S3, EBS, RDS 저장 데이터 암호화

저장 데이터 암호화는 디스크에 저장된 데이터를 보호하여 도난당한 저장 매체나 스냅샷을 읽을 수 없게 합니다.

AWS 스토리지 서비스는 KMS와 통합되어 데이터를 투명하게 암호화합니다. 애플리케이션에는 일반 데이터로 보이며, 암호화는 내부에서 자동으로 수행됩니다.

Amazon S3는 여러 서버 측 암호화(SSE) 옵션을 제공합니다.

• SSE-S3: S3가 키를 완전히 관리합니다(AES-256). 현재 기본값입니다.
• SSE-KMS: KMS에 키를 저장하며 감사와 액세스 제어를 제공합니다.
• SSE-C: 각 요청마다 사용자가 키를 제공합니다.

제어 요구 사항에 따라 SSE 모드를 선택하십시오.

• CloudTrail과 키 정책을 통한 감사 및 키 액세스 제어가 필요하면 SSE-KMS를 사용합니다.
• 간단한 자동 암호화에는 SSE-S3를 사용합니다.
• 키를 직접 보관해야 하면 SSE-C를 사용합니다.

SSE-KMS는 객체마다 KMS를 호출하므로 대규모 환경에서는 비용이 많이 들 수 있습니다. S3 버킷 키를 사용하면 이를 크게 줄일 수 있습니다.

수명이 짧은 버킷 수준 데이터 키 하나가 여러 객체를 처리하므로 KMS 기반 암호화는 유지하면서 KMS 요청과 비용을 최대 99%까지 줄일 수 있습니다.

EBS(Elastic Block Store) 볼륨은 KMS로 암호화할 수 있습니다.

• 암호화는 볼륨, 볼륨의 스냅샷, 볼륨과 인스턴스 사이에서 전송되는 데이터를 포함합니다.
• EC2 인스턴스에는 투명하게 처리되며 성능 영향은 무시할 수 있을 정도로 작습니다.

암호화되지 않은 기존 EBS 볼륨은 직접 암호화할 수 없습니다. 대신 다음을 수행하십시오.

• 스냅샷을 생성하고, 암호화를 활성화한 상태로 복사한 다음 암호화된 복사본으로 새 볼륨을 생성합니다.

계정 또는 리전 수준에서 기본 EBS 암호화를 활성화하면 암호화되지 않은 새 볼륨이 생성되는 것을 방지할 수 있습니다.

RDS(Relational Database Service)는 KMS를 사용해 데이터베이스 스토리지, 자동 백업, 읽기 전용 복제본 및 스냅샷을 암호화합니다.

• 암호화는 생성할 때 설정해야 합니다.
• 암호화되지 않은 기존 인스턴스를 암호화하려면 스냅샷에서 암호화된 복사본을 복원하십시오.

시험에서 중요한 핵심 사항: 암호화 상태는 스냅샷에도 적용됩니다.

• 암호화된 볼륨 또는 DB의 스냅샷은 동일한 키로 암호화됩니다.
• 암호화된 스냅샷을 계정 간에 공유하려면 KMS 키도 함께 공유해야 합니다.

대부분의 스토리지 및 데이터베이스 서비스는 다음을 포함하여 KMS 저장 데이터 암호화를 지원합니다.

• DynamoDB, EFS, Redshift, SQS, SNS, 시크릿 매니저.

방식은 일관됩니다. KMS 키를 선택하면 서비스가 봉투 암호화를 투명하게 처리합니다.

암호화하면 속도가 느려질까 걱정하는 경우가 많습니다. 실제로 EBS, S3, RDS의 KMS 기반 암호화는 성능에 미치는 영향이 무시할 수 있을 만큼 작고 투명하게 작동합니다.

애플리케이션은 코드를 변경할 필요가 없습니다. 서비스가 내부적으로 암호화하는 동안 애플리케이션은 평소처럼 읽고 씁니다. 따라서 성능을 이유로 데이터를 암호화하지 않을 핑계가 사라집니다.

다음을 사용하여 암호화를 확인하고 강제할 수 있습니다.

• s3-bucket-server-side-encryption-enabled 및 encrypted-volumes 같은 AWS 구성 규칙.
• 암호화되지 않은 리소스를 표시하는 보안 허브 표준.

이러한 도구는 암호화되지 않은 채로 누락된 모든 리소스를 지속적으로 찾아냅니다.

저장 데이터 암호화에 대해 학습했습니다.

• S3는 SSE-S3, SSE-KMS, SSE-C를 제공하며, 버킷 키는 KMS 비용을 줄입니다.
• EBS 및 RDS는 KMS를 사용하며, 암호화는 생성 시 설정되고 스냅샷에도 적용됩니다.
• 구성 규칙과 보안 허브는 모든 곳의 암호화를 확인합니다.