[데이터넷] 사이버 범죄 시장은 지속적으로 커지고 있다. 딜로이트는 전 세계 사이버 범죄 복구 비용이 2021년 말 6조달러에서 2025년 10조5000억달러로 증가할 것이라고 내다봤다. 2023년에는 이 규모가 훨씬 더 커질 것으로 보인다. 장기화되는 러시아-우크라이나 전쟁, 불안정한 국내외 정치상황, 심각한 인플레이션 등이 경제위기를 고조시킬 것으로 보인다. 경기가 위축되면 기업의 투자가 줄어들며, 당연히 보안 투자도 줄어든다. 공격은 진화하는데 보안은 제자리에 있으면 사이버 위협은 높아질 수 밖에 없다. 2023년 한층 더 심화될 것으로 보이는 대표적인 위협 사례를 소개한다. <편집자>
사이버 위협 인텔리전스 서비스 기업 SOC레이더가 ‘블루블리드’라고 명명한 사고가 클라우드 운영에 큰 타격을 주었다. 클라우드 서비스 사업자(CSP)가 운영하는 스토리지 오류로 민감 데이터가 유출되고 있다는 것이었다. SOC레이더는 10월 애저 블랍 스토리지의 구성오류로 111개국 6만5000개 이상 기업의 민감데이터가 유출됐다고 공개했으며, 다른 CSP의 사고도 분석이 끝나는대로 공개한다고 발표했다.
클라우드 보안사고의 대부분은 사용자 실수로 인한 것이지만, CSP로 인한 사고도 적지 않다. 대형 CSP조차 장애와 운영상 실수, 해킹으로 사고를 일으키고 있는데, 사업자들은 서비스수준준수(SLA)를 들어 피해를 온전히 보상하지 않는다. 따라서 클라우드 사용 시 반드시 SLA를 확인해야 하며, 백업 시스템을 마련해 장애 시 비즈니스 중단을 막아야 한다.
대부분의 클라우드 사고 원인은 사용자 실수
CSP에 의한 사고가 많은 것은 사실이지만, 여전히 많은 사고가 사용자로 인해 발생한다. 클라우드는 쉽게 사용할 수 있기 때문에 허가되지 않은 서비스 사용이 늘어난다. 어디서나 쉽게 접속할 수 있기 때문에 공격표면이 증가한다. 트렌드마이크로는 클라우드의 일관되지 않은 확장성도 문제라고 지적했다. 클라우드에 설치된 도구를 이용하는 LotC(Living off the Cloud)는 기존 보안 툴에서 탐지되지 않기 때문에 공격자들이 선호한다.
클라우드에서 가장 문제가 되는 것은 설정 오류다. 여러 클라우드를 사용할 때 관리환경이 통합되지 않고, 여러 클라우드를 사용하면서 생기는 정책 충돌과 오류 등으로 인한 보안위협이 가장 빈번하게 나타나는 문제다.
데이터 보호는 클라우드 이용을 주저하게 되는 가장 중요한 문제다. 클라우드에 데이터를 저장하면서 암호화 하지 않고, 접근권한을 잘못 설정해 누구나 중요 데이터에 접근하도록 한 것이 가장 흔하게 일어나는 사고다. 데이터 유출 사고로 인해 고객피해를 보상하고, 기밀정보 공개로 인한 경쟁력 악화 뿐 아니라 개인정보 보호 규제 위반으로 과징금을 부과받고 고객의 신뢰를 잃게 되는 것도 문제다.
계정관리 실패도 심각하다. 클라우드는 보안 경계가 없기 때문에 ID를 중심으로 보안정책을 설정한다. 계정을 탈취한 공격자가 정상 사용자로 위장해 권한 내에서 의심스러운 활동을 하는 것을 복잡한 클라우드에서는 탐지하기 어렵다.
컨테이너 취약점도 문제다. 클라우드 서비스 개발 시 개발자 커뮤니티에서 컨테이너 이미지를 가져오는데, 이 이미지에 취약점이 있으면 공격당할 수 있다. 최근에는 IaC가 유행하면서 취약점이 있는 코드로 인프라를 구성해 심각한 사고가 일어날 가능성이 높아졌다.
API는 클라우드가 확산될수록 위험도가 높아진다. 클라우드 서비스 하나에 수많은 API가 사용되는데, API 설정오류, 권한관리 실패, API에 내재된 취약점 등으로 인한 사고가 일어날 가능성이 높다.
멀티 클라우드는 복잡성이 높고 가시성이 떨어지기 때문에 보안운영이 어렵다. 회사 밖에서 근무하면서 퍼블릭 클라우드에 데이터를 업로드한다면 보안조직은 이를 인지하기 어렵다. 퍼블릭 클라우드에서 일어나는 이상행위를 탐지할 수 없고, 잘못된 접근이나 권한통제도 쉽지 않다. 그래서 클라우드 엣지에서 보안을 관리하는 SSE가 유행하고 있는데, SSE에 통합되는 기능은 제한적이다. SSE는 분산된 환경의 사용자를 통제하고 행위를 분석해 이상정황을 파악하는 기술로 이해하며, 그 외의 다른 클라우드 보안 문제를 해결할 수 있는 대안을 함께 병행해야 한다.
