HIPS(호스트 침입 방지 시스템)란 무엇인가?
네트워크 보안 분야에서 자주 언급되는 HIPS(Host Intrusion Prevention System, 호스트 침입 방지 시스템)는 개별 호스트에 설치되어 해당 시스템 내부에서 발생하는 이벤트를 분석하고, 의심스러운 활동을 실시간으로 감시하는 소프트웨어입니다.
쉽게 말해 HIPS는 코드의 '행동'을 인식하고, 악성으로 판단될 경우 그 실행을 차단하는 역할을 합니다. 단순히 위협을 탐지하는 데 그치지 않고 능동적으로 대응한다는 점이 가장 큰 특징입니다.
HIPS와 방화벽, NIPS, 백신의 관계
HIPS는 방화벽, 백신 소프트웨어, 네트워크 기반 침입 방지 시스템(NIPS)과 함께 운영되면서 전체 보안 체계를 강화합니다. 중요한 점은 HIPS가 이들을 대체하는 것이 아니라 보완한다는 사실입니다.
다른 보안 계층이 탐지하지 못했거나, 인식하지 못했거나, 차단할 방법이 없었던 공격으로부터 호스트를 보호하는 것이 바로 HIPS의 역할입니다. 역사적으로도 HIPS는 방화벽과 매우 밀접한 연관성을 지니고 발전해 왔습니다.
HIPS가 제공하는 보호 기능
다층적 시스템 감시
HIPS는 메모리, 네트워크, 커널의 상태를 지속적으로 모니터링하며, 로그 파일 검사와 프로세스 실행 분석도 수행합니다. 또한 버퍼 오버플로우(buffer overflow) 공격으로부터 시스템을 보호하는 기능도 갖추고 있습니다.
악성코드 및 해킹 시도 차단
HIPS 솔루션은 다양한 유형의 악성 공격으로부터 컴퓨터를 보호합니다. 해커나 멀웨어가 사용자 컴퓨터에 중대한 변경을 시도하면 HIPS가 이를 즉시 차단하고, 사용자에게 알림을 보내 후속 조치를 결정할 수 있도록 돕습니다.
실행 전후 행위 분석
HIPS는 알려지지 않은 멀웨어가 호스트 컴퓨터에 진입하는 것 자체를 차단함으로써 바이러스와 의심 활동으로부터 시스템을 지킵니다. 이 과정에서 프로그램 실행 시작 시점과 종료 시점 모두에서 행위 분석이 이루어집니다.
주요 보안 업체의 HIPS 솔루션
McAfee HIPS
맥아피(McAfee)의 호스트 침입 방지 시스템은 호스트 컴퓨터에 대한 공격을 사전에 차단합니다. 백신 소프트웨어가 바이러스 같은 멀웨어로부터 보호한다면, HIPS는 소프트웨어 및 운영체제(OS)의 취약점으로부터 시스템을 지키는 역할을 담당합니다. 맥아피 HIPS는 시그니처 기반 보호와 행위 기반 보호를 동시에 제공합니다.
특히 McAfee Host Intrusion Prevention for Servers는 웹 서버와 데이터베이스 서버에 특화된 보호 기능을 제공하여 시스템 가동률과 비즈니스 연속성을 보장합니다. 또한 고도화된 위협으로부터 서버를 지키는 유일한 동적·상태 기반(stateful) 방화벽으로 평가받고 있습니다.
ESET HIPS
ESET 백신의 호스트 기반 침입 방지 시스템은 컴퓨터 시스템을 손상시키려는 멀웨어와 악성 활동으로부터 보호해 줍니다. 고급 행위 분석 기술을 통해 실행 중인 프로세스, 파일, 레지스트리 키를 감시하고, 네트워크 트래픽이나 스팸과 같은 위협 요소까지 탐지할 수 있습니다.
HIPS의 영문 약자로서의 다른 의미
HIPS는 문맥에 따라 다음과 같은 여러 의미로 사용될 수 있습니다.
- High Impact Polystyrene – 고충격 폴리스티렌 (소재 분야)
- Host Intrusion Prevention System – 호스트 침입 방지 시스템 (보안 분야)
- Hide in Plain Site – 은닉 기법 관련 용어
- Horizontal In Plane Switching – 수평면 스위칭 (디스플레이 분야)
네트워크 보안 맥락에서는 당연히 '호스트 침입 방지 시스템'을 가리킵니다.
GlobalProtect의 HIP(Host Information Profile) 확인 기능
Palo Alto Networks의 GlobalProtect에서 제공하는 HIP(Host Information Profile) 기능을 활용하면 엔드포인트의 보안 상태를 점검할 수 있습니다. 예를 들어 최신 보안 패치와 백신 정의 파일이 설치되어 있는지, 디스크 암호화가 활성화되어 있는지, 특정 소프트웨어가 실행 중인지 등을 확인할 수 있습니다.
GlobalProtect는 아hn랩(AhnLab), 애플(Apple), 안티랩(Antiy Labs) 등 다양한 인증 백신 벤더의 제품과 연동되어 엔드포인트 보안 상태를 평가합니다.
마무리: HIPS는 현대 보안의 필수 요소
HIPS는 대부분의 경우 엔드포인트 보호를 위해 활용되며, 서버 환경에서는 네트워크 계층부터 애플리케이션 계층까지 알려진 위협과 미지의 위협 모두로부터 서버를 보호합니다. 방화벽과 백신만으로는 막기 어려운 제로데이 공격이나 내부 위협까지 대응할 수 있다는 점에서, HIPS는 현대적인 다계층 보안 전략에서 빼놓을 수 없는 핵심 구성 요소라고 할 수 있습니다.