취약점 점검을 무시하면 안되는 이유;;

만두다섯개·2024년 4월 15일

호기심

목록 보기

23/29

취약점 점검을 받아야 하는 이유

정보통신기반 보호법 시행령 제 17조

정보통신기반시설이란
정보통신기반 보호법 제2조

“정보통신기반시설”이라 함은 국가안전보장ㆍ행정ㆍ국방ㆍ치안ㆍ금융ㆍ통신ㆍ운송ㆍ에너지 등의 업무와 관련된 전자적 제어ㆍ관리시스템 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다.

중요정보통신기반시설
정보통신기반 보호법 제8조

기준은?

주요정보통신기반시설 취약점 분석·평가 기준에 점수 산정 기준, 팀 구성 방식, 점검 항목에 대한 기준이 존재한다.

내가 생각하는 취약점 점검을 받아야 하는 이유
: 국내 컴플라이언스를 만족하기 위해 일정 규모를 충족하는 회사는 취약점 진단을 받아야 한다. 이때 해당 취약점 진단은 보안 전문적 영역으로 다수의 진단 능력과 인력이 갖춰진 보안 관련 컨설팅을 필요한다.

웹 애플리케이션 솔루션, SWG 그리고 가시성 솔루션

보안 웹 게이트웨이는 프록시 기술을 사용해 방무하는 웹 사이트 위협 수준을 파악해 사용자를 보호한다.
외부 통신 검사로 중요정보 유출 방지와 C2 서버 차단 기능 등을 제공한다.

AISVA 카달로그 中
대부분의 보안장비는 SSL을 처리 가능하지만, 성능 문제를 가지고 있어 장비 증설이 필요한 경우가 많다.
평문 통신에 비해 10%내외의 성능으로 암호화된 통신을 처리한다.
SSL 가시성 제공 방식 2가지
1) 인라인 보안 장비에게 복호화 트래픽 전달
2) 미러링 설치 보안 장비에게 복호화 트래픽 전달

왜 가시성이 중요하고, 솔루션 판매에 해당 단어를 사용하는가?

단순하게 심미성을 고려한 가시성이 아니라,

성능, 기능(SSL 처리 방식 순서, 세션 처리 순서, 장애 대응 절차, 투명 프록시 설정 등..)을 포함해 한 눈에 볼 수 있게 하여 보안 관리를 보다 효율적으로 하려고 하는 가시성이다.

인줄 알았는데 여기서 말하는 가시성은 아래가 더 정확하다.

SSL/TLS로 암호화 된 트래픽을 복호화 해 분석 후 이상이 없을때 통과시켜야 한다. 이때 분석 과정에서 나오는 것이 가시성이며, 가시성을 가진 솔루션을 사용해야 더 높은 수준의 SWG를 이루어낼 수 있다.

SSL 암/복호화 성능 + 기존 보안 환경 변경 최소화 및 안전 연동이 SSL 가시성 솔루션의 성능 척도라고 볼 수 있다.

참고 기사(C2 서버) : https://www.boannews.com/media/view.asp?idx=117394&direct=mobile
AISVA SWG 카달로그(SSL 가시성은 무엇을 의미하는가?) : https://www.monitorapp.com/assets/datasheet/kr/AISVA_WHITEPAPER_KR_181030.pdf
AISVA 관련기사(광고인가..?) : https://www.etnews.com/20190731000407