AWS에서의 클라우드 보안 아키텍처 구현 및 고려사항

클라우드 컴퓨팅 환경이 대중화되면서, 기업은 효율성과 확장성 등 많은 이점을 얻을 수 있지만, 동시에 보안에 대한 철저한 접근과 관리가 요구됩니다. Amazon Web Services(AWS)와 같은 Cloud Service Provider(CSP)의 서비스를 사용할 경우 보안에 대한 이해와 책임 범위를 명확하게 이해해야 하며, 각 CSP가 제안하는 Best Practice의 Architecture를 기반으로 보안 전략을 수립하는 것이 중요합니다. 본 글에서는 AWS 기반의 클라우드 보안 아키텍처에 대한 구현 및 고려사항에 대해서 알아보겠습니다.

1. Shared Responsibility Model의 이해

AWS 클라우드 환경의 보안은 AWS와 고객 간의 명확한 책임 분담(Shared Responsibility Model)에 기초합니다. AWS는 클라우드 인프라의 보안을 관리하며, 고객은 클라우드 내에서의 보안을 관리해야 합니다. 구체적으로 AWS는 데이터 센터의 물리적 보안, 하드웨어 및 가상화 계층의 보호를 책임집니다. 고객은 클라우드에 배포한 리소스의 운영체제(OS), 애플리케이션 보안, 데이터 보호 및 액세스 제어와 같은 분야에서 책임을 진다. 이러한 명확한 역할 구분은 고객이 보안 취약점을 명확하게 식별하고 대응하는 데 매우 중요한 역할을 합니다. 지금은 많이 줄었지만 얼마 전까지만 하더라도 이러한 책임 영역의 구분을 이해하지 못하고, 고객의 책임 영역에서 발생한 문제를 AWS 등 CSP에 항의하고 전가하려고 했으나 결국 인정받지 못했습니다.

<그림. AWS의 Shared Responsibility Model>

1.1. AWS의 책임 영역

AWS는 클라우드 자체’의 보안(Security of the cloud)을 담당합니다. 물리적 데이터 센터 인프라, 하드웨어 및 네트워크 인프라, 가상화 인프라, AWS 서비스 자체의 소프트웨어 보안 등이 이에 해당하며 이 부분에서 장애, 보안 사고 등이 발생했을 경우 AWS의 책임이 됩니다. 다만 여기에서 사용자는 Service Level Agreement(SLA)를 잘 이해하고 있어야 합니다. 장애에 대해서는 100%를 책임지고 있지 않기 때문입니다. 서비스의 가용성을 99.99%로 규정하고 있는 것이 많아 0.01%의 장애에 대해서는 발생할 수 있다라는 전제를 하고 있기 때문입니다.

1.2. 고객(사용자)의 책임 영역

고객은 클라우드 내’의 보안(Security in the cloud)을 책임집니다. 데이터 암호화 및 관리, 네트워크 트래픽 보호, 운영 체제, 네트워크, 방화벽 구성, 애플리케이션 보안, ID 및 액세스 관리, 고객 데이터 보호 등은 전적으로 고객의 책임이 지게 되며, CSP에게 책임을 물을 수도 없습니다. 예를 들어 Object Storage 서비스를 이용하는 고객이 Public 접근 제어와 암호화를 설정하지 않아 중요 정보가 인터넷에 노출될 경우 100% 고객의 귀책이 됩니다. 물론 Public 접근 제어와 암호화 등 보안을 위한 기능을 CSP가 제공하고 있다는 것은 필수죠. 이러한 공동 책임 모델을 이해하는 것은 효과적인 클라우드 보안 전략의 첫 단계입니다. 고객은 자신의 책임 영역을 명확히 인지하고, 이에 대한 적절한 보안 통제를 구현해야 합니다.

2. AWS Well-Architected Framework와 보안 설계

AWS Well-Architected Framework는 고객이 클라우드 환경에서 효율적이고 안정적인 보안 아키텍처를 구축할 수 있도록 가이드라인을 제공합니다. 특히 이 Framework는 보안 영역(Security Pillar) 를 통해 고객 책임 영역의 보안 관리를 구체적으로 지원합니다. 주요 보안 설계 원칙에 대해서 살펴보겠습니다.

2.1. 강력한 ID 기반 구축

신뢰할 수 있는 ID 기반은 모든 보안의 출발점입니다. 최소 권한 원칙을 적용하여, 사용자 및 애플리케이션이 업무 수행에 필요한 최소한의 권한만 가지도록 설정해야 합니다. AWS Identity Access Management(IAM) 정책은 이러한 권한 제어를 코드로 정의할 수 있게 해주며, 역할(Role) 기반 접근 제어(RBAC)를 통해 리소스에 대한 세분화된 접근 제어가 가능합니다. SSO(Single Sign-On)와 AWS IAM Identity Center를 활용하면 다중 계정 환경에서도 통합 인증 관리를 구현할 수 있습니다.

2.2. 추적 가능성 확보

시스템의 모든 활동이 감사 가능하도록 설계되어야 하며, 이를 위해 AWS CloudTrail을 통해 API 호출 내역을 기록하고, CloudWatch를 통한 로그 수집 및 경보 설정이 필요합니다. AWS Config는 리소스의 설정 변경 내역을 기록하며, 이상 징후나 정책 위반을 감지하는 데 활용할 수 있습니다. 이러한 로깅 체계는 사고 발생 시 빠른 대응과 포렌식 분석의 기반이 됩니다.

2.3. 모든 계층에 보안 적용

보안은 네트워크부터 데이터, 애플리케이션 계층까지 계층별로 적용되어야 합니다. 예를 들어, 네트워크 수준에서는 Security Group과 Network ACL(NACL), AWS Network Firewall(ANFW)를 활용한 접근 제어를 통해 외부로부터의 비인가된 접근을 차단하고, 애플리케이션 계층에서는 AWS Web Application Firewall(WAF)를 통해 웹 공격을 차단하며, 데이터 계층에서는 암호화와 접근 제어 정책을 통해 보호합니다. 이를 통해 심층 방어(Defense in Depth)를 실현할 수 있습니다. 필자는 기본적으로 OSI 7 Layer 기준, 모든 계층의 보안 적용은 필수라고 생각합니다.

2.4. 데이터 보호 자동화

민감한 데이터는 저장(at Rest) 시 또는 전송(in Transit) 중 항상 암호화되어야 합니다. AWS Key Management Service(KMS)를 이용해 키를 중앙에서 관리하고, S3, RDS, EBS 등에서 기본 제공되는 암호화를 활성화해야 합니다.

2.5. 사람의 접근 최소화

운영 환경에 대한 직접적인 사람의 접근은 보안 리스크를 증가시킵니다. Human Error를 최소화 시키기 위해 운영 환경에 대한 직접 접근은 불가피한 경우를 제외하고는 자제해야 하며, 이를 위해 인프라 운영은 AWS CloudFormation, AWS Cloud Development Kit(CDK), 3rd Party Tool 등의 Infrastructure as Code(IaC)를 활용해 자동화하는 것이 이상적입니다.

3. 클라우드 보안의 7가지 영역

클라우드 상에서 서비스를 운영할 때는 클라우드 보안의 주요 원칙을 포함하며, 조직은 이를 바탕으로 지속적이고 체계적인 보안 관리 및 개선을 추구해야 합니다. 정기적인 보안 평가와 모니터링을 통해 위험을 관리하고 예방적 대응이 가능한 환경을 구축하는 것이 핵심이며, 이는 미국 국립표준기술연구소(National Institute of Standards and Technology, NIST)의 Cyber Security Framework의 내용을 AWS 클라우드에 적용시킨 것이라고 보면 됩니다. 클라우드 상에서 서비스를 운영 할 때 고려해야 할 보안 아키텍처의 7가지 영역을 살펴보겠습니다.

3.1. 보안 기초

보안의 기초는 조직이 보유한 모든 자산의 보안 상태를 정기적으로 평가하고 위험을 관리하는 것이며, 클라우드 보안의 기반을 형성합니다. 앞서 설명한 Shared Responsibility를 포함하여 AWS 관리의 기본적인 보안 요소를 모두 포함하며, 아래와 같은 설계 원칙을 가지고 있습니다.

강력한 자격 증명 관리: 최소 권한 원칙, 중앙 집중식 자격 증명 관리.
추적 가능성: 실시간 모니터링 및 감사 로그 통합.
다층 보안: 네트워크, VPC, 애플리케이션 등 모든 계층에 보안 적용.
보안 자동화: 보안 정책 자동화로 확장성 확보.
데이터 보호: 암호화 및 접근 제어.
데이터 접근: 사람에 의한 데이터 접근 제한
보안 사고 대비: 시뮬레이션 및 자동화 도구 활용.

3.2. 자격 증명 및 액세스 관리(IAM)

자격 증명 및 액세스 관리는 클라우드 환경에서 가장 중요한 보안 영역 중 하나로, 사용자에게 필요한 최소 권한만 부여하는 원칙을 철저히 지켜야 합니다. IAM 정책 및 역할을 정기적으로 검토하고 AWS IAM Identity Center(구 SSO)와 AWS Organizations를 활용하여 중앙 관리 시스템을 구축하면 효율적인 보안 관리가 가능해집니다. 또한 MFA(다중 인증)를 필수로 설정하여 계정 보안을 강화하는 것이 권장됩니다.

3.3. 탐지

탐지 시스템은 클라우드 환경에서 발생하는 보안 위협과 이상행위를 실시간으로 감지하고 대응할 수 있도록 합니다. Amazon GuardDuty를 통해 위협을 탐지하고 AWS CloudTrail을 통해 API 활동 로그를 관리하며, AWS Config를 이용하여 자원의 설정 변경을 지속적으로 감시하고 추적할 수 있어야 합니다. 또한 SIEM과 같은 보안 로그를 수집할 수 있는 3rd party 솔루션을 도입하여 보안 이벤트를 모니터링 해야 합니다.

3.4. 인프라 보호

클라우드 인프라 보호는 내부 및 외부의 다양한 위협으로부터 조직의 클라우드 자원을 보호하는 활동입니다. AWS WAF를 통해 네트워크를 통한 공격으로부터 웹 애플리케이션을 보호하고 AWS Shield를 이용해 DDoS 공격을 방어해야 합니다. 또한 ANFW, Security Group, NACL 설정을 통해 네트워크 접근을 정교하게 통제하고 관리하는 것이 중요합니다. 그리고 EC2 서버를 사용할 경우 OS Hardening, Patch 관리를 통해 안전한 운영체제 관리는 필수입니다.

3.5. 데이터 보호

데이터 보호는 클라우드 환경에서 데이터를 안전하게 유지하는 것으로, 특히 민감 데이터의 암호화와 관리가 중요합니다. AWS Key Management Service(KMS)를 활용해 암호화 키를 중앙에서 관리하며, Amazon S3와 같은 서비스에서 데이터를 저장하고 전송할 때 항상 암호화를 적용해야 합니다. 하지만 데이터 보호에서 제일 중요한 것은 데이터 식별 및 분류입니다. 어느 데이터가 어디에 위치한지 정확히 파악하고, 해당 데이터의 보안 민감도를 식별하여 데이터 등급을 분류하는 것이 가장 중요하며, 개발자 입장에서는 가장 어려운 작업일 것입니다.

3.6. 인시던트 대응

인시던트 대응은 보안 사고가 발생했을 때 즉각적이고 효율적으로 대응하여 피해를 최소화하는 것을 목표로 합다. 이를 위해 Incident Response Plan(IRP)을 사전에 수립하고, 정기적으로 훈련하여 대응 역량을 강화해야 합니다. IRP에는 Run-Book을 준비하여 보안 사고 발생 시 대응 체계를 준비해 놓아야 하며, 시뮬레이션을 통한 결과를 지속적으로 IRP에 반영하여 전략을 개선할 필요가 있습니다.

3.7. 애플리케이션 보안

애플리케이션 보안은 개발 초기 단계부터 철저히 고려하고 구축해야 합니다. OWASP Top 10과 같은 업계 표준 보안 지침을 따르고, 정적 및 동적 보안 테스트를 정기적으로 수행해야 합니다. 또한 AWS CodePipeline과 AWS CodeBuild를 활용하여 지속적인 통합 및 배포(CI/CD) 프로세스 내에서 보안 검증을 자동화하여 애플리케이션 보안을 더욱 강화할 수 있습니다.

4. 국내에서의 클라우드 보안

국내는 클라우드 보안에 대해서 최근에서야 CSAP와 같은 클라우드 서비스 보안인증제를 통해 해외 클라우드에 문호를 개방하였습니다. 다만, 이러한 인증 및 규정이 존재하지만 결국 클라우드를 활용하는 조직의 보안 역량 및 성숙도가 가장 중요하며, 인증 및 규정은 이를 평가하기 위한 최소 기준으로 고려하는 것이 바람직합니다.

<표. 국내 주요 클라우드 관련 인증 및 규정>

분야	주요 인증/규정	설명
공공기관	CSAP(클라우드 서비스 보안인증제)	정부 및 공공기관이 민간 클라우드 서비스를 이용하기 위한 필수 인증. AWS는 ‘하’ 등급 획득
민간/전산업	ISMS-P (정보보호 관리체계)	국내 기업·기관의 정보보호 관리체계 운영 여부를 평가하는 국가 표준.
금융	전자금융감독규정, 신용정보법	금융기관의 클라우드 활용 시 준수해야 하는 보안·감사 기준.
개인정보	개인정보보호법	개인정보 처리 및 보호를 위한 기술적·관리적 보호조치 필요.

5. 맺으며

결론은 AWS 클라우드 환경에서의 보안 관리는 Shared Responsibility Model과 AWS Well-Architected Framework를 중심으로 명확하고 체계적으로 이루어져야 합니다. 위에서 언급한 7가지 보안 영역을 철저히 관리함으로써, 기업은 클라우드 환경의 다양한 보안 위협으로부터 조직의 자산을 효과적으로 보호할 수 있으며, 안정적이고 신뢰할 수 있는 클라우드 보안 인프라를 구축할 수 있습니다. 결국 보안은 자산의 식별, 지속적인 평가와 보안 역량의 강화를 통해 보안 환경을 유지하고 향상시키는 과정이 가장 중요하며 필수적이라고 생각됩니다.