가장 안전한 보안 솔루션은?
글쓴이: DoTri_ / 작성시간: 일, 2002/07/28 - 9:30오후
Firewall, IDS, IPS, SecureOS, VPN.... 정말 다양한 종류의 보안 솔루션들이 쏟아져 나오고 있는 세상입니다. 저는 보안 업계에서 컨설팅과 개발을 겸하여 일한지 3년에 접어드는 사람인데요, 물론 보안이라는 것이 논하자면 끝이 없는 주제이긴 하지만, 제 개인적으로 추구하는 "보안"이라는 의도와 가장 부합하는 솔루션은 아직까진 나오지 않고 있는듯 합니다. 개인적으로는 IPS 가 가장 안전한 기술적인 보안 대책이 아닌가 싶습니다만, 아직은 IPS 개념을 제대로 구현한 솔루션이 시장에 나타나지 않았지요.
PC 가 등장하면서 세상이 많이 바뀌었듯이, 자동차가 등장하면서 세상이 많이 바뀌었듯이, 뭔가 획기적이고 참신한 아이디어를 가진 보안 솔루션이 등장한다면 인터넷을 이용하는 것도 상당한 수준의 안전이 확보될 수 있으리라 생각합니다.
그래서 여러분들의 생각에, 완벽하진 않더라도 그나마 가장 안전하다고 생각되는 보안 솔루션이 있다면 무엇인지, 그리고 그렇게 생각하는 이유는 무엇인지 여러 의견을 들어보고 싶습니다.
Forums:
trustix라는 리눅스 배포본이 있습니다.제한이 너무 많아 익숙해지
trustix라는 리눅스 배포본이 있습니다.
제한이 너무 많아 익숙해지기는 어려워도
돈없는 사람들은 쓸만합니다.
1.철저히 분업화된 서버구성.2.네트워크 구성에서의 비용을 아까지 않
1.철저히 분업화된 서버구성.
2.네트워크 구성에서의 비용을 아까지 않는 설계
(사설 IP의 사용 및,
IDC에서 사무실까지 전용선으로 연결.
이단계에서 VPN은 필요가 없어지니다.)
3.방화벽 및 침입방지 시스템.
4.철저한 관리자 교육.
5.테스트 시스템의 운영.
6.보안담당자 24시간운영.
이렇게 보면 보안은 투자한 만큼 확실하게 안정성을 확보할 수 있는 것 같습니다.
결론, 가장 안전한 보안솔루션은 깨어있는 오너 마인드와
안낌없는 투자
정치꾼 권노갑의 보안 기법이 최고인듯.가장좋은 보안은 기록을 남기
정치꾼 권노갑의 보안 기법이 최고인듯.
가장좋은 보안은 기록을 남기기 않는것이죠.
기록이 들통나면 중앙정보부에서 장난을쳐서
그사람 주위사람 이름 신상명세를 모두 기록으로
남기지 않고 외워가지고 다녔다고 하더군요.
음..침입방지라..Secom 이 빨리 온다던데..ㅡㅡa
음..침입방지라..Secom 이 빨리 온다던데..
ㅡㅡa
크로스 플랫폼 보안 솔루션.지금까지와 다른 새로운 보안시대를 열어
크로스 플랫폼 보안 솔루션.
지금까지와 다른 새로운 보안시대를
열어나갈 것이다.
Max J.
음... 해커스쿨 공지에 보안관련 프리랜서 뛰신다고 하셨는데 여기
음... 해커스쿨 공지에 보안관련 프리랜서
뛰신다고 하셨는데
여기서 아이템 얻을 생각이셨나 보네요...
나 겁쟁인데요...철없는 소리 하지 맙시다.. ㅡ.ㅡ;;
나 겁쟁인데요...
철없는 소리 하지 맙시다..
ㅡ.ㅡ;;
보안 운영체제는 어떨까요?여기저기서 소개되고 있습니다만.. 물론 애드
보안 운영체제는 어떨까요?
여기저기서 소개되고 있습니다만.. 물론 애드온방식이라는데 꼬투리 잡는 사람도 있긴 하지만..
add on방식은...secureOS는 performance도 좋지않고.
add on방식은...secureOS는 performance도 좋지않고..
add-on방식의 설계구조만 알면 언제든지..뚫립니다..
지금은 아직 아니올시다이지만.. 미래의 보안 체계는 보안 운영체제인것이
지금은 아직 아니올시다이지만.. 미래의 보안 체계는 보안 운영체제인것이 확실합니다.
아직까지는 보안운영체제들이 흉내수준에서 머물고 있지만 살이 더 붙으면 생각보다 빠른 시일내에 보안 운영체제가 도입이 되기 시작하겠지요.
어딘가에서 봤던 침입방지 시스템인데.../var/log 에 저장되
어딘가에서 봤던 침입방지 시스템인데...
/var/log 에 저장되는 보안관련 파일들 - secure.log 라든가.. xferlog 라든가.. - 을 실시간으로 도트프린터로 찍어내더군요.
하드에 저장된 로그 파일이야 지운다치더라도... 프린터로 하드카피된 문서까지 지울 수는 없겠더군요.
한번 흉내내 봤는데...
실험실에서 도저히 시끄러워서 견딜 수가 없더군요. 그냥 요즘엔 iptables 로 의심된다 싶은 주소는 모두 막아버리고, 80, 23, 21, 22, 53 포트만 열고 삽니다. 나머진 다 막아 버렸죠.
보안의 문제는 시스템상의 문제와 사람의 문제로 놓고 보면, 지금 현재 더
보안의 문제는 시스템상의 문제와 사람의 문제로 놓고 보면, 지금 현재 더 큰 문제는 시스템상에서의 보안체계나 소프트웨어가 아니라 사람에서 발생하는 문제가 더 커다고 봅니다. 허구헌날 저한테 전화오는 각종카드 안내, 황당한 성인용전화등을 보더라도 알수 있죠. 그러므로 시스템보안을 관리하는 사람은 그런 정보를 빼돌리는 넘(?)들고 강력히 단속을 해야 하는데...
보안 솔류션에 대한 부분은 기업입장에서의 부분이고실무자들에게는 큰 의
보안 솔류션에 대한 부분은 기업입장에서의 부분이고
실무자들에게는 큰 의존성을 가지는것은 좋지 않습니다.
원천적인 원리를 이해하는게 중요합니다.
솔루션은 그 자체로 솔류션일 뿐
시간이 지남에 따라 또 변형이 될 것이기 때문에
어떠한 것도 대안이 될 수 없습니다.
IPS는 IDS의 충분한 노하우를 가지고 그 위에 만들어지는 것이 아닐까
IPS는 IDS의 충분한 노하우를 가지고 그 위에 만들어지는 것이 아닐까 생각됩니다. 아직 국내엔 이렇다 할 제품이 없는것 같고요. 외국의 경우엔 IPS를 도입한 회사가 Worm 바리러스의 공격 패턴을 미리 감지하여 그 피해를 줄였다는 예도 있다고 하는데 사실무근입니다.
제가 알기론 IPS는 개념만 침입방지시스템(혹은 침입방어시스템)이지 AP
제가 알기론 IPS는 개념만 침입방지시스템(혹은 침입방어시스템)이지 API를 부를때 파라미터를 검사해서 버퍼오버플로우를 일으키는 것만을 막는 개념입니다. 때문에 사실상 시스템 IPS만 나와있는 상태있습니다.(반면에 IDS는 네트워크IDS쪽 시장이 더 크죠) BO만 막아도 시스템 해킹의 상당수를 예방할 수는 있지만... 이것으로는 불충분 합니다.
IPS가 지능형 IDS다, IDS의 진화형이다고 말들은 하는데 그건 아니고 단지 BO를 막는 한 아이디어를 이름만 거창하게 지은것 뿐이죠.
차라리 컴퓨터를 사용않하면 돼겠군요..훗
차라리 컴퓨터를 사용않하면 돼겠군요..훗
그 기관의 정책 결정자를 포함한 사용자 교육이 꼭 필요하다고 생각합니다.
그 기관의 정책 결정자를 포함한 사용자 교육이 꼭 필요하다고 생각합니다. 특히 보안과 관련해서 더 많은 서비스를 받으려면 위험을 감수해야 한다는 것을 반드시 인식 시켜야 할 것 같습니다. 반대로 좀 더 안전한 환경을 위해서는 사용자가 불편을 감수해야 한다는 것도요.
별로 사용하지 않는 서비스임에도 불구하고 "왜 우리 연구실에서는 다이얼패드가 안되나?" 라는 식의 요구는... 정책적인 차원에서 묵살해 버려야 하지 않을까 생각합니다. 사용자가 텔넷을 사용하고 싶다면 SSH 사용법을 알게 해야 하구요. 뭐, 사용자가 알아서 SSH 클라이언트 사용법을 공부한다면 관리자로서 더할 나위가 없겠지만, 제가 있는 곳은 학교인지라 (대부분의 사용자가 선배 내지는 선생님들...) 친절하게(!) 교육 시켜주어야 한답니다.
아래 여러분들의 의견에도 모두 일리가 있는것 같습니다. 특히 사람이 보안
아래 여러분들의 의견에도 모두 일리가 있는것 같습니다. 특히 사람이 보안의 핵심이라는 철학을 가진 권순선님의 말씀은 누구라도 공감할 만한 내용일 것입니다. 하지만 현실이라는 것이, 누구라도 마음먹기에 따라서 자신 스스로가 내부의 적이 될 수도 있는 세상이고.. 또 그 어떤 시스템 관리자라 하더라도 스스로 공격자가 되지 않는 이상은 해킹 기술을 완벽하게 따라갈 수 없다고 생각합니다. 오히려 보안의 주체는 시스템 관리자이기 보단, 개발자들이 아닐까 생각해보게 되는 부분이기도 한데요, 시스템 관리자가 제 아무리 보안에 신경을 써서 관리를 한다 하더라도 웹 어플리케이션에 문제가 있다면 그 역시 무용지물이 될 것이기 때문입니다. 사실 보안 솔루션이라는 것이 하나의 제품으로써 돈을 받고 팔 수 있는 물건이 된 것은, 다 그런 배경이 있어서가 아닌가 합니다.
그리고 사실 기업 입장에서는, 보안에 신경을 아주 잘 쓰는 관리자 한명을 고용하는것 보다, 좋다고 소문난 솔루션 하나를 도입하는게 더 믿음이 가는 방법이 되리라고 생각합니다. 전 그런 의미에서, "기업 입장에서 볼 때 가장 효율적인 보안 솔루션은 어떤것일까" 를 논해보고 싶어서 글을 올린것입니다만.. 네트워크 케이블을 뽑는다느니, 컴퓨터를 땅속에 묻는다느니 하는 탁상공론이 오가는군요. (물론 그런 의견을 무시하는것은 아닙니다. 가장 확실한 보안 대책이지요. 하지만 솔루션은 아니지 않습니까?)
--
/*****************************
** DoTri
** CTO in www.hackerschool.org
** webmaster (at) DoTri.net
******************************/
/*****************************
** DoTri
** CTO in www.hackerschool.org
** webmaster (at) DoTri.net
******************************/
군인에게도 총을 줄 필요가 없겠다는 말과 똑같이 들립니다.언제 내부의
군인에게도 총을 줄 필요가 없겠다는 말과 똑같이 들립니다.
언제 내부의 적이 되어 총을 쏠지 모르지 않습니까?
토론의 제목을 잘못 적으신것 같습니다.
솔루션이 제품을 지칭하는 것이었나요?
"가장 안전한 보안 제품군, 보안 방법론"이 어울릴 것 같습니다.
기업입장에서 판매할수 있는 물건(제품)쪽에 관심이 가시는 것은 당연하겠지만,
랜케이블 없애고, 금고에 가두는 것부터 다 오픈하는 것 까지는 그 대상의
중요성과 편리성을 조합해서 그 특성에 맞게 하는 것이지 완벽한 무언가가
현실에서 필요한 것이 아닌것 갈습니다.
랜 케이블 뽑기가 되겠습니다.무선랜이라면 철판으로 차폐시켜 버리면 되
랜 케이블 뽑기가 되겠습니다.
무선랜이라면 철판으로 차폐시켜 버리면 되겠군요.
네. 거기에 전원도 끄고 금고에 넣고 땅속 깊이 묻은 다음 시멘트를 부
네. 거기에 전원도 끄고 금고에 넣고 땅속 깊이 묻은 다음 시멘트를 부어 넣으면 됩니다. 24시간 중무장된 경비를 붙이구요.
가장 안전하다는 말부터가 이상하네요. 아주 제한적인 서비스만 제공하거나 아예 인터넷에 연결되어 있지 않은 사이트들은 지금까지 침범당한 역사가 없이 아주 안전하게 운영되고 있습니다. 어떤 서비스를 제공하는 사이트에서의 보안을 말하는 건지 주어져야 되겠습니다.
Firewall나 VPN, IPSec등등은 어쩌면 당연하고 간단한 것들이
Firewall나 VPN, IPSec등등은 어쩌면 당연하고 간단한 것들이지요. TCP/IP Packet의 Port 보고 막을건 막고 보낸건 보내는 건 사실상 간단한 개념이고, IP Security도 따지고 보면 그다지 뭐 특별난 것도 아니지요. VPN도 그렇고.
이런 방법들은 그냥 당연한 것이고, 일단 막아 놓으면 별달리 고민할 것은 없습니다. 오히려 이런 것이 기본적으로 없다는 것이 문제였지만 요즘 운영체제는 이런 기능이 그냥 무료로 다 들어가있지요. 사용하는데 단지 불편할뿐입니다. 어떻게 보면 비싼 보안 솔류션 구입하는 것보단 한명의 제대로된 보안 관리자가 훨씬 싸게 먹히고, 안전할수 있겠습니다.
그리고 진짜 고민해야 할 것은 이런 표준적인 길목보다는 뒷구멍이나 예기치 못한 구멍들이지요. 입구에서 아무리 MD5와 Shadow가 막아주더라도 뒷구멍 하나 열려 있으면 이것이 무슨 소용이 있겠습니까?
뒷구멍 만드는 방법이야 몇가지가 있겠지만 Stack Overflow는 아주 많이 알려져 있지만 여전히 그 위력은 긴장할만 한 수준이지요. 모든 프로그램에 대해 일일이 Stack Overflow가 발생하는지 안하는지 검사하기도 어렵죠. 사실 프로그램을 만드는 사람이 IO에 대해 Range Checking만 정확히 하더라도 Stack Overflow는 발생 가능성아 확줄어 들수 있는데..
모든 실행 파일에 대해 벌레나 트로이 목마, 바이러스 등등이 붙어 있을 수 없게 하는 방법은 없을까요?
그리고 모든 실행 파일에 대해 Overflow 공격 취약 루틴이 없겠끔 만들 수는 없을까요?
파일에 대해 완전 무결한 "무결성"을 제공할 수만 있다면 뭔가 획기적인 발전이 있을 것 같군요. SecureOS가 이런 일을 하는 것 같은데, 만약 이런 기능들이 제대로 연구/설계/구현이 된다면 해커들의 입지는 좁아질테지만, 무결성을 완전하게 보장할만큼 제대로 만들어질지는 아직 미지수지요.
뭐 어쨌든 제가 바라는 완전한 방비책은 파일의 무결성입니다.
아마 실현 불가능한 것일지도 모릅니다.
실행 파일은 아니지만, 문서에 대해 전자서명으로 처리하는 게 말씀하신 무
실행 파일은 아니지만, 문서에 대해 전자서명으로 처리하는 게 말씀하신 무결성 보안인 것 같습니다. 개개 실행 파일마다 자체적으로 그런 걸 수행할 수 있다면 확실할 듯하네요.
하지만, 가령 리눅스의 라이브러리 파일을 보면, 한 번 메모리에 적재되면 실제 파일은 바뀌든 어떻든 상관하지 않습니다. 이런 상황에서 어떤 의도치 않은 변경이 일어나면 다음 번 실행엔 그 파일이 동작을 거부할 것입니다. libc.so.6 정도 되는 파일이 실행을 거부한다고 생각하면 그렇게 단지 변경하는 것만으로도 관련 기능을 마비시킬 수 있게 되는 겁니다. 이런 건 어떻게 생각하세요?
--
from [ke'izi] : where is [r]?
대신 그 기능으로 인해 실시간 업데이트가 가능하고윈도처럼 업데이트
대신 그 기능으로 인해 실시간 업데이트가 가능하고
윈도처럼 업데이트 하면서 굳이
리붓 안해도 되죠.
뭐 리눅스처럼 바꿔어도 돌아가는걸
운영체제의 버그라고 말하기도 합니다만
그걸 건들수 있을 정도면 다른것도 이미 다 흔들린 상태라서
그것만 막는다고 큰 효과를 볼수는 없을거 같습니다
lkm에도 올라왔었던 얘기인데
리누스는 현재 구현을 계속 밀고 갈듯 합니다.
파일의 생성시부터 절대적으로 읽기만 가능한 파일을 만들면 될듯합니다.
파일의 생성시부터 절대적으로 읽기만 가능한 파일을 만들면 될듯합니다.
물론 이 파일이 복사될때도 똑같은 속성을 계속 유지해 나가야 하지요.
그런데 절대적으로 읽기만 가능한(즉 수정이 불가능한) 파일이 구현가능한건가요?
이렇게 하면 될듯.
실행 파일의 모든 코드와 Data를 통채로 MD5 해쉬로 변환시키고, 운영체제는 오직 MD5로 해쉬화된 실행 파일만 실행 가능하게 하는겁니다.
그리고 실행 파일을 만들어 내는 사람은 End-User에게서 Password를 물어 이것을 키로해서 실행 파일을 Encoding하는 겁니다. End-User는 실행할때마다 패스워드 넣어야하므로 불편합니다만...
정말 비용이 많이 드는 방법이지만, 보안을 위해서라면 이정도 해야겠지요.
md5가 쌍방향으로 변경이 가능하던가요? 복소화 알고리즘도 아니고
md5가 쌍방향으로 변경이 가능하던가요? 복소화 알고리즘도 아니고
브루스 슈나이어가 이런 말을 했습니다.보안은 제품이 아니라 과정이다.
브루스 슈나이어가 이런 말을 했습니다.
보안은 제품이 아니라 과정이다.
솔루션도 제품에 포함되겠죠?
전적으로 동감합니다.
전적으로 동감합니다.
가장 안전한 보안 솔루션이라면 아무래도 훌륭한 시스템/네트워크 관리자가
가장 안전한 보안 솔루션이라면 아무래도 훌륭한 시스템/네트워크 관리자가 아닐까요. :-)
--
WTFM :-)
허허~토론의 말미에 극적으로 나와야 될 말을처음부터 촤악~ 뿌리시
허허~
토론의 말미에 극적으로 나와야 될 말을
처음부터 촤악~ 뿌리시는군요.
멋져~~!