[논문 리뷰] Algorithms for Analysing Firewall and Router Access Lists

Scott Hazelhurst|ArXiv.org|2000. 08. 09.

Formal Methods in Verification참고 문헌 5인용 수 38

한 줄 요약

이 논문은 복잡한 룰 세트의 효율적 검증, 시각화 및 수정을 가능하게 하기 위해 방화벽 및 라우터 액세스 제어 목록을 압축적으로 표현하고 분석하기 위해 이진 결정 다이어그램(BDDs)을 사용할 것을 제안한다. 룰 세트를 정규형 BDD로 변환함으로써, 자동 분석, 동치성 검사 및 직관적인 그래픽적 점검이 가능해지며, 네트워크 보안 정책의 룰 세트 유지보수성 향상과 구성 오류 감소에 크게 기여한다.

ABSTRACT

Network firewalls and routers use a rule database to decide which packets will be allowed from one network onto another. By filtering packets the firewalls and routers can improve security and performance. However, as the size of the rule list increases, it becomes difficult to maintain and validate the rules, and lookup latency may increase significantly. Ordered binary decision diagrams (BDDs) - a compact method of representing and manipulating boolean expressions - are a potential method of representing the rules. This paper presents a new algorithm for representing such lists as a BDD and then shows how the resulting boolean expression can be used to analyse rule sets.

연구 동기 및 목표

• 크고 복잡한 방화벽 및 라우터 룰 세트의 증가하는 복잡성과 유지보수의 어려움을 해결하기 위해.
• 룰 순서, 중복 또는 뜻하지 않은 액세스 패턴으로 인한 구성 오류를 줄이기 위해.
• 형식적 방법을 통해 룰 세트 분석의 효율성과 정확성을 향상시키기 위해.
• BDD를 사용하여 액세스 제어 정책의 확장 가능하고 압축된 표현을 제공하기 위해.
• 네트워크 관리자가 룰 세트를 검증하고 시각화할 수 있는 실용적인 도구를 개발하기 위해.

제안 방법

• 네트워크 속성(소스/대상 IP, 포트, 프로토콜)에 대한 부울 표현식으로 각 액세스 목록 룰을 표현하기.
• 전체 룰 세트를 단일으로 축소된 순서화된 이진 결정 다이어그램(ROBDD)으로 컴iles하여 정규형이고 압축된 표현을 확보하기.
• 룰 세트의 형식적 분석을 위해 BDD 연산(예: 논리곱, 부정, 동치성 검사)을 사용하기.
• 룰 세트 내의 충돌, 중복 및 뜻하지 않은 동작을 탐지하기 위한 쿼리 및 비교 알고리즘 구현하기.
• 룰 세트의 동작을 시각화하고 서로 다른 룰 세트 간의 차이를 효율적으로 비교할 수 있도록 Tcl/Tk를 사용한 프로토타입 그래픽 인터페이스 개발하기.
• BDD 크기를 최소화하고 성능을 향상시키기 위해 변수 순서 정렬 및 최적화 기법 적용하기.

실험 결과

연구 질문

• RQ1 크고 복잡한 방화벽 및 라우터 액세스 목록은 어떻게 압축적이고 형식적이며 분석 가능한 방식으로 표현할 수 있는가?
• RQ2 BDD는 룰 세트의 일관성 오류, 중복 또는 뜻하지 않은 액세스 패턴을 어느 정도 탐지할 수 있는가?
• RQ3 BDD 기반 분석은 네트워크 액세스 정책의 정확성과 유지보수성 향상에 기여할 수 있는가?
• RQ4 BDD 표현 방식은 룰 세트의 자동 검증 및 비교를 얼마나 효과적으로 지원하는가?
• RQ5 BDD 기반 룰 분석 도구의 실용적 사용성과 성능 특성은 어떠한가?

주요 결과

• BDD 표현은 어떤 액세스 목록이라도 정규형이고 압축적이며 형식적으로 올바른 모델을 제공하여 신뢰할 수 있는 분석을 가능하게 한다.
• BDD 기반 분석은 룰 충돌, 중복 및 뜻하지 않은 액세스 패턴을 자동으로 탐지할 수 있다.
• 프로토타입 그래픽 인터페이스를 통해 사용자는 룰 세트의 동작을 시각화하고 서로 다른 버전 간의 차이를 효율적으로 비교할 수 있다.
• BDD를 사용한 룰 세트 간 동치성 검사는 계산적으로 효율적이고 정확하여 안전한 룰 수정을 가능하게 한다.
• BDD 방법은 전체 룰 목록을 검토하지 않고도 '특정 서브넷에서 허용되는 트래픽은 무엇인가?'와 같은 고수준 쿼리를 지원한다.
• 프로토타입은 성능 최적화가 되어 있지 않지만, 추가적인 기술적 정교화를 거치면 산업 수준의 구현에 실현 가능함을 입증한다.