[ 칼럼 ] 기업 보안 정책 서버 , 시스코 ISE 2 . 0 의 이유 있 는 변화 
 Cisco ISE ( Identity Service Engine ) 는 2011 년 4 월 출시 이래 많 은 변화 를 거듭 하 면서 고객 의 중앙 집중 형 보안 정책 서버 역할 을 수행 해 왔 습니다 . 그리고 현재 Cisco ISE 는 NaaS / NaaE ( Network as a Sensor / Network as an Enforcer ) 의 핵심 구성 요소 로 기업 고객 의 네트워크 인프라 전반 에 가시성 과 보안 성 을 제공 하 고 있 습니다 . 
 Cisco ISE 는 중앙 집중 형 보안 정책 서버 입니다 . 기업 네트워크 인프라 에 사용 자 가 접근 할 때 사용 자 DB 를 체크 하 여 인증 , 권한 을 부여 함 으로써 네트워크 보안 및 감사 를 효율 적 으로 제공 합니다 . 이러 한 인증 관리 는 우리 주변 에서 도 쉽 게 찾아볼 수 있 는데요 . 무선 와이파이 를 사용 하 고자 할 때 유저 명 / 패스워드 를 입력 하 는 것 이 가장 대표 적 인 예 라고 할 수 있 습니다 . 
 상당히 간단 해 보이 죠 ? 네 , 단순 인증 만 한다면 범용 인증 서버 만 으로 이 와 같 은 기능 을 구현 가능 할 수 도 있 습니다 . 하지만 동일 한 사용 자 가 서로 다른 단말 즉 PC 와 모바일 단말 을 모두 사용 한다면 이야기 는 달라집니다 . 인증 에 대한 복잡 성 이 늘어나 기 때문 이 죠 . 
 그러나 Cisco ISE 는 네트워크 에 접속 하 는 단말 을 구별 하 여 사용 하 는 단말 에 맞 게 보 안 정책 을 적용 하 도록 합니다 . 기존 에 이해 하 고 있 던 인증 과 비교 해 보 면 차원 이 다른 인증 / 권한 관리 를 가능 하 도록 합니다 . 그리고 또 단말 의 상태 를 확인 하 여 보안 위협 의 소지 가 있 는 단말 은 네트워크 에 연결 할 수 없 게 차단 함 으로써 기업 의 네트워크 를 안 전하 게 보호 할 수 있 습니다 . 그래서 , 시스코 는 이 ISE 를 인증 서버 가 아닌 보안 정책 시스템 이 라 소개 하 고 있 습니다 . 
 우선 은 무선 만 을 예 로 들 었 는데요 . 실제 기업 들 은 유선 , 무선 , VPN 을 이용 하 여 네트워크 로 접속 을 하 게 됩니다 . 그러 다 보 니 각각 서로 다른 인증 소스 를 이용 하 게 되 고 , 정책 구현 도 각각 달라져 상당히 복잡 한 네트워크 를 구성 하 게 되 죠 . Cisco ISE 는 아래 와 같 은 기능 을 통하 여 복잡 한 네트워크 를 위한 다양 한 보안 정책 을 하나 로 통합 하 여 효과 적 이 고 효율 적 인 관리 를 제공 합니다 . 
 유선 / 무선 / VPN 에 대한 인증 , 권한 부여 ( TrustSec 기능 포함 ) , 로 깅 
 단말 프로 파일 링 , 단말 상태 체크 ( 포 스쳐 기능 ) 
 게스트 관리 및 포탈 기능 
 새로 출시 된 Cisco ISE 2 . 0 에서 는 기존 의 기능 에 다음 과 같 은 새로운 기능 들 을 추가 로 선보였 습니다 . 
 첫 번 째 는 TACACS + 기능 입니다 . 
 네트워크 장비 인증 의 경우 일반 유저 인증 과 다르 게 , 한 번 의 인증 과 여러 번 의 권한 부여 가 필요 하 므로 ( 예 를 들 어 네트워크 장비 의 명령어 마다 권한 체크 ) TACACS + 프로토콜 을 이용 하 는 것 이 Radius 프로토콜 을 이용 하 는 것 보다 효율 적 인 방법 입니다 . 그 동안 TACACS + 를 지원 하 기 위해서 는 Cisco ACS ( Access Control System ) 소프트웨어 가 이 역할 을 수행 하 였 습니다 . 하지만 이제 는 라이선스 추가 만 으로 Cisco ISE 에서 TACACS + 인증 을 수행 할 수 있 습니다 . 더불 어 장비 마다 적용 되 는 TACACS + 설정 을 ISE 2 . 0 의 워크 센터 기능 을 통해 쉽 고 간편 하 게 설정 하 실 수 있 습니다 . 
 두 번 째 는 3 rd 파티 네트워크 장비 연동 입니다 . 
 Cisco ISE 2 . 0 는 시스코 네트워크 장비 뿐 만 아니 라 3 rd 파티 스위치 및 컨트롤러 와 연동 가능 합니다 . 예 를 들 면 인증 이 끝난 후 권한 을 재 부여 하 려면 , Cisco ISE 와 3 rd 파티 네트워크 장비 의 프로토콜 이 서로 동일 하 게 동작 하 여야 네트워크 장비 는 권한 변경 요청 을 받 아 들이 게 됩니다 . 기존 버전 이 시스코 장비 하 고 만 연동 되 었 다면 Cisco ISE 2 . 0 에서 는 타사 장비 까지 확장 해서 지원 합니다 . ISE 설정 창 에서 Import / Export 가 가능 한 프로파일 선택 으로 쉽 게 타사 장비 와 의 연동 을 구성 할 수 있 습니다 . 
 세 번 째 는 PxGrid 확장 을 통한 자동화 입니다 . 
 PxGrid ( Platform Exchange Grid ) 은 1 . 3 버전 에서 추가 된 기능 이 지만 2 . 0 에서 더욱 더 많 은 SIEM ( Security Information and Event Management ) 벤더 와 연동 을 제공 하 도록 개선 되 었 습니다 . Cisco ISE 에서 의 컨 택스 트 정보 를 보안 장비 및 SIEM 장비 와 연동 함 으로써 보안 을 더욱 최적 화 할 수 있 습니다 . 
 예 를 들 어 시스코 위치 기반 서비스 엔진 인 MSE ( Mobility Service Engine ) 와 의 연동 을 통해 사용 자 인증 을 할 수 있 습니다 . 즉 , 의사 가 무선 을 이용 하 여 환자 데이터 에 접근 할 때 병원 로비 에서 는 접근 이 불 가능 하 고 , 진료실 에서 는 접근 가능 하 도록 하 는 등 세부 위치 에 따라 추가 보안 통제 가 가능 합니다 . 
 그리고 또 다른 예 를 들 면 , 시스코 차세대 IPS 인 FirePower 에서 탐지 / 차단 된 정보 를 Cisco ISE 에 알려 주 면 , ISE 는 네트워크 장비 에 유저 의 재 권한 요청 을 하 게 되 어 , 감염 된 유저 는 네트워크 에 접근 하 지 못하 게 하 거나 검역소 로 자동 으로 보낼 수 있 습니다 . 
 네 번 째 는 TrustSec 기능 을 보다 쉽 게 적용 할 수 있 게 한 것 입니다 . 
 네트워크 에서 보안 정책 을 적용 하 기 위해서 는 네트워크 표준 기술 인 VLAN , VRF , MPLS 등 을 활용 하 여 복잡 한 네트워크 를 분리 하 고 여기 에 다량 의 ACL 기술 등 을 이용 하 여 제어 하 는 것 이 일반 적 이 었 습니다 . 
 하지만 , TrustSec 의 경우 ISE 의 컨 택스 트 정보 를 이용 하 여 그룹 태그 를 사용 자 에게 적용 하 게 됩니다 . 그리고 이 태그 를 이용 하 여 물리 적 인 네트워크 구성 에 구애 받 지 않 고 쉽 고 편리 하 게 그룹 에 대한 보안 정책 을 적용 할 수 있 습니다 . 
 기존 ISE 버전 에서 는 여러 단계 로 나눠진 설정 화면 으로 설정 에 어려움 을 느끼 셨 을 텐데요 . Cisco ISE 2 . 0 에서 는 워크 센터 를 통해 쉽 게 설정 하 고 , 설정 된 내용 을 편리 하 게 모니터링 할 수 있 도록 개선 되 었 습니다 . 
 이외 에 도 단 말 상태 체크 ( 패치 관리 , 디스크 암호 화 체크 ) , IPv 6 기능 등 많 은 기능 들 이 향상 되 었 습니다 . 
 여러분 의 네트워크 는 어떻게 보안 을 적용 하 고 계신가요 ? 유선 , 무선 , VPN 사용 자 를 각각 따로 인증 을 하 시 나요 ? 동적 IP 환경 에서 사용 자 추적 이 어려워 MAC / IP 관리 솔루션 을 사용 하 고 계시 나요 ? 단말 의 상태 체크 를 위해서 도 별개 의 네트워크 접근 관리 솔루션 인 NAC 을 구입 하 셨 나요 ? 네트워크 장비 액세스 보안 을 위해서 TACACS + 솔루션 을 구입 하 셨 나요 ? 네트워크 보안 감사 및 리포 팅 을 위해 또 다른 솔루션 을 고민 하 시 나요 ? 
 Cisco ISE 는 이 모든 고민 을 한 번 에 해결 해 드립니다 . 그리고 ISE 는 컨 택스 트 기반 가시성 을 제공 하 여 네트워크 장비 가 보안 센서 ( 감시 장비 ) 로 동작 하 고 네트워크 장비 에서 보안 을 적용 할 때 도 핵심 엔진 역할 을 수행 하 고 , SIEM 과 보안 장비 와 의 연동 을 통해 자동 화 된 보안 적용 이 가능 합니다 . 보다 새로워진 Cisco ISE 를 통해 효과 적 이 고 치밀 한 기업 보안 을 경험 해 보 시 기 바랍니다 . 
 이 글 은 시스코 김종만 보안 스페셜 리스트 가 작성 한 칼럼 입니다 .