클라우드 컴퓨팅 - 컴퓨터 보안 요구 사항

컴퓨터 보안은 시스템과 데이터를 보호하기 위한 필수적인 요소로, 기밀성, 무결성, 가용성이라는 세 가지 핵심 원칙을 따릅니다. 기밀성은 정보에 접근할 수 있는 권한이 있는 사용자만 해당 정보를 열람할 수 있도록 보장하며, 무결성은 정보가 허가된 사용자에 의해서만 수정되거나 삭제되도록 보장합니다. 가용성은 시스템이 필요할 때 언제든지 사용할 수 있도록 보장하는 것을 의미합니다.

보안의 다른 중요한 개념으로는, 데이터가 신뢰할 수 있는 출처에서 왔음을 보장하는 진정성과 사용자 인증 및 접근 권한을 효과적으로 관리하는 인증 및 접근 권한 관리가 있습니다. 주요 위협 요소에는 변조 공격, DDoS, 비밀번호 탈취 등이 있으며, 이를 방지하기 위해 암호화, 해싱, 디지털 서명, 트래픽 모니터링 등의 기술이 사용됩니다. 특히 클라우드 및 가상화 환경에서는 경계 모호성과 멀티 테넌시로 인해 추가적인 보안 대책이 필요합니다.

보안 요구 사항

• 기밀성 (Confidentiality): 허가된 사용자나 시스템만이 특정 정보에 접근할 수 있도록 보장하는 것.
  예: 암호화된 통신, 접근 제어 리스트(ACL).
• 무결성 (Integrity): 허가된 사용자나 시스템만이 특정 정보를 수정하거나 삭제할 수 있으며, 정보가 변경되지 않았음을 보장하는 것.
  예: 디지털 서명, 해시 함수.
• 가용성 (Availability): 사용자나 시스템이 필요할 때 언제든지 정보나 자원에 접근할 수 있도록 보장하는 것.
  예: 서버 과부하 방지, 백업 시스템.
• 진정성 (Authenticity): 데이터가 신뢰할 수 있는 출처에서 왔음을 확인할 수 있는 것.
  예: 디지털 인증서, 전자 서명.

 

위협 요소

• 변조 공격: 데이터가 허가 없이 변경되거나 조작되는 공격.
  해결: 무결성 보장 메커니즘, 디지털 서명.
• 식별자 관리: 사용자 식별 정보(ID, 비밀번호 등)의 부적절한 관리로 발생하는 위협.
  해결: 강력한 인증 시스템, 다중 인증(MFA), 인증 토큰 및 생체 인증 활용.
• DDoS (Distributed Denial of Service): 서버나 네트워크에 과도한 트래픽을 유발해 서비스를 마비시키는 공격.
  해결: 트래픽 모니터링, 방어 시스템 구축.

 

네트워크 관련 위협

• 경계 모호성: 클라우드 환경에서 경계가 명확하지 않아 발생하는 보안 위협.
  해결: 보안 정책 강화를 통한 접근 제어.
• 멀웨어 주입 공격: 악성 소프트웨어를 시스템에 주입하여 발생하는 공격.
  해결: VPN 사용, 멀웨어 탐지 시스템 구축.

 

서비스 관련 위협

• 사이버 스파이 및 지능형 지속 공격 (APT): 특정 정보를 탈취하거나 장기적으로 시스템을 침해하는 공격.
  해결: 실시간 모니터링, 위협 인텔리전스 도입.

 

가상화 관련 위협

• 가상 머신 이미지 변조 및 악성 코드 주입: 가상 머신 이미지 파일이 변조되거나 악성 코드가 삽입되는 위협.
  해결: 이미지 파일의 무결성 검증, 이미지 저장소 보안 강화.

 

인증 및 접근 권한 관련 위협

• 비밀번호 탈취: 비밀번호를 탈취하여 권한을 부여받지 않은 사용자가 시스템에 접근하는 위협.
  해결: 통합 인증 시스템 도입, 접근 권한 관리 시스템 강화.

 

가용성 관련 위협

• 서버 과부하 공격 (DoS/DDoS): 과도한 트래픽으로 서버를 마비시켜 가용성을 저하시키는 공격.
  해결: 트래픽 분산 시스템, 방어 메커니즘 구축.

 

중첩된 신뢰 관계 위협

• 멀티 테넌시: 클라우드 환경에서 서로 다른 고객의 데이터가 공유되면서 발생하는 신뢰 관계 위협.
  해결: 자원 격리, 접근 제어 정책 강화.

 

설계 / 구현 / 설정 관련 위협

• 잘못된 소프트웨어 설계 및 구현: 보안이 고려되지 않은 설계 및 구현으로 인해 발생하는 위험.
  해결: 보안 중심 설계 및 구현, 코드 검토.

 

컴플라이언스 관련 위협

• 법규 준수 미흡: 서비스 제공 과정에서 법적 규제를 준수하지 않아 발생하는 위협.
  해결: 준법 감시 시스템 구축, 외부 감사 및 규제 준수 검토.

 

보안 기술

• 암호화: 데이터 보호를 위해 정보 자체를 암호화하는 방법.
• 해싱: 데이터의 무결성을 보장하기 위한 고유한 값 생성.
• 디지털 서명: 암호화된 해시 값을 통해 데이터의 신뢰성을 보장.
• 트래픽 모니터링: 네트워크 트래픽을 실시간으로 감시하여 위협을 탐지.
• HTTPS: 안전한 웹 통신을 위해 암호화된 프로토콜 사용.