S-06 보안장비 원격관리 접근통제

가이드라인 원문

항목	내용
항목코드	S-06
점검내용	보안장비 원격관리 시 관리자 IP 또는 특정 IP만 접근할 수 있도록 설정하였는지 점검
점검대상	방화벽, VPN, IDS, IPS, Anti-DDoS, 웹방화벽 등
양호기준	원격관리 시 관리자 IP 또는 특정 IP만 접근할 수 있도록 설정된 경우
취약기준	원격관리 시 관리자 IP 또는 특정 IP만 접근할 수 있도록 설정되지 않은 경우
조치방법	원격관리 시 관리자 및 특정 IP만 접근 허용

상세 설명

1. 판단 기준

기본 판단 기준

양호

원격관리 시 관리자 IP 또는 특정 IP만 접근할 수 있도록 설정된 경우
허용된 IP 목록이 관리되고 있음
불필요한 접속은 차단됨

취약

원격관리 시 관리자 IP 또는 특정 IP만 접근할 수 있도록 설정되지 않은 경우
모든 IP에서 접속 가능
접근 제어 정책 없음

경계 케이스 (Edge Case) 처리 방법

재택근무 환경
- 고정 IP가 없는 경우: VPN 통해서만 접속 허용
- 동적 IP: IP 대역으로 접근 제어
긴급 상황
- 긴급 시 IP 추가 절차 수립
- 일시적 접근: 만료일 설정
모바일 관리
- VPN + 2FA 필수 적용
- 접속 시간 제한

권장 설정값

관리자 PC의 공인 IP 등록
관리자 사무실의 IP 대역 등록
데이터센터 관리 단말 IP 등록
네트워크 관리팀 IP 대역 등록

2. 점검 방법

Step 1) 접속 IP 제한 설정 확인

보안장비의 관리 메뉴에서 접근 제어 설정 확인
“Access Control”, “Allowed Hosts”, “IP Restriction” 등의 메뉴 확인

Step 2) 허용 IP 목록 점검

1
2
3
4
5
확인 항목:
- 허용된 IP 주소 목록
- IP 대역 (예: 192.168.1.0/24)
- 특정 호스트 IP (예: 203.0.113.10)
- 불필요한 IP 포함 여부

Step 3) 원격 접속 경로 확인

인터넷을 통한 직접 접속 가능 여부
VPN을 통한 내부망 접속 여부
전용선을 통한 접속 여부

3. 조치 방법

Step 1) 허용 IP 등록

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
권장 사항:
- 관리자 PC의 공인 IP 등록
- 관리자 사무실의 IP 대역 등록
- 데이터센터 관리단말 IP 등록
- 네트워크 관리팀 IP 대역 등록

예시:
허용 IP: 203.0.113.10 (관리자 PC)
허용 IP: 203.0.113.0/24 (관리팀 대역)
허용 IP: 198.51.100.50 (데이터센터 관리단말)

Step 2) 접근 제어 정책 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
[보안장비 웹 관리 인터페이스]
접근 제어 설정:
├── HTTP/HTTPS 포트: 203.0.113.0/24 허용
├── SSH 포트: 203.0.113.10, 203.0.113.20 허용
└── 기타 모든 IP: 차단

[추가 보안 조치]
- 관리자 IP가 변경될 경우 즉시 업데이트
- 주기적(월 1회) 허용 IP 목록 검토
- 불필요한 IP 삭제

Step 3) 다중 계층 보안

1
2
3
4
5
6
7
8
9
1단계: 네트워크 레벨
   └── 방화벽에서 보안장비 관리 포트 차단
       (허용된 IP만 통과)

2단계: 보안장비 레벨
   └── 보안장비 자체 IP 접근 제어 설정

3단계: 계정 레벨
   └── 강력한 비밀번호 + 계정 잠금 정책

Step 4) VPN 활용 권장

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
원격 관리 구조:

❌ 위험한 구조:
인터넷 → 보안장비 관리 인터페이스 (직접 노출)

✅ 권장 구조:
인터넷 → VPN 장비 → 내부망 → 보안장비 관리 인터페이스

VPN을 통한 접근 시 이점:
- VPN 인증 후 접속 가능 (이중 보안)
- 암호화된 통신
- 접속 이력 추적 용이

4. 참고 자료

IP 접근 제어 방법

단일 IP 허용

1
allow from 203.0.113.10

IP 대역 허용

1
allow from 203.0.113.0/24

여러 IP 허용

1
2
3
4
allow from 203.0.113.10
allow from 203.0.113.20
allow from 198.51.100.50
deny from all

일반적인 관리 포트

HTTP: 80 (⚠️암호화 안 됨, 사용 지양)
HTTPS: 443 (⭐권장)
SSH: 22 (⭐권장)
Telnet: 23 (⚠️암호화 안 됨, 사용 금지)
SNMP: 161 (⚠️IP 제한 필수)

다중 계층 보안 예시

1
2
3
4
5
6
7
8
9
[방화벽 규칙]
외부 → 보안장비(SSH): 차단
VPN 터널 → 보안장비(SSH): 허용
내부망(관리팀) → 보안장비(HTTPS): 허용

[보안장비 설정]
허용 IP: 192.168.1.0/24 (관리팀)
허용 IP: 192.168.100.0/24 (데이터센터)
거부: 모든 기타 IP

5. 스크립트

취약점 점검 스크립트
- 이 스크립트는 KISA 주요정보통신기반시설 기술적 취약점 분석·평가 가이드라인(2026)을 준수하여 제작된 자동 점검 도구입니다. 복잡한 단일 파일 방식이 아닌 모듈화된 구조로 설계되어 유지보수가 쉽고 확장이 용이합니다.
- 다양한 환경에서 테스트를 진행했으나, 혹시 점검 로직에 이슈가 발견되거나 개선이 필요한 경우 적극적인 제보를 부탁드립니다.