망·탐지

망 구조를 알면 결함이 어디서 나는가

이 모듈은 망 구조와 계층별 보안 솔루션 매핑을 다룹니다. P1에서 본 결함 14건 중 다수가 “우리 망 어디에서 발생하는가”라는 질문으로 환원됩니다 — 결함은 추상적이지 않고 구간(zones)에 발생합니다. P2는 ①전통적 기업망의 5구간 ②하이브리드 환경의 공격표면 변화 ③계층별 솔루션과 탐지원리 4분류를 차례로 보고, 관통축 “구간 ↔ 결함 매핑”으로 P1의 14건을 다시 한 자리에 놓습니다.

§2-1. 전통적 기업망 구조

망분리

• 물리 망분리: 업무망·인터넷망의 회선·장비를 물리적으로 분리 — 가장 강력하지만 비용·확장성 부담.
• 논리 망분리(CBC·SBC): 가상화로 한 물리자원을 논리적으로 분리 — CBC(Client Based Computing)는 단말에서, SBC(Server Based Computing)는 서버에서 분리. VLAN·VRF·VPN도 논리 분리 수단. 비용은 낮지만 설정 누락 시 무력화(결함 #4·#11).

§2-2. 하이브리드 환경과 공격표면 변화

Identity가 새 경계

온프렘은 네트워크 경계(방화벽)가 1차 방어선이었다면, 하이브리드에서는 자격증명(Identity)이 1차 경계입니다 — SAML·OAuth·API Key가 회선을 대체합니다. 따라서 자격증명 관리(P4)와 로그 기반 가시성(P5)의 비중이 커지고, ID 기반 접근 통제·권한 모니터링이 P3~P5의 모든 모듈에 관통합니다.

동적 자산 → 점검 누락 (결함 #13)

제로트러스트 / SASE·SSE / CSPM

• 제로트러스트: “내부망 = 신뢰”라는 가정을 버리고 매 요청을 검증. 네트워크 위치가 아닌 ID·디바이스·맥락 기반 정책.
• SASE / SSE: SD-WAN + SWG + CASB + ZTNA를 클라우드에서 통합 제공 — 지사·원격 근무 트래픽을 동일한 정책으로 보호.
• CSPM: 클라우드 설정 오류(IAM 과다 권한·S3 공개·스토리지 정책)를 자동 점검 — P5의 “기능관리”가 클라우드로 확장된 형태.

§2-3. 보안 프레임워크와 계층별 솔루션 매핑

위젯은 이 표를 심화합니다 — 배치·원리 축을 가르기 위해 IPS/IDS·백신/EDR을 쌍으로 분리하고, SIEM/SOAR은 4분류의 상관(메타)이라 판정 대상에서 제외해 12솔루션으로 다룹니다.

탐지원리 4분류

솔루션이 어떤 원리로 위협을 탐지하는가는 네 가지로 분류됩니다.

1. 시그니처 기반 — 알려진 패턴(룰·해시·URL)을 정확히 매치. 신규·변형 공격에는 무력합니다(백신·IPS 룰 등).
2. 이상행위/베이스라인 기반 — 평소 행위에서 벗어나는 변동을 탐지. 미지 공격 대응 가능하지만 학습기간이 필요하고 오탐이 있습니다.
3. 평판 기반 — IP·도메인·해시·URL의 외부 blocklist(Threat Intelligence)를 활용. 신속하지만 갱신 지연 시 신규 IOC 미탐.
4. 정책 기반 — 허용 목록(allow-list) 기반의 default-deny 운영. 가장 강력하지만 운영 부담이 최대이며 예외 누적 시 실질 정책이 무력화됩니다.

우회되는 이유

각 원리와 배치에는 고유한 우회 경로가 있습니다.

• 시그니처: 알려진 것만 탐지하므로 신규·변형 우회.
• 평판: blocklist 갱신 지연 시 신규 IOC 미탐.
• 이상행위: 학습기간·오탐 — 튜닝 부족 시 미탐/과탐.
• 정책: 예외(Exception) 누적 시 실질 정책 무력화.
• 미러링(IDS): 탐지만 가능하고 차단 불가 — 인라인 Fail-open 상태에서는 침투 단계에서 차단 공백.
• TLS 미복호화: L7 페이로드를 들여다볼 수 없어 WAF·IPS·IDS가 모두 무력 — 종단암호화 구간에서 가시성 결정.

아래 위젯 — 솔루션 12종 × 4분류 판정

12개 솔루션 가운데 하나를 고르면 그 솔루션의 원리·강점·약점·파생 판정·우회 이유가 즉시 갱신됩니다. 정적 매핑표를 읽고, 인터랙티브 위젯으로 심화하는 두 단계 학습입니다.

프레임워크 — Kill Chain / MITRE ATT&CK / NIST CSF 2.0 / 심층방어

• Lockheed Martin Cyber Kill Chain: 정찰 → 무기화 → 전달 → exploit → 설치 → C2 → 행동. 초기 단계(정찰·전달)에서 차단이 가장 비용 효과적입니다.
• MITRE ATT&CK: 14 전술 × 다수의 기법 — 공격자 관점의 절차적 분류. 탐지·시뮬레이션(Atomic Red Team)·정적 분석의 기준 어휘입니다.
• NIST CSF 2.0(2024): Govern · Identify · Protect · Detect · Respond · Recover. Govern가 신설돼 정책·공급망·사이버 위험 거버넌스가 1축으로 자리잡았습니다.
• 심층방어(Defense in Depth): 한 계층의 실패를 다음 계층이 메웁니다. 4분류의 원리가 서로 다른 약점을 가지므로, 시그니처 + 이상행위 + 정책을 겹치는 것이 핵심입니다.

관통축 — 구간 ↔ 결함 매핑

P3(방화벽·Snort)에서 다룹니다.

인증기준 ↔ 구간 부분집합 (P6 예고)