Offcanvas

보안 / 클라우드

블로그 | 클라우드 스쿼팅을 조심해야 하는 이유

2024.01.03 David Linthicum  |  InfoWorld
해커가 퍼블릭 클라우드에 저장된 데이터에 액세스할 수 있는 모든 길을 알았다고 생각하는 순간, 새로운 위협이 등장했다. 다행히 대응법이 어렵지는 않다.

클라우드에서 발생하는 보안 문제는 대부분 누군가의 어리석은 행동으로 인해 발생한다. 이렇게 직설적으로 말해서 미안하지만, 기발한 해커는 없다. 다만 스토리지나 데이터베이스와 같은 클라우드 자원을 잘못 구성해 쉽게 피할 수 있는 취약점을 어이없이 만들어 내는 경우가 있을 뿐이다.
 
ⓒ GettyImagesBank

필자는 항상 첫 번째 방어선은 멋진 보안 툴이 아니라 교육이라고 강조한다. 하지만 이런 원칙은 흔히 무시된다. 예산은 관리자에게 어리석은 일을 하지 않도록 가르치는 것보다 새로운 보안 툴에 투입되지 않는가? 필요한 투자와 얻는 가치를 고려하면 실망스러운 일이 아닐 수 없다. 
 

새로운 위협

클라우드 스쿼팅(Cloud Squatting)이 새로운 위협으로 떠오르고 있지만, 이 취약점은 이미 수년 전부터 알려져 있었다. 달라진 점이 있다면, 더 많은 자산을 퍼블릭 클라우드로 옮기고 초보자들이 이들 자산을 관리하면서 클라우드 스쿼팅에 대한 관심이 다시 높아졌다는 것이다. 악의적인 공격자들이 이 취약점을 악용하는 데 더 능숙해진 것일 수도 있다.

핵심적인 문제는 클라우드 자산을 삭제하면서 관련 기록을 제거하지 않으면, 하위 도메인에 보안 위험을 초래할 수 있다는 것이다. 기록을 삭제하지 않으면 공격자가 승인되지 않은 피싱 또는 악성코드 사이트를 만들어 하위 도메인을 악용할 수 있다. 이를 클라우드 스쿼팅이라고 한다.

클라우드 자원은 일반적으로 프로그래밍을 통해 프로비저닝 및 할당 해제된다. 가상 서버 및 스토리지 공간 같은 자산을 할당하는 작업은 일반적으로 몇 초 만에 완료될 정도로 빠르지만, 할당 해제는 더 복잡하며 실수가 발생하기 쉽다. 이 때문에 여러 애플리케이션과 툴에 대한 임시 클라우드 자원을 가리키는 다수의 기록을 생성한 후 클라우드 자산과 관련 기록을 삭제하지 못하는 경우가 발생한다.
 

클라우드 스쿼팅 완화

방대한 양의 도메인을 보유한 대기업의 경우, 클라우드 스쿼팅을 식별하고 해결하는 것은 어려운 일이다. 게다가 글로벌 인프라팀의 교육 수준이 다양하고 보안 관리팀의 인원이 100명 이상인 경우 한 달에 몇 번씩 이 문제에 직면할 수밖에 없다. 하지만 이 문제는 피할 수 있다.

이런 위험을 완화하기 위해 보안팀은 회사 도메인을 샅샅이 뒤져 클라우드 서비스 업체의 IP 범위를 가리키는 하위 도메인을 식별하는 내부 툴을 설계한다. 이런 툴은 회사 자산에 할당된 IP 기록의 유효성을 확인하는데, IP는 보통 클라우드 서비스 업체가 자동으로 할당한다. 필자는 기업이 자체 보안 툴을 만들어 배포하는 것을 불안해하는 편인데, 취약점이 생길 수 있기 때문이다.

클라우드 스쿼팅을 완화하는 방법은 단순히 새로운 툴을 만드는 것만이 아니다. 기업은 예약된 IP 주소를 사용할 수도 있다. 즉, 자체 보유한 IP 주소를 클라우드로 이전한 다음 오래된 기록을 유지 관리 및 삭제하고 DNS 이름을 체계적으로 사용해야 한다.

네트워크 전문가가 아니어서 IRS의 DNS를 잘 모르더라도 괜찮다. 삭제되지 않은 오래된 기록이 악용될 가능성을 제거하는 것이 목적이기 때문이다. 어쨌든, 복잡한 과정이 아니다. 여기에 더해 IP 주소의 하드코딩과 예약된 IPv6 주소(클라우드 서비스 업체가 제공하는 경우) 사용을 방지하는 정책을 시행하기 바란다.
 

2단계 접근 방식

클라우드 스쿼팅은 두 단계로 대처할 수 있다.

첫째, 앞서 설명한 완화 전략을 구현해 대규모 공격 표면을 해결한다.
둘째, DNS 이름 사용에 대한 정책을 시행하고 효과적인 관리를 위해 정기적으로 기록을 유지 관리한다.

크게 부담스럽지 않은 방법이다. 하지만 지금은 두 가지 이유로 클라우드 스쿼팅의 위험성이 더 커졌다.

하나는 팬데믹 기간에 클라우드 배치가 급속도로 확장되었다는 점이다. 방대한 양의 데이터가 클라우드로 밀려들었고, 데이터를 찾기 위해 도메인이 할당됐으며, 도메인이 불필요해졌을 때 이를 제거할 생각은 거의 하지 않았다. 클라우드 배치 플레이북에서도 이 부분이 누락되곤 한다. 이 문제를 지적하면 보통 "그런 생각을 할 시간이 없었다"라는 대답을 듣는다.

인력 부족 문제도 한몫한다. 문제는 대부분 불충분한 교육이나 낮은 수준의 클라우드 관리자를 고용해 일을 진행하기 때문에 발생한다. 자격증을 취득하면 취업은 되겠지만, 실제 경험이 더 중요하다. 많은 기업이 “불에 데어 봐야” 그 충격을 제대로 알게 될지도 모른다.
editor@itworld.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.