0Pricing
Cloud & IT Cert Prep · 강의

클라우드 저장소 보안과 데이터 노출 위험

잘못 구성된 S3 버킷, Azure Blob 컨테이너, GCS 버킷이 데이터 노출로 이어지는 방식과 버킷 정책 및 접근 제어를 적용하는 방법을 학습합니다.

클라우드 저장소 보안과 데이터 노출 위험은(는) CoddyKit의 무료 Cloud & IT Cert Prep 강의입니다. 이것은 4개 중 2번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cloud & IT Cert Prep 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cloud & IT Cert Prep 강의에는 총 4개의 강의가 포함되어 있습니다.

클라우드 Object Storage 기초

클라우드 Object Storage인 AWS S3, Azure Blob Storage, Google Cloud Storage (GCS)는 파일을 bucket 또는 컨테이너라고 하는 평면 네임스페이스의 Object로 저장합니다. 기존 파일 시스템과 달리 권한은 파일 시스템 ACL이 아니라 bucket과 Object에 연결된 policy를 통해 제어됩니다. Object Storage는 대규모 데이터에 적합하지만, 권한을 신중하게 구성해야 합니다. bucket 하나만 잘못 구성해도 수 테라바이트의 민감한 데이터가 공용 인터넷에 노출될 수 있기 때문입니다.

공개 bucket 잘못된 구성

가장 흔한 클라우드 스토리지 취약점은 공개적으로 액세스 가능한 bucket입니다. 이는 access policy가 익명 읽기 access(또는 쓰기 access)를 허용하는 스토리지 bucket을 의미합니다. 이러한 잘못된 구성은 수십 건의 대규모 침해 사고를 일으켰습니다. 예를 들어 Verizon에서는 고객 기록 1,400만 건, FedEx에서는 여권 119,000건, Capital One에서는 신용카드 신청서 1억 건이 노출되었습니다. 공격자는 알려진 모든 AWS 계정 명명 패턴을 대상으로 자동화된 스캐너를 사용하므로, 잘못된 구성이 존재하면 쉽게 발견할 수 있습니다.

# Check if S3 bucket is publicly accessible
aws s3api get-bucket-policy --bucket my-bucket
aws s3api get-bucket-acl --bucket my-bucket

# Block all public access (AWS recommended default)
aws s3api put-public-access-block \
  --bucket my-bucket \
  --public-access-block-configuration \
  'BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true'

bucket policy와 ACL 비교

클라우드 스토리지는 서로 충돌할 수 있는 두 가지 access 통제를 사용합니다. bucket policy는 bucket에 연결된 JSON 문서로, 어떤 Principal이 어떤 Action을 수행할 수 있는지 정의합니다. Access Control Lists(ACL)는 Object별로 권한을 부여하는 기존 방식입니다. AWS는 일관성을 위해 ACL을 비활성화하고 bucket policy를 사용할 것을 권장합니다. 둘 다 존재하는 경우 가장 광범위하게 허용하는 policy가 적용됩니다. 즉, bucket policy가 access를 제한하더라도 지나치게 허용적인 ACL이 공용 access를 부여할 수 있습니다.

# S3 bucket policy example — restrict to specific account
{
  'Version': '2012-10-17',
  'Statement': [{
    'Effect': 'Allow',
    'Principal': { 'AWS': 'arn:aws:iam::123456789012:root' },
    'Action': 's3:GetObject',
    'Resource': 'arn:aws:s3:::my-bucket/*'
  }]
}
# All other principals implicitly denied

Object Storage의 저장 중 암호화

클라우드 스토리지 제공업체는 저장 중인 Object에 서버 측 암호화를 제공합니다. SSE-S3(AWS)는 AWS가 관리하는 키를 자동으로 사용합니다. SSE-KMS는 AWS Key Management Service에서 고객이 관리하는 키를 사용하여 더 나은 감사 추적(모든 복호화가 CloudTrail에 기록됨)과 키 교체 제어를 제공합니다. SSE-C는 고객이 제공하고 AWS 외부에서 전적으로 관리하는 키를 사용합니다. 민감한 데이터에는 고객 관리 키를 사용하는 SSE-KMS가 가장 강력한 제어와 규정 준수 증거를 제공합니다.

# Enforce encryption on S3 bucket (deny unencrypted uploads)
{
  'Effect': 'Deny',
  'Principal': '*',
  'Action': 's3:PutObject',
  'Resource': 'arn:aws:s3:::my-secure-bucket/*',
  'Condition': {
    'StringNotEquals': {
      's3:x-amz-server-side-encryption': 'aws:kms'
    }
  }
}

전송 중 암호화

저장 중인 데이터가 제대로 암호화되어 있어도 암호화되지 않은 채널을 통해 전송되면 노출될 수 있습니다. 모든 클라우드 스토리지 API는 반드시 HTTPS/TLS를 통해서만 액세스해야 합니다. S3에서는 bucket policy가 aws:SecureTransport: false인 요청을 거부하여 HTTPS를 강제할 수 있습니다. 미리 서명된 URL은 Object에 대한 시간 제한 access를 부여하는 임시 인증 URL이므로 항상 HTTPS를 사용하고 짧은 만료 시간으로 구성해야 합니다. URL이 가로채어졌을 때 노출되는 시간을 최소화할 수 있기 때문입니다.

# S3 bucket policy — deny HTTP (require HTTPS)
{
  'Effect': 'Deny',
  'Principal': '*',
  'Action': 's3:*',
  'Resource': ['arn:aws:s3:::my-bucket', 'arn:aws:s3:::my-bucket/*'],
  'Condition': {
    'Bool': { 'aws:SecureTransport': 'false' }
  }
}

데이터 분류와 스토리지 계층

모든 데이터에 동일한 수준의 보호가 필요한 것은 아닙니다. 민감한 데이터(PII, PHI, 금융 기록)는 암호화되고 access가 제한된 bucket에 저장해야 하며 감사 로그 기록을 활성화해야 합니다. 덜 민감한 데이터에는 더 광범위한 access를 허용할 수 있습니다. 데이터 분류 레이블은 Object를 생성할 때 적용하고, 적절히 구성된 스토리지로 데이터를 자동 라우팅하는 데 사용해야 합니다. 분류 태그를 기준으로 데이터를 더 안전한 스토리지로 자동 이동하는 policy를 사용하면 민감한 데이터가 보안 수준이 낮은 bucket에 저장될 가능성을 줄일 수 있습니다.

클라우드 스토리지 access의 로그 기록 및 모니터링

access 로그 기록은 사후에 무단 access를 탐지하고 규정 준수 감사를 수행하는 데 매우 중요합니다. AWS S3 access 로그와 CloudTrail 데이터 이벤트 로그 기록은 Object 수준의 모든 API 호출을 기록합니다. 즉, 누가 어떤 IP에서 언제 Object를 요청했는지를 기록합니다. Azure Blob 진단 로그와 GCS 감사 로그도 유사한 기능을 제공합니다. 이러한 로그가 없으면 데이터 침해가 발견되었을 때 포렌식 증거가 남지 않아 노출 범위를 파악할 수 없습니다.

# Enable S3 access logging
aws s3api put-bucket-logging \
  --bucket my-bucket \
  --bucket-logging-status '{
    "LoggingEnabled": {
      "TargetBucket": "my-access-logs-bucket",
      "TargetPrefix": "my-bucket-logs/"
    }
  }'

계정 간 access 위험

클라우드 스토리지는 여러 계정(dev, staging, production 및 제3자 파트너)에서 공유되는 경우가 많습니다. 부주의하게 구성된 계정 간 access는 과도한 권한을 부여할 수 있습니다. Best Practice에는 와일드카드 Principal 대신 bucket policy에 명시적인 계정 ID를 사용하는 것, AWS Organizations SCP를 사용하여 외부 계정에 access를 부여할 수 있는 범위 자체를 제한하는 것, 계정 간 권한 부여를 정기적으로 감사하는 것, 계정 간 데이터 전송에 공용 인터넷 access보다 AWS PrivateLink를 우선하는 것이 포함됩니다.

버전 관리와 삭제 보호

Object 버전 관리는 삭제된 버전을 포함하여 Object의 모든 버전을 유지합니다. 이를 통해 실수로 인한 삭제, 랜섬웨어에 의한 Object 암호화, 내부자 위협으로부터 보호할 수 있습니다. 중요한 데이터에는 버전 관리를 Object Lock(S3 Glacier Vault Lock에 해당)과 함께 사용하십시오. 이는 정의된 보존 기간 동안 삭제나 수정을 방지하는 WORM(Write Once, Read Many) policy입니다. Object Lock은 금융 및 의료 산업에서 변경 불가능한 기록에 대한 규제 requirement를 충족하는 데 도움이 됩니다.

# Enable S3 versioning
aws s3api put-bucket-versioning \
  --bucket my-critical-bucket \
  --versioning-configuration Status=Enabled

# Enable Object Lock (immutable storage)
aws s3api put-object-lock-configuration \
  --bucket my-critical-bucket \
  --object-lock-configuration \
  'ObjectLockEnabled=Enabled,Rule={DefaultRetention={Mode=COMPLIANCE,Days=365}}'

스토리지 잘못된 구성의 CSPM 탐지

Cloud Security Posture Management(CSPM) 도구는 클라우드 스토리지 구성을 보안 기준과 자동으로 비교하여 검사합니다. CSPM 검사 항목에는 다음이 포함됩니다. 공개적으로 액세스 가능한 bucket이 있는가? 저장 중 암호화가 활성화되어 있는가? 로그 기록이 활성화되어 있는가? 중요한 bucket에서 버전 관리가 활성화되어 있는가? bucket policy가 지나치게 허용적인가? Prisma Cloud, Wiz, AWS Security Hub와 같은 CSPM 도구는 지속적인 규정 준수 모니터링을 제공하고, 공격자가 먼저 발견하기 전에 구성 변경을 탐지하여 경고합니다.

미리 서명된 URL과 임시 access

미리 서명된 URL은 수신자에게 AWS 자격 증명이 없어도 특정 Object에 대한 시간 제한 access를 부여합니다. 외부 당사자와 파일을 공유할 때 유용합니다. 보안 위험으로는 의도한 공유 기간이 지난 뒤에도 유지되는 지나치게 긴 만료 시간, 수신자가 의도한 대상 외부로 URL을 전달하는 경우, URL에 포함된 토큰이 서버 로그에 나타나는 경우가 있습니다. 항상 가능한 한 짧은 만료 시간을 설정하고 미리 서명된 URL을 로그에 기록하지 않도록 하십시오.

# Generate a pre-signed URL (expires in 3600 seconds)
aws s3 presign s3://my-bucket/report.pdf \
  --expires-in 3600

# Returns a URL valid for 1 hour
# After expiry, the URL returns 403 Forbidden
# Best practice: shortest expiry viable for the use case

빠른 확인

이 lesson에서 다룬 CompTIA Security+ (SY0-701) 개념을 이해했는지 확인해 보십시오.

lesson 요약

이 lesson에서는 다음을 배웠습니다. 공개 bucket의 잘못된 구성은 클라우드 스토리지 데이터 침해의 가장 흔한 원인입니다. SSE-KMS는 CloudTrail을 통한 감사 로그 기록과 함께 가장 강력한 암호화 제어를 제공합니다. 또한 Object 버전 관리와 Object Lock을 함께 사용하면 중요한 데이터를 랜섬웨어와 내부자의 삭제로부터 보호할 수 있습니다. 다음에는 IAM 역할과 서비스 계정을 활용한 클라우드 자격 증명 관리를 살펴보겠습니다.

자주 묻는 질문

“클라우드 저장소 보안과 데이터 노출 위험” 강의는 무료인가요?

네 — “클라우드 저장소 보안과 데이터 노출 위험” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cloud & IT Cert Prep 강의 전체를 잠금 해제할 수 있습니다. Cloud & IT Cert Prep 강의에는 총 4개의 강의가 포함되어 있습니다.

“클라우드 저장소 보안과 데이터 노출 위험”에서 뭘 배우나요?

잘못 구성된 S3 버킷, Azure Blob 컨테이너, GCS 버킷이 데이터 노출로 이어지는 방식과 버킷 정책 및 접근 제어를 적용하는 방법을 학습합니다. 브라우저에서 직접 실행하는 실습 코드로 Cloud & IT Cert Prep을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cloud & IT Cert Prep을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cloud & IT Cert Prep은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 2번째 강의입니다.

“클라우드 저장소 보안과 데이터 노출 위험” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cloud & IT Cert Prep 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cloud & IT Cert Prep 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

  1. 공동 책임 모델: IaaS, PaaS, SaaS
  2. 클라우드 저장소 보안과 데이터 노출 위험
  3. 클라우드 ID: IAM 역할과 서비스 계정
  4. 클라우드 보안 상태 관리(CSPM)
← Cloud & IT Cert Prep(으)로 돌아가기