Offcanvas

CSO / 보안

클라우드 보안 스타트업 위즈, 멀티테넌트 격리 프레임워크 'PEACH' 제시

2022.12.15 Michael Hill  |  CSO
사이버보안 스타트업 위즈가 멀티테넌트(Multi-tenant) 클라우드 애플리케이션의 크로스 테넌트(Cross-tenant) 취약점을 해결하고자 업계용 표준 프레임워크를 제시했다. 
 
ⓒWiz

클라우드 보안업체 위즈가 클라우드 애플리케이션용 테넌트 격리 프레임워크 피치(PEACH)를 발표했다. 회사는 클라우드 취약점 연구를 바탕으로 테넌트 격리에 영향을 미치는 보안 문제를 해결하기 위해 이 프레임워크를 개발했다고 밝혔다.
 

보안 경계 영역, 통합, 투명성 확보 

위즈는 공식 블로그에서 지난 18개월 동안 멀티 테넌트 클라우드 애플리케이션 여러 곳에서 많은 테넌트 간 취약점을 발견했다고 전했다. 취약점에는 엑스트라 레플리카(Extra Replica)와 헬스 키체인(Hell's Keychain)등이 있다.

위즈는 "이러한 문제는 다행히도 관련 공급업체에서 적절하게 처리됐다. 하지만 업계 전체에서 이러한 취약점을 완화하는 방법에 대한 공개적인 논의는 거의 없었다고 지적했다. 

위즈 연구팀은 다음과 같은 문제를 나열했다. 

• 테넨트 격리 모범 사례에 대한 업계의 공통 언어가 없다. 각 공급업체가 보안 경계에 대해 서로 다른 용어와 구현 표준에 의존하고 있어 효율성을 평가하기가 어렵다.
• 벤더가 제품에서 테넌트 격리를 보장하기 위해 어떤 조처를 해야 하는지에 대한 기준이 없다. 사용 중인 보안 경계나 구현 방법에 대해서도 마찬가지다.
• 투명성에 대한 기준이 없다. 일부 공급업체는 보안 경계 영역의 세부 사항에 대해 언급하지만, 다른 공급업체는 보안 경계에 대해 거의 공유하지 않는다. 이에 따라 고객이 클라우드 애플리케이션 사용의 위험을 관리하기가 더 어렵다.  

오미디어의 수석 분석가 릭 터너는 취약점이 테넌트 간 클라우드 데이터베이스/애플리케이션에 영향을 미치는 경우 기업에 끼치는 피해가 상당할 수 있다고 말했다. 그는 "이러한 취약점을 악용할 줄 아는 사람이라면 누구나 여러 테넌트의 데이터를 유출할 수 있으므로 클라우드 데이터베이스에 데이터를 저장하는 기업의 위험은 분명하다"라고 설명했다. 

터너는 더 많은 기업이 클라우드로 전환하면서 이러한 취약점을 완화하는 방법에 대한 공개적인 논의가 개선되고 있다고 생각한다. 그러나 그는 동시에 업체들이 전술과 전략을 논의하기 위해 모이는 기술 포럼에서 더 많은 논의를 해야 한다고 강조했다. 

CSA(Cloud Security Alliance)의 전문가들도 이에 동의했다다. CSA 리서치 분석가인 조쉬 버커는 "멀티 테넌시(Multi-tenancy)는 퍼블릭 클라우드 사용에 중점을 두고 일반적으로 여러 회사와 에코시스템을 공유하기 때문에 데이터 침해 및/또는 손상된 데이터의 위험이 발생할 수 있다"라고 말했다. 

공급업체나 고객 측이 구성을 잘못 하면 한 테넌트에서 다른 테넌트로 확산될 가능성도 있고, 악의적인 테넌트일 가능성도 있다고 그는 덧붙였다. 

CSA의 글로벌 리서치 부사장 존 요우는 클라우드 서비스 공급자와 고객 간의 공유 책임 모델이 논의되지 않는 것이 문제라고 지적했다. 그는 "기업 고객은 클라우드 제공업체가 스펙트럼의 양 끝을 보호하고 있다는 생각에 빠져 안주하고 있다. 이는 사실이 아니다”라고 말했다. 
 

PEACH의 테넌트 격리 2단계 

위즈는 PEACH가 테넌트 격리까지 2단계의 프로세스를 따르며, 첫 번째는 격리 검토라고 설명했다. 이 단계에서는 고객 대면 인터페이스와 관련된 위험을 분석하고 다음 사항을 결정한다.

• 취약점의 예측 변수로서의 인터페이스의 복잡성
• 테넌트당 인터페이스 공유 또는 복제 여부
• 어떤 유형의 보안 경계가 설정되어 있는지(예: 하드웨어 가상화)
• 권한 강화, 암호화 강화, 인증 강화, 연결 강화 및 보안 위생(Permission, Encryption, Authentication, Connection and Hygiene;PEACH) 이렇게 5가지 매개 변수를 사용하여 경계 영역이 얼마나 탄탄하게 구현되었는지.
 
ⓒWiz

이 프로세스의 두 번째 단계는 테넌트 간 취약점의 위험을 관리하고 필요에 따라 격리를 개선하기 위한 교정 단계로 구성된다. 회사 측은 "여기에는 예산 제약, 규정 준수 요건, 서비스의 예상 사용 사례 특성 등 운영 맥락을 고려한 인터페이스 복잡성 감소, 테넌트 분리 강화, 인터페이스 중복 증가 등이 포함된다"고 설명했다.

위즈는 PEACH 프레임워크로 CaosDB의 근본 원인 분석을 수행할 수 있었다고 주장했다. CaosDB는 Azure Cosmos DB의 테넌트 간 취약점이다. 위즈는 "각 테넌트에 내장된 주피터 노트북(jupyter notebook)은 가상 머신 내에 중첩된 컨테이너에서 실행됐다. 이는 탄탄한 격리 체계로 보일 수 있지만, 인터페이스 강화 요인은 구현 수준에서 중요한 격차를 드러냈다”라고 밝혔다. 
 

클라우드 애플리케이션의 테넌트 간 취약점 해결

애널리스트 터너는 크로스 테넌트 클라우드 애플리케이션 취약점을 완화하기 위한 최선의 전략은 다음과 같다고 조언했다. 

• CI/CD, 코드 레포, 컨테이너 레지스트리 및 클라우드 내 파이프라인의 모든 단계에서 분산된 일반 텍스트 자격 증명 및 암호 검색
• 컨테이너 레지스트리에 권한 있는 자격 증명 잠금 
• 승인 컨트롤러를 사용하여 수행할 수 있는 이미지 서명 확인
• K8s API의 경우 포드 액세스가 잘못 구성되지 않도록 하기. 그렇지 않으면 컨테이너 레지스트리가 제한 없이 노출될 수 있다.

CSA 리서치 기술 책임자인 숀 하이데는 클라우드 환경을 해결하는 데 특히 도움이 되는 구조화된 프레임워크와 표준을 따라는 게 바람직하다고 조언했다. 그는 "따라가기 좋은 프레임워크 중 하나는 CSA의 클라우드 제어 매트릭스이다. 애플리케이션 및 인프라의 설계, 개발, 배포 및 구성을 제안한다. 이러한 방식으로 테넌트 사용자 액세스와 테넌트 내 액세스를 적절히 세분화하고 분리해야 한다. 클라우드 서비스 공급업체와 파트너 관계를 맺고 이들이 제공하는 보안 기능을 최대한 활용하려면 적절한 전문 지식이 필요하다”라고 말했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.