팔로알토 네트웍스가 '유닛42 클라우드 위협 보고서' 최신호를 출간했다고 15일 밝혔다.
올해로 7번째 발간된 이번 보고서에는 최근 12개월 동안 전 세계 1300여개 기업과 21만 개 클라우드 계정을 분석한 결과를 담았다.
이번 보고서에서 가장 두드러진 점은 위협 행위자들이 클라우드 환경에서의 일상적이고 공통적으로 노출된 문제들을 악용하는데 능숙해졌다는 것이다. 주로 타깃이 되는 부분은 잘못된 구성, 취약한 자격 증명, 인증 부족, 패치되지 않은 취약성 및 악의적인 OSS(오픈소스 소프트웨어) 패키지 등이다.
보고서에 따르면, 보안팀에서 보안 알림을 해결하기까지 걸리는 시간은 평균 145시간(약 6일)이며, 절반 이상(60%)의 기업들은 보안 문제를 해결하는 데 나흘이 걸리는 것으로 분석됐다.
대부분 기업의 클라우드 환경에서 보안 규칙의 5%가 알림의 80%를 트리거하는 것으로 나타났으며 운영 환경의 코드베이스 63%에 위험도가 높거나 치명적(CVSS 7.0 이상)으로 분류된 패치되지 않은 취약점이 발견됐다. 이밖에 76%의 조직이 콘솔 사용자에게 다단계 인증(MFA)을 적용하지 않고, 특히 58%는 루트/관리자 사용자에게 MFA를 적용하지 않고 있는 것으로 조사됐다.
유닛42 클라우드 위협 보고서는 보안 리더 및 실무자에게 클라우드 보안에 대한 다면적인 시각을 제공하기 위해 2022년에 수집한 대규모 데이터를 사용하여 최신 클라우드 보안 동향을 종합적으로 다뤘다. 중소 규모와 대규모 기업에 영향을 미쳤던 실제 보안 침해 사례를 살펴보고, 수천 개의 멀티 클라우드 환경에서 관찰된 문제를 상세히 기술하는 한편 오픈 소스 소프트웨어(OSS)의 취약점이 클라우드에 미치는 영향을 분석했다.
클라우드 보안은 잘못된 구성과 같은 사용자 오류가 여전히 주요 이슈로 꼽혔으나, 올해 보고서에서는 클라우드 서비스 공급자(CSP)가 제공하는 템플릿과 기본 구성에서 비롯된 문제에 대해서도 짚어냈다. CSP가 제공하는 편리한 설정과 기능은 새로운 기술을 원활하게 도입할 수 있도록 돕지만, 최초의 시점에 가장 안전한 상태를 보장하지 못한다.
오픈소스 소프트웨어는 클라우드 혁명의 원동력 중 하나이다. 그러나 클라우드에서 OSS 사용이 증가하면 복잡성도 증가하여 소프트웨어의 가치가 떨어지거나 사용이 중단되는 소프트웨어가 늘어나고, 악성 콘텐츠 및 패치 적용 주기가 느려진다.
따라서 최종 사용자는 OSS를 애플리케이션에 통합하기 전에 이를 면밀히 검토해야 하는데, 조직 내에서 수천 개의 OSS에 의존하는 수십 개의 프로젝트를 관리해야 하는 경우 많은 어려움이 발생한다.
서비스 거부(DoS) 및 인증 우회는 가장 일반적인 취약점 유형으로, 취약점의 57%를 차지했고, 비영리 리눅스 재단 산하 CNCF(Cloud Native Computing Foundation) 프로젝트에서 가장 많이 사용되는 언어는 Go(61.8%)와 Rust(8.6%)인 것으로 나타났다.
팔로알토 네트웍스는 보고서 분석을 토대로 위협 행위자들이 점점 더 독창적인 방식으로 클라우드 인프라, API, 소프트웨어 공급망 자체의 구성 오류를 노리고 있기 때문에 기업에서도 클라우드 네이티브 애플리케이션의 공격 표면이 지속적으로 확장될 것을 각오해야 하는 시점이라고 진단하며 다음과 같은 사항들을 권고했다.
중단되면 비즈니스 운영에 지장이 생기는 클라우드 워크로드의 경우 자동으로 백업하는 프로세스를 갖춰야 한다. 백업은 여러 지역적 위치에 프로덕션 환경과 격리하여 보호하는 위치에 저장함으로써 단일 장애점이 되지 않도록 해야 하며, 백업을 복구하는 프로세스가 포함된 비즈니스 연속성 및 재해 복구(BC/DR) 계획을 마련해야 한다.
데이터베이스, 블록/객체 스토리지, 스냅샷과 같이 데이터를 지속적으로 유지하는 모든 클라우드 리소스에 대해 저장 데이터 암호화를 활성화한다. 기업에서는 클라우드 네이티브 키 관리 서비스에 키 자료를 가져와 관리함으로써 가장 높은 데이터 주권을 보장하는 것이 바람직하다. 암호화를 정기적으로 교체하여 각 키의 수명 주기를 단축함으로써 자격 증명이 유출되더라도 피해를 줄일 수 있어야 한다.
포인트 보안 솔루션 대신 애플리케이션 개발 수명 주기 전체에 대한 모든 기능을 제공하는 CNAPP(클라우드 네이티브 애플리케이션 보호 플랫폼)을 확보해야 한다.
헬로티 이창현 기자 |
