격리 (Isolation, IS)
2. 격리 (Isolation, IS) · 6개 통제항목
정의
정보시스템은 각 프로세스를 독립된 공간에서 실행하여 상호 간섭을 차단하고, 일반 사용자에게 관리 기능 및 인터페이스의 노출을 제한하며, 애플리케이션 접근을 통제하여 데이터의 무단 접근을 방지하기 위한 통제항목이다.
보안통제 항목 (6)
| N2SF ID | 소항목 | 보안통제설명 | 분류 |
|---|---|---|---|
| N2SF-IS-1 | 프로세스 격리 | 실행되는 각 프로세스(작업 또는 프로그램)가 다른 프로세스에 영향을 미치거나 간섭을 차단하기 위해 독립된 공간에서 실행한다. | C |
| N2SF-IS-2 | 정보시스템 운영･관리 기능 표출 제한 | 일반 사용자에게 정보시스템 관리와 관련된 기능 및 인터페이스 표출을 제한한다. | C S O |
| N2SF-IS-3 | 애플리케이션 논리적 격리 | 하나의 시스템 내 여러 애플리케이션이 서로 자원을 공유하지 않도록 논리적으로 격리해 민감 데이터 접근을 제한한다. | C S |
| N2SF-IS-4 | 네트워크 격리 | 내부망, 외부망, 보안망 등 네트워크 간에 방화벽, 라우팅 제어 등으로 트래픽을 분리하여 정보 유출 또는 확산을 방지한다. | C S O |
| N2SF-IS-5 | 가상화 환경 격리 | 가상머신(VM) 또는 컨테이너는 호스트와 다른 가상환경 간 간섭이 없도록 하이퍼바이저 및 메모리 보호 기술로 격리한다. | C S O |
| N2SF-IS-6 | 격리 위반사항 대응체계 운영 | 시스템 간 경계 침해, 애플리케이션 간 접근 시도 등 격리 위반 탐지 시 경고, 차단, 로그 분석 등 즉각적인 대응체계를 갖춘다. | C S O |
구현 방법 예시
프로세스 격리를 위한 격리 기술
- 각 프로세스를 독립적인 가상 머신(VM) 또는 컨테이너(Container)에서 실행하여, 프로세스 간 간섭을 원천적으로 차단한다.
- 하드웨어 기반 메모리 보호(Memory Isolation) 기술(Intel VT-x나 AMD-V 기술 등)을 활용하여 프로세스가 다른 프로세스의 메모리에 접근하지 못하도록 설정한다.
시스템 관리 기능 및 인터페이스 제한 기술
- 시스템 운영 기능과 관리 인터페이스는 일반 사용자에게 노출되지 않도록 별도의 관리 경로로 분리하며, 역할 기반 접근 제어(RBAC)를 적용하여 기능별 접근 권한을 제한한다.
- 관리자는 별도의 URL 또는 인증수단을 통해서만 접근하도록 설정한다.
- 사용자 계정에게 시스템 제어 패널, 네트워크 설정, 서비스 시작/중지 등의 관리 기능 접근을 UI 또는 CLI에서 숨김 처리한다.
- API 기반 시스템에서는 Swagger 또는 관리자 콘솔 인터페이스 접근 권한을 RBAC로 통제한다.
애플리케이션 접근 통제 기술
- 동일 시스템 내 애플리케이션 간 자원 공유는 최소화하고, 논리적으로 분리된 저장 공간이나 네트워크 인터페이스를 사용하여 민감한 데이터에 대한 비인가 접근을 차단한다.
- 이를 위해 Web Application Firewall(WAF)을 설치하고, 세션 간 데이터 유출 및 입력값 변조 등을 탐지하여 대응한다.
- 민감 정보가 존재하는 애플리케이션은 네트워크 정책 및 인바운드 포트를 엄격히 통제하여 접근을 제한한다.
네트워크 분리 적용
- DMZ, 외부망, 내부망, 보안망 간에는 라우팅 경로와 NAT 경계를 명확히 분리하고, 중간에 L3/L7 방화벽과 IDPS를 배치한다.
- 서브넷별 트래픽 흐름은 ACL, Security Group, Firewall Rule로 정책 설정하고, 비인가 포트 접근은 기본 차단한다.
- 네트워크 경로에 대한 실시간 흐름은 NTA(Network Traffic Analysis) 솔루션으로 감시한다.
가상화 격리 구성
- 하이퍼바이저 수준에서 VM 및 컨테이너의 리소스는 CPU Pinning, Memory Allocation Control, Storage QoS로 격리한다.
- VM 간 트래픽은 가상 네트워크 방화벽을 통해 통제하며, 하이퍼바이저의 취약점은 정기 패치 및 FIPS 모드로 보호한다.
- 컨테이너 실행 환경은 Namespace, AppArmor, seccomp를 조합하여 IPC, file, socket 접근을 제한한다.
위반 탐지 및 대응
- 프로세스 간 의심스러운 접근 시도 또는 비정상 IPC 호출을 EDR로 탐지한다.
- 서비스 간 데이터 전송이 정책을 위반할 경우, SIEM과 연동하여 자동 경고 및 세션 종료 정책을 적용한다.
- 격리 위반 시 로그는 중앙 저장소로 전송되며, 탐지된 이벤트는 관리자 알림 또는 플레이북 기반 대응으로 처리한다.
적용 기술 요약
| 항목 | 적용 기술 또는 방식 |
|---|---|
| 프로세스 실행 격리 | AppArmor, SELinux, WDAC, 실행 경로 제한, 프로세스별 사용자 분리 |
| 관리 기능 통제 | 제어판 숨김, sudo 제한, RBAC 기반 관리 콘솔 제어 |
| 애플리케이션 논리 분리 | WAF, 비정상 IPC 금지 |
| 네트워크 격리 | DMZ/내부망 분리, L3 방화벽, IDPS |
| 가상환경 격리 | Hypervisor Memory/CPU 분리, Namespace설정, seccomp, 가상 방화벽 |
| 위반 탐지 및 자동 대응 | EDR, SIEM |