[논문 리뷰] Misconfiguration Management of Network Security Components

Frédéric Cuppens, Nora Cuppens-Boulahia외 1명|PolyPublie (École Polytechnique de Montréal)|2019. 12. 16.

Network Packet Processing and Optimization참고 문헌 10인용 수 8

한 줄 요약

이 논문은 집합 연산을 통해 규칙 간 관계를 분석함으로써, 방화벽 설정 오류 중 부여 중복성과 쉐이딩을 탐지하고 제거하는 규칙 기반 알고리즘 프레임워크를 제안한다. 이 방법은 초기 규칙 집합을 오류가 없는 등가 최적화 구성으로 변환하여, 규칙 순서에 의존하지 않고도 정확한 액세스 제어와 향상된 보안 정책 이행을 보장한다.

ABSTRACT

Many companies and organizations use firewalls to control the access to their network infrastructure. Firewalls are network security components which provide means to filter traffic within corporate networks, as well as to police incoming and outcoming interaction with the Internet. For this purpose, it is necessary to configure firewalls with a set of filtering rules. Nevertheless, the existence of errors in a set of filtering rules is very likely to degrade the network security policy. The discovering and removal of these configuration errors is a serious and complex problem to solve. In this paper, we present a set of algorithms for such a management. Our approach is based on the analysis of relationships between the set of filtering rules. Then, a subsequent rewriting of rules will derive from an initial firewall setup -- potentially misconfigured -- to an equivalent one completely free of errors. At the same time, the algorithms will detect useless rules in the initial firewall configuration.

연구 동기 및 목표

• 네트워크 보안 정책을 약화시키는 방화벽 설정 오류라는 핵심 문제를 해결하기 위해.
• 자동으로 방화벽 규칙 집합 내의 중복성과 쉐이딩을 탐지하고 제거하기 위해.
• 초기 설정에서 오류가 발생할 수 있는 규칙 집합을 등가이자 오류 없는 구성으로 변환하기 위해.
• 규칙 순서에 의존하지 않도록 보장함으로써 보안 정책의 정확성을 규칙 순서와 독립적으로 확보하기 위해.
• 정책 의미를 유지하면서 취약점을 제거하는 공식적이고 검증 가능한 규칙 재작성 방법을 제공하기 위해.

제안 방법

• 세 가지 핵심 연산인 일치, 합집합, 포함을 사용하여 방화벽 규칙 간 관계를 분석한다.
• 충돌을 해결하기 위해 배제 연산에 기반한 규칙 재작성 알고리즘(알고리즘 1)을 적용한다.
• 배제 함수 $exclusion(R_j, R_i)$를 사용하여 $R_j$에 의해 매칭되지만 $R_i$에 의해 매칭되지 않는 패킷의 집합을 계산함으로써 겹침을 방지한다.
• 고우선순위 규칙으로부터의 배제 후 조건 집합이 비어 있는지 확인하여 쉐이딩을 탐지한다.
• 배제 기반 검증을 사용하여 규칙을 제거해도 정책이 변경되지 않는지 테스트함으로써 중복성을 탐지한다.
• 등가성, 정확성, 쉐이딩 및 중복성 제거의 정당성을 입증하기 위해 공식적 레이마와 정리를 활용한다.

실험 결과

연구 질문

• RQ1 방화벽 규칙 집합 내의 중복성과 쉐이딩은 어떻게 공식적으로 탐지하고 제거할 수 있는가?
• RQ2 규칙 재작성 과정이 규칙 순서에 영향을 받지 않고도 등가이자 오류 없는 방화벽 구성으로 이어질 수 있는가?
• RQ3 정확한 설정 오류 탐지에 기여하는 규칙 간 공식적 관계(일치, 포함, 합집합)는 무엇인가?
• RQ4 변환된 규칙 집합이 원래 보안 정책을 유지하면서도 모든 중복성과 쉐이딩을 제거했음을 검증할 수 있는가?
• RQ5 변환된 규칙 집합의 정확성과 등가성은 수학적으로 어떻게 증명할 수 있는가?

주요 결과

• 제안된 알고리즘은 오류가 발생할 수 있는 방화벽 규칙 집합을 중복성과 쉐이딩이 없는 등가 구성으로 변환한다.
• 변환된 규칙 집합은 규칙 순서에 독립적이므로, 충돌을 방지하기 위한 수동 우선순위 설정이 필요 없어진다.
• 고우선순위 규칙으로부터의 배제 후 조건 집합이 비어 있는 경우 쉐이딩이 탐지되며, 이는 해당 규칙이 절대 적용되지 않음을 의미한다.
• 배제 기반 검증을 사용하여 규칙을 제거해도 정책이 변경되지 않는지 테스트함으로써 중복성이 탐지된다.
• 공식적 증명을 통해 변환된 규칙 집합 $Tr(R)$가 원본 $R$과 의미적으로 등가임을 확인함으로써 정책의 정확성이 보장된다.
• 최종 구성에서 두 규칙이 동일한 패킷에 동시에 적용될 수 없음을 보장하여 의도하지 않은 액세스를 방지한다.