12ICAPICAP

이 장은 ICAP의 원리부터, 게이트웨이를 ICAP Client 로 구성하는 전체 절차(구성 파일의 모든 파라미터, VSX 모드, 고급 커널 파라미터, Data Trickling), 그리고 게이트웨이를 ICAP Server 로 구성하는 절차(SmartConsole 설정, TLS 암호화 연결, 고급 프로세스 튜닝)까지 원문이 다루는 내용을 빠짐없이 풀어 정리합니다.

ICAP는 의미와 사용법이 HTTP/1.1 과 매우 비슷하지만, HTTP 자체도 아니고 HTTP 위에서 도는 응용 프로토콜도 아닙니다. RFC 3507로 표준화되어 있어, 서로 다른 벤더의 장비가 ICAP로 통신할 수 있습니다(자세한 사양은 ICAP Specification과 Draft RFC - ICAP Extensions를 참고하세요).

핵심은 두 역할입니다.

ICAP 메시지는 TCP 안에 캡슐화 되어 전달됩니다.

ICAP 메서드

ICAP에는 세 가지 메서드가 있습니다.

ICAP 응답 코드

ICAP 응답 코드 중 HTTP의 같은 번호와 의미가 다른 것들은 다음과 같습니다.

게이트웨이가 맡을 수 있는 역할

Check Point Security Gateway는 다음 셋 중 하나로 구성할 수 있습니다.

ICAP로 구성한 Check Point Security Gateway는 네트워크 토폴로지를 바꾸지 않고도 서드파티 ICAP 장비와 함께 동작 합니다.

활용 사례(Use Cases)

ICAP Client는 여러 상황에서 유용합니다.

ICAP 판정(ICAP Decisions)

ICAP Server가 내릴 수 있는 판정은 다음과 같습니다.

REQMOD(요청 수정) 모드 데이터 흐름 예시

이 흐름에 등장하는 구성 요소는 다음과 같습니다.

동작 순서는 이렇습니다.

RESPMOD(응답 수정) 모드 데이터 흐름 예시

동작 순서는 이렇습니다.

제약 사항(Limitations)

ICAP Client 기능

Check Point Security Gateway 또는 Cluster의 ICAP Client 기능은, ICAP Server의 응답과 상호작용해 콘텐츠를 수정하고 조건에 맞는 HTTP 연결을 차단 할 수 있게 해 줍니다. 게다가 ICAP Server의 판정을 게이트웨이·Cluster의 시행 로직에 더할 수도 있습니다(아래 시행을 위한 추가 ICAP 응답 헤더 구성 참고). 이렇게 토폴로지를 바꾸지 않고 서드파티 장비와 함께 일할 수 있습니다.

ICAP Client 기능이 지원하는 것은 다음과 같습니다.

이 ICAP Client 기능은 내부 ICAP Server와 Check Point ICAP Server를 상대로 테스트되었습니다.

ICAP Client 사용자 면책 고지

ICAP Client 기능은 HTTPS 트래픽을 복호화해 서드파티 자동화 장비로 보내 저장·규정 준수 목적으로 처리 하게 할 수 있습니다. 이 기능을 설치·사용한다는 것은, 그렇게 복호화된 데이터를 전송하는 일이 일부 국가에서는 개인정보 보호법에 저촉될 수 있으며, 해당 관할권에서 이 기능을 쓰는 것이 합법인지 판단할 책임이 사용자에게 있음을 이해한다는 뜻입니다.

이 기능을 켜는 사용자는, 모든 관련 관할권에서 ICAP 프로토콜로 HTTPS 트래픽을 복호화·전달할 법적 권리가 있으며 사용자(end user)로부터 필요한 모든 동의를 받았음을 선언하는 것입니다. 또한 데이터 보호법·규정 위반이나 이 기능의 부적절한 사용·구현과 관련된 모든 청구·요구로부터 Check Point를 면책한다는 데 동의하는 것입니다.

ICAP Client 시작하기 (Gateway 모드)

      [Expert@GW:0]# IcapDisclaimer.sh
      

면책 고지에 동의했다면 다음 단계로 넘어갑니다. 4. 기본 ICAP Client 구성 파일을 백업합니다.

      cp -v $FWDIR/conf/icap_client_blade_configuration.C{,_BKP}
      

      vi $FWDIR/conf/icap_client_blade_configuration.C
      

자세한 내용은 ICAP Client 구성 파일과 ICAP Client 구성 파일 예시를 참고하세요. 6. 파일의 변경을 저장하고 편집기를 빠져나옵니다. 7. ICAP Client로 HTTPS 트래픽을 검사하려면 ① Security Gateway 객체에서 HTTPS Inspection을 켜고, ② HTTPS Inspection Rule Base를 구성해야 합니다(자세한 내용은 HTTPS Inspection 참고). 8. Security Gateway에 Access Control 정책을 설치합니다. - HTTPS Inspection을 켜고 구성했다면, SmartConsole에서 정책을 설치합니다. - HTTPS Inspection을 켜지 않았다면, SmartConsole에서 정책을 설치하거나 Security Gateway에서 다음 명령으로 로컬 정책을 가져옵니다.

        fw fetch localhost
        

VSX 모드에서 ICAP Client 구성

ICAP Client 기능은 해당하는 각 Virtual System의 컨텍스트에서 구성합니다.

   vsenv <VSID>
   

동의했다면 다음 단계로 넘어갑니다. 5. 기본 ICAP Client 구성 파일을 백업합니다.

   cp -v $FWDIR/conf/icap_client_blade_configuration.C{,_BKP}
   

   vi $FWDIR/conf/icap_client_blade_configuration.C
   

자세한 내용은 ICAP Client 구성 파일과 ICAP Client 구성 파일 예시를 참고하세요. 7. 파일의 변경을 저장하고 편집기를 빠져나옵니다. 8. HTTPS 트래픽을 검사하려면 ① Virtual System 객체에서 HTTPS Inspection을 켜고, ② HTTPS Inspection Rule Base를 구성합니다(HTTPS Inspection 참고). 9. Virtual System에 Access Control 정책을 설치합니다. - HTTPS Inspection을 켜고 구성했다면, SmartConsole에서 정책을 설치합니다. - 그렇지 않다면, SmartConsole에서 설치하거나 해당 Virtual System 컨텍스트에서 다음 명령으로 로컬 정책을 가져옵니다.

     fw fetch localhost
     

ICAP Client 구성 파일

ICAP Client 구성 파일($FWDIR/conf/icap_client_blade_configuration.C)은 여러 섹션으로 나뉘고, 각 섹션 안에 해당 파라미터가 들어갑니다. 일부 파라미터는 문자열 값만 받고(반드시 큰따옴표로 감싸야 합니다), 일부는 정수 값만 받습니다.

일반 파라미터

:user_check_interaction_name의 기본값을 바꿨다면 SmartConsole에서 이렇게 맞춰 줍니다.

:trickling_mode 값의 의미:

:log_level 값의 의미:

ICAP Server 정의 파라미터 (`:icap_servers ()`)

:icap_servers () 섹션은 ICAP Client가 함께 일할 ICAP Server들을 정의합니다.

X-Headers 파라미터 (`:x_headers ()`)

:x_headers ()는 X-Client-IP, X-Server-IP, X-Authenticated-User 헤더를 제어합니다.

네트워크 필터 규칙 파라미터

각 IP4/IP6 규칙 안에는 다음이 들어갑니다(IPv6는 IPv6 주소 형식만 다를 뿐 구조가 같습니다).

네트워크 필터 규칙에는 알아 둘 규칙이 있습니다.

ICAP Client 구성 파일 예시

다음은 $FWDIR/conf/icap_client_blade_configuration.C의 예시입니다.

:enabled ("true")
:filter_http_method (
: (
:method ("GET")
)
: (
:method ("PUT")
)
: (
:method ("POST")
)
)
:http_services (
: (
:port (8080)
)
: (
:port (8443)
)
)
:inspect_html_response ("false")
:trickling_mode (0)
:user_check_interaction_name ("Blocked Message - Access Control")
:log_level (2)
:icap_servers (
: (
:name ("icap_server_1")
:ip ("10.1.0.20")
:ip6 ("2001:db8:6:f101::15")
:port (1344)
:service ("echo")
:proto ("icap")
:modification_mode ("both")
:transp ("3rd_cpas")
:failmode (open)
:timeout (60)
:max_conns (50)
:user_check_action (1)
:x_headers (
:x_client_ip ("false")
:x_server_ip ("false")
:x_authenticated_user ("false")
:authentication_source ("Local")
:base64_username_encode ("true")
)
)
: (
:name ("icap_server_2")
:ip ("10.1.0.30")
:ip6 ("2001:db8:6:f101::16")
:port (1344)
:service ("echo")
:proto ("icap")
:modification_mode ("respmod")
:transp ("3rd_cpas")
:failmode (close)
:timeout (120)
:max_conns (250)
:user_check_action (2)
:x_headers (
:x_client_ip ("true")
:x_server_ip ("true")
:x_authenticated_user ("true")
:authentication_source ("WinNT")
)
)
)
:rules_type ("include")
:network_filter_rules_ip4 (
: (
:src_ip_ranges (
: (
:min_ip ("10.0.0.6")
:max_ip ("10.0.0.10")
)
: (
:min_ip ("10.0.0.100")
:max_ip ("10.0.0.150")
)
)
:dst_ip_ranges (
: (
:min_ip ("10.1.0.1")
:max_ip ("10.1.255.255")
)
)
)
: (
:src_ip_ranges (
: (
:min_ip ("10.0.0.21")
:max_ip ("10.0.0.24")
)
)
:dst_ip_ranges (
: (
:min_ip ("any")
:max_ip ("any")
)
)
)
)
:network_filter_rules_ip6 (
: (
:src_ip_ranges (
: (
:min_ip ("2001:db8:5:f101::11")
:max_ip ("2001:db8:5:f101::15")
)
)
:dst_ip_ranges (
: (
:min_ip ("2001:db8:6:f101::1")
:max_ip ("2001:db8:6:f101::20")
)
)
)
)
)

위 예시의 규칙은 이렇게 읽습니다. 전체는 [:network_filter_rules_ip4 ()] OR [:network_filter_rules_ip6 ()]이고, 각 규칙 안에서는 [:src_ip_ranges ()] AND [:dst_ip_ranges ()]입니다.

고급 ICAP Client 구성

ICAP Client의 고급 설정은 해당 커널 파라미터(kernel parameters) 로 합니다. 일반적인 방법은 R82 Quantum Security Gateway Guide > Working with Kernel Parameters on Security Gateway 를 참고하세요. 고급 설정으로 구성할 수 있는 것은 다음과 같습니다.

시행을 위한 추가 ICAP 응답 헤더 구성

ICAP Server가 보내는 ICAP 응답 헤더에 맞춰 시행을 조정하려면 특정 HTTP 헤더를 구성할 수 있습니다. ICAP Client가 이 헤더를 받으면 Security Gateway가 조건에 맞는 HTTP 연결을 차단 합니다(Draft RFC - ICAP Extensions 참고).

기본 HTTP 응답 X-Headers

ICAP Client는 기본적으로 다음 세 가지 사용자 정의 ICAP 응답 헤더 확장을 인식합니다.

X-Violations-Found의 상세 항목 의미는 다음과 같습니다.

X-Infection-Found의 세 파라미터 의미는 다음과 같습니다.

추가 HTTP 응답 X-Headers

ICAP Client가 인식할 X-Header를 더 추가할 수 있습니다.

추가 HTTP 응답 X-Headers 구성하기

추가 X-Header는 다음 커널 파라미터의 값으로 추가합니다.

구성된 X-Header 목록 보기 — 이 파라미터에 __print__를 넣고 출력합니다.

fw ctl set str icap_unwrap_append_header_str '__print__'
dmesg | grep append_icap_unwrap_headers

예시:

[Expert@GW:0]# fw ctl set str icap_unwrap_append_header_str '__print__'
[Expert@GW:0]# dmesg | grep append_icap_unwrap_headers
[fw6_0];append_icap_unwrap_headers: ==> new icap_unwrap_headers array is: [ X-Virus-ID ; X-Violations-Found ; X-Infection-Found ;]
[fw4_0];append_icap_unwrap_headers: ==> new icap_unwrap_headers array is: [ X-Virus-ID ; X-Violations-Found ; X-Infection-Found ;]
[Expert@GW:0]#

탐지 전용(detect only) 모드로 임시 추가 — 이 모드에서는 ICAP Client가 조건에 맞는 HTTP 연결을 차단하지 않습니다. 파라미터에 X-Header 이름을 넣습니다.

fw ctl set str icap_unwrap_append_header_str '<Name of X-header>'
dmesg | grep append_icap_unwrap_headers

예시:

[Expert@GW:0]# fw ctl set str icap_unwrap_append_header_str 'X-Response-Info'
[Expert@GW:0]# fw ctl set str icap_unwrap_append_header_str 'X-Response-Desc'
[Expert@GW:0]# fw ctl set str icap_unwrap_append_header_str '__print__'
[Expert@GW:0]# dmesg | grep append_icap_unwrap_headers
[fw6_0];append_icap_unwrap_headers: ==> new icap_unwrap_headers array is: [ X-Virus-ID ; X-Violations-Found ; X-Infection-Found ; X-Response-Info ; X-Response-Desc ;]
[fw4_0];append_icap_unwrap_headers: ==> new icap_unwrap_headers array is: [ X-Virus-ID ; X-Violations-Found ; X-Infection-Found ; X-Response-Info ; X-Response-Desc ;]
[Expert@GW:0]#

구성된 X-Header를 모두 임시 삭제 — 빈 문자열 ''을 넣습니다.

fw ctl set str icap_unwrap_append_header_str ''
fw ctl set str icap_unwrap_append_header_str '__print__'
dmesg | grep append_icap_unwrap_headers

기본 X-Header를 임시로 복원 — X-Virus-ID, X-Violations-Found, X-Infection-Found를 넣습니다.

fw ctl set str icap_unwrap_append_header_str 'X-Virus-ID'
fw ctl set str icap_unwrap_append_header_str 'X-Violations-Found'
fw ctl set str icap_unwrap_append_header_str 'X-Infection-Found'
dmesg | grep append_icap_unwrap_headers

RESPMOD에서 ICAP Client가 보내는 추가 HTTPS 상태 코드 구성

RESPMOD로 HTTP 서버 응답을 ICAP Server에 보낼 때, ICAP Client가 보낼 HTTP 서버 상태 코드 를 구성할 수 있습니다. 기본적으로 ICAP Client는 1xx 또는 2xx 상태 코드를 보냅니다. 상태 코드는 다음 커널 파라미터의 값으로 추가합니다.

구성된 서버 상태 코드 목록 보기

fw ctl set str icap_append_status_code_str '__print__'
dmesg | grep icap_client_append_status_code

예시:

[Expert@GW:0]# fw ctl set str icap_append_status_code_str '__print__'
[Expert@GW:0]# dmesg | grep icap_client_append_status_code
[fw6_0];icap_client_append_status_code: ==> new 'status code' array is: [ 1 ; 2 ;]
[fw4_0];icap_client_append_status_code: ==> new 'status code' array is: [ 1 ; 2 ;]
[Expert@GW:0]#

서버 상태 코드 임시 추가

fw ctl set str icap_append_status_code_str 'N'
fw ctl set str icap_append_status_code_str '__print__'
dmesg | grep icap_client_append_status_code

예시:

[Expert@GW:0]# fw ctl set str icap_append_status_code_str '3'
[Expert@GW:0]# fw ctl set str icap_append_status_code_str '__print__'
[Expert@GW:0]# dmesg | grep icap_client_append_status_code
[fw6_0];icap_client_append_status_code: ==> new 'status code' array is: [ 1 ; 2 ; 3 ;]
[fw4_0];icap_client_append_status_code: ==> new 'status code' array is: [ 1 ; 2 ; 3 ;]
[Expert@GW:0]#

구성된 상태 코드를 모두 임시 삭제 — 빈 문자열 ''을 넣습니다.

fw ctl set str icap_append_status_code_str ''
fw ctl set str icap_append_status_code_str '__print__'
dmesg | grep icap_client_append_status_code

기본 상태 코드를 임시로 복원 — '1'과 '2'를 넣습니다.

fw ctl set str icap_append_status_code_str '1'
fw ctl set str icap_append_status_code_str '2'
fw ctl set str icap_append_status_code_str '__print__'
dmesg | grep icap_client_append_status_code

ICAP 연결의 연결 타임아웃 구성

ICAP Server로의 유휴 연결과 응답 없는 세션을 풀어 주기 위해 연결 타임아웃(초)을 조정할 수 있습니다. 다음 커널 파라미터로 구성합니다.

현재 값 출력

fw ctl get int icap_blade_conn_pool_timeout

예시:

[Expert@GW:0]# fw ctl get int icap_blade_conn_pool_timeout
icap_blade_conn_pool_timeout = 300
[Expert@GW:0]#

값 임시 설정

fw ctl set int icap_blade_conn_pool_timeout <Number>

또한 ICAP 요청·응답에서 ICAP Client-to-Server 연결의 재사용을 취소할 수 있습니다.

ICAP Client Data Trickling 파라미터 구성

Patience 페이지는 짧은 검사 지연 동안 사용자를 달래 줍니다. 하지만 큰 객체를 검사하거나, 좁은 대역폭에서 검사하거나, 서버 부하가 높을 때 는 연결 타임아웃이 생겨 사용 경험이 나빠질 수 있습니다. 이런 타임아웃을 막으려고 Data Trickling을 허용합니다. Data Trickling 동안에는 검사 시작 즈음이나 거의 끝날 즈음에 아주 느린 속도로 데이터를 클라이언트에 보냅니다.

Trickle from the Start 모드

이 모드에서는 ICAP Client가 HTTP 응답 본문의 맨 앞부분만 조금 버퍼링 합니다. ICAP Server가 응답을 계속 검사하는 동안 ICAP Client는 HTTP Client에 초당 1바이트 만 흘려보냅니다. 검사가 끝나 객체가 깨끗하면(응답 수정이 필요 없으면) 나머지 바이트를 연결이 허용하는 최고 속도로 보냅니다. 악성으로 판정되면 연결과 남은 응답 객체를 종료합니다. 바이러스 검사 결과가 나올 때까지 HTTP Client가 받는 데이터가 아주 적기 때문에, Trickling from the Start가 더 안전한 선택입니다.

Trickle at the End 모드

이 모드에서는 ICAP Client가 마지막 16KB만 빼고 HTTP 응답을 최고 속도로 HTTP Client에 보냅니다. ICAP Server가 검사하는 동안에는 초당 1바이트만 흘려보냅니다. 검사가 끝나 객체가 깨끗하면 나머지 바이트를 최고 속도로 보냅니다. 사용자는 객체의 1%가 아니라 99%가 내려온 것을 보면 더 참을성 있게 기다리고 연결 재시작을 덜 하므로, Trickle at the End가 더 사용자 친화적 입니다. 다만 대부분의 객체가 ICAP 검사 결과 전에 전달되므로 관리자 입장에서는 덜 안전하다고 볼 수 있습니다.

Data Trickling에 관한 참고 사항

Data Trickling은 다음 커널 파라미터로 구성합니다.

Check Point ICAP Server는 여러 ICAP Client와 함께 일할 수 있습니다. Threat Emulation 과 Anti-Virus 블레이드용으로는 R80.20 이상 Security Gateway에서 지원되며, R81부터는 Threat Extraction 블레이드도 지원합니다.

SmartConsole에서 Security Gateway 객체에 ICAP Server를 활성화하려면, 먼저 그 객체에 Threat Emulation, Anti-Virus, Threat Extraction 중 하나 이상 을 켜야 합니다. ICAP Server를 켜되 이 블레이드들을 켜지 않으면, ICAP Server는 동작하되 검사 없이 동작합니다.

ICAP Server는 선택된 Threat Prevention 프로필과 엔진 설정에서 Threat Emulation·Threat Extraction·Anti-Virus에 대해 정의된 설정에 따라 동작합니다.

ICAP Server 동작(Actions)

Check Point ICAP Server가 취할 수 있는 동작은 셋입니다.

ICAP Server 워크플로

RESPMOD에서 Check Point ICAP Server와 함께 일하는 흐름의 예는 다음과 같습니다.

ICAP Server 시작하기

Security Gateway 또는 Cluster에서 ICAP Server 지원을 켜는 절차입니다.

1단계 — Check Point Security Gateway 또는 Cluster에서 ICAP Server 지원 활성화

(선택) 기본 대신 새 ICAP 서비스 만들기: 1. Object Explorer > New > More > Service > TCP 로 갑니다. 2. 객체 이름을 입력하고 필요하면 주석을 답니다. 3. General 에서는 프로토콜을 선택하지 않습니다. 4. Match By 에서 서비스가 동작할 Port 를 선택합니다. 5. (선택) Advanced 기능을 구성합니다(자세한 설명은 온라인 도움말 참고). 6. OK 를 누르면 새 서비스가 Service 드롭다운에 나타납니다.

(선택) TLS로 동작하는 새 ICAP 서비스 만들기 — R81.20부터 Check Point Security Gateway는 ICAP Server와 ICAP Client 사이의 암호화 연결을 지원 합니다. 1. Object Explorer > New > More > Service > TCP 로 갑니다. 2. 객체 이름을 입력하고 필요하면 주석을 답니다. 3. General 에서는 프로토콜을 선택하지 않습니다. 4. Match By 에서 서비스가 동작할 Port 를 선택합니다. 5. (선택) Advanced 기능을 구성합니다. 6. OK 를 누릅니다. 7. CA 인증서와 ICAP Server 인증서를 원하는 애플리케이션으로 만듭니다. 8. 인증서를 PEM 형식으로 내보냅니다. 9. 서버 인증서 icapcert.pem을 Security Gateway / 각 Cluster Member의 어떤 디렉터리(예: /home/admin)로 복사합니다. 10. Security Gateway / 각 Cluster Member의 명령줄에 접속합니다. 11. Expert 모드로 로그인합니다. 12. ICAP Server 구성 파일을 편집합니다.

       vi $FWDIR/c-icap/etc/c-icap.conf
       

       TlsPort [port_number]
       cert=/home/admin/icapcert.pem
       

       icap_server reconf
       

       adaptation_send_client_ip on
       adaptation_send_username on
       icap_client_username_encode on
       icap_client_username_header X-Authenticated-User
       icap_service service_req_pre reqmod_precache icaps://<IP_ADDRESS>:<PORT_NUMBER>/sandblast tls-cafile=<CERTIFICATE_FILE> tls-domain=<DOMAIN_NAME>
       icap_service service_req_post reqmod_postcache icaps://<IP_ADDRESS>:<PORT_NUMBER>/sandblast tls-cafile=<CERTIFICATE_FILE> tls-domain=<DOMAIN_NAME>
       icap_service service_resp_pre respmod_precache icaps://<IP_ADDRESS>:<PORT_NUMBER>/sandblast tls-cafile=<CERTIFICATE_FILE> tls-domain=<DOMAIN_NAME>
       icap_service service_resp_post respmod_postcache icaps://<IP_ADDRESS>:<PORT_NUMBER>/sandblast tls-cafile=<CERTIFICATE_FILE> tls-domain=<DOMAIN_NAME>
       adaptation_access service_req_post allow all
       adaptation_access service_resp_pre allow all
       adaptation_access service_resp_post allow all
       

2단계 — ICAP Client가 게이트웨이에 연결하도록 구성합니다(ICAP Client 시작하기 참고).

3단계 — ICAP 규칙 구성

Security Gateway 또는 Cluster 객체에서 ICAP Server를 켜면, SmartConsole이 Threat Prevention Rule Base에 규칙을 자동으로 만듭니다. ICAP Server가 켜진 Security Gateway / Cluster마다 규칙 하나가 생깁니다. 이 규칙의 Action 열에서 동작을 구성하고, ICAP 규칙마다 다른 프로필을 선택할 수 있습니다.

4단계 — Threat Extraction 지원 을 위해 Threat Prevention 프로필 편집기에서 Threat Extraction > General page > Protocol 로 가서 Web (HTTP/HTTPS) 을 선택합니다.

5단계 — Anti-Virus로 파일을 검사 하려면 Threat Prevention 프로필의 Anti-Virus 페이지에서 Enable deep inspection scanning (impacts performance) 을 선택합니다.

6단계 — Security Gateway에서 고급 ICAP Server 설정 구성

ICAP Server는 프로세스로 ICAP Client의 요청을 처리합니다. 각 프로세스는 여러 스레드를 만들고, 각 스레드가 ICAP Client→ICAP Server 요청 하나를 처리합니다. ICAP Server는 최적 성능을 위해 프로세스 수의 동적 스케일링 을 지원합니다.

7단계 — Threat Prevention 정책을 설치 합니다.

ICAP Server 기능을 테스트하는 방법은 sk174487을 참고하세요.

ICAP Client 쪽의 관련 구성

Check Point ICAP Server와 함께 일할 때는 ICAP Client 쪽에 다음 설정을 해 둬야 합니다.

활용 사례 — HTTPS 콘텐츠를 ICAP로 전달

ICAP 기술로 HTTPS 콘텐츠를 주고받을 수 있습니다. 시스템 관리자인 당신이 서드파티 게이트웨이/프록시와 Check Point Security Gateway가 함께 있는 네트워크를 운영한다고 합시다. Check Point Security Gateway는 Threat Emulation과 Anti-Virus 블레이드를 시행하지만, HTTPS Inspection은 서드파티 게이트웨이/프록시에만 켜져 있고 Check Point Security Gateway에는 꺼져 있습니다.

ICAP Client와 Check Point ICAP Server를 함께 켜서 연동하면, ICAP Client가 복호화된 트래픽을 ICAP Server로 보내 검사하게 할 수 있습니다. 그러면 Check Point Security Gateway에 HTTPS Inspection이 켜져 있지 않아도, Threat Emulation·Anti-Virus 블레이드가 HTTPS 콘텐츠를 읽을 수 있습니다.

HTTPS Inspection에서 ICAP 기술을 쓰는 흐름은 다음과 같습니다.

---

다음 장에서는 메일 보안을 다룹니다 — Anti-Spam과 메일 보안. HTTPS 트래픽 검사의 자세한 구성은 HTTPS Inspection을 참고하세요.