클라우드 시스템을 위한 새로운 보안 플랫폼의
필요성
주요 이슈
빅데이터를 활용하는 업무 시스템이 산업 전반에 도입되면서 클라우드 컴퓨팅을 활용하는 기업과 조직이 급속히 늘어나고 있다. 이에 따라 클라우드 컴퓨팅 보안에 대한 중요성도 점차 대두되고 있다.
클라우드를 통해 확보한 데이터의 보관과 처리에 사용될 시스템을 고민하면서 신뢰할만한 시스템 환경을 구축하는 것에 대한 고민 또한 함께 이루어져야 하는 시기가 온 것이다. 클라우드 시스템의 보안은 큰 그림으로 보면 기존의 서버 시스템이 갖추고 있는 보안 기능과 크게 다르지 않다.
하지만 클라우드 특성에 따른 가상화, 멀티테넌시(Multi-tenancy: 다중공유), 정보 위탁과 모바일 기기접속, 데이터 센터 안전성 등 신규 공격 위협이 존재한다.
이에 가트너(Gartner)는 실제 기업 보안 관리자들은 클라우드 보안에 상대적으로 무지한 편이라고 꼬집으며 클라우드 보안 위협이 본격화될 것에 대한 대응 준비의 필요성을 밝혔다.
1부에서는 클라우드 컴퓨팅 환경 위협 공격에 대해 기존 보안기술의 한계와 새로운 보안 클라우드 환경의 방향성에 대해 간단히 살펴보고자한다.
이어지는 2부에서는 가트너가 제시하는 클라우드 환경에 걸맞는 새로운 보안 플랫폼에 대해 자세히 기술할 예정이다.
동향 분석
◎ 클라우드 컴퓨팅 환경의 보안 기능 강화의 필요성
○ 2018년까지 현존하는 기업의 60% 이상이 클라우드 컴퓨팅을 활용할 것으로 기대되며 이에 따라 클라우드 컴퓨팅 보안 강화에 대한 필요성 증가
○ 클라우드 환경에서는 가상화, 다중임차, 원격지에 정보 위탁 및 사업자 종속,모바일 기기 접속, 데이터 국외이전, 데이터 센터의 안전성 등 새로운 보안 위협이 존재
○ 클라우드 컴퓨팅을 통해 무수한 데이터가 연동되고 다양한 자원이 활용되고 있기 때문에 데이터 보호와 자원의 관리 정책, 기업 및 개인의 프라이버시 측면에서의 포괄적 문제점 해결 필요
○ 많은 기업들이 고객 정보 유출에 대한 우려를 클라우드 서비스의 가장 큰 위험 요인으로 꼽으며 이로 인한 매출 손실 발생을 우려하고 있음.
◎ 클라우드 컴퓨팅 환경 내 주요 보안 취약성
○ 다수 고객 임차 환경(Multi-Tenancy)
- 클라우드 인프라를 공격의 수주로 삼을 수 있음(좀비 PC).
* 아마존의 가상서버 임대 서비스(EC2)에 가명으로 가입하여 가상 서버를 대여해
소니 플레이스테이션 네트워크를 해킹한 사건 (2011년 6월)
- 고객 정보를 저장 및 관리하는 제3기관의 보안 수준이 각 기업 및 이용자들의 보안 수준을
결정하기 때문에 이들의 관리 부주의나 설정 오류 등으로 정보 유출이 가능함.
* 이메일과 온h인미팅시스템 등을 제공하는 MS 기업용 클h우g 솔루션의 권한 설정 오류로
기업정보가 타인에게 열람 (2010년 12월)
○ 정보와 서비스의 집중화
- 침해사고 발생 시 서비스 연쇄 중단 및 대규모 피해 속출
* 아마존 EC2 정전으로 190개 서비스 동시 마비 (2011년 4월)
- 다수의 이용자 및 기업 정보를 보유한 클h우g 서버 내 저장 정보가 암호화 되어있지 않으면
모든 사용자의 정보가 한 번에 유출 될 수 있음.
◎ 클라우드 서비스를 위해 요구되는 보안 사항
♤ Iaas(Infrastructure as a Service)
○ Iaas는 시스템 인프라 클라우우 서비스h고도 불리며 서버, 스토리지, 네트워크를 가상 환경으로
만들어 사용자의 필요에 따h 인프h 자원을 사용 할 수 있도록 제공되는 서비스 형태를 말함.
- 사용자는 인프라를 클라우드 서비스로 이용하며 서버의 구매 및 유지, 네트워크 구성과 트래픽,
하드웨어 장애 등에 대한 모든 부분에 대해 신경 쓸 필요가 없음.
○ 이와 같이 모든 것을 공유(Sharing)하는 특별한 환경에서는 보안 문제에 대한 책임과 관리 대상이
확실시 되어야 함.
- 안전한 내부 망에 있는 물리적 장비를 대상으로 외부로의 침입을 막는 경계적 보안이 과거의
보안 패러다임이라면 이제는 클라우드 컴퓨팅을 통한 가상의 인프라에서 발생하는 APT나
데이터 유출/침해 등과 같은 새로운 위협에 대비한 보안 솔루션에 요구되는 것임.
○ 프로그래머들은 설치 후 수정(build first/fix later)적 성격을 띠는 다양하고 자유로운 소프트웨어
환경 속에서도 보안 코드 제작과 입력에 심혈을 기울여야 함.
○ 기업이나 조직 등 비즈니스와 직접 연결되어 다양한 소스에서 위협 인텔리전스를 수집하고
피드백을 제공하는 소프트웨어 정의 보안(Software-Defined Security) 방법이 클라우드 서비스
환경의 보안 체제로 운영됨.
♤ SaaS(Software as a Service)
○ 서비스를 위한 클라우드 서비스라 불리는 SaaS는 기본 인프라와 서비스뿐만 아니라 사용자의
어플리케이션까지 이르는 모든 영역을 클라우드 서비스로 제공하는 것을 말함.
- 사용자는 자신이 필요한 서비스를 바로 선택하여 사용할 수 있음. 네이버나 Dropbox 등의
웹하드 서비스가 이에 속함.
○ SaaS환경에서는 인프라에서 어플리케이션에 이르는 다양한 서비스를 제공하는 벤더들의 관리 및
통제에 대해 철저한 검수와 확인 필요
○ 뿐만 아니라 SaaS 환경에서는 보안에 대한 책임 의식이 개발자에서 그치는것이 아닌
사용자까지로 확장되어 적용됨.
(Soucre:
Gartner)
첨부 : 클라우드 시스템을 위한 새로운 보안 플랫폼의 필요성
댓글 없음:
댓글 쓰기