![[표 1] IT 인프라의 발전 과정 주요 특징](https://prod-files-secure.s3.us-west-2.amazonaws.com/dadce419-c708-414f-a284-244035d690f4/4108f736-99e3-4159-878a-9f2af30caee9/Untitled.png)
디지털 전환 및 애자일 비즈니스 전략에 의해 클라우드 전환이 본격화되었다. 분산구조와 오토 스케일링을 통한 효율적인 스토리지 관리로 인한 비용절감 등의 운영 효율과 블록체인, 인공지능 등 차세대 신기술의 테스트 베드로 활용되면서 2017년부터 급격한 성장을 이루며 인프라 생태계의 ‘퍼펙트 스톰’이 되었다. 클라우드 전환이 확산되면서 클라우드의 공격표면을 활용한 공격이 증가하였다. 따라서 이번 호에서는 클라우드 보안 협회(Cloud Security Alliance, CSA)에서 발표한 클라우드 보안 위협을 기반으로 클라우드 환경의 보안사고 사례 분석을 통한 보안강화 방안에 대해서 살펴보고자 한다.
클라우드 인프라의 보안 위협을 살펴보기에 앞서 프레임환경부터 클라우드까지의 IT인프라 발전 현황은 [표 1]과 같다. 초기 인프라 환경은 IBM과 같은 제조업체가 독자적인 통신 프로토콜과 단일 하드웨어 및 소프트웨어를 제공하는 메인 프레임 구조였다. 중앙관리가 본격화되면서 서버와 클라이언트 구조를 거쳐 물리적 리소스를 효율적으로 사용할 수 있는 가상화로 발전하게 되었다. 이후 분산 처리 기술 및 로드 밸런싱, 컨테이너 가상화, 서버리스 등의 기술 성숙도가 향상되면서 물리적 리소스의 제약없이 스토리지를 사용할 수 있는 클라우드로 확대되었다.
[표 1] IT 인프라의 발전 과정 주요 특징
클라우드는 서비스 모델에 따라서 보안 접근방식이 기존 온프레미스와 다르다. 클라우드 서비스 제공자(CSP)와 클라우드 사용자가 영역별로 보안에 대한 책임을 분담하는 책임 공유 모델(Shared Responsibility Model, SRM)을 채택하고 있기 때문에 서비스 모델 별로 발생할 수 있는 보안 위협 요소 및 대응방안에 대한 고려가 필요하다. [표5-2]는 클라우드 서비스 모델 별 발생할 수 있는 보안 위협 요소와 대응방안을 매핑 한 자료다.
![[표 2] 클라우드 서비스 모델 별 보안위험 및 대응방안 (출처 : 이글루코퍼레이션)](https://prod-files-secure.s3.us-west-2.amazonaws.com/dadce419-c708-414f-a284-244035d690f4/ea08b058-84bc-4ea7-b9d0-03d53d214848/Untitled.png)
[표 2] 클라우드 서비스 모델 별 보안위험 및 대응방안 (출처 : 이글루코퍼레이션)
IaaS, PaaS, SaaS, FaaS, BaaS, CaaS 등 클라우드 서비스 모델은 제공 기능 및 구현 기술이 상이하기 때문에 클라우드 서비스 모델 별 위험요소를 식별하는 것은 보안을 강화하기 위한 가장 쉬운 방법이라고 할 수 있다. 책임 공유 모델에서 중요한 것은 클라우드 서비스 모델 별로 위험이 발생할 수 있는 요소에 대한 보안강화 방안에 대한 대책과 R&R(Role & Responsibilities)을 분류하는 것이다.
클라우드 서비스 제공자가 제공해야 하는 보안강화방안에 대해서는 SLA(Service Level Agreement )나 제공 서비스의 명세에 따라서 정확히 인지하는 것이 필요하다. 클라우드 서비스 제공자가 최소한의 보안을 제공할 뿐 추가적인 보안강화를 위해서는 보안 솔루션 도입 모니터링 방안 등은 클라우드 사용자가 고민해야 하기 때문에 서비스 목적과 클라우드 아키텍처 환경에서 발생할 수 있는 위험요소들을 식별하도록 노력해야 한다.