[클라우드보안에 대하여] 한 페이지로 알아보는 클라우드 보안 #Cheat-Sheat

맞다 필자는 컴퓨터하는 사람인데, 요즈음 블로그에 올리는 글이 독후감 밖에 없다... 오랜만에 컴퓨터다운 글을 하나 올려보려고 한다. 개인의 공부를 겸해서, 클라우드 보안자격을 정리할 겸 아래와 같은 치트 표를 만들어 보았다. 

[CCSP] 공부를 시작하며 -> 합격과 합격수기

---

클라우드보안을 한페이지로 정리해 보았다. 위와 같은 글이 나올 거 같은데, 설명은 다음과 같다.

---

클라우드 역할군(Role and Responsibilities)

• 클라우드 제공자(Cloud Service Provide) : 클라우드를 주는 사람이다. 그니까 따지면 IBM이나 Amazon이라고 생각하면 좋을거 같은데, 보안관점에서 서비스방식에 따라서 책임지는 영역을 소비자와 양분하게 된다. 너무 길다보니까 CSP라고 줄여부르는 일이 훨씬 많다.
• 클라우드 고객(Cloud Customer) : 클라우드를 CSP로 부터 제공받아서 이용하는 개인이나 기업이다. CSP와 같이 클라우드 서비스방식에 따라서 책임지는 영역을 소비자와 양분하게 된다.
• 클라우드 브로커(Cloud Broker) : 이 역할이... 우리나라에는 많이 없는데, 미국처럼 클라우드가 여러개 사용하는 멀티 클라우드 환경(MCE;Multi Cloud Environment)에서는 클라우드간 상요 호환성을 맞추어주고 어떤 클라우드사를 활용하는 것이 좋은가 자문을 해주는 역할군이 있다. CSP와 클라우드 고객사이에서 적절한 클라우드 솔루션을 추천하고 여러 클라우드 환경에서 상호운용성을 극대화해주는 윤활제 역할이다.
• 클라우드 캐리어(Cloud Carrier) : 클라우드는 네트워크가 없다면 존재할 수 없는 기술이다. 보안관점에서 데이터나 어떤 부분을 CSP가 책임지냐, 소비자가 책임지냐도 중요한데, 워낙 네트워크 의존성이 높은 환경에서 네트워크 가용성 또한 중요하게 관심가져야할 분야이다. 클라우드 캐리어는 클라우드 접속과 이용을 위한 네트워크 환경을 조성하는 사업자들을 지칭한다.(흔히 생각하는 ISP;Internet Service Provider과 동일하게 해석해도 무관하다.)

---

클라우드 도입모델(Deployment Model)

• 사설 클라우드(Private) : 사설 클라우드는 오직 그 클라우드 고객만을 위해서 클라우드환경을 조성해주는 도입모델이다. 멀티 태넌시(여러 사람이 한 CSP를 사용하는) 환경의 클라우드 환경에서 데이터의 유출과 독점적인 재해복구 및 속도보장을 위해서 비싸긴 하지만 나름의 장점이 있다.
• 공공 클라우드(Public) : 공공 클라우드는 대외적으로 공개된 Public Internet환경에서 제공되는 클라우드 환경이다. 가격대는 사설 클라우드보다 저렴하나 데이터 주체권이나 CSP에게 요구사항을 조절하기 어렵다는 이론적인 특징이 있다.
• 하이브리드(Hybrid) : 사설 클라우드와 공공 클라우드의 장점을 혼합한 방식이다. 중요하고 가용성이 보장되어야하는 분야는 사설 클라우드(Private)을, 공개된 인터넷에서 서비스 받을 수 있거나 단순한 서비스는 공공 클라우드(Public)을 사용하는 방식이다.

여기서 설명되지는 않았는데, 커뮤니티 클라우드(Community)라는 형태도 존재한다. 대학이나 병원과 같이 특정한 집단이 공통된 목적을 가지고 사용하는 클라우드이다.

---

클라우드 서비스에 따른 구분(Service)

 

IT자원을 활용하여 조직의 목표나 개인의 서비스를 사용하기 위해서는 IT자원이 활용되는 기반(Infrastructure) - IT 자원이 운영될 수 있는 플랫폼(Platform) - IT 자원의 목표가 되는 서비스나 어플리케이션(Service)로 계층을 구분할 수 있다. 무지막지한 자원을 보유하는 CSP로 부터 자원을 어디까지 대여할 지가 클라우드 서비스 방식을 아래와 같이 구분한다.

• 인프라로써의 서비스(IaaS) : IT 자원이 구성되는 기반을 CSP에서 대여한다. 클라우드 고객은 대여된 IT 자원의 기반에 운영체제부터 서비스가 동작할 플랫폼과 서비스를 올려서 서비스를 수행한다.
• 플랫폼으로써의 서비스(PaaS) : CSP는 IaaS방식에서 한발자국 더 나아가서 IT서비스가 동작할 플랫폼(Platform)을 제공한다. 만약 개발을 목적으로 클라우드환경을 사용하고 있다면 개발도구도 CSP에서 제공하는 것이 일반적이다.
• 어플리케이션으로써의 서비스(SaaS) : CSP는 IT자원을 활용한 특정한 목적의 어플리케이션도 제공하고 클라우드 고객은 이를 사용하기만 한다. 대표적인 SaaS방식으로 Dropbox나 Office 365를 생각하면 편할 거 같다. 그 위해서 동작하는 데이터는 아직까지 클라우드 고객이 관리한다.

여담으로 가장 왼쪽에 있는 On-Premise환경 혹은 Legacy 환경은 엄밀하게 클라우드 방식은 아니다. 클라우드가 새롭게 등장한 기술이니 만큼, 기존에 모든 IT 자원을 사내에서 운영하던 방식과 구분하기 위해서 기존의 방식을 On-Premise방식으로 구분한다.

 

또한 XaaS라는 말이 요즘 참 많은데, X로써의 서비스로 해석하면 된다. 예를들어 DBaaS라면 소유하지 않고 데이터베이스를 빌려서 쓴다는 이야기고 SecaaS라면 보안자원과 솔루션을 소유하지 않고 빌려서 사용한다는 의미이다.

 

---

클라우드 보안쟁점

 

클라우드라는 특수한 환경으로 인해서 기존의 보안쟁점에 추가하여 여러가지 재미있는 보안쟁점이 발생하는 데 대표적인 것들을 가져와 보았다.

• 데이터 주제권(Jurisdiction)과 국경전송 : 이게, 클라우드가 워낙 전세계적으로 호스팅을 하기 때문에 발생하는 보안쟁점인데, 예를들어 CSP인 a사에서 유럽이랑 미국에 IDC를 물리적으로 가질 때 아시아에 있는 사용자 리덕토가 이 CSP를 활용한다고 가정하자. 자세하게는 알 수 없지만 유럽 IDC에 물리적으로 리덕토의 개인정보가 저장이 되었고 백업목적으로 이중화되어 미국에도 저장이 되었다. 그럼 이 리덕토에 대한 개인정보법은 미국 / 유럽 / 아시아 어디를 따라가야할까? 이를 주제권문제(Jurisdiction)이라 부르고 네트워크를 통해서 국경을 전송될 때의 보안쟁점을 국경전송(Trans-Border)문제라고 칭한다.
• 데이터의 소유권 & 물리적 접근불가와 감사불가 : 클라우드 환경은 막대한 IT자원을 보유한 CSP의 저장공간에 사용자의 데이터가 저장된다. 문제는 당연히 클라우드 고객의 정보임에도 불구하고 고객은 자신의 정보의 위치를 알수도 없고 알더라도 다른 고객들의 정보가 혼재되어있기에 접근도 불가하다는 것이다. 따라서 자신의 정보가 올바르게 보호되고 있는지도 CSP를 믿는 것 밖에 답이없다. 물론 후술할 철저한 계약통제등이 대안이긴하다.
• SLA와 가용성 보장 : SLA(Service Level Agreement)는 클라우드 고객이 클라우드를 활용할 떄 둘 사이 작성되는 계약이다. SLA에는 측정가능한 지표(Metric)이 정확하게 명시되어있어야한다. 이에 따라 CSP가 올바르게 SLA에 따른 접근가용성을 보증했는지를 점검할 수 있다. 추가로 철저한 계약서를 통해 Formal한 감사조항(Audit-Clause)를 통해서 자신의 데이터가 CSP에 의해 제대로 보증되는 지 점검해야한다.
• Bit-Split : 클라우드환경에 데이터가 저장될때는 그대로 저장되는 것이 아니라 분리되어(Split)되어 저장된다. 단순히 한 저장장치에서 분리되는 것이 아닐 수도 있다는 것이 보안쟁점인데, 다른 나라로 빠질 수도 있다. 그럼 1번의 주제권문제가 발생하기도 하며, 차후에 CSP사용이 마무리 되었을 때 완전한 소거를 요청할 때도 문제가 된다. 데이터가 어디로 분리되어 복제되어있는지 알 수 없기 때문인데, 이 Bit-Split때문에 클라우드의 안전한 데이터 소거(Sanitization)는 다음의 방법으로 거의 강제된다.
• Key-Shredding : 데이터를 암호화하고 이 암호화키를 파기하는 클라우드 환경의 안전한 데이터 소거(Sanitization)방법이다.
• CSA CCM : 보안에서 빼놓을 수 없는 것이 인증과 인가이다. 공인된 수준과 등급을 가지기 위해서는 일정한 자격을 갖추어야하는데, 국제적으로 클라우드 보안에 권위적인 위치에 있는 기관이 CSA(Cloud Surveilance Alliance)이다. CSA에서는 OCF(Open Cloud Framework)라는 클라우드 보안 지침을 제공하고 그 과정에서 통제항목 확인으로 활용할 수 있는 것이 CCM(Cloud Control Matrix)이다. 여담으로 우리나라의 지침은 KISA의 CSAP이고 CCM과 동일한 역할을 하는 가이드라인이 KISA에 의해 배포되어있다.
• e-Discovery : 전자증거를 확보하기 위한 쟁점은 Legacy한 환경뿐아니라 클라우드에서도 큰 쟁점이다. 끊임없이 변화하고 백업되는 클라우드 데이터를 어떻게 올바르게 수집할 지가 중요하다.
• 네트워크 구암호화 : 네트워크에 크게 의존하는 클라우드이다보니 어떻게 안전하게 클라우드를 사용할 까는 네트워크 암호화에 좌지우지 된다. VPN과 터널링기술의 도입은 이제 거의 반필수 인거 같다.
• Vendor Lock-in & out : 주객전도의 경우인데, 클라우드 고객이 CSP에게 너무 의존하여 한 CSP에게 기술적으로 혹은 관리적으로 종속된 현상(Lock-in)이나 그 반대의 현상(Lock-out)을 의미한다. 이를 예방하기 위해서 가급적 모든 IT환경에 표준을 사용하고 철저한 계약서를 검토하는 등의 행위가 필수적이다.
•  

---

해설은 위와 같다. 물론 이외에도 클라우드 보안에 대해서는 할말이 엄청 많다만 중요하다고 느끼는 것만 가져와보았다. "엥? 리덕토님 XX도 중요하지 않나요?"라고 이야기한다면 You're Right하니 주관적인 입장에서 작성되었다는 점을 재차강조한다.