클라우드 보안 - 취약성 : 부적절한 ID 및 접근권한 관리(Inadequate Identity and Access Management)

CSA(Cloud Security Alliance)에서 매년 가장 심각한 보안 위협에 대해 공유하고 있다.

2019년에 발표한 대표적인 클라우드 보안 위협과 사례를 살펴보자.

불충분한 ID, 자격 증명 및 접근 관리

중요 권한을 가진 사용자, 운영자의 계정을 공유하거나 쉬운 패스워드 사용, 패스워드 노출 등으로 인해 무단 접속을 허용하는 사례

 

사례

기본 설치되고 있는 몽고 DB에 인증 없이 접속할 수 있는 포트 오픈이 기본 설정된 경우

이 기본 구현은 인증 없이 액세스를 허용하는 포트를 열어뒀다.

 

대처 방안

예방 제어가 모든 경계선에 적용될 것을 권고하였다. 조직은 매니지드, 공유, 퍼블릭 환경 등에서도 취약점을 검색해야 한다.

 

합법적인 사용자, 운영차 혹은 개발자로 가장한 공격자는 데이터를 읽고 수정하고 삭제할 수 있다. 또한 제어 및 관리 기능을 통해 전송 중인 데이터를 엿보거나 합법적인 소스를 가장해 악의적인 소프트웨어를 배포할 수 있다.

결과적으로 ID, 자격 증명 또는 키 관리가 제대로 되지 않으면 데이터에 대한 무단 액세스를 허용하게 되고 조직이나 최종 사용자에게 치명적인 피해를 입힐 수 있다. 

 

참고 글

https://www.itworld.co.kr/news/125934

---

황치하, 양지언, 『클라우드X보안 실무 가이드』 (부천:프리렉, 2020)
책의 내용을 공부하고 정리한 글입니다.