클라우드 공격 표면

클라우드에서는 공급자가 인프라를 보호하고 고객이 구성, ID, 데이터를 보호합니다. 대부분의 침해 사고는 이 경계에서 고객 측의 문제로 발생합니다.

• 공급자는 하이퍼바이저를 업데이트하고 물리적 보안을 담당합니다.
• 고객은 IAM 정책, 저장소 권한, 네트워크 규칙을 관리합니다.
• 공급자 침해가 아니라 구성 오류가 가장 큰 위험입니다.

클라우드에는 전통적인 네트워크 경계가 없습니다. 접근은 IAM의 사용자, 역할, 정책, 키를 통해 관리됩니다. 유출된 접근 키는 탈취한 도메인 관리자 비밀번호만큼 큰 피해를 줄 수 있습니다.

• IAM 정책은 리소스에 수행할 작업을 부여합니다.
• 역할을 사용하면 서비스와 사용자가 임시 자격 증명을 사용할 수 있습니다.
• 과도한 권한이 부여된 ID가 주요 권한 상승 경로입니다.

클라우드 자격 증명은 끊임없이 유출됩니다. 일반적인 출처는 다음과 같습니다.

• 공개 Git 저장소에 커밋된 접근 키
• 모바일 앱, CI 로그 또는 컨테이너 이미지에 하드코딩된 키
• 메타데이터 서비스에 도달하는 서버 측 요청 위조(SSRF)
• 단기간 유효한 역할 대신 장기간 유효한 키를 지나치게 광범위하게 공유하는 것

모든 클라우드 인스턴스는 임시 역할 자격 증명을 제공할 수 있는 메타데이터 엔드포인트를 노출합니다. 해당 엔드포인트에 접근할 수 있는 VM에서 SSRF 또는 RCE가 발생하면 인스턴스 역할을 획득하는 경우가 많습니다.

• AWS IMDS는 169.254.169.254에서 실행됩니다.
• IMDSv1은 요청만 허용하므로 SSRF를 통해 쉽게 악용할 수 있습니다.
• IMDSv2는 세션 토큰을 요구하므로(먼저 PUT을 수행한 다음 GET 수행) 많은 SSRF 공격의 효과를 줄입니다.

객체 저장소(S3, GCS, Azure Blob)는 반복적으로 데이터 노출을 일으키는 원인입니다.

• 공개 읽기가 허용된 버킷에서는 민감한 파일이 유출됩니다.
• 공개 쓰기가 허용된 버킷에서는 변조하거나 악성 코드를 호스팅할 수 있습니다.
• 지나치게 광범위한 버킷 정책 또는 ACL로 인해 인증된 사용자가 액세스할 수 있습니다.
• 만료 기간이 긴 사전 서명 URL에서는 지속적인 액세스 권한이 유출됩니다.

클라우드 네트워크 제어 기능(Security Groups, NSGs, 방화벽 규칙)은 쉽게 과도하게 개방됩니다.

• 데이터베이스 또는 관리 포트가 0.0.0.0/0에 노출됩니다.
• 관리 영역(Kubernetes API, RDP, SSH)에 인터넷에서 접근할 수 있습니다.
• 내부 서비스가 인증 없이 VPC를 암묵적으로 신뢰합니다.

서버리스는 위험을 없애는 것이 아니라 위험의 위치를 바꿉니다. 함수, 큐, 관리형 데이터베이스에는 각각 실행 주체가 있습니다.

• Lambda의 실행 역할에 필요 이상의 권한이 부여될 수 있습니다.
• 환경 변수에는 침해 시 읽을 수 있는 비밀 정보가 저장되는 경우가 많습니다.
• 이벤트 소스의 구성 오류로 인해 신뢰할 수 없는 입력이 권한이 높은 함수를 실행하게 될 수 있습니다.

두 공격 표면을 구분해야 합니다.

• 제어 영역: 클라우드 API입니다(리소스 생성, IAM 수정, 구성 읽기). 이 영역이 침해되면 계정 전체가 영향을 받습니다.
• 데이터 영역: 애플리케이션, VM, 컨테이너와 같은 워크로드 자체입니다.

데이터 영역의 거점에서 제어 영역 자격 증명을 얻는 것이 전형적인 클라우드 권한 상승 방식입니다.

대규모 조직은 워크로드를 여러 계정, 구독, 프로젝트로 나눕니다.

• 신뢰 정책이 취약한 계정 간 역할을 이용하면 다른 환경으로 이동할 수 있습니다.
• 타사 통합 역할의 혼동된 대리인 문제가 악용될 수 있습니다.
• 조직 수준의 역할(예: OrganizationAccountAccessRole)은 가치가 높습니다.

방어자는 클라우드 기본 제공 로그에 의존합니다. 공격자는 이러한 로그를 무력화하려고 합니다.

• CloudTrail / 활동 로그 / 감사 로그는 제어 영역 호출을 기록합니다.
• 공격자는 추적 기능을 비활성화하거나 로그 전송을 중지할 수 있습니다.
• GuardDuty / 보안 명령 센터 / Defender는 이상 징후를 표시합니다.

로그 기록을 비활성화하는 행위 자체가 강력한 신호이므로 경보를 설정할 가치가 있습니다.

클라우드 침투 테스트에는 제공업체의 인지와 승인이 필요합니다. 일부 작업(서비스 거부, 특정 스캔 등)은 제공업체 약관을 위반합니다. 항상 계정 소유권을 확인하고 영향 범위에 합의한 뒤, 먼저 읽기 전용 열거를 수행하는 것이 좋습니다.

전용 테스트 계정 또는 명확한 태그가 지정된 리소스를 사용하고, 문서화된 범위 밖의 리소스에는 절대 접근하지 마십시오.

클라우드 공격 표면에 대한 이해도를 확인해 보십시오.

클라우드 공격 표면을 파악했습니다.

• 클라우드 위험의 대부분은 고객 측 구성 오류에서 발생합니다.
• 신원이 경계입니다. 유출된 키와 역할이 주요 공격 경로입니다.
• 메타데이터 서비스는 데이터 영역의 버그와 클라우드 자격 증명을 연결합니다.
• 저장소, 네트워크, 로그 기록 구성 오류가 나머지 공격 표면을 이룹니다.

다음 단계에서는 이러한 문제를 찾기 위해 클라우드 리소스를 열거합니다.