나경아빠의 스케치북 - 고통은 희망의 씨앗이다

출처 : 네트워크 타임즈 2015년 11월호 "망분리, 망연계 시장 집중 분석"

1. 망분리 배경

ㅇ 2013년 발표된 금융전산 망분리 가이드라인

ㅇ 제1금융권

- ~ 2014년 : 전산센터에 대한 물리적 망분리 완료

- ~ 2015년 : 본점과 영업점 망분리 완료

ㅇ 제2금융권

- ~ 2016년 : 망분리 완료

2. 망분리 목적

ㅇ 인터넷망과 업무망을 분리해 인터넷으로부터 유입되는 각종 사이버 공격을 막기 위함

3. 망분리 방법

ㅇ 물리적 망분리 

- 물리적으로 네트워크와 PC를 완전히 분리

ㅇ 논리적 망분리

- 가상화 기술을 이용해 한대의 PC에서 업무망과 인터넷망을 분리

① 서버기반컴퓨팅(SBC) : 서버에 가상 PC를 두고 인터넷에 연결

② 클라이언트기반컴퓨팅(CBC) : PC에 샌드박스와 같은 가상화 영역을 두고 인터넷에 연결 

4. 망분리 관련 컴플라이언스

ㅇ 2015.9 망분리 QnA : 

150921_망분리 QnA_.pdf

ㅇ 2015.9 망분리 예외기준을 명확히 한 전자금융감독규정 시행세칙

전자금융감독규정시행세칙.pdf

ㅇ 주요 내용

- 외국계 금융회사도 망분리 규제 준수 : 해외 소재 전산센터에 정보처리 업무를 위탁할 경우, 물리적 망분리

  이외의 망분리도 허용

- 제한적으로 외부망 연결 허용 : 전산센터의 물리적 망분리 서버의 경우 업무적으로 필요한 경우 허용

  (예 : 행정정보시스템, 공인인증서 발급기관 등)

- 외주직원 소유의 단말기의 망분리 준수 : 보험설계사, 외주직원 소유의 단말기로 금융사 내부망에 연결될 때

  에는 반드시 망분리

    -> 내부망과 분리된 DMZ 망 등에 위치한 시스템에만 접속하는 경우에는 망분리 대상이 아님

- 다른 계열사와 그룹웨어, 이메일 이용 시 망분리 : 그룹에 속한 금융회사가 다른 계열사와 그룹웨어, 이메일

  등을 이용할 때에도 망분리

- 망간자료전송시스템(망연계 시스템)은 의무 설치 아님 : 망연계 시스템을 이용해도 무방, 방화벽을 통해

  외부기관관의 연결 구성도 무방

5. 망분리 단점

ㅇ 인터넷에서 사용자 모르게 감염된 자료가 업무망 내부로 유입될 가능성 있음

ㅇ 업무망의 기밀정보가 외부로 유출될 가능성 있음

ㅇ 망간 전송 시 관리자의 승인을 받아야 하지만 관리자 업무가 폭증해 업무처리가 제대로 진행되지 않을 수 있음

ㅇ 망간 전송 의사결정이 늦어져 비즈니스 피해 가능성 있음

6. 망분리 걸림돌 - 라이선스

ㅇ 망분리는 한 사람이 2개 이상 OS와 응용프로그램을 사용해야 하기 때문에 라이선스도 하나의 단말에서 사용하는

   기준보다 훨씬 비싸다.

ㅇ SBC방식의 라이선스

① 필수 라이선스

- VM 라이선스

- 윈도우 라이선스

- 버추얼 데스크톱 액세스(VDA) 라이선스

> 물리적인 PC가 가상PC에 접근하는 권한에 대한 라이선스

> 단말 단위로 부과

- 망연계 라이선스

7. 망분리 비용

ㅇ 물리적 망분리

- 네트워크 회선 공사

- 네트워크 장비

- 보안 장비

- PC

ㅇ SBC 망분리

- 서버, 스토리지 

- 백업 비용 : 업무 데이터가 모두 중앙에서 관리되기 때문

ㅇ CBC 망분리

- 상대적으로 비용이 적게 듬

ㅇ 비용 비교

- 물리적 망분리 : 100 기준

- CBC 망분리 : 50

- SBC 망분리 : 80 ~ 120, 하드웨어 리소스를 많이 사용하는 업무라면 400 이상

8. 망분리 시 문제점

ㅇ CBC 망분리

- 단말에 설치된 에이전트가 가상환경을 침해로 인식하고 가상환경을 구동시키지 않는 것

- CBC 방식의 망분리 환경에서 가장 많이 일어나는 문제

- 윈도우 및 각종 응용프로그램의 업데이트가 발생할 때마다 충돌 문제를 발생 가능

ㅇ SBC 망분리

- 가상 PC에서 액티브X 등 비표준 웹환경이 구동되지 않을 수 있음

- CBC와 마찬가지로 DLP, DRM 등이 가상환경의 접속을 차단하는 경우 있음

- 가상 데스크톱 인프라(VDI)는 외산 솔루션이 많이 때문에 국내의 특수한 상황을 맞추는데 시간 소요

ㅇ VDI 문제점

- VDI 솔루션은 동시접속자 기준으로 라이선스를 책정, 가상PC를 할당받은 사용자가 업무 종료 후 해당

  가상PC를 회수시키지 않고 그대로 남겨뒀을 때, 사용하지 않는 가상PC에 대한 관리가 되지 않아

  비용이 증가하는 문제가 발생할 수 있음

- VDI 솔루션에서 기본적으로 세션이 만료되면 자동으로 가상PC가 삭제되는 기능이 있는데 가상PC에

  대한 별도의 관리 툴이 필요

출처 : 네트워크 타임즈 2013.05, 이진욱 미라지웍스 과장

1. 망분리시 네트워크 환경 변화의 고려할 점

- 대부분의 관리자와 보안 담당자들은 망분리 솔루션 도입만을 고민하고, 자신의 업무 과제에 대해서는

   생각하지 않는다.

망분리라 해서 실제 수행하는 부서와 업체가 따로 있어 업무 관점, 전체 보안 프레임워크 관점, 

위험 관리 관점에서 바라보지는 못했던거 같다.

2. 망분리시 기존 네트워크망 관계

- 망분리를 위해서는 기존 네트워크망이 변경돼야 한다.

- 기존 망을 유지하려 하지 말 것을 당부한 것은 망분리 대상 네트워크를 별도로 두고 처음부터 정책을

   수립해야 한다는 것

3. 망분리시 기존 네트워크망 변경 안한다면

- 망분리는 네트워크를 바꾸는 작업이기 때문에 기존 환경을 고집한 채 솔루션만 도입하면 성공적으로

   망분리를 할 수 없다.

- 기존 망에 지나치게 얽매이면 망분리 네트워크 정책의 복잡성이 증가

4. 망분리를 위한 기본 정보 확인 단계

- 망분리를 할 때에는 최종적으로 변경 가능한 부분을 찾아 네트워크 통신 경로를 변경하는 방법을 찾아야

   한다.

- 업무에 사용되는 것은 최대한 내부망에서 구성

- 업무를 하면서 외부 인터넷을 사용할 수 밖에 없는 것을 정리해야 한다.

5. 망분리시 고려해야 할 네트워크 항목

- 필요한 경우 업무환경에서 인터넷 네트워크를 안전하게 사용 가능해야 한다

- 가상 네트워크를 만들어주는 장비의 유연한 구성이 가능해야 한다

- 클라이언트 설치 후 실제 네트워크 구성과 상관없이 네트워크 제어 가능해야 한다

6. 망분리 구성 방법

7. 논리적 망분리 방법

1) 종류

- 서버 가상화 : 데스크톱 가상화(VDI : Virtual Desktop Interface)

- 클라이언트 가상화

2) 데스크톱 가상화(VDI)

- 서버 가상화와 같은 환경 제공

- 장/단점

3) 클라이언트 기반 논리적 망분리

- 장/단점

- 개요도

8. 망분리시 기존 네트워크를 미고려해야 하는 이유

- 모든 인터넷 트래픽이 논리적 망분리 네트워크 장비를 통과해 나가므로

- 인터넷 트래픽 때문에 생기는 병목현상을 찾는 것이 중요

- 인터넷을 나가는 트래픽에 대해서 어떤 흐름으로 가고 있는지 정확하게 확인할 필요

9. 망분리 환경의 네트워크 개념도