클라우드 운영 보안 강화

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

클라우드 운영 비용을 절감하려면 운영 관리 측면의 보안 관행을 살펴보세요.

요즘 보안에 대한 관심은 대부분 애플리케이션 프로토콜과 애플리케이션 스택 자체의 취약점에 집중되어 있습니다. 대부분의 침해 사고가 널리 사용되는 플랫폼과 프레임워크의 취약점이라는 손쉬운 표적이 풍부하기 때문에 발생한다는 점을 고려하면 놀라운 일도 아닙니다.

하지만 점점 더 쉽게 접근할 수 있게 된 비즈니스의 관리 영역도 간과해서는 안 됩니다. 애플리케이션을 퍼블릭 클라우드로 이전하면서 관리 트래픽을 외부에서 쉽게 접근할 수 없도록 격리하는 일의 중요성을 놓치는 경우가 많았습니다. 온프레미스 환경에서는 간단했습니다. 관리 네트워크는 외부에 공개되지 않았고, 내부에서만 접근할 수 있는 라우팅 불가능한 네트워크에 격리해 두었습니다. 하지만 애플리케이션과 애플리케이션 서비스 인프라를 모두 클라우드로 이전하면서 운영자도 원격으로 작업하게 되었기 때문에, 이제는 외부에서 접근 가능한 관리 환경이 필요합니다.

Telnet에서 SSH로 전환하고(아직 전환이 필요한 수많은 IoT 기기는 제외) 안전한 비밀번호 생성 관행까지 실천하고 있지만, 기존 보안 관행과 함께 클라우드 네이티브 보안을 더 효과적으로 활용하는 방법을 충분히 검토해 온 것은 아닙니다.

클라우드 제공업체의 보안 서비스를 활용하면 클라우드에서 비즈니스를 운영하는 데 드는 비용, 특히 애플리케이션 서비스 인프라 관리 비용에 큰 영향을 미칠 수 있습니다.

위협은 현실입니다

아직 F5 Labs의 다음 기사를 읽어보지 않으셨다면 꼭 읽어보세요: 가장 많이 공격받는 사용자 이름과 비밀번호 이 기사에서는 SSH가 집중적인 공격 대상이 되는 서비스이며, 실제로 다른 어떤 서비스보다도 더 많이 공격받는다는 사실을 확인할 수 있습니다.

해당 기사에서 발췌:

공격 건수를 기준으로 볼 때, 공격자는 다른 어떤 온라인 서비스보다 SSH 공격에 더 많은 시간과 노력을 쏟습니다. SSH를 통해 운영 애플리케이션의 관리자 로그인에 무차별 대입 공격을 시도하는 경우는 HTTP를 통해 애플리케이션 자체를 공격하는 경우(공격자가 웹 애플리케이션 취약점을 악용하려는 시도)보다 2.7배 더 많습니다.

그럴 만도 합니다. 애플리케이션 서비스 인프라에 대한 관리자 권한을 확보하면 막강한 권한을 행사할 수 있습니다. 여기에는 웹 애플리케이션에 쉽게 접근하지 못하도록 하는 정책을 수정할 수 있는 권한도 포함됩니다. 자격 증명을 요구하지 않는 경우가 많아 흔히 공격 대상이 되는 Kubernetes의 경우, 공격자는 다른 사람의 비용으로 리소스를 채굴하기 위해 접근 권한을 노립니다.

하지만 여러분은 보안에 정통하며, 인프라에 접근할 때 항상 강력한 비밀번호를 사용하도록 요구합니다. SSH 비밀번호가 워낙 복잡해서 입력할 때마다 잠시 멈춰 비밀번호가 무엇이었는지 생각해야 할 정도입니다.

이제 세기의 당연한 사실을 말씀드리겠습니다. 강력한 비밀번호는 공격 자체를 막지 못합니다. 공격이 성공할 가능성을 낮출 뿐입니다. 누군가가 공격을 시도하는 것 자체를 막을 수는 없습니다. 정말로 불가능합니다. 공격을 탐지하고 성공하지 못하도록 막을 수 있을 뿐입니다.

하지만 그동안에도 해당 공격으로 인해 실질적인 운영 비용이 발생합니다. 여러분이 현명한 보안 관행을 따르고 있기 때문에 실패한 시도는 모두 기록됩니다. 단. 하나도. 빠짐없이.

그리고 실패한 시도를 차단할 때마다 리소스가 소모됩니다. 대역폭. 스토리지. 컴퓨팅 자원.

클라우드 네이티브 서비스를 활용하여 보안 관행 강화

모든 주요 클라우드 제공업체(아마 소규모 제공업체도 마찬가지일 것입니다)는 애플리케이션 서비스 인프라에 대한 관리 액세스를 제한하는 데 사용할 수 있는 기본적인 네트워크 보안 제어 기능을 제공합니다. AWS 보안 그룹(SG)과 Azure 네트워크 보안 그룹(NSG)은 방화벽과 거의 동일하게 작동하여 인스턴스로 들어오고 나가는 트래픽을 필터링합니다. 관리 액세스의 경우, 이는 보안 도구 중 매우 유용한 수단이 될 수 있습니다. 알려진 IP 주소(또는 지정된 범위)로만 액세스를 제한하면 인프라에 도달하는 공격 트래픽을 크게 줄일 수 있습니다. 또한 컴퓨팅, 대역폭 및 스토리지의 과도한 사용을 방지하여 비용을 절감할 수 있습니다.

이는 클라우드에서 웹 애플리케이션 방화벽을 애플리케이션 보호 수단이자 운영 모범 사례로 사용하도록 권장하는 것과 같은 원칙입니다. 그 목적은 공격이 과도한 양의 리소스를 소모하기 전에 차단하는 것입니다. 설령 공격 자체는 실패했을지라도, 공격 시도만으로도 자동 확장이 발생해 기업에 비용 부담을 주거나 정상 사용자의 서비스 이용을 방해할 가능성이 큽니다. 어느 쪽도 바람직한 결과는 아닙니다.

일반적으로, 공격의 근원에 가까운 지점에서 차단할수록 더 안전하며 기업이 부담해야 할 비용도 줄어듭니다.

보완하세요. 대체하지 마세요.

보안 실무에서 클라우드 네이티브 서비스를 활용할 때 핵심은 기존 보안을 대체하는 것이 아니라 "보강"하는 것입니다. 강력한 SSH 비밀번호를 사용하는 것도 좋지만, 여기에 강력한 액세스 제어를 결합하면 더욱 안전합니다. 그렇다고 보안 그룹만 믿고 강력한 비밀번호 사용 원칙을 절대 포기해서는 안 됩니다. 두 가지를 함께 활용해 보안을 강화하고 클라우드 비즈니스 운영 비용을 억제하세요.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물