[NHN Cloud make IT 2022] NHN Cloud로 알아보는 클라우드 보안

NHN Cloud·NHN Cloud make IT 2022 2022·2022년·

#security-monitoring#network-security#compliance#cloud-security#iam#encryption

AI 요약

클라우드 보안을 제품 하나가 아니라 service·data의 가용성·기밀성·무결성을 지키는 조직 전체의 기술·관리·물리 활동으로 정의한다. hardware 장애·오설정·내부자 악용까지 사고 원인에 넣고, virtualization과 API가 만드는 cloud 고유 위험, CSP와 고객의 책임 분담, 전환 계획 수립과 실무 통제를 폭넓게 다룬다.

핵심 포인트

portal 요청이 API·controller·hypervisor를 거쳐 multi-tenant 자원을 만드는 구조에서 virtualization 취약점·API 공격을 고유 위험으로 도출하고, CSP는 network 분리·이중화·24시간 관제·물리 보안을, 고객은 자신의 virtual environment·application 통제를 담당하도록 구분
infrastructure·DB·개발·보안·business 담당자를 포함한 보안 TF와 pilot 환경을 두고, 기존 ISMS-P·내부 정책을 항목별 cloud 적용법·담당자·문서로 기록한 checklist로 인증 직전 벼락치기를 방지
공용·root 계정 대신 1인 1계정·최소 권한·MFA·session timeout·audit log·접속 IP 제한, 이용자(DMZ)·운영자(VPN)·관리자(bastion) 분리, public/private subnet·security group·ACL·개발/운영 VPC·망 분리
중앙 key management와 DB·application 암호화, audit log 별도 private 수집, 이기종 event SIEM 상관분석, DDoS·IDS·IPS·WAF 관제와 container image·portal 취약점 점검

왜 읽나클라우드 전환 시 CSP와 고객 책임을 나누고 IAM·망 분리·암호화·관제를 어디까지 설계해야 하는지 알고 싶은 보안·인프라 담당자에게, 계획부터 실무 통제까지의 체크리스트를 제공한다.

챕터별 상세

010:06 – 5:16

가용성·기밀성·무결성으로 보는 보안

보안 사고는 malware나 외부 공격뿐 아니라 hardware·전력 장애, 잘못된 설정, 내부자의 정상 계정 악용에서도 시작될 수 있다. 중요한 service와 data를 보호하기 위한 모든 기술적·관리적·물리적 활동을 보안으로 정의하고, 가용성·기밀성·무결성을 핵심 원칙으로 제시한다. 보안팀만의 일이 아니라 system·development·support 등 조직 전체가 같은 기준으로 수행해야 지능화된 위협의 빈틈을 줄일 수 있다.

Portal 요청이 API·controller·hypervisor를 거쳐 multi-tenant 가상 자원을 만드는 cloud backend 구조에서 virtualization 취약점과 API 공격이라는 고유 위험을 도출한다. CSP는 service network 분리, 접근 통제, 이중화, 24시간 관제, 취약점·malware·patch·무결성 관리와 data center 물리 보안을 담당한다. 외부 보안 인증과 약관·SLA의 책임 범위를 통해 기반 보호를 검증하고, 고객은 자신의 virtual environment와 application 통제를 이어서 구현해야 한다.

Cloud 전환 조직에 infrastructure·database·development·security·business 담당자를 포함한 TF를 만들고, 충분한 일정과 pilot 환경을 배정하는 실행 방안을 제시한다. 기존 ISMS-P와 내부 정책을 모아 각 항목별 cloud 적용 방법·담당자·운영 문서를 기록한 checklist를 만들면 인증 직전에 소수 담당자가 급히 대응하는 문제를 피할 수 있다. CSP의 guide·consulting·training·incident drill과 data deletion 방식도 조직의 요건에 맞는지 계약 전에 검증한다.

공용·root 계정을 피하고 1인 1계정, 업무별 최소 권한, password policy, MFA, session timeout, audit log와 portal 접속 IP 제한을 적용한다. 이용자는 DMZ의 web traffic만, 운영자는 private network·VPN을 통해, 고권한 관리자는 bastion·통합 접근제어를 거치게 해 접근 경로와 명령을 추적한다. Public·private subnet, security group·ACL·firewall, 개발·운영 VPC 분리와 업무망 망 분리 원칙을 설명하고 container namespace와 remote CLI도 별도 통제가 필요함을 짚는다.

개인정보 시스템은 중앙 key management와 DB·application 암호화를 결합하고, managed RDS나 container처럼 설치 방식이 다른 환경에서는 API 또는 image·source 단계의 통제를 선택해야 한다. 접근·audit log를 별도 private 영역에 모아 권한·backup·암호화·무결성을 관리하고, 이기종 event를 SIEM으로 상관 분석해 비정상 portal 작업을 경보·차단한다. DDoS·IDS·IPS·WAF 관제, TLS 복호화 지점, container image와 portal을 포함한 취약점 점검 및 변경된 관리 절차까지 함께 운영한다.