범정부 분산서비스거부(DDoS) 대응체계 분석 두번째입니다. ‘경제’와 ‘사회’, ‘시·도’ 분야의 요구사항은 비슷하기 때문에 한꺼번에 특징만 짚어보겠습니다. (첫번째는 교육과학기술 분야를 다뤘지요.)

각 분야의 DDoS 대응체계는 사전 네트워크 보안취약점 점검과 DDoS 공격 대응 능력 분석, 공격형태에 따른 영향분석 등 구축에 들어가기에 앞서 사전 컨설팅을 수행합니다.

구축 과정은 사전 컨설팅 후 DDoS 대응체계 구축, 모의시험 및 검증, 통합보안관제체계 구축, 취약한 좀비PC 제거체계 구축, 기관별 DDoS 대응지침 및 매뉴얼 수립, 교육체계 마련하는 과정으로 이뤄지게 됩니다.


경제 분야

지식경제부가 주관하는 경제 분야 DDoS 대응체계는 국토해양, 환경, 관세 등 37개 기관을 대상으로 합니다.

특히, 중앙관리체계와 통합보안관제체계 구축을 통한 DDoS 예·경보체계를 마련하고 다양한 공격 유형에 대한 사전분석으로 선제적 대응전략 수립을 목적으로 하고 있습니다.

때문에 DDoS 방어 전용 장비 외에 통합보안관리(ESM) 서버 에이전트를 많이 요구하고 있습니다. ESM 업체들이 경제 분야에 관심이 많겠군요.

DDoS 탐지·차단 시스템은 48식을 요구하고 있습니다. 처리성능은 2Gbps로 인라인이나 아웃오브 패스 방식 모두 관계없습니다.

바이패스 기능 등 고가용성 기능과 전원공급장치 이중화와 같은 안정성을 높이는 기능은 스펙에 당연히 포함돼 있습니다.

보안관제센터로의 위협정보 수집, 분석 기능도 중요합니다.

ESM 에이전트는 57식을 도입합니다. 지경부, 국토해양부 등 각 기관별 ESM 매니저에 연동 가능해야 하는 것이 조건입니다.

보안 장비로는 1Gbps 이상 성능을 내는 침입방지시스템(IPS)를 8대를 도입하는군요. 방화벽도 1대 도입합니다.

트래픽관리(QoS) 장비와 네트워크 장비(백본 스위치)도 한대 도입하네요.

교육과학기술 분야에서 많이 도입하는 좀비PC 탐지·차단 장비는 도입하지 않고 제로데이 공격 탐지 장비만 2식을 도입하는 것 같습니다.

사회 분야

보건복지가족부가 주관하는 사회 분야는 청와대, 검찰청, 국방, 질병관리본부, 국회 등 19개 기관을 대상으로 합니다.

지난 7.7 DDoS 공격 대상이 됐던 청와대, 국회 등이 포함돼 있네요. 국민건강보험공단, 국방부, 검찰청, 중앙선관위, 헌법재판소 등 아주 중요한 기관들이 상당수 포함돼 있습니다.

경제 분야와 마찬가지로 중앙관리체계 및 통합보안관제체계를 강화함으로써 DDoS 예`경보, 대응체계를 수립하는 것을 목표로 하고 있습니다.

역시 DDoS 전용 대응시스템과 ESM 에이전트를 많이 도입합니다.

DDoS 탐지 및 차단 시스템은 36식, ESM 에이전트는 42식을 요구하고 있습니다.

기타 보안장비는 1Gbps 이상 성능의 IPS 6식과 제로데이 공격 탐지 장비 1식을 도입하네요. QoS 장비 4식, L3스위치 1식도 구축합니다. 

시·도 분야

행정안전부가 주관하는 시·도 분야는 말그대로 서울시·부산광역시·경기도 등 16개 시·도와 시·도 사이버침해대응지원센터를 운영 중인 한국지역정보개발원, 정부통합전산센터까지 총 18개 기관을 대상으로 DDoS 대응체계를 구축한다.

DDoS 대응체계를 구축하는 것 외에도 시·도 사이버침해대응센터와 연계해 즉시 관제·차단할 수 있도록 통합보안관제체계가 대폭 보강됩니다.

DDoS 대응체계는 DDoS 방어 전용장비와 IPS, QoS, 방화벽 등 보안·트래픽관리 장비로 구성된다.

DDoS 탐지·차단 시스템은 2Gbps 성능의 32식, 10Gbps 이상 성능을 처리하는 장비 4식이 구축됩니다.

정부통합전산센터에 설치될 10G급 4대는 시스코 가드 앤 디텍터 모듈로 스펙이 박혔습니다. 기존에 설치된 제품이 있기 때문이라고 돼 있네요.


IPS는 17식이, 방화벽은 9식, QoS 장비 29식이 구축됩니다.

ESM 서버 2식과 에이전트 62대도 도입합니다. 각 에이전트는 기관별 ESM 매니저와 연동하게 되고, 다양한 정보보호 제품들로부터 보안이벤트를 수집하는 역할을 하게 됩니다.

시·군·구 등의 취약한 사용자 ‘좀비PC’를 제거할 수 있도록 좀비PC 탐지 장비 2식, 제로데이 공격 탐지 장비 2식도 도입될 예정입니다.

백본스위치, LG스위치도 각각 3대, 8대가 필요하네요.

이 사업은 오늘 입찰이 마감됩니다.

2009/11/03 15:33 2009/11/03 15:33

교육과학기술부는 45억원의 예산으로 35개 기관을 대상으로 DDoS 대응체계를 구축할 예정입니다. DDoS 대응체계 구축 사업을 진행하는 5개 부처 중 시·도 다음으로 큰 규모입니다.

지난 7.7 DDoS 공격에서 교육과학기술 분야 주요 서비스에 대한 DDoS 공격은 발생하지 않았습니다.

현재 수준에서는 DDoS 방어 전용장비 도입이 안돼 있어 앞으로 공격이 발생한다면 대응이 어려운 상황으로 평가되고 있습니다.

가장 큰 문제는 액티브X 실행 등 사용자 부주의로 인해 DDoS 공격에 활용되는 좀비PC 감염 수치가 월등히 높은 수준이라는 데 있습니다. 중앙부처 중 1위라는군요. 

따라서 교육과학기술부는 이번 사업에서 DDoS 대응 장비 구축을 통한 업무(서비스) 연속성과 안정성 확보, 악성코드 근원지 추적, 좀비PC 감염현황 신속한 탐지·제거를 중심으로 대응체계를 수립하게 될 예정입니다.

대상기관은 16개 시·도 교육청, 10개 대학, 한국과학기술원, 한국원자역연구원 등 7개 기타·공공기관, 교육사이버안전센터(ECSC)·과학기술정보보호센터(S&T-SEC) 두 곳입니다.

RFP에 나와 있는 목표시스템 개념도를 보시죠. 시스템이 한눈에 들어옵니다. 

 

DDoS 대응시스템

DDoS 대응 전용장비는 백본 통신경로 선상에 설치하는 방식과 백본 통신경로 외에 설치하는 방식, 즉 인라인과 아웃오브패스 방식의 장비는 모두 사업 참여에 참여할 수 있습니다. 

인라인 방식은 로드밸런싱을 담당하는 L4 스위치와 무관하게 충분한 처리용량을 지원해야 하며, 하드웨어와 소프트웨어 장애에 대비한 이중화, 바이패스 기능 등 무중단 방안을 제시해야 합니다.

아웃오브패스도 백본 경로 상 통신흐름에 영향 없이 충분한 처리용량을 지원해야 합니다. 장애에 대비한 무중단 방안 제시는 역시 필수적입니다.

향후 IPTV 활성화나 인터넷 회선 대역폭이 증가할 경우를 위해 안정적으로 비정상 트래픽을 처리할 수 있도록 모듈을 추가하거나 업그레이드 등 확장 방안을 제시해야 한다는 점이 눈길을 끄는군요.

네트워크 및 보안통합관제와도 연계돼야 합니다.

10Gbps 이상의 트래픽 처리성능을 제공하는 DDoS 방어 장비도 많이 요구하고 있군요.(7식) 4Gbps 성능 장비는 3식, 1G 이상은 33식이 설치될 예정이네요.


좀비PC 탐지 및 제로데이 공격 차단 장비

PC에서 발생하는 웜·악성코드 관련 정보를 수집하고 실시간 모니터링·분석, 좀비PC를 발견할 수 있는 일체형 장비는 33식을 설치할 계획입니다.

방식은 오프라인 모드에서 미러(Mirror)된 트래픽을 가상머신을 이용해 악성코드 분석 및 제어기능을 제공해야 합니다. 가상머신을 통해 OS의 취약점 및 악성코드의 활성화 재현을 위한 분석기능과 활동내역을 자동 분석하는 기능을 제공해야 합니다. 일종의 ‘허니팟’ 같은 기능과 형태가 포함될 수 있겠습니다.

제로데이 공격 탐지시스템은 공격 패킷의 시그니처를 자동 생성, 실시간 실행코드 검증을 통한 악성코드 확인, 트래픽 모니터링을 수행하는 기능에 1Gbps 이상의 처리성능을 요구하고 있습니다.

방화벽과 침입방지시스템(IPS) 등과 연동해 적용할 수 있도록 해야 합니다.

세부사항은 표를 참조하세요.

2009/10/22 16:32 2009/10/22 16:32

현재 보안업계 최고의 관심사는 범정부 차원에서 진행할 DDoS(분산서비스거부) 대응체계 구축 사업입니다.

조만간 정식 발주될 이번 사업은 지난 7월 청와대를 비롯한 국가기관이 줄줄이 DDoS 공격을 받으면서 심각성을 깨달은 정부가 긴급히 200억원의 예산을 편성해 교육·과학기술, 경제, 사회, 경찰, 시·도의 5대 분야 132개 공공기관에 한꺼번에 DDoS 대응체계를 구축하기 위해 긴급히 추진됐습니다.

계획에 없던 대규모 보안 사업이고, DDoS 방어 장비를 주축으로 방화벽, 침입방지시스템 등 유해트래픽 차단 장비 등 다양한 보안 솔루션들이 한꺼번에 도입될 것이기 때문에 많은 SI 및 보안업체들이 열심히 사업을 준비하고 있습니다.

개별 부처에서 발주한 단일 보안 사업으로 40~50억원 이상을 넘은 사례는 거의 전무합니다.

워낙 규모가 커서 그런지 벌써부터 이번 사업을 끝으로 적어도 앞으로 6개월 동안 공공 정보보호 사업은 거의 없을 것이란 이야기도 나오고 있습니다.

교육과학기술부, 지식경제부, 보건복지부, 경찰청, 행정안전부가 각각 주관해 연말까지 완료되는 이번 사업은 지난주 사전규격이 공개됐습니다.

이번주 중 정식 사업공고가 나올 것으로 예상됩니다.

사전규격을 기반으로 각 분야별로 목표로 하고 있는 DDoS 대응체계를 순차적으로 살펴볼 생각입니다.

분야별로 사업범위나 진행방식, 기본적인 도입품목은 유사하지만, 환경이 다른 만큼 초점은 조금씩 다를 것으로 예상됩니다.

순서는 이렇습니다. 1. 교육·과학기술 2. 경제 3. 사회 4. 경찰 5. 시·도의 DDoS 대응체계 구축 사업 제안요청서(RFP) 분석입니다. 

다만 모든 부처마다 ▲기관별 네트워크 보안상태 점검과 DDoS 대응체계 설계를 위한 컨설팅을 시작으로 ▲DDoS 대응체계 구축 ▲모의시험 및 검증, 기관별 통합보안관제 체계 구축 ▲DDoS 총괄 체계 마련 ▲좀비PC 탐지·제거 체계 및 선제적 DDoS 방어체계 구축 ▲기관별 DDoS 대응 지침 및 매뉴얼 수립 ▲교육체계 마련까지 총 8단계 순서로 사업이 진행됩니다.

주요하게 도입될 장비는 DDoS 방어 전용장비, 좀비PC 탐지·제거 장비 등과 보안관제와 연계하는 체계가 공통적으로 구축될 예정입니다.

이번 사업은 단순히 DDoS 공격 탐지·차단 전용으로 개발된 보안 장비를 구매하는 것만이 아니라 사전 컨설팅을 거쳐 다른 부족한 보안 제품까지 함께 구성하고, 실시간 통합보안관제, 정책과 교육까지 연계하게 된다는 점에서 체계적인 대응체계 구축 사업계획이 수립됐다는 것이 대체적인 보안업계 전문가들의 분석입니다. 

이 사업에서 보안업체들에게 가장 아쉬운 점은 아마 가격 측면이 될 것 같군요.

2009/10/21 22:20 2009/10/21 22:20