05Custom — 프로파일·규칙 구성Custom — 프로파일·규칙 구성

Threat Prevention 페이지는 정책의 규칙과 예외를 보여 줍니다. 규칙은 보호 대상 범위(protected scope)로 정의한 네트워크 객체나 위치에 대해 어떤 Threat 프로파일 을 적용할지 정합니다. 시작은 간단합니다 — Add Rule 버튼을 눌러 규칙을 추가하면 됩니다. 지정한 규칙의 Threat Prevention 동작은 Threat Prevention 프로파일 안에서 세부 구성합니다. 봇과 보호에 대해 더 알고 싶다면 ThreatWiki 를 둘러보세요.

각 블레이드의 역할 자체는 솔루션 개요에서 본 그대로이며, 프로파일은 그 보호들을 조율하는 손잡이입니다. 더 깊은 엔진 설정(Allow List·고급 엔진 옵션 등)은 Custom — 고급 설정에서 다룹니다.

메일 트래픽 검사 동작은 프로파일의 Mail 페이지에 둡니다. 어떤 블레이드가 SMTP 트래픽을 검사할지, 악성 메일을 막을지 허용할지, 허용한다면 어떻게 무해화할지를 여기서 정합니다.

General — 어떤 블레이드로 메일을 검사할까

Options 에서 세 가지 검사를 켤 수 있습니다. 각 항목은 해당 블레이드가 함께 켜져 있어야만 동작합니다.

MTA Gateway에서의 악성 메일 정책

Malicious Email Policy on MTA Gateways 절에서는 악성으로 판정된 메일을 차단(Block)할지 허용(Allow)할지 를 결정합니다. 허용하기로 했다면 아래 옵션을 하나 또는 여럿 함께 선택할 수 있습니다.

  X-Check Point-verdict: <verdict>; confidence: <confidence>
  

예: X-Check Point-verdict: malicious; confidence: high. 이 옵션을 쓰면 MTA의 Next Hop 이 특정 X-Header가 붙은 메일을 모두 격리(quarantine)하도록 구성할 수 있습니다. - Add a prefix to the email subject — 악성 메일의 제목 앞에 접두어 를 붙입니다. 예를 들어 "이 메일은 악성입니다" 같은 경고 문구를 넣을 수 있습니다. Configure 로 접두어를 편집합니다. - Add customized text to the email body — 메일 본문 앞에 템플릿 기반의 섹션을 추가합니다. 악성으로 판정되었거나 검사에 실패한 링크·첨부의 판정 결과(verdict)를 선택적 자리표시자로 넣을 수 있습니다. 링크는 무해화된 형태로, 첨부는 파일명만 표시됩니다. Configure 로 템플릿을 편집합니다.

Send a copy to the following list — 이 옵션은 악성 메일을 허용하든 차단하든 모두 사용할 수 있습니다. 원본 메일(악성 첨부·링크 포함)을 새 메일에 첨부해 보내는데, 그 새 메일에는 무해화된 링크와 첨부 파일명이 담긴 판정 목록과 SMTP 봉투(envelope) 정보가 들어갑니다. 메일 내용은 Gateway에서 구성할 수 있으며, 연구·조사 목적 으로 활용합니다.

Use Case — 악성 메일을 건건이 판단하고 싶을 때(외부 격리)

Mail 페이지의 설정으로 악성 메일을 차단하거나 허용할 수 있지만, 모든 악성 메일에 대해 전역 결정을 내리지 않고 메일마다 따로 판단 하고 싶을 때가 있습니다. 이때는 Threat Emulation이 메일을 허용하되 곧바로 수신자에게 보내지 않고, 검토 후 차단/허용을 결정할 수 있는 컨테이너에 보관 하는 체계를 만듭니다.

악성 메일용 외부 격리를 구성하려면 다음 순서를 따릅니다.

이렇게 한 뒤 Next Hop 에서는 MTA가 X-Header로 표시한 메일을 모두 격리하는 규칙을 구성합니다. 그러면 격리된 메일을 원본 그대로 Next Hop에서 살펴보고, 검토 후 허용할지 차단할지 결정할 수 있습니다.

Exceptions — 특정 주소를 검사에서 제외

특정 이메일 주소를 Threat Emulation이나 Threat Extraction 보호에서 제외할 수 있습니다.

Threat Emulation에서 메일 제외 는 다음과 같이 합니다.

Threat Extraction에서 메일 제외 는 다음과 같이 합니다.

여기서 쓰이는 개념은 다음과 같습니다.

Signed Email Attachments — 디지털 서명 메일

서명된 메일은 암호화되는 것이 아니라, 메일 내용에 발신자를 인증하는 서명 이 붙는 것입니다. 받은 메일이 보낸 메일과 다르면 수신자에게 경고가 뜨고 디지털 서명은 더 이상 유효하지 않습니다.

MIME Nesting — 메일 속 메일 검사 깊이

선택적 설정입니다. 스캔할 MIME 중첩 단계(nesting level) 의 최대 수를 정합니다(중첩 단계란 메일 안의 메일을 뜻합니다). 이 설정은 Anti-Virus·Threat Emulation·Threat Extraction 에 공통 으로 적용됩니다.

IPS 보호를 프로파일 단위로 세부 조정합니다. 기본 절차는 다음과 같습니다.

Additional Activation Fields — 보호를 개별로 켜고 끄기

더 세밀하게 제어하려면 프로파일의 Additional Activation 절에서 활성화할 IPS 보호와 비활성화할 보호를 직접 선택 할 수 있습니다. IPS 보호는 검색을 쉽게 하도록 Product, Vendor, Threat Year 같은 태그(카테고리)로 정리되어 있습니다. Gateway는 활성화된 보호만 적용하고 비활성화된 보호는 적용하지 않으며, 이는 일반 프로파일 보호 설정과 무관 합니다.

다만 이 카테고리는 활성화 모드 임계값(Confidence·Severity·Performance)을 충족하는 보호만 걸러 내거나 추가합니다. 예를 들어 어떤 보호가 Performance 등급 때문에 비활성 상태라면, 그 카테고리가 Protections to activate 에 들어 있어도 켜지지 않습니다.

Updates — 새로 갱신된 보호를 어떻게 다룰까

IPS에는 보호가 매우 많아서 환경에 맞는 것을 파악하는 데 시간이 걸립니다. 일부는 기본 보안을 위해 손쉽게 구성할 수 있고 안전하게 자동 활성화할 수 있습니다. 프로파일에서 새로 갱신된 IPS 보호에 대한 업데이트 정책 을 IPS > Updates 페이지에서 정할 수 있습니다. Newly Updated Protections 에 대해 다음 중 하나를 고릅니다.

Pre-R80 Settings — 구버전 Gateway 전용

Pre-R80 설정은 Pre-R80 Security Gateway에만 해당됩니다.

Protections Activation 에서 다음 유형의 보호를 활성화합니다.

네트워크에 클라이언트만 있거나 서버만 있다면, 불필요한 보호를 끄는 것으로 Gateway 성능을 높일 수 있습니다. Client Protections 와 Server Protections 를 둘 다 선택하면 다음을 제외한 모든 보호가 활성화됩니다.

Excluded Protections Categories 의 Do not activate protections of the following categories — 여기서 선택한 IPS 보호 카테고리는 자동으로 활성화되지 않으며, 이 프로파일을 동작(Action)으로 쓰는 Threat Prevention 규칙에서 제외됩니다.

Protection Browser — 보호 둘러보기

Protection Browser 는 Threat Prevention 블레이드의 보호 유형과 중요한 정보·사용 지표 요약을 보여 줍니다. 요약 표의 기본 열은 다음과 같습니다.

Severity — 심각도

Critical·High Severity 보호는 활성화 하는 것이 원칙입니다(굳이 끄고 싶은 분명한 이유가 없는 한). 예를 들어 어떤 보호가 Severity: High, Performance Impact: Critical 이라면, 활성화하기 전에 그 보호가 환경에 정말 필요한지 확인하세요.

Confidence Level — 확신 수준

어떤 공격은 다른 것보다 덜 심각하며, 정상 트래픽이 위협으로 잘못 인식되기도 합니다. Confidence는 그 보호가 해당 공격을 얼마나 정확히 인식 하는지를 나타냅니다. 이 값은 Gateway의 연결 문제를 진단하는 데도 쓰입니다. 정상 트래픽이 어떤 보호에 막혔는데 그 보호의 Confidence가 Low 라면, 그 보호에 더 세밀한 구성이 필요하다는 좋은 신호 입니다.

Performance Impact — 성능 영향

어떤 보호는 자원을 더 많이 쓰거나 흔한 트래픽 유형에 적용되어 Gateway 성능에 악영향 을 줍니다.

예를 들어, Critical/High Performance Impact 보호는 Critical/High Severity 가 아니거나 꼭 필요하다고 확신하지 않는 한 켜지 않는 편이 좋습니다. 트래픽 부하가 큰 Gateway라면, 클라이언트·서버가 섞인 다수 컴퓨터에 영향을 주는 프로파일에서 High/Critical Performance Impact 보호를 켜는 데 특히 신중하세요. 이 값을 활용해 Gateway 자원이 과부하되지 않는 최적의 보호 프로파일 을 만드세요.

Protection Types — 보호의 두 종류

IPS 보호는 크게 둘로 나뉩니다.

Browsing IPS Protections — 보호 목록 보기·필터·정렬

IPS 보호 표시 는 다음과 같이 합니다.

보호 이름·엔진, 또는 열에 표시된 어떤 정보 유형으로든 검색할 수 있습니다.

보호 필터링 은 다음과 같이 합니다.

목록을 정보 기준으로 정렬하려면 원하는 정보의 열 머리글 을 클릭합니다.

Updating IPS Protections — 보호 업데이트

Check Point는 최신 위협에 맞서 보호를 끊임없이 개발·개선합니다. 공격에 대한 실시간 정보와 최신 보호로 IPS를 즉시 업데이트할 수 있으며, 수동 업데이트는 물론 자동으로 내려받아 설치하는 일정 도 설정할 수 있습니다. IPS에는 위협 관리를 돕는 보호가 매우 많으니, 설정을 직접 바꾸기 전에 그 복잡성을 충분히 이해하세요.

참고 사항:

IPS 보호 업데이트 는 Security Policies > Threat Prevention > Custom Policy Tools > Updates 에서 합니다.

Scheduling IPS Updates — 업데이트 일정

최신 IPS 보호와 보호 설명을 내려받는 일정을 구성할 수 있습니다(예약 업데이트 절 참고).

Reverting to an Earlier IPS Protection Package — 이전 패키지로 되돌리기

문제 해결이나 성능 튜닝을 위해 이전 IPS 보호 패키지로 되돌릴 수 있습니다.

Reviewing New Protections — 새 보호 검토

새로 내려받은 보호를 보려면 Security Policies > Threat Prevention > Custom Policy Tools > IPS Protections 로 가서, Update Date 열로 날짜순 정렬합니다(기본은 최신 우선이며, 아니면 열을 클릭해 최신이 먼저 오게 합니다).

Activating Protections — 보호 활성화

각 프로파일은 활성화된 보호의 집합과, 트래픽 검사가 활성 보호에 매칭될 때 IPS가 할 일에 대한 지시 입니다. 다음 절차는 특정 보호의 동작을 바꾸는 방법입니다.

Activating Protections for All Profiles — 모든 프로파일에 적용

모든 프로파일에서 한 보호를 수동 활성화 하려면 IPS Protections 페이지에서:

Editing Protections for a Specific Profile — 특정 프로파일만 편집

Removing Activation Overrides — 재정의 제거

수동으로 활성화한 IPS 보호를 프로파일 설정으로 되돌릴 수 있습니다. 하나, 선택한 여럿, 또는 전체 보호의 재정의를 한꺼번에 제거할 수 있습니다.

선택한 보호의 재정의 제거 는 다음과 같습니다.

모든 보호에서 재정의 제거 는 다음과 같습니다.

Editing Core IPS Protections — Core 보호 편집

IPS Protections Follow Up — 추적 표시

Follow Up 표시는 선택한 IPS 보호를 모니터링 대상으로 표시 해, 매번 다시 찾지 않고 IPS Protections 페이지에서 필터로 바로 볼 수 있게 합니다.

추적 표시된 보호를 보려면 IPS Protections > Filters 에서 Follow Up 을 선택합니다. 개별 보호를 표시하거나, IPS Updates 페이지에서 갱신된 보호 전체를 한꺼번에 표시할 수 있습니다.

Manually Marking Protections for Follow Up — 수동 표시

개별 보호에 Follow Up을 표시하면 IPS Protections 페이지에서 빠르게 검토할 수 있습니다. 표시 목록은 가능한 짧게 유지 해야 효율적입니다. 새로 내려받은 보호와 모니터링하려는 보호를 표시하되, 환경에 맞게 잘 구성했다고 확신하면 목록에서 빼세요. 목록이 길수록 작업 목록으로 쓰기 어려워집니다.

IPS 보호가 업데이트될 때마다 자동으로 Follow Up이 표시됩니다. 해제하려면 Unfollow Protections, 모든 표시를 지우려면 Actions > Cleanup Options > Remove All Follow Up Flags.

Automatically Marking New Protections for Follow Up — 자동 표시

새 보호가 환경에 미칠 영향을 평가할 시간을 갖도록, 새 보호를 자동으로 Follow Up 표시할 수 있습니다.

프로파일 설정에서 Anti-Bot & Advanced DNS Settings 로 갑니다. General 절에서 Anti-Bot UserCheck Settings 를 구성합니다.

Configure Advanced DNS Settings — 고급 DNS 기능

DNS 기반 위협을 탐지하는 고급 기능을 켜고 끕니다.

프로토콜 관련 기능:

Configuring a Malware DNS Trap — 멀웨어 DNS 함정

Malware DNS Trap 은 알려진 악성 호스트·도메인에 대해 Gateway가 가짜(조작된) IP 주소를 반환 하도록 구성하는 기능입니다. Gateway의 외부 IP를 함정 주소로 쓸 수 있지만 다음을 지켜야 합니다.

내부 DNS 서버를 추가하면 악성 DNS 요청의 출처를 더 잘 식별할 수 있습니다. 가짜 IP로 연결을 시도한 로그를 확인해 감염된 클라이언트 를 찾을 수 있습니다. Gateway 단위에서는 프로파일 설정에 따르거나, 그 Gateway의 모든 프로파일에 특정 IP를 쓰도록 구성할 수 있습니다. Malware DNS Trap은 IPv4만 지원 합니다.

프로파일에 함정 파라미터 구성 은 다음과 같습니다.

Gateway 단위 함정 파라미터 구성 은 다음과 같습니다.

내부 메일이나 내부 파일 전송처럼 검사에서 제외할 파일 을 정할 수 있습니다. 이 설정은 인터페이스 유형(internal/external, SmartConsole에서 정의)과 트래픽 방향(incoming/outgoing)을 기준으로 합니다. 범위를 정하기 전에 DMZ 인터페이스가 올바로 구성되어 있는지 확인해야 합니다.

DMZ 인터페이스 구성 확인 은 DMZ로 향하는 인터페이스마다 다음을 합니다.

프로파일의 Anti-Virus 페이지에서는 다음을 구성합니다.

Enabling Archive Scanning — 압축 파일 검사

Anti-Virus 엔진이 압축을 풀고 선제적 휴리스틱(proactive heuristics) 을 적용합니다. 이 기능은 네트워크 성능에 영향을 줍니다. Enable Archive scanning (impacts performance) 를 선택하고 Configure 를 누릅니다.

Additionally Supported Protocols for Anti-Virus — IMAP·POP3

SmartConsole GUI에서 고를 수 있는 HTTP·FTP·SMB·SMTP 외에, Anti-Virus는 IMAP·POP3 도 지원합니다.

Threat Emulation 시작하기

Private ThreatCloud 관련: sk149692(Private ThreatCloud), sk113332(엔진 업데이트), sk161534(Scalable Platform에서 PTC 구성).

Using Cloud Emulation — 클라우드 에뮬레이션

파일을 보안 TLS 연결로 Check Point ThreatCloud에 보내 에뮬레이션합니다. ThreatCloud 에뮬레이션은 내부 네트워크와 동일하지만 Gateway의 CPU·RAM·디스크를 아주 조금만 씁니다. ThreatCloud는 항상 모든 OS 환경이 최신으로 유지됩니다.

ThreatCloud Emulation 워크플로

새 Threat Emulation 엔진은 인터넷 연결 샌드박스 로 다단계 공격을 초기 단계에서 차단합니다. 전체 감염 사슬을 분석해 Threat Emulation 보고서의 MITRE ATT&CK Matrix 시각화로 보여 줍니다. 이 기능은 Threat Emulation AWS 클라우드 플랫폼과 모든 벡터(Web download·MTA·CloudGuard SaaS·SandBlast Agent·API)에서 지원됩니다.

Threat Emulation Analysis Locations — 분석 위치

회사 요구에 맞는 에뮬레이션 분석 위치를 고를 수 있습니다.

Local or Remote Emulation — 로컬·원격

로컬 Threat Emulation 워크플로:

원격 어플라이언스 Threat Emulation 워크플로:

Selecting the Threat Emulation Deployment — 배포 선택

트래픽을 에뮬레이션으로 보내는 방식은 다음과 같습니다.

Inline Deployments

ThreatCloud 또는 어플라이언스가 Gateway에서 파일을 받습니다. 에뮬레이션 후 안전하면 내부 컴퓨터로 보내고, 멀웨어가 들어 있으면 격리하고 로그 를 남깁니다. 내부 컴퓨터는 바뀌지 않습니다. (Prevent 동작 흐름: 파일 수신 → 에뮬레이션 → 멀웨어면 격리, 아니면 내부 컴퓨터로 전송.)

Monitor (SPAN/TAP) Deployments

Gateway가 파일을 받아 내부 네트워크에 들여보내고, 어플라이언스는 사본 을 받습니다. 어플라이언스가 해시를 DB와 비교해 없으면 에뮬레이션합니다. 멀웨어로 식별되면 규칙의 Track 동작에 따라 로그를 남깁니다. Monitor 배포는 Detect 동작만 지원 합니다.

Threat Emulation Deployments with a Mail Transfer Agent

SMTP 트래픽이 Gateway로 가서 에뮬레이션됩니다. MTA가 메일 프록시로 SMTP 연결을 관리하고, 연결을 닫은 뒤 메일 파일을 에뮬레이션으로 보냅니다. 완료되면 메일을 내부 메일 서버로 전달합니다.

Configuring Threat Emulation Settings on the Security Profile — 프로파일에 설정

범위를 정하기 전에 DMZ 인터페이스 구성을 확인합니다(앞 Anti-Virus의 DMZ 절차와 동일: Gateways & Servers → Network Management → DMZ 인터페이스 → Modify → Topology Settings → Override → Interface leads to DMZ → OK, DMZ 인터페이스마다 반복). 프로파일과 Gateway의 Threat Emulation 설정이 충돌하면 프로파일 설정이 우선 합니다.

프로파일 설정은 Profiles → 프로파일 Edit → 탐색 트리 Threat Emulation 에서 General·Environment·Advanced를 구성한 뒤 OK → 정책 설치 순서로 진행합니다.

Threat Emulation General Settings

UserCheck Settings — Prevent(Prevent 메시지), Ask(Ask 메시지).

Protected Scope — 인터페이스 유형과 트래픽 방향을 고릅니다.

Protocols — 에뮬레이션할 프로토콜: Web (HTTP/HTTPS), FTP, SMB, Mail (SMTP/POP3)(클릭 시 Mail 페이지로 이동).

File Types — 유형별 Threat Emulation 동작과 에뮬레이션 위치를 구성합니다.

Archives — Configure 로 금지 파일 유형을 선택. 압축 안에 금지 유형이 있으면 Gateway가 압축 전체를 드롭 합니다.

Threat Emulation Environment — 환경(이미지)

이 프로파일이 쓸 에뮬레이션 위치와 이미지를 구성합니다.

Threat Emulation Advanced Settings — 고급 설정

Emulation Connection Handling Mode 는 파일 분석이 끝나는 동안 연결을 허용할지 막을지 를 정하며, SMTP·HTTP에 서로 다른 모드를 지정할 수도 있습니다. 이 모드는 사용자가 받는 파일의 형태와 받는 시점에 영향을 줍니다. 구성은 Security Policies > Threat Prevention > Policy > 프로파일 오른쪽 클릭 > Threat Emulation > Advanced 에서 합니다.

Threat Extraction이 꺼져 있을 때:

Threat Extraction이 켜져 있을 때: Gateway가 내려받은·첨부된 파일에서 잠재 악성 부분을 제거해 즉시 전달하고, Threat Emulation은 백그라운드에서 원본을 계속 검사합니다. Threat Extraction은 주로 Microsoft Office·PDF 등 일부 유형을 지원하며 실행 파일 등은 지원하지 않습니다.

이로써 보안을 최대로 하면서도 생산성을 해치지 않습니다. 이 동작은 Rapid Delivery·Maximum Prevention 모두 동일합니다. 다만 Maximum Prevention 을 고르면 CLI에서 더 엄격한 모드를 설정할 수 있습니다 — 사용자가 Threat Extraction 지원 파일이라도 항상 완료를 기다리고, 양성일 때만(지원 파일이면 무해화까지 거쳐) 받는 모드입니다(sk146593). Threat Extraction이 켜져 있어도 지원하지 않는 파일 은 무해화 버전을 줄 수 없어 동작이 비활성 때와 같습니다(Rapid Delivery는 원본, Maximum Prevention은 판정 대기).

Use Case — 국외 전송 금지 환경의 위치 설정

Corp X는 민감 문서를 국외 클라우드로 보낼 수 없는 ThreatLand에 있습니다. 관리자는 에뮬레이션 분석이 국외에서 일어나지 않도록 위치를 설정해야 합니다.

Configuring Threat Emulation on the Security Gateway — Gateway에 설정

Changing the Analysis Location — 분석 위치 변경

마법사에서 고른 위치는 Gateway Properties의 Threat Emulation 창에서 바꿀 수 있습니다.

Setting the Activation Mode — 활성화 모드

에뮬레이션이 정책의 Prevent 동작을 쓸지, Detect·로그만 할지 정합니다.

Optimizing System Resources — 자원 최적화

Resource Allocation 설정은 어플라이언스를 쓰는 배포에만 해당됩니다. 에뮬레이션에 쓸 어플라이언스 자원량을 조절하며, 바꾸면 네트워크·에뮬레이션 성능에 영향을 줍니다.

Managing Images for Emulation — 이미지 관리

어플라이언스별·프로파일별로 Threat Emulation이 쓰는 OS 이미지를 정합니다. 프로파일과 어플라이언스에 서로 다른 이미지가 정의되면, 둘 다에 선택된 이미지만 사용 됩니다. 한쪽에만 선택된 이미지는 쓰이지 않습니다.

Additionally Supported Protocols for Threat Emulation — IMAP·POP3

SmartConsole에서 고를 수 있는 HTTP·FTP·SMTP 외에 IMAP·POP3 도 지원합니다.

IMAP 지원 활성화:

POP3 지원 활성화 는 같은 절차로, [temp_for_av_profile] 절의 pop3_enabled 를 0→1 로 바꿉니다.

Configuring Advanced Threat Emulation Settings — 고급 설정

Updating Threat Emulation — 엔진·이미지 업데이트

Threat Emulation은 ThreatCloud에 연결해 엔진과 OS 이미지를 업데이트합니다. 어플라이언스 기본값은 자동 업데이트, 하루 한 번 패키지 다운로드 입니다. 이미지 업데이트 패키지는 보통 2GB 이상 입니다(구성에 따라 다름).

Updating Threat Emulation Images Manually — 이미지 수동 업데이트

이미지 패키지는 보통 수 GB입니다. 기본은 일요일 주 1회 다운로드이며, 일요일이 근무일이면 비근무일로 바꾸길 권장합니다.

Fine-Tuning the Threat Emulation Appliance — 어플라이언스 미세 조정

Configuring the Emulation Limits — 에뮬레이션 한도

에뮬레이션 대기 파일이 너무 쌓이지 않도록 다음 한도를 정합니다.

이 한도들 때문에 파일이 에뮬레이션되지 못하면 Threat Prevention Fail Mode 가 허용·차단을 결정합니다.

Gateway가 MTA로 활성화되어 있으면 MTA 설정 이 허용·차단을 결정합니다.

Changing the Size of the Local Cache — 로컬 캐시 크기

파일이 깨끗하다고 판정되면 그 해시가 캐시에 저장됩니다. 새 파일을 보내기 전 캐시와 비교해 일치하면 다시 에뮬레이션할 필요가 없습니다. 캐시는 성능 최적화에 쓰이며 이 설정은 바꾸지 않기를 권장 합니다.

프로파일에 Threat Extraction 설정을 구성하는 기본 절차는 다음과 같습니다.

Threat Extraction General Settings

UserCheck Settings:

다운로드 성공·취소 메시지는 Manage & Settings > Blades > Threat Prevention > Advanced Settings > UserCheck 에서 고릅니다. UserCheck 메시지는 SMTP 파일만 맞춤 설정할 수 있습니다. HTTP 파일(R80.30 이상 지원)은 SmartConsole에서 맞춤 불가이며 Gateway에서만 맞춤할 수 있습니다.

(선택) 사용자가 원본 메일에 접근하게 하려면 Threat Extraction Success Page에 Send Original Mail 필드를 추가합니다: Threat Prevention > Custom Policy Tools > UserCheck > Threat Extraction > Success Page → 오른쪽 클릭 Clone → 메시지 안 클릭 → Insert Field → Send Original Mail 선택.

Protocol:

원본 파일 저장은 아래 "원본 파일 저장" 절을 참고하세요.

Extraction Method:

Extraction Settings:

File Types:

지원 파일 유형 관련 참고:

Protected Scope — Threat Extraction은 외부 인터페이스·DMZ의 수신 파일 을 보호하며, 사용자가 범위를 바꿀 수 없습니다.

Threat Extraction Advanced Settings

Logging:

Threat Extraction Exceptions:

Scenario 1: 발신자를 검사에서 제외

검사는 시간·자원을 쓰므로 안전한 출처라면 그 보고서 검사를 멈출 수 있습니다(예: IT부서에 일일 보고서를 보내는 관제·모니터링 시스템, 차단한 스팸을 보고하는 Mail Relay 서버).

Scenario 2: 디지털 서명 메일을 검사 없이 허용

Corp X 법무팀은 디지털 서명된 계약·법률 문서를 주고받습니다. 정책상 Threat Extraction이 모든 파일을 검사하지만, 검사하면 서명이 더 이상 진본성을 증명하지 못하므로 서명 메일은 허용해야 합니다. Mail > Exceptions > Threat Extraction Exceptions > Signed email attachments 의 기본 옵션 Allow 가 이를 보장합니다 — 서명 메일은 검사 없이 허용되어 형태가 바뀌지 않습니다.

Scenario 3: 추출 방식 변경

Corp X IT부서가 기본 추출 방식을 Extract potentially malicious parts from files 에서 Convert to PDF 로 바꿨습니다. 그런데 재무팀 경제 분석가들은 excel 파일을 원본 형식 그대로 다뤄야 하므로, 그 파일은 PDF 변환이 아니라 clean 하도록 설정해야 합니다.

Configuring Threat Extraction on the Security Gateway — Gateway에 설정

또한 다음 문서 유형 검사를 켜려면:

Threat Extraction and Endpoint Security — 이중 무해화 방지

네트워크 Gateway에서 Threat Extraction과 SandBlast Agent for Browsers 가 모두 켜지면, 다운로드 파일이 두 번 무해화 될 수 있어 특별한 구성이 필요합니다. 이를 막기 위해 Gateway는 자신이 무해화한 파일에 디지털 서명 을 붙이고, SandBlast Agent가 그 서명을 성공적으로 검증하면 파일을 다시 무해화하지 않습니다. 구성 방법은 sk142732를 참고하세요.

Configuring Threat Extraction in a Cluster — 클러스터 구성

클러스터 구성은 Gateway와 비슷하되 클러스터 전용 지침이 있습니다.

참고: High Availability 모드만 지원 됩니다. 원본 파일은 Cluster Member 간에 동기화되어, 장애가 나도 원본에 계속 접근할 수 있습니다.

Threat Extraction Statistics — 통계

Using the Gateway CLI — scrub 메뉴

Gateway에는 Threat Extraction 메뉴가 있어 디버그 메시지 제어, 큐 정보 확인, 초기 첨부를 수신자에게 전송, ThreatCloud에서 자동 업데이트 등을 할 수 있습니다. Gateway/각 Cluster Member 명령줄에 접속해 Expert mode에서 scrub 을 실행하면 다음 옵션이 나옵니다.

Storage of Original Files — 원본 파일 저장

Threat Extraction이 파일을 재구성(무해화·PDF 변환)한 뒤 원본은 Gateway에 일정 기간 저장 됩니다.

메일 첨부 — 기본 14일 저장.

더 오래 보관하려면 외부 저장소로 백업해야 합니다.

웹 다운로드 — 기본 2일 저장.

Backup to External Storage — 외부 저장소 백업

디스크 공간이 부족하면 메일 첨부나 웹 다운로드를 외부 저장소로 백업할 수 있습니다.

참고: 클러스터에서는 모든 Cluster Member를 동일하게 구성해야 합니다. 최종 사용자는 외부 저장소 파일에 접근할 수 없고 관리자만 접근할 수 있습니다.

:external_storage 절 구성: enabled 를 0→1, external_path 에 로컬 백업 폴더 전체 경로, expired_in_days 에 만료 며칠 전 백업할지를 적습니다.

:external_storage (
:enabled (1)
:external_path ("/mnt/MyLocalBackupFolder")
:expired_in_days (5)

수동 백업 테스트: scrub backup_expired_mail <days for expired entries> <external_path> — <days for expired entries> 에 0 을 입력합니다.

Zero Phishing은 두 엔진을 씁니다.

Zero Phishing 보호 끄기: SmartConsole > Security Policies > Threat Prevention > Custom Threat Prevention > Custom Policy Tools > Profiles → 프로파일 선택 → General Policy 페이지에서 Zero Phishing 해제.

In-browser Zero Phishing 끄기: 같은 경로로 프로파일 선택 후 Zero Phishing 페이지에서 In-browser Zero Phishing 체크박스 해제.

제약:

Cloud Service가 피싱·정상으로 분류하지 못한 사이트를 차단·허용할 수 있습니다(Gateway CLI):

zph att set inbrowser_block_unclassified_sites 1   # 미분류 사이트 차단
zph att set inbrowser_block_unclassified_sites 0   # 미분류 사이트 허용(기본)

Configuring Zero Phishing UserCheck Settings

의심 피싱 시 뜨는 UserCheck 메시지를 고릅니다. Prevent — Prevent 동작 메시지(기본 Zero Phishing Blocked). 직접 만들려면 Custom Policy Tools > UserCheck 에서 New 클릭.

Configuring Zero Phishing Exceptions — 인기 사이트 우회

인기 사이트의 불필요한 검사를 줄이려면 특정 인기 사이트를 우회하도록 권장합니다.

참고: 올바른 적용을 위해 이 규칙은 Global Exceptions의 마지막 규칙 이어야 합니다. Protection/Site/File/Blade 열에 Zero Phishing이 들어가는 예외 규칙은 Install On 열에서 Zero Phishing이 켜진 Gateway 를 선택해야 합니다. 우회 사이트 목록은 동적으로 바뀌며 sk179726에서 확인할 수 있습니다.

필요하면 규칙에 예외를 직접 추가할 수 있습니다. 예외는 Protected Scope의 객체에 대해 규칙이 지정한 것과 다른 Action 을 줍니다. 일반적으로 예외는 특정 보호의 적용 수준을 낮추기 위한 것이지 높이기 위한 것이 아닙니다.

예외는 규칙 아래 음영 행으로 추가되며, No 열에 규칙 번호 + 문자 E + 예외 번호로 표시됩니다. 예를 들어 규칙 1번에 예외 둘을 추가하면 E-1.1, E-1.2 로 표시됩니다. 여러 규칙에서 쓸 예외는 예외 그룹 으로 묶을 수 있습니다. No 열의 ± 부호로 예외를 펼치거나 접습니다.

규칙에 예외 추가:

Disabling a Protection on One Server — 한 서버에서만 보호 완화

시나리오: Backdoor.Win32.Agent.AH 보호가 Windows 서버의 멀웨어를 차단하는데, 한 서버에서만 Detect로 바꾸고 싶습니다. 다음 규칙을 만들고 정책을 설치합니다.

예외 추가:

Creating an Exception for a Specific Protection, Site, File or Blade

참고:

비투명 프록시 모드에서 특정 사이트에 블레이드 예외 만들기

비투명(non-transparent) 프록시 모드에서는 목적지가 항상 Gateway 자신 이라, 특정 사이트에 특정 블레이드 예외를 만드는 것이 까다롭습니다(투명 모드나 Gateway 검사 시에는 목적지가 Destination 열에, 제외 블레이드가 Protection/Site/File/Blade 열에 들어가므로 문제없음). 비투명 모드에서는 다음과 같이 합니다.

참고:

Creating Exceptions from Logs or Events — 로그·이벤트에서 예외 만들기

Logs & Events 뷰에서 로그·이벤트를 평가한 뒤 Rule Base의 예외를 갱신해야 할 때가 있습니다. 이를 Logs & Events 뷰에서 바로 할 수 있으며, 지정 규칙에 적용하거나 Global Exceptions 아래 모든 규칙에 적용할 수 있습니다.

Exception Groups — 예외 그룹

예외 그룹은 하나 이상의 예외를 담는 컨테이너 입니다. 모든 규칙 또는 일부 규칙에 붙일 수 있어, 규칙마다 예외를 일일이 정의하는 대신 같은 그룹을 여러 규칙에 붙여 더 쉽게 관리할 수 있습니다. Exception Groups 창은 만든 그룹 목록과 그것을 쓰는 규칙, 코멘트를 보여 줍니다.

Global Exceptions — 시스템에 미리 정의된 그룹입니다. 여기 정의한 예외는 Rule Base의 모든 규칙에 자동 추가 됩니다. 다른 예외 그룹은 어느 규칙에 붙일지 직접 정할 수 있습니다.

Rule Base의 예외 그룹 — Global 및 기타 예외 그룹은 규칙 아래 음영 행으로 추가되고, 그룹 이름 탭이 붙습니다. 그룹 안 예외는 No 열에 E - <규칙번호>.<예외번호> 형식으로 표시됩니다. 예를 들어 예외 둘을 담은 Global Exceptions 그룹이 있으면 모든 규칙에 E-1.1, E-1.2 가 표시됩니다(규칙 안에서 예외를 옮기면 번호가 바뀝니다). No 열의 ± 부호로 펼치거나 접습니다.

Creating Exception Groups — 예외 그룹 만들기

Adding Exceptions to Exception Groups — 그룹에 예외 추가

예외 그룹을 쓰려면 예외 규칙을 추가해야 합니다.

Adding Exception Groups to the Rule Base — 그룹을 Rule Base에 추가

Manually attach to a rule 로 구성된 그룹에만 해당됩니다.