eTrust Access Control

eTrust Access Control2008. 06

2www.esvali.com

목 차

CONTENTS1. 개요2. 서버보안의 문제점3. 제안 솔루션4. 특장점5. 구축방안6. 메커니즘7. 주요기능8. 구성방법9. 장점10. 중앙집중관리11. Reference12. 기대효과

3www.esvali.com

I. eTrust Access Control for Windows 1. 개요

• 내부 사용자에 대한 OPEN SYSTEM 환경• 시스템과 리소스에 접근 제어 • 접근 제어 방법 정의 • 사후 추적할 수 있는 시스템을 구축• 내부 시스템 자원을 보호

FILES

TCP/IP

PROCESSES

SUID/SGID

USERS

PHYSICALDEVICES

Trojan HorsesTrojan Horses

Trojan HorsesTrojan Horses

SuperUserSuperUser

SuperUserSuperUser

Network

Network 접근접근

Network

Network 접근접근

etc.etc.

etc.etc.

LoginLoginLoginLogin

운영체계의 오류운영체계의 오류

운영체계의 오류운영체계의 오류

관리의 부재

관리의 부재

관리의 부재

관리의 부재

Password

PasswordPassword

Password

4www.esvali.com

I. eTrust Access Control for Windows 2. 서버보안의 문제점

• 내부 사용자의 고의 또는 실수로 인한 시스템 변조 방지• ID/Password 만 알면 모든 내부 네트워크에서 시스템 접근 가능

• 내부 서버의 보안 강화로 리소스 접근 제어• 방화벽 , IDS 를 우회하는 Hacker 또는 내부 사용자의 정상적인 접근제어

Firewall ID / PasswordServers

Internal users

ResourceAccessControl

ResourceAccessControl

Firewall ID / Password ServersInternal users내부 자원

각 User/Group/Network 별로 할 수 있는 일과 없는 일을 사전에 정의 악의를 가진 사용자가 설사 Root 의 권한을 획득하여도 중요한 리소스에는 접근할 수 없다 .

5www.esvali.com

I. eTrust Access Control for Windows 3. 제안 솔루션

eTrust Access Control 은 시큐어 OS 기반의 #1 서버보안 솔루션으로서 , 전세계 및 국내 시장점유율 1 위의 그 기능성 및 안정성이 이미 검증된 제품입니다 .

2003 년 5 월 4 일 , 미 국 SC Magazine 지 의 “Best Internet Security” 상 수상

2002 년 2 월 7 일 , 미 국 SC Magazine 지 의 “Best Buy” 상 수상

– “eTrust Access Control 은 풍부한 기능성을 지 니 고 있 고 , 다 양 한 플 랫 폼 을 지 원 하 며 , 확장성이 뛰어나기 때문에 특히 기업고객에게 어필되는 제품이다”

2001 년 7 월 26 일 , 미 국 CNET Linux Magazine 지의 “ Editors’ Choice Award” 상 수상

– “eTrust Access Control 은 기업의 네트워크 시큐리티 문제를 해결할 수 있는 강력한 솔루션이다 . 이 제 품은 설치절차 가 손 쉽고 , 충분한 다 큐 멘 테 이 션 을 제 공 하 며 , 단 순 한 GUI 로 관리업무를 경감시킨다 . 이 제품은 사용자와 시 스 템 을 관 리 할 도 구 를 찾 는 어 떤 기 업 이 나 정부기관에도 추천할 만하다 .”

6www.esvali.com

4. 특장점

검증된 아키텍쳐

다양한 보안 정책 제공 (41 종 자원 클래스 , 21 종 퍼미션 모드 )

B1 레벨 시큐리티

슈퍼유저 권한의 통제 , 분할 , 책임이양

로그 보장

강력한 기능

GUI 및 Command Line Interface 제공

다수 서버에 대한 정책의 일괄적용 및 자동전파

다수 서버에 대한 로그의 자동취합

정책 시뮬레이션 기능

사용의 편이성

서버보안 전문 솔루션

시스템에 변경을 가하지 않는 Add-on 구조

우회할 수 없는 커널 레벨의 보안통제

자기방어 기능

7www.esvali.com

I. eTrust Access Control for Windows 5. 구축방안

관리대상 서버에 eTrust AC, eTrust

SCC agent 적용

- 시스템 진입 통제

- 패스워드 수준 통제

- 서버별 최적화된 접근통제 강화

- 로그 보장

- 서버단의 방화벽 이중화

- 안티해킹

- 로그 중앙 취합

중앙관리 서버에 eTrust SCC 적용

- 로그 통합

- 이벤트 관리/자동 대응

- 정책 중앙 관리

관리대상 서버에 eTrust AC, eTrust

SCC agent 적용

- 시스템 진입 통제

- 패스워드 수준 통제

- 서버별 최적화된 접근통제 강화

- 로그 보장

- 서버단의 방화벽 이중화

- 안티해킹

- 로그 중앙 취합

중앙관리 서버에 eTrust SCC 적용

- 로그 통합

- 이벤트 관리/자동 대응

- 정책 중앙 관리

적용도적용도 구축방안구축방안

보고서보고서eTrust SCC/ACXeTrust SCC/ACX

이벤트 통합,상태 관리,보고서통합,관리통합

Windows 2003

eTrust AC

eTrust SCC Agent & PIK

eTrust Audit Client

Windows 2000

eTrust AC


eTrust Audit Client

UNIX System

eTrust AC


MS – SQL

eTrust SCC Engine

eTrust Collector DB

eTrust Policy Manager

eTrust AC PIK for SCC

8www.esvali.com

I. eTrust Access Control for Windows 6. 메카니즘

• DSX (Dynamic Security Extension) 가 메모리에 로드 되어 커널 앞 단에서 보안관련 system call 을 intercept 해당 syscall 이 eTrust ACL 에 의해 허용될 때만 OS 에게 전달 eTrust Access Control 의 퍼미션을 체크하여 커널에 상관 없이 시스템 리소스에 접근 권한을 제어한다 .

• 만약 eTrust Access Control 에 리소스의 접근 권한이 없다면 , 사용자에게 메시지를 보내 권한이 없음을 알려주고 접근 권한이 있다면 커널로 보내 시스템의 퍼미션을 체크하여 리소스에 접근할 수 있거나 , 혹은 접근할 수 없다 .

• 이때 eTrust Access Control 이 내보내는 메시지는 시스템의 메시지와 동일하여 사용자는 eTrust Access Control 이 Install 되어 있다는 사실을 알 수 없어 더욱 완벽한 서버 보안을 제공한다 .

• STOP (Stack Overflow Protection) 은 OS 의 알려진 bug 를 보완하여 Stack Overflow Attack 을 방어 한다

9www.esvali.com


shellshellSystem

Call

Kernel Extension Driver

SEOS_syscall

Kernel

Intercept Permissions

notepad c:\jangUSERS

seosd 보안정책 DB

10www.esvali.com


read

open

exec

setuid

etcetc

SYSCALLTABLE

seagentseagent

seoswdseoswd

seosd seosd

DSXDSX

eTrust

Database

기본적으로 3 개 데몬이 수행됨

Seosd – Database Server

Seoswd – Watch Dog Daemon

SeOSagent – Communication Daemon

SeSudo – SUDO 기능 관장

eTrust Database 에 는 사 용 자 계 정 정 보 , 보호대상 자원 정보 , 접근통제정책 (ACL) 이 저장됨

메인프레임의 RACF 를 모델링한 구조

기본적으로 3 개 데몬이 수행됨

Seosd – Database Server

Seoswd – Watch Dog Daemon

SeOSagent – Communication Daemon

SeSudo – SUDO 기능 관장

eTrust Database 에 는 사 용 자 계 정 정 보 , 보호대상 자원 정보 , 접근통제정책 (ACL) 이 저장됨

메인프레임의 RACF 를 모델링한 구조

11www.esvali.com

I. eTrust Access Control for Windows 7. 주요기능

• User 와 Group 의 정의

– 보안 담당자는 group 에 authority 를 부여하여 그 group 에 있는 user 모두에 security 를 적용 하게 하여주기 때문에 업무의 부하를 줄일 수 있다 .

• User : 업무에 알맞은 group 에 속하게 함 .• Group

– secadmin : 보안 관리자 그룹 (eTrust Access Control DB 관리자 )– sysadmin : 시스템 관리자 그룹– auditors : Auditor User 로써 반드시 Audit attribute 를 가져야 한다 . Access Control Database

의 모든 정보를 볼 수 있고 , 각 Record 마다의 Audit Mode 를 설정할 수 있다 .

12www.esvali.com


• Password 정책의 수립

– eTrust Access Control 은 사용자로 하여금 회사 정책에 의거 password 를 제작하여 기존의 패스워드 사용 방법을 보다 더 강화할 수 있다 .

• Password 재사용 금지• Password 는 username 과 같은 문자 사용금지• Password 는 대소문자 , 숫자 , 특수문자 조합• 사용주기 , 최소 , 최대 길이• 사용했던 패스워드의 재사용 금지 • 동일 문자 연속 사용 금지• 패스워드 위반 입력시 INACTIVE• Grace Login

13www.esvali.com


• Login Rule

– eTrust Access Control 에서는 HOST 별 , 디바이스별로 로그인 접근 제어가 가능하다 .

• 시스템으로 Login 가능한 사용자의 정의• 시스템으로 Login 가능한 시점의 정의• 각 사용자가 Login 가능한 Terminal 의 정의• Login Rule 을 관리할 Admin 권한을 가진 사용자의 정의• 시스템에 정의하지 않은 사용자 , 터미널이 할 수 있는 일들의 정의 • root 는 console 에서만 로그인이 가능하도록 정의

• Surrogate Rule

– SU 명령을 이용해서 다른 사용자로 switch user 를 허용 / 금지 할 수 있는 정책을 결정한다 .

• 일반 유저가 root 로 SU 하는 것을 제한• root 가 보안 관리자 ID 로 SU 하는 것을 제한• 일반 유저가 서로 SU 하는 것을 제한

14www.esvali.com

I. eTrust Access Control for Windows

• System File Protection

– 시스템 파일에 대한 Protection 과 퍼미션을 Control 할 수 있다 .

• 시스템의 중요 File 에 대한 접근 권한 제어• 다양한 퍼미션 지원 (read, write, execute, delete, rename, chmod, chown, udate time change ACL,

create)

• Registry Protection

– 시스템 Registry 에 대한 Protection 과 퍼미션을 Control 할 수 있다 .

• 시스템의 중요 Registry 에 대한 접근 권한 제어 (Read, Write, Delete)

• SpecialPGM

– 불필요한 프로그램 , 프로세스에 대한 By Pass 기능

7. 주요기능

15www.esvali.com


• Process Prevent

– Kill 명령으로부터 보호되어야 하는 특정한 Process 에 대해 정의한다 .

• inetd daemon 과 같은 중요한 데몬에 대해 kill 로 부터 프로세스를 보호

• Incoming Protect (Network)

– LAN 또는 Internet 으로부터 TCP/IP Service 를 이용한 Local Host 로의 접근에 대한 허용 / 거부를 정의할 수 있다 .

• telnet, ftp, rlogin, rsh, rexec, NFS, finger, talk, tftp, 등을 제어

• Outgoing Protect(Network)

– LAN 또는 Internet 으로 나가기 위해서 사용되는 TCP/IP Service 를 허용 / 거부 하는 정책을 정의한다 .

7. 주요기능

16www.esvali.com


• Audit Log

– Audit File 에 기록하는 Event 에 대한 부분을 결정한다 . – 각 Resource 와 User 에 대한 Audit Rule 을 정의한다 .

• 불법 접근 시도 등 Rule 에 위배된 접근 시도 시 Log 남김 . • 필요 시 특정 사용자에 대한 모든 동작 감시

7. 주요기능

• Attack Prevent(program)

– Setuid / Setgid Programs 에 대한 Protection 정책을 정의한다 .

• Setuid / Setgid Programs 에 대한 주기적 점검• 파일 변경시 수행 금지 및 log

17www.esvali.com


• 고객사 방문

• 기본 준비사항 협의

• 기본 기능 교육

• 설문지 작성 ( 시범적용 )

• 설치

• 룰 적용 ( 시범적용 )

(Warning Mode)

• 모든 시스템 설문지 작성

• 모든 시스템 룰 적용

(Warning Mode)

• 로그 수집 및 분석

• Active Mode

• 보안 시스템 운영

및 유지 보수

• 실무자 운영 교육

8. 구성방법

18www.esvali.com


• 슈펴유저 (root) 의 권한을 억제할 수 있다 .– eTrust Access Control 는 Superuser(root) 가 될 수 있는 사용자를 제한할 수 있으며 , 인증되지 않은

사용자의 이러한 시도들도 모두 Audit log 로 남길 수 있다 .

• Trojan Horses & Backdoors 로 부터 시스템을 보호할 수 있다 .– 대부분의 해커들이 Superuser 가 되기 위해 시도하는 방법 중의 하나가 Trojan Horses 또는 Backdoors

를 이용하는데 , eTrust Access Control 은 이것을 막아 준다 . eTrust Access Control 는 SUID/SGID programs 의 실행을 막아 줌으로서 이러한 시도를 근본적으로 막는다 .

• Root 의 권한을 이양 할 수 있다 . – 대부분의 UNIX 의 Superuser(root) 가 가진 권한을 다른 사용자 이양 할 수 있다 .

• 다양한 방법으로 로그인을 제한한다 .– eTrust Access Control 는 NETWORK 또는 TERMINAL 을 이용하여 login 하려고 하는 것을 막아 주는

데 , 이것은 사용자 id 별 , 요일별 , 시간대별 , 특정한 명령을 통해서만 가능하도록 해준다 .

• 강력한 패스워드 룰을 적용할 수 있다 .– Access Control 는 보다 강력한 패스워드를 보장하기 위해 password aging, minimum length, 대소문자의 혼합 규정 , old password 의 사용 금지 등과 같은 기능을 제공한다 .

9. 장점

19www.esvali.com


• OS 의 어떠한 변경도 가하지 않고 강력한 보안 기능을 제공한다 .– eTrust Access Control 는 SOFT HOOK 을 걸어 시스템에서 발생하는 모든 EVENT 를 Intercept 하여

미리 정의된 RULE 에 맞지 않으면 이를 허용하지 않는다 . 시스템에 문제가 발생하면 , eTrust Access Control 의 특정한 명령을 통해 eTrust Access Control 의 DAEMON Process 만 내리면 , 시스템에 어떠한 영향도 가하지 않아 eTrust Access Control 를 설치하기 전의 상태로 손쉽게 돌아갈 수 있다 .

• 완전하고 신뢰할 수 있는 Audit log 를 제공한다 . – eTrust Access Control 의 GUI툴과 각종 프로그램은 Flexible 하면서도 많은 filtering 기능을 제공한다 .

• Dynamic 한 SYSTEM Tracing 기능을 제공하여 시스템에서 어떠한 명령들이 실행되는지 실시간으로 추적할 수 있게 해 준다 .

• 다양한 퍼미션으로 시스템 파일을 보호할 수 있다 .– UNIX 보다 훨씬 많은 파일에 접근 방법을 제공하여 , 유형별 , 사용자별로 중요한 파일에 대해 보호할 수

있다 .

• 이기종간에도 동일한 GUI 와 동일한 command 를 제공하여 , 사용이 용이하게 도와준다 . • 회사의 보안 정책을 수립하는데 도움을 줄 수 있다 . • 중앙 집중식 관리를 할 수 있다 . • 복잡한 보안 환경을 손 쉽게 관리할 수 있도록 해줌으로써 생산성을 높일 수 있다 . • API Module 을 제공하여 사용자의 Application 에서도 사용할 수 있다 .

9. 장점

20www.esvali.com


• Administration : NT 또는 UNIX GUI 를 통한 보안정책 정책 수립 및 적용

eTrust Access Control 서버

Administration

서버

10. 중앙집중관리

21www.esvali.com


Finance 경남은행 대한생명 동원증권 동원 BNP투자신탁 보험개발원 삼성 카드 씨티은행 제일은행 조흥은행 한국증권전산 코스닥증권 한국은행 LG CARD BC CARD 베트남농협 농협 금융결재원 교보생명 한국투자신탁 삼성투자신탁증권

Corporate 삼성 중공업 삼성 테스코 삼성 SDI

삼성 에스원 인천제철 타이거풀스 포스코 필립스 한국기업평가 LG 전자 LG CNS

LG 이노텍 KT NET

한국정보인증 HLDS코리아

Government 국회 관세청 행자부 노동부 조달청 기획예산처 청와대 재정경제부 담배인삼공사 대법원 대검찰청 마사회 봉화군청 석유개발공사 인천시경 해양경찰청 해양수산부

Academy 경북대학교 공주대 군산대 대구대 순천대 청강전문대 고려대학교 국민대학교 부산대학교 상명대학교 서울대학교 제주대학교 한양대학교 홍익대학교 대구산업정보대

11. Reference( 국내 )

22www.esvali.com


Public 대검찰청 도시철도공사 한국마사회 한국무역정보통신 한국전력 한국담배인삼공사 한국가스공사 한국방송공사 한국토지공사 한국석유개발공사 한국전산원 한국정보인증 한국정보보호센타 한국건설공제조합 한국가스안전공사

Telecom DACOM KTF SK Telecom Unitel Hitel AI-net SK telecom

Etc. 길병원 보건복지부 한양대학병원 국제전산소

11. Reference( 국내 )

23www.esvali.com


Finance Bank of China Bear Steams Charles Schwab Chase Manhattan City Bank Lehman Brothers Lloyds-TSB Bank Komercni Banka The Guardian World Bank

Corporate ABB Industrial Systems

Bosch Siemens

GTE

McDonnell Douglas

Texaco

Texas Instruments

Woolworth Austrailia

Teleco Northern Telecom

NTT Japan

Telekom Austria

Government Brazilian Government

Raytheon E Systems

UK Government

US Marines

US Navy

US Army

그 외 다수 – 포츈 지 선정 세계 500

대 기업 중 50% 가 eTrust Access

Control 을 사용 중

11. Reference( 국외 )

24www.esvali.com


• 허가 없는 접근에 대한 차단– 서버 상의 보호 가치가 있는 모든 자원은 eTust Access Control 에 의해 보호 되어지고 , 각 자원에

접근하고자 하는 접근자는 보안 관리자에 의해 지정된 RULE 에 의해서만 접근이 가능하다 . 따라서 , Super User 의 권한을 가지고 있는 사용자라 하더라도 접근이 금지된 자원에 대해서는 접근이 차단된다

• 내부정보 유출의 차단– 가치 있고 민감한 서버 내부의 각종 자원 및 정보가 eTust Access Control 의 자원 접근 제어 기능에 의하여 ,

접근 권한을 가지지 않은 사용자에 의해 유출 되는 것을 방지할 수 있다 . 또한 , 접근권한을 가진 사용자라 하더라도 , 허가되지 않은 외부로의 자료 방출은 제한될 수 있다

• 보안 사고 발생시의 책임소재 파악– eTust Access Control 는 자원의 접근에 관한 상세한 보안 감사 로그를 실시간으로 생성하고 있다 . 보안 사고 발생시에는 해당 자원에 대한 로그 추적 및 분석을 통하여 어떠한 원인에 의하여 발생한 사고인가를 판별할 수 있다 . 이를 통해 책임 소재를 분명히 할 수 있다

• 서버의 가용성 향상– 서버의 자원이 eTust Access Control 에 의해 보호되고 있다는 신뢰성을 바탕으로 , 이전에 보안사고의

위험때문에 공개적으로 사용하지 못하였던 시스템을 보다 안전하게 공유하여 사용할 수 있기 때문에 , 서버의 가용성이 향상된다

• eTrust Access Control 도입으로 서버 보안 정책 결정– eTust Access Control 는 모든 자원의 접근제어를 결정할 수 있으므로 정책결정 후 보안시스템을 구축하는 것이 아니라 , eTust Access Control 의 룰이 보안 정책이 될 수 있다 .

• 기업 전산망의 신뢰성 부여– 서버보안의 향상으로 내부자원의 유출 및 서버의 가용성 등이 향상되므로 기업의 신뢰성을 부여할 수 있다 .

12. 기대효과

eSecuVali Corp.

153-777, 서울 금천구 가산동 60-11 스타밸리 503 호TEL:02-2027-1090 / FAX:02-2027-1095

Documents

eTrust Access Control