Cappuccino sapiens

디지털 트랜스포메이션을 위한 기업의 선택은 하이브리드 및 멀티클라우드로 전환을 기본적으로 고려하고 있으며, 이는 엄청난 데이터가 클라우드 환경으로 전환됨을 의미하기도 합니다. 이러한 급격한 IT 환경의 변화는 보안팀에 있어 새로운 도전이 됩니다. 하이브리드 멀티클라우드의 성장 속도 만큼이나 급속도로 진화하고 있는 보안위협은 물론 개인정보 보호 및 컴플라이언스 준수 등에 대한 이슈에 대응이 필요한 상황입니다. 즉, 디지털 트랜스포메이션 전환계획과 함께 하이브리드 멀티 클라우드 환경에 적합한 보안 솔루션의 교체와 보안기술 및 전략에 대한 변화가 준비되어야 합니다.

기업의 데이터 보호, 침해사고시 빠른 회복력, 컴플라이언스 준수는 대고객에 대한 신뢰도 및 충성도와 밀접하게 관련되어 있습니다. 따라서, 데이터를 안전하게 관리하는 것이 최우선이 되어야 하며, 디지털 트랜스포메이션시에 최소한의 데이터 보안 대책이 고려되어야 합니다.

 - 데이터가 어디에 저장되어 있는지, 어떤 경로로 접근이 가능한지 확인합니다. 

 - 데이터 접근과 제어정책간의 격차로 인한 잠재적인 보안위험을 조사합니다.

 - 잠재적인 침해사고를 회피하기 위한 대책을 수립합니다.

민감한 데이터의 저장, 공유, 접근경로에 대한 가시성을 확보함으로써, 보안위험에 대해 효과적으로 분석·조사하고 우선순위에 따른 대응을 할 수 있습니다. 특히, 관련 부서간 및 응용프로그램간의 데이터 사일로 현상을 제거함으로써 통합된 보안 및 제로 트러스트를 구현하여 보다 안전한 데이터 보안체계를 구축할 수 있습니다.

자세한 내용은 IBM Security Intelligence 블로그 “Digital Transformation: Breaking Down Silos for Better Data Security”을 통해 확인하실 수 있습니다.

IBM X-Force Red 팀은 리써치 전문기관인 Ponemon에 의뢰하여, 기업의 온프레미스와 클라우드상에서의 보안취약점관리 프로그램에 대한 현황을 조사한 “The state of vulnerability management in the cloud and on-premises”를 발간하였습니다.

Ponemon은 지난 종사자 1천명 이상의 대기업에 종사하는 1,848명의 IT 및 보안전문가를 대상으로 실시하였습니다.

대부분의 응답자들은 시스템 보안, 취약점 패치, 벤더사 평가, 우선순위 설정에 관한 업무를 담당하고 있으며, 이들이 종사하는 기업은 SaaS, PaaS, IaaS 서비스를 사용하고 있습니다. 응답자들을 통해 분석한 보고서에서 다루고 있는 주요 내용은 다음과 같습니다.

 - 패치 갯수가 너무 적고 너무 늦음

 - 현재 교정관리 관행에서의 문제점들

 - 클라우드와 온프레미스에서의 취약점 관리 비교

 - 컨테이너 보안의 어려움

자세한 내용은 보고서 “The state of vulnerability management in the cloud and on-premises”를 통해 알아보실 수 있습니다.

2019년 가트너의 IAM(Identity and Access Management) 기술 트렌드에 따르면,   2022년까지  40% 이상의 중·대 기업은 SaaS 형태의 IAM을 도입할 것으로 전망한 바 있습니다.

오늘날 비즈니스는  클라우드를 채택하면서 다양한 응용프로그램을 쉽게 이용할 수 있는 환경이 되었으며, 이로 인해 IT자산에 접근하는 모든 개체에 대한 신원확인이 중요해지고 있습니다.

 “Cloud IAM and the Path Toward Digital Transformation”에서는 클라우드 IAM과 기존 IAM과의 비교, 기능적 특징 등에 대해 아래의 항목으로 설명하고 있습니다.

 - 클라우드 IAM과 온프레미스 IAM간의 차이점

 - 하이브리드 클라우드를 위한 클라우드  IAM

 - IAAA(Identification, Authentication, Authorization and Auditing) 기능

 - 디지털 트랜스포메이션 가속화를 위한 클라우드 IAM

자세한 내용은 IBM Security Intelligence 블로그의 “Cloud IAM and the Path Toward Digital Transformation”에서 알아보실 수 있습니다.

2019년 9월, 호텔 예약시스템인 Autoclerk는 AWS에서 운영하던 엘라스틱서치 데이터베이스에서179 GB 이상, 10만명이 넘는 예약정보가 유출되었다고 밝혔습니다. 유출된 정보에는 예약시스템을 사용하던 미군들의 이메일, 전화번호, 여행기록 등을 포함해 민감한 개인정보가 포함되어 있었습니다.

오픈소스 기반 엘라스틱서치는 일반적으로 빅데이터 검색에 있어 속도와 검색의 정확 및 편의성 등으로 널리 사용되고 있으나, 환경설정 오류 및 부적절한 접근통제 등의 보안 이슈로 데이터 유출 가능성이 높은 것으로 지적 받아 왔습니다. 엘라스틱서치를 사용하는 대다수의 많은 기업들은 세분화된 접근통제를 설정하지 않고 사용하고 있으며, 이로 인해 패스워드가 노출되면 모든 데이터에 접근이 가능할 수 있습니다.

 - 인증 기능이 부재한 엘라스틱서치 서버 관리용 포트를 통해 데이터베이스 접근 및 내부정보 열람 가능(2019.1.29, KISA 보안공지)

해당 보안사고 역시 이전에 살펴본 클라우드 보안사고 범주에 속하며, 환경설정 오류 예방, 데이터 흐름 통제, 모니터링 강화 등의 보안대책으로 예방할 수 있습니다.

환경설정 오류 예방 및 불충분한 변경제어 관리

접근권한 관리, 디폴트 값 변경 등의 설정을 진행하는 과정에서 발생할 수 있는 오류 및 설정 값들 사이의 불일치성에 대해 확인하고 수정하며, 주기적인 관리감독이 필요합니다. 컴플라이언스 진단도구와 같은 비용효과적인 편리한 관리도구를 활용하여 네트워크 인프라, 하드웨어, ID 관리에 대한 설정 값들을 주기적으로 확인하고 보안 모범사례를 적용합니다.

데이터 흐름 통제 및 암호화

데이터 경로 분석 및 통제, 비즈니스 파트너 심사, 데이터 보존 기한 심사 등 강력한 데이터 보안통제를 통해 보안사고 발생시 내·외부의 영향력을 최소화 시킵니다. 또한, 데이터 암호화를 통해 침해사고로 인한 데이터 유출을 차단합니다.

네트워크 모니터링 강화 및 비정상 행위 감시

화이트리스트 기반의 접근통제로 신뢰하는 연결만 허용하며, 비정상적인 접근이나 새로운 내부로의 접근시도에 대한 모니터링을 강화합니다. 감사로그를 실시간으로 분석하고 과도한 데이터 전송 등 비정상 행위를 분석하고 탐지 합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

2019년 7월, 미국의 대형은행인 캐피탈 원(Capital One)은 해킹으로 1억 6백만명의 고객정보가 유출되었다고 자사홈페이지를 통해 공개하였으며, 이로 인해 약 1,773억원의 피해가 발생한 것으로 추정하고 있습니다. 유출된 고객정보에는 이름, 주소, 전화번호 등 신상정보와 신용점수 및 한도 등 금융정보까지 방대한 정보를 포함하고 있으며, 특히, 8만개 계정, 14만개 사회보장번호, 그리고 1백만개 캐나다 사회보험 번호가 노출되었습니다.

해커는 아마존의 시스템 엔지니어로 근무(2015년~2016년)했던 Paige A. Thomson이었습니다. Paige는 AWS에 설치된 오픈소스 WAF (Web Application Firewall)가 SSRF (Service-Side Request Forgery) 공격을 탐지하지 않도록 설정(default)되어 있다는 점을 이용해, S3데이터베이스에 접근할 수 있는 인증정보를 획득하였습니다.

캐피털 원은 많은 다른 선진 기업들이 클라우드로 이전한 전략을 받아 들여 디지털 혁신을 주도하고자 했으나, 결과적으로는 클라우드에 대한 충분한 이해 부족으로 더 많은 혼란을 겪게 되었습니다.  

비정상 접근시도 모니터링 및 차단

외부에서 접근이 가능한 웹서버를 통해 방화벽(Firewall)을 우회하여, 내부 시스템으로 접근할 수는 SSRF공격은 퍼블릭 클라우드의 가장 위험한 공격 중 하나 입니다. SSRF와 같은 공격을 방어하기 위해서는 화이트리스트 기반의 접근통제로 신뢰하는 연결만 허용하며, 비정상적인 접근이나 새로운 내부로의 접근시도에 대한 탐지와 차단을 수행 합니다.

감사로그 분석을 통한 비정상적인 행위 탐지

클라우드 서비스 제공자(CSP)는 네트워크와 사용자 계층에서 데이터의 가시성을 제공하는 감사로그 툴을 제공하기도 하지만, 데이터가 광범위하고 다루기가 쉽지 않습니다. 감사로그를 분석하고 비정상 행위를 탐지할 수 있는 전용 솔루션을 도입하여, 데이터 침해사고에 대한 예방과 대응을 수행합니다.  

클라우드 서비스 제공자(CSP)의 네이티브 환경 이해와 공동 대응

사용자는 CSP가 제공하는 Anti-DDoS, F/W, WAF 등과 같은 네이티브 앱과 운영환경에 대한 충분한 이해를 기반으로 사용여부를 결정하고, 서비스 설계시 반영 합니다. 또한, CSP와 협조하여 공동의 선제적인 침해사고 방어 대책을 세우도록 합니다.   

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

2019년 5월 20일, 테크크런치는 인도 뭄바이에 위치한 소셜 마케팅업체 치트르박스(Chtrbox)가 운영하는 데이터베이스에 패스워드 없이 접근이 가능하며, 이로 인해 인스타그램 인플루언서를 포함한 4,900만개의 계정정보가 노출됐다고 보도했습니다. 계정정보에는 이용자 전화번호와 이메일 주소를 포함해 프로파일 이미지, 팔로워 수, 공유 게시물 수 등 활동 지표가 포함되어 있었으며, 데이터는 유명인들을 포함한 최신의 데이터라고 전했습니다.

이러한 소식이 전해지자 치트르박스는 즉각적으로 데이터베이스와 연결된 인터넷을 차단했습니다. 이후, 인스타그램은 자체 조사를 통해 치트르박스가 가진 정보에는 개인정보가 포함되어 있지 않으며, 이미 공개된 정보라는 주장한바 있습니다.

인스타그램은 2년전에도 개발자 API의 버그문제로 인해 유명인들의 계정을 포함해 6백만개의 계정이 유출된 이력이 있습니다. 해당 계정에는 핸드폰 번호, 이메일 주소 등이 포함되어 있었으며, 정보를 탈취한 공격자들은 해당 정보 검색용 유료사이트(1건당 10달러)를 개설하기도 했습니다.

클라우드 환경에서 패스워드의 부적절한 설정이나 보안에 대한 충분한 이해 부족으로 인해 발생하는 이러한 침해사고는 지속적으로 발생하고 있습니다. 치트르박스와 같은 단순 실수로 인한 사고는 외부로 부터의 인지 이후에나 깨닫게 되는 경우가 많습니다. 아직까지 클라우드를 운영하는 많은 기업들은 효과적인 보안설정, 컴플라이언스 모니터링, 데이터 유출 탐지, 보안 인식제고 등에 있어 충분한 준비가 되어 있지 않습니다 . 

충분한 통찰력 내재화 및 조직의 보안역량 강화

빠르게 변하는 기업의 서비스와 기술요건 충족을 위해, 컴퓨팅 인스턴스와 스토리지 또한 시의적절하게 변경이 필요합니다. 하지만, 성급한 인프라의 변화로 인해 강한 패스워드 적용, 다중인증 구현, 주기적인 키 변경, 최소권한 할당 등 중요한 보안요소들에 소홀 할 수 있습니다.  따라서, 클라우드 계정, 워크로드, 컨테이너 인프라에 대한 충분한 이해를 기반으론 환경설정 오류, 미흡한 보안정책 적용, 데이터 침해사고로 이어질 수 있는 간과하기 쉬운 요소들에 대해 점검하고 정정할 수 있는 능력을 키워야 합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

Docker Hub(https://hub.docker.com/)는 사용자들이 공식적으로 도커 이미지를 공유하는 저장소로, 기존 도커를 내려 받은 후 재가공하여 재공유가 가능한 플랫폼입니다.

2019년 4월 비금융권 사용자 계정을 저장하는 일부 저장소에 허가되지 않은 사용자가 접속하여19만명의 계정을 유출하였습니다. Docker Hub 계정유출 사고는 전체 도커 계정의 5%에 달하지만, 유출된 계정에 토큰과 접속키(Access Key)가 포함되어 있어, 인증우회, 생산 공정상 악성코드 삽입, 상품코드 복제 등의 추가 피해 우려되었습니다.

Docker측은 빠르게 사용자들의 토큰을 폐지하고 패스워드를 리셋 시켰습니다. 이러한 과정에서 사용자들은 접속키를 재생성하고 로그파일을 통해 잠재적인 악성행위를 판별해야하는 큰 불편을 겪어야만 했습니다. Docker는 명확한 침해경위에 대한 설명이 없었으며, 이 공격은 인증정보인 크리덴셜 공격이나 관련 서버의 침투에 의한 것으로 유추하고 있습니다.

이러한 컨테이너 침해에 대비하기 위한 방안은 다음과 같습니다.

컨테이너 가시성 강화

컨테이너는 운영체제 레벨에서 프로그램을 가상화하는 기술로, Linux의 프로세스 분리기능을 통해 동일한 커널에서 여러 컨테이너를 실행하여 오버 헤드를 줄입니다. 따라서, 컨테이너들간의 소통채널인 inter-process 통신채널 뿐만 아니라 컨테이너내에 발생하는 이벤트에 대한 모니터링을 실시합니다. 호스트기반 IDS를 통해 비정상적인 행위나 워크로드의 변경 이벤트를 탐지합니다.

백업, 데이터 암호화, 이미지 스캐닝

신뢰할 수 있는 저장소에 추가적인 백업공간을 확보하고 주기적인 백업을 진행합니다. 데이터의 암호화 및 해쉬를 통해 변경을 감시하고 데이터 유출시에 대비합니다. 이미지 스캐닝 도구를 사용하여 컨테이너에 삽입된 악성코드의 삽입을 탐지합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

페이스북의 가장 큰 장점 중에 하나는 외부에서 제공되는 매력적인 다양한 앱들을 제공한다는 것입니다. 하지만, 페이스북 사용자 입장에서는 새로운 데이터 침해 경로가 추가되는 셈입니다. 외주 제작의 앱들의 경우, 페이스 북과 동일한 수준의 보안관리 또는 데이터 관리를 하지 않는 경우가 있습니다. 보안 전문업체인 UpGuard에 따르면, 멕시코의 디지털 미디어 회사인 Cultura Colectiva는 AWS 서버 보안관리 실수로 인해 5억 4천만명 이상의 페이스북 사용자 정보를 유출시켰습니다. 이들 레코드에는 상세한 프로필 정보를 포함해, 사용자 ID, 계정 이름 등도 포함되어 있었습니다.

유사한 기간에 “At the Pool” 이란 앱을 통해 약 22천개의 패스워드가 AWS S3에서 유출됐으며, 유출 당시 S3는 보안이 적용되지 않았으며, 패스워드 역시 암호화 되지 않은 상태였습니다. 사용자는 한번 세팅한 패스워드는 여러 사이트에서 재사용하기 때문에, 패스워드는 다크웹에서 흔히 거래되는 아이템으로 크리덴셜 스터핑에 사용되기도 합니다. 다행인 것은 “At the Pool”은 최근 5년동안 운영이 되지 않았기 때문에, 패스워드의 유효성은 낮았을 것으로 판단됩니다. 이렇듯, 보안이 허술한 기업과의 연동은 또 다른 보안 홀을 만들 수 있습니다.

위와 같은 침해사고에 대한 대책으로는 다음과 같습니다.

보안설정 값 진단 및 관리

네트워크 및 보안장비, WEB/WAS/DB 서버, PC, 어플리케이션 등의 중요한 보안 설정이 올바로 설정되어 있는지를 진단하는 것처럼, IaaS 설정 또한 보안 요구조건을 만족하고 있는지를 주기적으로 점검하고 수정합니다.  

환경설정 오류 예방 및 불충분한 변경제어 관리

접근권한 관리, 디폴트 값 변경 등의 설정을 진행하는 과정에서 발생할 수 있는 오류 및 설정 값들 사이의 불일치성에 대해 확인하고 수정하며, 주기적인 관리감독이 필요합니다. 컴플라이언스 진단도구와 같은 비용효과적인 편리한 관리도구를 활용하여 네트워크 인프라, 하드웨어, ID 관리에 대한 설정 값들을 주기적으로 확인하고 보안 모범사례를 적용합니다.

데이터 흐름 통제 및 암호화

데이터 경로 분석 및 통제, 비즈니스 파트너 심사, 데이터 보존 기한 심사 등 강력한 데이터 보안통제를 통해 보안사고 발생시 내·외부의 영향력을 최소화 시킵니다. 또한, 데이터 암호화를 통해 침해사고로 인한 데이터 유출을 차단합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020