-secuiVPN & TrustSHEMA · 2004-10-04 · Small Business Medium Business Large Business NXG 100 NXG 200 50,000 NXG 2000 NXG 4000 ... PC 보안 TrustSHEMA PC PC Firewall/IDS, CMS Agent,

「시큐아이닷컴」 주요 제품 소개-secuiVPN & TrustSHEMA -

2003년 6월 18일

시큐아이닷컴시스템통합 PM이상준 ([email protected])

2

Ⅰ-1. VPN[가상사설망] 개요

“강력한 인증, 암호화, 네트워크 접근통제” 등을 통하여, 인터넷과 같은 공중망을 이용 시, 마치 전용선과 같은 사설망 처럼안전한 통신이 보장되도록 지원하는 솔루션.

Internet (공중망)

VPN connection

IPSec Tunnel

VPN

내부망

내부망

VPN

본사

지점/지사

고객사

파트너 사

VPN connection

IPSec Tunnel

원격

사용자

3

Ⅰ-2. 시큐아이닷컴 VPN의 장점

고성능고성능

고 가용성고 가용성

경제성경제성

호환성호환성

4


고 성능암호 가속 칩 탑재로 초고속 암호화

Zero-loss Throughput Across an IPSEC (3DES, SHA-1) Tunnel:

SmartBits 100 Mbit/s Fast Ethernet(Uni-Directional UDP Packets)

* 출처 : 2001. 1 Tolly Group Test based comparison

Smartbit 600 Unidirectional UDP Performance

0

10

20

30

40

50

60

70

80

90

100

64 128 256 512 1024 1400

Packet Size

Mbp

s

secuiVPN

checkPointVPN

Nokia VPN

Cisco

5


고 가용성

Active-Active ADSL Load-Balancing VPN

: 패킷 단위의 Load-Balancing을 구현하여 1 회선 장애 시에도 세션 유지

Internet

secuiVPN

내부망내부망

secuiVPN

본사지점

ADSL Modem

ADSL Modem

ADSL (또는 케이블모뎀) 장애 시정상 Tunnel로만 통신

Packet Load-Balancing을 이용한회선 2배 속도 구현

① xDSL 회선 장애 대비

6


고 가용성 ② 통신단말기(모뎀)의 장애 대비

Cable Modem

xDSL Modem

SmartRecover

SmartVPN

Control Line

Network Line

Power Line

시 작

사용자 인증 및 접속시도

상태정보 요청

상태정보 수신

장애발생?

SmartRecover에 의한인터넷단말장치Hard Reset

단말장치 정상 작동

종료

YES

NO

PPPoE

LCP

* PPPoE : Point-to-Point Protocol over Ethernet* LCP : Link Control Protocol

인터넷 단말장치의 상태정보를 실시간

감지하여, VPN 서비스를 운영자의 개입

없이 자동 복구

7


고 가용성 ③ VPN 장비의 Active-Active HA

L4 사용 없이 Active-Active HA Load balancing

: 커널 레벨의 동기화를 통하여 A-A HA 구성이 가능하며,

VPN 간 통신의 자체 Load balancing 기능으로 별도의 L4 스위치가 필요 없음

Active

Secured or

Hidden Network

본사

Active

n대간 HA 구성

L2 SwitchL2 Switch .

.

.

.

.

.

.

.

Internet

지점 or 협력사

8


경제성 ① Traffic Shaping (QoS)

Internet

VPN connectionIPSec Tunnel

secuiVPNsecuiVPN Modem

IPsec Tunnel 별 QoS 지원으로, 업무/비 업무 대역폭 조절이 가능하여,

효율적인 회선 이용을 할 수 있음

Traffic A

Traffic B

Traffic C

Traffic A

Traffic B

Traffic C

TrafficShaping

9


경제성 ② 유동 IP로 Mesh N/W 구성

유동 IP로도 Gateway간 통신이 가능하므로, MyIP Service 등을 사용하지 않고도,

저렴한 통신 비용으로 지역간 직접 통신이 가능한 Mesh N/W를 구성할 수 있음

(메인 G/W에 고정 IP 1개 사용)

Internet

Main G/W

지점 A

지점 B

지점 C

지점 D

지점 E

본사 Or 전산센터고정 IP

유동 IP

유동 IP유동 IP

유동 IP

유동 IP

10


호환성 IPSec 국제 표준 준수

Bakeoff IPSec Interoperability Test 를 통한 성능, 안전성, 보안성에 대한 국제적

입증Alcatel

Ashley Laurent Inc

Avaya Inc.

Check Point Software Technologies

Cisco Systems

Ericsson

F-Secure Corporation

Furukawa Electric (Fitel Network Lab.)

Microsoft

NetScreen Technologies, Inc

Netopia, Inc

Nokia

Nortel Networks

SSH Communications Security Corporation

SafeNet, Inc.

SecGo Solutions

총 16개 업체

11

10 100 1,000 10,000

고객

사용자수

secuiVPN 10

secuiVPN 50N

secuiVPN 100

VPN Client

SmartView

SmallBusiness

MediumBusiness

LargeBusiness

NXG 100

NXG 200

50,000

NXG 2000

NXG 4000

Ⅰ-3. VPN Loadmap

12

Ⅱ-1. TrustSHEMA 개발 배경

•• 일반일반 사용자사용자 대상대상 공격공격 증가증가•• 내부내부 인가자의인가자의 불법불법 행위행위 증가증가•• 다양한다양한 공격공격 툴툴 범람범람•• 피해피해 규모의규모의 확대확대

244/42.2

/60.3

578

174

0

2

2

0

0

234

10

8

148

02. 05

2152/42.8

/61.4

41/15.4

/27.8

79/26.0

/43.6

124/38.2

/55.3

276/46.8

/69.6

143/37.2

/75.2

84/24.4

/56.0

134/44.0

/61.1

279/53.4

/72.6

531/75.3

/86.9

112/30.7

/36.9

105/24.3

/27.2

Windows

계열 합계

5024265303324589384344304522705364432계

152011812210019319419485138946147N/A

300000000000Digital UNIX

300000010000AIX

702000000120CISCO

101000000000DEC/IRIX

400200100001HP-UX

1219173029543633632274353922Windows NT/2K

933244995222107517152967383Windows 95/98

836337371962226Solaris

132610096951134458839673167253Linux

합계02. 0402. 0302. 0202. 0101. 1201. 1101. 1001. 0901. 0801. 0701. 06구분

244/42.2

/60.3

578

174

0

2

2

0

0

234

10

8

148

02. 05

2152/42.8

/61.4

41/15.4

/27.8

79/26.0

/43.6

124/38.2

/55.3

276/46.8

/69.6

143/37.2

/75.2

84/24.4

/56.0

134/44.0

/61.1

279/53.4

/72.6

531/75.3

/86.9

112/30.7

/36.9

105/24.3

/27.2

Windows

계열 합계

5024265303324589384344304522705364432계

152011812210019319419485138946147N/A

300000000000Digital UNIX

300000010000AIX

702000000120CISCO

101000000000DEC/IRIX

400200100001HP-UX

1219173029543633632274353922Windows NT/2K

933244995222107517152967383Windows 95/98

836337371962226Solaris

132610096951134458839673167253Linux

합계02. 0402. 0302. 0202. 0101. 1201. 1101. 1001. 0901. 0801. 0701. 06구분

공격 기법의 변화

13

• S/W 오남용 증가

• 미승인 변/개조

• 파일, S/W 유포 곤란

• 습관적인 Internet 서핑

• IP 주소의 임의 변경

• 출력물의 남발 및 관리 미숙

사용자 측면

보안적 측면

• 타인 PC의 불법적 사용• 중요 정보의 유출• 해킹 및 바이러스 취약• 해킹 대응 체계 전무• 노트북 사용에 따른 이동성• 보안 의식 결여


기업 PC 관리의 문제점

14


다양한 보안 툴의 혼용PK

I

One Stop보안 시스템 구축

Single VanderProduct

Single WindowSecurity Management

보안 Mail 시스템 Network F/W VPN

ESM

인사시스템

Anti-Virus

External Adapter

PC 보안 및Agent

사용자 인증

SecureUser

Storage

중앙 관리 모듈

보안 사용자 관리

TrustSHEMA

표준전자문서표준전자문서

SecuritySecurity

esm

FirewallIDS

서버보안

PC보안

VPN

Component화Capsule화

추상화

15

각종 PC 보안 위협에 대응하고, 더불어 효율적으로 PC 자산을 관리 할 수 있는 시스템 필

요

데이터 파괴트로이목마

Worm 바이러스

PC 원격제어자료 위변조

물리적 침입하드디스크 유출

Online 매체에 의한자료 유출

권한도용으로내부 전산망 침입

암호획득비밀열람

온라인 거래 악용

프린터, 디스켓 등주변장치에 의한 자료 유출


16

Ⅱ-2. TrustSHEMA 기능 정의

PC 보안PC 보안PC 보안PC 보안

PC F/W

PC IDS

PKI

CMS

DRM

Agent

Inbound 접근 통제내/외부 불법 사용자에 의한

시스템 침입 탐지/차단공유 폴더 관리

Windows Log on 강제 설정Internet Worm 탐지/차단Screen Saver 강제 설정

Outbound 접근 통제Network Access 프로세스 관리유해/불건전/특정 사이트 접근통제Internet Worm 유포 탐지/차단

보안 문서 관리중요 문서에 대한 암/복

호화중요 문서 사용 권한 관리

중요 문서 사용 로깅Water Marking

외부 사용자의 보안 문서사용 권한 관리

중앙 관리PC F/W, PC IDS 통합/그룹 관리해킹 모니터링네트워크 모니터링PC 자산관리, PC 네트워크 관리파일, S/W 배포 및 원격 설치매체 제어 권한 설정

사용자 인증내/외부 사용자 통합 인증물리적 사용자 인증(USB Key, Smart Card, …)Off Line 사용자 인증암호화/전자서명 인프라Off-line 매체 제어

주변 장치 사용 통제(FDD, CD-R/RW, JAZ, ZIP, …)HDD 유출에 따른 정보 보호

On-line 매체 제어주요 메신저 사이트 차단

Web Mail을 이용한 파일 유출차단

FTP를 이용한 파일 유출 차단

중요정보

유출차단중요

정보

유출차단

중요정보

유출차단

공격차단

접근제어

유포차단

서핑차단

자산관리

공격대응

배포관리

신원확인

근거확보

17

NetworkFirewall

NetworkFirewall

ESMESM

ERPERP

Exte

rnal

Adapta

tion

Ⅱ-3. TrustSHEMA 개념적 구성

보안문서관리

통합사용자

인증강력한PC보안

TrustSHEMA SDMSTrustSHEMA SDMS

TrustSHEMA PKITrustSHEMA PKITrustSHEMA PC/CMSTrustSHEMA PC/CMS

TrustSHEMA UMSTrustSHEMA UMS

18

Ⅱ-4. TrustSHEMA S/W Architecture

보안 문서 기반의 통합

보안 Mail 시스템 Network F/W VPN

임직원 정보의 실시간 반영

(Batch / API)

Anti-Virus

External Adapter

시스템 Log의 통합

PKI 인증서 기반의 통합

통합 관리 모듈

PC 보안

PKI

LDAP

보안문서관리

통합 사용자 관리

EKP/KMSEDMS

ESM

인사시스템(ERP)

PC 보안 시스템

• 방화벽(PC용 Firewall)-PC/SERVER용 양방향 해킹차단시스

템-내외부 불법적인 접근 원천 차단-Stateful Packet Filtering PC

Firewall-OS Kernel-Level Firewall Engine• 침입탐지시스템(PC용 IDS)-포트 스캔(Port Scan) 탐지/차단-서비스거부 공격(DoS) 탐지/차단-운영체제 취약성 공격 탐지/차단

(BufferOverflow, Vulnerability, Abnormal)

• Anti-Virus(Network 레벨)-트로이언/백도어/웜 탐지/차단

Trojan/Backdoor/Worm코드레드/님다 웜 바이러스 차단

-어플리케이션 및 프로그램 감시

• 중앙통합 보안관리 시스템-자산관리 및 파일배포 시스템-NMS(Network Management System)-SMS(System Management System)-매체제어(CD-RW, FDD, USB, 1394,

Modem 등)

보안문서관리 시스템

-기업 내 기밀 문서 및 정보자산에 대한유출방지 솔루션

-문서를 암호화하고 사용 규칙을 지정함으로써 문서의 배포, 열람, 출력, 파기 등지속적으로 제어하고 관리

-문서의 이용 내역을 모니터링 할 수 있어 사후 추적 가능

-보안 메일을 통한 안전한 외부 문서 송수신

-워터마크를 통한 출력물 보안

인증 시스템

-인증서 생성, 배포, 갱신, 폐지, 효력정지등 인증서 라이프 사이클 관리를 위한서버 제품군

-보안 Application 구축을 위한 툴 킷제품군

-PC 보안 및 보안 문서 관리를 위한사용자 인증 기반 제공

-필요 기능에 따른 모듈화 기능 제공-고객 시스템 Adaptation 기능 제공-Windows Single Log in 기능 제공

사용자 관리 시스템

• Web 기반의 사용자 관리-조직 정보 등록-하위 조직/사용자 이동

• 사용자 등록 Batch/API 기능

PC 보안 Sub Module

19

보안관리 서

버

보안관리 서

버

사용자 PC

인증서버

인증 서버

Solaris 2.8 TCP/IP

TrustSHEMA CA

TrustSHEMA RA

TrustSHEMA KM

보안 관리 서버

Windows TCP/IP

TrustSHEMA CMS

디렉토리 시스템

TrustSHEMA UMS

사용자 PC

Windows TCP/IP

TrustSHEMA SDM Client

TrustSHEMA PKI Client

TrustSHEMA PC

TrustSHEMA UM Client

TrustSHEMA PKI Toolkit

USB Key / Smart Card

TrustSHEMA SDMS

Ⅱ-5. TrustSHEMA System 구성

20

인증서 Life Cycle 관리TrustSHEMA PKI Client인증서 발급

TrustSHEMA CA WEB G/W

Web Server I/F

TrustSHEMA KMS키관리 시스템

PC Firewall/IDS, CMS Agent, 매체보안, TrustSHEMA PCPC 보안

PC F/W, PC IDS 관리, PC자산관리, 파일배포, S/W 배포, 차단 사이트목록 배포

TrustSHEMA CMSPC 보안

보안 Application 연동TrustSHEMA PKI Toolkit

툴킷

내/외부 통합 사용자 인증TrustSHEMA UM Client통합 사용자 인증

사용자관리

TrustSHEMA PKI Operator

서버관리인증

시스템

보안문서관리

ERP 연동TrustSHEMA UM Toolkit

툴킷

TrustSHEMA UMi관리자Interface

보안 Application 연동TrustSHEMA PKI Toolkit

툴킷

인증 시스템(TrustSHEMA PKI) X.509 인증서 Lifecycle 관리

보안 사용자 관리 및 ERP 연동

TrustSHEMA LRA API등록기관 API

TrustSHEMA RAS등록기관 시스템

문서 암호화 및 권한관리, 워터마킹TrustSHEMA SDMS보안문서관리

사용자 관리 (TrustSHEMA UMS)

기능명

문서 암/복호화 및 권한관리, 워터마킹

비고

TrustSHEMA SDMS Client

클라이언트 제품군 (TrustSHEMA Client)

TrustSHEMA CAS인증기관 시스템

서버 제품군 (TrustSHEMA Server)

제품코드세부기능명구분

Ⅱ-6. TrustSHEMA 제품 구성

21

Ⅱ-7. TrustSHEMA 세부 기능

TrustSHEMATrustSHEMA

사용자사용자 관리관리(UMS)(UMS)

보안보안 문서문서 관리관리(SDMS)(SDMS)

PC PC 보안보안(PC/CMS)(PC/CMS)

PKIPKI(PKI)(PKI)

• LDAP을 이용한사용자 관리

• 관리자 화면• Client 통합 인증• 사용자 정보 공유를위한 Intranet 인터페이스

• VPN Client 연동

•• LDAPLDAP을을 이용한이용한사용자사용자 관리관리

•• 관리자관리자 화면화면•• Client Client 통합통합 인증인증•• 사용자사용자 정보정보 공유를공유를위한위한 Intranet Intranet 인터페이스인터페이스

•• VPN Client VPN Client 연동연동

• 실시간 암/복호화• 보안 문서관리• EKP 인터페이스• 보안 메일 시스템• 워터마킹(강제/선택)

•• 실시간실시간 암암//복호화복호화•• 보안보안 문서관리문서관리•• EKP EKP 인터페이스인터페이스•• 보안보안 메일메일 시스템시스템•• 워터마킹워터마킹((강제강제//선택선택))

• PC Firewall• PC IDS• 중앙 관리• 자산 관리• 네트워크 관리• ESM 인터페이스• OCX를 통한 Intranet 인터페이스

• Network F/W I/F• 파일, S/W 배포 및설치

• 매체 제어• 화면 보호기• 원격제어/원격 파일검색

• IP 통제

•• PC FirewallPC Firewall•• PC IDSPC IDS•• 중앙중앙 관리관리•• 자산자산 관리관리•• 네트워크네트워크 관리관리•• ESM ESM 인터페이스인터페이스•• OCXOCX를를 통한통한 Intranet Intranet 인터페이스인터페이스

•• Network F/W I/FNetwork F/W I/F•• 파일파일, S/W , S/W 배포배포 및및설치설치

•• 매체매체 제어제어•• 화면화면 보호기보호기•• 원격제어원격제어//원격원격 파일파일검색검색

•• IP IP 통제통제

• 인증서 발급시스템(CA)

• 사용자 등록시스템(RA)

• 키 관리 시스템(KM)• 시점확인시스템(TSA)

• 온라인 인증서 상태검증 시스템(OCSP)

• 인증서 관리Client(PKI Client)

• 인증 Toolkit

•• 인증서인증서 발급발급시스템시스템(CA)(CA)

•• 사용자사용자 등록등록시스템시스템(RA)(RA)

•• 키키 관리관리 시스템시스템(KM)(KM)•• 시점확인시점확인시스템시스템(TSA)(TSA)

•• 온라인온라인 인증서인증서 상태상태검증검증 시스템시스템(OCSP)(OCSP)

•• 인증서인증서 관리관리Client(PKI Client)Client(PKI Client)

•• 인증인증 ToolkitToolkit

통합통합 관리관리 UIUI

22

TrustSHEMATrustSHEMA

사용자사용자관리관리((UMS)UMS)

보안보안문서문서관리관리((SDMS)SDMS)

PC PC 보안보안((PC/CMS)PC/CMS)

PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)사용자사용자 관리관리

(UMS)(UMS)

Ⅱ-7. TrustSHEMA 세부 기능

Front End ViewInterface View

Back End View

TrustSHEMA UM ToolkitConversion (Batch)

ERP or Legacy 인사 시스템

LRA API

LDAP API

TrustSHEMA UM Client

TrustSHEMA UMi

Legacy SystemTrustSHEMA UMS Backend System

인사 DB

Batch

EventDriven

Batch

Ldap v3

Ldap v3

Web ServerHTTP

Web B

ased사

용자

관리

통합

사용

자인증

인증Server

LdapServer

23

Ⅱ-7. TrustSHEMA 세부 기능TrustSHEMATrustSHEMA




PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)사용자사용자 관리관리

(UMS)(UMS)

사용자사용자 관리관리 시스템시스템

24





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)보안문서보안문서 관리관리

(SDMS)(SDMS)

LdapLdap

Ldap

Ldap Server

UM Client HTTP

SDM Client SDM Client

HTTP UM Client

인증 시스템

KMS, EDMS, eMail, FTP, …

사용자 A 사용자 B

Original Document

Secure Container

ViewerSecurePrint

기존 시스템

TrustSHEMA SDMS

Packaging Server Licensing Server

Policy Manager

Directory I/F Usage Tracing Server

UUUU

Usage data

인증서 정보인증서 폐지 목록사용자 정보관리자 권한 정보

Water Making

25





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)보안문서보안문서 관리관리

(SDMS)(SDMS)

보안보안 문서문서 관리관리 시스템시스템

상호상호 연동연동

실시간실시간 암암//복호화복호화

26





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)PC PC 보안보안

(PC/CMS)(PC/CMS)

보안관리

자산관리

파일배포

Server Firewall Engine

매체관리

네트워크관리

Server IDS Engine

분산 침입탐지 모니터링유해사이트 차단

중앙관리서버

Firewall Engine

IDS Engine

VirusWall EngineVirusWall

IDS

Firewall

Communication Engine(PC)

매체제어

App. Firewall

Web/URL Filter

Manager

App. Firewall

Manager

매체제어

Web Filter

사용자 PC

Communication Engine(Server)

Encrypted Communication

27





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)

Encrypted Communication

TrustSHEMA CMSTrustSHEMA CMS TrustSHEMA PCTrustSHEMA PC

PC PC 보안보안(PC/CMS)(PC/CMS)

28





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)PKIPKI

(PKI)(PKI)

인증서 발급신청(On/Off Line)

인증서 발급요청

인증서 발급

인증서 발급

시점확인 요청처리

시점확인 인증서 발급

인증서상태정보

TrustNETTSA

TrustSHEMAKMS

TrustNETOCSP

시점

정보

제공

암호

화K

EY

저장

/관리

온라

인인

증서

상태

확인

TrustSHEMARAS

사용

자신

원확

인/

정보

등록

TrustSHEMAClientToolkit

Secure

Applic

atio

nC

lient

TrustSHEMAServerToolkit

Secure

Applic

atio

nServ

er

TrustSHEMACAS

인증

서발

급/갱

신/폐

기

디렉토리서버

인증

서/

CRL 저

장

Secure

Com

munic

atio

n

인증서/CRL 검색

인증서/CRL 검색

키 저장

키 인출

인증서 상태 정보

29





PKIPKI(PKI)(PKI)




PKIPKI(PKI)(PKI)PKIPKI

(PKI)(PKI)

원격원격 기동기동//종료종료//모니터링모니터링 UNIX UNIX 설치설치 프로그램프로그램

30

Ⅱ-8. TrustSHEMA 도입 효과

Hardware, 운영체제

관리

불법 S/W 사용 감시

파일, S/W 배포

다양한 보고서 생성

기능

IP 주소 변경 감시 및

통제

원격 제어 및 원격 파일

검색

효율적인 PC 관리

31


LdapLdap

Ldap

데이터파괴트로이목마

Worm 바이러스

PC 원격제어자료위변조

물리적침입하드디스크유출

Online 매체에의한자료유출

권한도용으로내부전산망침입

암호획득비밀열람

온라인거래악용

프린터, 디스켓등주변장치에의한자료유출

효율적인 PC 관리

32


Online 매체

Off Line 매체 제어

중요 정보 암호화 배포

매체 사용 및 암호화 문서 사용

로깅

워터 마킹을 통한 출력물 보호

모뎀을 통한 ISP 접속 차단

Online 매체

제어

워터

마킹

(출력

자IP, 회

사

Log)

Offline 매체

제어

사용

로깅

중요 정보 자산 보호

33


File, folder등자동암/복호화

접근제어

안전한정보전송

Digital signature

사용자인증

사용권한확인

상대방확인

기밀성 / 무결성보장

송신부인방지

사용자인증 및사용권한확인



상대방확인

사용자인증

PKI

TrustSHEMA

PKI 기반의 모든 제품군 설치/운영

전 임직원 PKI 인증서 발급

전 임직원 PC에 인증 툴킷 탑재

향후 모든 업무 시스템에 PKI 기반의

인증, 전자서명 및 암호화 적용 가능

Single Sign On 시스템 연계 가능

인증 기반 구축

34

Ⅱ-8. TrustSHEMA 특징 및 장점

PC 보안 토탈 솔루션

PKI 기반 구축및 통합 인증체계 확립

Client Agent의 통합및 Slim화

간편한 외부

시스템 접속분산 환경에 적합한

구성

35

감사합니다.

Documents

-secuiVPN & TrustSHEMA · 2004-10-04 · Small Business Medium Business Large Business NXG 100 NXG 200 50,000 NXG 2000 NXG 4000 ... PC 보안 TrustSHEMA PC PC Firewall/IDS, CMS Agent,