개요

개인정보 및 내부중요정보 유출 사고는 내부 및 협력 업체 직원들의 중요 서버에 대한 접근통제, 감사 및 로깅 관리가 미흡하여 발생하였으며, 인터넷을 통한 금융거래 보안사고는 인터넷 또는 개인PC의 취약점을 이용하여 ID와 비밀번호를 획득하고, 포털사이트에 접속 후 피해자 e-메일을 열어 보관 중이던 공인인증서 또는 보안카드를 절취하는 방식으로 발생하였다.

이런 보안사고들에 대응하기 위해서는 중요 서버의 접근에 대한 통제, 감사 및 로그분석을 강화할 필요가 있으며, 일반 사용자들에 대한 PC 보안과 개인 신원 인증을 위해 보다 강력하고 편리한 인증 방법이 필요하다.

그렇다면, 위에서 언급된 대안들에 대해서 좀 더 효과적으로 예방할 수 있는 솔루션은 없을까? 필자는 보안솔루션의 운명이 가전제품이나 핸드폰 같은 생활필수품의 운명을 갖게 될 날을 기다리며, 다양한 기술과의 접목, 사용자 중심의 보안강화, 안정성 및 편리성을 확보한 보안 스마트카드를 소개하겠다.

보안 스마트카드란?

[그림1]보안 스마트카드 외형

신용카드 크기의 보안 스마트카드는 지문인식 기술과 스마트카드를 결합한 이동형 통합 보안 솔루션이다. 이 스마트카드에는 지문인증을 위한 생체인식 지문센서와 다기능 어플리케이션(VPN 클라이언트, 감사 PC 보안 Agent 등) 이 탑재되어 있고, 전용 CPU와 OS가 탑재되어 있어 Client PC의 리소스를 활용하지 않는다. 인증 프로세스로 비밀번호를 이용하지 않고 지문을 사용하고, 공인인증서를 내장하여 추가로 인증 처리 실시가 가능하며, 지문 인증 후에는 지정된 특정 프로그램(VPN 클라이언트, 감사 PC 보안 Agent 등)이 자동 실행된다.

VPN 사용 및 서버 접근 통제

보안 스마트카드는 사전에 등록된 자신의 지문과 공인인증서 암호로 접속과 동시에 VPN이 열려 암호화된 터널링을 제공해 준다. 이는 키보드 및 메모리 해킹 등의 공격 차단이 가능하여, 입력정보를 해킹한 후 인터넷 뱅킹으로 예금을 이체해가는 사고를 방지할 수 있게 된다. 또한, 패스워드 및 공인 인증서와 같은 중요 인증정보를 편의상 USB, 웹 메일, 웹 하드 등을 통해 보관하여 절취 당하는 사고는 발생할 수가 없을 것이다.

스마트카드에 탑재 된 VPN 클라이언트 프로그램은 제로터치방식으로 램 상주형태로만 구동되고 VPN 관리 서버(G/W 형태의 보안 중계서버)에서는 중요 서버에 대한 접근통제 정책 설정이 가능하여 기업에서 사용한다면 사용자별 실시간 접근 기록 및 접속정보(IP/계정 정보/시간 등)에 대한 로깅 및 모니터링을 수행할 수 있다.

[그림2] VPN 사용 및 서버 접근 통제 과정

사용자는 이 스마트카드를 사용할 경우 인터넷 뱅킹을 비롯한 증권거래, 국세청 등의 공인인증서를 이용한 서비스, 회사내의 그룹웨어, 이메일 등을 집이나 PC방 및 국내외 출장지에서 안전하게 사용할 수 있다.

외부/내부 사용자의 접속정보에 대한 수집 및 분석

 

보안 스마트카드 기능을 더욱 확장해서 기업에서 활용할 경우, 포렌식 및 PC 보안 기능의 모듈을 탑재하여 사용하면 사용자별 일괄적인 보안관리와 통제를 수행할 수 있다. 보안 스마트카드에 감사 Agent를 탑재하여 구동하게 하고, 이 스마트카드를 통해서만 PC사용을 가능케 하면 감사 Agent가 “사용 기록 및 증적 정보”를 수집하여 감사 기록 일체를 저장소(스토리지)에 자동 기록한다.
 

[그림3] PC 사용자 접속정보 수집 및 저장 과정

이렇게 수집된 정보는 통합모니터링 서버를 이용하여 모니터링 할 수 있으며, 사용자 접근 내역에 대하여 주기적으로 검토한다면 내부 정보 유출 및 부정행위 감시를 할 수 있고, 사고 발생 시 법정 증거자료로 활용할 수 있을 것이다.[관련 문의 02 6292 3001]
 

* A3Security | 컨설팅사업본부 이영주 선임 컨설턴트
* 본 기고글은 지난 2009년 4월 에이쓰리시큐리티 뉴스레터를 통해 공개된 자료임.