TOP 5 클라우드 보안 통념 깨기 - FireEye...T 5 클라우드보안통념 44통념 2: 우리...

TOP 5 클라우드 보안 관련 통념 깨기

EBOOK

비용 절감 및 새로운 기능을 통한 보안 강화를 위한 노력은 온프레미스 솔루션에서 클라우드로 마이그레이션하는 강력한 동인입니다.

현재 클라우드 도입 추세를 보면 많은 엔터프라이즈 조직들은 비즈니스 니즈를 충족하기 위해 퍼블릭 및 프라이빗 클라우드 솔루션을 수용하는 하이브리드 접근으로 균형 잡힌 방법으로 클라우드를 사용하는 반면, 보다 작은 규모의 중소기업은 하나의 또는 여러 개의 퍼블릭 클라우드 사용을 선호합니다.

클라우드 마이그레이션이 지속되고 조직들이 클라우드가 제공하는 민첩성의 이점을 누리게 됨과 동시에 주로 클라우드 솔루션에 대한 경험 부족으로 인한 여러 부정적인 분위기도 생겨났습니다.

클라우드로 마이그레이션알려져 있는 정보들을 면밀히 살펴보기

클라우드 도입 비율의 급격한 증가에도 불구하고, 여러 장점과 단점이 합쳐져 오늘날까지 잘 알려진 여러 가지 통념이 만들어졌습니다.

• 클라우드는 안전하지 않다

• 우리 조직에서는 클라우드를 사용하지 않는다

• 클라우드 플랫폼에서 보안을 제공할 것이다

• 클라우드는 다른 사람의 컴퓨터에 지나지 않는다

• 지능형 공격자들은 클라우드를 공격하지 않는다

전 세계 퍼블릭 클라우드 서비스 시장의 성장이 예상되는 가운데, 조직들이 가시성을 확보하고 클라우드 운영을 통제할 수 있도록 마침내 이러한 통념을 파헤칠 때가 되었습니다.

EBOOK | TOP 5 클라우드 보안 통념 깨기 2

클라우드 자체는 본질적으로 안전하지 않습니다. 하지만 제대로 이용한다면 일반적인 데이터 센터만큼 안전합니다. 퍼블릭 클라우드에서 발생한 모든 FireEye Mandiant 침해 사고 대응 사례에서 클라우드 인프라 자체가 악용된 사례는 아직 없었습니다. 잘못된 클라우드 구성이나 취약한 고객 코드는 발견되었지만, 클라우드 제공사의 코드나 인프라에 결함이 발견된 경우는 없었습니다.

중소기업과 비교하여 대기업들이 퍼블릭 클라우드상 데이터 보안에 대해 덜 신뢰하는 것으로 보입니다. 클라우드 마이그레이션을 방해하는 네트워크 복잡성 또는 퍼블릭 클라우드 환경과 호환되지 않는 기존 시스템 및 애플리케이션은 엔터프라이즈 수준에서의 이러한 불확실성에 기여하는 요소들입니다.

중소기업의 94%는 클라우드로 이동한 후 보안상의 이점이 있었다고 밝혔습니다1

통념 1: 클라우드는 안전하지 않다

1 Microsoft. Driving Growth Together: Small Business and the Cloud.

우리 조직에서는 클라우드를 사용하지 않는다클라우드는 안전하지 않다 클라우드 플랫폼에서

보안을 제공할 것이다클라우드는 다른 사람의 컴퓨터에 지나지 않는다

지능형 공격자들은 클라우드를 공격하지 않는다

3EBOOK | TOP 5 클라우드 보안 통념 깨기

https://info.microsoft.com/rs/microsoftdemandcenter/images/driving-growth-together-small-businesses-and-cloud-infographic.pdf

클라우드에 관련된 진정한 우려 요소는 인터넷을 통해 광범위하게 클라우드에 액세스할 수 있다는 것입니다.

제로 트러스트 네트워크는 기업 네트워크로 액세스하는 모든 요소들을 신뢰하지 않는 개념입니다. 대신, 제로 트러스트 아키텍처에서는 디바이스 및 사용자의 정확한 인증과 권한 관리를 통해 기업의 데이터와 리소스에 대한 액세스를 허용합니다2.

제로 트러스트와 일반적인 클라우드 관점에서 볼 때 방화벽에 의존한 채 미비한 수준의 보안을 유지하고 있었습니다. 조직들은 사이버 공격은 방화벽 경계 외부에 있을 것이라고 잘못된 가정을 한 채 보안상의 취약점이 해소되었다고 생각합니다. 제로 트러스트 방식에서는 공격자가 이미 방화벽 경계 내부에 들어와 있기 때문에 방화벽은 실제로 보호 효과가 없는 것으로 간주해야 하는 개념을 가지고 있습니다.

서버와 가상 머신에 있어서는 제로 트러스트 모델이 다소 과하다고 할 수도 있지만, 클라우드 서비스 보안에 있어서는 좋은 예가 됩니다. 경계가 사라진 클라우드 서비스는 모든 클라이언트를 신뢰하지 않고, 서비스의 기반 코드는 취약하지 않다고 보더라도 구성 설정이나 인증은 취약할 수 있다고 간주해야 합니다.

클라우드 환경을 업무 과정 중에 맞춤 설정을 하다 보면 보안상의 취약점이 발생하게 됩니다. 예를 들어, AWS S3 또는 Azure Blob Storage를 사용하여 스토리지 버킷을 생성하면, 기본적으로 잠금 설정이 되어 있고 관리자와 버킷 생성자만 액세스할 수 있습니다. 하지만 버킷의 데이터를 사용할 수 있게 하려면 서버 또는 사용자에게 직접 액세스 권한을 부여해야 하는데, 이 같은 사용 권한을 부여하고 관리하는 과정에서 문제가 발생하는 경우가 많습니다.

이러한 문제는 기존 데이터 센터 보안 문제와 본질적으로 다르지 않습니다. 즉, 기존 데이터 센터에서도 잘못된 구성, 도난 당한 인증 정보 및 취약한 코드는 무단 액세스의 주요 악용 수단이 됩니다. 하지만 기본적으로, 일반적인 데이터 센터의 방화벽은 자산에 대한 인바운드 액세스를 막는 반면, 가상 머신을 제외한 클라우드 서비스에서는 인증된 트래픽이라면 어디에서 오든 허용합니다. 일부 서비스는 특정 IP 범위만 허용하도록 정책 구성을 할 수 있지만, 이는 기본 설정은 아닙니다.

이 같은 우려에 대해 조사하는 과정에서 Google과 Microsoft에 의해 널리 알려진 개념인 ‘제로 트러스트 모델’이라는 반증할 수 있는 정보를 찾았습니다. 제로 트러스트 모델이란 방화벽을 완전히 제거하고 모든 액세스를 인증하여 권한을 부여하는 보안 방식입니다.

통념 1: 클라우드는 안전하지 않다




2 Microsoft(2018년 6월 14일). Microsoft 365와 함께 하는 제로 트러스트 네트워크 구축


https://cloudblogs.microsoft.com/microsoftsecure/2018/06/14/building-zero-trust-networks-with-microsoft-365/

통념 2: 우리 조직에서는 클라우드를 사용하지 않는다 ‘클라우드’란 서비스형 소프트웨어(SaaS)를 포함한 모든 조직 업무에 필요한 HR, 뱅킹, 배송, 컨텐츠 관리, 웹 호스팅 외 기타 업무들을 가상화된 형태로 사용하는 일종의 웹 서비스를 말합니다. 조직의 정책에서 클라우드 서비스를 명시적으로 허용하지 않거나 겉으로 드러나는 클라우드 서비스 이용 사례가 없더라도, 클라우드에 대한 니즈가 있을 수 있습니다.

88% of UK businesses were using cloud services in 20182

Over 90% of businesses in APAC use or plan to use a multi-cloud environment3

By the end of this year, it is predicted that 83% of U.S. enterprise workloads will be in the cloud4

A High Proportion of Businesses Are Already Using The Cloud

88% 90% 83%

3 Computing.co.uk(2018년 9월). 클라우드: 2018년 현재와 그 이후4 451 Research(2019년 1월). 하이브리드로 가는 길: 아시아 태평양 전역의 클라우드와 관리형 서비스에 대한 필요성5 Forbes(2018년 1월). 2020년까지 기업 업무의 83%가 클라우드로 이동할 것

이미 많은 기업이 클라우드를 사용하고 있음

2018년에 영국 기업의 88%가 클라우드 서비스를 이용 중3

아시아 태평양 기업의 90% 이상이 멀티 클라우드 환경을 사용하고 있거나 사용할 예정4

올 연말까지 미국 기업 업무의 83%가 클라우드로 이동할 것으로 예상5





https://www.computing.co.uk/feature/3062985/cloud-the-picture-in-2018-and-beyond

https://cloud.vmware.com/community/wp-content/uploads/9/sites/9/2019/02/10549_Advisory_BW_NTT_VMware.pdf

https://www.forbes.com/sites/louiscolumbus/2018/01/07/83-of-enterprise-workloads-will-be-in-the-cloud-by-2020/

클라우드 보안은 가시성에서 출발합니다. 개발자가 새로운 클라우드 서비스를 실행할 때마다 원격측정을 손쉽게 중앙 집중화할 수 있어야 합니다. 그러면 분석가는 단일 인터페이스를 통해 모든 클라우드 서비스의 보안 상태를 점검할 수 있습니다.

보안 상황에 대해 보안 팀이 개발자에게 먼저 연락하는 것보다 그 반대로 개발자가 보안 팀에 알리는 것이 컴플라이언스를 유지할 수 있는 최상의 방법입니다. 이를 실현하려면 원격측정이 보안과 운영이라는 두 가지 목적을 모두 수용할 수 있도록 운영 모니터링에 유용하게 활용되도록 해야 합니다.

일부 클라우드 서비스에 대해 가시성을 확보할 수 없는 경우도 있습니다. 소수의 사용자만 대상으로 하는 일부 서비스의 경우 원격측정 기능을 제공하지 않을 수 있으며, 추가 기능을 구매해야 해당 기능이 활성화되는 서비스도 있습니다. 예를 들어, Microsoft Azure Active Directory의 경우 ‘Premium’ 에디션을 구매해야 로그인 로그를 볼 수 있고, Salesforce의 경우 오딧 데이터를 보려면 ‘Shield’ 제품을 구매해야 합니다. 조직에서 아무리 개발자가 손쉽게 원격측정을 중앙 집중화할 수 있도록 지원하더라도, 좋거나 나쁜 것을 떠나 여러 가지 이유로 그렇게 하지 않을 수 있습니다. 따라서 모르는 사이에 클라우드 서비스가 이용될 수 있다는 사실을 아는 것만으로도 특히 위협 모델링에 있어서는 크게 도움이 됩니다(공격이 발생할 수 있는 경로를 고려).

보안 책임자가 직면한 가장 큰 과제 중 하나는 실수로 인한 오용으로부터 이 같은 서비스를 보호하는 것뿐만 아니라 애초에 이런 실수들을 탐지할 수 있어야 한다는 것입니다. ‘쉐도우 IT’ 또는 무단 클라우드 서비스 이용에 대한 가시성 확보는 여러 조직에서 공통적으로 해결해야 할 과제입니다. 클라우드 액세스 서비스 브로커(CASB)도 직원이 가정에서 클라우드 서비스를 가끔 이용하는 것(중요한 문제가 되는 경우도 있음)을 잡아내지는 못합니다.

대부분의 직원은 외부 파트너와 파일을 공유하기 위해 Google Drive 등의 서비스를 이용해야 할 때가 있습니다. 조직에서 승인한 공인된 방법이 있더라도 보안 권한 부여에 따른 프로세스로 인해 신속하게 업무를 처리하는 데 방해가 되기 일쑤입니다. 따라서 보다 신속한 업무를 위해 보안 담당자의 감시망을 피해 처리하는 경우가 생깁니다.

이 문제를 해결하려면 두 가지가 전제되어야 합니다.

통념 2: 우리 조직에서는 클라우드를 사용하지 않는다




직원들은 조직의 공인된 방식으로 불편함 없이 업무를 수행할 수 있어야 합니다.

이용이 제한된 클라우드 서비스에 대한 적절한 가시성과 통제 수단이 마련되어야 합니다.


통념 3: 클라우드 플랫폼에서 보안을 제공할 것이다

책임 공유 모델에서는 데이터를 관리하고 보호할 책임이 클라우드 테넌트에게 있습니다. 클라우드 제공사는 시설이 안전하고, 하드웨어가 침해되지 않았으며, 서비스에서 제공되는 기반 소프트웨어와 운영 체제가 안전하다는 것을 보장합니다. 하지만 가상 머신에 패치를 적용하고, 애플리케이션의 취약성을 없애며, 권한을 적절하게 관리할 책임은 고객에게 있습니다.

클라우드를 안전하게 보호하는 것은 세 가지 활동으로 이루어집니다.

리소스에 액세스하는 데 사용되는 인증을 보호하고 규정 준수를 모니터링합니다.

잘못된 구성에 주의를 기울이고 방지합니다.

가시성이 확보되도록 원격측정 데이터를 중앙 집중화하여 감사 추적 정보의 보안 모니터링을 지원합니다.





통념 3: 클라우드 플랫폼에서 보안을 제공할 것이다

클라우드 제공사는 여러 가지 유용한 기본 툴을 제공하지만, 여전히 클라우드 고객이 책임져야 할 일이 많습니다. 예를 들어, 클라우드 제공사가 위험성이 높은 구성을 탐지하거나 강제로 롤백하는 툴을 제공하더라도, 소비자가 그러한 툴을 조직의 정책과 절차에 녹이지 않으면 소용이 없습니다. 또한 이 같은 툴은 조직에서 사용 중인 다른 클라우드의 보안 제어 및 가시성과 관련된 기능에 병합되어야 합니다.

클라우드 제공사가 모든 사용 기업들의 비즈니스 분야에 대해 잘 알 수는 없으므로, 이 같은 모든 전제 조건을 보장할 책임은 궁극적으로 기업에게 있습니다.

조직의 경계를 넘어 데이터를 공유하는 지점은 모두 보안 방어의 잠재적인 취약점으로 간주할 수 있습니다. 이 경우 데이터에 대한 액세스를 일괄적으로 거부하는 것이 아니라 액세스 권한을 부여하고 오딧을 거쳐야 하기 때문입니다. 보안 조직은 모든 액세스 지점에 대해 오딧 작업을 수행해야 하며, 액세스되는 데이터가 모두 제대로 승인되도록 보장하려면 완벽한 가시성이 필요합니다.

완벽한 가시성이란 조직의 보안 분석가가 모든 관련 원격측정 데이터에 프로그래밍 방식으로 직접 액세스하고, 표준 운영 절차에 따라 운용할 수 있다는 것을 의미합니다. 이는 시점 단위의 감사 기능을 넘어, 비정상적인 활동을 지속적으로 모니터링합니다.

2022년까지 클라우드 보안 실패 사례 중 95% 이상이 고객의 잘못으로 발생할 것입니다7




6 Gartner(2019년 10월). 클라우드는 안전합니다. 이를 안전하게 사용하고 계십니까?

고객클라우드 ‘내’ 데이터의

보안에 책임

책임 공유 모델

제공자클라우드 ‘자체’ 보안에 책임


https://www.gartner.com/en/documents/3850266/clouds-are-secure-are-you-using-them-securely-0

통념 4: 클라우드는 다른 사람의 컴퓨터에 지나지 않는다

클라우드를 보호하는 것은 다른 이의 데이터 센터에 있는 컴퓨터를 보호하는 것과는 다릅니다. 단순한 요청 하나를 이행하기 위해 수백, 수천 대의 컴퓨터들이 매우 빠른 속도로 연산 처리를 하게 됩니다. 정해진 위치에 있는 하나의 서버가 파일을 저장하는 것이 아니라 수십 개의 서버에 저장됩니다. 익숙한 가상 머신 외에도 스토리지 서비스, 컨테이너 등 기존에는 없던 서비스까지 고려해야 합니다. 이 같은 서비스는 여러 데이터 센터에 분산된 수백, 수천 대의 실제 서버를 기반으로 할 수도 있습니다. 단일 서비스 요청이 여러 대의 서버에서 지원되는 겁니다.

서버에 사용된 기존의 데이터 포렌식 분석 방법은 여전히 필요합니다. 그저 아주 다른 방식으로 이루어질 뿐입니다. 분산되어 있지만 서로 연결된 시스템들을 위한 보안 제어 기능과 툴을 제공하기 위해 추가적인 가시성과 더 세밀한 계획이 필요합니다. 이들 서비스는 API를 제공할 수 있지만, IP 주소와 운영 체제의 개념이 없는 경우가 많습니다.





암호화 요구 사항 준수를 위해 개별 서비스에서 저장된 데이터를 암호화해야 할 수도 있습니다. 모든 주요 클라우드 서비스에서는 통신에 SSL/TLS를 사용하지만, 규제 대상 데이터의 경우 서비스 간에 기록되는 데이터를 파악하는 것이 중요합니다.

클라우드의 유연한 특성 때문에 리소스의 오용을 방지하는 데 있어서도 새로운 문제가 발생합니다. 데이터 센터에 설치되는 기존 애플리케이션에 연결되는 리소스는 한정되어 있습니다. 이는 공개적으로 노출된 서비스의 오용 사례가 발생할 경우 안전망 역할을 합니다. 결국 애플리케이션이 실패하게 되고 서비스 거부 상태가 됩니다. 오토스케일링 그룹과 서버리스 기능 또는 컨테이너와 같은 유연한 리소스를 기반으로 한 클라우드에 구축된 애플리케이션은 실패하는 것이 아니라 대용량으로 계속 확장될 수 있습니다. 합법적인 애플리케이션의 경우에 이는 일반적으로 좋은 일이지만, 불법적인 요청인 경우에는 심각한 문제를 초래할 수 있습니다.

예를 들어, 한 애플리케이션에서 업로드된 사진을 처리하고, 공격자가 원치 않는 방대한 양의 사진을 처리하도록 실행시키면 애플리케이션이 확장되어 애플리케이션 소유자가 막대한 추가 비용을 부담해야 합니다. 클라우드 인프라는 이 문제를 방지하기 위해 몇 가지 제한을 두고 있지만, 고객이 그러한 제한 사항을 잘 이해하고 미리 설정해야 합니다.

이러한 서비스의 보안 구성 및 제어 환경에서는 방화벽이나 안티바이러스 소프트웨어와 같은 기존 보안 구현 방식을 사용하지 않습니다.

통념 4: 클라우드는 다른 사람의 컴퓨터에 지나지 않는다





통념 5: 지능형 공격자들은 클라우드를 공격하지 않는다

공격자들은 데이터를 쫓습니다. 데이터가 클라우드로 이동하면 공격자들도 따라오게 됩니다. Mandiant 침해 사고 대응 사례의 약 1/4이 퍼블릭 클라우드에 저장된 자산과 관련한 것이며, Mandiant에서 수행하는 대부분의 IR이 일정 부분 클라우드와 연관되어 있습니다. 클라우드가 공격자에게 문제가 되지는 않습니다. 클라우드 계정을 해킹하기 위해 툴, 전술, 절차를 손쉽게 조정하여 기밀 데이터에 접근하고, 컴퓨팅 리소스를 도용하며, 표적을 염탐할 수 있습니다8.

일반적인 조직이 클라우드로 전환하면 빠르게 확장하고 비용을 절감할 수 있지만, 클라우드에 저장하는 가치 있는 데이터는 모두 표적이 되므로 그에 따라 리소스를 보호해야 한다는 사실을 알아야 합니다. 즉, 기본적인 클라우드 보안 모범 사례를 구현하는 것은 물론, 클라우드의 데이터를 노리는 지능형 공격자를 적극적으로 추적할 수 있도록 보안 운영 태세를 갖추어야 합니다.




8 FireEye(2020년 2월). M-Trends 2020

Mandiant 침해 사고 대응 사례의 약 1/4이 퍼블릭 클라우드에 저장된 자산과 관련되어 있습니다.


https://www.fireeye.com/current-threats/annual-threat-report/mtrends.html

클라우드에서 위협을 완화하려면 두 가지가 전제되어야 합니다. 보안 운영을 적용하는 데 기준이 될 원격측정 데이터와 추적해야 할 악의적인 툴, 전술 및 절차를 결정하는 위협 모델이 바로 그것입니다. 이는 다시 4가지 기능으로 나눌 수 있습니다.

이 4가지 기능이 유기적으로 작동하면 알려진 위협으로부터 조직을 보호하고 행동 예측을 통해 새로운 위협을 찾아내는 방법을 제안할 수 있습니다. 일부 활동(인텔리전스, 규칙 및 분석)은 자동화되지만, 심각도가 높은 이벤트의 범위를 완벽하게 파악하려면 모든 활동에 일정 수준 사람의 개입이 필요합니다.

추적의 중요성: 특정 공격자나 환경의 ‘정상’ 상태에 대해 알려진 정보를 활용하여 원격측정 데이터에서 주의를 요하는 정보를 찾아내려면 숙련된 보안 운영자가 있어야 합니다. 예를 들어, 템플릿을 사용해 모든 클라우드 자산을 인스턴스화하도록 규정한 정책을 적용하는 경우, 추적 작업을 실행하면 템플릿 외부에서 생성된 모든 자산을 검사하게 됩니다. 추적이 단순화되거나 그 중요도가 높아지는 경우, 규칙으로 변환하여 작업을 자동화할 수 있습니다.

통념 5: 지능형 공격자들은 클라우드를 공격하지 않는다




분석이상 상황을 보여주는

원격측정의 체계화

추적가설 기반 검색

인텔리전스원격측정에 Threat

Intelligence 지표 적용

규칙원격측정에 알려진

위협 패턴 적용


클라우드는 조직의 규모에 관계없이 더 적은 리소스로 더 많은 작업을 수행할 수 있도록 해주고, 지금껏 보지 못한 속도로 운영 확장을 가속화합니다. 하지만 클라우드로의 데이터 마이그레이션에서 발생될 수 있는 위험을 인지하고 처음부터 지능형 공격을 차단할 수 있도록 대비해야 합니다. 클라우드 기반 전략을 활용하는 것은 상대적으로 쉽지만, 클라우드를 보호하고 관리하는 것은 얼마나 복잡할 수 있는지 간과하기 쉽습니다. 잘못된 구성과 전체 클라우드에 대한 가시성 부족은 치명적인 실수로 이어질 수 있습니다.

시설의 보안을 지키는 것은 클라우드 운영자이지만 데이터를 보호하는 것은 사용자의 책임입니다. 클라우드 제공자와 사용자 간의 공동 보안 책임은 가시성과 제어에 대한 어려움을 초래할 수 있습니다. 중앙 집중화된 플랫폼은 잠재적 문제를 명확하게 식별하는 데 필요한 가시성을 제공하여 이러한 문제를 완화하고, 컴플라이언스 요건을 충족하며 침해로부터 데이터를 보호하는 효과적인 결정을 내리는 데 도움이 될 수 있습니다.

클라우드 리소스를 안전하게 관리할 수 있는 전담 전문 인력이 필요합니다. 보안 전문가는 최신 보안 툴과 교육을 통해 이 발 빠른 혁신을 따라가며 향후의 변화에 대비해야 합니다.

맺음말

클라우드 보안에 대해 더 자세히 알아보기: www.FireEye.com/cloud

FireEye, Inc. 소개FireEye는 인텔리전스 기반의 보안 회사입니다. FireEye는 혁신적인 보안 기술, 최고의 Threat Intelligence 및 세계적으로 인정받는 Mandiant® 컨설팅을 결합한 단일 플랫폼을 제공하여 고객 보안 운영 플랫폼을 완벽하게 확장하여 보안을 강화시킵니다. 이를 통해 FireEye는 사이버 위협에 대비하고 공격 방어 및 대응하는 조직의 사이버 보안 부담을 줄이고 보안 운영의 복잡성을 간소화합니다.

FireEye, Inc.서울특별시 강남구 테헤란로 534, 글라스타워 20층[email protected]

©2020 FireEye, Inc. 저작권 소유. FireEye는 FireEye, Inc.의 등록상표입니다. 다른 모든 브랜드, 제품 또는 서비스 명칭은 각 소유자의 상표 또는 서비스 마크입니다.C-EXT-DS-US-EN-000110-02


http://www.FireEye.com/cloud

TOP 5 클라우드 보안 통념 깨기 - FireEye...T 5 클라우드보안통념 44통념 2: 우리...

Documents

Transcript of TOP 5 클라우드 보안 통념 깨기 - FireEye...T 5 클라우드보안통념 44통념 2: 우리...