[ActiveDIrectory] AD와 연동하는 차세대 방화벽의 원리에 대해여(User-ID)

차세대 방화벽에 대해서는 2009년 가트너에서 첫 언급이 되었는데, 새롭게 등장하는 많은 애플리케이션들을 통해 다양한 보안 위협이 증가할 것이고 기존 방화벽을 포함한 보안 솔루션들로는 이에 대해 효과적으로 대처할 수 없다 생각으로 새로운 방화벽 방식이 필요하다고 하였다.(참고자료)

그로 인해 차세대 방화벽에서 제공해야 할 기능은 다음과 같다고 한다.
1. 애플리케이션 탐지, 분석, 제어 기능 및 신규 애플리케이션 즉각 등록
2. 사용자 및 사용자 그룹별 보안 정책 수립
3. 실시간 탐지 및 분석 기능의 IPS, AV, URL 필터링 기능
4. 성능 보장

이 중에서 Active Directory 연관된 부분은  2번 '사용자 및 사용자 그룹별 보안 정책 수립'이다.

IP주소와 실제 사용자가 일치하지 않는 대부분의 경우를 위해 단순한 IP주소가 아닌 사용자나 사용자 그룹 단위로 보안 정책을 수립할 수 있는 기능을 제공해야 한다. 이는 사용자의 이동으로 인한 위치의 변경에도 일관된 보안 정책을 수립할 수 있는 보안 관리의 중요한 요소 중 하나일 것이다.

즉 기존에 IP 주소를 기반으로 방화벽 정책을 수립하던 방식에서는 여러가지 어려움이 있었다. IP가 조직별로 사용자별로 할당이 되어 있지 않으면, 일일이 요청이 올 때마다 설정을 해줘야 하거나 실 사용자 파악이 안되서 제대로 관리가 되지 않은 부분이 많았다. AD와 연동을 통해서 User-ID를 기반으로 방화벽 정책을 설정하면 상기 언급한 불편함을 해소할 수 있게 된다.

아래 그림을 통해서 알아보면 보다 이해가 쉬울 수 있다. (금번 경우
우선, 사용자가 사용하면서 특정 IP가 다양한 시스템을 통해서 발생하는 이벤트 정보와 로그를 수집할 수 있다. 이 점은 기존 방화벽 방식과 크게 다르지 않지만 중요한 점은 이후 Directory 서비스인 AD와 그 정보가 매핑을 하게 되면 해당 사용자의 권한 및 소속 그룹 정보를 방화벽 콘솔에서 확인이 가능하며 그에 따른 정책을 적용할 수 있게 된다.

그러면 AD 서버를 비롯한 타 시스템에서 어떤 정보를 수집하는지 알아보자. 

하기 정보를 수집하여 IP주소와 사용자 정보를 실시간으로 매핑하여 운영한다.  

실제 화면을 보면 아래와 같이 AD정보와 매핑된 상태에서 User를 구분할 수 있다. 

그리고 매핑된 User 및 그룹정보에 따라 정책을 설정할 수 있다.