Log management as a tool against insider threats
컴플라이언스 목적으로 구입한 로그 관리 제품을 내부자 위협에 대한 네트워크 또한 보호하도록 설계하는 방법
By Davi OttenHeimer, Network World May 28, 2008
------------------------------------------------------------------------------------------------------------------------------------------------------------
IT 관리자로서, 조직이 유연하게 운영되는데 필요한- 특히 컴플라이언스 솔루션 예산이 있다면- 대부분의 보안 솔루션을 구축하는 방법을 자주 고심하곤 한다.
이에 관한 한가지 팁은 컴플라이언스를 위해 구입한 로그 관리 제품을 내부자 위협으로부터의 네트워크 보호에도 활용할 수 있는 방법이다. 만약 로그 관리 제품을 적소에 가지고 있다면, 민감한 데이터를 보호하는데 그것으로 충분한 것일까? 다른 Best practice가 있다면 무엇이고, 실제 사례는 무엇일까?

정보보호 툴들은 때로 탐지적 툴 그리고 예방적인 툴- 이렇게 두가지 카테고리로 나누어진다. 이름에서 나타나듯이, 전자는 보안 이벤트를 모니터하고 발견하는 방법을 제공하는 반면, 후자는 공격을 예방하도록 돕는다.

로그 관리는 단지 탐지적인 통제로, 그 자체만으로 민감한 데이터를 보호하는 것으로는 충분하지 못한다. 비인가된 접근과 공격을 막기 위해 접근 통제와 인증과 같은 것들을 여전히 필요로 한다.

그러나, 탐지적 통제들은 상당히 예방적 통제들을 강화시키는데 왜냐하면, 임박한 공격(예, 의심스러운 활동과 감시)을 경고하고 그 공격들이 실패할지라도 공격에 대한 경고를 제공하기 때문이다. 따라서 로그 관리는 컴플라이언스 뿐만 아니라 내부자 공격에도 도움이 될 수 있는 직•간접적인 어플리케이션을 가지고 있다.

로그 관리의 직접적인 방법은 대개 “안전하고 중앙화된 로그 수집”(PCI 요구사항 10.5)과 같은 요건을 충족하기 위해 로그들을 장기 보존 능력이 있는 중앙화되고 안전한 공간으로 수집하는 것과 관련된다. 간접적인 방법들은 모니터링 또는 감사 활동과 관련된 모든 것과 연관될 수 있다. 이는 인증과 권한에서 암호화와 변경관리까지의 모든 것들이 로그 관리로부터 혜택을 얻을 수 있음을 의미한다.
예를 들어, 파일 무결성 모니터링 (PCI 요구사항 10.2.2,10.5.5 그리고 11.5)은 로그 관리 백엔드(back-end)에 달려있다. 일부는 모든 암호화가 사실상 상당한 로그 관리 요소를 가지고 있다는 사실에 놀랄 수도 있겠지만, 키와 서명과 관련된 액세스와 변경을 모니터링하는 것은 훌륭한 암호화 관리에 필수적이다. 예를 들어, 키를 수정 또는 대체하는 내부자가 있다고 가정해보자. 배후가 더 중요할 수도 있지만; 적절한 시간에 순환되지 않은 key(어떤 rotation은 주단위로 일어나는 것을 의미함)는 잠재적인 노출 또는 의심스러운 활동을 나타낸다.

컴플라이언스 목적을 충족하기 위한 로깅 솔루션을 계획하고 구현하는 데 있어서의 best practice와 관련된 의사결정은 다음과 같다:

1) 데이터는 특정 역할을 위한 daily summary report를 생성하도록 하면서 정규화되어야 한다. 이는 로컬에 있는 그리고 하위단위(granular) 수준에서의 세부적인 데이터들을 관리할 능력의 손실없이 데이터 중앙화를 가능하도록 한다. 정규화는 또한 장기간 아카이빙과 추후 검토를 고려하여 수행되어야 한다.

2) 특정 보안 이벤트들은 사고 응답자에게 보내지는 실시간 경고로 알려져야 한다. 컴플라이언스 요건은 “보안침해”, “의심스러운 활동” 그리고 “ 위험 신호”와 같은 다양한 조건을 가지고 있다, 그러나 그것들 모두 민감한 데이터로의 비인가된 접근을 차단하고 문서화할 필요성을 강조한다. 특정 보안 이벤트들은 비즈니스 모델과 데이터에 따라 다를 것이지만, 경계해야 할 일반적인 것들은 일정한 패턴의 비정상적인 변화이다. 이것들은 종종 사기(fraud)의 증거로 고려된다.

3) 로그 관리를 비즈니스 의사결정의 일부로 만들어라. 민감한 데이터가 유포되면, 훨씬 많은 보호비용이 들고, 로깅과 모니터링의 복잡성 또한 심화된다. 비즈니스를 수행하는데 더 효율적이고 그 결과 더욱 안전한 접근방식이 있는가? 다양한 시스템으로부터의 모든 로그를 취합하는 비용이 로그 되는 시스템들을 통합하는 것보다 더 많은 비용이 소요될까?

로그 관리 솔루션은 컴플라이언스를 달성하고 내부자 위협으로부터의 네트워크를 보호하도록 원조하면서..공격들을 방어하고 탐지하는 환경을 상당히 강화시킬 수 있다.