11UserCheckUserCheck

UserCheck 를 켜면, 관리자가 Security Policy에 짜 둔 규칙에 따라 게이트웨이가 사용자에게 직접 메시지를 보내 위험하거나 규정에 어긋나는 인터넷 사용을 알립니다. 이렇게 하면 사용자가 스스로 보안 사고를 막고 조직의 보안 정책을 익히 게 되고, 관리자는 기록된 사용자 응답을 바탕으로 더 효과적인 정책을 다듬 을 수 있습니다. 구체적으로는 UserCheck 객체 를 만들어 Rule Base에서 사용자와 소통합니다.

UserCheck를 지원하는 Software Blade는 다음과 같습니다.

(Access Control 쪽 자세한 내용은 Security Gateway 가이드의 Software Blade를 참고하세요.)

위협이 탐지될 때 동작이 갈리는 방식

악성 파일이나 활동이 식별되면 규칙에 정해진 동작에 따라 UserCheck가 다르게 반응합니다. 특히 Autonomous 정책에서는 UserCheck가 구체적인 위협 사건을 처리하며, 사용자에게 데이터가 수집(차단)되었음을 알리고, Ask인 경우 사용자가 트래픽을 허용하려면 이유를 적어야 하며, 그 결정은 로그에 남습니다. 동작별 의미는 다음과 같습니다.

사용자에게 메시지를 띄우는 방식은 두 가지입니다 — 게이트웨이의 UserCheck Web Portal 로 리디렉션 하거나, 단말에 UserCheck Client 를 설치 하는 것입니다. UserCheck가 켜져 있으면 사용자의 인터넷 브라우저가 새 창에서 UserCheck 메시지를 보여 주고, 사용자는 그 메시지를 보고 필요한 동작(허용/차단 확인 등)을 직접 수행합니다.

UserCheck는 게이트웨이에서 직접 켜고 끕니다. UserCheck가 켜져 있으면 사용자의 인터넷 브라우저가 새 창으로 UserCheck 메시지를 띄웁니다. 사용자가 원격으로 게이트웨이에 접속 한다면, Topology 페이지에서 게이트웨이의 내부 인터페이스를 UserCheck Portal의 Main URL 과 같게 맞춰 두어야 합니다.

게이트웨이에서 UserCheck를 구성하는 절차는 다음과 같습니다.

설치·구성에 관한 자세한 내용은 아래 UserCheck Client 절을 참고하세요.

UserCheck Interaction 객체 는 게이트웨이가 사용자와 소통하는 수단으로, 유연성을 더해 줍니다. 이 객체는 조직 보안에 위험할 수 있는 결정을 사용자가 내릴 때 돕 고, 웹 애플리케이션·사이트에 대한 회사의 변화하는 인터넷 정책을 실시간으로 사용자와 공유 합니다. UserCheck가 켜져 있으면 사용자 브라우저가 새 창에서 이 Interaction 메시지를 보여 줍니다.

UserCheck 페이지에는 기본 Interaction 메시지가 들어 있습니다. 객체와 그 메시지를 편집하고 미리 볼 수 있습니다. 기존 Interaction 객체를 보려면 SmartConsole에서 정책 방식에 따라 다음 경로로 갑니다.

기본 Interaction 객체

기본으로 제공되는 UserCheck Interaction 객체는 다음과 같습니다.

각 메시지 페이지는 다음 네 가지 뷰로 미리 볼 수 있습니다.

Interaction 객체 만들기

새 UserCheck Interaction 객체를 만드는 절차입니다.

선택하면 새 UserCheck 객체 창이 열립니다. 2. Object Name 을 입력합니다. 3. UserCheck 객체 창의 메뉴 막대에서 알맞은 편집 방식을 고릅니다.

Approved Page 와 Cancel Page 의 쓰임은 다음과 같습니다.

Approved Page·Cancel Page를 고르는 절차입니다.

모든 이메일 클라이언트가 리치 텍스트·HTML 형식 이메일을 다룰 수 있는 것은 아닙니다. 이런 클라이언트를 위해, HTML 형식에 더해 이미지 없는 평문(plain text) 형식으로도 이메일 알림을 보내도록 게이트웨이를 구성할 수 있습니다. 어느 형식을 보여 줄지는 사용자의 이메일 클라이언트가 정합니다.

   cp -v $FWDIR/conf/usrchkd.conf{,_BKP}
   

   vi $FWDIR/conf/usrchkd.conf
   

   :send_emails_with_no_images (false)
   

를

   :send_emails_with_no_images (true)
   

로 바꿉니다. 6. 파일을 저장하고 편집기를 빠져나갑니다. 7. 새 구성을 적용하려고 userchkd 프로세스를 종료합니다.

   killall userchkd
   

게이트웨이가 이 프로세스를 자동으로 다시 시작 합니다.

UserCheck Client 는 단말(Endpoint) 컴퓨터에 설치되어 게이트웨이와 통신하고 사용자에게 알림을 보여 줍니다. UserCheck Client는 웹 브라우저가 아닌 애플리케이션(예: Skype, iTunes, 라디오 툴바 같은 브라우저 추가 기능)에 대해서도 알림을 보냅니다. 또한 다음 경우에는 UserCheck Portal과 함께 동작해, 컴퓨터 자체에서 알림을 띄웁니다.

사건 알림은 시스템 트레이의 UserCheck Client에서 팝업 으로 표시되며, 사용자는 알림 메시지에서 옵션을 골라 실시간으로 응답합니다.

설치·구성 전체 흐름

UserCheck Client를 설치·구성하는 큰 흐름은 다음과 같습니다.

클라이언트와 게이트웨이의 통신·신뢰

UserCheck Client가 있는 환경에서 게이트웨이는 클라이언트의 서버 역할 을 합니다. 각 클라이언트는 서버를 찾아내고(discover) 신뢰를 맺을 수 있어야 합니다.

신뢰를 맺을 때 클라이언트는 서버가 올바른 서버인지 확인합니다 — SSL 핸드셰이크 중 계산한 서버 지문(fingerprint)을 기대 지문과 비교 합니다. 서버 지문이 기대한 것과 다르면, 클라이언트는 사용자에게 서버가 올바른지 직접 확인해 달라고 요청합니다.

클라이언트가 서버를 찾아내고 신뢰하게 하는 방법은 네 가지입니다.

1. 파일 이름 기반(File name based) 구성

다른 방법을 구성하지 않은 기본·출고 상태 에서는, 포털에서 내려받은 모든 UserCheck Client의 파일 이름에 포털 장비의 IP 주소가 들어 갑니다. 설치 중에 클라이언트는 이 IP 주소로 게이트웨이에 연결합니다. 단, 사용자가 Trust 를 눌러 서버를 직접 신뢰해야 합니다.

이 방법은 구성이 가장 쉽고 출고 상태 그대로 동작 합니다. 사용자는 처음 연결할 때 Trust 를 눌러 서버를 신뢰하기만 하면 됩니다. 관련 Software Blade가 있는 게이트웨이가 하나뿐 일 때 쓰기 좋습니다.

동작 방식은 이렇습니다. 사용자가 UserCheck Client를 내려받으면 게이트웨이 주소가 파일 이름에 들어갑니다. 설치 중에 클라이언트는 다른 발견 방법(AD·DNS·로컬 레지스트리)이 구성되어 있는지 살펴보고, 아무것도 없으면서 게이트웨이에 닿을 수 있으면 그 게이트웨이를 서버로 씁니다. UserCheck Settings 창에서 연결한 서버가 파일 이름의 게이트웨이와 같음을 확인할 수 있습니다. 파일 이름은 쉽게 바뀔 수 있으므로 사용자가 신뢰 데이터가 유효한지 직접 확인 해야 합니다.

MSI 이름 바꾸기(Renaming the MSI)

컴퓨터에 설치하기 전에 MSI 파일 이름을 직접 바꿔, 클라이언트를 다른 게이트웨이에 연결 할 수 있습니다.

여기서 GWname 은 게이트웨이의 DNS 이름입니다. 알림 포트를 지정하려면 다음 형식을 씁니다.

port 는 알림 포트 번호입니다. 예:

2. Active Directory 기반(AD based) 구성

클라이언트 컴퓨터가 Active Directory 도메인의 구성원이고 그 도메인에 관리 권한이 있다면, Distributed Configuration tool 로 연결·신뢰 규칙을 구성할 수 있습니다. 이 도구에는 창이 셋 있습니다.

AD 기반 구성을 켜는 절차입니다.

   "C:\Users\%USERNAME%\Local Settings\Application Data\Checkpoint\UserCheck\UserCheck.exe" -adtool
   

Check Point UserCheck - Distributed Configuration 도구가 열립니다. 2. Welcome 페이지에서 AD 관리자 자격 증명을 입력합니다. 기본으로 내 AD 사용자 이름이 보이며, 관리자 권한이 없다면 Change user 를 눌러 관리자 자격 증명을 입력합니다. 3. Server Configuration 페이지에서 Add 를 누르면 Identity Server Configuration 창이 열립니다. 4. Default 를 고르고 Add 를 누릅니다. 5. 게이트웨이의 IP 주소 또는 FQDN(Fully Qualified Domain Name)과 포트를 입력합니다. 6. OK 를 누릅니다. UserCheck Client용 AD 서버의 신원이 Active Directory에 기록되어 모든 클라이언트에 전달 됩니다.

서버 구성 규칙(Server Configuration Rules)

Distributed Configuration tool에서 클라이언트를 Automatically discover the server 로 구성하면, 클라이언트가 규칙 목록을 가져와 서버에 연결할 때마다 위에서 아래로 규칙을 차례로 맞춰 봅니다. 규칙이 맞으면 그 규칙에 적힌 서버를, 지정된 우선순위에 따라 씁니다. 예시 구성의 의미는 다음과 같습니다.

Add·Edit·Remove 버튼으로 서버 연결 규칙을 바꿉니다.

신뢰된 게이트웨이(Trusted Gateways)

Trusted Gateways 창은 신뢰된 서버 목록 을 보여 줍니다 — 사용자가 이 서버에 연결할 때는 메시지가 뜨지 않습니다. 서버를 추가·편집·삭제할 수 있습니다. 서버에 연결할 수 있다면 IP 주소를 입력하고 Server Trust Configuration 창에서 Fetch Fingerprint 를 눌러 이름과 지문을 가져옵니다. 서버에 연결할 수 없다면, 그 서버에 연결할 때 표시되는 것과 같은 이름·지문을 직접 입력합니다.

3. DNS SRV 레코드 기반 서버 발견

DNS 서버에 서버 주소를 구성하는 방법입니다. 단, 사용자가 Trust 를 눌러 서버를 직접 신뢰해야 합니다. 클라이언트를 기본값인 Automatic Discovery 로 두면, 게이트웨이 주소를 찾으려고 DNS SRV 쿼리 를 보냅니다(DNS 접미사는 자동으로 붙음). 주소는 DNS 서버에 구성합니다.

DNS 서버에서 DNS 기반 구성을 하는 절차입니다.

게이트웨이의 Load Sharing(부하 분산) 을 구성하려면 우선순위가 같은 SRV 레코드를 여러 개 만들고, High Availability 를 구성하려면 우선순위가 다른 SRV 레코드를 여러 개 만듭니다.

DNS 기반 구성 문제 해결

DNS 기반 구성의 문제를 풀려면, DNS 서버에 저장된 SRV 레코드를 볼 수 있습니다.

C:\> nslookup
 > set type=srv
 > checkpoint_dlp._tcp

결과 예시는 다음과 같습니다.

C:\> nslookup
 > set type=srv
 > checkpoint_dlp._tcp
Server: dns.company.com
Address: 192.168.0.17
checkpoint_dlp._tcp.ad.company.com SRV service location:
          priority = 0
          weight = 0
          port = 443
          svr hostname = dlpserver.company.com
dlpserver.company.com internet address = 192.168.1.212
>

4. 원격 레지스트리(Remote Registry)

서버 주소와 신뢰 데이터를 포함한 모든 클라이언트 구성은 레지스트리에 저장 됩니다. GPO 등 레지스트리를 원격으로 제어하는 시스템이 있다면, 클라이언트를 설치하기 전에 미리 값을 구성 해 두어 설치 직후부터 그 설정을 쓸 수 있습니다.

원격 레지스트리 옵션을 구성하는 절차입니다.

     HKEY_CURRENT_USER\SOFTWARE\CheckPoint\UserCheck\Trusted Gateways
     

의 키 Default Gateway 와 DefaultGatewayEnabled 5. UserCheck Client를 설치하기 전에 내보낸 키를 단말 컴퓨터로 가져옵니다(import).

클라이언트 설치

클라이언트가 게이트웨이에 연결하도록 구성한 뒤, 사용자 컴퓨터에 클라이언트를 설치합니다.

방법 A — SCP 클라이언트로 게이트웨이에서 내려받기

방법 B — SmartConsole의 게이트웨이 객체에서 내려받기

클라이언트 제거

기본 제거 절차

수동 제거 절차

Start 메뉴에 Uninstall 바로 가기가 없으면 다음 두 절차 중 하나를 따릅니다.

Windows Installer로 수동 제거

   %SystemRoot%\SysWOW64\msiexec.exe /x {<Windows 레지스트리 편집기에서 복사한 GUID>}
   

예시:

   C:\Windows\SysWOW64\msiexec.exe /x {AAD3D77A-7476-469F-ADF4-04424124E91D}
   

(msiexec 참고: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/msiexec ) 4. Windows 명령 프롬프트를 엽니다 — Start 메뉴에서 cmd 입력 후 Command Prompt, 또는 Windows + R 로 cmd 입력 후 Enter. 5. 준비한 구문을 붙여 넣고 Enter를 누릅니다. 6. 단말 컴퓨터를 다시 시작합니다.

단말에서 수동으로 삭제

Windows 파일 관리자에서 다음 경로로 가서 UserCheck 폴더를 삭제합니다.

클라이언트를 게이트웨이에 연결

게이트웨이에서 DLP용 UserCheck가 켜져 있으면, 클라이언트 설치 후 사용자는 사용자 이름·암호를 입력해야 합니다. UserCheck Client를 처음 설치하면 트레이 아이콘이 연결되지 않음 을 나타내고, 게이트웨이에 연결되면 아이콘이 활성 상태 임을 보여 줍니다. 클라이언트가 처음 게이트웨이에 연결할 때는 게이트웨이 지문을 승인해 달라 고 사용자에게 요청합니다.

DLP용 UserCheck Client 설치를 사용자에게 안내하는 메시지 예시는 다음과 같습니다.

Dear Users,
Our company has implemented a Data Loss Prevention automation to
protect our confidential data from unintentional leakage. Soon you
will be asked to verify the connection between a small client that
we will install on your computer and the computer that will send
you notifications.
This client will pop up notifications if you try to send a message
that contains protected data. It might let you to send the data
anyway, if you are sure that it does not violate our data-security
guidelines.
When the client is installed, you will see a window that asks if
you trust the DLP server. Check that the server is SERVER NAME and
then click Trust.
In the next window, enter your username and password, and then
click OK.

UserCheck와 Check Point 암호 인증

Check Point 암호 인증을 켜는 절차입니다.

이미 User 객체가 있는 경우 — 해당 User 객체를 더블 클릭하고, 왼쪽에서 General 을 눌러 General properties 섹션에 유효한 이메일 주소 를 설정한 뒤 OK.

User 객체가 아직 없는 경우 - User Template 객체가 있는지 확인합니다. 없으면 상단 도구 막대에서 New > Users/Identity > User Template 로 만든 뒤 OK. - 상단 도구 막대에서 New > Users/Identity > User 를 누릅니다. - 필요한 User Template를 고르고 OK. - 다음을 구성합니다 — 상단에서 객체 이름 설정, General 페이지에서 유효한 이메일 주소 설정, Authentication 페이지의 Authentication Method 섹션에서 Check Point Password 를 골라 Set new password 로 암호를 입력한 뒤 OK. - OK 를 누릅니다. 4. Object Explorer 창을 닫습니다. 2. UserCheck Client 구성 1. 단말에서 알림 영역(시계 옆)의 UserCheck Client 아이콘을 오른쪽 클릭합니다. 2. Settings 를 누릅니다. 3. Advanced 를 누릅니다. 4. Authentication with Check Point user accounts defined internally in SmartConsole 를 고릅니다.

사용자 문제 해결 돕기

사용자가 UserCheck Client 문제 해결에 도움이 필요하면, 로그를 보내 달라고 요청할 수 있습니다.

UserCheck Client가 로그를 만들도록 구성하는 절차입니다.

단말에서 UserCheck Client 로그를 보내는 절차입니다.

UserCheck Portal의 현지화(localizing)와 맞춤(customizing)에 관한 자세한 내용은 sk83700을 참고하세요.