여러분의 회사에는 IDS를 어디에 두시나요 ?

oneday의 이미지

제가 어느 회사에 다니는지는 비밀이구요.. ^^
하여튼 저희회사에는 IDS가 파이어월 앞에 붙어 있습니다.

즉 인터넷 - 라우터 - IDS - 파이어월 - DMZ - 사내네트웍 순입니다.

보통 IDS를 파이어월 뒤에 두지 않나요 ? ㅡㅡ?
전 그렇게 알고 있었는데 지금 회사에 입사해서 저렇게 되어 있길래
그냥 그러려니 하고 살았는데.. 어제 HP에서 근무하시는 분 하고
이야기하다가 이 이야기를 듣더니 뭔가 이상하다면서 웃으시더군요.

뭐... IDS가 파월 뒤에 있다면 파월을 뚫고 침입한 패킷들을 검출하여
실제적으로 공격이 있었는가의 감지라 할 수 있을터이고..
파월 앞에 있다면 매일매일 이런저런 공격이 있다는걸 알수 있으니
미리미리 대처한다는 것으로 생각할 수도 있겠네요..

그렇지만 매일마다 똑같은 로그, 똑같은 보고를 해야하는 제 입장으로선
파월 뒤로 훌떡 넘겨버리고 싶습니다. -_-;

다른분들은 보통 어디에다 두나요 ? ㅡㅡ?
갈카주세요...

제발 파월뒤에다 두는 분들이 많기를... ㅎㅎㅎ

bear의 이미지

그냥 제 생각으로는...

IDS가 앞에 있어야 맞을것 같습니다.

파이월에서 걸러내고 들어오는 녀석들을 침입탐지 하기 보다는

미리 IDS에서 탐지하고 파이어월에서 걸러내는게 좋을것 같네요..

그리고, 예전에 본 IDS를 생각하니 병렬로 붙어 있는 경우가 대부분인것 같더군요..

IDS자체는 그냥 패킷을 처다 보니까요 필터링 하거나 그런 역활은 전혀 하지 않으니까요...

결론은 지금의 구조가 맞지 않을까요?

파이어월을 못 믿는다면... 아마도 IDS가 뒤에 있을수도 있고요. 아니면 둘다 있을수도 있겠네요..

예전에 snooping 해서 양쪽을 커버하는 곳도 있더군요.ㅋ

yasu의 이미지

저의 회사 기본적인 구성을 라우터-IDS-F/W-허브로 구성하여 사용하고 있습니다. 또 다른 네트웍에는 라우터-IPS-F/W-Hub를 붙여서 사용하구여...

lynix의 이미지

일반적으로는 뒤쪽에 설치하는걸로 알고 있는데..

IDS의 처리속도가 FW보다 훨씬 느리기 때문에 FW에서 거를 수 있는 것들은 먼저 거르는게 좋죠.

그런데 과거 IDS가 한참 유행이 되기 시작했을때는 앞쪽에 두기도 했답니다. 방화벽에서 걸렀던 평소에는 모르던 많은 침입시도를 알게 해준다나 어쩐다나.. 하는 이유로...
그리고 성공여부를 떠나서 방화벽 취약점에 대한 공격이 있었는지 알 수 있는 효과도 있긴 하겠구요.

최근엔 IDS도 임베디드로 나와서 속도가 빠릅니다만 그래도 안쪽에 두는게 일반적이죠. 방화벽 앞단에 놔뒀다간 방화벽도 통과 못하는 그 수많은 스캐닝 시도까지도 하염없이 로그로 쌓일텐데.. 낭비죠.