4.3 인프라와 클라우드 보안

개요와 동기

애플리케이션은 인프라 위에서 실행되며, 요즘 그 인프라는 대체로 클라우드 기반이고, 소프트웨어로 정의되고, 항상 변합니다. 엔지니어 한 명이 이제 명령 하나로 데이터베이스를 프로비저닝하고, 네트워크 경로를 열고, 권한을 부여할 수 있으며, 전통적 변경 통제가 예상한 적 없는 규모와 속도입니다. 그 힘이 바로 이국적 익스플로잇이 아니라 잘못된 설정이 클라우드 침해의 주된 원인인 이유입니다. 실수로 공개된 스토리지 버킷이나 지나치게 넓은 접근 역할은 몇 초 안에 조직 전체의 데이터를 노출시킬 수 있습니다.

대기업에게 클라우드 인프라는 여러 제공자, 수천 개의 계정, 관리형 서비스, 컨테이너, 서버리스 함수의 혼합에 걸칩니다. 공격 표면은 정적인 경계가 아닙니다. 살아 있고 뻗어 나가는 자원과 신원의 모음입니다. 정부에게는 같은 복잡성이 엄격한 인가 체계, 데이터 거주 의무, 모든 아키텍처 선택을 형성하는 분류 경계를 만납니다. 둘 다에서 신원 계층이 새로운 경계가 되었습니다. 누가, 어떤 자원에, 어떤 조건에서 무엇을 할 수 있는가.

이 장은 그 기반을 보호하는 방법을 다룹니다. 신원 및 접근 관리(IAM), 네트워크 분할, 암호화와 키 관리, 컨테이너와 서버리스 워크로드의 보안, 빠르게 움직이는 클라우드 자산이 위험으로 표류하지 않게 유지하는 지속적 태세 관리입니다.

핵심 원칙

신원이 경계입니다. 접근 결정은 네트워크 위치가 아니라 강한 신원과 세밀한 인가에 달려 있습니다.
항상 최소 권한. 사람이든 머신이든 모든 신원이 필요한 최소한의 권한만 얻고 그 이상은 얻지 못합니다.
분할하여 가두십시오. 한 영역의 침해가 자유롭게 퍼지지 못하도록 네트워크와 워크로드를 나누십시오.
어디서나 암호화하십시오. 잘 관리되는 키로 전송 중과 저장 시 데이터를 기본으로 보호하십시오.
불변이고 선언적. 인프라를 코드(IaC)로 정의하고, 불변으로 배포하고, 표류를 결함으로 다루십시오.
지속적 검증. 태세는 일회성 감사가 아닙니다. 지속적으로 스캔하고 시행하십시오.
기본이 안전한 설정. 어떤 자원이든 기본 상태는 열려 있지 않고 잠겨 있어야 합니다.

권장 사항

신원 및 접근 관리를 의도적으로 설계한다

IAM은 클라우드 보안의 가장 중요한 부분이면서 가장 자주 잘못 관리되는 부분입니다.

직무별로 권한을 부여하는 역할 기반 접근 통제(RBAC)와, 더 세밀하고 맥락 인식적 결정이 필요한 곳(태그, 환경, 데이터 분류, 시간에 기반)에는 속성 기반 접근 통제(ABAC)를 쓰십시오.
수명이 긴 정적 자격 증명을 없애고 수명이 짧고 자동 발급되는 토큰과 워크로드 신원 연합으로 바꾸십시오.
모든 사람 접근에 MFA(다중 요소 인증)를 시행하고 권한 있는 행위에 강한 인증을 요구하십시오.
최소 권한을 엄격히 적용하십시오. 0에서 시작해 권한을 의도적으로 더하십시오. 사용되지 않는 권한을 정기적으로 검토하고 쳐내십시오. 접근은 쌓이는 경향이 있습니다.
어떤 단일 신원도 민감한 변경을 만들고 승인할 수 없도록 직무를 분리하십시오.
환경(프로덕션, 스테이징, 개발) 사이와 사업부 사이에 단단한 경계를 만들도록 전용 계정이나 프로젝트를 쓰십시오.

네트워크를 분할하고 워크로드를 마이크로 분할한다

평평한 네트워크는 공격자가 일단 들어오면 옆으로 돌아다니게 합니다. 나누고 가두십시오.

네트워크 수준에서 계층과 영역으로 분할하고, 각 계층이 정당하게 필요로 하는 트래픽만 허용하십시오.
개별 워크로드가 넓은 서브넷 규칙이 아니라 신원 인식 정책으로 시행되는 필요한 특정 피어와만 통신하도록 마이크로 분할을 적용하십시오.
동서 트래픽은 기본 거부로 하고 명시적 허용 규칙을 요구하십시오.
민감한 데이터 저장소를 직접 인터넷 노출이 없는 사설 서브넷에 두고, 통제된 경로로만 닿게 하십시오.
가능한 곳에서는 공용 인터넷을 거치는 대신 관리형 서비스로의 사설 연결을 쓰십시오.

데이터를 암호화하고 키를 올바르게 관리한다

암호화는 그 뒤의 키 관리만큼만 강합니다.

내부 서비스 간 트래픽을 포함해 어디서나 최신 TLS(전송 계층 보안)로 전송 중 암호화하십시오.
모든 스토리지, 데이터베이스, 백업을 기본으로 저장 시 암호화하십시오.
키 관리 서비스(KMS)로 키를 관리하고, 가장 높은 보증이 필요한 키와 규제 요건에는 하드웨어 보안 모듈(HSM)을 쓰십시오.
일정에 따라 키를 교체하고 침해가 의심되면 신속한 교체를 지원하십시오.
키 보관이 직무 분리를 시행하도록, 키를 사용하고 관리할 수 있는 사람을 데이터에 접근할 수 있는 사람과 따로 통제하고 감사하십시오.
규제나 계약상 신뢰가 제공자가 아니라 조직이 키를 쥐도록 요구하는 곳에서는 고객 관리 키를 고려하십시오.

컨테이너, 쿠버네티스, 서버리스를 보호한다

각 컴퓨트 모델은 고유한 위험을 가져옵니다.

컨테이너: 최소한의 신뢰할 수 있는 베이스 이미지로 빌드하고, 배포 전에 이미지의 취약점을 스캔하고, 비루트로 실행하고, 가능한 곳에서 파일 시스템을 읽기 전용으로 하고, 비밀을 이미지에 굽지 마십시오.
쿠버네티스: RBAC를 켜고 서비스 계정을 좁게 범위 지정하고, 마이크로 분할을 위해 네트워크 정책을 적용하고, 어드미션 컨트롤러와 정책 엔진으로 표준을 시행하고, 권한 있는 컨테이너를 제한하고, 민감한 워크로드를 격리하고, 컨트롤 플레인과 노드를 패치된 상태로 유지하십시오.
서버리스: 각 함수의 실행 역할에 최소 권한을 적용하고(과잉 권한의 흔한 원천), 모든 이벤트 입력을 검증하고, 플랫폼의 비밀 저장소로 비밀을 관리하고, 비정상적인 호출 패턴을 모니터링하십시오.

모델이 무엇이든 런타임을 패치된 상태로, 이미지를 신선하게 유지하십시오. 컨테이너는 그 안의 소프트웨어만큼만 안전합니다.

클라우드 보안 태세를 지속적으로 관리한다

클라우드는 주기적인 수동 감사가 따라잡기에는 너무 빨리 변합니다.

계정 전반의 잘못된 설정, 공개 노출, 정책 위반을 지속적으로 탐지하는 클라우드 보안 태세 관리(CSPM) 도구를 채택하십시오.
보안 정책을 코드로 정의하고 배포 시점에 시행해 나쁜 설정이 닿기 전에 차단하십시오.
탐지(사후 경보)보다 예방(잘못된 설정을 막는 가드레일)을 선호하고, 둘을 결합하십시오.
자원과 신원의 정확한 목록을 유지하십시오. 볼 수 없는 것은 보호할 수 없습니다.
선언된 코드형 인프라와 실제 실행 상태 사이의 표류를 추적하고 시정하십시오.

장단점

결정	장점	단점
RBAC	단순하고, 이해하기 쉽고, 감사하기 쉬움	거칠다. 규모에서 역할 폭발
ABAC	세밀하고, 맥락 인식적이며, 태그로 확장	설계하고 추론하기 복잡
제공자 관리 키(KMS)	쉽고 통합되어 있으며 운영 부담이 낮음	제공자가 보관. 통제가 적음
고객 관리 키/HSM	완전한 통제. 엄격한 의무를 충족	운영 오버헤드. 키를 잃을 위험
예방 가드레일	일어나기 전에 잘못된 설정을 막음	정당한 작업을 막을 수 있음. 조정 필요
탐지 전용 CSPM	유연하고 막지 않음	탐지 전에 피해가 날 수 있음
마이크로 분할	강한 수평 이동 봉쇄	운영 복잡성. 정책 난립

지배적인 트레이드오프는 통제 대 운영 부담입니다. 더 엄격한 통제(고객 관리 키, 엄격한 마이크로 분할, ABAC)는 위험을 줄이지만, 작은 팀이 지속하기 어려운 전문성과 유지보수를 요구합니다. 맞는 수준은 데이터가 얼마나 민감한지와 어떤 규제가 적용되는지에 달려 있습니다. 실용적 접근은 모두에게 강한 안전한 기본값을 겹겹이 두고, 위험이 가장 높은 시스템에 추가 엄밀함을 남겨 두며, 안전한 선택을 수동 규율이 아닌 기본으로 만드는 자동화된 가드레일을 선호합니다.

팀과 논의할 질문

어디에 단단한 계정이나 프로젝트 경계를 그으며, 각각의 안에 무엇이 속합니까? 전용 계정과 프로젝트는 클라우드가 제공하는 가장 강한 봉쇄를 만들어, 개발의 침해가 프로덕션에 닿지 못하고 한 사업부가 다른 사업부의 데이터를 건드리지 못하게 합니다. 자산이 수천 개 계정으로 커지기 전에 경계 체계를 결정하십시오. 평평한 구조에 격리를 사후 보강하는 것은 느리고 위험하기 때문입니다. 기업과 정부 업무에서 이런 경계는 환경 분리, 데이터 분류, 감사자가 보기를 기대하는 영향 범위 한도에도 깔끔하게 대응합니다. 오늘 어느 워크로드가 계정을 공유하는지의 현재 다이어그램을 가져와, 지나치게 넓은 역할 하나가 프로덕션과 비프로덕션에 걸치는 곳을 표시하십시오. 민감한 데이터가 실험적 워크로드와 같은 계정에 있다면 그것이 먼저 고칠 경계입니다.
누가 키를 관리하고 누가 암호화된 데이터에 접근할 수 있는지의 표준은 무엇입니까? 암호화는 키 관리만큼만 강하며, 키 보관을 데이터 접근과 분리하면 KMS가 직무 분리의 시행 지점이 됩니다. 누가 키를 만들고, 교체하고, 사용할 수 있는지 결정하고, 그 집합이 그 키가 보호하는 데이터를 읽을 수 있는 사람과 겹치지 않게 하십시오. 규제되고 정부인 시스템에서 이는 흔히 제공자 관리 키와 더 많은 통제를 지니지만 키를 잃을 운영 위험도 더 큰 고객 관리 키나 HSM 사이의 선택을 이끕니다. 현재 키 정책을 가져와 어떤 단일 신원이 키를 관리하면서 그 뒤의 데이터를 읽을 수 있는지 확인하십시오. 흔한 조용한 간극이기 때문입니다. 보관과 접근이 분리되어 있지 않다면 저장 시 암호화는 대시보드가 시사하는 것보다 덜 보호하고 있습니다.
안전한 기본값을 권장하는 데 그치지 않고 랜딩 존에서 피할 수 없게 만들려면 어떻게 합니까? 잘못된 설정이 이국적 익스플로잇이 아니라 클라우드 침해의 주된 원인이며, 해법은 사후 경보가 아니라 공개 데이터베이스나 암호화되지 않은 버킷이 닿기 전에 막는 예방 가드레일입니다. 배포 시점에 시행할 정책(공개 스토리지 금지, 기본 암호화, 필수 태그)과 탐지하고 보고만 할 정책을 결정하십시오. 큰 팀에서 이를 랜딩 존과 코드형 인프라 템플릿에 인코딩하면 모든 새 계정이 팀별 노력 없이 보호를 상속해, 보안이 반복되는 세금에서 일회성 투자로 바뀝니다. 지난달의 잘못된 설정 발견 사항을 가져와 어느 것을 예방 가드레일이 아예 막았을지 물으십시오. 태세 관리가 탐지 전용이면 누가 경보를 보기 전에 피해가 날 수 있으므로, 영향이 가장 큰 검사를 예방으로 옮기십시오.
그것에 조용히 의존하는 자동화를 깨뜨리지 않고 수명이 긴 정적 자격 증명을 어떻게 없앱니까? 만료되지 않는 내장 접근 키는 클라우드 침해의 가장 흔한 원인 중 하나입니다. 스크립트, 로그, 저장소에서 유출된 키 하나가 공격자에게 지속적인 접근을 건네기 때문입니다. 경쟁하는 끌림은 운영입니다. 레거시 CI 작업, 크론 작업, 제3자 통합은 흔히 정적 키가 있다고 가정하고, 이를 수명이 짧은 토큰이나 워크로드 신원 연합으로 전환하는 데는 아무도 일정에 잡지 않은 엔지니어링 시간이 듭니다. 큰 팀에서 공유 이전 경로(토큰을 자동 발급, 만료 표준 설정, 새 장수 키에 경보)는 각 그룹이 더 약한 자기 답을 발명하는 것을 막습니다. 사용 중인 모든 정적 자격 증명의 목록, 연령, 영향 범위, 그것이 공급하는 시스템이 오늘 연합 신원을 받아들일 수 있는지를 가져오십시오. 기업과 정부 환경에서는 기한을 감사와 인가 주기에 연결하십시오. 만든 사람보다 오래 사는 자격 증명이 바로 지속적 인가를 멈추게 하는 지적 사항이기 때문입니다.
리소스가 잘못 설정되거나 키가 침해될 때 얼마나 빨리 탐지, 봉쇄, 시정할 수 있으며, 그것을 측정해 보았습니까? 공개 버킷이나 지나치게 넓은 역할은 열려 있는 구간만큼만 위험하므로, 탐지와 시정의 평균 시간이 실제로 노출을 한정하는 숫자입니다. 긴장은 배포 시점에 실수를 막는 예방 가드레일과 빠져나간 것을 잡는 탐지 태세 관리 사이에 있으며, 가드레일이 모든 것을 덮는다는 위안이 되는 가정이 아니라 둘 다에 대한 정직한 수치가 필요합니다. 지난 분기의 잘못된 설정과 표류 발견 사항을 타임스탬프와 함께, 도입에서 시정까지의 중앙값 시간, 키 침해 교체의 리허설 기록을 가져오십시오. 수천 개 계정에 걸친 기업과 정부 자산에서는 누구의 팀도 분명히 소유하지 않은 발견 사항의 시정을 누가 소유하는지 합의하십시오. 책임 있는 대응자가 없는 경보는 인시던트로 늙어 가는 경보이기 때문입니다.
너무 느려지지 않으면서 여러 클라우드, 계정, 팀에 걸쳐 보안 태세를 일관되게 유지하려면 어떻게 합니까? 멀티 클라우드와 멀티 계정 자산은 빠르게 파편화됩니다. 각 제공자가 자체 IAM 모델, 자체 기본값, 자체 태세 도구를 가지므로, 한 곳에서 시행되는 정책이 다른 곳에서 조용히 실효됩니다. 트레이드오프는 일관성을 보장하는 중앙 통제와 팀이 빠르게 움직이게 하는 지역 자율 사이에 있으며, 어느 쪽으로든 너무 기울면 전달이 병목이 되거나 표준이 표류합니다. 현재 커버리지 지도를 가져오십시오. 어느 계정이 랜딩 존 가드레일을 상속하는지, 어느 것이 관리되지 않는지, 같은 통제가 제공자 전반에서 세 가지 다르게 표현되는 곳이 어디인지. 큰 조직이나 공공 조직에서는 감사 각도를 더하십시오. 감사자는 어디서나 적용되는 하나의 방어 가능한 표준을 기대하며, 주 클라우드에는 있고 보조 클라우드에는 없는 통제는 단호한 공격자나 평가자가 가장 먼저 찾을 간극이기 때문입니다.

분야별 관점

스타트업. 속도와 생존이 이기므로 공짜로 오는 안전한 기본값에 전적으로 기대십시오. 저장 시 암호화 켜기, 사람이 열기 전까지 비공개인 스토리지, 루트 계정의 MFA, 붙여넣은 접근 키 대신 제공자의 내장 워크로드 신원입니다. 유지할 수 없는 CSPM 플랫폼을 세우거나 마이크로 분할을 손으로 만들지 마십시오. 인터넷에 열린 데이터베이스를 막는 단일 가드레일 하나가 오후 한나절 작업으로 보호의 대부분을 사 줍니다. 강화가 나중의 재작성이 아니라 함께 확장되도록 처음부터 모든 것을 코드형 인프라로 유지하십시오.

소기업. 전담 보안 엔지니어도 빠듯한 예산도 없으니, 자체 KMS 규율을 만드는 대신 이미 강화된 기본값과 대신 처리되는 키 관리를 가진 관리형 서비스를 선호하십시오. 클라우드 보안을 설정 위생의 질문으로 다루십시오. 어떤 버킷과 데이터베이스가 있는지 알고, 비공개로 유지하고, MFA를 요구하고, 추가 비용 없이 오는 제공자의 기본 태세 검사를 켜십시오. 도구를 살 때는 공개 노출과 암호화되지 않은 스토리지를 기본으로 표시하는 것을 선호하십시오. 그 두 실수가 피할 수 있는 침해 대부분을 일으키기 때문입니다.

대기업. 진짜 문제는 수천 개 계정과 많은 팀에 걸친 일관성이므로, 일은 플랫폼 작업입니다. 모든 계정을 강화된 상태로 프로비저닝하는 랜딩 존, 코드형 정책으로 시행되는 가드레일, 표류를 지속적으로 스캔하는 CSPM입니다. 그룹들이 더 약한 버전을 다시 발명하지 않도록 IAM 모델, 키 보관 규칙, 분할 기준선을 표준화하고, 각 팀의 말을 믿는 대신 자산 전반의 태세를 측정하십시오. 제공자가 서비스를 추가하고 자산이 커짐에 따라 정책을 최신으로 유지하는 지속적인 엔지니어링을 예산에 넣으십시오.

정부. 조달 규칙, 데이터 거주 의무, 인가 체계가 모든 선택을 형성하므로 보안 통제는 감사 증거를 겸합니다. 데이터 접근과 분리된 보관을 갖춘 FIPS 검증 키 관리, 데이터를 국경 안에 두는 격리된 리전, 엄격한 어드미션 통제를 갖춘 서명되고 스캔된 컨테이너 이미지를 선호하십시오. 할 수 있는 안전장치를 공개하고, 지속적 태세 관리를 진행 중인 인가에 직접 공급하며, 벤더에게 설정 기본값을 공개하고 분류 경계가 요구하는 분할과 키 보관 통제를 지원하도록 요구하십시오.

사례

스타트업. 한 작은 스타트업이 모든 것을 하나의 클라우드 계정에서 운영하고 플랫폼 팀에 인력을 댈 수 없으므로, 안전하게 출하되는 기본값에 기댑니다. 기본으로 켜진 저장 시 암호화, 사람이 명시적으로 열기 전까지 비공개인 스토리지 버킷, 루트 계정에 요구되는 MFA입니다. CI에 붙여넣은 수명이 긴 접근 키 대신 제공자의 내장 워크로드 신원을 써서 파이프라인이 수명이 짧은 자격 증명을 자동으로 얻습니다. 인터넷에 열린 모든 데이터베이스를 표시하는 무료 가드레일 하나가, 오후 한나절의 설정 비용으로 가장 흔하고 가장 비싼 클라우드 실수에서 그들을 구합니다.

대기업. 두 클라우드 제공자에 걸쳐 수천 개 계정을 운영하는 한 미디어 회사가 랜딩 존 패턴을 시행합니다. 모든 계정이 기본 저장 시 암호화, 스토리지에 공개 접근 없음, 필수 태그, 가드레일 정책 기준선이 있는 템플릿으로 프로비저닝됩니다. CSPM이 표류를 지속적으로 스캔하고, 워크로드 신원 연합이 CI 시스템의 수명이 긴 키를 없앴습니다. 개발자가 실수로 데이터베이스를 인터넷에 열려고 하면 예방 정책이 변경을 막고 티켓을 자동으로 만듭니다.

정부. 한 국방 인접 기관이 정책으로 시행되는 데이터 거주로 어떤 데이터도 국경을 벗어나지 않는 격리된 클라우드 리전에서 운영됩니다. 가장 민감한 키는 FIPS(Federal Information Processing Standards) 검증 HSM에 있으며, 키 보관이 데이터 접근과 분리되어 직무 분리를 시행합니다. 쿠버네티스 클러스터는 엄격한 네트워크 정책과 어드미션 통제를 쓰고, 모든 컨테이너 이미지는 실행되기 전에 스캔되고 서명됩니다. 지속적 태세 관리가 기관의 진행 중인 인가 증거에 직접 공급됩니다.

비즈니스 사례: 동기, ROI, TCO

클라우드 인프라 보안은 작은 투자가 파국적이고 헤드라인급인 손실을 막는 곳입니다. 총소유비용에는 CSPM 도구, 키 관리 서비스, 최소 권한 IAM과 분할을 설계하는 엔지니어링 시간, 정책을 최신으로 유지하는 지속적 노력이 포함됩니다. 이 비용은 실재하지만 소소합니다. 건너뛰는 비용은 잘못 설정된 단일 자원이 고객 데이터베이스 전체를 노출시키고, 이어지는 규제 벌금, 통지 비용, 지속적인 브랜드 손상입니다. 클라우드 잘못된 설정 침해는 업계에서 가장 흔하고 가장 예방 가능한 인시던트에 속합니다.

자동화와 재사용이 ROI를 증폭합니다. 안전한 기본값을 랜딩 존과 코드형 인프라 템플릿에 인코딩하면 모든 새 계정과 워크로드가 팀별 노력 없이 보호를 상속해, 보안이 반복되는 수동 세금에서 일회성 플랫폼 투자로 바뀝니다. 정부와 규제 기업에서 강한 태세 관리는 증거를 자동으로 만들어 감사와 지속적 인가의 비용도 낮춥니다. 리더십을 설득할 때, 신원과 설정 계층이 이제 주된 침해 벡터이고, 잘못된 설정은 예방 가능하며, 가드레일이 위험과 수동 리뷰의 마찰을 모두 줄인다는 점을 강조하십시오.

안티패턴과 함정

와일드카드 권한. “동작하게 하려고” 넓은 * 접근을 부여하고 결코 조이지 않는 것.
수명이 긴 정적 키. 스크립트와 CI에 내장되어 만료되지 않다가 결국 유출되는 접근 키.
평평한 네트워크. 분할이 없어 침해된 호스트 하나가 모든 것에 닿는 것.
우연히 공개. 기본 또는 부주의한 설정으로 인터넷에 노출되는 스토리지와 데이터베이스.
키 규율 없는 암호화. 암호화는 켜지만 키 접근을 활짝 열어 두거나 교체하지 않는 것.
이미지에 구워 넣은 비밀. 컨테이너 이미지에 내장된 자격 증명이 이미지가 실행되는 모든 곳으로 퍼지는 것.
과잉 권한 서버리스 역할. 범위 지정을 건너뛰어 함수가 필요한 것보다 훨씬 많이 부여받은 것.
감사 전용 태세. 배포 시점에 막는 대신 잘못된 설정을 사후에 탐지하는 것.
표류 무시. 아무도 실제 상태를 알지 못할 때까지 실행 환경이 코드형 인프라에서 갈라지게 두는 것.

성숙도 모델

1단계: 시작. 자원이 필요한 사람이 주도하는 수동 프로비저닝. 넓은 와일드카드 권한과 수명이 긴 정적 키. 분할 없는 평평한 네트워크. 일관성 없이 적용된, 있다 해도 그런 암호화. 태세 관리가 없고, 잘못된 설정은 인시던트가 문제를 강제한 뒤에야 드러납니다.

2단계: 발전. 일부 IAM 역할과 MFA가 나타나고, 주요 저장소에 저장 시 암호화가 켜져 있지만 실천은 팀마다 다릅니다. 기본 거부 없는 기본 네트워크 계층이 있습니다. 설정 리뷰는 주기적으로, 손으로 이루어집니다. 인프라가 부분적으로 코드로 정의되어, 강화는 어느 그룹이 계정을 프로비저닝했는지에 달려 있습니다.

3단계: 표준화. 수명이 짧은 자격 증명을 쓴 최소 권한 RBAC와 ABAC가 문서화되어 조직 전체에서 시행됩니다. 분할은 기본 거부 동서 트래픽을 씁니다. 전송 중과 저장 시 암호화가 기본으로 켜져 있고, 키는 교체 일정과 데이터 접근과 분리된 보관으로 KMS에 있습니다. 컨테이너와 쿠버네티스 강화가 표준이고, CSPM이 모든 계정에 일관되게 적용되는 정의된 정책에 대해 돕니다.

4단계: 관리. 태세가 가정되는 것이 아니라 측정됩니다. 기준선과 목표에 대해 이름 붙은 지표를 추적합니다. 최소 권한 기준선 안에 있는 신원의 비율, 잘못된 설정과 표류의 탐지 및 시정 평균 시간, 계정 전반의 가드레일과 CSPM 커버리지, 키 교체 준수, 남아 있는 수명이 긴 자격 증명의 수입니다. 발견 사항은 영향 범위로 분류되고, 시정에는 소유자와 서비스 수준 목표가 있으며, 이 숫자들의 추세 데이터가 다음 강화 노력이 갈 곳을 이끕니다.

5단계: 오케스트레이션. 안전한 기본값이 랜딩 존과 코드형 인프라에 구워져 모든 자원이 강화된 채로 태어나며, 자산과 위협 그림이 이동함에 따라 통제가 적응합니다. 마이크로 분할은 신원 인식 정책을 쓰고, 고객 관리 키와 HSM이 보관 분리와 함께 가장 높은 보증이 필요한 시스템을 보호합니다. 예방 가드레일이 배포 시점에 잘못된 설정을 막고, 표류가 자동 탐지되고 시정되며, 태세 증거가 지속적 인가에 자동으로 공급됩니다. 보안이 전달 및 위험 계획과 통합되어 있고, 조직은 제공자, 서비스, 규제가 바뀜에 따라 통제를 일상적으로 퇴역시키고 범위를 다시 정합니다.

논의를 위한 아이디어

환경에서 ABAC가 RBAC를 고수하는 것보다 복잡성만큼 값을 하는 곳은 어디입니까?
레거시 자동화를 깨뜨리지 않고 수명이 긴 자격 증명을 어떻게 없앱니까?
예방 가드레일과 탐지 태세 관리 사이의 알맞은 분배는 무엇입니까?
어떤 시스템이 운영 비용을 감안하고도 고객 관리 키나 HSM을 정당화합니까?
최소 권한이 조용히 과잉 권한으로 되돌아가며 쌓이지 않게 하려면 어떻게 합니까?
멀티 클라우드 복잡성이 일관된 태세와 정책에 대한 접근을 어떻게 바꿔야 합니까?

핵심 요점

신원이 새로운 경계입니다. 수명이 짧은 자격 증명을 쓴 최소 권한 IAM에 투자하십시오.
침해를 가두도록 네트워크를 분할하고 워크로드를 마이크로 분할하십시오.
전송 중과 저장 시를 기본으로 암호화하고, KMS/HSM과 보관 분리로 키를 관리하십시오.
컨테이너, 쿠버네티스, 서버리스를 강화하고 런타임과 이미지를 패치된 상태로 유지하십시오.
사후 탐지보다 예방 가드레일을 선호하고 태세를 지속적으로 관리하십시오.
보호가 자동으로 확장되도록 안전한 기본값을 랜딩 존과 코드형 인프라에 구워 넣으십시오.
이국적 익스플로잇이 아니라 잘못된 설정이 클라우드 침해의 주된 원인이며, 예방 가능합니다.

참고 문헌과 더 읽을거리

National Institute of Standards and Technology, SP 800-207: Zero Trust Architecture
Centre for Internet Security, CIS Benchmarks (cloud providers, Kubernetes, Docker)
Cloud Security Alliance, Cloud Controls Matrix and Security Guidance for Cloud Computing
NIST, SP 800-190: Application Container Security Guide
Liz Rice, Container Security
Marco Lancini and others, Cloud security posture and detection engineering literature
Provider Well-Architected security pillars (as vendor-neutral architectural guidance)