한 울타리 안의 친구들~

우선 Forefront Client Security 라고 하면, 
아~ 클라이언트에 설치되는 클라이언트 PC용 바이러스 엔진인가보다 라고 
간단하게 생각하기가 쉬운 것 같습니다.. ^^

저 역시도 처음 Forefront 제품이 출시가 된다고 했을 때, 
그렇게 착각을 했었던 적이 있었고요.. ^^

Forefront Client Security 제품 줄여서 FCS는 
기존에 우리가 잘 알고 있는 방식으로 
클라이언트에 설치가 되는 바이러스 엔진의 형태는 아닙니다.

Forefront Client Security의 동작 원리

FCS 제품에 대한 이해를 돕기 위해서 그림 한 장을 추가 하였는데요.

이 그림을 통해서 FCS의 동작 원리를 간략하게 설명을 드리면, 
FCS가 기존의 클라이언트용 바이러스 엔진 제품과 
어떤 차별성이 있는지를 아실 수 있을 듯하네요.. ^^  

FCS의 구동 방식을 간략하게 말씀을 드리면,

FCS를 Management 하는 서버에서 Anti Malware, Anti Virus에 대한 
검사 정책을 적용 받도록 Active Directory의 그룹정책을 이용하여 
AD에 조인이 되어 있는 클라이언트들에게 정책을 배포 할 수가 있습니다.
물론 AD를 사용하지 않는 경우의 시나리오도 있으나, AD 환경을 기준으로하여...
(그림 중 Setting이라고 되어 있는 파란색 화살표)

그렇게, 배포된 그룹 정책을 따라서 클라이언트들은

Windows Update Site 또는, WSUS를 통해서 보안위협 요소에 대한 
Forefront Client Security에 대한 서명을 업데이트를 받고,

그룹정책을 통해 설정 된 FCS 정책에 따라 바이러스 검사를 수행하게 됩니다.
(그림 중 Definitions라고 되어 있는 녹색 화살표)
 

클라이언트들은 FCS 서명 업데이트 내용 및 보안 위협 요소들에 대한 감시 결과 
그리고, 자신의 보안 상태에 대한 보고를 Microsoft Operation Management 서버인 
MOM 서버에 전달을 하게 됩니다.
(그림 중 Event라고 되어 있는 보라색 화살표) 

클라이어트로 부터 보고된 각종 상태 데이타들은 MOM 서버에서 사용하는 
SQL 서버 DB에 저장이 됩니다.  
SQL 서버에 저장된 클라이언트의 상태 데이타들은 다시 FCS를 Management하는 
서버의 FCS Managemet Console을 통해서, 클라이언트에 대한 정책 적용 결과, 보안 위협 요소, 서명 업데이트 내역 등의 데이타들을 리포트 형식으로 볼 수 있으며, 
즉시 위협 요소에 대한 보안 설정 등의 작업 역시도 중앙의 FCS Management Console에서 가능 합니다. .

(그림 중 Report라고 되어 있는 보라색 화살표)

즉, Anti Malware, Anti Virus에 대비한 보안 인프라가 구축이 된다고 할 수 있습니다.
 

'전산 인프라가 구축이 되었다.'라고 하는 것이, 
그저 서버나 클라이언트가 물리적으로만 존재하고 있는 상황을 
전산 인프라가 구축이 되었다고 말하기는 조금 힘들 것 같다는 생각이 듭니다.

물리적인 요소들인 서버나 클라이언트들이 배포되어 있는 형태에서,

서버와 클라이언트들을 위한 운영 계획을 수립하고, 
그에 따른 정책을 입안하고, 배포하고, 구성하고, 모니티링 하여 결과를 분석하고,

다시 계획하는 일련의 연속성 있는 운영이 지속될 수 있는 구조를 
정확하게 인프라가 구축이 되었다고 볼 수 있지 않을까? 라는 생각을 하며,
 

그러한 관점에서 본다고 하면, Forefront Client Security 제품은 
Anti Malware와 Anti Virus를 위한 각각의 롤을 가진 서버들의 역할을 통해서
Anti Malware와 Anti Virus에 대한 계획, 정책, 배포, 구성, 모니터링, 결과 분석 등의 
일련의 연속성을 가진 보안 운영의 틀을 만들어 주는, 
보안 인프라를 구성하고 있다고 말씀을 드릴 수 있을 것 같습니다.

사내에서 FCS Agent에서 상태 정보를 리포팅 받거나 정책을 배포하기 위해서 설치 옵션에 MOM 컬렉션 서버 이름과 MOM 구성 그룹 이름을 입력해야만 합니다.
그러나, 설치 옵셔 중 /nomom 옵션으로 설치를 할 경우 MOM Agent를 제외한 FCS Client가 설치되게 됩니다.

그럼 업데이트는 어떻게 할 까요? 기업에서는 WSUS에서 Signature나 Agent 업데이트를 진행하지만 /nomom 옵션으로 설치한 홈 사용자는 Microsoft Windows Update에서 업데이트를 하게 됩니다. 이 기능을 이용하기 위해서는 최초 한번은 Windows Update 사이트에 방문하셔서 Windows 와 다른 제품들의 업데이트를 검색할 수 있게 업데이트가 되어 있어야 합니다.

지원하는 OS는 Windows Server 2000 With SP4, Windows XP With SP2 이상이면 X86, X64모두 설치가 가능합니다.

Windows Vista이상에서 설치를 하기 위해서는 명령 프롬프트 창을 관리자 권한으로 실행해 주신다음 clientsetup.exe /nomom 명령어로 실행해 주셔야 합니다.
이렇게 설치한 agent의 상태를 기업내의 서버에서 모니터링 하거나 정책 배포를 할 수 있나요?라고 혹시나 물어보신다면 /nomom 옵션이 의미하는 걸 좀 더 생각해 보시길 바랍니다.
만약 자기 회사에서 FCS 라이선스가 있으신 분들은 크랙 버전의 다른 백신을 설치하시는 것 보다는 당당하게 FCS Agent를 사용해 보시는 건 어떨까요?

아래는 설치시 필요한 파일들입니다.

[참고]
Client Security and the home user
Protecting home computers

우선 정책을 생성해 보겠습니다.

[FCS 관리 콘솔] – [정책 관리] – [새로 만들기]를 클릭합니다.

이름과 설명을 입력합니다.

멜웨어를 어느 수준까지 예방 할 것 인지의 설정과 실시간 보호 유/무 그리고, 자동검사 시간등을 지정합니다.

엔진 업데이트 정책과 사용자가 Agent의 옵션을 설정 하게 할 것 인지의 권한을 설정합니다.

만약, 사내에 WSUS가 중지가 되었거나 없을 때 Microsoft Update 사이트에서 다운 받을 수 있게 하는 옵션도 있습니다. 그럼 FCS설치시 WSUS가 없어도 운영이 가능하다는 말일까요? 테스트는 안해봤지만 필수 구성요소는 아닌거 같네요. 나중에 테스트 해서 결과 알려드리겠습니다. ^^

만약 사내 중요한 프로그램이 FCS에서 바이러스로 인지가 된다면 재정의를 통해서 실행하게 하거나 심각도에 따라 FCS에서의 자동 조치 기능을 재 정의 할 수 있습니다. 예를 들어 FCS에서 심각도가 심각한 멜웨어에 대해 제거를 하게되는데 이 동작을 격리나 무시로 재 정의 할 수 있다는 말입니다. 활용도는 관리자에게 달렸습니다. ^^

클라이언트에서의 경고 발생 수준을 지정할 수 있습니다.

위와 같이 하면 기본적인 정책 배포 설정은 다했습니다.

이제 [정책 관리] – [배포]를 클릭합니다. 도메인의 특정 OU, 그룹에 배포를 할 수 있습니다. 배포 옵션 중 "파일 추가"가 있는데 이것은 FCS 정책을 파일로 내보내기 할 때 사용합니다. 이를 가능하게 하는 이유는 FCS의 모든 정책은 레지스트리값 변경을 통해 이루어 지기 때문입니다. 적당한 배포 대상을 선택했으면 "배포" 버튼을 클릭합니다.

"배포" 버튼을 클릭하면 AD의 구룹정책에 등록이 됩니다. GPMC에서 정책을 확인해 보시면 아래와 같이 등록되있는 것을 확인 하실 수 있습니다 

이제 클라이언트에서 정책을 받아가기를 기다리시면 됩니다. AD에서 정책을 원하는 시간에 강제 배포할 수 가 없어서 아쉽기는 아지만 위와 같이 하면 기본적인 정책 배포는 준비가 완료 된 것 입니다.

테크넷에는 정책 배포 방법이 이렇게 나와있네요.

! 즉시 적용하려면 각 클라이언트 컴퓨터를 다시 시작하라니...ㅜㅜ 한두대가 아니라면... 혹시, 이 글을 읽으시는 분들 중 Third-Party를 이용하지 않고, 중앙에서 그룹정책을 강제로 배포하는 방법을 알고 계시는 분은 좀 알려주세요 ^^

오늘은 그림이 많아서 지면이 길어졌네요. 내용은 많아 보이지만 정책 배포가 그렇게 어렵지 않음을 아실 수 있을겁니다. 모두들 기회가 되시면 사내에 조금씩 적용해 보시고 FCS의 기능을 느껴 보시는 것도 그리 나쁘진 않을거라 생각이 되네요. 그럼 전 다음주에 뵙겠습니다.

모두 좋은 한 주 되세요~ ^^

 
1 FCS 아키텍쳐


1. FCS 중앙관리 콘솔에서 FCS Agent 정책을 OU 또는그룹별로 배포를 합니다.
 

FCS 에서 배포한 정책은 AD의 그룹정책 중 컴퓨터 정책으로 생성이 됩니다. AD는 각 해당 컴퓨터에 정책을 배포 합니다.
 

2. 각 클라이언트는 컴퓨터를 검사하기전 또는 주기적으로 FCS Agent의 엔진 업데이트를 검사합니다. 이 때 사내의 WSUS나 윈도우 업데이트 사이트를 찾습니다.

3. 클라이언트는 주기적으로 컴퓨터의 보안 상태를 보고하거나, 바이러스 발생시 FCS 컬렉션 서버에 보고를 합니다. 그리고, FCS 콘솔에서는 이렇게 모인 DB정보를 이용해서 리포트를 작성하거나 관리자에게 사내의 보안 상태를 리포팅합니다.


FCS의 구성요소를 설치하면 서버에는 MOM 2005 Server가 설치가 되고, 클라이언트에는 FCS Agent와 더불어 MOM Agent도 같이 설치가 됨을 확인 할 수 있습니다.

여기에서 FCS Agent는 FCS서버의 정책에 의해 Kernal Mode와 User Mode에서 AS(Anti-Spyware), AV(Anti-Virus) 작업을 진행합니다. 그리고 MOM Agent는 클라이언트에서 발생한 이벤트, 경고, 상태등을 MOM Server에 보고합니다.

아래 그림을 보시면 MOM Agent의 데이터 흐름을 쉽게 이해하실 수 있습니다.

 
2 FCS 데이터 흐름

1. (AM)Anti-Malware와 VA(Vulnerability Assessment) 서비스가 System Log에 경고를 기록합니다.

2. MOM Agent는 System Log에 있는 경고를 읽습니다.

3. MOM Agent는 이 로그 데이터(Event, Alerts, State Table)를 MOM Server DB에 보냅니다.
4-5, 만약 관리자가 보고(아이콘 모양 )를 클릭하면, SQL 리포팅 서비스가 리포트를 생성합니다. 이 리포는 XML(.rdl) 파일로 생성됩니다.
 

6. 이 생성한 파일은 웹 브라우저에서 보여지게 됩니다.


FCS는 6개의 역할 서버로 구성이 되지만 데이터 흐름을 보면 그렇게 복잡하지만은 않습니다.

FCS관리자 콘솔에서는 이미 다양한 리포팅을 제공하고 있습니다. 어차피 SQL DB의 내용을 쿼리해오는 것일 뿐입니다. 관리자가 다른 내용의 리포팅을 원하시면 SQL Report 기능을 이용해서 쿼리문을 만든다면 좀 더 다양하고 입맞에 맞는 리포트를 생성하실 수 있을거라 생각이 됩니다.
물론 전 SQL 엔지니어가 아니기때문에 다양한 쿼리 구문을 생성하진 못해봤지만 제가 SQL을 좀 더 공부해서 MOM DB를 이용 리포팅을 커스터마이징 하는 방법도 블로깅해보도록 하겠습니다.

5월 어린이날, 석가탄신일등을 이용해서 연휴 즐기시는 분들이 많으신데요, 공부도 공부지만 가정을 한번쯤 돌아보고, 몸과 마음을 충전하는 한달이 됐으면 좋겠습니다. 그럼, 전 다음주에 뵙겠습니다.

웹 서버의 해킹도 문제지만 이제는, 이로인해 바이러스에 노출 됐을 경우 이에 대한 대처방법도 준비를 해야만 안전하게 인터넷을 사용할 수 있게 되었습니다.

그래서, MS에서는 PC 보호를 위한PC보안 강화 4단계를 제시하고 있습니다.
1단계 : 인터넷 방화벽 설정
2단계 : 윈도우즈 업데이트
3단계 : 안티 바이러스 설치
4단계 : 안티 스파이웨어 설치

이중 3, 4단계, 즉 악성코드들(Malware)로 부터 클라이언트 보호를 위해서 MS는 여러 가지 툴을 제공하고 있습니다.

종류별로는 개인 사용자용과 기업용 버전이 있습니다.

Windows Defender, Windows Live Safety Center, MSRT(악성 소프트웨어 제거 도구)는 무료 툴이고,

Windows Live OneCare, Microsoft Forefront Client Security 는 유료 툴입니다.

MSRT(Malicious Software Removal Tool)(무료) : Windows 2000, Windows XP(X86, X64), Windows Vista(X86, X64), Windows Server 2003(X86, X64)을 지원, 최근 잘 알려진 약 100여개의 악성코드(Blaster, Sasser, Mydoom 포함)를 제거하는 툴입니다. 매달 두번째 주 화요일 새로운 버전이 업데이트 됩니다. 이 프로그램은 사용자가 MSRT를 다운받은 후 직접 실행시켜야 합니다.




Windows Defender(무료) : Windows XP with SP2(X86, X64), Windows 2003 with SP1(X86, X64) 이상 설치 가능 만약 윈도우즈가 정품이 아니면 심각한 위협만 제거, Windows Vista(X86, X64)는 기본적으로 설치되어있습니다. 스파이웨어로부터 클라이언트 PC를 실시간 보호하고, 부가기능으로 시작프로그램을 관리할 수 있습니다. 그리고 윈도우 업데이트를 통해 엔진 업데이트를 할 수 있습니다.




Windows Live Safety Center(무료) : 웹(http://onecare.live.com/site/ko-kr/default.htm)에서 바이러스, 스파이웨어 검사 및 제거 할 수 있는 무료 툴입니다.




Windows Live OneCare(유료) : 2007년 말 국내 출시 예정이었으나 미국, 일본을 포함 7개국에 출시, 현재 국내에는 출시되지 않았습니다. 외국에서 약 €50에 구매할 수 있습니다. 1 License로 가정내 3대의 PC에 설치해서 사용할 수 있습니다.

Microsoft Forefront Client Security(유료) : 기업용 Forefront 보안 솔루션 중 클라이언트 보안 솔루션입니다. 각각의 클라이언트에 FCS Agent를 설치하고 중앙에서 업데이트, 실시간 검사 그리고, Reporting할 수 있습니다. FCS Agent는 Windows 2000 with SP4 이상의 클라이언트를 지원합니다.

실시간 감시 기능 테스트 할 수 있는 사이트 :
http://www.eicar.org/