본격적인 더위가 시작되었습니다. 껑충 올라간 온도처럼 사무실 분위기도 눅눅하고 체력도 지치는 더위에 다들 근무하시느라 고생이 많으실 텐데, 이럴 때는 오히려 점심시간을 이용해 낮잠을 잠깐 자는 것도 체력 유지에 큰 도움이 된다고 하니까 다들 참고하셔서 쾌적한 하루 되시길 바랍니다~~!^^

 오늘은 이전 포스팅에 이어 "차세대 방화벽(NG F/W)"에 대해 포스팅해보려고 합니다. 이전 포스팅에서 세대별 방화벽의 종류를 나열해보았는데, 차세대 방화벽은 그중에서도 3세대 방화벽에 해당된다고 할 수 있겠네요.

 차세대 방화벽을 좀 더 쉽게 설명드리기 위해서 간략히 OSI 7계층을 가볍게 둘러보겠습니다.

OSI 7계층 구조

 위 구조는 국제표준기구(ISO)에서 네트워크 통신에 대한 구조를 도식화 한 것으로, 메일을 보내거나 파일을 내려받는 등의 통신 흐름을 표현하기 위해 추상적으로 표현한 개념입니다.

 기존의 1세대 방화벽(Legacy F/W)과 2세대 방화벽(Stateful Inspection F/W)은 IP 주소, Port 번호, protocol 등 주로 3계층과 4계층의 요소를 이용하여 통신을 제어해왔습니다. 허나 IT 트렌드가 변화하고 점차 기술이 고도화되면서 7계층(사실 FTP, DNS 등 프로토콜이 예시로 더 잘 어울리나 쉬운 설명을 위해 프로그램 예시로 바꾸어놓았음) 애플리케이션은 점점 진화하기 시작하였고, 이에 따라 기존의 IP와 port 주소 같은 정적인 요소만으로는 고의적인 공격을 구별해내는 게 매우 어려워지게 되었습니다.  이러한 현상을 두고 2009년 가트너(미국의 정보기술 연구 및 자문회사)는 애플리케이션 레벨'에서의 보안정책 구조 강화뿐만 아니라 복잡하고 정교한 공격을 탐지하고 차단할 수 있는 기능의 세밀하고 깊이 있는 차세대 방화벽의 필요성을 강조한 바 있습니다.

차세대 방화벽이란, 하드웨어 혹은 소프트웨어 기반의 네트워크 보안 시스템(Network Security System)을 말한다. port나 protocol 레벨뿐만 아니라 애플리케이션 레벨에 보안정책을 적용함으로써, 복잡하고 정교한 공격을 탐지하거나 막을 수 있다.
(출처 : whatis.com)

 정리를 해보자면, 차세대 방화벽은 기존의 3, 4계층의 요소(port, ip, protocol 등)를 기준으로 네트워크를 통제해왔던 기존의 방화벽의 기능은 물론이고, 더 나아가 통신 패킷의 콘텐츠를 분석하거나 사용자를 구분해내는 등 애플리케이션 단계의 요소들을 이용하여 통신에 대한 좀 더 '깊은 분석'과 '다양한 유형의 통제 모델'을 구상할 수 있게 하는 진화된 보안 시스템이라고 할 수 있습니다.
 
 예시를 한번 볼까요?

#나는누구여긴어디#보안시스템은우주같아#끝이없어

 단순히 IP와 PORT, 프로토콜 등의 요소 만을 이용하여 보안 시스템을 구축한다면 위와 같은 '사장님의 요구 사항 정말 말도 안 되게 어렵고 번거로운 작업이 될 것이나, 차세대 방화벽은 이런 까다롭고 세밀한 조정이 필요한 요구 사항도 몇 가지 가벼운 설정만으로 위와 같은 보안 시스템 구축이 가능하고, 더 나아가 해당 조직만의 최적의 네트워크 구성도 가능케 합니다(풀어줄 것은 풀어주고, 막아줄 것은 막아주고...).
 

 또한 일반 방화벽의 경우에는 애플리케이션이 동일한 포트를 사용할 경우, 혹은 유저가 동일한 IP로 여러 개의 연결을 요청한 경우 등 동일한 조건 하의 다양한 연결 유형을 구별해 낼 수가 없고, 패킷의 헤더 정보나 패킷 자체만을 분석하여 그 내부에 무엇이 있는지 알 수 없으므로, 악성코드의 존재 여부 또한 파악이 어렵습니다. 예를 들어 영화를 다운로드하는데 악성코드가 심어진 jpg가 영화 포스트마냥 첨부되어 동시에 들어오게 되는 경우, 이를 인지하고 미리 차단할 수 없다는 것이죠.

 길게 나열한 차세대 방화벽의 기능을 간단히 정리하면 다음과 같습니다.
   1. IP 주소와 더불어 사용자를 식별한다.
   2. 헤더 정보나 패킷 정보는 물론 내부의 콘텐츠를 식별해야 한다.
   3. 포트와 동시에 애플리케이션을 식별해야 한다.

 그 외의 차세대 웹 방화벽 제품군마다 추가적인 기능과 특징들이 있으나, 위와 같은 세 가지의 핵심적인 기능을 통해 NGFW는 기존 웹 방화벽과 큰 차이가 있다고 볼 수 있습니다. 현재 나와있는 NGFW 제품군으로는 팔로알토(paloalto)와 한솔 NexG 등이 있습니다.
 

http://www.paloaltonetworks.com

https://www.nexg.net/main/main.php

 이상으로 웹 방화벽과 차세대 웹 방화벽에 대한 포스팅을 마칩니다. 이번 포스팅은 특히나 분량이 길어졌는데, 부족한 글임에도 끝까지 봐주셔서 감사합니다^^.

 모두 행복한 하루 되시고, 다음 포스팅에서는 더 알찬 내용으로 다시 돌아오도록 하겠습니다~!