2018.01.18

블로그 | 크로스 테넌트 클라우드 공격을 걱정하지 않아도 되는 이유

David Linthicum | InfoWorld
핵심은 다음과 같다. 다른 클라우드 사용자로부터의 공격에 대한 방어는 매우 강력하며, 사용자가 집중해야 하는 위험은 다른 데 있다는 것이다.

걱정거리가 또 하나 늘었다. 퍼블릭 클라우드가 외부 공격자로부터 클라우드 기반 시스템을 보호하는 데는 뛰어난데, 같은 퍼블릭 클라우드의 다른 사용자로부터 발생할 수 있는 공격은 어떻게 방어할까? 이른바 크로스 테넌트 공격(Cross-Tenant Attack, 사이트 채널 공격이라고도 한다)으로, 같은 퍼블릭 클라우드의 다른 테넌트에서 어떤 식으로든 사용자의 데이터에 액세스하는 경우를 말한다. 과연 이런 위험에 주의를 기울여야 할까?

Image Credit : GettyImagesBank

그렇지 않다. 크로스 테넌트 공격의 위협에 더 주의를 기울일 필요는 없다. 이유를 살펴보자.

우선, 퍼블릭 클라우드에 관해서는 사람들의 실수와 같은 더 쉬운 공격 인지가 많다. 필자가 들은 클라우드의 데이터 손실은 100% 사람의 실수에 의한 것이다. 종종 사람들은 자사의 클라우드 머신 인스턴스를 잘못 설정하고, 이 때문에 그러지 말아야 할 데이터를 노출하곤 한다. 만약 기업이 클라우드 시큐리티를 다루는 데 집중하고자 한다면, 이 부분에 중점을 두어야 한다.

두 번째, 대부분 기업이 퍼블릭 클라우드 상의 데이터를 실기간으로 그리고 후처리로 암호화한다. 한 테넌트가 다른 테넌트 계정이 보유한 서버 인스턴스에 액세스한다고 해도 악한은 데이터를 읽을 수 없다. 암호화는 또한 클라우드 외부로부터의 해킹에도 데이터를 보호한다.

세 번째, 퍼블릭 클라우드 서비스 업체는 크로스 테넌트 공격이 발생하지 않도록 하는 보안 시스템을 운영한다. 테넌트 관리 시스템이 수많은 테넌트의 자원을 동시에 관리하는 것은 사실이고, 그래서 기업들이 긴장하고 있다. 하지만 테넌트 간에는 심사숙고를 거쳐 만들어진 가상의 경계선이 있으며, 이것이 멀티테넌트 시스템의 근본적인 요소이다. 각 퍼블릭 클라우드 서비스 업체는 이런 격리 목표를 구현하는 각자의 방식이 있으며, 이들이 사용하는 접근법의 모든 측면을 이해할 수는 없지만 결국에는 이들을 믿어야 한다.

정리하자면, 크로스 테넌트 공격은 타당한 우려이며, 기업은 업체의 모든 서비스에 대해 항상 건강한 수준의 의문을 가져야 한다. 하지만 현재 기업에는 더 급박한 우려가 있다. 크로스 테넌트 공격에 필요 이상의 시간을 쏟지 말고 좀 더 심각한 문제에 집중해야 할 것이다.  editor@itworld.co.kr



2018.01.18

블로그 | 크로스 테넌트 클라우드 공격을 걱정하지 않아도 되는 이유

David Linthicum | InfoWorld
핵심은 다음과 같다. 다른 클라우드 사용자로부터의 공격에 대한 방어는 매우 강력하며, 사용자가 집중해야 하는 위험은 다른 데 있다는 것이다.

걱정거리가 또 하나 늘었다. 퍼블릭 클라우드가 외부 공격자로부터 클라우드 기반 시스템을 보호하는 데는 뛰어난데, 같은 퍼블릭 클라우드의 다른 사용자로부터 발생할 수 있는 공격은 어떻게 방어할까? 이른바 크로스 테넌트 공격(Cross-Tenant Attack, 사이트 채널 공격이라고도 한다)으로, 같은 퍼블릭 클라우드의 다른 테넌트에서 어떤 식으로든 사용자의 데이터에 액세스하는 경우를 말한다. 과연 이런 위험에 주의를 기울여야 할까?

Image Credit : GettyImagesBank

그렇지 않다. 크로스 테넌트 공격의 위협에 더 주의를 기울일 필요는 없다. 이유를 살펴보자.

우선, 퍼블릭 클라우드에 관해서는 사람들의 실수와 같은 더 쉬운 공격 인지가 많다. 필자가 들은 클라우드의 데이터 손실은 100% 사람의 실수에 의한 것이다. 종종 사람들은 자사의 클라우드 머신 인스턴스를 잘못 설정하고, 이 때문에 그러지 말아야 할 데이터를 노출하곤 한다. 만약 기업이 클라우드 시큐리티를 다루는 데 집중하고자 한다면, 이 부분에 중점을 두어야 한다.

두 번째, 대부분 기업이 퍼블릭 클라우드 상의 데이터를 실기간으로 그리고 후처리로 암호화한다. 한 테넌트가 다른 테넌트 계정이 보유한 서버 인스턴스에 액세스한다고 해도 악한은 데이터를 읽을 수 없다. 암호화는 또한 클라우드 외부로부터의 해킹에도 데이터를 보호한다.

세 번째, 퍼블릭 클라우드 서비스 업체는 크로스 테넌트 공격이 발생하지 않도록 하는 보안 시스템을 운영한다. 테넌트 관리 시스템이 수많은 테넌트의 자원을 동시에 관리하는 것은 사실이고, 그래서 기업들이 긴장하고 있다. 하지만 테넌트 간에는 심사숙고를 거쳐 만들어진 가상의 경계선이 있으며, 이것이 멀티테넌트 시스템의 근본적인 요소이다. 각 퍼블릭 클라우드 서비스 업체는 이런 격리 목표를 구현하는 각자의 방식이 있으며, 이들이 사용하는 접근법의 모든 측면을 이해할 수는 없지만 결국에는 이들을 믿어야 한다.

정리하자면, 크로스 테넌트 공격은 타당한 우려이며, 기업은 업체의 모든 서비스에 대해 항상 건강한 수준의 의문을 가져야 한다. 하지만 현재 기업에는 더 급박한 우려가 있다. 크로스 테넌트 공격에 필요 이상의 시간을 쏟지 말고 좀 더 심각한 문제에 집중해야 할 것이다.  editor@itworld.co.kr

X