네트워크 접근 제어 NAC(Network Access Control)

ி 개요

 

NAC는 엔드포인트가 내부 네트워크에 접근 시 기존 망에
피해가 없도록 보안 정책을 적용하는 솔루션이다.
엔드포인트가 사내망에 접근하기 전에 보안 정책을 준수하지 않으면
네트워크가 통제된다.
즉, NAC의 역할은 깨끗한 단말들만 내부망에 들여놓고
오염된 단말은 격리하는 것이다.

 

※ 엔드포인트(Endpoint)란 네트워크의 말단에 접속된 IT 기기다.

ி 설계 기준

 

Pre-admission

 

내부망 접근 전에 수행해야 하는 규칙을 의미한다.

① IP-MAC 인증
② 보안 패치 여부
③ AGENT 미설치 차단
④ S/W 검역

Post-admission

 

내부망 접속 후에도 수행해야 하는 규칙을 의미한다.

① 권한별 통제
② 무결성 유지
③ 유해트래픽 관리
④ 로그 기록

ி 동작 방식

 

NAC는 설치된 SW 상태를 확인하기 위해서
각 단말에 Agent를 반드시 설치하게 되어있다.
Agent는 단말 정보를 수집하여 설치된 소프트웨어 정보 및 패치 상태 등을 확인할 수 있다.

엔드포인트에서 Agent가 실시간으로 작동하면서 보안 정책을 잘 준수하는지 확인하는데,
최신 보안 패치가 안 됐거나, 백신 프로그램이 미설치된 경우
특정 웹 화면으로 이동시켜서 보안 정책을 준수할 때까지 네트워크 사용을 금지한다.

혹여나 Agent가 미작동 상태면 단말을 이용할 수 없도록 통제한다.
간혹 Agent 자체의 오류 때문에 지속해서 미동작 상태인 경우가 있다.
이때 Agent를 재설치하면 해결된다.

Agent의 종류는 두 가지로써 Agent와 Agent-less다.
일반적으로 Agent SW를 설치하지 않는 버전이 Agent-less, 설치하면 Agent라고
잘 못 이해하고 있는데, Agent가 없으면 SW 상태를 체크할 수 없다.
올바른 정의는 Agent의 유무가 아닌 네트워크를 통제하는 위치다.

Agent

 

Agent 소프트웨어에서 네트워크를 통제한다.
하드웨어 및 프로세스 정보 수집, Patch 지원, 백신 연동 등을 지원한다.

Agentless 방식

 

네트워크 장비에서 네트워크를 통제한다.
사용자 PC에 연결된 스위치 및 포트 정보, 호스트명, 도메인명 관리 등을 지원한다.

제품에 따라서 위 두 가지 방식을 혼합한 Hybrid 형태를 쓰기도 한다.

ி 구성 요소

 

정책 관리 서버

 

① 보안 정책을 등록하고 차단 서버나 에이전트에 대한 동작을 설정한다.
② 사용자 역할 기반 정책(RBAC)을 수립한다.
③ 단말기 보안상태를 모니터링하고 네트워크 접근 로그를 관리한다.

차단 서버(Network Sensor)

 

① 네트워크에 연결된 단말기를 통제한다
② 단말기의 IP, MAC, OS 정보를 수집하고 분류한다.
③ 유해 트래픽을 감지하고 차단한다.

에이전트

 

사용자 단말기에 설치되어 단말기 정보를 수집하고
보안정책을 점검한다.


PC 보안 수준 검사 방법

① 설치형 에이전트 - 단말에 설치
② 필요할 때 작동하는 에이전트 - 웹 접근 시 자바 애플릿 또는 액티브X를 통하여 이용
③ 네트워크 스캔 방식 - 802.1X가 사용되는 유무선 랜에서 접근 제어

콘솔(Console)

 

웹 기반으로 대시보드를 제공하여 감사, 모니터링하고,
주요 네트워크 이벤트에 대한 알람을 발생시킨다.

ி NAC 주요 기능

 

IP 관리 및 충돌 보호

 

① 특정 IP 주소 및 MAC 주소에 대해서 네트워크 차단 및 해제를 한다.
② 사용자 네트워크 사용 기간을 등록해서 제한할 수가 있다.
③ 장기간 미사용 IP 주소를 탐지하고 IP 주소를 자동 회수한다.
④ 사용자가 임의로 IP 주소 변경을 방지하고 충돌을 방지한다.

네트워크 정보 자동 수집 및 업데이트 지원

 

① 네트워크 장비, 사용자 단말기, 네트워크 프린터, 무선 AP 등의 정보를 자동으로 수집하고 분류한다.
② Agent 방식으로 NAC를 사용할 경우 사용자 단말에 대한 윈도 환경, 설정 정보 등의 자세한 정보를 모두 수집한다.
Agentless 방식은 ARP 프로토콜을 사용해서 사용자 단말기 정보를 수집하기 때문에 정보 수집에 한계가 발생한다.

인증 서버 연동

 

사용자 인증 시에 Active Directory, Local Database 인증, RADIUS 인증, LDAP 인증과 연동 가능하다.
즉, NAC 자체 인증 기능을 사용할 수 있고 다른 인증과 연동하여 서비스를 제공할 수도 있다.

네트워크 접속 강제화 및 필수 프로그램 설치 유도

 

사용자 단말에 설치된 프로그램을 확인해서 필수적으로 설치해야 하는 프로그램을 강제적으로 설치하게 할 수 있다.
즉, 보안 정책 실행을 위해서 필요한 프로그램이 설치되지 않은 경우 강제적으로 네트워크를 연결하여 필수 프로그램을 설치한다.

보안 무결성 확인

 

① 사용자 단말의 보안패치를 확인하고 OS 패스워드 안전성을 확인한다.
② 윈도 시스템 설정을 검증하고 웹브라우저 보안 설정, 공유 폴더를 점검한다.


➽ 참고 자료

NAC 기술백서 - http://52.196.121.232/pdf/51-6.pdf