2. 보안/7. 클라우드 보안

[보안_GPT] 클라우드 보안이란?

isaacToast 2025. 11. 14. 10:25
반응형

클라우드 보안(Cloud Security)은 AWS·Azure·GCP 같은 클라우드 환경에서 서버, 네트워크, 스토리지, 계정, 데이터 등을 안전하게 운영하기 위한 모든 보안 활동을 말해.
쉽게 말하면 **“클라우드에 만든 모든 자원을 해킹·노출·오설정으로부터 지키는 것”**이야.

온프레미스 보안이 “내가 직접 구축한 IDC 환경을 보호”하는 거라면,
➡️ 클라우드 보안은 CSP(AWS 등)의 인프라 위에서 내가 만든 설정을 안전하게 유지하는 보안.

☁️ 클라우드 보안이란? (실무 기준)

1️⃣ IAM 보안 (가장 중요!)

  • 계정·권한·역할(Role) 최소 권한(Least Privilege)
  • Root 계정 미사용
  • MFA 필수화
  • API Key, Access Key 노출 방지
  • 세분화된 권한 정책

➡️ 클라우드는 권한만 뚫려도 전체가 해킹됨.

2️⃣ 네트워크 보안 (VPC / Security Group / NACL)

  • VPC/Subnet 설계
  • Security Group 최소 허용
  • DB는 반드시 내부망에서만 접근
  • Bastion Host, VPN
  • Public Exposure(공개 노출) 방지

➡️ 보안 사고 대부분이 Security Group 0.0.0.0/0 오픈에서 발생.

3️⃣ 스토리지(버킷) 보안

  • S3 버킷 Public off
  • 버킷 암호화(SSE-KMS)
  • 버전 관리 / MFA 삭제 방지
  • 접근 정책 제한
  • 개인정보 저장 시 암호화 필수

➡️ S3 퍼블릭 오픈은 클라우드 보안 사고 1위.

4️⃣ 데이터 암호화 & 키 관리(KMS)

  • 저장·전송 구간 암호화
  • KMS로 키 중앙 관리
  • 키 접근 권한 분리
  • 민감정보는 별도 암호화 적용

➡️ 데이터 보안 = 클라우드에서의 필수 기본기.

5️⃣ 서버(EC2) 보안

  • OS 보안 설정
  • 패치 자동화(SSM Patch Manager)
  • EDR/백신 설치
  • IAM Role 기반 접근
  • SSH 키 관리 / Bastion 사용

➡️ “클라우드에 올린 서버라고 해서 자동으로 안전한 건 아님.”

6️⃣ 컨테이너 · 쿠버네티스(K8s) 보안

  • EKS/GKE/AKS 권한 관리
  • 이미지 취약점 스캔
  • Pod Security Policy
  • Secret 암호화
  • 네트워크 정책

➡️ 요즘 서비스 대부분이 컨테이너 기반이라 매우 중요.

7️⃣ 서버리스 보안 (Lambda 등)

  • IAM Role 최소화
  • 환경변수 Secrets 관리
  • Timeout / Network 설정
  • CloudTrail로 실행 기록 로깅

➡️ 서버리스는 서버가 없을 뿐 코드·권한 보안은 여전히 필요함.

8️⃣ 로그·모니터링·관제

  • CloudTrail · CloudWatch 필수
  • Config로 리소스 변경 추적
  • GuardDuty로 위협 탐지
  • SIEM 연동

➡️ 클라우드는 “로그 기반” 위협 탐지가 필수.

9️⃣ CSPM · CWPP 같은 클라우드 보안 솔루션

  • CSPM: 설정 오류(오설정) 자동 점검
    (예: S3 퍼블릭 오픈 감지)
  • CWPP: 워크로드 보안(서버/컨테이너 보호)
  • CASB: SaaS 접근·데이터 보안

➡️ 클라우드는 **오설정(Misconfiguration)**이 가장 흔한 사고 원인.

🔟 보안 규정 & 거버넌스

  • ISMS, ISO27001 클라우드 항목
  • 데이터 분류 정책
  • 리소스 태깅(Tagging)
  • 개발→배포 CICD 보안 파이프라인

➡️ 큰 회사일수록 클라우드 보안은 정책과 프로세스가 중요함.

🎯 한 문장 요약

클라우드 보안 = 클라우드에서 운영되는 계정·네트워크·서버·데이터·스토리지·컨테이너·서버리스를 안전하게 구성하고, 오설정 없이 지속적으로 모니터링하는 보안.

반응형