08Desktop SecurityDesktop Security

Endpoint Security VPN 처럼 Desktop Security를 포함하는 Check Point 클라이언트는, 클라이언트 자신에게 Desktop Security Policy 를 적용해 방화벽 보호 를 제공합니다. 정책은 관리자가 직접 정의합니다 — SmartDashboard 의 Desktop Rule Base 에 규칙을 만들고, 그 규칙을 특정 사용자 그룹에 배정하거나 모든 사용자에게 적용합니다.

정책이 단말까지 전달되는 흐름은 이렇습니다.

위 그림에 등장하는 구성 요소는 다음과 같습니다.

Desktop Security Policy는 두 방향의 규칙으로 나뉩니다.

각 규칙은 트래픽을 출발지·목적지·서비스 로 정의하고, 일치하는 트래픽에 적용할 동작(Action) 을 지정합니다. 각 항목의 의미는 다음과 같습니다.

여기서 반드시 기억할 규칙 이 하나 있습니다. 조직 내부의 컴퓨터로 가는 연결(예: 게이트웨이의 VPN 도메인에 속한 모든 컴퓨터)은, 규칙이 단순히 Accept로 통과시키는 경우라 하더라도 자동으로 암호화 됩니다.

Implied Rules(암묵 규칙)

관리자가 직접 정의한 규칙 외에도, Desktop Security Policy에는 Inbound·Outbound 정책의 맨 끝에 자동으로 추가되는 암묵 규칙 이 있습니다. 이 규칙은 앞선 규칙에 걸리지 않은 나머지 트래픽을 어떻게 처리할지 결정합니다.

이 둘의 비대칭이 핵심입니다 — 나가는 것은 기본 허용, 들어오는 것은 기본 차단 이 단말 방화벽의 기본 자세입니다.

User Granularity(사용자 단위 세분화)

원격 사용자마다 위치(Location) 와 사용자 그룹(User Group) 에 따라 서로 다른 규칙을 적용할 수 있습니다.

여기서 알아 둘 점은, 규칙은 개별 사용자가 아니라 사용자 그룹에 적용 된다는 것입니다. 그런데 클라이언트 자체는 사용자 그룹을 알지 못하므로, 연결할 때 게이트웨이로부터 그룹 정의를 받아 와야 합니다. 동작은 이렇습니다 — 게이트웨이가 인증된 사용자의 사용자 그룹을 해석(resolve)해 그 정보를 클라이언트에 보내 면, 클라이언트는 그 사용자가 속한 그룹에 해당하는 규칙을 적용합니다. 규칙은 RADIUS 서버의 radius 그룹 에도 적용할 수 있습니다.

Default Policy(기본 정책)

클라이언트가 시작된 직후, 아직 Policy Server에 연결하기 전에는 기본 정책(default policy) 을 적용 합니다. 이 시점에는 클라이언트가 사용자가 어느 그룹에 속하는지 아직 모르기 때문입니다. 기본 정책은 Policy Server에서 마지막으로 내려받은 정책 중 "모든 사용자"용으로 정의된 규칙 으로 구성됩니다. Policy Server에서 갱신된 정책(그리고 현재 사용자의 그룹 정보)을 내려받기 전까지 이 기본 정책이 유지됩니다.

클라이언트가 Policy Server와의 연결을 잃으면, 연결이 복구되어 정책을 다시 내려받을 때까지 기본 정책을 적용 합니다.

Known Limitations(알려진 제한)

가상 데스크톱 인프라(VDI, Virtual Desktop Infrastructure) 안에서 Remote Access VPN 클라이언트(Check Point Mobile Access Client 포함)를 실행하는 것은 지원되지 않 습니다.

게이트웨이를 Policy Server로 켜기

Security Gateway가 Desktop Security용 Policy Server 역할을 하도록 활성화하는 절차입니다.

Desktop Security 정책 활성화하기

Desktop Policy 규칙 구성하기

Rule Base 다루기

Desktop Security Policy를 정의할 때, 규칙은 순서대로 처리 됩니다 — 앞선 규칙이 차단한 것은 뒤에서 다시 허용할 수 없습니다. Rule Base의 우클릭 메뉴에는 다음 옵션이 있습니다.

Active FTP용 규칙 만들기

클라이언트가 active FTP 를 쓴다면, 필요한 서비스를 명시적으로 허용하는 규칙을 Desktop Security Policy에 추가해야 합니다. 이때 ftp-pasv 가 아닌 active FTP 서비스 중 하나 를 선택합니다. 절차는 다음과 같습니다.

Policy Server 는 General Properties > Network Security 탭에서 켜면 Security Gateway에 설치 되며, Desktop Security Policy의 저장소(repository) 역할을 합니다. 클라이언트 컴퓨터는 자신의 Desktop Security Policy를 이 Policy Server에서 내려받습니다. 클라이언트가 사이트에 연결하거나 재인증할 때마다, 자동으로 Policy Server에 업데이트가 있는지 확인하고 내려받 습니다.

위치 기반 정책은 Desktop Firewall에 위치 인식(Location Awareness) 기능을 더해 줍니다. 두 가지 정책이 있습니다.

Desktop Firewall의 위치 기반 정책은 기본적으로 비활성화 되어 있습니다.

Location Awareness 구성하기

Location Awareness는 클라이언트 구성 파일의 두 가지 속성을 기준으로 동작합니다.

disconnected_in_house_fw_policy_mode 의 두 값은 다음을 뜻합니다.

Desktop Firewall에 Location Awareness를 켜려면 다음과 같이 합니다.

:disconnected_in_house_fw_policy_enabled (
:gateway (disconnected_in_house_fw_policy_enabled
:default (true)
)
)

위치 기반 정책의 모드를 설정하려면 다음과 같이 합니다.

:disconnected_in_house_fw_policy_mode (
:gateway (disconnected_in_house_fw_policy_mode
:default (encrypt_to_allow)
)
)

Desktop Security 로그는 클라이언트 컴퓨터에 로컬로 저장 됩니다. 위치는 시스템 비트 수에 따라 다릅니다.

C:\Program Files\CheckPoint\Endpoint Connect\trac_fwpktlog.log

C:\Program Files(x86)\CheckPoint\Endpoint Connect\trac_fwpktlog.log

알림(Alerts)은 저장되었다가 클라이언트가 연결될 때 Security Management Server로 업로드 됩니다. 업로드된 알림은 SmartConsole의 Logs & Events 뷰의 Logs 탭에서 볼 수 있습니다.

기본적으로 Desktop Firewall은 클라이언트로 오는 IPv6 트래픽을 허용 합니다. 클라이언트로 오는 IPv6 트래픽을 차단하려면 다음과 같이 합니다.

$FWDIR/conf/trac_client_1.ttm

:allow_ipv6 (
:gateway (allow_ipv6
:default (false)
)
)

Desktop Policy는 무선 핫스팟을 지원 할 수 있습니다. 다만 환경에 따라 프록시가 필요할 수도 있습니다.

경우에 따라 Endpoint Security VPN 사용자가 자기 컴퓨터에서 방화벽 정책을 직접 끌 수 있게 허용할 수 있습니다. 이 옵션을 켜면, 사용자가 클라이언트 아이콘을 우클릭해 Disable Security Policy 를 선택 할 수 있게 됩니다. 다만 이는 단말 보호를 약화시키므로 신중히 적용해야 합니다.

Allow disable firewall 설정을 바꾸려면 다음과 같이 합니다.

Policy Server에서 이중 인증 피하기

Policy Server High Availability 를 쓸 때는, 사용자가 한 Security Gateway로 조직에 접속하면서 정작 Policy Server는 다른 모듈에 설치되어 있는 상황이 생길 수 있습니다. 이렇게 되면 사용자가 인증을 두 번 받게 됩니다 — 한 번은 Security Gateway 모듈에, 또 한 번은 Policy Server에.

만약 어떤 사용자가 평소 특정 Security Gateway를 통해 접속하고 그 게이트웨이에 Policy Server 모듈이 설치되어 있다면, 이 이중 인증을 피할 수 있습니다. 사용자 프로필을 "모든 Policy Server 중 High Availability, 선택한 것 먼저 시도(High Availability among all Policy Servers, trying selected first)" 로 구성하고, 기본 Policy Server를 그 사용자가 평소 접속하는 게이트웨이로 지정 하면 됩니다. 그러면 사용자가 Security Gateway에 인증한 뒤, 그 게이트웨이에 설치된 Policy Server에서 보안 정책을 자동으로 내려받을 권한을 얻습니다.

Desktop Security 정책은 보안과 편의 사이의 균형 을 잡아 계획해야 합니다. 사용자가 가능한 한 자유롭게 일하게 하되, 동시에 원격 사용자의 컴퓨터를 공격하기는 어렵게 만들어야 합니다. 다음은 정책을 짤 때 꼭 새겨 둘 핵심입니다.

정리하면, Desktop Security는 보호망 밖의 원격 단말에 중앙 관리 방화벽 정책을 입혀, 단말 자신과 그 단말을 통한 내부망 침투를 함께 막는 기능입니다. 단말이 정책에 맞게 구성됐는지까지 검증하려면 SCV를 함께 씁니다.