클라우드 하드닝 소개

클라우드에 민감한 데이터를 저장하면 공격 표면(공격 노출 범위)이 크게 확대됩니다. 그리고 공격자들은 클라우드 도입이 제공하는 기회를 적극적으로 활용하고 있습니다. 실제로, 2022 Netwrix 설문조사에서는 클라우드 인프라를 대상으로 한 공격이 10% 증가한 것으로 나타났습니다.

클라우드 하딩은 보안 구성을 설정하고 유지함으로써 클라우드 시스템에 대한 위험을 줄이고, 다른 취약점을 식별해 완화하는 과정입니다. 클라우드 하딩이 보안과 규정 준수 모두에 얼마나 중요한지, 그리고 오늘날 클라우드에서 가장 큰 위협이 무엇인지 알아보세요. 이어서 제공 모델(IaaS, PaaS 또는 SaaS)이나 클라우드 유형(퍼블릭, 프라이빗 또는 하이브리드)에 관계없이 클라우드를 하딩하기 위해 취해야 할 단계를 살펴보세요.

클라우드 하딩이 보안을 강화하는 방법

클라우드 하딩은 IT 취약점과 침해 위험을 줄이기 위해 시스템의 구성과 설정을 보안하는 것을 포함합니다. 하딩에서 중요한 한 가지 단계는 시스템에서 모든 비필수 구성 요소를 제거하는 것입니다. 비필수 프로그램, 계정 기능, 애플리케이션, 포트, 권한 및 액세스를 제거하면 공격자와 악성코드가 클라우드 환경에 침투할 수 있는 경로가 줄어듭니다.

다만, 클라우드 하딩은 일회성 작업이 아니라는 점을 염두에 두세요. 보안 구성에서 벗어나는(드리프트) 상황이 없는지 지속적으로 모니터링해야 하며, 위협 환경이 변화하고 모범 사례가 발전함에 따라 기준선(baseline)을 정기적으로 검토하고 업데이트해야 합니다.

물론 클라우드 하딩은 더 넓은 보안 전략의 일부일 뿐입니다. 이 전략에는 잠재적 위협을 신속하게 탐지하고 대응할 수 있는 도구를 도입하는 것과, 사고 발생 후 시스템을 빠르게 복구할 수 있도록 보장하는 것도 포함되어야 합니다.

클라우드 보안 강화가 컴플라이언스에 어떻게 도움이 되는가

전 세계의 정부는 데이터 보안 data security 을 포함하는 표준을 담은 규정을 제정해 왔습니다. 이 규정들은 데이터가 호스팅되는 위치와 무관하게 적용됩니다. 알아두어야 할 가장 중요한 규정은 다음과 같습니다:

• HIPAA (Health Information Portability and Accountability)는 보호 건강정보(PHI)를 보안하기 위한 미국의 표준입니다. 보안 규칙(Security Rule)과 프라이버시 규칙(Privacy Rule) 섹션은 전자 의료 거래에 대한 접근 조치와 지침을 규정하며, 의료기관이 보안 침해 사실을 보고하도록 요구합니다.
• PCI DSS（Payment Card Industry Data Security Standard）는 카드 소지자 데이터(카드 이용자 데이터)를 보호하기 위해 설계되었습니다. 다중 인증(MFA) 및 데이터 암호화에 대한 요구사항을 포함하며, 해당되는 조직이 보안 개선을 위해 침투 테스트(펜테스트)를 수행하도록 요구합니다.
• FERPA（Family Educational Rights and Privacy Act）는 개인정보(PII)를 포함한 학생 데이터의 프라이버시와 보안을 다룹니다. FERPA 요구사항에는 데이터의 암호화, 사용, 재공개(re-disclosure), 그리고 파기(삭제)에 관한 주제가 포함됩니다.
• GDPR (General Data Protection Regulation)은 EU 거주자의 정보를 저장 또는 처리하는 전 세계의 조직에 적용되는 유럽 연합 표준입니다. 이 규정은 데이터 저장, 사용, 보관, 접근 등 다양한 사항을 다룹니다. 
• SOX (Sarbanes-Oxley Act of 2002)는 모든 미국 상장 기업이 부정한 회계 및 재무 활동의 위험을 완화하도록 요구함으로써 기업의 부정행위로부터 대중을 보호하는 데 도움이 됩니다. 무엇보다도 SOX는 데이터 무결성, 감사, 접근 제어, 변경 관리와 관련된 의무 사항을 자세히 규정합니다. 
• FISMA (Federal Information Security Management Act)는 미국 연방 정부 기관이 보안 계획을 수립하고, 이를 이행하며, 준수하도록 요구함으로써 자산과 정보를 보호하도록 합니다. 이 보안 계획은 매년 검토되어야 합니다. 또한 해당 법은 적용 대상 기관이 FISMA를 준수하는 데이터 센터—클라우드 제공업체를 포함—만을 사용하도록 요구합니다.
• ISO 27017는 ISO 27000의 한 하위 범주로, 클라우드 서비스의 제공 및 사용에 적용할 수 있는 정보 보안 관리 통제에 관한 지침을 제공합니다. 공유 역할 및 책임, 가상 머신 하드닝, 물리적 및 가상 네트워크에 대한 보안 관리의 정렬(일치)과 같은 주제를 다룹니다.

법률 외에도 조직은 (또는 선택해서) 사이버 보안 통제 프레임워크를 도입해야 할 수 있습니다. 특히 CCM (Cloud Controls Matrix)는 애플리케이션 및 인터페이스 보안, 감사 및 보증, 변경 관리 및 구성 관리, 위협 및 취약점 관리와 같은 17개 도메인 전반에 걸친 클라우드 기술의 핵심 측면을 다룹니다.

조직은 여러 법률의 적용을 받을 수 있지만, 대부분은 동일한 핵심 모범 사례에 뿌리를 두고 있습니다. 따라서 클라우드 하딩과 같은 동일한 보안 통제를 적용하면 한 번에 여러 의무 사항을 준수하는 데 도움이 될 수 있습니다.

최상위 퍼블릭 클라우드 보안 위협

보안 전문가들이 가장 우려하는 클라우드 보안 위협은(는) 한 2022년 조사에 따르면 다음과 같습니다:

• 클라우드 플랫폼의 잘못된 구성(62%)
• 데이터 유출(51%)
• 안전하지 않은 API와 기타 인터페이스 (52%)
• 무단 액세스 (50%)
• 서비스, 계정 또는 트래픽 가로채기 (44%)
• 외부 데이터 공유 (39%)
• 외국의 국가 지원 사이버 공격 (37%)

다양한 클라우드 모델에서의 보안 강화

클라우드 보안 강화를 항상 권장합니다. 다만 이를 구현하기 위한 책임의 분담은 귀사와 클라우드 서비스 제공자(CSP) 사이에서 이루어지며, 이는 클라우드 모델에 따라 달라집니다. 즉 IaaS, PaaS 또는 SaaS입니다.

서비스형 인프라(Infrastructure as a Service, IaaS)

IaaS는 CSP 로부터 기본 인프라 구성 요소를 임대하는 것을 의미합니다. 예를 들어 Azure 또는 EC2의 가상 머신, 또는 AWS의 EBS가 이에 해당합니다. IaaS에서는 클라우드 보안 강화의 대부분이 사용자의 책임입니다. CSP는 물리적 보안과 펌웨어 업데이트를 처리하는 반면, 사용자는 제공받은 가상 구성 요소의 구성을 담당합니다. 특히 사용자는 다음에 대해 책임이 있습니다.

• Identity 및 데이터 거버넌스 (사용자 액세스 관리 및 변경 통제 포함)
• 운영 체제를 구성하고 강화하기
• 데이터 암호화
• 애플리케이션 수준 설정
• 네트워크 수준 및 개별 구성 요소 수준 모두에서의 네트워크 접근 제어
• 보안 테스트
• 감사 및 로깅

PaaS (Platform as a Service)

PaaS 모델에서 조직은 애플리케이션을 개발, 테스트 및 배포하기 위해 플랫폼과 실행 리소스를 제어합니다. 예로는 Red Hat OpenShift, AWS Elastic Beanstalk, Google App Engine이 있습니다.

이 클라우드 운영 모델에서는 CSP가 운영 체제, 미들웨어 및 런타임 환경을 강화하는 책임을 집니다. 이는 해당 요소들이 관리되기 때문입니다. 하지만 조직은 여전히 다음에 대한 책임이 있습니다:

• 사용자 액세스 관리 및 변경 통제를 포함한 신원 및 데이터 거버넌스
• 클라이언트 및 엔드포인트 보호
• 네트워크 수준의 네트워크 제어
• 애플리케이션 수준 설정
• 보안 테스트
• 감사 및 로깅

SaaS (Software as a Service)

Microsoft 365와 Salesforce를 포함하는 SaaS 모델에서는 모든 구성 요소가 CSP가 관리하며, 그에 따라 책임이 그들에게 더 많이 전가됩니다. 그러나 귀사(조직)의 책임도 결코 작지 않습니다. 여기에는 다음 설정이 포함됩니다:

• 사용자 계정 및 액세스 관리 규칙
• 애플리케이션 수준 설정
• 로깅 및 감사(감사 기록)

클라우드 배포 모델

선택한 클라우드 배포 모델 — 프라이빗, 퍼블릭 또는 하이브리드 — 또한 클라우드 보안 계획에 영향을 미칩니다.

프라이빗 클라우드

프라이빗 클라우드는 단일 조직을 위해 제공되며, 서비스는 프라이빗 네트워크에서 유지 관리됩니다. 그 결과, 조직은 인프라에 대해 완전한 제어 권한을 갖습니다. 이 배포 모델은 폭넓은 유연성과 사용자 지정 기회의 장점을 제공하지만, 이를 관리하고 유지보수하는 데 더 많은 리소스와 전문 지식이 필요합니다.

소유자이므로, 다음 항목에 대해 완전한 책임을 지게 됩니다:

• 하드웨어 및 소프트웨어를 배포하고 유지 관리하기
• 인프라의 물리적 보안 보장
• 위협과 공격으로부터 보호하기 위한 적절한 보안 제어를 구현하기

퍼블릭 클라우드

퍼블릭 클라우드 모델에서는 CSP가 지원 인프라와 소프트웨어 전부를 소유하고 운영하며, 서비스는 인터넷을 통해 제공됩니다. 퍼블릭 클라우드는 멀티 테넌트 환경에서 운영되므로 일반적으로 프라이빗 클라우드보다 비용이 더 낮고 확장성이 더 뛰어납니다. 다만 조직은 인프라에 대한 통제력이 더 제한적이며, 제공업체가 구현한 보안 조치에 의존해야 합니다.

따라서 CSP의 보안 약속과 규제 준수가 보안 및 준수 요구사항과 일치하도록 해야 합니다. 특히, 이는 사용자(귀하)의 책임입니다.

• 공급업체의 보안 약속을 철저히 조사하세요
• CSP의 감사 및 규제 준수 내용을 읽고 이해하세요
• 책임의 분담을 명확히 이해하세요.

하이브리드 클라우드

하이브리드 클라우드는 퍼블릭 클라우드와 프라이빗 클라우드의 조합입니다. 따라서 보안 측면에서 가장 복잡한 환경일 수 있습니다. 특히 각 유형의 클라우드에 대한 보안 우려를 관리하는 것뿐 아니라, 모든 클라우드에 대해 일관된 보안 정책이 적용되도록 해야 하며, 한 클라우드의 보안 상태(보안 포스처)에 대한 변경 사항이 다른 클라우드에도 동일하게 복제되어 반영되도록 해야 합니다. 예를 들어, 프라이빗 클라우드에서 사용하는 이미지에 보안 변경이 발생했다면, 그 변경이 퍼블릭 클라우드에도 배포되는 것일까요?

클라우드 하드닝 권장 사항

CIS 벤치마크 사용

조직이 안전한 구성을 수립할 수 있도록, Center of Internet Security (CIS)는 CIS benchmarks를 제공합니다. 이러한 보안 구성 가이드는 운영체제, 네트워크 장치 , 서버 및 데스크톱 소프트웨어뿐만 아니라 클라우드 제공자까지 폭넓은 기술을 다룹니다. CIS 벤치마크를 적용하면 디지털 자산에서 구성 기반 보안 취약점을 줄일 수 있습니다.

시작하기 좋은 방법은 CIS 하드닝 가이드라인을 사용해 조직의 서버 이미지에 보안 강화를 적용하거나, AWS, Azure 또는 Google Cloud 마켓플레이스에서 CIS로 강화된 이미지를 구매하는 것입니다. 그런 다음 보안 강화된 이미지에 바이러스 백신, 변경 탐지 및 기타 보안 솔루션을 통합하세요.

보안 모범 사례를 구현하세요

위협에 대해 클라우드 환경을 한층 강화하려면 다음과 같은 조치를 적용하세요:

• 최소 권한 — 각 서버가 의도된 기능을 수행하는 데 필요한 최소한의 권한과 특권만 부여하세요. 이렇게 하면 악의적인 행위자나 우발적인 오류로 인해 발생할 수 있는 피해를 제한하는 데 도움이 됩니다.
• 최소 접근 — 네트워크에서 클라우드 서버로의 접근을 제한하고, 각 인스턴스에는 필요한 운영 체제 구성 요소와 애플리케이션만 설치하세요. 이렇게 하면 악의적인 행위자가 민감한 정보에 접근하기가 더 어려워집니다.
• 구성 및 변경 관리 — 기준이 되는 서버 구성을 만들고, 해당 기준에서 발생하는 모든 편차를 추적하세요.
• 로그 감사 — 모든 액세스 시도와 모든 변경 사항에 대한 로그 데이터를 생성하고 안전하게 저장하도록 각 자산을 구성하세요.
• 컴플라이언스 감사 및 보고 — 적절한 보안 통제를 적용하고, 감사자에게 컴플라이언스 준수 여부를 입증할 수 있도록 하세요.
• 취약점 관리— 클라우드 환경을 정기적으로 취약점에 대해 점검하고, 보안 패치 및 업데이트를 신속하게 적용하세요.
• 네트워크 분리 — 클라우드 환경을 더 작고 고립된 세그먼트로 나누어 보안 사고의 잠재적 영향 범위를 제한하세요.
• 암호화 — 저장 데이터와 전송 중 데이터(전송 데이터)를 암호화하여 무단 액세스로부터 보호하세요.

결론

클라우드 서비스의 이점은 비용 절감, 손쉬운 확장성, 강력한 기능 등 상당합니다. 하지만 데이터와 애플리케이션의 보안은 여전히 반드시 보장해야 합니다. 위의 정보를 활용하면, 조직이 클라우드 환경을 더 잘 보안하여 사업 성장을 이끌 수 있도록 도울 수 있습니다.

자주 묻는 질문(FAQs)

1. 클라우드 인프라를 어떻게 강화(보강)하나요?

시스템 구성과 설정을 보안하여 침해에 취약해질 가능성을 줄이세요. 불필요한 소프트웨어 프로그램과 유틸리티를 모두 제거해 공격자가 시스템에 침투할 기회를 줄이십시오.

2. 네트워크 하드닝 기법이란 무엇인가요?

핵심 보안 모범 사례에는 최소 권한(least access), 최소 권한(least privilege), 구성 관리(configuration management), 변경 관리(change management), 감사 및 로깅(auditing & logging)이 포함됩니다.

3. 보안에서 호스트 하드닝(host hardening)이란 무엇인가요?

호스트 하드닝은 호스트에서 필수적이지 않은 구성 요소, 프로그램, 계정, 애플리케이션, 서비스, 포트, 권한 및 액세스를 제거하여 취약성을 줄이는 것을 의미합니다. 호스트 하드닝에는 다음도 포함될 수 있습니다:

• 불필요한 네트워크 서비스는 끄고, 유지하는 서비스에 대해서는 인증을 강제합니다.
• 호스트 방화벽을 설치하고 구성합니다.
• 필요한 사용자에게만, 그리고 필요할 때에만 애플리케이션을 사용할 수 있도록 합니다.
• 사용자가 낮은 권한으로 작업하도록 하고, 더 높은 수준의 권한은 필요한 경우에만 부여합니다.
• 시스템의 약점을 정기적으로 점검하고 이를 신속히 수정합니다.
• 강력한 비밀번호를 적용하고 비밀번호를 주기적으로 변경합니다.
• 정기적인 보안 업데이트와 업그레이드를 자동화합니다.

4. 클라우드 하딩의 이점은 무엇인가요?

클라우드 하딩은 다음을 포함하여 다양한 이점을 제공합니다:

• 클라우드 인프라의 공격 표면을 줄입니다
• 조직 전반의 보안 태세를 강화합니다
• 규정 및 표준을 준수할 수 있도록 돕습니다
• 데이터 유출 및 무단 액세스의 위험을 최소화합니다
• 보안 사고 비용과 잠재적인 컴플라이언스 벌금 부담을 줄입니다
• 클라우드 기반 시스템의 효율성과 성능을 향상

5. 클라우드 하드닝은 얼마나 자주 수행해야 하나요?

클라우드 하드닝은 지속적인 보안 및 컴플라이언스 프로그램의 일환으로 정기적으로 수행해야 합니다. 또한 클라우드 인프라가 안전을 유지할 수 있도록 보안 구성과 운영 방식을 정기적으로 검토하고 업데이트하는 것이 중요합니다.