[인터넷보안]방화벽

🔎방화벽

방화벽은 보안을 높이기 위한 일차적인 수단이다. 방화벽은 신뢰하지 않는 외부 네트워크와 신뢰하는 내부 네트워크 사이를 지나는 패킷을 미리 정한 규칙에 따라 차단하거나 보내주는 기능을 하는 하드웨어나 소프트웨어이다.

 

 

🔎방화벽의 기능

📎접근제어

방화벽은 관리자가 미리 설정한 규칙에 따라 패킷을 차단하거나 허용한다.

📎로깅 및 감사추적

로깅은 룰셋의 설정과 변경, 관리자의 접속, 네트워크 트래픽의 허용과 차단과 관련된 사항을 로그로 남긴다. 방화벽은 로깅을 통해 방화벽을 통과하는 패킷과 연결, 관리자의 설정 변경 정보 등을 로그로 남긴다.

📎인증

식별 + 인증 + 인가

- 식별: 인증을 받으려고 하는 대상을 특정짓는다.

- 인증: 주체가 자신이 주장한 신원임을 증명하는 것

- 인가: 자원에 접근하여 원하는 작업을 할 수 있는 권한이 있는지 확인한다.

방화벽은 데이터 인증, 사용자 인증, 클라이언트 인증 등의 방법을 사용한다.

- 데이터 인증: VPN과 같이 신뢰할 수 있는 통신선을 통해 전달되는 데이터의 신뢰성을 보장한다.

- 사용자 인증: 사용자 인증을 패스워드를 사용하는 것과 같이 단순한 인증부터 OTP, 토큰 기반 인증과 같은 높은 수준의 인증도 제공한다.

- 클라이언트 인증: 클라이언트 인증은 모바일 사용자와 같은 특수한 경우에 접속을 시도하는 호스트 자체가 정당한 호스트인지 확인하는 방법이다.

📎데이터 암호화

한 방화벽에서 다른 방화벽을 지나는 데이터를 암호화한다. 이때 일반적으로 VPN의 기능을 사용한다.

 

 

🔎방화벽의 한계

📎바이러스 차단 불가: 방화벽은 일반적으로 패킷의 내용까지는 검사하지 않는다.

📎내부 공격자의 차단 불가: 방화벽은 내부 사용자의 공격을 막을 수 없다.

📎자신을 통하지 않는 공격 차단 불가

📎새로운 형태의 공격 차단 불가: 방화벽은 미리 설정한 규칙에 따라 패킷을 차단한다. 따라서 완전히 새로운 형태의 공격을 차단할 수 없다.

 

 

🔎방화벽의 구조

📎스크리닝 라우터

일반 라우터에 패킷 필터링 기능을 추가한 것이다. 스크리닝 라우터는 네트워크 계층인 3계층과 전송 계층인 4계층에서 동작한다. 하지만 세부적인 규칙 설정이 힘들고, 많은 규칙을 설정하면 부하로 인해 효과적인 대역폭 사용이 힘들다. 또한 스크리닝 라우터는 실패한 접속에 대한 로깅을 지원하지 않고, 패킷 필터링에 대한 검증도 힘들다.

📎단일 홈 게이트웨이(배스천 호스트)

단일 홈 게이트웨이는 접근 제어, 프록시, 인증, 로깅 등의 기본적인 방화벽의 기능을 제공한다. 하지만 방화벽이 손상되면 내부 네트워크에 대한 무조건적인 접속을 허용할 가능성이 있고, 2계층 공격을 통한 방화벽 우회도 가능하다.

📎이중 홈 게이트웨이

네트워크 카드가 2개 이상인 방화벽으로, 더욱 효과적인 트래픽 관리가 가능하다.

📎스크린된 호스트 게이트웨이

일반 라우터의 기능과 방화벽의 기능을 분리한 것이다.

📎스크린된 서브넷 게이트웨이

외부 네트워크와 내부 네트워크 사이에 완충지대를 두는 것이다. 그리고 완충지대의 네트워크를 서브넷이라고 한다.

 

 

🔎방화벽의 추가 가능

방화벽은 패킷 필터링과 같은 기본 기능 외에도 NAT이나 프록시와 같은 기능을 제공한다.

 

📎패킷필터링

• Fail Safe(페일 세이프): 시스템에 오류가 발생해 정상적으로 작동하지 않는 경우에도, 사용자나 시스템에 피해를 입히지 않는 상태로 남아야 한다.
• Safe Failure(세이프 페일러): 실패가 일어난 경우에도 안전해야 한다.

"명백하게 허용하지 않은 서비스에 대한 거부"를 원칙으로 한다. 이때 "명백히 허용하지 않은 서비스"를 통해 패킷 필터링을 수행하기 위해서는 다음과 같은 과정이 필요하다.

1. 허용할 서비스를 확인한다.

2. 제공하려는 서비스에 보안 상의 문제점은 없는지, 허용하는 것이 타당한지 확인한다.

3. 서비스가 이루어지는 형태를 확인하고, 어떤 룰셋을 적용할지 구체적으로 결정한다.

4. 방화벽에 실제로 규칙을 적용하고, 적용된 룰셋을 검사한다.

 

📎NAT

시스템은 내부 네트워크에서 사설 IP를 가지고 있다가 외부 네트워크로 접근할 때 라우팅이 가능한 공인 외부 IP를 NAT을 통해 할당받아야 한다.

구현 방법에 따라 Normal NAT, Reverse NAT, Redirect NAT, Exclude NAT으로 나뉜다.

 

✔️Normal NAT

1. 클라이언트는 출발지 주소를 내부(사설) IP, 목적지 주소를 외부 IP로 설정하여 패킷을 전송한다. 이때, 방화벽은 게이트웨이처럼 동작한다.

2. 방화벽은 Normal NAT 규칙에 따라 출발지 주소는 내부(사설) IP에서 방화벽 공인 IP로 바꾸어 패킷을 전송한다.

3. 원격지 서버는 응답 패킷을 전송한다.

4. 방화벽은 다시 Normal NAT 규칙에 따라 목적지 주소를 방화벽 공인 IP에서, 내부(사설) IP로 바꾸어 클라이언트에게 전달한다.

 

✔️Reverse NAT

1. 외부 클라이언트는 출발지 주소를 외부 IP, 목적지 주소를 방화벽 지정 외부 IP로 하여 패킷을 전송한다.

2. 방화벽은 Reverse NAT 규칙에 따라 패킷의 목적지 주소를 방화벽 지정 외부 IP에서 미리 설정된 내부(사설) IP로 하여 패킷을 전송한다.

3. 내부 서버가 응답 패킷을 보낸다.

4. 방화벽은 다시 Reverse NAT 규칙에 따라 패킷의 출발지 주소 내부(사설) IP에서 방화벽 지정 외부 IP로 바꾸어 패킷을 전송한다.

 

✔️Redirect NAT

Redirect NAT은 목적지를 재지정하기 위해서 설정한다.

 

✔️Exclude NAT

Normal NAT을 적용받지 않고 방화벽을 지나가도록 설정하는 것이다.