클라우드는 아직 완숙한 기술은 아니다. 무르익어 가고 있지만 딱 거기까지다. 그래서 수년 전의 문제가 그대로 남아 있고, 내년까지도 이어질 전망이다. 그래서 2023년 클라우드 보안과 관련된 예측은 쉽고 뻔하다.

[보안뉴스 문가용 기자] 클라우드로 체제를 전환하는 게 미래로 가는 길이라는 이야기야 예전부터 많이 나왔지만, 팬데믹처럼 우리를 클라우드 속으로 강력하게 밀어넣은 손길은 이제까지 없었다. 그러나 너무 성급하게 이쪽으로 넘어온 것일까. 아니면 미래라는 곳이 원래 그런 곳이었을까. 보안 사고가 더 다양해지고 늘어나는 것만 같은 인상을 지울 수가 없다. 2023년에도 클라우드와 관련된 사고들이 끊이지 않을 것은 분명한데, 이를 크게 네 가지 C로 나눠보았다.


[이미지 = utoimage]

C 1 : Configuration
클라우드에 대한 ‘간보기’가 겨우 있을까 말까 했던 저 먼 옛날부터 있어 왔던 사고 유형은 바로 설정 오류로 인한 정보 유출이다. 클라우드를 사용하는 것에 익숙치 않아서, 아니면 그날 클라우드 담당자가 컨디션이 좋지 않아서, 혹은 기타 등등의 이유로 클라우드 설정을 잘못하여 원래는 내부에서만 접속해야 하는 정보가 온 세상에 노출되는 것이다. 암호를 설정해 두고 비공개로 전환해야 하는데 이걸 깜빡 잊고 전체 공개로 유지하는 바람에 생기는 일이다.

클라우드 생태계에서 가장 많이 일어나고, 그러므로 가장 많은 데이터를 유출시키는 사고 유형이 바로 이 설정 오류로 인한 사고다. 클라우드에 대량으로 정보를 저장해두는 것이 보통이기 때문에 이 유형의 사고가 한 번 일어나면 수천만 건의 정보는 우습게 노출된다. 한 건 한 건 덩치가 크고 빈번하기까지 하다. 이 때문에 한 때는 해커들이 더 이상 정보를 훔치지 않아도 된다는 이야기가 나올 정도였다. 아무리 클라우드에 능숙해도 한 번의 실수 때문에 벌어질 수 있는 일이라 2023년에도 빈번히 헤드라인을 장식할 거라 예상된다.

C 2 : Complexity
클라우드의 활용이 무르익어가면서 가장 많이 도입되는 전략은 ‘멀티클라우드’ 혹은 ‘하이브리드 클라우드’다. 하이브리드는 온프레미스 체제와 클라우드 망을 동시에, 복합적으로 유지하는 것을 말한다. 멀티클라우드는 여러 종류의 클라우드 서비스를 동시에 이용하는 것이다. 하이브리드의 경우 기존 온프레미스 체제의 익숙함을 어느 정도 유지할 수 있다는 게 장점이고, 멀티클라우드는 하나의 클라우드에 종속되지 않아 보다 안정적이라는 게 장점이다.

그러나 이렇게 되면서 클라우드가 점점 복잡해지는 중이다. 클라우드 서비스마다 인터페이스도 다르고 특장점과 단점도 달라 담당자들이나 사용자들 편에서 학습할 것도 많고, 보안 담당자라면 모니터링하고 확인해야 할 것이 기하급수적으로 늘어난다. 이 클라우드에서는 제공되는 보안 기능이 다른 클라우드 환경에서는 안 될 때도 있고, 같은 보안 기능을 클라우드 서비스마다 새롭게 설정해야 할 수도 있다. 그러면서 실수가 유발되고 공격 표면은 커진다. 서로 다른 클라우드를 하나의 인터페이스로 제어할 수 있게 해 주는 서드파티 솔루션들이 나오고 있는데, 2023년에는 이런 서비스들이 각광을 받을 것으로 예상된다.

C 3 : Chronic Disease
2번째 C인 complexity와 관련이 있는 것으로, 클라우드의 고질적인 질병(chronic disease)인 ‘가시성’은 내년에도, 그리고 그 후에도 계속해서 클라우드 사용자들의 골칫거리로 남아 있을 전망이다. 클라우드 내부에서 무슨 일이 벌어지고 있는지를 제대로 볼 수 있어야 하는데 아직까지 사용자들 속이 시원할 정도로 가시성이 제공되지는 않고 있다. 점점 나아지고 있기는 하지만 아직 일부에 그칠 뿐이다. 그런 상태에서 멀티클라우드나 하이브리드 체제가 굳혀져 가고 있으니 문제는 더 심각해지고 있다. 클라우드 생태계에서는 만병의 근원이 바로 이 가시성이다.

C 4 : Credentials
아직까지는 아무리 뛰어난 해커들이라고 하더라도 아마존이나 구글, MS의 유명 클라우드 서비스를 정면으로 뚫어내지는 못하고 있다. 직접 이런 회사들의 클라우드 서버에 침투해 사용자 기업들의 데이터를 전부 삭제한다든가 가져가는 일은 없는 것이다. 대부분 클라우드 환경에서 일어나는 사고라고 한다면 사용자 기업의 클라우드 계정이 도난당하는 수준에서 그치고 있다. 다행이라면 다행인데, 다시 생각해보면 그렇지도 않다. 계정 도난은 고리를 끊어내기가 쉽지 않은 유형의 공격이기 때문이다.

기초적인 피싱 공격과 소셜엔지니어링 공격으로 그 비싸고 탄탄한 첨단 기술 클라우드가 허무하게 뚫린다는 게 우리에겐 헛웃음 나는 일이지만 공격자들에게는 ‘공격의 가성비가 좋다’는 의미가 된다. 어쩌면 오늘도 어디선가 사용자의 클라우드 계정을 손쉽게 낚아챘기 때문에 공격자들이 굳이 대형 클라우드 업체를 정문에서부터 따고 들어가지 않는 것일 수도 있다. 크리덴셜을 훔쳐내는 가성비 좋은 방법이 있는데 굳이 그런 수고를 할 이유가 없다. 클라우드 업체가 아무리 강력한 보안을 자랑해도 사용자가 크리덴셜 관리를 허투루 하면 아무 소용이 없다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>