클라우드 환경 가시성, 점점 떨어지고 있어
데이터 유출 사고 85%가 사용업체 과실
클라우드 보안이 높을 수록 대처 시간 2배↑


코로나19의 장기화로 기업들의 클라우드 도입과 활용이 급증하는 가운데 IBM 엑스포스(X-Force) 보안 연구소가 15일, 여러 형태의 클라우드 보안 위협을 소개하는 클라우드 보안(Cloud Threat Landscape) 보고서를 공개했다.

이번 보고서는 2019년 IBM이 대응했던 클라우드 보안 사건들을 토대로 작성됐다.

IBM은 기업이 사전에 충분한 보안에 대한 준비 없이 클라우드를 도입할 경우 클라우드 보안의 책임소재가 불분명해지고 위험 대응이 어려워질 수 있다고 경고했다.

IDC의 조사에 따르면 2019년 한 해 동안 1/3 이상의 기업이 16곳의 클라우드 제공업체로부터 30종 이상의 클라우드 서비스를 도입했다. 이런 분산된 환경에서 기존 보안 정책은 실효성이 떨어지며, 클라우드 환경 전반에 대한 가시성 확보가 어렵다.

IBM 기업가치연구소의 조사에 따르면 기업 대부분은 클라우드 보안을 클라우드 제공업체에 의존하고 있는 것으로 나타났다. 그러나 데이터 유출 사고 85% 이상이 사용자의 책임으로 귀결됐다.

◇ 클라우드 보안, 제공자보다 사용자 대처 능력이 중요해

사이버 범죄자가 클라우드에 침투할 때 가장 많이 이용하는 경로는 클라우드 기반의 애플리케이션으로, 전체 사건 중 45%를 차지했다. 사이버 범죄자는 구성 오류뿐 아니라 애플리케이션 내부의 취약점을 이용하기도 하는데, 직원들이 임의로 비승인된 채널을 통해 새로운 클라우드 앱을 설치하기 때문에 이러한 취약점이 드러나지 않는 경우가 많았다.

랜섬웨어 또한 클라우드 환경에서 가장 위협적인 존재 중 하나로, 다른 악성코드보다 3배 이상 배포되었다. 그 뒤를 크립토마이너와 봇넷 악성코드가 이었다.

이번 조사에서는 클라우드와 보안에 대한 성숙도가 높은 기업이 데이터 유출을 더 빠르게 식별하고 방지할 수 있었던 것으로 확인됐다. 데이터 유출 사고 대응 시간을 살펴보면, 가장 많은 경험을 가진 조직(평균 125일)이 가장 부족한 경험을 가진 조직(평균 250일)보다 2배 빨리 데이터 유출을 파악하고 대응할 수 있는 것으로 나타났다.

◇ 클라우드 보안 환경 구현에 필요한 6가지 수칙

IBM은 기업들이 클라우드 환경에 최적화된 사이버 보안을 구현하기 위해서 다음 6가지 수칙에 주력해야 한다고 조언했다.

첫 번째로 협업 기반 거버넌스 및 문화를 조성해야 한다. 애플리케이션 개발자나 IT 운영 및 보안 팀 등은 클라우드 운영과 보안 운영을 연계하는 통합 전략을 수립해야 한다. 또한, 기존 클라우드 자원 및 새로 적용하는 클라우드 자원을 대상으로 명확한 정책 및 책임 소재를 정의해야 한다.

두 번째로 위험 기반의 가시성을 확보해야 한다. 클라우드로 이전하려는 워크로드 및 데이터 유형을 평가하고, 적합한 보안 정책을 정의해야 한다. 전사 환경에 대한 가시성을 확보하기 위해 먼저 위험 기반 평가를 수행하고, 단계적으로 클라우드를 도입하기 위한 로드맵을 수립해야 한다.

세 번째로 강화된 접근 관리 정책을 적용해야 한다. 클라우드 리소스 액세스에 대해 다중 인증을 비롯한 접근 관리 정책 및 도구를 활용함으로써 유출된 인증 정보를 이용한 공격자의 침투를 차단해야 한다. 특별 권한 계정을 제한하고 모든 사용자 그룹에 최소한의 필수 권한만 부여하여 계정 침해로 인한 피해를 최대한 줄여야 한다.

네 번째로 적합한 도구를 활용할 줄 알아야 한다. 보안 모니터링·가시성·대응 도구가 모든 클라우드 및 온프레미스 리소스에 효과적으로 적용할 수 있는지 확인해야 한다. 도구 간의 상호 운용성을 강화하기 위해 개방형 기술 및 표준으로 전환하는 방안도 더불어 검토해야 한다.

다섯 번째로 보안 프로세스를 자동화해야 한다. 각종 이벤트에 일일이 대응하기보다 보안 자동화 기능을 시스템에 구현하여 탐지 및 대응 기능을 업그레이드할 수 있어야 한다.

여섯 번째로 선제적으로 시뮬레이션을 활용해야 한다. 다양한 공격 시나리오에 대한 모의 테스트를 진행하여 혹시라도 있을 보안 사각지대를 찾아내고, 공격 조사 과정에서 일어날 만한 포렌식 문제에 대한 대응 능력을 키워야 한다.

IBM 보안서비스사업부의 아비지트 차크라보티(Abhijit Chakravorty) 클라우드 보안 역량 리더는 “클라우드는 광활하고 분산된 환경이라 기업에서 관리하고 보호하기 쉽지 않다”라며 “기업은 클라우드 보안 관련 기술 및 정책 등을 제대로 이해하고, 클라우드를 노리는 외부 보안 위협을 먼저 파악해야 한다”라고 조언했다.

최신 IBM 엑스포스 클라우드 보안 보고서는 여기에서 확인할 수 있다.