칼럼｜MS 애저 블롭 유출 사태가 주는 교훈

마이크로소프트가 애저 블롭 스토리지를 잘못 구성하는 바람에 애저 고객사의 지적재산권이 노출됐다. CISO는 이 사태로부터 어떤 교훈을 얻을 수 있을까?

보안 업체인 vpn멘토(vpnMentor)에 따르면, 마이크로소프트는 애저 블롭 (클라우드) 스토리지의 버킷을 잘못 구성하는 오류를 범했다. 이는 회사 스스로 자초한 것으로 보인다. 이 스토리지에는 서드파티 데이터가 저장돼 있었다. 마이크로소프트는 사실상 고객사의 지적 재산권을 노리는 이들에게 약점을 드러낸 셈이었다. 

vpn멘토의 연구진은 스토리지 버킷의 구성 오류를 발견한 다음 이를 마이크로소프트 측에 알렸다. 또 구성 오류를 발견한 이후부터 마이크로소프트와 주고받은 내용을 웹사이트에 시간순으로 공개했다. 어도비를 비롯한 여러 기업들은 마이크로소프트와 제휴를 맺기 위해 각종 기능이나 서비스 내용을 담은 홍보 자료를 스토리지에 올려둔 상태였다. 
 

vpn멘토는 보고서를 통해 10~15개 회사의 100개 이상 ‘발표 자료’와 소스코드가 어떻게 노출됐는지 설명했다. 기업들은 마이크로소프트 다이내믹스 CRM/ERP 생태계에 참여하기 위해 자사의 아이디어와 지적재산권을 마이크로소프트에 위임했다. 이 아이디어와 지적재산권이 마이크로소프트의 구성 오류로 인해 부지불식간에 위험에 처하게 된 것이다. 

공유 책임 모델
이와 같은 구성 오류의 책임은 누구에게 있을까? vpn멘토 연구진은 “공유 책임 모델 하에서는 데이터 자산을 보호할 책임이 사용자에게 전가된다. 사용자 조직 내 여러 당사자들은 우선순위가 서로 다르며, 보안 개념에 대한 이해의 수준도 제각각이다”라며 “이로 인해 민감한 데이터가 노출될 수도 있다. 사용 중인 클라우드 인프라와 상관없이, 심각한 결과가 초래될 수 있다”라고 말했다. 

CISO라면 ‘공유 책임’의 개념을 반드시 인식시켜야 한다. 클라우드 업체는 클라우드 자체를 보호할 책임이 있으며, 고객은 클라우드 내부의 보안에 책임이 있다. CISO는 업체에서 관리하는 클라우드 스토리지 환경에 데이터를 보관하는 모든 사람들에게 이 개념을 반드시 숙지시켜야 한다. 

클라우드 스토리지 사용자는스토리지 버킷을 보호하는 데 실패하곤 한다. 종종 이들은 데이터 보호를 위해 마련된 다양한 계층의 액세스 및 인증 프로세스를 회피하려 한다. 애저 블롭이나 AWS S3 같은 클라우드에 업로드되는 데이터가 점점 더 많아지는 가운데, 외부인의 액세스를 제한할 수 있도록 환경을 구성하는 작업은 기본이다. 

마이크로소프트의 구성 오류로 인해 노출된 데이터는 지난 2016년에 생성된 63Gb의 데이터(혹은 3,800개의 파일)다. 2021년 현재에는 이 데이터가 중요하지 않을 수도 있겠지만, 해당 데이터의 가치는 정보 소유자가 판단할 일이다. 

전 마이크로소프트 임원이자 액티브사이퍼의 CEO 마이클 퀸은 “이런 경우 책임을 돌릴 대상을 특정하기 어렵다. 외부 컨설턴트, 벤더, 분산돼 있는 직원들이 방대한 핵심 데이터에 접근할 수 있게 되면서, 기업들은 안전한 데이터 공급망을 구성하기 위해 고군분투하고 있다. 현재의 네트워크/생태계는 최근 몇달간 해킹 위험에 취약하다. 목표(데이터 보호)를 상실한 채로 (이를 해결하기 위해) 두 배로 노력해도 결과는 똑같을 것이다”라고 말했다.

그는 생성 지점 또는 보관, 전송, 외부 보관 여부에 상관없이 파일 수준에서 데이터를 보호하는 것이 ‘진정한 접근법’이라고 덧붙였다. 그러면서 “이렇게 하면 데이터가 해킹을 통해 유출되더라도 사용할 수 없다”라고 설명했다. 
 
CSPM(Cloud Security Posture Management)의 사례
2021년 3월 알고섹(AlgoSec)은 CSA(Cloud Security Alliance)와 공동 작성한 ‘클라우드 보안 우려, 난제, 사건’ 조사 보고서에서 클라우드 스토리지 구성 오류로 인한 문제는 데이터 유출에만 국한되는 게 아니라고 주장했다. 보고서에 따르면, 클라우드 중단의 26%는 클라우드 업체 측의 문제와 관련돼 있으며, 나머지 21%는 보안상의 구성 오류와 연관이 있다.

또 보안 관리 책임이 있는 정보 보안팀의 약 50%는 클라우드 오케스트레이션 및 관리 도구를 사용하고 있으며, 약 35%는 자체 개발 스크립트를 사용하고, 29%는 수동 프로세스를 사용하는 것으로 나타났다.

따라서 회사 내부에 전문가가 없다면 CSPM 서비스 제공에 필요한 전문 지식을 갖춘 외부 업체를 찾아야 한다. 이런 CSPM 제공자는 클라우드 인스턴스를 지속적으로 모니터링함으로써 잠재적인 위험을 찾아 해결할 수 있다.

IT 임원이라면 구성 오류의 횟수와 빈도를 보고서 굳이 데이터 보호에 신경써야 하나 싶은 생각도 할 수 있을 것이다. 그 생각이 틀린 것은 아니다. (그럼에도) 클라우드 환경을 안전하게 구성해야 하는 ‘이유’를 설명하는 보안 인식과 교육 이니셔티브에 시간을 투자하는 게 낭비는 아닐 것이다.

*Christopher Burgess는 CIA에서 30년 이상 근무한 보안 전문가다. ciokr@idg.co.kr