[IGLOO] 클라우드 네이티브 보안

https://www.igloo.co.kr/security-information/%ED%81%B4%EB%9D%BC%EC%9A%B0%EB%93%9C-%EB%84%A4%EC%9D%B4%ED%8B%B0%EB%B8%8C-%EB%B3%B4%EC%95%88/

클라우드 네이티브 보안

 

---

 

최근 클라우드 환경으로의 변화가 가속화되고 있음

클라우드도 기존 보안 환경과 최대한 유사하게 유지하고자 인프라 자원은 클라우드지만 구성 보안 시스템은 서드 파티인 경우가 많음

그러나 서드 파티 시스템의 전문성은 온프레미스상에서만 입증된 것

• 서드 파티 : 제3자. 어떤 분야에서 처음 개발하거나 원천 기술을 가진 것이 아니라, 원천기술과 호환되는 상품 또는 원천기술 파생상품을 생산하는 것
• 온프레미스 : 기업이나 조직이 하드웨어, 소프트웨어 등 모든 컴퓨팅 환경을 자체적으로 구축하고 운영, 유지, 관리하는 것

그래서, 클라우드 네이티브 시스템으로 인프라 구성을 변경하는 곳이 증가

 

---

 

클라우드 네이티브

클라우드 인프라 모델에서 제공하는 분산된 컴퓨팅 자원 활용 위해 애플리케이션을 구축 및 실행하는 개념

조직이 퍼블릭·프라이빗·하이브리드 클라우드에서 확장가능한 애플리케이션 구축·실행을 지원

탄력적, 관리가 용이, 관찰이 가능한 느슨하게 결합된 시스템도 사용할 수 있도록 해줌

 → 엔지니어가 변경 및 설정 오류 등을 쉽게 확인할 수 있음

ex) 컨테이너, 마이크로 서비스, API

 

• 클라우드 네이티브 아키텍쳐
  • 온프레미스 환경에서 벗어나 오롯이 클라우드에만 존재하도록 특별히 설계된 애플리케이션 or 전체 인프라 환경
  • 물리적 서버에 의존하지 않고도 레거시 시스템(낡은 기술이나 컴퓨터 시스템)보다 높은 수준의 유연성 제공
  • API를 통해 서로 통신
  • 이벤트 기반 구조 사용해 각 애플리케이션의 전반적 성능 향상
  • 마이크로 서비스: 클라우드 전용 애플리케이션 아키텍처의 핵심, 애플리케이션을 여러 개의 독립된 서비스로 배열

 

클라우드 네이티브 서비스

• 컨테이너화되는 오픈소스 소프트웨어 사용하는 것

클라우드 네이티브 환경에서의 애플리케이션 

• 컨테이너로 패키징됨
• 오케스트레이션 통해 각 컨테이너가 스케줄링 및 관리가 되어 리소스 사용률 최적화
• 마이크로 서비스 구조를 통해 애플리케이션의 민첩성·유지 관리의 편의성 높이는 것에 목적

클라우드 네이티브 기술

• 컨테이너
• 서비스 메시
• 서비스

 

CNCF (Cloud Native Computing Foundation)

• 리눅스 재단 소속 비영리 단체
• 클라우드 네이티브 컴퓨팅 환경에서 필요한 다양한 오픈소스 프로젝트를 추진·관리
• 500개 이상의 글로벌 기업들이 활동 중
• '클라우드 네이티브 기술을 사용하는 조직은 현대적인 퍼블릭·프라이빗·하이브리드 클라우드처럼 동적인 환경에서 확장성 있는 애플리케이션 만들고 운영할 수 있다'

2025년까지 새로운 앱의 90% 이상이 클라우드 네이티브 환경으로 구현될 것!

 

클라우드 네이티브 보안

1. 클라우드 (Cloud)
   • 쿠버네티스 클러스터 구성을 위한 신뢰 컴퓨팅 기반(trusted computing base) 
   • 클라우드 계층이 취약한(또는 취약한 방식으로 구성된) 경우 이 기반 위에서 구축된 구성 요소가 안전하다는 보장 X
   • 각 클라우드 공급자는 해당 환경에서 워크로드 안전 실행 위한 보안 권장 사항 제시

   • 

2. 클러스터 (Cluster)
   • 애플리케이션의 공격 영역에 따라 보안의 특정 측면에 중점 둘 수 있음
   • 다른 리소스 체인에 중요한 서비스 A&리소스 소진 공격에 취약한 별도의 작업 서비스 B 실행할 경우 서비스 B의 리소스 제한하지 않으면 A가 손상될 위험 높음
3. 컨테이너 (Container)
   • 컨테이너 취약점 스캔 및 OS에 종속적인 보안
   • 이미지 서명(컨테이너 내용에 대한 신뢰 시스템 유지)
   • 권한 있는 사용자의 비허용
4. 코드 (Code)
   • TLS를 통한 접근
   • 통신 포트 범위 제한
   • 타사 종속성 보안
   • 정적 코드 분석
   • 동적 탐지 공격