AWS 기반보안적용사례와 DR 대응방안 메가존 최인영부장 정보관리기술사, 수석감리원 AWS Certified Solutions Architect
I. 클라우드의현재 가트너 10 대전략기술에서의 클라우드 " 클라우드사업자의현황 2
가트너 10 대전략기술 2011 2012 2013 2014 클라우드컴퓨팅미디어태블릿그이후모바일대전다양한모바일기기관리 모바일앱과미디어태블릿 모바일중심애플리케이션과인터페이스 모바일앱 & HTML5 모바일앱과애플리케이션 소셜커뮤니케이션및협업상황인식과소셜사용자경험퍼스널클라우드만물인터넷 비디오사물인터넷사물인터넷 차세대분석 앱스토어와마켓플레이스 하이브리드 IT & 클라우드컴퓨팅 하이브리드클라우드와서비스브로커로서의 IT 클라우드 / 클라이언트아키텍처 소셜분석차세대분석전략적빅데이터퍼스널클라우드의시대 상황인식컴퓨팅빅데이터실용분석소프트웨어정의 스토리지급메모리인메모리컴퓨팅인메모리컴퓨팅웹스케일 IT 유비쿼터스컴퓨팅저전력서버통합생태계스마트머신 패브릭기반컴퓨팅및인프라스트럭처 클라우드컴퓨팅엔터프라이즈앱스토어 3D 프린팅 3
클라우드사업자의현황 독보적선도사업자, 42 번의가격인하혁신, 규모의경제 실현 2013 년 Softlayer 인수, Public Cloud 전략 OpenStack 기반 Helion 출시, Hybrid Cloud 전략 Mobile First, Cloud First, 신임 CEO Satya nadella 공식블로그에 4 강진출국가예측, 정교함과혁신적 기술력 4
클라우드사업자의현황 5
클라우드에대한물음표 보안 데이터위탁에따른보안의문제를어떻게극복할것인가? 성능 피지컬리소스에비해성능을안정적으로유지할수있는가? 호환성 기존애플리케이션을클라우드로올려서운용할수있을것인가? 비용 정말클라우드를사용하면비용을절감할수있을것인가? 6
Ⅱ. 보안공유책임모델 AWS 기반해킹사례 클라우드보안공유책임모델 7
CSA 보안위협 9 가지 CSA - Cloud Security Top Threats in 2013 데이터유출 Data Breaches 데이터손실 Data Loss 계정탈취 Account Hijacking 보안성이낮은 API In Secure APIs DoS Denial of Service 내부자위험 Malicious Insiders 클라우드서비스의남용 Abuse of Cloud Services 클라우드서비스에대한인식과주의부족 Insufficient Due Diligence 공유기술취약점 Shared Technology Issues 8
9
AWS Cloud 의문제? 10
클라우드보안책임공유모델 On-Premise Public Cloud(IaaS).. Data App code Customer Responsibility Resource Owners Responsibility App Framework Guest OS Virtual Machine Hypervisor Compute & Storage Shared Network Provider Responsibility Physical Facilities 11
AWS 보안책임공유모델 #1 Shared Responsibility Model for Infrastructure Services Infrastructure services : EC2, EBS, Auto Scaling, VPC 12
AWS 보안책임공유모델 #2 Shared Responsibility Model for Container Services Container services : RDS, EMR, Elastic Beanstalk 등 13
AWS 보안책임공유모델 #3 Shared Responsibility Model for Abstracted Services Abstracted Services : S3, Glacier, DynamoDB, SQS, SES 등 14
AWS 보안책임공유모델정리 AWS 와고객사의책임분담보안모델 Data App code App Framework Guest OS Virtual Machine 고객사 운영체제 애플리케이션 보안그룹 OS 방화벽 네트워크구성 계정관리 애플리케이션검증 Hypervisor Compute & Storage Shared Network Physical Facilities AWS 시설보안 물리적보안 ( 물리적인프라, 네트워크인프라 ) 가상화인프라 외부기관검증, 보고서등인증 15
Ⅲ. AWS SECURITY TIPS AWS Security Tips #13 접근통제의원칙 16
AWS SECURITY TIPS #1 IAM(Identity and Access Management)! 어떤관리자는 Master(Root) 계정을다른동료또는다른팀과공유하여 사용 (Root 에해당하는 Master 계정은관리자수준의접속권한보유 ) Master 계정아래에사용자와그룹을생성하여사용 - 개발그룹 : 개발자, 운영자 - 테스트그룹 : 개발자, QA - 서비스그룹 : 일반사용자, 회계 17
AWS SECURITY TIPS #2 Grant Least privilege! IAM 정책생성시수행업무와역할에관계없이 Full 권한을부여하여 무분별하게사용 작업수행에필요한권한만부여하여권한의남용방지 - Risk 완화 - 무분별하고과다한리소스사용제한 18
AWS SECURITY TIPS #3 Security Policy! AWS 에서기본으로제공하는 IAM User Password Policy 를그대로 사용하고있거나, 주기적으로변경하고있지않음 복잡성 ( 숫자, 특수문자, 암호길이등 ) Password 만료일설정 Password 변경권한설정 Password 재사용제한등 19
AWS SECURITY TIPS #4 MFA(Multi Factor Authentication)! AWS Console 로그인시 Username(ID) 와 Password 한가지인증 요소만을사용하여접속 Username(ID)/Password 인증후 OTP Device 이용하여 AWS Console 접속 - Something You Know - Something You Have - Something You Are - Something You Do 20
AWS SECURITY TIPS #5 Access Keys(Access Key ID, Secret Key)! Access Key ID, Secret Key 관리소홀 Access key ID : AKIAIOSFODNN7EXAMPLE Secret access key : wjalrxutnfemi/k7mdeng/bpxrficyexamplekey 노출되지않도록주의 ( 이메일송수신은삼가 ) Access Key ID, Secret Key 의 주기적인 Credential 교체 21
AWS SECURITY TIPS #6 VPC(Virtual Private Cloud)! 아직도오래전에가입된 Account 에서생성된 EC2 를운영하고있음 (EC2 Classic) EC2 Classic 에서운영되고있는 Instance 가있는지확인후, Migrating EC2 Classic to VPC 22
AWS SECURITY TIPS #7 CloudTrail! 누가, 언제, 어디서, 어떤리소스를어떻게사용했지? 보안분석, 리소스변경사항추적및준수감사를수행할수있을까? CloudTrail을사용하여 AWS Management Console, AWS SDK, CLI 등의서비스를통해이루어진 API 호출기록제공 - Security Analysis - Track Changes to AWS Resources - Troubleshoot Operational Issues 23
AWS SECURITY TIPS #8 Penetration Testing! AWS 에사전요청없이침투테스트수행하여 Blocking 되는사례발생 또한, 이를오해하는경우도있음 사용중인리소스에대한침투테스트를수행하기위해서는 AWS 취약점 / 침투테스트요청양식을작성하여침투테스트수행 요청후 24~48 시간이내연락 24
AWS SECURITY TIPS #9 Backup! 백업정책없이관리되는시스템존재! 특정시점 EBS 볼륨의증분스냅샷을 S3 에저장 S3 : 내구성 99.999999999%, 가용서 99.99%, $0.01 / 1GB / 월 Glacier : Archive 데이터저장, S3 수명관리와연동, S3 보다훨씬저렴 S3 Glacier 25
AWS SECURITY TIPS #10 Stay up to date on security http://blogs.aws.amazon.com/security/ 26
AWS SECURITY TIPS #11 Trusted Advisor! AWS Cloud 에서운영되는 Infra 의 Security 는안전한지, 확인및점검할 방법은없을까? 제한없는특정포트 / 액세스 IAM 사용및암호정책 S3 버킷권한 RDS 보안그룹액세스 루트계정의 MFA 등 27
AWS SECURITY TIPS #12 3 rd Security in AWS Marketplace 28
AWS SECURITY TIPS #13 Be Friendly with AWS & Partner! 장애가발생했을때, 풀리지않는문제가있을때 그리고정말긴급한보안사고가발생했을때? AWS Support Plan AWS Partner Support Plan AWS/AWS Partner 직원과연락하기! ( 모든걸알려주지는않더라도좀더빠른길을안내해줄것입니다.) 29
접근통제의원칙! Need to Know 업무수행에필요한권한만을부여 Least Privileges 최소한의권한만을허용하여권한의남용방지 Separation of Duty 한사람에의해업무가처리되지않도록직무를분리 Deny All 모든것을거부하고확실한것만허용 30
Ⅳ. DR 의필요성 S 사과천데이터센터화재 재해복구 에대한관심 31
2014 년 4 월 S 사데이터센터화재!! 2014 년 4 월 20 일 S 사데이터센터화재사고발생 주요금융계열사서비스중단 - 체크카드사용불가 - 온라인쇼핑몰결제불가 - 홈페이지접속및전자청약불가 - 멤버십카드신청불가등 32
보도기사 - 재해복구 S 사데이터센터화재이후 재해복구 관심도급증! 재해복구는 보험 이아닌 필수! 33
재해발생시피해 정량적측면 재무적요소 매출감소, 수입감소 업무영향 - 업무처리단계증가, 단위업무당처리시간증가 정성적측면 유형적피해 - 고객이탈, 미래영업기회손실, 손해배상, 연관업무지연, 데이터유실 무형적피해 - 대외이미지실추및신임도하락, 감독기관제재 34
DR 절차 업무영향분석 IT 복구전략수립 DRS 설계 / 구축 DRS 운영 주요업무프로세스식별 재해유형식별과발생가능성분석 손실평가 복구우선순위결정 RTO / RPO 업무프로세스와 IT 자원매핑 주요 IT 자원의재해영향분석 IT 자원 RTO / RPO 복구우선순위결정 운영형태결정 ( 독자 / 공동 / 상호 ) 복구수준결정 ( 미러 / 핫 / 웜 / 콜드 ) 위치결정 기술 / 장비 / 솔루션결정 (NW, 복제방식등 ) 구축 테스트 완료 운영조직구성 재해복구절차정립 모의훈련수행 35
ON-PREMISE DR 의고려사항 DRS 설계 / 구축 Cost? 운영형태결정 ( 독자 / 공동 / 상호 ) 복구수준결정 ( 미러 / 핫 / 웜 / 콜드 ) 위치결정 기술 / 장비 / 솔루션결정 (NW, 복제방식등 ) 구축 테스트 완료 Time to Market? Agility? 36
ON-PREMISE DR 의고려사항 Tradeoffs Cost vs. RTO/RPO DR 센터 = Cost 센터! DR 은필수! AWS Cloud 는 DR 의대안! 37
Ⅴ. AWS CLOUD FOR DR AWS Global Infrastructure AWS Cloud Benefits AWS Services for DR DR Scenarios 38
AMAZON WEB SERVICES Amazon Web Services 서비스 History Consumer Business Seller Business 글로벌 IT 인프라비즈니스기업 설립일 : 2006 년 3 월 본사 : 미국시애틀 인프라 : 10 개 Region 보유 고객수 : 190 여개국, 수십만명 + IT Infrastructure Business 20 13 20 12 20 11 20 10 20 09 20 08 20 07 280+ features 120 features (Dynamo DB, Cloud Search, Storage Gateway) 82 features (Elastic Beanstalk, Simple Email Service, ElastiCache) 61 features (Route 53, Singapore Region, Identity Access Management) 48 features (Elastic Map Reduce, Auto Scaling Elastic Load Balancer) 24 features (SimpleDB, CloudFront, EBS,Auto Scaling, Availability Zones) 9 features AWS 는전세계 190 여개국에수십만명의고객에게서비스를제공하고있으며, 매년빠른속도로새로운서비스및 Feature 를늘려가며지속적으로성장 39
AWS GLOBAL INFRASTRUCTURE 10 Regions 26 Availability Zones Oregon(3) GovCloud Ireland(3) California(3) Virginia(5) Beijing(1) Tokyo(3) 53 Edge Locations Singapore(2) São Paulo(2) Sydney(2) 40
AWS DR BENEFITS No Up-Front Capital Expense Low Cost Pay Only for What You Use Self-Service Infrastructure Easily Scale Up/Down, Out/In Improve Agility & Time-to-Market Deploy 41
AWS DR BENEFITS No Up-Front Capital Expense On-Premise Up-Front On-Premise Costs Physical Space Cabling Power Cooling Networking Racks s Storage Certification Labor Cloud Computing Variable Cloud Computing Costs $0 to Get Started 42
AWS DR BENEFITS Infrastructure Cost Pay Only for What You Use Excess Expenditures 2 nd Physical Site Expenditures Time Test Test DR 43
AWS DR BENEFITS Number of EC2 Instances Easily Scale Up and Down 5,000 Internet Video App on Amazon EC2 From 50 to 5,000 servers in 3 days Scaled to peak of 5,000 instances in 3 days Launch of Facebook application 0 Monday Tuesday Wednesday Thursday Friday Saturday Sunday 44
Ⅵ. AWS DR SCENARIOS AWS Services for DR DR Scenarios 45
AWS DR SCENARIOS Backup and Restore Pilot light for quick recovery into AWS Warm standby solution in AWS Multi-site solution deployed on AWS and on-site 46
#1 BACKUP & RESTORE Backup to S3 Amazon Route 53 Traditional server Data copied to S3 AWS Import/Export Bucket with Objects Customer Infrastructure 47
#1 BACKUP & RESTORE Restore from Amazon S3 into AWS Instance Data copied from objects in S3 Amazon EC2 Instance quickly provisioned from AMI Data Volume Pre-bundled with OS and applications S3 Bucket AMI Availability Zone AWS Region 48
#2 PILOT LIGHT FOR QUICK RECOVERY Pilot Light in Non-DR Phase www.example.com Reverse Proxy / Caching Application Reverse Proxy / Caching Application Not Running Database Data Volume Data Mirroring / Replication Database Data Volume Smaller Instance 49
#2 PILOT LIGHT FOR QUICK RECOVERY Pilot Light in Disaster Phase www.example.com Reverse Proxy / Caching Application Reverse Proxy / Caching Application Not Running Database Database Smaller Instance Data Volume Data Volume 50
#2 PILOT LIGHT FOR QUICK RECOVERY Pilot Light in Recovered Phase www.example.com Reverse Proxy / Caching Application Reverse Proxy / Caching Application Start in Minutes Database Data Volume Database Data Volume Resize Instance to Prod Capacity 51
#3 WARM STANDBY www.example.com Active Amazon Route 53 Warm Standby in Non-DR Phase Not Active for Production Traffic On site Reverse Proxy / Caching Application Master Database Data Volume Application Data Source Cut Over Mirroring / Replication Reverse Proxy / Caching Application Slave Database Data Volume Elasti c Load Balan cer 52
#3 WARM STANDBY www.example.com Active Amazon Route 53 Standby Scaled Up in DR Phase Active On site Reverse Proxy / Caching Application Database Data Volume Reverse Proxy / Caching Application Master Database Data Volume Elasti c Load Balan cer 53
#4 MULTI-SITE HOT STANDBY www.example.com Amazon Route 53 Multi-Site Hot Standby in Non-DR Phase Active Active On site Reverse Proxy / Caching Application Master Database Data Volume Applica tion Data Source Cut Mirroring / Replication Over Reverse Proxy / Caching Application Slave Database Data Volume Elasti c Load Balan cer 54
#4 MULTI-SITE HOT STANDBY www.example.com Amazon Route 53 Multi-Site Hot Standby in Non-DR Phase Active Active On site Reverse Proxy / Caching Application Database Data Volume Reverse Proxy / Caching Application Master Database Data Volume Elasti c Load Balan cer 55
#4 MULTI-SITE HOT STANDBY www.example.com Amazon Route 53 Multi-Site Hot Standby in Non-DR Phase Reverse Proxy / Caching Application Health Check Keeps working systems in service Application Data Source Cut Over Reverse Proxy / Caching Application Master Database Data Volume Availability Zone A Mirroring / Replication Slave Database Data Volume Availability Zone B 56
Ⅶ. 맺음말 57
맺음말 Start Small Risk 가적고, 규모가작은서비스를대상으로백업부터시작하기 Try First Free-tier 와 No-upfront cost Test Driven Test DR Plan - Do - Check - Act With Trusted AWS Partner! 신뢰할수있는파트너와함께시작하기 58
최인영 부장 메가존