초연결 신뢰 네트워크 기술

네트워크 가상화 기술은 하나의 물리 네트워크상에서 다수개의 가상 네트워크를 생성할 수 있는 기술로 생성된 가상 네트워크는 마치 자신만의 물리 네트워크를 소유하여 사용하는 것처럼 각각 독립적으로 운용된다. 즉, 하나의 물리 네트워크를 사용하여 다수개의 논리 네트워크(가상 네트워크)를 생성하고 독립적으로 각각의 자원에 접근이 가능한 것이다. 각 가상 네트워크에는 고유한 아이디가 부여되어 서로 다른 가상 네트워크에서의 접근이 불가능하며, 하나의 물리 라우터로 N개의 Virtual Router 기능 제공이 가능한 기술이다. 이러한 네트워크 가상화 기술을 기반으로 초연결 신뢰 네트워킹을 위해서는 계층적 다중 터널링 (TLS/SSL, IP/GRE, IP-in-IP, IP/MPLS 등)에 대한 정책 기반 라우팅과 자원 관리(QoS)가 가능해야 한다. 즉, 기관별, 기관 내에서도 조직별, 사용자 그룹별로 소유의 분리가 되어야 하며, 정보보호를 위해서 관제 정보의 격리 운용, 정보 접근 경로의 분리, 주소 은닉을 위한 주소의 분리, 서버 은닉을 위한 서버 분리, 하나의 단말에서 서로 다른 VPN의 동시 접속 및 접속하는 대역에 대한 보장 기능이 요구된다. IP 네트워크 업체들은 자사의 장비를 관리하기 위한 네트워크 관제 시스템을 각각 고유하게 보유하고 있으며, 이러한 관제 시스템을 바탕으로 QoS 정책 설정 및 네트워크 관리 기능을 수행하고 있다. 즉, 해당 장비의 관제 시스템은 해당 회사의 네트워크 장비에만 적용이 가능하며 보안 기술과 관련된 제어는 별도의 관제 시스템을 이용해야만 한다. 또한, 보안 장비 업체들은 자사의 보안 장비를 관리하기 위한 보안 관제 시스템을 보유하고 있으며, 이러한 관제 시스템을 이용해서 방화벽, IDS, IPS 등과 같은 장비들을 통합적으로 관리하고 있다. 이러한 관제 시스템은 해당 회사의 보안 장비에만 적용이 가능하며 네트워크를 제어하기 위해서는 별도의 관제 시스템을 이용해야만 한다. 기기 인증 또는 사용자 인증을 통한 네트워크 접속 인증 절차와 특정 서비스를 제공받기 위한 서비스 인증 절차가 개별적으로 진행되는 인증 메커니즘을 제공하고 있으며, 접속 인증을 통과하면 서비스 권한이 없는 사용자도 특정 서비스 서버에 인증을 요구할 수 있으므로 접속 인증과 서비스 인증을 동시에 처리하는 기술이 보안성 측면에서 우수하다. 한 번의 인증으로 제공받을 서비스, QoS 정책, 보안 정책까지 결정되는 통합된 인증 기능이 필요하다. SDP는 Cloud Security Alliance에서 개발하고 있는 Software Defined Perimeter의 약자이다. 인터넷 에 흩어져 있는 자원(예, 서비스 혹은 데이터)을 보호하기 위해 경계기반 보안 메커니즘을 제공한다. SDP는 기존 보안 프로토콜의 취약성이 Connection-oriented protocol이라는 점에 기인하고 있다고 판단한다. 따라서 실제 서비스에 접속을 요구하는 단말과 서버 사이의 연결을 데이터 채널과 제어 채널로 분리하고, 인증받지 못한 단말에 대해 어떠한 서비스 연결 정보도 얻지 못하도록 하고 있다. 이러한 설계 개념에 의해 기존의 서버 탐침, 크레덴셜 탈취, 세션 하이재킹과 같은 보안 위협들에 대한 해결책을 제시하고 있다. 또한, 채널 분리에 의 해 실제 서비스 서버에 대한 분산서비스거부공격(DDoS)을 줄이기 위한 방법도 제공하고 있다. 단말과 서버 사이의 데이터 채널(혹은 서비스 채널)은 SDP 컨트롤러와 단말 및 SDP 컨트롤러와 게이트웨이 간의 제어채널을 통한 시그널링에 의해 안전하게 구축될 수 있다. 제어 채널 역시 초기 접속 인증을 위한 방법이 요구되는데 이를 위해 SDP 스펙 1.0에서는 일회용 패스워드 인증 방식과 결합된 형태의 mTLS(상호인증 TLS)를 사용하고 있다. 위의 데이터 채널 구축과 관계된 안전한 시그널을 통해 데이터 채널 역시 일회용 패스워드 인증과 mTLS의 결합된 방식을 사용하거나 상호인증을 통한 IKE/IPsec 방식을 사용하게 된다. SDP는 다양한 인터넷 환경에 보안 터널을 설정할 수 있도록 하는 동적인 특성을 가진다. 따라서, 클라이언트-게이트웨이, 클라이언트-서버, 서버-서버를 비롯한 다양한 네트워크 서비스 환경에 적용될 수 있다. 따라서, IaaS/PaaS/SaaS와 같은 클라우드 서비스나 클라우드 기반 VDI, IoT 플랫폼과 결합하여 중요한 자원을 권한없는 사용자로부터 격리시키고 더 나아가 실질적인 탐지 불가 기능을 제공하여 보다 강하고 효율적 안전성을 제공하기 위한 기술이다. TOR(The Onion Routing)은 네트워크 노드를 거칠 때마다 마치 양파처럼 데이터를 계속 암호화하여 전송하는 것으로, 트래픽 추적을 불가능하게 하여 네트워크상에서 익명성을 보장할 수 있는 기술로 미국 해군 연구소에서 시작하여 현재는 EFF에서 관리되고 있는 Free Software 프로젝트이다. 초기에는 내전 중이거나 인터넷에 대한 규제가 엄격한 국가의 사용자들이 감시를 받지 않고 네트워크를 자유로이 사용하기 위해서 활용되었다. 토르 네트워크(Tor Network)는 어니언 라우터(Onion Router)라고 하는 중계서버로 구성되어 있고 트래픽은 목적지까지 바로 전달되지 않고 중계서버를 통해 전송된다. 각 중계 서버는 패킷이 어디서 출발했는지를 알 수 없으며, 최종목적지가 어디인지도 알 수 없고 오직 다음 중계 서버의 주소만을 알 수 있을 뿐이다. 따라서 토르 네트워크를 사용하게 되면 IP 추적이 되지 않고 익명성이 보장되는 것이다. 그러나 출발점도 도착지도 알 수 없는 이러한 네트워크 환경은 악성코드를 유포하는 채널로 악용될 수 있는 문제점을 내포하고 있다. Black Core Network 기술은 미 국방성을 중심으로 개발되고 있는 신뢰 네트워크 기술로 네트워크를 음영화하여 사이버 테러에 대한 안전성 보장을 위한 것으로 이를 기반으로 2020년까지 국방인터넷의 고도화를 추진 중이다. 기존 네트워크상에서 오버레이 방식으로 보안성을 요구하는 연결에 네트워크 자원의 배타적 할당과 암호화를 통한 폐쇄적 연결 서비스를 제공하는 것으로, 데이터의 신뢰성 보장을 위하여, 개방된 퍼블릭망을 경유하는 트래픽의 경우, HAIPE(High Assurance Internet Protocol Encryption) 프로토콜을 사용하여 데이터를 암호화하며, HAIPE가 탑재된 에지 라우터 주소의 수시변경을 통하여 코어망 전체를 보호하는 기술이다. Black Core는 HAIPE IKE를 이용한 동적 보안 연결(SA: Security Association)과 SA복구, SA기반 통계, 다중 보안 정책에 따른 SA구성을 요구한다. 특히 CT(cipher text) IP 주소와 PT(plain text) IP 주소를 구분하여 PEPT(Peer Enclave Prefix Table)을 구성한다. 이처럼, 네트워크 관제나 보안 관제 솔루션 및 인증 기능을 제공하는 업체들이 존재하지만 전역적으로 End-to-End에 대해서 보안 및 QoS 정책을 제어하기 위한 솔루션이 없으며 그에 대한 연구도 미비한 상태로, 초연결 시대에 대비하기 위해서는 네트워크-보안-인증 기능이 모두 협업된 통합형 관제 시스템이 필요하다. 통합형 관제 시스템에서는 우선, 한번의 다중 인증을 통해 보안 등급, 서비스를 인지하여 네트워크 구성, 트래픽 및 서비스에 대한 동적이고 전역적인 고신뢰 네트워킹을 제어하여야 한다. 또한, 액세스 네트워크 기기 인증 및 제어 기능은 고신뢰 네트워크에 수용되는 단말 인증, 무선 인터넷 장치 제어 및 이동성 제어 기능 수행해야 한다. 고신뢰 네트워크 제어 관리 기능은 코어 네트워크 영역을 제어 관리하는 기능으로 인가된 트래픽에 대한 고품질 서비스를 보장하고 비인가 트래픽에 대해 네트워크 접근을 제어하고, 트래픽 모니터링을 통해 DDoS와 같은 네트워크 위협을 사전에 차단하고, 서비스 연속성을 위한 장애관리, 서비스 품질 제어를 위하여, 네트워크를 관리해야 한다.