[NHN Cloud make IT 2023] 제로 트러스트 대응을 위한 NHN Cloud 보안 도구 활용 팁

NHN Cloud·NHN Cloud make IT 2023 2023·2023년·

#zero-trust#network-security#web-security#cloud-security#iam#encryption#container-security

AI 요약

제로 트러스트를 '무조건 차단하는 구호'가 아니라 보호 대상과 신뢰 경계를 먼저 식별하고 항상 검증하는 운영 원칙으로 다시 정의한다. 그 원칙을 NHN Cloud의 계정·네트워크·위협 대응·데이터 통제로 내려, 실행 가능한 기본 통제부터 계층별로 쌓는 방법을 정리한다.

핵심 포인트

클라우드·컨테이너·API·생성형 AI와 원격 근무가 공격 표면을 넓히지만 과도한 통제도 복잡성·공백을 만들므로, 경계를 먼저 식별하고 실행 가능한 기본부터 적용
조직(결제·거버넌스)과 프로젝트(서비스 자원)를 목적·결제 경계로 분리, console domain에 IP ACL, IAM member의 billing·infrastructure·security 역할 분리와 2차 인증·로그인 실패 보호·session 만료
운영·테스트·개발을 VPC·subnet으로 논리 분리하고 필요한 VPC만 인터넷 연결, peering은 통제가 아니므로 security group·network ACL로 IP·port·protocol 제한, RDS 전용 DB SG, 외부 거점은 site-to-site VPN
DDoS Guard·Web Firewall·Webshell Threat Detector·Server Security Check·vaccine·KMS·SIEM으로 위협 계층 대응, Container Registry image scan, Object/Block Storage 암호화, Traffic Mirroring·Service Gateway·CloudTrail로 데이터·감사 통제

왜 읽나NHN Cloud에서 제로 트러스트를 실제 설정으로 구현해야 하는 보안·인프라 담당자에게, 계정부터 감사 로그까지 계층별 통제를 어떤 서비스로 채우는지 짚어주는 실무 지도.

챕터별 상세

010:12 – 9:52

제로 트러스트와 확장된 공격 표면

제로 트러스트를 내부 사용자와 서버까지 아무것도 당연히 신뢰하지 않고 지속적으로 검증하는 원칙으로 정의한다. 클라우드·컨테이너·API·생성형 AI, 원격 근무와 협업 도구가 공격 표면을 넓히지만, 지나친 통제 역시 복잡성과 보안 공백을 만든다. 따라서 보호 대상과 경계를 먼저 식별하고 실행 가능한 기본 통제부터 적용해야 한다고 제안한다.

조직을 결제·거버넌스·도메인 접근 통제 단위로, 프로젝트를 실제 서비스 자원이 배치되는 하위 단위로 나눠 관리한다. 운영 목적과 결제 경계에 따라 조직과 프로젝트를 분리하고, 전용 console domain에 IP ACL을 적용한다. 회원 계정 아래 IAM member를 만들고 billing·infrastructure·security 역할을 분리하며, 2차 인증·로그인 실패 보호·session 만료 설정으로 탈취 피해를 줄인다.

운영·테스트·개발 환경을 VPC와 subnet으로 논리 분리하고, 꼭 필요한 VPC만 internet에 연결하며 peering은 필요한 구간에만 구성한다. Peering 자체는 접근 통제가 아니므로 security group과 network ACL에서 IP·port·protocol을 제한하고 RDS에는 별도 DB security group을 둔다. 외부 거점은 site-to-site VPN으로 연결해 public 경로 노출을 줄인다.

맞춤형 DDoS Guard는 고객 traffic을 학습해 탐지 정책과 관제 연동을 제공하고, Web Firewall과 Webshell Threat Detector는 웹 공격과 악성 script를 차단한다. Server Security Check로 OS 설정과 알려진 취약점을 점검하고 vaccine agent로 malware를 탐지한다. Security Key Manager는 암호화 key와 API 기반 암호화를 관리하며, SIEM은 여러 서비스의 로그를 모아 상관 분석한다.

Container Registry는 push 또는 주기 실행 시 image 취약점을 scan하고 critical issue가 있는 image pull을 막을 수 있다. Object Storage는 tenant·사용자·IP ACL과 암호화를, Block Storage는 encrypted volume을 제공한다. Traffic Mirroring으로 위협 분석과 troubleshooting용 packet을 복제하고, Service Gateway로 public IP 없이 보안 서비스에 연결하며, CloudTrail로 console 변경 이벤트를 추적한다.