[논문 리뷰] Platform-Independent Firewall Policy Representation

Vadim Zaliva|ArXiv.org|2008. 05. 13.

Network Packet Processing and Optimization참고 문헌 3인용 수 3

한 줄 요약

이 논문은 이식성 있는 방화벽 정책 표현 모델과 이를 위한 고수준 정책 정의 언어를 제안하여 이질적인 방화벽 플랫폼 간의 통합 관리를 가능하게 한다. 방화벽 의미 체계를 공통 모델로 추상화하고, 룰 프로세서를 통해 제조사별 구문으로 컴파일하는 방식으로, 구성 오류를 줄이고 플랫폼 간 정책 분석을 가능하게 한다. 이는 개방 소스 방화벽 빌더 도구에 구현되어 있다.

ABSTRACT

In this paper we will discuss the design of abstract firewall model along with platform-independent policy definition language. We will also discuss the main design challenges and solutions to these challenges, as well as examine several differences in policy semantics between vendors and how it could be mapped to our platform-independent language. We will also touch upon a processing model, describing the mechanism by which an abstract policy could be compiled into a concrete firewall policy syntax. We will discuss briefly some future research directions, such as policy optimization and validation

연구 동기 및 목표

• 다양한 문법과 의미 체계를 가진 방화벽 플랫폼을 다수 관리하는 데 발생하는 행정 복잡성과 오류 비율 증가 문제를 해결한다.
• 저수준의 문법과 의미 체계를 고수준의 플랫폼 독립 모델로 추상화하여 방화벽 구성 시 인간 오류를 줄인다.
• 공통 중간 표현을 제공함으로써 다양한 플랫폼 간 정책 분석, 검증, 최적화를 가능하게 한다.
• 이질적인 환경에서 재사용 가능한 이식성 있는 방화벽 정책 관리 도구 개발을 지원한다.
• 고수준 보안 추상화와 실제 방화벽 구현 간 의미 체계와 문법적 격차를 메운다.

제안 방법

• 기본 네트워킹 객체(IP 주소, 서비스, 시간 간격), 호스트, 방화벽, 주소 범위와 같은 유틸리티 객체를 포함한 객체 지향 데이터 모델을 사용하여 추상 방화벽 모델을 정의한다.
• 소스/대상, 서비스, 인터페이스, 방향, 시간, 동작 등을 포함한 방화벽 규칙을 표현할 수 있는 플랫폼 독립 정책 정의 언어(파일 확장자 .fwb)를 설계한다.
• 규칙 프로세서라고 불리는 일련의 룰 변환 함수를 사용하여 추상 정책을 특정 플랫폼(예: iptables, pf, ipfilter)의 구체적 문법으로 컴파일하는 처리 모델을 구현한다.
• 주로 주소 범위를 여러 개의 CIDR 블록으로 변환하거나, 특수 표기법을 사용해 동적 인터페이스를 처리하는 등 플랫폼 고유의 차이를 해결하기 위해 룰 프로세서를 적용한다.
• 각 변환 단계가 대상 플랫폼의 제약 조건을 고려하면서 의미적 동치성을 유지하도록, 계층적 컴파일 파이프라인을 사용한다.
• 추상 모델을 중간 표현으로 활용하여, 여러 방화벽 간 정책 검증, 최적화, 이질성 탐지 기능을 지원한다.

실험 결과

연구 질문

• RQ1 주요 방화벽 플랫폼 간 문법과 의미 체계의 차이를 추상화할 수 있는 통합적이고 플랫폼 독립적인 방화벽 정책 모델을 어떻게 설계할 수 있는가?
• RQ2 방화벽 플랫폼 간의 핵심 의미 체계 차이(예: 기본 정책, 룰 매칭 순서, NAT 처리 방식)는 무엇이며, 이를 공통 모델에서 어떻게 조율할 수 있는가?
• RQ3 기능적 동치성을 유지하면서 고수준 정책 표현을 여러 구체적 방화벽 문법으로 컴파일하는 방법은 무엇인가?
• RQ4 주소 범위 지원 부족이나 동적 인터페이스 처리와 같은 플랫폼 고유의 제약을 해결하는 데 효과적인 변환 기법(룰 프로세서)은 무엇인가?
• RQ5 추상 모델을 통해 어떻게 고도화된 정책 분석, 예를 들어 다중 방화벽 간 이질성 탐지 및 최적화를 가능하게 할 수 있는가?

주요 결과

• 추상 방화벽 모델은 IP 주소, 서비스, 시간 간격과 같은 공통 추상화를 일관되게 모델링함으로써 다양한 방화벽 플랫폼을 성공적으로 통합한다.
• 룰 프로세서의 활용은 추상 정책을 구체적 문법으로 효과적으로 컴파일할 수 있도록 하며, 주소 범위 분할과 같은 변환 기법이 여러 플랫폼 간 재사용 가능하다.
• 암시적 인터페이스 지정, 다른 기본 정책, 룰 매칭 의미 체계 등 플랫폼 고유의 과제들은 컴파일 파이프라인 내 의미 정규화를 통해 체계적으로 해결할 수 있다.
• 규칙을 다차원 공간 내 기하학적 도형으로 모델링함으로써 패킷을 점으로 간주함으로써, 룰 간 충돌과 겹침을 탐지할 수 있도록 정책 검증 및 최적화가 가능해진다.
• 방화벽 빌더에 구현된 사례는 실용적 타당성을 입증하였으며, 다섯 개의 방화벽 플랫폼을 지원하고 주요 리눅스 배포판에 통합되어 있다.
• 다수의 방화벽이 공통 유틸리티 객체 세트를 공유할 수 있도록 함으로써 네트워크 수준의 정책 분석이 가능해졌으며, 내부 및 외부 방화벽 간 이질성 탐지가 가능해졌다.