[논문]가상화를 이용한 논리적, 물리적 망분리 구축

이용희; 유승재

가상화를 이용한 논리적, 물리적 망분리 구축
The Construction of Logical, Physical Network Separation by Virtualization 원문보기

융합보안논문지 = Convergence security journal, v.14 no.2, 2014년, pp.25 - 33

이용희 (신성대학교 정보지원센터, 교양학부, 제철산업과) , 유승재 (중부대학교 정보보호학과)

초록
AI-Helper

정보 통신의 발전으로 공공기관과 기업에서는 인터넷 및 인트라넷을 이용하여 업무 연속성을 활용하고 있다. 이러한 환경에서 공공기관과 기업에서는 내부 정보의 유출에 대한 보호를 위해 많은 솔루션과 어플라이언스 장비들을 도입하고 있다. 그러나 이 역시 외부 네트워크와 연결이 되어 있어 완벽한 정보유출을 방지하기에는 역부족이다. 이를 극복하기 위해 내부 망과 외부 망으로 분리가 필요하다. 본 논문에서는 가상화를 이용하여 물리적인 망분리와 논리적인 망 분리를 적용하여 망 구성을 하고 그에 따른 기술적인 검토 및 망 분리에 대해 다양한 방안을 제시하였다.

Abstract ▼ AI-Helper

With the development of information and communication, public institutions and enterprises utilize the business continuity using the Internet and Intranet. In this environment, public institutions and enterprises is to be introduced the number of solutions and appliances equipment to protect the risk of leakage of inside information. However, this is also the perfect external network connection is not enough to prevent leakage of information. To overcome these separate internal and external networks are needed. In this paper, we constructed the physical and logical network separation is applied to the network using the virtualization and thus the network configuration and network technical review of the various schemes were proposed for the separation.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

기존의 운용 시스템은 (그림 10)과 같이 망의 구분 없이 내부 업무 시스템과 외부 업무 시스템을 사용하고 있으며, 지속되는 사이버 침해 및 해킹 피해사례가 증가하고 중요 데이터의 유출로 이에 물리적인 망 분리를 적용하여 이러한 피해 및 중요 자료에 대한 보호를 하고자 하였다.
IT 기술의 발전으로 가상화 기술이 부각되고 있으며 이를 바탕으로 한 논리적인 망 분리가 제시되고 있다. 본 논문에서는 물리적인 망 분리와 논리적인 망 분리에 각각의 구조 및 구축 방안에 대해 방법을 제시하고 그에 따른 장단점을 비교 분석 하였다.
본 논문에서는 업무망과 외부망을 분리함으로써 외부의 악의적인 공격 및 해킹으로 인한 내부 주요 정보를 보호하기 위하여 물리적, 논리적 망분리를 구축하였다.

제안 방법

또한 논리적 망분리를 위해 클라이언트 기반 가상화를 통한 논리적 망 분리를 적용하여 구성 하였다. 망의 주 회선은 별도로 구성하여 사용자 PC 들은 업무망에 존재하고 인터넷 망을 이용할 시에는 업무망의 모든 네트워크 및 방화벽을 지나서 인터넷 망으로 전송이 되는 방식으로 구축하였다.
망 구성에서는 기존 네트워크 및 보안 장비를 최대한 활용을 하고, 추가된 장비 및 그 기능은 인터넷 망과 업무망 사이에 보안 G/W 및 중계서버를 두어 망 간 데이터 전송이 가능하게 하였고 사용자 PC 환경은 기존에 사용하던 PC를 그대로 활용하여 기존 시스템 위에 서비스를 제어하는 에이전트를 설치하여 네트워크 및 OS, 망 별 어플리케이션을 제어하는 환경을 구축 하였다. 망 전환시에는 소프트웨어적인 망 전환 스위치를 사용하여 망 전환이 이루어지게 하였다.
망 구성에서는 기존 네트워크 및 보안 장비를 최대한 활용을 하고, 추가된 장비 및 그 기능은 인터넷 망과 업무망 사이에 보안 G/W 및 중계서버를 두어 망 간 데이터 전송이 가능하게 하였고 사용자 PC 환경은 기존에 사용하던 PC를 그대로 활용하여 기존 시스템 위에 서비스를 제어하는 에이전트를 설치하여 네트워크 및 OS, 망 별 어플리케이션을 제어하는 환경을 구축 하였다. 망 전환시에는 소프트웨어적인 망 전환 스위치를 사용하여 망 전환이 이루어지게 하였다.
또한 논리적 망분리를 위해 클라이언트 기반 가상화를 통한 논리적 망 분리를 적용하여 구성 하였다. 망의 주 회선은 별도로 구성하여 사용자 PC 들은 업무망에 존재하고 인터넷 망을 이용할 시에는 업무망의 모든 네트워크 및 방화벽을 지나서 인터넷 망으로 전송이 되는 방식으로 구축하였다.
사용자 단말기는 듀얼 PC를 사용하여 업무 효율성을 제고 하였고, 네트워크 장비 및 보안 장비는 기존 구성과 동일하게 인터넷용으로 추가 구축을 하였다.
기존의 물리적 운용 시스템은 망의 구분 없이 내부 업무 시스템과 외부 업무 시스템을 사용하고 있어 지속되는 사이버 침해 및 해킹 피해사례가 증가하였다. 이를 해결하고자 업무망은 인터넷 회선과의 연결을 제거 하고 지역 사무소와 전용회선으로 연결하여 VPN 장비를 통한 지역 사무소와 통신환경을 구성 하였다. 내부 업무망과 외부 업무망 사이에 데이터를 전송을 위해 망 연계장비로 데이터 전송을 가능하게 하였다.
두 번째 구성방식은 그림 9와 같이 클라이언트 하이퍼바이저를 이용하여 두 개 이상의 OS에 별도의 가상 네트워크를 사용하는 방식으로 구분된다. 첫 번째 방식은 두번째 방식과 달리 OS를 추가적으로 필요하지 않고 현재 사용되고 있는 OS 상에 가상의 공간을 생성하고, 가상공간에서 실행된 어플리케이션만 인터넷에 접속되도록 함으로써 망 분리를 실현한다. 이 방법은 시스템 자원을 많이 소비하지 않기 때문에 기본의 PC에 얼마든지 적용 가능하여 최소한의 비용으로 망분리를 구축할 수 있다는 장점이 있다.
업무망은 인터넷 회선과의 연결을 제거 하고 지역 사무소와 전용회선으로 연결하고 VPN 장비를 통한 지역 사무소와 통신환경을 구성 하였다. 추가 적으로 내부 업무망과 외부 업무망 사이에 데이터를 전송해야 하는 필요성에 의해 망 연계장비를 두어 실질적으로 TCP/IP 통신을 배제한 데이터 전송을 가능하게 하였으며, USB 보안 및 출력물 보안등 외부 저장 매체로 인한 정보 유출을 막고자 정보보호 솔루션을 추가로 구축 하였다. (그림 11)은 최종적으로 물리적 망 분리를 적용한 구성도를 보여 주고 있다.

성능/효과

망 분리 후에 내부망과 외부망의 자료 이동 및 공유, 내부망 PC에 외부망 연결시 데이터 유출 가능성, 바이러스에 감염된 이동 저장 장치 사용, 내부망 자료의 인쇄 및 캡쳐에 따른 정보 유출 가능으로 물리적 망의 분리만을 통한 내부 정보 유출 및 악성코드 방지는 어려우며 추가적인 데이터 암호화, 저장 매체 제어, 출력물 보안 및 사용자 인증과 같은 솔루션을 도입 하거나 위의 사항에 맞는 보호 방안을 마련해야한다. 결론적으로 물리적인 망 분리는 물리적인 분리를 통해 가시성을 가지며 완벽한 망 분리로 높은 보안성과 안정성을 가져 오게 된다. 하지만 망간 데이터 교환이 불편하고 별도의 네트워크 망 구축 과 사용자 단말기의 추가 설치로 도입 및 유지비용의 증가를 가져오게 되며 높은 전력 소비로 그린 IT에 역행하게 되는 단점이 존재하게 된다.
완전한 망 분리 작업을 통하여 안정성을 확보할 수 있었으며 커널과 분리되어 악성코드 위험 감염이 방지되는 효과를 얻을 수 있었다. 추후에는 이러한 연구 결과를 바탕으로 하여 인터넷 접속으로 인한 해킹, 파밍등에 대한 피해를 막을 수 있는 방법을 연구 개발할 예정이다.

후속연구

망 분리 후에 내부망과 외부망의 자료 이동 및 공유, 내부망 PC에 외부망 연결시 데이터 유출 가능성, 바이러스에 감염된 이동 저장 장치 사용, 내부망 자료의 인쇄 및 캡쳐에 따른 정보 유출 가능으로 물리적 망의 분리만을 통한 내부 정보 유출 및 악성코드 방지는 어려우며 추가적인 데이터 암호화, 저장 매체 제어, 출력물 보안 및 사용자 인증과 같은 솔루션을 도입 하거나 위의 사항에 맞는 보호 방안을 마련해야한다. 결론적으로 물리적인 망 분리는 물리적인 분리를 통해 가시성을 가지며 완벽한 망 분리로 높은 보안성과 안정성을 가져 오게 된다.
완전한 망 분리 작업을 통하여 안정성을 확보할 수 있었으며 커널과 분리되어 악성코드 위험 감염이 방지되는 효과를 얻을 수 있었다. 추후에는 이러한 연구 결과를 바탕으로 하여 인터넷 접속으로 인한 해킹, 파밍등에 대한 피해를 막을 수 있는 방법을 연구 개발할 예정이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	물리적인 망 분리는 무엇인가?	물리적인 망 분리는 모든 하드웨어 자원을 망에 따라 추가로 두어 사용을 하는 것을 말한다. (그림 1)에서 보는 바와 같이 망을 구성하는 라우터, 스위치 등 네트워크 장비와 방화벽, 정보보안 솔루션 및 통신 케이블(UTP 케이블, 광 케이블)등이 망의 종류에 따라 분리되어 사용이 되며 사용자의 PC도 망 종류에 따라 인터넷 PC 와 업무 PC를 따로 두어 사용하게 된다.
	PC를 각각 사용하는 망 분리는 무엇이 가능한가?	위와 같이 PC를 각각 사용하는 망 분리는 네트워크상의 연결점이 없어 원천적으로 내부 정보의 인터넷 유출을 방지가 가능하다. 하지만 모든 IT 시스템의 자원이 이중으로 배치되어 사용되기 때문에 구축비용과 유지비용이 많이 소요가 되고 그로 인해 정보시스템을 관리하는 관리자의 업무량이 증가가 되기도 한다.
	인터넷의 발전은 어떤 효과를 가져왔는가?	특히 인터넷의 발전으로 더욱 편리한 업무환경으로 변화가 되고 있으며, 기업 및 관공서, 그 외 모든 곳에서 인터넷을 활용한 외부와의 업무 연속성을 확보하고 있다. 이러한 발전은 업무환경의 효율성 증대 효과를 가져 오게 되었다. 하지만 이러한 장점에 반해 외부와의 연결은 내부 정보의 유출이라는 역효과를 가져오기도 한다.

참고문헌 (8)

이용희, 김현기. "국가기관 네트워크 망 분리 패러다임 변화에 관한 연구", 정보처리학회논문지:기술교육 제 6권 제 3호, pp. 209-216. 2011.12.
L. Peterson, S. Shenker, and J. Turner, "Overcoming the internet impasse through virtualization," in Proc. of 3rd ACM Workshop on Hot Topics in Networks, pp.1-6, November 15-16, 2004.
G. Schaffrath, C. Werle, P. Papadimitriou, A. Feldmann, R. Bless, A. Greenhalgh, and A.Wundsam, "Network virtualization architecture: proposal and initial prototype," in Proc. of 1st ACM SIGCOMM Workshop on Virtualized Infrastructure Systems and Architectures, pp. 63-72,August 17-21, 2009.
N. M. K. Chowdhury and R. Boutaba, "A survey of network virtualization," Computer Networks, vol. 54, no. 5, pp. 862-876, April, 2010.

상세보기
Y. Che, Q. Yang, C. Wu and L. Ma,"BABAC: An access control framework for network virtualization using user behaviors and attributes," in Proc. of the 2010 IEEE/ACM Int'l Conference on Green Computing and Communications, pp. 747-754, December 18-20, 2010.
Derek Bem, "Virtual Machine for Computer Forensics - the Open Source Perspective," Open Source Software for Digital Forensics, DOI 10.1007, pp. 25-42, Jan. 2010.
Greg Dorn, Chris Marberry, Scott Conrad, and Philip Craiger, "Analyzing the impact of a virtual machine on a hostmachine," International Federation for Information Processing, Advances in Digital Forensics V, IFIP AICT 306, DOI: 10.1007/978-3-642-04155-6_5, pp. 69-81, 2009.
Richard Arthur Bares, "Hiding in a Virtual World Using Unconventionally Installed Operating Systems," ISI 2009, pp. 276-284, Jun. 2009.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증