10Threat Prevention·UserCheckThreat Prevention·UserCheck

관리 서버에서도 봇·바이러스 등을 검사하는 Threat Prevention 정책 을 만들지만, 그 자세한 구성은 별도의 R82 Threat Prevention 관리자 가이드 에서 다룹니다(Threat Prevention 가이드). 정책 관리 기초에서 봤듯 Threat Prevention은 IPS·Anti-Bot·Anti-Virus·Threat Emulation·Threat Extraction·Zero Phishing 을 포함하며, Policy Package에 담겨 게이트웨이에 설치됩니다.

UserCheck 를 켜면, 관리자가 보안 정책에 만들어 둔 규칙에 따라 게이트웨이가 사용자에게 직접 메시지를 보내 위험한 인터넷 사용이나 규정에 어긋날 수 있는 행동을 알립니다. 이렇게 사용자가 스스로 보안 사고를 막고 조직의 보안 정책을 익히 게 돕습니다. UserCheck 객체를 만들어 Rule Base에서 사용자와 소통하고, 기록된 사용자 응답을 바탕으로 효과적인 정책을 다듬 을 수 있습니다.

UserCheck 기능을 지원하는 Software Blade는 다음과 같습니다.

UserCheck는 게이트웨이 객체에서 직접 켜고 끕니다. 사용자가 게이트웨이에 원격으로 접속한다면, 게이트웨이의 내부 인터페이스(Topology 페이지)를 UserCheck 포털의 Main URL과 동일하게 맞춰 두어야 합니다.

게이트웨이에서 UserCheck를 구성하는 순서는 다음과 같습니다.

인증서(Certificate) 설정

기본적으로 포털은 Check Point 내부 인증 기관(ICA)의 인증서 를 씁니다. 그런데 사용자 브라우저가 Check Point를 신뢰하는 인증 기관으로 인식하지 못하면 경고가 뜰 수 있습니다. 이 경고를 막으려면 공인된 외부 기관에서 발급받은 인증서를 직접 import 하세요.

접근성(Accessibility) — 어느 인터페이스로 들어오는가

여기서 고른 옵션은 게이트웨이에 설정된 토폴로지를 기반 으로 하므로 토폴로지가 먼저 구성되어 있어야 합니다. 사용자가 다음 경로로 접속할 때 UserCheck 포털로 보내집니다.

메일 서버(Mail Server)

메일 서버는 게이트웨이가 다른 방법으로 알릴 수 없는 사용자에게 이메일로 알림을 보낼 때 쓰입니다(서버가 그 사용자의 이메일 주소를 알고 있는 경우). 예를 들어 사용자가 보낸 메일이 규칙에 걸렸다면, 그 트래픽은 HTTP가 아니므로 게이트웨이가 사용자를 UserCheck 포털로 리디렉션할 수 없습니다. 이때 사용자에게 UserCheck Client 가 없으면 UserCheck가 이메일 알림을 보냅니다.

암호화 트래픽용 샘플 규칙

내부 인터페이스로 암호화된 트래픽이 흐른다면, Access Control 정책의 Firewall Layer에 아래 같은 규칙을 추가합니다.

규칙을 추가했다면 Access Control 정책을 설치합니다.

UserCheck Interaction 객체는 게이트웨이가 사용자와 소통하는 메시지 틀 입니다. 이 객체는 조직 보안에 위험할 수 있는 결정을 사용자가 내릴 때 돕고, 웹 애플리케이션·사이트에 대한 회사의 인터넷 정책을 실시간으로 공유 합니다. UserCheck가 켜져 있으면 사용자의 브라우저에 새 창 으로 메시지가 뜹니다.

UserCheck 페이지에는 기본 메시지가 들어 있고, 이를 편집·미리보기할 수 있습니다. 기본 객체를 보려면 SmartConsole에서 Security Policies > Access Control > Access Tools > UserCheck 로 갑니다. 필요에 따라 객체를 더 만들 수 있습니다.

UserCheck Interaction 객체를 만드는 순서는 다음과 같습니다.

세 가지 객체 유형

동적 필드와 사용자 입력 요소

Source 모드 본문에서 다음을 넣을 수 있습니다.

Settings 옵션

Settings 에서 다음을 구성할 수 있습니다.

모든 이메일 클라이언트가 리치 텍스트나 HTML 형식 을 다룰 수 있는 것은 아닙니다. 이런 클라이언트까지 배려하려면, 게이트웨이가 HTML과 함께 이미지 없는 일반 텍스트(plain text) 알림도 보내도록 설정할 수 있습니다. 그러면 사용자의 이메일 클라이언트가 어느 형식을 보여 줄지 스스로 결정 합니다.

   cp -v $FWDIR/conf/usrchkd.conf{,_BKP}
   

   vi $FWDIR/conf/usrchkd.conf
   

   :send_emails_with_no_images (false)
   

→

   :send_emails_with_no_images (true)
   

   killall userchkd
   

UserCheck Client 는 단말 컴퓨터에 설치되어 게이트웨이와 통신하고 사용자에게 알림을 보여 줍니다. 특히 Skype, iTunes, 브라우저 추가 기능(라디오 툴바 등)처럼 웹 브라우저가 아닌 애플리케이션 의 알림을 보냅니다. 또 UserCheck 포털과 함께 동작해, 다음 같은 경우에 컴퓨터 자체에서 알림을 띄웁니다.

사고 알림은 시스템 트레이의 UserCheck Client에서 팝업 으로 뜨고, 사용자는 메시지의 옵션을 골라 실시간으로 응답합니다.

설치·구성 전체 흐름

UserCheck Client가 있는 환경에서 게이트웨이는 클라이언트의 서버 역할 을 합니다. 각 클라이언트는 서버를 찾아내고(discover), 그 서버와 신뢰(trust)를 맺 어야 합니다.

신뢰를 맺을 때 클라이언트는 SSL 핸드셰이크 중 계산한 서버 지문(fingerprint)을 기대값과 비교 해 올바른 서버인지 확인합니다. 지문이 기대값과 다르면 클라이언트는 사용자에게 직접 서버가 맞는지 확인 하라고 요청합니다.

클라이언트가 서버를 찾아 신뢰하는 방법은 네 가지입니다. 각 방식의 특성을 비교하면 다음과 같습니다.

1) 파일 이름 기반(File name based)

다른 방법을 구성하지 않은 기본(out-of-the-box) 상태 에서는, 포털에서 내려받은 모든 UserCheck Client 파일 이름에 포털 머신의 IP 주소 가 들어갑니다. 설치 중 클라이언트는 이 IP로 게이트웨이에 접속합니다. 단, 사용자가 Trust 를 눌러 서버를 수동으로 신뢰 해야 합니다.

가장 설정하기 쉽고 기본 상태로 바로 동작하므로, 관련 Software Blade가 켜진 게이트웨이가 하나뿐 일 때 쓰기 좋습니다.

동작 원리는 이렇습니다. 사용자가 클라이언트를 내려받으면 파일 이름에 게이트웨이 주소가 들어갑니다. 설치 중 클라이언트는 다른 탐색 방법(AD·DNS·로컬 레지스트리)이 구성돼 있는지 확인하고, 없으면서 게이트웨이에 닿을 수 있으면 그 게이트웨이를 서버로 씁니다. UserCheck Settings 창에서 연결한 서버가 파일 이름 속 게이트웨이와 같은지 볼 수 있습니다. 파일 이름은 쉽게 바뀔 수 있으므로, 사용자가 신뢰 데이터가 유효한지 직접 확인 해야 합니다.

MSI 이름 바꾸기

설치 전에 MSI 파일 이름을 직접 바꿔 클라이언트를 다른 게이트웨이에 연결 할 수 있습니다.

알림 포트 번호까지 넣으려면 다음 형식을 씁니다.

예:

2) Active Directory 기반(AD based)

클라이언트 컴퓨터가 Active Directory 도메인의 멤버 이고 그 도메인에 관리 권한이 있다면, Distributed Configuration 도구로 연결·신뢰 규칙을 구성할 수 있습니다. 이 도구에는 세 개의 창이 있습니다.

클라이언트에 AD 기반 구성을 적용하는 순서입니다.

   "C:\Users\%USERNAME%\Local Settings\Application Data\Checkpoint\UserCheck\UserCheck.exe" -adtool
   

Check Point UserCheck - Distributed Configuration 도구가 열립니다. 2. Welcome 페이지에서 AD 관리자 자격 증명 을 입력합니다. 기본적으로 현재 AD 사용자 이름이 표시됩니다. 관리자 권한이 없으면 Change user 를 눌러 관리자 자격 증명을 입력합니다. 3. Server Configuration 페이지에서 Add 를 누릅니다. Identity Server Configuration 창이 열립니다. 4. Default 를 선택하고 Add 를 누릅니다. 5. 게이트웨이의 IP 주소 또는 FQDN 과 포트를 입력합니다. 6. OK 를 누릅니다. UserCheck Client용 AD 서버의 정체가 Active Directory에 기록되어 모든 클라이언트에 전달 됩니다.

서버 구성 규칙(Server Configuration Rules)

Distributed Configuration 도구에서 클라이언트를 Automatically discover the server 로 구성하면, 클라이언트는 규칙 목록을 가져와 위에서 아래로 자신과 맞는 규칙을 찾 습니다. 규칙이 맞으면 그 규칙에 표시된 서버를 지정된 우선순위에 따라 씁니다. 예시는 다음과 같이 해석됩니다.

Add·Edit·Remove 버튼으로 서버 연결 규칙을 바꿉니다.

신뢰된 게이트웨이(Trusted Gateways)

Trusted Gateways 창은 신뢰된 서버 목록 을 보여 줍니다 — 사용자가 이 서버에 연결할 때는 메시지가 뜨지 않습니다. 서버를 추가·편집·삭제할 수 있고, 서버에 연결할 수 있으면 이름과 지문을 가져올 수 있습니다. Server Trust Configuration 창에서 IP를 입력하고 Fetch Fingerprint 를 누르세요. 연결할 수 없으면 그 서버에 연결할 때 표시되는 것과 같은 이름·지문 을 직접 입력합니다.

3) DNS SRV 레코드 기반(DNS based)

DNS 서버에 서버 주소를 구성하는 방식입니다. 이때도 사용자가 Trust 를 눌러 서버를 수동으로 신뢰 해야 합니다.

클라이언트를 Automatic Discovery(기본값) 로 두면, 클라이언트는 게이트웨이 주소를 묻는 DNS SRV 질의 로 서버를 찾습니다(DNS 접미사는 자동으로 붙음). DNS 서버에서 그 주소를 구성하면 됩니다.

DNS 서버에서 구성하는 순서입니다.

게이트웨이의 Load Sharing 을 구성하려면 우선순위가 같은 SRV 레코드를 여러 개 만들고, High Availability 를 구성하려면 우선순위가 다른 SRV 레코드를 여러 개 만듭니다.

DNS 기반 구성 문제 해결

DNS 기반 구성에 문제가 있을 때는 DNS 서버에 저장된 SRV 레코드 를 확인할 수 있습니다. 다음을 실행하세요.

C:\> nslookup
 > set type=srv
 > checkpoint_dlp._tcp

결과 예시는 다음과 같습니다.

C:\> nslookup
 > set type=srv
 > checkpoint_dlp._tcp
Server: dns.company.com
Address: 192.168.0.17
checkpoint_dlp._tcp.ad.company.com SRV service location:
          priority = 0
          weight = 0
          port = 443
          svr hostname = dlpserver.company.com
dlpserver.company.com internet address = 192.168.1.212
>

4) 원격 레지스트리(Remote Registry)

클라이언트의 모든 구성(서버 주소·신뢰 데이터)은 레지스트리 에 들어 있습니다. GPO 등 레지스트리를 원격으로 제어하는 시스템 으로 클라이언트 설치 전에 값을 미리 넣어 두면, 클라이언트가 설치 직후 바로 그 구성을 씁니다.

원격 레지스트리 옵션을 구성하는 순서입니다.

     HKEY_CURRENT_USER\SOFTWARE\CheckPoint\UserCheck\Trusted Gateways
     

안의 키 Default Gateway 와 DefaultGatewayEnabled 5. UserCheck Client를 설치하기 전에 내보낸 키를 단말 컴퓨터로 가져옵니다.

클라이언트가 게이트웨이에 연결하도록 구성했다면, 사용자 컴퓨터에 클라이언트를 설치합니다. 먼저 게이트웨이에서 UserCheck Client MSI 파일을 다음 두 방법 중 하나로 가져옵니다.

방법 1 — SCP 클라이언트로 게이트웨이에서 내려받기

방법 2 — SmartConsole의 게이트웨이 객체에서 내려받기

파일을 받았으면 원하는 MSI 대량 배포·설치 방법 으로 단말에 설치합니다. 예를 들어 설치 링크가 담긴 이메일 을 보내고, 사용자가 링크를 누르면 MSI가 자동으로 설치되게 할 수 있습니다.

기본 제거 절차

수동 제거 절차

Start 메뉴에 Uninstall 바로 가기가 없다면 아래 두 절차 중 하나를 씁니다.

Windows Installer로 수동 제거

   %SystemRoot%\SysWOW64\msiexec.exe /x {<Windows 레지스트리에서 복사한 GUID>}
   

예시:

   C:\Windows\SysWOW64\msiexec.exe /x {AAD3D77A-7476-469F-ADF4-04424124E91D}
   

참고 자료: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/msiexec 4. Windows 명령 프롬프트를 엽니다(Start 메뉴 → cmd, 또는 Windows + R → cmd → Enter). 5. 준비한 구문을 붙여넣고 Enter를 누릅니다. 6. 단말 컴퓨터를 재시작합니다.

단말에서 수동으로 삭제

게이트웨이에서 DLP용 UserCheck 가 켜져 있으면, 사용자는 클라이언트 설치 뒤 사용자 이름과 암호를 입력 해야 합니다.

클라이언트를 처음 설치하면 트레이 아이콘이 연결되지 않음 을 나타내고, 게이트웨이에 연결되면 활성(active) 상태를 보여 줍니다. 처음 연결할 때 클라이언트는 게이트웨이 지문을 승인 하라고 사용자에게 요청합니다.

DLP용 UserCheck Client 설치를 사용자에게 안내하는 메시지 예시입니다.

Dear Users,
Our company has implemented a Data Loss Prevention automation to
protect our confidential data from unintentional leakage. Soon you
will be asked to verify the connection between a small client that
we will install on your computer and the computer that will send
you notifications.
This client will pop up notifications if you try to send a message
that contains protected data. It might let you to send the data
anyway, if you are sure that it does not violate our data-security
guidelines.
When the client is installed, you will see a window that asks if
you trust the DLP server. Check that the server is SERVER NAME and
then click Trust.
In the next window, enter your username and password, and then
click OK.

UserCheck를 Check Point 암호(Check Point Password) 로 인증하도록 켜는 방법입니다.

1) SmartConsole 구성

사용자 객체가 이미 있다면 - 해당 User 객체를 더블클릭합니다. - 왼쪽에서 General 을 클릭합니다. - General properties 섹션에서 유효한 이메일 주소 가 설정돼 있는지 확인합니다. - OK 를 누릅니다.

사용자 객체가 아직 없다면 - 필요한 User Template 객체가 있는지 확인합니다. 없으면 상단 도구막대에서 New > Users/Identity > User Template 로 만들고 OK 를 누릅니다. - 상단 도구막대에서 New > Users/Identity > User 를 누릅니다. - 필요한 User Template을 선택하고 OK 를 누릅니다. - 다음을 구성합니다 — 상단에 객체 이름, General 페이지에 유효한 이메일 주소, Authentication 페이지의 Authentication Method에서 Check Point Password 선택 후 Set new password 로 암호 입력 후 OK. - OK 를 누릅니다. 4. Object Explorer 창을 닫습니다.

2) UserCheck Client 구성

사용자가 UserCheck Client 문제 해결에 도움이 필요하면, 로그를 보내 달라고 요청할 수 있습니다.

클라이언트가 로그를 생성하도록 구성

단말에서 로그 보내기

UserCheck 포털의 현지화(localizing)와 맞춤(customizing)에 대한 자세한 내용은 sk83700을 보세요.

이 장의 UserCheck Client는 단말 측 도구이므로, 게이트웨이 쪽 소프트웨어 블레이드 설명은 Security Gateway 가이드의 UserCheck에서도 함께 다룹니다.