클라우드 보안 Best Practices 총정리

클라우드 보안 Best Practices 총정리

클라우드 보안 사고의 99%는 사용자 실수에서 시작된다. 그렇다면 어떻게 막을 수 있을까?

들어가며

"클라우드를 사용하면 보안이 알아서 되는 거 아니야?" — 아직도 이런 오해를 하는 경우가 있다. 현실은 정반대에 가깝다. 2025년 기준으로 기업의 80%가 지난 1년 내 클라우드 보안 침해를 경험했고(IBM 2025), 전 세계 평균 데이터 침해 비용은 444만 달러에 달한다. AWS가 인프라 보안을 아무리 잘 해도, 고객이 S3 버킷을 퍼블릭으로 열어두거나 루트 키를 GitHub에 올리면 속수무책이다.

이 글에서는 28회 해킹방지워크샵에서 다룬 클라우드 보안 Best Practices와 실전 사고 유형별 대응 방안을 정리한다.

---

1. 클라우드 보안의 핵심 영역

클라우드 보안은 단일 솔루션이 아니라 여러 영역의 조합이다.

영역	설명
Identity & Access	자격 증명 관리, 최소 권한 원칙
Network Security	VPC, Security Group, NACL, WAF
Data Security	암호화, 데이터 분류, DLP
Operation Security	로깅, 모니터링, 패치 관리
Threat Management	위협 탐지, 인시던트 대응
DevSecOps	코드형 보안, 파이프라인 보안, IaC 보안
Disaster Recovery	백업, 복구 테스트
Governance	정책, 컴플라이언스, 감사
Application Security	SAST, DAST, 런타임 보호
Container Security	이미지 스캔, 런타임 보안, SBOM

---

2. 클라우드 보안 사고 유형과 대응 방안

실제 발생하는 보안 사고 유형별로 대응 방안을 정리한다.

2-1. 피싱 공격

공격자가 피싱 메일로 AWS 콘솔 자격 증명을 탈취하는 사례.

대응:

• MFA 필수 적용
• NAC(Network Access Control)를 업무 IP로 제한
• 허가된 SSO를 통한 접근만 허용

2-2. 계정 탈취 (Credential Theft)

소스코드에 하드코딩된 액세스 키가 유출되는 사례. 실제로 GitHub에 키가 업로드되면 7초 안에 탈취된다.

대응:

• 소스코드 내 자격 증명 하드코딩 절대 금지 + 자동 탐지 도구 적용
• MFA 적용
• NAC를 업무 IP로 제한
• 미사용 리전 Opt-out

2-3. SaaS 타겟 공격

SaaS 서비스를 대상으로 한 표적 공격.

대응:

• MFA 적용
• NAC 적용
• 엔드포인트 솔루션(EPP, EDR) 도입

2-4. 실수에 의한 데이터 유출

구글 드라이브를 "모든 사람이 볼 수 있음"으로 설정해 6년간 개인정보가 공개된 실제 사례가 있다.

대응:

• 외부 공개 전용 계정을 별도 구성
• 민감 정보/개인정보 자동 점검 솔루션 적용
• 상위 정책이 하위 정책보다 우선하는 차단 적용
• DLP 솔루션 도입

2-5. 랜섬웨어/멀웨어

대응:

• MFA + 불필요한 권한 제거 (최소 권한 원칙)
• 패치 및 업데이트 관리
• 랜섬웨어/멀웨어 스캔
• DNS 트래픽 제어 (C&C 서버 통신 차단)
• 런타임 모니터링
• Critical 워크로드 격리
• 데이터 백업/복구 — 스냅샷 기반 복구가 가장 효과적

2-6. 공급망 공격 (Supply Chain Attack)

오픈소스 라이브러리나 컨테이너 이미지를 통한 공격.

대응:

• 코드/컨테이너 이미지 레지스트리를 내부에서 생성 및 관리
• 코드/컨테이너 이미지 서명 적용
• 보안 점검 툴 3단계 적용: On-Push, Continuous, Manual
• 빌드 단계부터 취약한 패키지 제거, SBOM(Software Bill of Materials) 활용

2-7. 내부자에 의한 데이터 도난

대응:

• MFA + NAC
• 불필요한 권한 제거
• 클라우드 스토리지 암호화
• 암호화 키 권한을 별도로 구현 (데이터 접근 권한과 키 관리 권한 분리)

---

3. 우선 적용해야 할 핵심 보안 설정

아래 항목은 엔터프라이즈 환경에서는 필수이며, 개인/학습 환경에서도 무료 항목은 즉시 적용하는 것이 좋다. 유료 서비스의 경우 무료 체험 기간을 활용하여 비용 대비 효과를 판단하자.

체크리스트

• [ ] 루트 권한 사용하지 않기 (사용하지 않더라도 MFA 설정, 자격 증명 삭제)
• [ ] 모든 사용자 MFA 적용
• [ ] 연락처 최신화 및 대체 연락처 기입
• [ ] 단기 자격 증명(Role) 사용 — 장기 액세스 키 지양
• [ ] S3 BPA + VPC BPA 활성화
• [ ] CloudTrail — Organization 레벨로 빠짐없이 기록 (삭제 방지 설정)
• [ ] Security Group + NACL 이중 방어
• [ ] GuardDuty 활성화
• [ ] 백업 + 복구 테스트 정기 실행
• [ ] 자동화 — 수동 작업 최소화

Security Group vs. NACL — 왜 둘 다 필요한가?

특성	Security Group	NACL
상태 추적	Stateful (세션 기반)	Stateless (패킷 단위)
기본 동작	모든 트래픽 차단	모든 트래픽 허용
규칙 유형	허용만 가능	허용 + 차단 모두 가능
적용 레벨	인스턴스(ENI)	서브넷

핵심 포인트: Security Group에서 허용했다가 규칙을 삭제해도, 이미 수립된 세션은 유지된다. 이때 NACL로 차단해야 한다.

검증 도구:

• VPC Reachability Analyzer: 네트워크 경로 분석
• Network Access Analyzer: 의도하지 않은 네트워크 접근 탐지

---

4. 클라우드 보안 자동화 시나리오

수동 대응은 한계가 있다. 다음은 실전에서 적용할 수 있는 자동화 시나리오다.

#	시나리오	구현
1	의심스러운 호스트 자동 차단	GuardDuty → WAF 자동 차단
2	중앙 WAF 정책 제어	AWS Firewall Manager
3	루트 유저 로그인 알림	CloudTrail → EventBridge → SNS
4	액세스 키 자동 Rotation	Lambda + Secrets Manager
5	IAM Access Denied 이벤트 알림	CloudTrail → EventBridge → SNS
6	미사용 Key Pair 자동 삭제	Lambda 스케줄 작업
7	멀티 계정 보안 자동 대응	Security Hub + EventBridge + Lambda
8	멀웨어 탐지 대응	GuardDuty Malware Protection
9	민감 정보 탐지	Macie(S3), Inspector(EC2/EKS)
10	보안 대응 플레이북	AWS 공식 플레이북 템플릿 활용

---

5. 제로트러스트 — 유일한 해답

클라우드와 재택근무 환경에서 제로트러스트(Zero Trust)는 보안의 핵심 방향으로 자리잡고 있다. 특히 엔터프라이즈 환경에서는 도입을 적극 검토해야 한다.

제로트러스트 핵심 원칙

1. 모든 신원을 검증 — 사용자, 기기 등 접근 주체를 매번 인증
2. 최소 권한만 부여 — 필요한 만큼만, 필요한 시간만큼만
3. 모든 데이터를 보호 — 위치와 상태에 관계없이
4. 모든 트래픽 로그 수집 및 감사 — 네트워크, 워크로드, 데이터

SASE로 제로트러스트 구현

SASE(Secure Access Service Edge) 솔루션을 활용하면 장소에 구애받지 않고 각 디바이스에서 안전하게 네트워크/자원에 접속할 수 있다.

---

정리

클라우드 보안의 핵심은 다음 세 가지로 요약된다.

1. 전체적인 관점에서 클라우드 보안을 평가 — 한 영역만 잘하면 안 된다
2. 자동화된 보안 환경을 구축 — 수동 대응의 한계를 인정하라
3. 보안 정책 기반의 가시화 환경 구축 — 보이지 않는 것은 방어할 수 없다

---

2025년 주목할 변화: CNAPP(Cloud-Native Application Protection Platform)이 CSPM, CWPP, CIEM 등 개별 보안 도구를 통합하는 트렌드가 가속화되고 있다. Gartner 2025 CNAPP Market Guide에서는 SOC 통합을 필수 요건으로 지정했다. 제로트러스트 도입률은 글로벌 기업의 약 43%에 달하며, 시장 규모는 270억 달러(2025)로 성장했다.

---

이 글은 28회 해킹방지워크샵 발표 내용과 실무 경험을 기반으로 작성되었습니다. IBM 2025 데이터 침해 비용 보고서 및 Gartner 2025 CNAPP Market Guide 내용을 반영하여 업데이트되었습니다. 클라우드 보안 시리즈 [5/10]