침입방지시스템 (Intrusion Prevention System)
한 줄 정의: 네트워크 트래픽을 실시간으로 감시하다가 공격으로 판단되는 트래픽을 자동으로 차단하는 보안 시스템입니다.
쉽게 풀면
침입탐지시스템이 수상한 사람을 발견하고 경비실에 알리는 CCTV라면, 침입방지시스템은 그 사람을 스스로 막아서는 보안요원에 가깝습니다. 즉, 이상 징후를 알아채는 데서 그치지 않고 해당 트래픽을 즉시 차단하거나 연결을 끊어버립니다. 네트워크의 중요한 길목에 배치되어 모든 트래픽이 이 장비를 통과하도록 구성되며, 문제가 있다고 판단되면 그 자리에서 바로 조치를 취합니다.
왜 중요한가
공격을 탐지만 하고 사람이 대응하기까지 시간이 걸리면 그 사이 피해가 커질 수 있으므로, 실시간 자동 차단 기능은 빠르게 확산되는 공격에 대응하는 데 중요합니다. 정보보안학에서는 정상 트래픽까지 잘못 차단하는 오탐 문제를 줄이면서도 신속하게 위협을 차단하는 균형점을 찾는 연구가 이루어집니다.
논문에서는 이렇게 쓰입니다
"제안된 침입방지시스템은 트래픽 패턴 분석을 통해 DDoS 공격으로 의심되는 트래픽을 실시간으로 차단하였다."
공격으로 의심되는 트래픽을 자동으로 즉시 막아냈다는 의미입니다.
"침입방지시스템 도입 시 오탐으로 인한 정상 서비스 중단 가능성을 고려하여 임계값을 신중히 설정해야 한다."
잘못된 판단으로 정상 트래픽까지 막지 않도록 설정값 조정이 중요하다는 뜻입니다.
조금 더 깊게 보면
침입방지시스템은 네트워크 트래픽 경로상에 직접 위치하는 인라인(inline) 방식으로 동작하는 경우가 많아, 시스템 자체의 장애가 전체 네트워크 가용성에 영향을 줄 수 있습니다. 최근에는 방화벽, 침입탐지, 침입방지 기능을 통합한 차세대 방화벽(NGFW)의 일부로 제공되는 경우도 흔합니다.
주의할 점
자동 차단 기능이 오탐을 일으키면 정상적인 서비스가 중단될 수 있으므로, 도입 초기에는 탐지만 하고 차단은 하지 않는 모니터링 모드로 충분히 검증하는 것이 일반적입니다.