금융회사 Endpoint 보안(PC보안)
PC보안
Endpoint보안의 두 번째는 PC 보안이다. PC 보안은 매체제어(DLP*)를 포함하는 솔루션도 있다.
Data Loss Prevention의 약자로, 데이터 유출을 감지하고 차단하는 솔루션이다.
PC 보안 솔루션은 사용자가 레지스트리를 변경하거나 PC방화벽을 OFF 한다는 등의 PC 보안설정을 임의로 변경하는 것을 차단해준다.
AD로도 가능한 설정을 포함하고 있지만 솔루션을 통하면 AD보다 세세하게 컨트롤이 가능하다.
ex) 특정 USB만 특정 PC에 허용, USB나 CD 읽기만 허용 등등.
전자금융감독규정 제12조(단말기 보호대책) 금융회사 또는 전자금융업자는 단말기 보호를 위하여 다음 각 호의 사항을 준수하여야 한다.
1. 업무담당자 이외의 사람이 단말기를 무단으로 조작하지 못하도록 조치할 것
4. 정보유출, 악성코드 감염 등을 방지할 수 있도록 단말기에서 보조기억 매체 및 휴대용 전산장비에 접근하는 것을 통제할 것
전자금융감독규정에 보면 업무담당자 이외의 사람이 단말기(업무용 PC)를 무단으로 조작못하게 해야 한다. 방법은 PC의 비밀번호를 걸어놓거나, 화면보호기 설정, 추가 인증 SW 설치 등 여러 가지가 있다.
이뿐만 아니라 주요 정보통신 기반시설의 취약점 분석평가 항목 안에 PC 점검 부분이 있다. 패스워드 주기적 변경이나 화면보호기 설정 등을 점검한다. 취약점 분석평가에 대해선 뒤에서 설명하겠다.
제12조 4호를 보면 보조기억 매체와 휴대용 전산장비에 접근하는 것을 통제해야 한다. PC보안솔루션의 매체제어 기능으로 업무용 PC와 외부 매체(USB, CD롬, Wifi 동글 등)의 연결 탐지/차단도 가능하다.
계속 새로운 외부연결 장치들이 나와서 차단하기가 어려워요
PC 보안 솔루션을 도입하더라도 이전부터 많은 외부 연결장치들이 나오고 있어 모든 매체를 통제하기엔 어려움이 있다. PC끼리 연결하는 USB 링크 케이블, 블루투스를 이용해 스마트폰과 자료를 주고받는 무선 동글 등 업무적으로 사용하는 드라이버처럼 인식이 되기 때문에 보안담당자는 주기적으로 확인을 해줘야 할 필요가 있다.
wormhole switch 같은 링크 케이블을 이용해서 PC 보안을 우회하는 경우가 있는데, 가상 CD 드라이브 영역을 차단하면 통제가 가능하다. 하지만 가상 CD 드라이브 영역을 사용하는 보안 USB도 있기 때문에 충분히 검토를 해봐야 한다.
이를 차단할 한 가지 방법은 White-List방식으로 매체를 허용하는 것이다. 보안담당자가 허용한 업무용 매체들만 사용이 가능하고 그 외 모든 매체는 드라이버 인식부터 차단되는 방식이다. 하지만 업무용으로 사용해야 하는 매체와 드라이버 등 관련 정보를 모두 확인해야 하고, OS에서 기본으로 사용하거나 업무용 프로그램이 백그라운드에서 사용하는 드라이버와 충돌하는 등의 어려움이 있다.
업무적으로 대용량의 데이터를 옮겨야 하는 경우가 있다. 로그분석이나 패키지 설치 등이 있는데, 이런 경우엔 USB를 임시로 예외 허용해주고 반드시 근거를 남겨야 한다.
일반적으로 외부에서 파일을 반입할 때에 망연계 시스템을 통해 반입하게 되는데 보통 망연계 시스템에는 백신 엔진이 탑재되어있어 악성파일들을 자동으로 걸러주게 된다. 하지만 일반 USB를 통해 들어오는 경우 보안 솔루션을 거쳐서 들어오지 않기 때문에 백신 검사를 통해 바이러스 검사를 반드시 해야 한다.
필자는 드라이버 충돌로 블루스크린을 몇 번이나 경험했다. (이후론 블루스크린만 발생하면 필자를 부른다.)
개인적으론 추천하지 않는 방식이고, 제로클라이언트를 통해 업무 PC 환경을 구성했으면 한다.
데이터를 저장할 공간이 없어 업무 PC에 연결되는 매체를 통제할 일도 없고, 인사이동이나 자리를 옮길 때도 굳이 업무 PC를 들고 이동하지 않아도 된다. HDD나 SSD가 물리적으로 망가지는 일도 없고,, 장점이 수두룩하다. 하지만 비용이 많이 필요하다.
