네트워크 보안에서 시그니처(signature)는 침입 탐지 시스템(IDS)과 침입 방지 시스템(IPS)의 핵심 요소입니다. 이 글에서는 시그니처의 기본 개념부터 폐기된(retired) 시그니처의 의미, Cisco IPS 시그니처 관리 방법, 그리고 시그니처 기반 탐지의 장단점까지 체계적으로 정리합니다.
폐기된(Retired) 시그니처란 무엇인가?
IOS IPS는 시그니처를 사용해 네트워크 트래픽을 검사합니다. 사용자는 시그니처를 선택하거나 선택 해제함으로써 폐기 상태를 해제(unretire)하거나 다시 폐기할 수 있습니다. 시그니처가 한 번 폐기되면 IOS IPS는 해당 시그니처를 메모리에 컴파일하지 않기 때문에, 더 이상 트래픽 검사에 사용되지 않습니다.
네트워크 시그니처란?
정보 보안 분야에서 시그니처란 컴퓨터 시스템이나 네트워크에 대한 악성 공격과 관련된 패턴 또는 흔적을 의미합니다. 이러한 패턴은 파일에 나타나는 네트워크 트래픽 내의 바이트 시퀀스(byte sequence) 형태로 존재할 수 있습니다.
IDS/IPS에서 시그니처란?
IDS/IPS 맥락에서 시그니처는 특정 공격과 연관된 활동 패턴 또는 코드를 뜻합니다. 즉, "정상적인" 네트워크 동작과 구별되는 비정상적 행위를 식별하는 기준 역할을 합니다.
Cisco IPS 시그니처란?
Cisco IPS 및 Cisco IOS IPS 장비는 시그니처를 기반으로 네트워크 침입을 탐지합니다. 시그니처를 활용하면 센서가 어떤 유형의 네트워크 침입을 탐지할지 세부적으로 지정할 수 있습니다.
시그니처 알람(Signature Alarm)이란?
IDS와 IPS 센서가 공격 및 정책 위반으로부터 효과적으로 보호하고 알람을 생성하려면 시그니처의 정확성이 필수적입니다. 시그니처 알람은 트래픽이 특정 시그니처와 일치할 때 관리자에게 경보를 전달하는 핵심 메커니즘입니다.
Cisco IPS 시그니처를 확인하는 방법
Cisco 시그니처 서버에서 IPS 시그니처를 다운로드하려면 유효한 Cisco 인증서와 Cisco.com 계정이 필요합니다. 설정 절차는 다음과 같습니다.
1. Device Management > Cisco Services & Support 메뉴로 이동합니다.
2. Account Settings 페이지에서 Cisco 계정을 구성합니다.
3. 해당 계정 자격 증명을 사용해 보안 어플라이언스에 로그인합니다.
시그니처 엔진(Signature Engine)이란?
시그니처 엔진은 Cisco IPS와 함께 작동하며 다양한 유형의 시그니처를 지원합니다. 엔진은 파서(parser)와 인스펙터(inspector)라는 두 부분으로 구성되며, 각 엔진마다 고유하게 설정 가능한 파라미터 범위를 가집니다.
IPS 시그니처란?
시그니처는 DoS(Denial of Service) 공격과 같은 일반적인 침입 활동을 IDS 또는 IPS가 탐지하는 기반이 됩니다. IDS/IPS 센서는 데이터 흐름이 시그니처와 일치하는 것을 발견하면 이벤트를 로그에 기록하거나, Cisco SDM과 같은 관리 소ftware로 알람을 전송하거나, 두 가지 작업을 모두 수행할 수 있습니다.
멀웨어 시그니처란?
멀웨어 시그니처는 사이버 보안 기술이 악성 위협을 식별하기 위해 사용하는 패턴입니다. 대표적인 예로 네트워크 트래픽에 포함된 특정 바이트 값이나, 특정 멀웨어 계열이 사용하는 명령어 시퀀스 등이 있습니다.
방화벽에서의 시그니처란?
웹 애플리케이션 방화벽(WAF)의 시그니처를 활용하면 알려진 공격으로부터 웹사이트를 간편하고 일관된 방식으로 보호할 수 있습니다. 시그니처는 본질적으로 시스템, 웹 서버, 웹사이트 또는 XML 기반 웹 서비스를 공격하는 데 사용되는 설계 패턴을 나타냅니다.
IPS는 시그니처 기반인가?
IPS에서 익스플로잇을 탐지하는 방법은 다양하지만, 시그니처 기반 탐지와 통계적 이상 징후 기반 탐지가 주류를 이룹니다. 시그니처 기반 탐지는 코드 내에서 발견되는 고유한 시그니처(패턴)를 통해 익스플로잇을 인식합니다.
침입 탐지 시스템(IDS) 시그니처란?
침입 탐지 시스템(IDS)은 네트워크에서 발생하는 악성 활동이나 정책 위반을 지속적으로 모니터링합니다. 탐지된 악성 활동과 관련된 데이터는 일반적으로 SIEM(Security Information and Event Management) 시스템을 통해 수집 및 보고됩니다.
시그니처 기반 IDS/IPS의 약점
시그니처 기반 IDS/IPS에는 근본적인 한계가 존재합니다. 가장 대표적인 약점은 취약한 인증을 악용하는 공격을 탐지할 수 없다는 것입니다. 예를 들어 중요 시스템의 관리자 비밀번호가 'password123'처럼 허술하다면, IDS/IPS는 악의적인 행위자의 "합법적인" 접근을 탐지하지 못합니다. 따라서 강력한 인증 정책과 함께 운영해야 합니다.
IPS 시그니처의 작동 원리
침입 방지 시스템(IPS)은 네트워크를 통해 전달되는 트래픽을 실시간으로 검사하여 악성 활동과 알려진 공격 패턴을 식별합니다. 네트워크 트래픽을 분석하고 비트 단위로 자체 시그니처 데이터베이스와 지속적으로 비교함으로써, 알려진 공격 패턴을 신속하게 탐지하고 차단합니다.