Aug 24, 2018

AWS의 클라우드 구성 오류 문제, 해법은?

Dan Swinhoe | CSO

아마존이 AWS S3 구성 오류 확률을 줄이기 위해 2가지 신규 툴, 젤코바(Zelkova)와 타이로스(Tiros)를 준비 중이다. 이는 누가 데이터와 리소스에 접근하는가와 이들이 할 수 있는 것을 한층 명확히 정의할 것이다. 이들 툴은 액세스 컨트롤을 분석하고 평가하고, 고객의 클라우드 환경의 개방성을 매핑한다.

아마존웹서비스(AWS)는 고객의 클라우드 환경의 보안을 보장하는 데 늘 문제가 있다. 구성 오류는 흔한 일이고, 이로 인해 엄청난 양의 기밀 데이터가 노출되었다. 버라이즌(Verizon), 부즈 앨런(Booz Allen), 해밀턴(Hamilton), WWE 재단(the WWE Foundation), 알터릭스(Alteryx), 전미 신용 연맹(the U.S. National Credit Federation), 호주공영방송(the Australian Broadcasting Corporation, ABC), 액센추어(Accenture) 등은 구성 오류로 정보 노출을 경험하기도 했다.

AWS가 서비스의 보안을 개선하고, 구성 오류 확률을 낮추기 위해 과거 여러 노력을 했음에도 불구하고 이런 일이 벌어진 것이다. 지난해 아마존은 AWS에 저장된 기밀 데이터를 자동으로 발견하고 보호하도록 설계된 메이시(Macie)라는 머신러닝 툴을 도입하였고 아울러 기본 암호화, 상세 인벤토리 보고서, 권한 확인 등의 새 기능들로 S3 보안을 개선하였다.

2018년 2월 페덱스(FedEx)가 여권, 운전면허증, 고객 기록 등 10만 건이 넘는 문서를 노출시켰다는 뉴스가 나온 지 며칠 후 AWS는 S3 버킷 권한 확인 서비스를 모든 이용자에게 무료로 제공했다.

AWS 심플 스토리지 서비스(Simple Storage Service, S3)는 아마존의 객체 스토리지 상품이다. 스카이하이 네트웍스에 따르면, 전체 S3 버킷의 7%가 무제한으로 공공 접근이 가능하고 35%는 암호화되지 않은 상태다. 데이터가 노출되어 방치된 최근의 사례는 50만 대가 넘는 차량 추적 장치의 로그인 암호, 2억 개의 미국 투표자 기록, 미 육군 정보부에 속한 기밀 데이터 등이 있다. 해커들은 정보를 훔칠 뿐 아니라, 랜섬웨어로 데이터를 감금하였고, 암호 화폐를 채굴하기 위해 컴퓨팅 자원을 이용한 것으로 드러났다.

젤코바와 타이로스의 기능

젤코바와 타이로스는 AWS의 오토메이티드 리즈닝 그룹(Automated Reasoning Group, ARG)에 의해 개발되었다. 이 그룹은 아마존 제품용의 인증 툴과 기법을 개발한다. 자동 추론(Automated reasoning)은 시맨틱 기반의 추론을 바탕으로 수학식을 적용하여, 간단히 말해, 특정 문제에 답변하고, 정책들이 예상대로 작용하는지 검증하는 정형적 인증 기법이다. ARG는 AWS의 보안 팀에 속하고, 2년 이상 동안 툴들을 내부적으로 개발해왔다.

2018년 6월 처음 발표된 젤코바는 자동 추론을 이용해 정책들과 이들의 미래 결과를 분석했다. IAM(Identity and Access Management), S3 및 여타 리소스 정책과 호환되고, 조직이 벤치마크를 생성할 수 있게 해주고, 현재 정책 설정의 결과를 조직에게 알려준다. 예를 들어, S3 정책에 반하여 이용될 때 무단 이용자가 버킷을 읽거나 가필할 수 있는지 알려주는 식이다.

타이로스는 고객 네트워크 사이의 연결을 매핑한다. 예를 들어, 이는 고객의 EC2 인스턴스가 인터넷에서 접근 가능한지를 알려줄 수 있다.

젤코바와 타이로스는 내부 툴로서 시작되었다. 젤코바는 S3 대시보드의 일부로서, 그리고 AWS 메이시 안에서 내부적으로 사용된다. 투자관리 회사인 브리지워터 어소시에이츠(Bridgewater Associates)는 테스트 목적으로 이들을 조기에 사용할 수 있었다.

젤코바 발표 시 브리지워터 어소시에이츠의 수석 클라우드 보안 아키텍트인 댄 피블즈는 “젤코바를 이용해 브리지워터는 정책들이 데이터 외부 유출, 구성 오류, 여타 수많은 악의적이고 우발적인 부적절한 거동을 허용하지 않음을 검증하고 보장한다”면서 “젤코바는 우리의 보안 전문가가 자신이 이해한 바를 한번 부호화하면, 이들을 여타 유관 정책들에 기계적으로 적용한다. 따라서 오류가 나기 쉽고 느린 인간의 리뷰를 피하고, 동시에 우리는 IAM 정책의 정확성과 보안에 대해 높은 확신을 가질 수 있다”고 말했다.

이들 툴 중 어느 것도 현재 공개적으로 이용할 수 없다. 브리지워터는 이들이 ‘원시 상태(raw state)’이고, 특별히 이용자 친화적이지는 않다고 말한다. 아마존은 툴의 배포나 가격에 대해 정보를 제공하기를 거절했다.

아마존의 클라우드 구성 문제
아마존, 마이크로소프트 애저 등의 클라우드 사업자는 서비스에 대해 일정 수준의 보안을 제공하고, 권장 모범 관행을 제시하지만, 이들은 공유 보안 모델 하에서 운영되므로 고객이 대부분의 부담을 떠안아야 한다. 이 부분에서 종종 문제가 발생한다. 영국(UK) MSP 클라라넷의 사이트 안정성 수석 엔지니어인 스티브 스미스는 “AWS S3 버킷에 관해 보고되는 보안 문제는 플랫폼 자체와는 거의 무관하고, 이를 이용하는 사람들과 전적으로 유관하다. 이게 최대의 약점이다”고 지적했다.

이어서 스미스는 “AWS는 수많은 초기값들을 사려 깊게 설정하여 구성을 지원한다. 현재 S3 버킷은 기본값이 ‘프라이빗(private)’으로 설정되어 있다. 그러나 유감스럽게도, 플랫폼을 사용하는 법을 모른다면 일이 잘못되기 십상이다”고 덧붙였다.

전개 및 관리 툴의 복잡성, 교육의 결여, 관리자가 제어해야 할 서비스의 지속적인 증가, 그리고 보안 팀의 시야 밖에서 클라우드 환경은 쉽게 망가질 수 있다는 사실은 데이터 유출이 흔한 문제로 지속될 수밖에 없음을 의미한다.

로그 관리 및 애널리틱스 사업자인 (그리고 AWS 고객인) 수모 로직(Sumo Logic)의 CSO인 조지 거초우는 “소비자는 공유 책임 모형(shared responsibility model)을 이해하고 데이터를 보호하는 모범 관행을 적용해야 한다”면서 “AWS는 이렇다 할 교육을 제공하지는 않는다. 그러면 소비자는 아무런 문제가 없다고 믿어버리기 쉽다”고 말했다.

이들 새로운 툴을 이용해 AWS는 인간 오류의 확률을 줄이고 데이터 누출의 개연성을 낮추려고 한다. 그러나 이들이 도움이 될까? ‘AWS 뉴욕 서밋 2018’ 중의 젤코바 및 타이로스에 관한 프리젠테이션에서 브리지워터 어소시에이츠의 보안 아키텍트인 그레그 프래스카도어는 “여기서 우리의 보안 목표는 AWS로부터 데이터가 외부로 유출되는 것을 막는 것”이라면서 “우리가 얻고자 하는 것은 우리가 배치한 보안 컨트롤들이 우리가 예상한 대로 작용하는지 검증하는 정형적 분석과 체계적인 방법론이다”고 이야기했다.

프래스카도어는 이들 툴의 사용 사례는 개별 보안 컨트롤을 검증하고, 보안 컨트롤에 관련된 벤치마크를 생성하고, 일단의 계정에 걸쳐 적절한 컨트롤을 배치하고, 검증을 자동화하고, 설계 단계에서 검증을 이행하는 것 등이 있다고 말했다. 그는 “이들 툴에서 매우 중요한 사실 하나는 설계 단계에서 검증할 수 있다는 것이다. 우리가 정말 하고 싶어 하는 것 중 하나는 실제 AWS 인프라를 변경하기 전에 보안을 검증하는 것이다. 그렇게 되면 취약점을 미리 거를 수 있다”고 말했다.

이들 신종 툴이 장점뿐 아니라 잠재적 단점 또한 있다고 경고하는 사람들도 있다. 수모 로직의 거초우는 “이들은 좋은 취지이지만, 가격이 비싸고, 정확히 구성되어야 한다. 복잡성이 늘어날 수 있고, 멀티-클라우드 또는 하이브리드 전개 시에는 효용이 없다”고 말했다.

BTB시큐리티의 최고 정보보안 고문인 매트 윌슨은 “젤코바와 타이로스는 잠재적 장점이 무수히 많다. 그러나 데이터를 조작할 줄 알아야 한다. 그렇지 않다면 별로 쓸모가 없다. 게다가 조직 내에 이를 실행하고, 출력을 분석하고, 제공된 정보에 따라 조처를 할 누군가가 있어야 한다. 고급 알고리즘과 세련된 인터페이스는 훌륭하다. 그러나 그것만으로는 충분하지 않다”고 설명했다.


원문보기