글로벌클라우드금융서비스와 정보보호전략 아마존웹서비스 신용녀이사 2016, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
목차 클라우드보안 AWS 책임공유모델 더나은가시성 더나은제어 더나은감사기능
전통적인방식 정적이고고정적인시스템 다계층보안 데이터센터의물리적인보안 네트워크보안 시스템보안 데이터보안
Cloud applications have amorphous, polymorphic attack surfaces. - Jason Chan Director of Engineering, Cloud Security Netflix
월요일금요일휴가시즌의끝
클라우드의다이나믹한환경을전통적인보안접근방식으로잘방어할수있을까요?
폭넓은 AWS 클라우드서비스 TECHNICAL & BUSINESS SUPPORT AWS MARKETPLACE MANAGEMENT TOOLS PLATFORM SERVICES ENTERPRISE APPS HYBRID CLOUD MANAGEMENT Support Professional Services Big Data & HPC Business Apps Queuing Notifications Analytics Data Warehousing Hadoop Mobile Sync Identity Development Containers Source Code App Mobile & Web Front-end Functions Virtual Desktops Sharing & Collaboration Direct Connect Identity Federation Partner Ecosystem Security Search Streaming Push Notifications Build Tools Identity Email & Calendaring Deployment Training & Certification Development Orchestration Email Data Pipelines Machine Learning Mobile Analytics Mobile Backend Deploymen t DevOps Data Store Real-time Directories Storage Gateway Backups Integrated Management Account Management Backup SECURITY & MANAGEMENT Solutions Architects Databases Virtual Private Networks Identity & Access Encryption Keys Configuration Monitoring Dedicated Security & Pricing Reports Industry Solutions Regions Availability Zones Compute INFRASTRUCTURE SERVICES Storage O b j e c t s, B l o c k s, F i l e s Databases SQL, NoSQL, Caching Networking CDN
AWS 와고객이보안에대한책임분담 Customers Platform, Applications, Identity & Access Management Operating System, Network & Firewall Configuration Client-side Data Encryption AWS Foundation Services Customer content Server-side Data Encryption Network Traffic Protection Compute Storage Database Networking AWS Global Infrastructure Availability Zones Regions Edge Locations Customers are responsible for their security IN the Cloud AWS is responsible for the security OF the Cloud
모든고객은동일한 AWS 보안기초위에 Customers Platform, Applications, Identity & Access Management Operating System, Network & Firewall Configuration Client-side Data Encryption Customer content Server-side Data Encryption Network Traffic Protection Customers are responsible for their security IN the Cloud Independent validation by experts Every AWS Region is in scope SOC 1 (SSAE 16 & ISAE 3402) Type II SOC 2 Type II and public SOC 3 report ISO 27001 Certification Certified PCI DSS Level 1 Service Provider FedRAMP Certification, HIPAA capable
보안은 AWS 의최우선순위과제입니다! 고객층의증가와더불어더나은서비스제공을위해보안, 규제 / 감사, 거버넌스관련다양한업데이트를빠르게진행 722 보안, 거버넌스, 컴플라이언스, 감사관련신규서비스출시및업데이트 기타신규서비스출시및업데이트 514 269 (37%) 48 61 82 159 280 2007 2008 2009 2010 2011 2012 2013 2014 2015 2015 년에는전년대비 40% 증가한, 722 건의새로운서비스및기능을출시
AWS 는주요규제 / 표준 / 모범사례를준수합니다. 보안기준을지속적으로개선하기위해서모든것을구축합니다
규제 / 표준준수 - 스토리지보안 독자적인스토리지관리기능으로타인의데이터접근완벽히통제 사용전디스크청소 (Disk Wiping) 데이터저장시고객이직접암호화적용가능 산업표준에따른디스크폐기처리
이렇게 이것이
우리의경험을바탕으로보면, AWS 클라우드가 우리의데이터센터보다 더안전할수있다고생각합니다 Tom Soderstrom, CTO, NASA JPL
AWS 의보안은여러분이지금수행하고있는것과같은익숙함을제공하기위해서지속적으로노력하고있습니다. 가시성 (Visibility) 제어 (Controllability) 감사기능 (Auditability)
더나은가시성 ( 네트워크, 시스템, 감사 )
가시성: 보안의 기본 속성 여러분의 데이터 센터를 보면 한눈에 전체의상황이 다 들어오는 것을 원하시겠지만, 보통 이런 그림을 보시게 됩니다.
가시성 : 보안의기본속성 하지만클라우드에서는 인프라 = software! 변경이빈번하게발생하고, 자동화되며, 즉각반영된다. 리소스등이서로연계되어있음. 셀프서비스와민첩성.
AWS CloudWatch AWS 리소스와 AWS 기반어플리케이션에대한모니터링서비스 EC2 취합과추적항목들 ELB Route 53 EBS AutoScaling 빌링 Custom EMR SNS SQS EBS RDS Storage Gateway CloudFront DynamoDB ElastiCache 모니터링과로그저장 경보설정 그래프와통계조회
AWS Trusted Advisor Security
AWS Inspector Agent 기반 - 어플리케이션보안수준진단 보안진단결과 가이드제공 API 를통한자동화 Rule Package CVE (common vulnerabilities and exposures) 수천개항목 Network security best practices 4 개항목 Authentication best practices 9 개항목 Operating system security best practices 4 개항목 Application security best practices 2 개항목 PCI DSS 3.0 readiness 25 개항목
더나은제어 ( 데이터, 사용자, 네트워크 )
컴퓨팅과스토리지의위치를고객이직접선택가능
퍼스트클래스보안및규정준수는 암호화로시작됩니다 ( 그리고끝나지않습니다!)
AWS KMS - 암호화키생성 / 보관 / 관리 암호화키를안전하게생성 / 보관 / 관리해주는관리형서비스 ( 전송중 / 저장시암호화 ) Customer Master Key(s) 중앙집중암호화키관리 : EBS S3 Redshift AWS SDK Data Key 1 Data Key 2 Data Key 3 Data Key 4 AWS CloudTrail Amazon S3 Object Amazon EBS Volume Amazon Redshift Cluster 자세한내용을담고있는백서 : KMS Cryptographic Details.
AWS Key Management Service Integrated with Amazon EBS
AWS Identity and Access Management (IAM) AWS 서비스와리소스에대한안전한접근통제. 사용자이름 / 사용자 사용자그룹관리 중앙화된접근제어관리 계정에서누가무엇을할수있는지제어 사용자, 그룹, 롤 (Role) 및권한 제어 중앙집중식 잘갖춰진 APIs, 자원및 AWS 관리콘솔 보안 기본적으로안전함 ( 거부규칙 ) 다중사용자, 개별보안신원및권한
네트워크서비스 : VPC(Virtual Private Cloud)
더나은감사기능 ( 컴플라이언스, 히스토리, 로그 )
AWS CloudTrail AWS 상의모든관리작업에대한로깅 모든작업은 API 콜로처리됨... 사용하는서비스와인스턴스들이늘어남에따라 CloudTrail 은계속해서모든 API 요청들에대해신뢰성있는기록을수행
AWS Config AWS 리소스에대한인벤토리관리와구성정보변경관리및통보 (AWS SNS) 보안분석 : 나는안전한가요? 규정감사 : 어디에증거가있나요? 변경관리 : 이변경에대한영향은? 문제해결 : 무엇이변경되었나요? 감사보안분석변경관리 Troubleshooting Discovery 컴플라이언스
AWS Config Rules 변경된내역에대해검증하는규칙설정 AWS가제공하는내장된규칙사용 AWS Lambda를활용한커스텀규칙지원 지속적인진단수행을자동화 컴플라이언스시각과나위험한변경을식별하기위해대쉬보드제공
AWS Config Rules
AWS Config Rules
AWS Marketplace: 네트워크 / 보안파트너생태계 인프라보안로깅모니터링계정및접근제어구성및취약점제어데이터보호 SaaS SaaS SaaS
사례연구 : 암호화기반의빅데이터분석 " 나스닥그룹은클라우드도입이후아마존 Redshift 를사용하기때문에매우만족하고있다. 현재, 매일우리가아마존 Redshift 에 55 억행데이터가처리되고있습니다. -- Nate Simmons, Principal Architect What Nasdaq 요구사항 기존데이터웨어하우스의저렴하게교체 비용은줄이고, 데이터용량및처리는증대 왜 AWS ( 특히아마존 Redshift) 를선택 보안및규정준수요구사항을충족 현재전제된기능을희생하지않고비용을개선 기대효과 아마존 Redshift 에하루평균데이터의 55 억행처리가능 (2014 년 10 월의피크날, 데이터의 140 억행처리 ) 회사내여러부서에서데이터를접근및분석, 처리가가능한환경구현 http://aws.amazon.com/cn/solutions/case-studies/nasdaq-finqloud/ http://aws.amazon.com/solutions/case-studies/nasdaq-omx/
사례연구 : 규제감시및리스크사전분석 " 시장에서 AWS 모니터링플랫폼을사용하여우리는 40 % 의비용절감을달성할것으로예상하지만, 더중요한장점은새로운비즈니스를얻는것입니다 : 우리가할수있는일에집중하고새로운혁신을할수있는것은귀중한혜택입니다. -- Steve Randich, CIO FINRA 요구사항 시장감시인프라를구축하는플랫폼 300 억건의매일발생하는시장이벤트의저장및분석을위한지원 AWS 를선택한이유 FINRA 의보안및요구사항만족 유연한플랫폼 ( 하둡, 하이브및 HBase 를 ), 아마존 EMR, 아마존 S3 동적클러스터배포를통한구축 기대효과 유연성, 속도와비용절감을증가 AWS 를사용하는비용은 $1 에서 $1M 까지탄력적으로활용할수있었음 http://aws.amazon.com/cn/solutions/case-studies/finra/
사례연구 : 고성능컴퓨팅 (HPC) "AWS 를사용하여, 최대 10 일이내우리가원하는결과를도출하고최소 10 분이내컴퓨팅을활용하여분석및시뮬레이션을완료할수있었다. 빠르게변화하고있는정보와이벤트를찾아내는능력을확대할수있었다. -- Peter Phillips, Managing Director Aon 요구사항 고성능컴퓨팅을통한고차원산술및분석 적은비용으로단시간에결과를얻을수있는컴퓨팅 AWS 를선택한이유 저가의그래픽컴퓨팅능력그래픽처리장치 ( 또는 GPU 에 ) 의빠른확장 전반적기술컴퓨팅환경과기능을제공하며, 빠른전개 기대효과 AWS 작업으로불과몇분에보험정책을검증하고다시계산이가능. 프로그램의위험을빠르게분석해서고객에게더나은상품을제공하고평가할수있음 비용절감은고객의보험료를줄이기위해사용 http://aws.amazon.com/cn/solutions/case-studies/aon/
사례연구 : 클라우드올인은행 " 데이터센터와백업및재해복구센터에대한전면재조정함에따라 8 개의센터에서 3 개의센터까지조정을완료하고최종적으로는 2 개의센터만유지하는것을결정 : 우리가할수있는일에집중하고새로운혁신을할수있는것은귀중한혜택입니다. CapitalOne 요구사항 최신 IT 기술수용및환경도입에따른클라우드기반의플랫폼체계수립 AWS 를선택한이유 클라우드기반의 IT 운영및관리체계로 IT 서비스사 / 파트너등계층없이실시간직접확인가능 기대효과 4 개사업부로확대적용 (Retail Bank/Investing/Auto Finance/IT-InfoSec) 데이터센터이관완료로인해년간 1 조 5 천억 IT 운영및자산에대한관리비용절감 (500 개 App, 4000 개운영 VM) https://aws.amazon.com/ko/solutions/case-studies/capital-one/
더이상보안은 클라우드도입을가로막는 걸림돌이아닙니다!
이제는보안과규제준수가 클라우드를도입하는 중요한이유가되고있습니다!
SEOUL