[클라우드 보안] 클라우드 보안 설계

클라우드 보안의 기본 개념

• 보안 대상 : 어떤 자원에 대해서 보안 기술을 적용해야 할 것인가?
• 보안 기술 : 적용할 수 있는 보안 기술은 어떤 것들이 있는가?
• 보안 서비스 : 비용만 지불하면 알아서 보안 처리를 수행해주는 서비스가 있는가?
• 보안 프로세스 : 외부의 위협을 방어하려면 무엇부터 시작해야 하는가?
• 보안 설계 : 처음부터 보안을 고려해서 클라우드 서비스를 잘 구축하고, 활용하는 방법이 있을까?

클라우드 속성과 보안 특수성

클라우드 속성 

• 멀티테넌시 : 다수 사용자가 자원을 공유해서 사용
  자원 접근에 대한 통제 문제가 발생할 수 있음. => 암호화, 비밀키 또는 키 페어 관리 보안과 접근 통로에 대한 모니터링이 중요함
  
  

•  접근성 : 누구나 쉽게 자원을 사용할 수 있음.
  식별 : 자원에 접근하고자 하는 주체
  인증 : 허락된 사용자가 접근하는지 확인
  인가 : 사용자가 수행하려는 작업의 권한을 확인
  로깅 : 사용자가 수행하는 모든 일을 기록
  감사 : 추후 문제가 없는지 검토
  
  

• 탄력성 : 자원을 변경, 생성, 삭제가 쉽고 빠르게 이루어짐.
  무분별한 자원 증설이 발생할 수 있음.
  자원 변경에 대한 모니터링과 자동화 기반으로 한 보안 설계, 보안 점검에 대한 고민이 필요

 
클라우드 보안 특수성

• 책임 추적성 : 고유하게 식별된 사용자의 행위를 기록하여 수행한 행위에 대한 책임을 부여하고, 사용자 활동이 추적을 위하여 감사 로그와 모니터링을 하는 활동
  
  식별 : 사용주체가 스스로를 증명하기 위해 식별 가능한 정보를 입력
  인증 : 사용자 식별 정보 이외 보안을 증명할 수 있는 정보 입력
  인가 : 인증된 사용자가 필요한 행위를 수행할 수 있도록 권한 부여
  로깅 : 활동에 대한 로그 등 기록
  감사 : 활동에 대한 검토 및 위험요소를 관리
  모니터링 : 시스템에 대한 행위 분석 수행, 자원의 현황 확인

일반 보안과 클라우드 보안 차이

 

클라우드 서비스 유형별 책임 범위

클라우드 보안 모델

제로 트러스트 보안 모델(철학)

• 태도 : '세상에 믿을 사람 없다'라는 기본 태도로 누구도 근거 없이 신뢰하지 않아야 함.
• 신뢰 : 신원이 파악되기 전까지는 모든 클라우드 자원 접속을 차단

적용하기 위한 전략

접근 차단 > 사용자 식별 > 인증 > 인가 > 사용자 자원 접근 

• 1차 차단 : 클라우드 환경으로 접근하기 전인 신원이 파악되기 이전이므로 네트워크를 통한 모든 접속을 차단
• 2차 양방향 식별 : 접근 주체의 유형(내외부자, 서버 등의 자원)을 구분하지 않고, 해당 접근 주체가 누구인지 파악
• 3차 인증 : 자원에 접근하려는 주체가 허가된 주체가 맞는지, 입력한 인증 정보가 정확한지를 확인
• 4차 인가 : 접근 주체가 접근하려는 클라우드 자원에 대해 권한을 부여받는 것이 맞는지, 정상 권한이 확인되면 접근을 허가
• 5차 접근 : 접근 주체는 클라우드 환경에서 자유롭게 자유롭게 자원을 사용

구글의 보안 원칙(Google BeyondCorp)

•  모든 구글 시스템 접속시 인증, 인가, 암호화가 적용되어야 함.
•  사내외 구분없이 어디서든 접속이 가능해야 함.
•  별도의 보안 장비 없이 구글의 사용자 자격증명과 정책만으로도 네트워크 통제가 가능해야 함.
•  모든 접속으 접속기기와 사용자에 대한 안전성이 완벽하게 검증된 경우에만 허용

클라우드 보안 설계

클라우드 전환 프로세스

클라우드 도입 전략

1. 핵심 업무 시스템을 클라우드로 전환

•  시장을 선도, 경쟁력 확보
  
  

 1) 클라우드 서비스 제공자 선정(CSP 선정)

•  안전성과 가용성 보장
•  다양한 로깅과 모니터링 서비스 제공
•  CSP가 제공하는 보안 서비스 종류와 자원 범위 검토 필요
•  클라우드 관련 인증 획득 여부
  
  

 2) 클라우드 서비스 운영 계획

유형	개념	역할
전문가 조직 운영	내부 전문가로 조직 구성	이슈 단일 창구, 컨설팅, 표준 수립, 교육
운영 서비스 활용(MSP)	MSP 전문 조직	운영, 서비스 구축 및 마이그레이션, 최적화, 자동화

MSP 선정 시 검토 항목

•  고객의 요구 사항에 맞는 운영 업무 지원
•  다양한 클라우드 서비스 제공자의 서비스를 운영할 수 있는 전문성
•  다양한 클라우드 서비스 자원
•  클라우드 보안에 대한 전문성과 모니터링, 자동화 기술 보유
•  운영 서비스에 대한 개선 작업 수행과 정기적인 모니터링
  
  

3) 보안 관제 계획 수립

•  기본업무 : 모니터링, 침해 분석 대응, 보안 기획, 보안 연계
•  고도화 업무 : 애플리케이션 점검, 시스템 점검, APT 대응, 사고 대응

2. 클라우드 성숙도에 따른 단계적 적용 방식

•  서비스 영향도가 낮은 것부터 단계적으로 확대
•  안전성 확보

클라우드 보안 성숙도 향상을 위한 단계

 

클라우드 보안 아키텍처

• 관리적 보안 : 컴플라이언스, 보안정책, 보안조직, 보안감사
• 기술적 보안 : 네트워크, 서버, 콘텐츠, 애플리케이션
• CSP 보안 : 가상화 보안, 물리 보안
  
  

클라우드 보안 아키텍처 수립 절차

1. 현황 분석	2. 도입 대상 선정	3. 위험 평가	4. 보안 아키텍처 구성
요구사항 검토 베스트 프렉티스 및 사례연구 기존 시스템 현황 및 개선점 도출	CSP 선정 서비스 유형 선정	클라우드 보안 위험 시스템, S/W, 아키텍처 보안 위험

1. 현황 분석

•  클라우드 전환 대상 업무 선정 (보통 영향도가 낮은 시스템 우선 적용)

1) 도입하려는 목적을 명확히 설정

도입목적 사례	설명
비용절감(운영, 유지보수)	많은 투자 발생이 필요한 업무
효율성 증대(개발, 테스트)	다양한 개발환경 관리 및 시스템 할당 / 삭제가 빈번한 업무
대용량 처리(확장성)	대용량 처리를 위한 리소스 및 저장 공간 필요 업무
부정기적인 업무처리	비즈니스 특성에 ㄸ라 특정 기간에 집중된 업무
관리 부하 감소(운영관리 부하)	중요도는 낮지만, 유지보수에 인력과 비용 투자 발생 업무

정보 시스템 등급 평가 모형

항목	평가 모델	중요도
서비스	서비스 용도 및 사용자에게 미치는 영향도	상(3)	중(2)	하(1)
데이터	클라우드에 저장되는 데이터 중요도	상(3)	중(2)	하(1)
연계	클라우드 시스템과 사내 시스템 연계정도	상(3)	중(2)	하(1)
업무 대체 수준	사고 발생시 다른 시스템으로 대체 가능 여부 업무 대체시 발생 되는 비용 업무	상(3)	중(2)	하(1)
사고시 파급 효과	사고 발생시 피해 정도 및 복구 의 시급성	상(3)	중(2)	하(1)

* 1등급(2.5 ~ 3) : 핵심 서비스 / 2등급(1.5 ~ 2.5) : 일발 서비스 / 3등급(1~1.5) : 중요도 낮은 서비스

클라우드 서비스 유형을 선택하는 목적

•  IaaS : 확장성과 유연성 활용
•  PaaS : 시간, 비용, 빠른 개발 환경
•  SaaS : 업무 축소, 생산성 개선
  
  

2). 컴플라이언스 요구사항 파악(가장 중요한 부분 중 하나)

구분	규제 명칭
공공	클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률 및 시행령
금융	전자금융감독규정
의료	의료법 등 업종별 관련 법 규정
개인정보	개인정보보호법 정보통신망법

•  정기적인 컴플라이언스에 대한 검토 수행과 검토 결과 확인 실시

컴플라이언스

CIS AWS Foundation Benchmark	AWS 웹 서비스에 대한 보안설정 가이드
CSA CCM V3.0.1	보안 설정 Best Practice
GDPR	유럽 개인정보 보호 정책
HIPPA	미국 의료
ISO 27001:2013	정보보호 관리체계
NIST 800-53	미연방정보(보안, 개인정보)
NIST CSF v1.1	사이버보안 보안 프레임워크
PCI-DSS	카드 데이터

 

2. 도입 대상 선정

•  클라우드 서비스 제공자, 서비스 유형, 배치 모델 선택

1) 법적 준거성 제공 여부

•  CSP 가 1단계에서의 컴플라이언스 준수 여부

2) 클라우드 서비스 제공자의 보안 기능

•  CSP에서 제공하는 네이티브 보안 서비스와 제공하지 않는 기능에 대해 추가 적용 여부 검토
  
  

3. 클라우드 보안 위험 평가 단계

 1) 보안 사고가 발생하지 않도록 취약점을 사전에 확인

 - 클라우드 서비스 유형별 보안 위험

•  IaaS : 가상화 취약점, 서버 관리 문제, 데이터 손실 문제
•  PaaS : 플랫폼 증축, 인증, 표준화
•  SaaS : 데이터 훼손 및 유출, 취약점 공격, 버전 통제 문제

2) 다양한 인력(서비스 운영자, 인프라 담당자, 클라우드 전문가)으로 위험 요소 검토

3) 아키텍처를 설계하는 단계부터 보안 담당자 참여

클라우드와 기존 시스템의 보안 요구사항

구분	기존 시스템	클라우드 시스템
기밀성	- 기업 데이터의 내부 네트워크에 저장 - 내부망에서 데이터 전송 - 역할분리를 통한 데이터 접근권한 통제	- 외부 틀라우드에 데이터 저장 - 인터넷망을 이용한 데이터 저장 - 잭임공유 모델에 따라 가상화 및 물리영역은 CSP가 데이터 보안 관리
무결성	- 내트워크 접근 통제 - 방화벽, 프록시, IPS 투자 - 안티바이러스 설치 및 운영 - 악성코드 전파 위헙을 사전에 차단	- 네트워크 설정이 쉬움 - CSP 제공 서비스 이용하여 악성코드 차단 - 안티바이러스 설치 및 관리 어려움 - 가상화 취약점 발생시 다른 기업 전파 위험
가용성	- 서비스에 대한 수요 사전 예측 필요 - 별도 백업 시스템 구축 필요 - 직원의 실수로 장애 가능	- 서비스 수요에 따라 확장용이 - DDoS 서비스 쉽게 이용가능, 자동으로 분산 저장 - CSP 실수로 장애 가능
책임 추적성	- 보안 솔루션에서 로그 수집 - 응용 시스템 서버에서 로그 수집 - 별도의 로그 분석 시스템을 통해 보안 사고 발생시 추적 가능	- 보안 서비스에서 로그 수집 - CSP 서비스 미제공시 별도 솔루션 필요 - 보안 사고시 분석이 어려움, 책임 추적을 위해 CSP 와 협력 필요

위험 대책

위험 대책	설명
수용	위험으로 발생되는 손실 수용, 보안 서비스 투자 대비 효과가 미흡하거나 발생률이 낮은 경우
감소	보안대책을 수립하여 위험을 통제, 발생률을 낮추고 위험도를 감소
회피	위험이 존재하는 사업이나 비즈니스를 축소하거나 포기
전가	위험을 제3자에게 전가, 보험이나 SLA 통해 위험 관리

4. 보안 아키텍처 설계 단계

• 지금까지 도출한 클라우드의 보안 위험 요소를 어떻게 통제할 것인가를 결정하고 시스템에 반영하기 위한 구체적인 계획 수립 단계
  
  

1) 보안 아키텍처 수립 절차

도출된 보안 위험 요소	보안 아키텍처 설계
정보유출/노출 악성코드 감염 비인가자 권한 통제 보안프로그램 충돌 모니터링 및 통제 한계	우수기업 벤치 마킹 기존 보안 솔루션 개선방안 검토 필요한 보안 통제 선정
	↓
	클라우드 서비스별 보안 등급 평가 보안 위협별 대응방안 수립

2) 보안 서비스별 보안 등급

보안 등급	서비스	보안정책 적용
1등급(2.5 ~ 3점)	위험도가 높은 수준의 서비스 대외 서비스 중요 데이터 저장	높은 수중의 보안 적용 사내망과 연결 차단 보안관제 등 모니터링 강화
2등급(1.5 ~ 2점)	위험도가 중간 수준의 서비스 일부 서비스 포트가 인터넷에 오픈 중요 데이터 없음	중간 수준의 보안 적용 사내망과 연결 차단
3등급(0~1.5점)	위험도가 낮은 서비스 프라이빗 클라우드 수준으로 통제 인터넷 차단	최소한의 보안 적용 사내망 연결 허용

3) 보안 등급별 보안 솔루션 예시

시스템	1등급(위험도 상)	2등급(위험도 중)	3등급(위험도 하)
네트워크	프록시(유해사이트 차단) 네트워크 패킷 분석	네트워크 접근제어 IPS	방화벽 전송구간 암호화
서버	서버보안 취약점 점검	PMS	안티바이러스
어플리케이션	웹 프록시 첨부파일 검사	WFW	복합인증
콘텐츠	데이터 암호화키 관리	데이터 암호화	데이터 접근제어
보안관제	APT 이상행위 탐지	웹서비스	DDoS

4) 클라우드 보안관리를 위한 방안

CSA 선정 -SECaaS의 10가지 카테고리 유형

• 계정관리(Indentity Access Management)
• 자료 유출 관리(Data Loss Prevention)
•  Web Security
• Email Security
•  보안 점검(Security Assement)
•  침입 탐지 ( Intrusion Management)
•  Security Information and Event Manager
•  Encrytion
•  비즈니스 연속성 계획(Rusiness Continuity and Disaster Recovery)
•  Network Security

  # 클라우드 X 보안 실무 가이드 요약한 내용입니다.
https://coupa.ng/b5Gncn

클라우드X 보안 실무 가이드

"이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다."

다른 사람들이 흥미롭게 읽은 포스팅