[논문 리뷰] The Mathematical Foundations for Mapping Policies to Network Devices (Technical Report)

Dinesha Ranathunga, Matthew Roughan외 2명|arXiv (Cornell University)|2016. 05. 30.

Access Control and Trust인용 수 4

한 줄 요약

이 논문은 고수준 보안 정책을 네트워크 장치로 정확하고 검증 가능하게 매핑하기 위한 형식적 대수적 프레임워크를 제안한다. 정책을 Zone-Conduit 모델로 모델링하고, 검증 가능한 대수적 의미론을 적용함으로써 구성 오류를 제거한다—실제로 7개의 SCADA 네트워크에서 잘못된 ACL 규칙 매핑이 전혀 발생하지 않음—동시에 계산 효율성도 유지한다.

ABSTRACT

A common requirement in policy specification languages is the ability to map policies to the underlying network devices. Doing so, in a provably correct way, is important in a security policy context, so administrators can be confident of the level of protection provided by the policies for their networks. Existing policy languages allow policy composition but lack formal semantics to allocate policy to network devices. Our research tackles this from first principles: we ask how network policies can be described at a high-level, independent of firewall-vendor and network minutiae. We identify the algebraic requirements of the policy mapping process and propose semantic foundations to formally verify if a policy is implemented by the correct set of policy-arbiters. We show the value of our proposed algebras in maintaining concise network-device configurations by applying them to real-world networks.

연구 동기 및 목표

• 기존 정책 언어에 형식적 의미론이 부족하여 고수준 정책을 네트워크 장치로 정확하고 검증 가능한 방식으로 매핑할 수 없는 문제를 해결하기 위해.
• IP 주소와 제조사 설정과 같은 네트워크 고유의 세부 정보로부터 보안 정책을 분리하여, 정책의 의도가 유지되도록 하기 위해.
• 정책이 의도한 방화벽과 인터페이스에서 정확히 시행됨을 보장하는 수학적으로 엄밀한 기반을 제공하기 위해.
• SCADA와 같은 임무 핵심 네트워크에서 구성 복잡도와 오류율을 줄이기 위해 자동화되고 정확한 정책 배포를 가능하게 하기 위해.
• 정책 추상화에 대한 형식적 추론을 통해 '만약에' 분석과 정책 준수 검증을 지원하기 위해.

제안 방법

• 저자는 네트워크 토폴로지를 추상화하기 위해 Zone-Conduit 모델을 정의하여, 정책 의도와 장치 고유의 구성 설정을 분리한다.
• 정책의 순차적 및 병렬적 조합을 위한 대수적 연산을 도입하여, 장치로의 매핑 과정에서 의미가 유지되도록 한다.
• 정책 매핑이 구성에 따라 정확함을 보장하기 위해 형식적 검증 프레임워크를 사용하며, 수학적 의미론을 활용해 방화벽, 인터페이스, 방향에 대한 할당을 검증한다.
• 시스템은 알고리즘 1을 사용하여 존과 컨duit 구조를 기반으로 최적의 매핑을 계산하며, 테스트 케이스에서 최악의 경우 시간 복잡도는 O(21⁴)이다.
• ACL 규칙 할당을 형식적 정책 사양에 기반해 검증하여 잘못된 방화벽, 인터페이스 또는 방향 할당을 탐지함으로써 자동 검증을 지원한다.
• 프레임워크는 역사적 방화벽 구성이 있는 7개의 실제 SCADA 네트워크 사례 연구를 통해 평가되었다.

실험 결과

연구 질문

• RQ1 고수준 보안 정책을 네트워크 장치로 정확하고 검증 가능하게 매핑할 수 있는 방법은 무엇인가? 이 방법은 정확성과 검증 가능성을 보장하는가?
• RQ2 장치 매핑 과정에서 정책 의미를 유지하기 위해 필요한 대수적 구조는 무엇인가? 특히 순차적 및 병렬 조합에 대해.
• RQ3 형식적 정책-매핑 프레임워크는 실제 임무 핵심 네트워크, 예를 들어 SCADA 시스템에서 구성 오류를 줄일 수 있는가?
• RQ4 제안된 방법은 구성 유지보수성 향상과 정책 준수 및 변경 분석 지원에 얼마나 기여하는가?
• RQ5 네트워크 크기에 따라 매핑 알고리즘의 계산 복잡도는 어떻게 변화하는가? 특히 존 대비 호스트 수에 따라 어떻게 변화하는가?

주요 결과

• 제안된 대수적 프레임워크는 실제 7개의 SCADA 사례 연구에서 잘못된 ACL 규칙 매핑이 전혀 발생하지 않아, 방화벽, 인터페이스, 방향 할당 오류가 완전히 제거됨.
• 표준 데스크톱 컴퓨터에서 사례별 평균 정책-장치 매핑 실행 시간은 53초로 실용적인 효율성을 입증함.
• 존 기반 매핑 시 최악의 경우 시간 복잡도는 O(21⁴)였고, 개별 호스트 기반 매핑 시에는 O(67580⁴)였으며, 이는 대규모 환경에서도 실행 가능함을 증명함.
• 평균적으로 각 사례에서 10개의 ACL 규칙이 원래 구성에서 잘못 할당되어 있었으며, 이는 실제 네트워크에서 배포 오류가 흔하다는 것을 시사함.
• 프레임워크는 평균적으로 사례당 15건의 잘못된 방향 할당과 8건의 인터페이스 수준 설정 오류를 성공적으로 식별하고 수정함.
• 이 방법은 정책 의도를 네트워크 고유의 실행 세부 정보에서 분리함으로써 정확한 '만약에' 분석과 준수 검증을 지원한다.