽으로 사용 되는 게이트웨이는 베스쳔호스트(Bastion Host)로 설치가 되어야 안전하다.
방화벽 시스템을 구축하여 운용함으로써 현재 동작 중인 인터넷 서비스를 계속 사용함과 동 시에 내부 네트워크의 보안 수준을 향상시킬 수 있다. 즉 방화벽 시스템은 내부 네트워크에 대한 보안 정책을 실현하는 한 방법이며, 하나 이상의 베스쳔 호스트와 라우터, 인증 서버 등의 개별 요소들로 구성할 수 있다. 따라서 우리는 방화벽 시스템을 통하여 내부 네트워크에 대한 접근 제 어 및 강력한 사용자 인증을 실현시킬 수 있게 된다.
방화벽의 역할은 크게 두가지로 볼 수 있다. 첫번째는 외부 네트워크로부터의 불법 침입을 막는 것이며, 둘째는 내부 네트워크로부터의 불법 정보 유출을 방지하는 것이다. 전자는 외부 침 입으로부터 내부를 보호한다는 의미이며, 후자는 내부의 중요 정보의 외부 유출을 방지한다는 의 미이다.
이는 우리 생활에서 공항 출입국 관리 사무소에 비유하면 이해가 쉬울 것이다. 즉 입국시에 신원 및 휴대 물품을 조사하는 것은 국내 자원 보호의 의미가 크며, 출국시의 조사는 국내 자원 의 외부 유출을 막는다는 의미로 이해하여도 큰 무리가 없을 것이다.
방화벽만 설치하면 내부 네트워크의 보안 문제가 모두 해결되는가? 불행하게도 이 질문에 대한 대답은 단호히 'No'라고 말할 수 있다. 방화벽이 내부 네트워크 자원을 보호하는데 도움을 주는 것은 사실이나 보안의 모든 것을 다 해결해 줄 수는 없다.
방화벽은 내부 네트워크로의 진입 단계인 게이트웨이에 설치하게 되므로 내부 네트워크 상의 모든 자원들에 일관된 보안 정책을 적용시킬 수 있다. 사실 현재와 같이 다양한 서비스, 다양한 서버 플랫폼 및 다양한 운영체제의 시스템을 사용하는 환경에서 모든 시스템에 일관된 보안 정책 을 적용시키기란 매우 어려운 일이다. 그러나 방화벽을 사용하면 내부의 사용자들에게 투명하고 도 일관된 보안 정책을 적용시킬 수 있다.
또한 내부 네트워크 보안 방침의 적용이 용이하다는 장점이 있다. 보안 방침은 한번 정해 놓 고 항상 그대로 사용하는 것이 아니라, 내부 네트워크의 구성 형태, 사용 서비스, 내부 사용자들 의 변경, 외부 환경의 변화 등에 따라 변화시켜야 하는 유기적인 지침이다. 따라서 이러한 보안 방침을 어느 한 곳에서 통합적으로 관리할 수 있어야만이 이를 손쉽게 적용시킬 수 있다.
그러나, 방화벽을 설치함으로서 네트워크의 부하가 가중될 수 밖에 없다. 아울러 네트워크 트 래픽이 게이트웨이로 집중된다는 단점을 감수해야만 한다. 또한 방화벽 관리자가 방어 규칙 적용 에 실수를 하거나 악의를 갖는다면 내부 네트워크 상의 모든 자원에 피해를 줄 수도 있다.
이러한 단점이 있음에도 불구하고 방화벽의 필요성이 대두되고 이의 도입이 활발하다는 것 은, 아직까지는 방화벽만큼 손쉽게 보안의 해결책을 줄 수 있는 솔루션이 없다는 것을 의미한다 고도 볼 수 있을 것이다.
방화벽의 보안 개념은 매우 적극적이다. 즉 '명백히 금지되지 않은 것은 허용한다'는 소극적 방어가 아니라 '명백히 허용되지 않은 것은 금지한다'라는 적극적 방어 개념을 가지고 있다. 따라서 대부분의 방화벽 시스템의 접근 룰은 허용 리스트를 작성하여 여기 에 따르게 되는데, 허용 리스트에 등록되지 않은 서비스, IP 어드레스 및 사용자는 금지하게 되므 로 앞서 언급한 적극적 방어 개념의 실현이 가능하게 된다.
경계선이라 함은 방화벽의 보안 정책이 적용되는 가이드 라인이다. 따라서 이 경계선 내부에 위치하는 모든 시스템은 방화벽의 보안 정책에 영향을 받게 된다. 따라서 방화벽이 내부 네트워 크로 접근할 수 있는 유일한 경로가 되어야 한다. 이러한 경계선의 설정이 가능하므로 앞서 설명 한 내부 네트워크의 일관된 정책 적용이 가능해 진다. 이 때 경계선 방어가 효과를 가지려면 경 계선 내부의 모든 자원들은 상호 신뢰할 수 있어야 한다.
경계선 방어가 적용이 되면, 외부 네트워크와 내부 네트워크 간의 모든 통신이 경계선 간 유
일한 경로인 방화벽 시스템을 통해 이루어지게 된다. 아울러 외부 네트워크와 내부 네트워크간
접속은 방화벽 시스템에 적용된 허용 규칙을 따라야만이 가능해 진다.
현재 널리 사용되고 있는 방화벽 시스템의 종류는 다음과 같다.
패킷 필터링 게이트웨이의 패킷 필터링 규칙에 따라 접근을 허용/통제하게 된다. 이 방식은 주로 스크리닝 라우터나 패킷 필터링 게이트웨이에 의해 구현이 가능한데, 그 동작의 개요는 다 음과 같다.
써킷 프로토콜 게이트웨이가 외부 네트워크와 내부 네트워크간 프로토콜 중계기 역할을 담당 하는 방식이다. 일반적으로 SOCKS와 같은 보다 보안의 수준이 높은 프로토콜을 사용하여 구현 을 하게 되는데, 외부 네트워크와의 근본적인 차단이 가능하다.
이 방식에서는, 클라이언트 프로그램을 해당 프로토콜이 적용되도록 수정해야 하므로 다양한 네트워크 서비스를 모두 지원하지 못한다는 단점이 있다.
각각의 네트워크 서비스별로 프록시(proxy)를 두고 해당 프록시에서 보안 규칙을 적용하도록 구성한 방화벽의 형태이다. 프록시는 OSI 모델 중 최상위 레벨에서 동작하게 되므로 관리자의 필 요에 따라 사용자 인증 기능, 강력한 로깅 기능 등의 추가가 가능해진다.
비교적 안전한 형태의 방화벽 구조로 알려져 있으나, 전체적인 네트워크 성능의 저하를 가져 올 수 있고, 새로운 서비스가 개발될 때마다 해당 프록시를 추가해야 하며, 사용자에게 투명성을 제공해 주지 못한다는 단점을 가지고 있다.
앞서 언급된 여러 유형의 방화벽을 복합적으로 구성하는 형태이다. 보다 확실한 방어 전략을 실현할 수 있으나, 방어 정책의 설정이 어렵고 관리가 복잡해 진다는 단점이 있다.
일반적으로 패킷 필터링 방식을 전단에, 이외의 방식을 후단에 직렬로 구축하여 사용한다.
TCP/IP 네트워크에서 여러개의 네트워크 인터페이스를 갖는 호스트를 '멀티-홈드 호스트 (Multi-Homed Host)'라고 하며, 이러한 멀티-홈드 호스트는 네트워크 세그멘트 간의 트래픽을 라우트 할 수 있다. 실제로 게이트웨이라 함은 이러한 멀티-홈드 호스트에 의해 수행되는 라우팅 기능을 뜻한다. 또한 멀티-홈드 호스트에서 라우팅 기능을 제거하면 호스트에 접속되어 있는 각 각의 네트워크를 분리할 수 있다.
듀얼-홈드 호스트라 함은 멀티-홈드 호스트의 한 형태로, 두개의 네트워크 인터페이스를 갖 는 호스트이다. 이 듀얼-홈드 호스트가 방화벽의 역할을 수행하기 위해서는 자체 라우팅 기능을 제거해야 하며, 두개의 내트워크 간 접속은 오직 방화벽 소프트웨어에 의해서 가능해 진다. 따라 서 이러한 형태의 방화벽을 구축한다는 의미는, 두개의 네트워크를 물리적으로 분리시키는 것과 동일한 의미를 갖는다고 볼 수 있을 것이다.
일반적으로 방화벽은 베스쳔 호스트를 포함한다. 베스쳔 호스트는 내부 네트워크 보안의 중 요한 요소이기
때문에, 이를 방어하기 위한 또다른 최전방 방어선(보통 스크리닝 라우터)이 외부 의 신뢰성 없는 네트워크와 내부 네트워크 사이에 설치된다.
스크린드 호스트 구성에서는, 스크리닝 라우터를 구성할 때 외부 네트워크로부터 내부 네트 워크로 가는 모든 트래픽을 받아서 베스쳔 호스트에 먼저 보내도록 해야 한다. 물론 스크리닝 라 우터에서 일차적으로 패킷 필터링 규칙이 적용되고 이차적인 보안 규칙이 베스쳔 호스트에서 적 용되므로 외부 침입자가 IP 스푸핑 등을 이용하여 스크리닝 라우터를 통과하였더라도 베스쳔 호 스트와 싸워야하는 부담을 가져야만 하기 때문에 내부 보안의 효과를 높일 수 있다.
방화벽을 구성할 때, 외부 네트워크 및 내부 네트워크와 동시에 분리된 네트워크를 만들 수 있다. 이러한 격리된 네트워크는 적절하게 구성된 두개 이상의 스크리닝 라우터의 조합을 이용 하여 구성할 수 있으며, 베스쳔 호스트는 격리된 네트워크인 스크린드 서브넷 상에 위치하게 된 다.
이러한 구성에서는, 베스쳔 호스트를 통해야지만이 스크린드 서브넷에 접근할 수 있기 때문 에 외부의 침입자가 스크린드 서브넷을 파괴하기란 매우 어렵다. 또한 베스쳔 호스트를 통과하여 스크린드 서브넷에 접근하였다 할지라도 또다시 내부의 스크리닝 라우터를 통과해야 하는데, 일 반적으로 내부의 스크리닝 라우터는 외부의 스크리닝 라우터와 배타적인 규칙이 적용되므로 동시 에 두개의 스크리닝 라우터를 통과하기는 매우 어렵다.
방화벽 시스템을 실제로 구축할 경우에 다음과 같은 사항을 고려하여 자신에게 가장 적당한 형태의 시스템으로 구축되어야 한다. 물론 가장 먼저 필요한 사항은, 현재 자신의 네트워크 환경 이 방화벽 시스템을 필요로 하냐이다. 간혹 인터넷에 연결되어 있지도 않은 네트워크에서도 방화 벽을 구축하려 하는데 도움을 달라는 요청이 들어오기도 하는 것이 사실이다.
현재 Free Software로 널리 알려진 TIS Firewall Toolkit은, 미국 TIS사에서 배포하는 방화 벽 제작 툴킷이다. 즉 이것 자체가 방화벽은 아니며, 이 툴킷을 이용하여 자신의 환경에 적당한 방화벽을 손쉽게 구축할 수 있다.
인터넷, 인트라넷 붐과 함께 국내에도 방화벽 시스템의 도입이 매우 활발히 진행되고 있으며, 내년의 시장은 더욱 커질 것으로 예상된다. 이는 LAN이 구축되어 있고 인터넷에의 접속이 요구 된다면 어떠한 형태로든 방화벽의 설치가 필요하다는 인식이 확산되고 있기 때문일 것이다. 그러 나, 현재 방화벽의 능력을 너무 과대 평가하는 경향이 있으며, 방화벽만 설치하면 모든 해킹을 방 지할 수 있다는 꿈에 젖어 있는 것도 사실이다.
방화벽 시스템에 적용되는 핵심 기술은 이미 보편화되어 있으며, 현재 판매되는 방화벽 소 프트웨어는 타사의 장점을 수용하는 추세로 가기 때문에 어느 회사 제품의 방화벽을 선택하느냐 는 그리 중요하지 않으리라 본다. 보다 중요한 사항은, 방화벽 시스템을 '어떤 형태로 구축하느냐 '와 '어떻게 운용하느냐'이므로 이부분에 대한 연구와 컨설팅 능력 배양이 더욱 필요하리라 생각 된다.