클라우드 보안의 개요와 그 상세(1)

  클라우드 보안 개요

  클라우드는 기존의 산업(의료, 물류, 제조 등)이 IT 기술과 결합하면서 산업 간의 경계가 흐려지고 서비스가 융합되는 4차 산업혁명의 시대에서 주목받고 있는 기술이다. 기존 비즈니스가 IT와 결합하면서 이동 통신사가 없는 전화 서비스(WeChat), 숙소가 없는 숙박 서비스(AirBnB), 택시가 없는 운송 서비스(Uber), 자체 컨텐츠가 없는 SNS(Facebook), 극장이 없는 콘텐츠 서비스(NETFLEX), 재고가 없는 판매 서비스(Alibaba) 등이 새로운 서비스가 생겨났다. 4차 산업에서 클로벌 리더가 되기 위해서는 ICBMA(IoT, Cloud, BlockChain, Mobile, AI)가 필수 기술이 되었다. 클라우드를 통해서 빅데이터의 수집, 저장, 분석과 인공지능 개발을 위한 대규모 컴퓨팅(계산 능력) 자원을 저렴하게 활용할 수 있다.

  기존에는 기업이 직접 데이터 센터(서버실)에 서버, 네트워크 스토리지 등 인프라를 구축해서 운영하는 로컬 클라우드(On-Premise) 환경-Private Cloud이었지만, 이제는 직접적으로 데이터 센터를 보유하지 않고도 자원을 활용할 수 있는 환경을 구축해주는 상용 클라우드(On-Demand) 환경-Public Cloud를 이용해서 서버, 스토리지, 네트워크와 같은 하드웨어 인프라와 데이터베이스, 웹 어플 등 소프트웨어 영역까지 구매하거나 소유하지 않고도 이용할 수 있게 되었다. 
  기술적인 측면에서 클라우드 컴퓨팅은 물리적인 하드웨어 장비에서 독립적인 별도의 서버, 네트워크, 스토리지 영역을 생성할 수 있는 가상화 기술을 토대로 자원의 확대와 축소를 가능하게 해서 사용자가 요구하는 특정 자원만 제공할 수 있는 IT 환경으로 볼 수 있다.

  2003년 Amazon이 클라우드를 통한 저장 공간과 연산 자원을 제공하는 S3, EC2를 시작하면서 Amazon AWS, Microsoft Azure, Google GCP(Google Cloud Platform), Alibaba Cloud, Tencent Cloud 등이 서비스를 제공하고 있다. 국내에서는 KT의 Ucloud, Naver의 Naver Cloud, SK의 CloudZ가 있다. 

 

  클라우드의 특징 

▪ 접속 용이성 : 사용자는 시간과 장소와 무관하게 인터넷으로 표준화된 API 호출을 통해서 클라우드에 접속할 수 있다.     
=>API(Application Programming Interface)는 서비스나 특정 응용 프로그램의 기능을 원격에서 호출해서 사용할 수 있게 해주는 인터페이스 프로그램을 말한다.
▪ 유연성 : 갑작스런 이용자 수의 변화에 신속하고 유연하게 대응할 수 있다.
▪ 주문형 : 클라우드 관리포털(CMP: Cloud Management Portal)을 통해서 직접 자원을 생성, 삭제 등을 손쉽게 처리할 수 있다. CI/CD가 용이해졌다. 
▪ 사용량 기반 과금 : 서비스 사용량에 대해서만 비용을 지불하는 체제이다. 

 

  클라우드의 장단점 

▪ 장점 : 비용절감, 완성형 서비스 활용으로 인한 시간절약, 생산성 향상, 자원의 유연성 확보 등이 있고
▪ 단점 : 보안상 취약, 가상화 인프라의 취약, 자원 공유로 인한 취약, 자원 집중화로 인한 취약, 장애발생에 대한 BlackBox(클라우드 서비스 제공자가 책임지는 부분) 문제 등이 있다. 

 

  클라우드의 유형

  클라우드에는 다양한 유형이 있다.

=>배치 모델

  자원(서버, 스토리지, 네트워크 등)이 어디에 위치하고, 클라우드 자원을 누가 사용하는지에 따른 분류로 배치모델에는
▪ 퍼블릭 클라우드 : 클라우드 제공자가 소유한 자원에 누구나 언제 어디서나 접속 가능한 형태, 보안 수준이 낮음, 대부분 상용 AWS, Azure, GCP(Google Cloud Platform) 등
▪ 프라이빗 클라우드 : 개별적이고 독립적인 기업이나 단체가 소유하는 자원을 허가된 사용자만이 언제 어디서나 접속 가능한 형태, 기업이나 공공기관, 온 프레미스와 퍼블릭의 중간 형태, 조직별 보안 설정가능, G-Cloud(정부)
▪ 하이브리드 클라우드 : 퍼블릭과 프라이빗을 결합해서 표준화된 인터페이스로 상호 서비스를 제공하는 형태, 핵심은 프라이빗으로 두고, 비핵심은 퍼블릭으로 두는 형태가 있다. 
▪ 멀티 클라우드 : 다수의 퍼블릭 클라우드를 기반으로 각 서비스의 특징을 이용해서 구축하 는 형태이다.

 

=>서비스 모델

 사용자에 제공되는 클라우드 서비스 종류에 따라서 단순 인프라 사용인지 복합 미들웨어나 소프트웨어 사용인지에 따른 분류로 기본적인 서비스에는 
▪ IaaS : 인프라만 사용하는 서비스로 클라우드를 이용해서 네크워크와 서버에 미들웨어, 소프트웨어를 설치해서 사용, 플랫폼 인프라 사용, AWS의 EC2, EBS 등  
▪ PaaS : 클라우드의 미들웨어를 이용해서 소프트웨어 개발 환경을 구축해서 개발에 집중, WEB(정적인 컨텐츠 제공), WAS(Web Application Server: 동적인 컨텐츠 제공),                      AWS의 RDS(Relational Database Server)), 하드웨어 사용
▪ SaaS : 클라우드에 구성된 소프트웨어 이용, 소프트웨어 사용, MS의 Office 365가 있다. 
    

=>모델에 다른 비용, 관리 등으로 구별한다면 
▶ IaaS >PaaS >SaaS로 갈수록 사용자 관리가 줄고, 보안이 좋아지고, 비용은 증가
▶ SaaS >PaaS >IaaS로 갈수록 사용자 관리가 늘고, 사용자 의도대로 보안 설정, 비용 감소

 

  클라우드 보안

  기업에서는 클라우드 도입으로 비용절감과 민첩성(CI/CD) 등으로 호기심은 있지만 기업이 직접 관리하는 수준의 보안을 클라우드에도 적용할 수 있는지에 대한 고민으로 도입을 망설이고 있다. 클라우드 서비스는 가상화 기술을 이용해서 IT 인프라를 공유하는 기술을 사용하지만 그 위에서 동작되는 미들웨어(WEB, WAS)나 어플(홈 페이지, 모바일 앱 등)들은 기존의 환경과 동일해서 클라우드에서의 보안은 온 프레미스 환경에서의 보안 위협과 취약영역이 동일하다.
=>일반적으로 온 프레미스를 임의적으로 모든 설정을 할 수 있는 단독주택, 클라우드를 제한적으로 설정할 수 있는 아파트로 비유한다.
▪ 관리적 보안영역 : 클라우드 제공자가 배포하는 서비스와 기능이 기업의 상황과 다를 수 있어서 완전히 그대로 적용하기에는 무리가 있다.
▪ 기술적 보안영역 : 인터넷 환경을 통해서 기본적인 인프라가 제공되기 때문에 정보유출과 해킹 공격의 위험이 있을 수 있다. 클라우드 환경을 모니터링하는 기법과 최대한 통제권을 기업이 가지기 위한 투자가 필요할 수 있다.
▪ 물리적 보안영역 : 이는 전적으로 클라우드 서비스 제공자가 가지고 있다. 사용자와 클라우드 제공자는 SLA(Service Level Agreement)를 통해서 서비스 제공자가 제공하는 데이터센터의 물리적인 보안과 서비스의 가용성을 보장받는다. 

 

  클라우드만의 보안적 특징

▪ 클라우드에서의 자원 : MultiTenancy(여러 사용자들이 함께 공유하는 형태)이기 때문에  가상화 기술 자체에 대한 취약점, 물리적인 인프라 설정에 따른 취약점, 다른 사용자와의 논리적인 분리(수평적 개념)에서 취약점이 있을 때 보안 위협이 생기게 된다. 국제 클라우드 보안협회 CSA(Cloud Security Alliance)가 자율적으로 구성 되어서 클라우드 보안 위협을 공유하고 있다. 여기서의 내용을 보면 데이터 유출, 불충분한 ID, 자격증명 및 접근관리, 안전하지 않는 인터페이스와 API, 시스템 취약점, 계정 도용, 악의적인 내부자, APT(Advanced Persistent Threats), 데이터 손실, 불충분한 실사, 클라우드 서비스 남용과 악의적인 사용, DoS 공격 , 공유기술의 취약점 등이 존재한다고 밝혔다. 최근에는 CSA STAR와 같이 보안 인증 제도를 취득한 CSP(Cloud Service Provider)에 대해서 클라우드 서비스 제공을 제도적으로 허용하고 있다. 
▪ 클라우드 보안 사고 : 클라우드 서비스 제공자의 관리 실수, 시스템 자체 오류, 천재지변 등으로 사고가 발생할 수 있다.
▪ 클라우드에서의 해킹 : 가상화 기술과 사용자가 호출하는 API에서 해킹이 발생될 수 있는데 클라우드는 여러 사용자가 공유하는 가상공간이기 때문에 자원의 공유를 위해서 각각을 가상영역으로 분리해주는 가상화 기술이 핵심인데 가상서버에서 벗어남, 호핑(Hopping), 운영체제/소프트웨어의 이미지 변조, 하이퍼바이저 기반 루트킷 등의 취약점이 있다고 보고되고 있다. 만일 하이퍼바이저(하나의 물리적 서버에 여러 개의 가상 서버를 구동하는 가상화 엔진으로 Linux KVM, MS Hyper-V, VMware vSphere/ESXi 등)에 대한 접근제어나 네트워크 접근 허용으로 인해서 해킹이 성공되면 해당 하이퍼바이저가 관리하는 모든 서버와 이를 이용하는 모든 사용자가 해킹당할 수 있다.  

  보통 온 프레미스에서는 홈페이지와 같은 웹 서버만 외부에서 접속하게 하고 중요한 정보를 저장하는 데이터베이스나 스토리지는 내부에 두고 접근제어 설정이나 방화벽으로 막아 두지만, 클라우드에서는 설정이 수평적이어서 외부에서 인터넷으로 모두 접근할 수 있기 때문에 부적절한 권한 설정이나 구성으로 민감한 정보가 유출될 수 있다. 미국의 Gartner에 따르면 클라우드 환경에서 발생하는 보안사고의 95%는 클라우드 사용자의 보안설정 오류나 관리부족으로 인해 발생된다고 보고한다. 
  하지만 클라우드의 보안 사고에서는 서비스 제공자의 과실인지 사용자의 과실인지를 증명하는 책임증명의 어려움이 있고, 또한 서비스 제공자의 물리적인 서비스 중단에 따른 문제도 있을 수 있다. 이를 위해서 핵심을 오프라인에 백업해두거나 자체적인 보안 솔루션을 통한 모니터링 체계가 있어야 한다. 
=>기업이 전적으로 클라우드 사업자를 신뢰해서는 안 된다는 의미이기도 하다.

 

  클라우드 보안 관리 기준

  미국에서는 보안성 인증단계로 NIST 800-53 보안 통제 기본 항목을 기반으로 FISMA(Federal Information Security Management Act)에 따라 표준 요구사항에 적합 여부를 심사하고 인증제품/서비스 도입 단계에서는 민간 클라우드 제품과 서비스 도입에 따른 보안성 검토를 수행해서 FedRAMP 인증이 있는 경우만 인증심사를 받게 한다.
  유럽에서는 ENISA(European Network and Information Security Agency)라는 조직에서 클라우드 컴퓨팅의 위협요소 4가지를 35개 항목으로 만들어서 평가하고 있다.  
  일본은 ASPIC이 있고, 중국에서도 작업이 이뤄지고 있다. 국내에서도 클라우드 컴퓨팅법이 2015년에 발표되었고 2016년에는 한국 인터넷 진흥원(KISA) 주도로 클라우드 보안 인증제도를 만들었다.

  클라우드 보안에 대한 비영리단체인 CSA(Cloud Security Alliance)에서는 2010년 보안 가이드 라인과 클라우드 고객이 CSP의 전반적인 보안 위협을 평가할 수 있는 도구로 CSA-CCM(Could Controls Matrix)을 정기적으로 배포하고 있다. 
=>CSA STAR는 수준1(CSP의 STAR 자체평가), 수준2(제3의 독립 기관평가 인증), 그리고 수준3(지속적인 모니터링을 기반)으로 인증하는 체계로써 CSA GRC 스택의 두 가지 구성요소를 가지고 있다.  
▪ CCM(Cloud Controls Matrix) : 클라우드 고객이 CSP의 전반적인 보안 위협을 평가하는데 활용하는 16개 영역의 보안 프레임
▪ CIAQ(Consensus Assessments Initiative Questionnaire) : 고객 또는 클라우드 감사자가 CSA 모범 사례를 준수하는지 평가하기 위해 CSP에 질문할 수 있는 CCM 기반의 140개 질문서

 

  클라우드 보안 설계

  기존의 시스템과 다른 클라우드 환경에서도 기존의 보안 원칙을 유지/적용하고자 할 때 사전에 클라우드 보안 설계를 신중히 해두어야 한다. 클라우드의 보안 설계는 일관된 보안 정책의 수립과 운영, 책임 공유모델의 이해와 통제력 회복, 그리고 보안 수준에 맞는 업무 서비스 클라우드화가 필요하다. 

 

- 클라우드 보안

  클라우드 보안은 말 그대로 사용자가 클라우드 환경에서 생성한 자원이 안전하도록 정보 시스템을 구축하고, IT 서비스의 지속적 활용을 제공하기 위한 방법으로 외부의 악의적인 위협과 내부의 중요 정보 유출로부터 시스템을 지키기 위해서 보안 대상과 보안 기술, 보안 서비스 등을 검토하는 일이다. 클라우드에서의 보안은 온 프레미스에서의 보안과 엄연히 다르기 때문에 전혀 예상하지 않았던 설계를 해야 하는 곳, 집중해서 설계하지 못 했던 곳, 설계를 신경 쓰지 않아도 되는 곳 등이 있을 수 있다. 

 

  클라우드 환경의 주요 속성은  

▸멀티테넌시(multi-tenancy) : 특정 자원에 대해서 다양한 공유자가 존재 
▸접근성(accessibility) : 인터넷으로의 손쉬운 공유 자원에 대한 접근이 가능한 
▸탄력성(elasticity) : 자원의 변동과 빠른 생성/삭제 등에 대응하는 유연함
으로 말할 수 있다. 이것들을 위해서는 지속적인 모니터링과 자동화 기반의 보안 설계와 보안 점검이 필요하다.

  기타 클라우드에서의 특징으로

▸식별 : 클라우드에 접속을 요청하는 주체(사용자나 서버)가 스스로를 증명하기 위해서 누구인지 식별 가능(사용자 ID, 로그인 ID, 계정 번호, 이메일 주소 등)한 입력활동
▸인증 : 식별을 통한 사용자 정보 외에 본인을 증명할 수 있는 정보(계정 비번, PIN, Token, Smart Card, 생체인식 등)를 입력해서 허가된 사용자인지를 확인하는 활동
▸인가 : 인증된 사용자에게 필요한 행위를 수행할 수 있도록 권한을 부여하는 활동으로 주체는 리소소, 자원에 접근 및 필요한 행위를 할 수 있다.
▸로깅 : 어플에 접속/행위 로그, 데이터 액세스 로그, 네트워크 통신 로그, 시스템 이벤트 로그, 관리자 활동 로그 등 기록을 전자문서로 기록하는 행위
▸모니터링 : 시스템, 네트워크, 데이터, 사용자 등이 시스템에서 수행한 행위에 대해서 이상 징후 분석을 수행하고 실시간으로 수집된 자원의 변경이나 현황정보 등을 대시                        보드로 관리하는 활동
▸감사 : 감사로그, 사용자접속 로그 등 로그파일이나 활동 정보를 검토해서 보안 기준에 따라 계정과 권한 관리 여부를 확인하고 위험요소(데이터 유출, 외부 해킹 시도 등)을               관리하는 활동
▸책임 추적성 : 클라우드 보안에서의 특수한 경우로 클라우드에서는 외부에서의 악의적인 자원 변경, 내부의 중요 데이터 유출, 허가되지 않은 사용자 접속 등으로 보안                    위험이 커졌는데 이를 위해서 클라우드 자원 사용 전에 식별(identification), 인증(authentication), 인가(authorization)가 필요하고, 자원을 사용하는 도중에는          
          로깅(logging), 모니터링(monitoring)이 필요하며, 자원 사용 이후에는 활동 이력에 대한 감사(auditing)가 있어야 책임 추적성을 만족시킬 수 있다. 

 

  참고로 클라우드 자원에 대한 다음 용어를 알아두자.

Scale up : 자원 사양을 증설
Scale down : 자원 사양을 감축
Scale out : 다수의 자원에서 자원 수를 감소함
Scale in : 기존 자원과 동일한 자원을 추가가 있다.

 

  일반보안과 클라우드의 보안 차이

  기존의 온 프레미스 환경이 사용자가 직접 소유한 단독주택(모든 초기 설계부터 색상, 배치, 위치 잡기, 가전 등을 모두 직접 결정하고 구매하는 상황)이라면 클라우드 환경은 아파트(이미 구축된 시설을 이용하면서 출입카드만 잘 관리하면 되는 상황)이 비유할 수 있다. 
▸온 프레미스 보안 : 이 정보 시스템에서의 설계는 보안 3요소인 기밀성, 무결성, 가용성 측면에서 검토하는데 일반적으로 데이터 암호화 기술을 사용한다. 기밀성에 대해서는 데이터 자체에 대해서는 파일 암호화, 데이터베이스 암호화 등을 이용하고 네트워크에서는 통신 구간은 암호화 장비나 VPN, 전용선 등을 이용한다. 무결성은 데이터의 정확성과 일관성을 유지시키고 보증하는 것으로 접근성과 사용자 인증 등을 통한 접근통제와 단방향 암호화/복호화 등을 이용한다. 그리고 가용성은 재난, 화재 등의 외부 환경으로 인한 피해나 DDoS 공격, 해킹 등에 대응해서 핵심 서비스에 피해가 있을 때 빠르고 안전하게 복구하기 위해서 재난대응(DR:  Disaster Recovery) 센터나 업무연속성(BCP: Business Continuity Planning)을 수립해서 운영하고 해킹 공격에 대비한 분산처리, 복제 등을 이용한다.  

▸클라우드 보안 : 클라우드 서비스 제공자가 구축한 것을 이용하는 입장이기 때문에 기존의 보안 3요소만으로 보안을 충족시킬 수 없다. 사용자가 접근할 수 없는 클라우드의 블랙박스 영역(시스템이 어떤 물리적인 특성의 하드웨어이고, 어디에 위치하고 있는 지 등)이 있기 때문에다. 따라서 클라우드 보안에서는 기본 보안 3요소 외에 책임 추적성이 포함되어 보안 4요소를 고려해 두어야 한다.
                =>Grafana, Kibana 오픈소스를 이용한 PaaS에서 상위레벨에 대한 트래픽 정보를 실시간으로 확인하는 모니터링 도구 등을 추가하는 등의 작업이 있을 수 있다. 

 

  책임 공유 원칙(shared responsibility)

  클라우드 보안에서는 책임 공유원칙을 고려해 두어야 하는데 클라우드에서 발생되는 사고가 인프라 제공자와 사용자가 공유하는 자원에서 발생되기 때문이다. 어느 부분에서 책임을 져야하는지 판단하기 어려운 부분이어서 책임 추적성이 있어야 한다. 예를 들어 사용자는 어플 영역의 데이터, 사용자 인증 등의 보안 관리에 대해서만 책임지면 된다. 이들은 데이터 암호화와 같은 보안기술로 처리하면 된다. 
=>IaaS에서는 데이터와 어플, OS 영역, PaaS에서는 데이터, 어플 영역, SaaS에서는 Data 영역을 담당하면 된다.
  그리고 제공자는 어플 영역의 하위 플랫폼과 인프라 영역에 대한 전반적인 보안 관리를 책임지는데 서비스 모니터링, 어플 보안 패키, 시스켐 보안관리, 데이터 가시성 확보를 위한 인터페이스 등을 모두 책임져야 한다. 
=>물리적인 데이터센터와 하드웨어 등에 대한 보안 책임, 가상화 기술을 이용한 인프라 관리 영역을 모두 담당해야 한다. 
  따라서 사용자는 클라우드 서비스 제공자의 보안 수준을 점검하고 서비스 유형별로 책임 추적성 계획을 마련해야 하는데 ‘식별+인가+인증+로깅+모니터링+감사(책임 추적성)’를 필수적으로 설계해둘 필요가 있다. 

 

  온 프레미스와 클라우드 보안 모델

  온 프레미스에서의 보안모델은 경계형/성벽형 보안 모델로써 외부에서의 침입을 막기 위해서 방화벽을 두고, 네트워크망을 분리해서 통신을 통제하는 모델로 진행된다. 
=>보안이 여러 계층의 단계에 보안이 적용되는 수직적 개념이다. 

  하지만 클라우드에서의 보안모델은 공항형 보안 모델로써 물리적인 경계가 더 이상 의미가 없고, 여러 사용자가 멀티테넌시한 상태이므로 여기에 경계형 보안모델을 구축하려면 비용이 많이 들고 제공자와 협의가 많을 수 있다. 그러므로 사용자 인증을 강화하고 클라우드에서 전송하는 데이터들에 대해서 책임 추적성을 위한 보안 강화 기능을 고려하는 모델이 되면 좋은데, 클라우드 환경의 접점에서는 인바운드와 아웃 바운드 양방향 검사를 수행하고 로킹과 모니터링으로 책임 추적성을 확보해두는 식으로 진행하면 된다.

=>클라우드에서의 보안은 입구와 출구에서만 외부 위협과 정보 유출을 통제하고 내부에서는 자유롭게 사용되게 하는 수평적 개념이다. 이런 면에서 직원들이 IT 부서를 통하지 않고 자유롭게 클라우드 서버나 스토리지에 접근해서 데이터를 조작할 수도 있기 때문에 IT 부서 직원들이 클라우드 어플이나 서비스에 대한 통제를 잃어가는 Shadow IT라는 용어도 있다.

  최근에는 클라우드에 제로 트러스트 보안 모델이 적용되고 있는데 신규 서비스를 클라우드로 런칭하거나, 기존 시스템을 클라우드로 이전할 때 적용되는 모델로써 시스템 보안, 데이터 보안, 어플 보안 등에서의 보안 사고가 일어날 수 있으므로 기존의 보안 설정을 신뢰하지 않고 내부와 외부에 모든 보안을 새롭게 인식하고 적용하는 모델이다. 항상 불신을 전제로 신원을 확인하고 모든 트래픽의 로깅과 감사, 모니터링을 통해서 관리하는 체계이다.

=>1차는 네트워크를 통한 접속 차단, 2차는 접근자의 양방향 식별, 3차는 접속하는 주체가 허락된 주체인지, 입력정보가 맞는지 확인하는 인증, 4차는 클라우드 리소스에 대한 객체 권한이 있는지 확인해서 접근을 허용하는 인가, 그리고 5차는 1~4차를 통과한 사용자는 자유롭게 클라우드 리소스를 사용하게 하는 접근으로 볼 수 있다.  

 

  클라우드 전환 프로세스

  온 프레미스 환경을 클라우드로 전환하기 위해서는 먼저 ‘사업 전략=>계획=>도입=>운영=>성과’ 등의 과정으로 진행한다. 
▸사업전략 : 경영자의 강력한 의지가 필요하다. 클라우드 서비스를 통해서 단위 업무를 처리하는 것도 좋지만 기업의 경쟁력 강화를 위해서는 장기적인 변화 계획을 수립하는 것이 좋다.
▸계획 : 정보화 전략계획(ISP: Information Strategy Planning)과 클라우드 설계가 필요하다. 어떤 서비스를 클라우드로 전환해야 경쟁력 강화가 되는지 장기적인 IT 전략 수립으로 단기, 중기, 장기 계획이 필요하다. 
▸도입 : 최적의 클라우드 서비스와 클라우드 배치모델, 서비스 제공자를 검토하는 단계이다. 먼저 보안 아키텍처를 설계한 뒤, 실제 클라우드로 시스템 이전 작업이 진행되는 단계이다. 예상치 않은 문제에 봉착할 수도 있으므로 백업 등 복구에 대한 시나리오도 별도로 마련한다. migration

=>여기서의 아키텍처란 업무를 수행하는데 필요한 환경구축이다. 음식점의 예로 보면 주방과 카운터, 홀은 시스템 아키텍처, 음식의 종류와 재료 등은 소프트웨어 아키텍처, 그리고 위생 관리 등에 대한 당장은 나타나지 않지만 소흘히 했을 때 나중에 더 큰 피해가 있을 수 있는 것은 보안 안키텍처로 볼 수 있다. 
▸운영 : 클라우드 서비스 운영 업무와 보안 관리가 중요하다. 모니터링과 서비스에 대한 지속적인 관리가 필요해서 운영인력 확보와 보안 계획이 수립되어야 한다.
▸성과 : 장단기적으로 유무형의 성과를 평가해보는데 데브옵스(DevOps)를 통한 개발 문화의 변화와 클라우드를 활용한 디저털화로 인한 성과를 정성적, 정량적 평가가 필요하다.  

 

  클라우드 도입 전략

  클라우드로 조직의 시스템을 이전할 때 두 가지를 염두에 두는데 하나는 핵심 업무 시스템은 클라우드로 전환하는 전략적 적용과 클라우드 성숙도에 따른 단계적 적용이 있을 수 있다.

전략적 적용 : 조직에서 시장을 선도하는 주력 서비스를 클라우드로 빠르게 전환하는 방식으로 서비스 제공자 선정, 클라우드 운영, 그리고 보안관계 수행이 있다.
  서비스 제공자 선정에서는 별도로 구축한 보안 솔루션이나 SaaS형 보안 서비스인 경우  사용 중인 클라우드 보안 서비스와 연계할 경우 추가 요금이 발생될 수 있고, 관리적 측면에서 누락이 있을 수 있을 수 있다. 
    그리고 일단 구축되면 성공적인 클라우드 운영이 이뤄져야 하는데 설정 오류나 실수로 보안 사고가 있을 수 있으므로 역량이 확보될 때까지 전문 인력을 통하거나 클라우드 운영 서비스(CMS: Cloud Management Service) 제공자를 통해서 운영 서비스를 받는 것도 좋다.
  보안관제 수립에서는 클라우드에서는 자원과 정보가 집중되어 있으므로 해커의 좋은 표적이 되고, 여러 클라우드 서비스 제공자들의 보안 서비스가 다르기 때문에 보안정책을 공통으로 적용하기 힘들다. 보안을 적용해도 서비스 제공자의 물리적인 인프라가 다르므로 또한 어려움이 있어서 지속적인 보안 관제 수립이 필요하다. 
          =>최근에는 보안 서비스의 일종인 SECaaS(Security as s Service)나 CASB(Cloud Access Security Broker) 시장이 활성화 되고 있어서 클라우드 서비스 제공자 CSP(Cloud Service Provider)가 제공하지 못하고 있는 보안 기능을 제공하고 선택적 보안 관제 업무도 제공하는 분위기이다. 

단계적 적용 : 조직의 IT 시스템의 성숙도에 따라서 영향도가 낮은 서비스부터 단계적으로 클라우드로 이관하는 방식이다. 소프트웨어 역량 성숙도 평가모델 CMMi (Capability Maturity Model integration)을 조직의 소프트웨어와 시스템에 대한 역량을 평가해서 클라우드로 이관을 검토할 때 사용할 수 있다. 초기단계>관리단계>정의단계>완성단계>최적화단계로 진행될 수 있다.

 

  클라우드 보안 아키텍처 설계

  클라우드 보안을 설계하기 위해서 관리적 보안, 기술적 보안, 그리고 클라우드 서비스 제공자의 보안으로 구분해서 보안관리가 필요한 영역을 정의하고 관리방안을 수립해둔다.

관리적 보안 : 컴플라이언스, 보안정책, 보안 조직, 보안 감사 등을 관리한다.
기술적 보안 : 네트워크, 서버, 콘텐츠, 어플 보안 등을 관리한다. 클라우드 서비스 제공자 보안에는 가상화 기술과 물리 보안 영역이 있다. 클라우드 보안 아키텍처에서는 현황 분석>도입대상 선정>위험평가>보안 아키텍처 구성의 단계가 있다.

     현황분석 : 여기서는 클라우드로 전환할 대상의 서비스를 선정하고 컴플라이언스에서 제시한 요구사항을 검토한다. 클라우드 도입 목적을 정확히 밝히고 정보 시스템의 등급을 평가해서 중요도가 낮은 시스템을 우선 클라우드에 적용시킨다.
     =>컴플라이언스 요구사항 파악에서는 클라우드 도입의 적합성을 판단할 때 업무관련 법적 요구사항 검토가 중요한데 클라우드 발전법과 클라우드 컴퓨팅법 등을 고려해야 하고, 금융이나 공공 분야에서는 정보통신망법도 적용 여부를 검토해야 한다.  

     도입대상 선정 : 여기서는 클라우드 도입 목적을 정하고 서비스 제공자가 제공하는 보안 기능과 적용 가능한 보안 솔루션을 검토한다.
     =>클라우드 서비스 제공자와 클라우드 서비스 유형, 배치 모델을 선택하는데 법적 준거성 제공여부와 안정성 평가로 미국의 FedRAMP, 싱가포르의 MTCS, 글로벌보안 표준 CSA의 STAR, ISO 27017과 ISO 27018 인증 등을 통과해야 하고, 금융 분야에서는 32개의 추가 보호조치가 있어야 한다. 

     위험평가 : 여기서는 기존 클라우드에서 발생되었던 보안 위협들을 고려해서 보안 위험에 대한 평가를 수행한다.
     =>보안위험 평가란 보안사고가 발생하지 않도록 취약점을 사전에 확인하는 과정이다. 클라우드에서도 사용자에 대한 위약한 인증방식, 보안설정 오류 등이 있고, 공공보안위협 요소 외에 서비스별로 추가적인 위험요소가 있을 수 있다. SaaS에서는 주로 웹 서비스를 제공하므로 웹을 통한 공격이 있을 수 있고, PaaS에서는 특정 업체의 솔루션에 종속되거나 표준 서비스가 아닌 경우 기존 어플과 호환성 문제로 인한 위험 발생이 있을 수 있으며, IaaS인 경우에는 가상화 기술의 취약점으로 인해 다른 고객사 시스템으로 데이터가 넘어가거나 손실될 수 있다. 따라서 시스템, 소프트웨어, 데이터 아키텍처를 설계할 때부터 보안 담당자를 참여시키고 서비스별로 위험 평가와 함께 위험 수용, 위험 감소, 위험 회피, 그리고 위험 전가의 위험 대비 시나리오도 함께 준비해서 설계하는 것이 좋다. 
  보안 아키텍처 구성 : 여기서는 위에서의 내용을 검토해서 설계도를 작성한다. 

  =>위에서 알아본 클라우드 보안 위험요소를 어떻게 통제할 것인지를 결정하고 시스템에 반영한기 위한 구체적인 계획을 수립하는 단계이다. 클라우드 우수기업을 벤치마킹      해서 거기에 따르고 서비스별로 보안 수준을 다르게 하는데 크게 데이터 보호, 내부정보 유출 차단, 외부 해킹 차단 등에서 보안 등급을 매기고 업무의 보안 등급별 책임 추적성 확보, 보안상태의 가시화, 보안 관리의 자동화 설계를 검토해서 각각 상중하로 나누어 점수화해서 1등급, 2등급, 3등급으로 보안등급을 정할 수 있다. 

      사용 편리성과 보안통제는 Trade-Off 관계이다. 클라우드 보안의 핵심은 사용자(내부, 외부, 개발자, 운영자 등)에게 얼마나 자율성을 부여하는가, 서비스가 외부에 어느 정도 노출되는가, 서비스에 저장된 데이터가 얼마나 큰 파급효과를 줄 수 있느냐에 따라서 보안 설정을 다르게 할 수 있다. 

      보안 1등급에서는 네트워크 패킷이나 사용자 로그를 기반으로 이상행위 분석이나 모니터링 강화가 필요하고, 
      보안 2등급에서는 데이터 암호화, 웹 서비스에 대한 보안 강화가 필요하며, 
      보안 3등급에서는 네트워크 보안과 사용자 인증, 접근제어 측면에서 보안을 관리하면 된다.  
  서비스 제공자 보안 : 클라우드 서비스는 제공자마다 타겟 고객층이 다르고 서비스도 다양하므로 서비스 제공자마다 보안 수준이 다르게 된다. 따라서 클라우드에 가입하기 전에 기업에서 필요로 하는 보안기능을 나열하고 서비스 제공자가 제공하는 보안 서비스를 비교해서 선택해야 한다.

  참고로 IDG(Integration Data Group)의 클라우드 컴퓨팅에 따르면 기업별로 IT 과제과 과제의 수가 다르기 때문에 클라우드 선택의 목적이 서로 상이할 수 있어서
SaaS는 ERP, CRM,  협업, 비즈니스 라인, 모바일 앱 분야로 일상적인 유지보수 업무를 축소하고 생산성을 개선하기 위한 용도로 선택하고
PaaS는 개발과 테스트환경, 시스템 관리와 DevOps, business Intelligence, Data Analysis 분야에서 선택되어 자체 유지보수(업데이트나 취약점 관리 등)에 드는 시간과 비용을       줄이고 빠른 개발환경을 위한 용도로 선택되며
IaaS는 재난복구, 개발과 테스트, 테이터베이스, 스토리지, 백업, 파일 서버 등의 업무활용을 위해서 클라우드의 특징인 확장서과 유연성을 최대로 활용하는 용도로 선택된다고       보고 있다.

 

  클라우드 보안관리를 위한 방안

  클라우드 이용 목적이 빠르고 자유롭게 사용하는 시스템 환경이라는 것이지만 보안 통제가 추구되면 제약사항이 늘어나서 온프레미스와 다를 바가 없다는 불평이 있을 수 있다.  클라우드 사용자는 멀티 클라우드 환경에서 기업의 보안 정책을 일관성있게 적용하기 위한 방법을 지속적으로 고민해야 하는데 멀티 클라우드 환경이 되면 공통된 보안 솔루션을 여러 클라우드에 획일적으로 적용하는데 문제가 있을 수 있다. 특정 클라우드는 원하는 보안 솔루션이 없거나 자동화가 지원되지 않을 수도 있다. 따라서 보안 아키텍처를 설계하고 SLA(Service Level Agreement)를 통해서 클라우드 서비스 제공자와 보안 책임을 공유하되, 클라우드의 장점인 확장성과 유연성을 보호하기 위해서 사용자 인증과 모니터링 중심의 공항 모델로 변화시켜 나아가야 한다. 온프레미스와 클라우드에서의 보안 설계의 가장 큰 차이는 보안관제에 있다고 볼 수 있다. 클라우드에서 자율성을 보장하는 대신 사용자 행위에 대한 모니터링을 제대로 해서 이상 징후가 나타나면 추적해서 파악할 수 있는 보안관제가 핵심이다. 
  하지만 물리적 인프라는 블랙박스로 서비스 제공자만 알고 있기 때문에 실제 물리적 장비의 메모리나 네트워크 패킷을 모으는데 어려움이 있을 수 있다. 이런 경우 조직 스스로가 모든 보안 관제를 행할 수 없기 때문에 SECaas(Secruity as a Service)나 CASB(Cloud Access Security Broker)와 같은 보안 관제 전문 서비스를 활용하는 것이 좋을 수 있다. CSA에서 선정한 보안관제로 Identity Access Management(계정관리), Data Loss Prevention(자료유출방지), Web Security, Email Security, Security Assessment(보안점검), Intrusion Management(침입탐지), Security Information and Event Manage, Encryption, Business Continuity and Disaster Recovery(비즈니스연속성과 재해복구), Network Security가 있다. 

 

  클라우드 보안 서비스 

  클라우드 환경에는 온프레미스 환경과 같은 보안 장비나 보안 서비스를 적용해야 하는 필수 영역이 있고, 자원도 신축적이고, 자동으로 변경 가능성이 있으며, 불분명한 자원을 중단 하는 등이 생길 수 있기 때문에 반드시 필요한 서비스들을 염두에 두고 있어야 하며 이런 불미스러운 일들이 발생되었을 때 사용자에 대한 책임 공유모델이 필요하다. 이렇게 최상위 필수영역이 있고 그 아래에 하위 영역이 있는데 이는 또 다시 어플 영역과 데이터 영역이이 있고 그 하위로 네트워크 영역, 서버 영역이 존재한다. 따라서 수직적 개념의 온프레미스와 같이 수평적 개념의 클라우드에서도 수직적으로 각각에 맞는 보안을 설정해줄 필요가 있다. 클라우드에서도 영역에 따라서 관리자 스스로 지정해야 하는 보안이 있다. 예를 들어서 데이터베이스를 이용한다고 했을 때 물리적인 데이터베이스 설치와 이중화, 백업/복원 등은 서비스 제공자가 제공되는 서비스를 이용하면 되지만 그 위에 올라가는 비즈니스 데이터, 데이터베이스 서버의 사양 변경, 데이터베이스의 파라미터 변경 등의 작업은 조직의 관리자가 해주어야 한다. 조직의 비즈니스에서 보안 담당자, 시스템 엔지니어, 어플 개발자, DBA(DataBase Administrator), CSO(Chief Security Officer), PM(Project Manager)의 입장에서 항상 자산을 보호하고 외부 위협을 방지하는 대응책이 필요하다. 

 

  공통보안 서비스

  클라우드 환경을 사용해도 블랙박스가 있으므로 클라우드에서 일차적으로 이용할 수 있는 기본적인 보안 서비스를 잘 이해해야 하는데 서비스 제공자가 제공하는 보안으로 무엇이 있는지, 어떻게 하면 가장 잘 이용할 수 있는지, 그리고 비용이 드는 지 등에 대한 것들이다. 클라우드 제공자가 제공하는 모든 자원을 관리하기 위해서는 클라우드 관리포털 CMP(Cloud management Portal)을 이용하면 된다.    

  계정 및 접근 권한 관리(IAM: Identity and Access Management)

  클라우드 환경에서는 클라우드 관리 포털에 접근할 수 있는 계정(Identify), 일부 자원만 접근할 수 있는 계정, 자원의 목록만 조회 계정, 자원을 수정하거나 삭제까지 할 수 있는 계정, 모든 자원과 접근이 자유로운 관리자 계정 등이 존재한다. 여기에 읽기, 쓰기, 삭제 권한 등을 정책 역할을 통해서 제어한다. AWS 클라우드에서는 계정에 대한 서비스는 IAM 이름으로 제공하고 API와 라이브러리를 통해서 자동으로 권한관리를 할 수 있게 해준다.

  다중요소 인증

  기존의 쇼핑몰, 메일 서비스, 포털 시스템에 로그인하려면 사전에 가입된 로그인 ID와 비번으로 접속하게 된다. 클라우드 환경의 포털도 이렇게 로그인하게 된다. 클라우드 서비스에서는 지식기반 인증방식과 소유기반의 랜덤한 토큰 인증방식 등을 추가해서 혼합형 인증방식 모델을 제공하고 있다. 이를 통해서 접속이 허용된 담당자의 장비 ID를 사전에 등록하고, 해당 장비에 매번 임의의 토큰 값을 전달해서 인증하는 방식으로 보안 수준을 높일 수 있다.
AWS에서는 다중요소 인증방식 MFA(Multi Factor Authentication)으로 서비스가 제공된다. 

  로깅과 모니터링

  일반적인 보안 관점에서 장래에 발생할 보안 위협을 예상하기 어렵기 때문에 과거나 현재에 발생하는 보안 위협 분석을 통해 대응하는 것이 초점이 있다. 따라서 로그와 모니터링이 중요하다. 클라우드 환경의 자원에 대한 로그설정은 온/오프 버튼만 클릭하면 즉시 적용할 수 있고, 독립적인 자원들의 로그를 수집한 뒤 통합 대시보드를 구성하여 실시간 모니터링을 수행할 수 있다. 클라우드 자원의 로그설정->모니터링->알람의 3단계 체계를 통해서 자산 보호를 위한 모니터링 환경을 구성할 수 있다.