［WLD99CT］

상용 인터넷 침입차단 시스템의 성능 비교

1999년 5월 Data Communications가 발표한 상용 인터넷 침입차단 시스템 성능평가에는 초청된 13개 업체 중 Cisco Systems Inc., Internet Devices, Nokia IPRG, 그리고 Watchguard Technologies Inc. 등 4개 업체를 제외한 9개 업체의 제품이 참여하였다[Comp]. 평가에 참여한 9개 업체의 제품명과 버전, 아키텍처, 인터페이스, OS 등을 <표>에 나타낸다.

Data Communications는 NSTL Inc.와 공동으로 실시한 이번 평가에서 인터넷 침입차단 시스템의 보안, 관리 및 성능 측면을 시험하였는데, 보안평가에서는 각 침입차단 시스템에 대해 약 300회의 침입시도를 위해 Internet Security Systems Inc.의 Firewall Scanner(버전 5.6.2)와 Internet Scanner(버전 5.6.2)를 이용하였으며, Java나 ActiveX 객체를 포함한 웹 페이지를 침입차단 시스템이 차단하는지도 시험하였다. 성능평가에서는 FTP 및 SMTP 요구를 생성하기 위해 NSTL이 개발한 Loadrun 어플리케이션을 이용하였는데, Loadrun은 bytes/ sec 단위로 평균 포워딩율을 보고하였으며, 이에 대한 정밀성 검증에는 Shomiti Systems Inc.의 프로토콜 분석기 Surveyor를 이용하였다. 그리고 관리평가를 위해 원격관리, 액세스 제어 및 로깅 등 3개의 시나리오를 설정하여 시험을 수행하였다.

Cyberduard가 1위를 차지한 것은 Cyberduard의 매우 강력한 하드웨어 플랫폼과 1Gbyte RAM이 반영된 것이며, 낮은 순위에 있는 몇몇 제품들도 RAM을 늘리면 분명히 더 많은 접속을 지원할 것이다.

포워딩율 시험은 동시접속 시험과 상반되는 것으로, 많은 수의 접속을 설정하고 적은 양의 데이터를 전송하는 대신, 상대적으로 적은 수의 접속 상에서 높은 데이터율 전송을 시험하였다. 시험결과, (그림 2)에서 보는 바와 같이, 침입차단 시스템간 포워딩율은 현저한 차이를 나타내었는데, NAT(망 주소 번역) 가능 조건에서 TCP 포워딩율은 최고 11.5Mbyte/s(Network Associates의 Gauntlet)에서 최저 2.79Mbyte/s(Secure Computing의 Sidewinder)의 분포를 보였다. Gauntlet은 안정된 패킷 필터를 가졌기 때문에 성능이 뛰어난 것으로 밝혀졌으며, Cyberguard, Netscreen, CheckPoint의 침입차단 시스템 등이 9Mbyte/s 이상으로 Gauntlet을 뒤따르고 있다. 한편, 금년도 시험에서 침입차단 시스템의 평균 포워딩율은 지난해보다 약 30%, 1997년보다 약 300% 빨라진 것으로 나타났다.