05메일 서버와 Exchange 연동메일 서버와 Exchange 연동

먼저 — DLP 규칙의 Action이 메일 서버를 부른다

이메일을 다루려면 규칙의 Action(동작 설정)을 먼저 떠올려야 합니다. DLP 규칙은 다음 다섯 가지 동작을 가질 수 있습니다.

이 가운데 Inform User, Ask User, 그리고 Data Owner 알림 기능이 메일 서버를 필수 부품으로 만듭니다.

Mail Relay 설정하기

Mail Relay 설정은 Data Loss Prevention Wizard 로 할 수도 있고, 마법사 없이 SmartDashboard에서 직접 할 수도 있습니다. 마법사 없이 설정하는 절차는 다음과 같습니다.

먼저 SmartDashboard의 DLP 탭을 엽니다.

익명 SMTP 연결용으로 Mail Relay를 구성합니다.

인증된 SMTP 연결용으로 메일 서버 객체를 구성합니다.

Mail Relay 구성을 마무리합니다.

DMZ에 전용 DLP Gateway와 Relay를 두는 경우

전용 DLP Gateway와 Relay를 DMZ에 두는 구성도 같은 요령으로 합니다.

인증된 SMTP 연결이 필요하면, 위 "인증된 SMTP 연결용 메일 서버 객체 구성"과 동일하게 Send emails using this mail server → 서버 선택 → Mail Servers → Edit → Server Requires Authentication → User Name/Password 입력 을 거칩니다. 마무리도 같습니다 — Save 후 SmartDashboard를 닫고, SmartConsole에서 정책을 설치하고, 메일 서버 자체에서 DLP Gateway의 익명 연결을 받아들이도록 설정한 뒤 다시 정책을 설치합니다.

권장 구성 — Mail Relay를 둔 DLP Gateway

권장 배치는 다음과 같습니다.

내부 Mail Relay를 DLP Gateway의 DMZ 인터페이스 뒤에 두려면 다음과 같이 합니다.

내부 Mail Relay가 DLP Gateway의 DMZ 인터페이스 뒤에 없는 경우 는 다음과 같이 합니다.

권장하지 않는 Mail Relay 구성의 우회책

권장하지 않는 구성은, My Organization 안에 있는 내부 Mail Relay에서 인터넷의 목적지 메일 서버로 나가는 이메일을 DLP Gateway가 검사 하게 만드는 것입니다. 이 구성에서 DLP Gateway는 Mail Relay를 대신해 목적지 메일 서버와 통신합니다. 문제는 목적지 메일 서버가 응답하지 않을 때 생깁니다 — 일부 Mail Relay(예: McAfee IronMail, postfix 2.0 이하, qmail)는 그럴 때 다음 DNS MX 레코드를 시도하지 않아서 같은 도메인의 다른 SMTP 서버로 메일을 다시 보내지 않습니다.

대표적으로 두 배치가 이 문제에 해당합니다.

그리고 내부 메일 서버(1)는 My Organization 에 있고, 별도의 내부 Mail Relay는 없는 배치도 있습니다.

왜 일부 Mail Relay는 메일을 다시 보내지 않는가 — 정상이라면, 목적지 메일 서버가 응답하지 않아 전송에 실패한 Mail Relay는 같은 도메인의 다른 SMTP 서버, 즉 다음 DNS MX 레코드 로 메일을 다시 보냅니다. 대부분의 Mail Relay는 목적지에 접근이 불가능하거나 목적지 서버가 4xx SMTP 오류 를 반환하면 다음 MX 레코드를 시도합니다. 하지만 McAfee IronMail·postfix 2.0 이하·qmail 같은 일부 Relay는 목적지 서버가 4xx 오류를 반환하면 다음 MX로 연결하지 않고 메일을 보내지 않습니다. 그런데 이 구성에서는 DLP Gateway가 Mail Relay를 대신해 인터넷의 메일 서버와 통신하므로, 목적지 메일 서버가 응답하지 않으면 DLP Gateway가 메일 서버를 대신해 Mail Relay에 4xx 응답 을 보냅니다. 따라서 4xx 오류 시 다음 MX를 시도하지 않는 Relay라면, 결국 어떤 메일도 밖으로 나가지 못합니다.

우회책은 다음과 같습니다.

신뢰되지 않은 Mail Relay와 Microsoft Outlook

Outlook이 Mail Relay 서버를 신뢰하지 않으면, 위반 알림 이메일의 Send 와 Discard 버튼이 제대로 렌더링되지 않습니다. 이 버튼은 Mail Relay가 신뢰된 뒤 새 메일을 보냈을 때 비로소 올바르게 표시됩니다. 이 문제를 피하려면, 사용자에게 Mail Relay 주소를 Outlook의 safe senders(안전한 보낸 사람) 목록 에 추가하도록 안내하세요.

TLS로 암호화된 SMTP 연결

TLS로 암호화된 SMTP 연결은 DLP Software Blade가 검사하지 못 합니다. Exchange 서버가 TLS로 이메일을 암호화한다면, Exchange Security Agent 를 사용해 검사할 수 있습니다(아래 "Exchange Security Agent" 참고).

DLP 인시던트(사건)에 대한 디스크 관리를 설정할 수 있습니다. 즉 디스크가 가득 차지 않도록, 오래된 로그·인시던트를 언제 어떻게 지울지 정하는 일입니다.

그다음 더 세밀한 설정은 Database Tool(GuiDBEdit Tool) 에서 합니다.

왜 필요한가

Microsoft Exchange 클라이언트 간 내부 이메일은 Exchange 통신용 전용 프로토콜 을 쓰는데, 이는 DLP Gateway가 지원하지 않습니다. 그래서 Exchange 클라이언트 사이의 내부 메일을 검사하려면 Exchange 서버에 Exchange Security Agent 를 설치해야 합니다. 이 에이전트는 TLS로 암호화한 SMTP 프로토콜로 메일을 DLP Gateway에 넘겨 검사를 받게 합니다. Exchange 서버와 DLP Gateway 사이에 연결성(connectivity) 이 있어야 합니다.

Exchange Security Agent는 DLP Gateway로 트래픽을 넘기는 Exchange 서버마다 하나씩 설치 해야 합니다. 각 에이전트는 SmartConsole에서 중앙 관리되며, 하나의 DLP Gateway에만 메일을 보낼 수 있습니다. 조직이 모든 이메일을 Exchange 서버로만 처리한다면, 이 구성으로 모든 메일(외부로 나가는 메일 포함) 까지 검사할 수 있습니다.

에이전트를 쓰려면 SmartConsole 과 Exchange 서버 양쪽에서 설정해야 합니다. 내부 메일 검사 활용 시나리오는 Out of the Box에서 이어집니다.

SmartConsole에서 Exchange Security Agent 구성

① General — 이 페이지에서 에이전트 정보를 입력합니다.

입력 후 Next 를 클릭합니다.

② Trusted Communication — Exchange Security Agent와 Enforcing DLP Gateway 사이의 SIC(Secure Internal Communication) 를 초기화하는 One-time password(1회용 암호) 를 입력합니다. 이 단계에서 보안 인증서가 생성 되어 이후 Exchange Security Agent가 사용합니다. One-time password 옵션에서 1회용 암호를 입력하고 확인합니다. Exchange 서버의 Exchange Security Agent 스냅인 Trusted Communication 창에 같은 1회용 암호 를 입력해야 합니다. 그다음 Next 를 클릭합니다.

③ Inspection Scope — 어떤 이메일을 검사용으로 보낼지 정합니다. 모든 사용자를 대상으로 하거나, 지정한 사용자·사용자 그룹만 대상으로 할 수 있습니다. 모든 메일을 검사하기 전에 지정 사용자·그룹부터 시작하는 것을 권장 합니다.

설정 후 Next 를 클릭합니다.

④ Configuration Summary — 요약을 확인하고, Exchange Security Agent를 설치합니다.

마지막으로 마법사를 완료합니다 — Save 를 클릭하고 SmartDashboard를 닫은 뒤, SmartConsole에서 정책을 설치합니다.

Exchange 서버에서의 구성

Exchange Security Agent를 Exchange 서버에 설치한 뒤에는 다음 작업을 할 수 있습니다.

신뢰 통신(Trusted Communication) 초기화 — Check Point Exchange Security Agent와 Security Gateway 사이의 신뢰 통신을 초기화합니다. 통신 상태는 두 가지입니다.

초기화 절차는 다음과 같습니다.

에이전트 시작·중지 — Exchange Security Agent는 Microsoft Exchange Transport service 의 확장(extension) 으로 실행됩니다. 따라서 에이전트를 시작하거나 중지할 때마다 Microsoft Exchange Transport service가 재시작 됩니다. Start 를 클릭하면 메시지가 DLP 검사를 위해 Security Gateway로 전송되며, 보내지는 메시지는 검사 대상으로 정의된 사용자·그룹에 따라 결정됩니다. 시작하려면 Check Point Exchange Agent 창에서 Start 를 클릭합니다.

통계(Statistics) — Exchange Security Agent의 Statistics 페이지는 성능 통계와, 에이전트가 처리해 Security Gateway로 보낸 이메일 수를 보여 줍니다. 창에 보이는 그래프는 Windows Performance Monitor 그래프로, 일부 Windows 카운터에 더해 CPExchangeAgent 카운터를 표시합니다. 대신 Windows Performance Monitor를 직접 띄워 CPExchangeAgent 카운터를 추가해도 됩니다. 표시되는 통계는 다음과 같습니다.

Message Tracking 로그로 메시지 상태 모니터링 — Message Tracking 창에서는 에이전트를 거치는 각 메시지의 로그를 볼 수 있습니다. 로그의 모든 필드로 검색할 수 있고, 새로고침도 됩니다. Event Id 열에는 다음 값이 표시됩니다.

각 Event ID에 따라 Reason 열에 올 수 있는 사유는 다음과 같습니다.

Advanced — 언제 검사를 건너뛸지 설정 — Advanced 창에서는 로그 파라미터와, 어떤 경우에 이메일을 Security Gateway로 보내 DLP 검사를 하지 않을지(bypass) 를 설정합니다.

위 "Bypass email inspection for X seconds if:" 가 적용되는 상황 은 다음과 같습니다.

Mirror Port Mode 에서 DLP Gateway는 SMTP와 HTTP 트래픽을 위반 가능성에 대해 검사하되, 정책을 시행(enforce)하지는 않 습니다. DLP Gateway가 스위치의 SPAN 포트 에 연결되어 트래픽을 모니터링만 하기 때문입니다. 그래서 Mirror Port Mode는 구성 위험을 최소화한 채, 나가는 모든 SMTP/HTTP 트래픽에 대한 데이터 유출 평가(full data leak assessment) 를 돌려 보기에 좋습니다.

동작 방식

DLP Security Gateway가 스위치의 SPAN 포트에 연결되면, Security Gateway는 스위치를 지나는 모든 패킷의 사본 을 받습니다. DLP의 tap 메커니즘 이 SMTP·HTTP 트래픽의 TCP 스트림을 재구성하고, 이 스트림을 DLP 엔진이 정책 위반 가능성에 대해 검사합니다.

Mirror Port Mode 검사 활성화

Mirror Port Mode 검사를 켜기 전에 Security Gateway를 준비해야 합니다.

R77 이하에서 Mirror Port Mode를 활성화하려면 dlp_smtp_mirror_port 명령을 사용합니다.

설명 — SMTP Mirror Port Mode를 활성화합니다.

구문은 다음과 같습니다.

dlp_smtp_mirror_port {status | enable | disable}

예시는 다음과 같습니다.

dlp_smtp_mirror_port enable

실행 출력은 다음과 같습니다.

# dlp_smtp_mirror_port enable
Enabling SMTP mirror port requires running local policy
installation. continue? (yes)
yes
Installing Security Policy Standard on all.all@dlpgw
Fetching Security Policy from local succeeded
# dlp_smtp_mirror_port status
SMTP mirror port is enabled