Security > 침입방지시스템(nIPS)    

제품개요/특징   구성도   주요화면    
1. ICS(Intrusion Control System, 침입통제시스템)의 구성도
 

▶ 커널기반의 통합엔진 구조

ICS는 통제엔진과 탐지엔진으로 구성되는데, 두 가지 엔진 모두 커널에서 동작하며 상호 유기적으로 통합되어 있다.
특정한 패킷이 통제엔진을 통과하였다 하더라도 탐지엔진에서 침입 공격으로 판정되면 그 즉시 폐기(Drop)되고 반복되는 침입 공격에 대해서는 통제엔진에서 사전에 모두 폐기(Drop)된다.


▶ ICS 모델 구조도-특허출원
    

ICS 모듈은 통제엔진과 탐지엔진을 탑재한 커널계층 모듈과 커널계층 모듈을 제어하는 응용계층 모듈로 구성되어 있다. 응용계층 모듈은 감사기록을 관리하는 RTLOG와 커널계층의 엔진을 제어하는 RTICS로 구성된다. 커널계층의 통제엔진과 탐지엔진의 운용을 On/Off 할 수 있는 통합 유연성을 제공한다.


▶ 규칙기반의 탐지 정책 예제

   

통제 정책은 상태분석(Stateful Inspection)에 의해 관리자의 수동 정책 설정을 최소화 할 뿐 아니라 응용게이트웨이의 사용을 배제할 수 있어 시스템 성능 향상이 가능하다.


▶ 규칙기반의 통제 정책 예제

   
2. Gateway 방식의 동작모드
 
ICS는 Gateway 동작 모드에서 침입 공격으로 판정된 패킷에 대해 가장 효과적으로 방어할 수 있다. 침입탐지시스템(NIDS)은 Passive 방식으로 패킷을 Capture(복사)하여 대응하는 구조이기 때문에 침입 공격에 대해 효과적인 방어가 불가능하다. 또한 NIDS 도입 시에는 추가로 패킷 미러링 장비의 도입 비용이 발생하지만, ICS 도입 시에는 추가 장비 도입 비용이 발생하지 않는다.


▶ ICS 동작모드 예제1 - Firewall을 보유한 상태

    


▶ ICS 동작모드 예제2 - Firewall을 보유하지 않은 상태

    
3. ICS 의 주요기능

  ▶ 정형화된 탐지규칙(RIVA Signature)

사용자 정의 탐지규칙 설정으로 특정한 공격 패턴에 대해 방어할 수 있고, 키워드에 의한 접근 통제가 가능하다. ICS의 탐지규칙은 정기적으로 자동 동기화(업데이트) 된다.
Classification
Description
RIVA-S Special attack, Spoofed IP, TCP Ack Storm, Spoofed ARP flooding …
RIVA-1 Probing, Scanning for hosts and network
RIVA-2 Vulnerability of services and protocols
RIVA-3 CGI attack, Web contents attack, Worm/Virus
RIVA-4 Denial of service, DDoS
RIVA-5 Trojan horse, Backdoor attack
RIVA-U User-defined signature
 
ICS의 탐지구조를 단계화(단순분석+복합분석)하여 False Positive를 최소화 하였고, 침입 공격 유형별로 분류되었고 CVE(Common Vulnerabilities and Exposures)를 지원한다.


▶ 커널기반의 탐지엔진

ICS의 탐지엔진은 커널계층에서 동작하기 때문에 패킷을 처리하는데 소요되는 시간을 최소화하여 대용량 네트워크에서도 성능저하가 발생하지 않는다.
Passive 방식의 침입탐지시스템(NIDS)은 "패킷수집(Capture) --> 데이터축약 --> 분석 --> 판정"의 처리과정을 거치게 되지만, ICS는 "패킷수집", "데이터축약" 처리과정이 대폭 생략되었기 때문에 대용량 트래픽 분석이 가능하다.
또한 패킷의 상태분석(Stateful Inspection)기법을 사용하여 중복 분석 및 False Positive를 최소화 하였다.


▶ Active-active High Availability

별도의 Load-balancer(L4 Switch)에 의한 Active-active 방식의 고가용성을 지원하여
Single point of failure에 대응할 수 있다.
(차기 버전에서 자체 Active-active 고가용성을 지원할 계획임)


▶ 네트워크 대역폭 계획 조정(Traffic Shaping)

ICS의 통제엔진은 허용된 규칙에 대해 Traffic Shaping이 가능하여 DoS(DDoS) 공격에 의한 네트워크 자원 소모를 원천적으로 통제할 수 있을 뿐 아니라 중요한 서비스에 대해 일정한 네트워크 대역폭(Bandwidth)을 할당하여 안정적인 서비스가 가능하다.


▶Traffic Shaping 예제
※ 제품 문의

  • SI 팀 / 김창균 팀장
    .........cgkim@rybusnet.com
    .........Tel. 02-2677-2083, HP. 010-5067-0674
    •  
    Copyright (c)2003  RyBusNet,INC. All rights reserved.