CSPM을 넘어: 클라우드 데이터 보안의 취약점 해소

클라우드 보안 상태 관리(CSPM)는 클라우드 설정 오류, 정책 편차, 보안이 취약한 제어 플레인 설정을 식별하기 위한 핵심 통제 수단이 되었지만, 보안 팀이 해결책을 필요로 하는 모든 데이터 관련 문제를 다루지는 못합니다.

CSPM은 클라우드 환경 전반에 걸쳐 보안 상태 평가를 자동화하고 보안 상태의 편차를 탐지하도록 설계되었습니다. 이 솔루션은 AWS, Azure, Google Cloud 및 기타 IaaS 플랫폼 전반에서 노출된 서비스, 과도한 권한이 부여된 IAM 역할, 암호화되지 않은 스토리지, 공개 스냅샷, 정책 위반 사항을 식별할 수 있습니다. 이러한 기능은 필수적입니다. 버라이즌의 DBIR 보고서에 따르면 오류와 잘못된 구성이 여전히 보안 침해의 주요 원인으로 나타나고 있습니다. 2024년 DBIR 인포그래픽에 따르면, 오류가 보안 침해 사례의 28%를 차지했으며, 잘못된 구성은 흔한 오류 유형으로 나타났습니다.

그러나 기존의 CSPM 도구는 데이터의 내용이나 민감도보다는 인프라 구성 및 제어 플레인 보안에 중점을 둡니다. 이러한 도구는 데이터 리소스에 어떤 내용이 포함되어 있는지, 해당 데이터의 민감도가 어느 정도인지, 또는 다양한 접근 경로를 통해 실제로 누가 해당 데이터에 접근할 수 있는지를 심층적으로 분석하지 않습니다. 스토리지 버킷은 구성 측면에서는 규정을 준수하고 있을지라도, 과도하게 공유된 접근 권한이나 외부 링크를 통해 고객 기록이 노출될 수 있습니다.

이러한 격차가 중요한 이유는 클라우드 데이터 위험이 명백한 설정 오류에만 국한되지 않기 때문입니다. 많은 클라우드 공격 경로는 단순한 기술적 설정 오류뿐만 아니라, 유출된 인증 정보와 유효한 계정의 악용을 수반합니다. MITRE ATT&CK는 공격자가 유효한 클라우드 계정을 사용하여 리소스에 접근하고 데이터를 클라우드 스토리지로 유출하는 기법을 기록하고 있습니다. 이러한 시나리오에서는 인프라가 올바르게 구성된 것처럼 보일 수 있지만, 데이터는 여전히 노출된 상태로 남아 있을 수 있습니다. 출처: https://attack.mitre.org/

클라우드 데이터 보안 태세를 구축하려면 민감한 데이터가 어디에 저장되어 있는지, 어떻게 이동하는지, 누가 접근할 수 있는지, 그리고 노출 상황이 시간에 따라 어떻게 변화하는지에 대한 가시성이 필요합니다. 즉, 단순한 보안 태세 점검을 넘어 클라우드 및 SaaS 환경 전반에 걸친 탐지, 분류, 노출 분석, 지속적인 모니터링까지 살펴봐야 하며, 이러한 기능들이 바로 포괄적인 데이터 보안 태세 관리 (DSPM) 접근 방식을 정의합니다.

CSPM의 강점

CSPM은 제어 플레인 수준에서 위험을 초래하는 클라우드 인프라 문제를 파악하는 데 탁월합니다. 이 솔루션은 기준선 및 규정 준수 프레임워크를 기준으로 클라우드 구성을 지속적으로 모니터링합니다. 다음과 같은 문제를 파악할 수 있습니다:

• 일반인이 이용할 수 있는 저장 공간

• 과도한 권한을 가진 역할 및 과도한 권한

• 암호화되지 않은 리소스 / 암호화 비활성화

• 보안 그룹 및 노출된 서비스/데이터베이스 열기

• 내부 정책 또는 규제 요건 위반

클라우드 팀에게 이러한 가시성은 매우 중요합니다. 이를 통해 보안 강화 조치의 미비점을 파악하고, 정책을 준수하도록 하며, 구성 편차로 인해 발생하는 일반적인 보안 취약점을 줄일 수 있습니다. 또한 여러 클라우드 공급자에 걸쳐 반복적으로 점검할 수 있게 해주는데, 이는 대규모로 수동으로 수행하기 어려운 작업입니다.

CSPM의 한계

한 가지 한계는 적용 범위입니다. CSPM은 환경을 검증하지만, 그 환경에 무엇이 포함되어 있는지는 알려주지 않습니다.

버킷은 모든 구성 제어 기준을 통과했더라도 규제 대상 데이터를 포함하고 있을 수 있습니다. 협업 작업 공간은 승인된 설정을 준수하고 있을지라도, 민감한 파일이 지나치게 광범위하게 공유될 수 있습니다. 클라우드 데이터베이스는 네트워크 계층에서 엄격하게 통제되고 있을지라도, 애플리케이션 사용자, 서비스 계정 또는 상속된 권한으로 인해 예상치 못한 노출이 발생할 수 있습니다.

그렇기 때문에 CSPM만으로는 보안 팀이 가장 중요하게 여기는 질문들에 답할 수 없습니다:

• 민감한 데이터는 어디에 저장되어 있나요?

• 어떤 종류의 데이터인가요?

• 누가 이용할 수 있나요?

• 어떻게 공유되고 있나요?

• 어떤 노출 요인이 가장 큰 비즈니스 위험을 초래합니까?

기존의 CSPM은 크로스 플랫폼 데이터 흐름에 대한 가시성도 제한적입니다. AWS 환경을 보호하는 도구는 AWS와 Microsoft 365, Salesforce 또는 기타 클라우드 서비스 간에 데이터가 어떻게 이동하는지에 대한 가시성을 전혀 제공하지 못할 수 있습니다. 또한 개인용 클라우드 스토리지를 통해 생성된 섀도우 저장소, 승인되지 않은 SaaS 사용, 또는 외부 협업 도구로의 데이터 내보내기 등을 감지하지 못할 수도 있습니다.

데이터 맥락이 우선순위 결정에 영향을 미치는 이유

보안 팀은 방대한 양의 보안 상태 분석 결과를 처리해야 할 수 있지만, 데이터의 맥락을 파악하지 못하면 영향이 가장 큰 위험 요소의 우선순위를 정하는 데 어려움을 겪을 수 있습니다. 합성 데이터로 구성된 저위험 테스트 환경은 고객의 금융 기록이 포함된 운영 시스템과 동일한 수준의 긴급성을 부여받아서는 안 됩니다.

이러한 구분이 바로 데이터 기반 가시성이 중요한 이유입니다. 이를 통해 중요한 기술적 문제와 비즈니스에 진정으로 중대한 문제를 구분하는 데 도움이 됩니다. 공개 저장소에 대한 경고는 심각한 문제이지만, 해당 자산에 민감한 정보가 포함되어 있지 않다면, 규제 대상 기록이나 지적 재산권이 포함된 유사한 노출 사례와는 대응 방식이 달라질 수 있습니다.

액세스 거버넌스 역시 또 다른 사각지대입니다. CSPM은 광범위한 인프라 정책이 마련되어 있는지 확인할 수는 있지만, 그룹, 앱 권한, 공유 리소스, 토큰 기반 액세스 또는 타사 통합을 통해 액세스가 어떻게 축적되는지를 완전히 파악하지는 못합니다. 시간이 지남에 따라 이러한 관계들은 기본적인 보안 상태 점검만으로는 드러나지 않는 취약점을 야기할 수 있습니다.

데이터 보안 태세 관리(DSPM)가 제공하는 이점

데이터 보안 상태 관리(DSPM)는 가시성을 인프라에서 데이터로 확장합니다. 이는 민감한 정보를 탐지하고, 이를 분류하며, 정보가 어떻게 노출되는지 파악하고, 그러한 노출 상태가 어떻게 변화하는지 모니터링하는 데 중점을 둡니다.

탄탄한 데이터 보안 태세 관리는 클라우드 및 SaaS 환경 전반에 걸친 현황 파악에서 시작됩니다. 이를 위해서는 데이터가 클라우드 스토리지, 협업 도구, 또는 승인된 애플리케이션과 승인되지 않은 애플리케이션 등 어디에 저장되어 있는지 파악해야 합니다.

이 단계에서 분류를 통해 비즈니스적 맥락이 더해집니다. 단순히 콘텐츠를 검토하는 것만으로는 충분하지 않으며, 데이터의 민감도와 영향력을 고려하여 데이터를 이해해야 합니다. 즉, 일반 파일과 개인 식별 정보(PII), PCI 데이터, 재무 문서, 지적 재산권과 같은 규제 대상 기록을 구분해야 합니다.

이어지는 노출 분석에서는 데이터에 접근할 수 있는 경로를 파악합니다. 여기에는 권한, 공유 설정, 외부 링크, 상속된 그룹 액세스, API 노출, 연동 기능 및 사용자 행동이 포함됩니다. 또한 공격자가 계정 탈취나 권한 상승을 통해 데이터에 접근할 수 있는 방법도 고려합니다.

마지막으로, 지속적인 모니터링을 통해 데이터 이동, 공유 및 접근에 대한 변화가 발생하는 즉시 이를 감지할 수 있습니다. 클라우드 환경에서는 팀들이 협업하고, 자동화를 진행하며, 새로운 서비스를 연결함에 따라 보안 노출 위험이 급격히 변할 수 있습니다.

CSPM과 DSPM은 상호 보완적입니다.

CSPM과 DSPM은 서로 대체할 수 있는 것이 아닙니다. 이 두 가지는 서로 다른 문제를 해결하며, 함께 사용할 때 가장 큰 효과를 발휘합니다.

CSPM은 인프라 계층을 보호합니다. 클라우드 리소스가 올바르게 구성되었는지, 그리고 기준 통제 조치가 마련되어 있는지 여부를 알려줍니다. DSPM은 데이터 계층에 대한 가시성을 확대합니다. 어떤 민감한 데이터가 존재하는지, 어디에 저장되어 있는지, 누가 접근할 수 있는지, 그리고 어떻게 노출될 수 있는지를 알려줍니다.

이러한 통합적인 관점을 통해 보안 팀은 인프라 및 데이터 관련 질문에 대해 보다 포괄적인 해답을 얻을 수 있습니다. 또한, 보안 팀은 잘못된 구성이 실제로 영향을 미치는 자산 및 데이터와 이를 연결 지을 수 있으므로, 위험 우선순위를 더 효과적으로 설정할 수 있습니다.

Skyhigh Security 포괄적인 SSE Security Service Edge ) 솔루션과 같은 통합 플랫폼을 활용하는 조직은 인프라 및 데이터 중심의 가시성을 모두 통합하여 클라우드 데이터 및 데이터 위험 관리의 모든 측면을 포괄적으로 다룰 수 있습니다.

실제 예시

협업을 위해 소스 코드를 클라우드 스토리지에 내보내는 개발 팀을 생각해 봅시다. CSPM을 통해 해당 스토리지 계정이 암호화되어 있고, 비공개 상태이며, 기준 정책에 부합한다는 사실을 확인할 수 있습니다. 인프라 측면에서는 이 정도면 무난해 보입니다.

하지만 데이터를 기반으로 한 가시성을 통해 보면 사정이 달라질 수 있습니다. 리포지토리에는 독점 알고리즘, 더 이상 유효하지 않은 외부 협력업체의 접근 권한, 또는 취소되지 않은 공유 링크가 포함되어 있을 수 있습니다. 이 경우 위험 요인은 클라우드 설정 그 자체만이 아닙니다. 설정, 콘텐츠, 접근 경로가 복합적으로 작용한 결과입니다.

SaaS 협업 도구도 마찬가지입니다. 파일은 승인된 애플리케이션에 저장되어 있을지라도, 외부 관계자와 공유되거나, 그룹 멤버십을 통해 상속되거나, 연동된 앱 및 API 통합을 통해 접근될 수 있습니다. CSPM은 이러한 데이터 공유 관계를 세부적으로 파악하도록 설계되지 않았습니다.

현대적인 클라우드 프로그램이 두 가지 관점을 모두 필요로 하는 이유

클라우드 사용이 확대됨에 따라 민감한 데이터는 더 많은 서비스, ID, 협업 채널에 분산되고 있습니다. 인프라 제어 수단은 여전히 필요하지만, 이제는 그것만으로는 더 이상 충분하지 않습니다.

성숙한 클라우드 보안 태세를 구축하려면 제어 계층과 데이터 계층 모두에 대한 통합적인 가시성이 필요합니다. 즉, CSPM을 민감한 콘텐츠를 탐지하고, 노출 현황을 파악하며, 위험 기반의 대응을 지원할 수 있는 데이터 중심 기능과 결합해야 합니다.

이러한 접근 방식을 결합하는 조직은 다음과 같은 질문에 더 잘 답할 수 있습니다:

• 클라우드 리소스가 안전하게 구성되어 있습니까?

• 민감한 데이터가 포함되어 있습니까?

• 적절한 사람들이 이에 접근할 수 있나요?

• 공유, 연동 또는 외부 링크를 통해 노출되나요?

• 어떤 문제들을 우선적으로 해결해야 할까요?

이러한 질문들은 ‘안전한 구성’과 ‘안전한 데이터 상태’의 차이를 명확히 보여줍니다.