12Watermark와 정밀 조정Watermark와 정밀 조정

Watermark(워터마크) 는 워터마킹 데이터가 담긴 커스텀 XML 파일을 도입할 때 적용 되며, 나가는 Microsoft Office 문서에 보이는 표식이나 보이지 않는 암호화 텍스트를 넣어 추적합니다. 워터마크를 넣을 수 있는 대상은 Office Open XML 형식인 세 가지뿐 입니다.

문서에 워터마크 적용하기 (Watermarking Documents)

정책의 특정 Data Type에 워터마크를 거는 과정입니다.

새 워터마크 프로파일 만들기 (Creating a New Watermark Profile)

All pages(모든 페이지)

First page only(첫 페이지만)

Even pages only(짝수 페이지만)

Odd pages only(홀수 페이지만)

Word·PowerPoint 워터마크 텍스트 뒤에 그림자 넣기

워터마크 글자 뒤에 그림자(shadow)를 넣으려면 게이트웨이에서 설정 파일을 직접 손봐야 합니다.

General 페이지에서 워터마크 설정하기

General 페이지에서는 보이는 워터마크의 위치와 텍스트를 다룹니다.

Hidden Text 페이지에서 워터마크 설정하기

Hidden Text 페이지에서는 문서에 보이지 않게 삽입되는 암호화 텍스트를 다룹니다.

SmartConsole과 같은 컴퓨터에 Microsoft Office 2007 이상이 설치돼 있으면 미리보기 창(preview pane)에 샘플 파일 위로 워터마크 미리보기가 나타납니다.

워터마크 프로파일 마무리하기

워터마크 미리보기 (Previewing Watermarks)

SmartConsole > Data Loss Prevention 탭 > Additional Settings > Watermarks 에서, 워터마크는 오른쪽 창에 샘플 문서 위로 미리보기됩니다.

미리보기 방법:

샘플 미리보기 파일의 이름은 다음과 같습니다 — example.docx, example.pptx, example.xlsx. 문서를 열거나 미리보려면 컴퓨터에 Microsoft Office 2007 이상과 SmartConsole 이 설치돼 있어야 합니다.

User-Added Files(사용자 추가 파일) 에도 워터마크를 미리볼 수 있습니다.

MS Office 문서에서 워터마크 보기

DLP 게이트웨이가 워터마킹한 Office 문서는 다음 방법으로 워터마크를 확인합니다.

워터마크 충돌 해결하기 (Resolving Watermark Conflicts)

DLP 게이트웨이가 스캔할 때, 문서가 첨부된 이메일이 여러 DLP 규칙에 동시에 매칭 될 수 있습니다. 규칙들이 서로 다르고 충돌하는 워터마크 프로파일을 가졌다면, 보이는 워터마크의 충돌과 숨김 텍스트의 충돌을 각각 해결해야 합니다.

보이는 워터마크 충돌 해결

나가는 문서가 여러 규칙에 매칭되고 각 규칙이 다른 워터마킹 프로파일을 지정하면 충돌이 생깁니다. 예컨대 서로 다른 프로파일이 가운데에 다른 텍스트를 지정하면, 규칙 우선순위(rule precedence)에 따라 여러 프로파일을 병합(merge) 해 충돌을 풉니다. 규칙 우선순위는 ACTION 과 SEVERITY 우선순위 로 결정됩니다.

우선순위가 정해지면, 다음 기준으로 병합 프로파일이 만들어집니다.

이 과정은 모든 워터마크가 병합 프로파일에 추가될 때까지 반복됩니다. 예를 들어 각각 커스텀 워터마크 프로파일을 가진 DLP 규칙 세 개가 있고, 한 이메일이 셋 모두에 매칭된다고 합시다.

병합 프로파일(4)은 모든 프로파일에서 요소를 가져와 만들어집니다.

병합 프로파일의 이름 — 병합 프로파일이 기존 프로파일들(숨김 텍스트나 보이는 워터마크)에서 요소를 가져오면, 그 프로파일들의 이름이 병합 프로파일 이름에 합쳐집니다. 위 예에서 병합 프로파일 이름은 세미콜론으로 구분된 W1;W2;W3 가 됩니다. 이 이름이 Logs & Events 뷰의 DLP Watermark Profile 열에 표시됩니다.

숨김 텍스트 워터마크 충돌 해결

서로 다른 프로파일이 보이지 않는 텍스트를 지정하면, 우선순위가 가장 높은 규칙에 붙은 프로파일의 텍스트만 사용됩니다. 우선순위는 DLP Rule Base의 ACTION 과 SEVERITY 우선순위에서 나옵니다.

ACTION 우선순위

숨김 텍스트는 ACTION 우선순위가 가장 높은 규칙의 프로파일 에서 가져옵니다. 두 규칙이 모두 Ask User라 ACTION 우선순위가 같으면, 그때 SEVERITY 를 봅니다.

SEVERITY 우선순위

예를 들어 문서가 첨부된 이메일이 다음 두 규칙에 매칭된다고 합시다.

Rule 1의 ACTION(Ask User)이 Rule 2의 ACTION(Detect)보다 우선순위가 높으므로 Rule 1이 우선 합니다. Rule 2의 SEVERITY가 더 높음에도, W1 프로파일의 숨김 텍스트가 적용 됩니다. 규칙을 다음처럼 바꾸면:

ACTION 우선순위가 같으니 SEVERITY를 봅니다. Medium이 Low보다 높으므로 W2 프로파일의 숨김 텍스트가 추가되고 Rule 2가 우선 합니다. ACTION과 SEVERITY가 모두 같으면:

이때는 Data 열에 있는 규칙 이름을 기준으로 한 내부 계산 에 따라 우선순위가 정해집니다.

워터마크 기능 켜고 끄기

워터마크 옵션은 여러 방법으로 끌 수 있습니다.

워터마크를 끄면 DLP 규칙 베이스 아래쪽에 Watermarks are not applied on the DLP policy 라는 경고가 표시됩니다. 그 경고의 Apply 를 클릭하면 Advanced Settings 창이 열려, 다시 DLP 규칙에 워터마크를 켤 수 있습니다.

DLP 워터마크 보기 도구 사용하기 (DLP Watermark Viewing Tool)

포렌식 추적을 위해, 숨김 텍스트는 DLP 워터마크 보기 도구로 복호화해 읽을 수 있습니다. 워터마킹된 문서의 숨김 텍스트를 보는 방법은 다음과 같습니다.

파일 하나의 이름, 또는 여러 파일이 든 디렉터리 경로를 입력합니다. 3. 출력에는 프로파일에 포함된 숨김 필드(hidden fields) 가 나타납니다.

숨김 텍스트 복호화에 쓰는 키(key)는 Security Management Server에 저장되어 Security Gateway로 내려 받아집니다. 같은 Security Management Server가 관리하는 DLP 게이트웨이들은 같은 키와 공통의 (무작위) ID를 공유 합니다. 이 무작위 ID는 그 게이트웨이에 DLP 정책을 설치한 Security Management Server를 식별합니다. 따라서 보기 도구는 같은 Security Management Server가 관리하는 게이트웨이가 추가한 텍스트만 보여 줍니다. 예컨대 문서가 서로 다른 Security Management Server가 관리하는 세 DLP 게이트웨이를 거쳤다면, 각 Security Gateway에 파일을 복사해 각각에서 도구를 실행해야 하며, 도구는 그 게이트웨이가 추가한 숨김 텍스트만 보여 주고 다른 Server가 관리하는 게이트웨이가 추가한 텍스트는 보여 주지 않습니다.

규칙 베이스에서 기본값인 Source(My Organization)와 Destination(Outside My Org)은 SmartConsole에 정의된 어떤 네트워크 객체·사용자·그룹으로든 바꿀 수 있고, DLP 전용으로 사용자 정의를 정밀 조정할 수도 있습니다.

도메인 객체 만들기

Gmail·Hotmail 같은 특정 도메인을 Source나 Destination으로 쓰려면 도메인 객체를 만듭니다.

부서별로 다른 규칙 만들기

규칙의 Source 를 특정 사용자·그룹·호스트·네트워크·VPN으로 두고, Destination 을 Outside 로 두면, 그 규칙은 Source에서 그 Source의 바깥 어디로든 가는 데이터 전송 을 검사합니다. 이렇게 한 사용자 그룹에 특화된 DLP 규칙 이 만들어집니다.

또는 Destination을 다른 사용자·그룹·호스트 등으로 두면, 두 사용자 그룹 사이의 데이터 전송 을 검사·통제하는 규칙이 됩니다.

예시 1 — 재무 부서가 급여 정보를 직원에게 흘리지 못하게

예시 2 — 정규직이 임시직에게 고객 목록을 보내지 못하게

예시 3 — 부서마다 다른 규칙

법무(Legal) 부서는 법률 회사에 기밀 법률 문서를 보냅니다. 그 회사로는 보낼 수 있어야 하지만, 내부든 외부든 다른 누구에게도 새 나가면 안 됩니다. HR은 법률 계약서를 모든 직원에게 보내야 하지만, 조직 외부로 새 나가면 안 됩니다. 그 밖의 모든 부서는 회사 템플릿 기반 법률 문서를 누구에게도 보낼 이유가 없되, HR에 계약서를 회신하는 경우만 예외 입니다.

DMZ 격리하기 (Isolating the DMZ)

DLP가 DMZ로 가는 데이터 전송을 검사하게 하려면, DMZ를 My Organization의 외부(external)로 구성 합니다. 예컨대 PCI DSS(Payment Card Industry Data Security Standard)의 요구사항 1.4.1은, 보안된 내부 데이터 접근 지점으로/에서 직접적인 인터넷 트래픽을 막기 위해 환경에 DMZ를 포함하도록 요구합니다.

My Organization에서 DMZ로 가는 트래픽이 DLP 검사를 받게 하려면:

가장 엄격한 보안 정의하기 (Defining Strictest Security)

가능한 한 가장 엄격한 환경을 정의할 수도 있습니다. 이 설정을 쓰면 보안된 환경 안에서·안으로 일어나는 전송이라도 항상 DLP 검사 를 받습니다.

엄격한 My Organization을 정의하는 방법:

DLP 정책의 각 규칙은 데이터 전송의 Protocol(프로토콜) 정의를 갖습니다. 기본값은 Any(켜진 모든 프로토콜에 대해 DLP가 전송을 스캔) 입니다. DLP가 지원하는 프로토콜은 전체 차원(in general), 게이트웨이별, 규칙별 세 수준에서 조절할 수 있습니다.

전체 차원에서 지원 프로토콜 지정

예컨대 성능이 문제가 되면 여기서 HTTP 체크박스를 해제 해, 정책을 달리 건드리지 않고도 HTTP 게시와 웹메일을 DLP 검사 없이 통과 시킬 수 있습니다.

개별 DLP 게이트웨이의 지원 프로토콜 지정

규칙별 지원 프로토콜 지정

규칙의 다른 조건에는 맞지만 다른 프로토콜로 보내진 트래픽은 검사되지 않 습니다.

프로토콜에 맞춘 정밀 조정 (Fine Tuning for Protocol)

규칙에 특정 Source나 Destination을 지정하면, 선택한 프로토콜에 맞춰 규칙을 최적화 할 수 있습니다. 기본적으로 규칙은 모든 지원 프로토콜, 또는 Security Gateway에 선택된 기본 프로토콜(Check Point Security Gateway 창에서)을 씁니다.

HTTP 포트 추가하기 (Configuring More HTTP Ports)

표준 HTTP 포트(80, 8080) 외의 다른 포트에서 도는 HTTP 전송을 스캔하려면, 비표준 포트를 HTTP 프로토콜에 포함하도록 정의 해야 합니다.

DLP Portal 과 UserCheck 를 쓰려면, 사용자가 DLP 게이트웨이에 접근할 수 있어야 합니다. 기본적으로 사용자는 게이트웨이의 내부 인터페이스로만 접근할 수 있고, 외부 인터페이스로는 접근할 수 없 습니다.

사용자 접근은 SmartConsole에서 DLP 게이트웨이 객체의 Data Loss Prevention 페이지 안 Accessibility 섹션에서 구성합니다. 선택지는 다음과 같습니다.

예컨대 원격 사이트나 원격 사용자가 DLP 게이트웨이에 접근하게 하려면, 해당 VPN Community에서 DLP 게이트웨이로 가는 UserCheck 서비스(포트 18300)와 HTTPS(포트 443) 접근을 허용하는 규칙을 추가 합니다. 또 SMTP 통신을 허용할 Source IP 주소 도 정의할 수 있는데, 이는 보통 사용자로부터 이메일을 받는 Mail Server 입니다.

전용(dedicated) DLP 게이트웨이 는 미리 정의된 고정 내부 방화벽 정책(Internal Firewall Policy)을 적용 합니다. 이 정책은 DLP Portal·UserCheck·SMTP 같은 UserCheck 서비스에 사용자가 접근 하게 해 주며, 묵시적 규칙(implied rules) 으로 구성됩니다.

이 내부 방화벽 정책은, 관리자가 SmartConsole의 Data Loss Prevention 탭 Policy 페이지에서 정의하는 DLP Policy 와도 무관 하고, SmartConsole에서 명시적으로 정의하는 Access Control Policy 와도 무관 합니다.

Install Policy를 하면 게이트웨이 유형에 따라 적용 대상이 다릅니다.

내부 방화벽 정책은 DLP 게이트웨이에서 다음 서비스·포트만(그 외에는 일절 안 됨) 사용자가 접근 하게 합니다.