스폰서 발표 세션 | AWS를 위한 도커, 컨테이너 (이미지) 환경 보안 방안 양희선 부장, TrendMicro AWS 내 보안 접근은 기존의 보안 적용 방식과 많은 차이점이 있습니다. AWS 환경에서는 도커 및 컨테이너를 사용하여 빠르게 서비스를 적용하고 커스터마이징 서비스가 이루어져 동시에 보안을 적용 적용함에 있어 많은 어려움이 있습니다. 호스트 OS 및 독립적인 컨테이너에 대한 많은 위협들이 있고 이러한 위협들을 빠르게 파악하는 동시에 해당 위협 요소를 제거 및 차단하는 방법이 필요합니다. 본 세션에서는 일련의 위협들로 부터 도커 컨테이너 및 컨테이너 (이미지)에 대한 보안 위협들을 알아보고 트렌드마이크로의 Deep Security 및 Smart Check를 통한 효율적인 보안 적용 방법에 대한 가이드를 제시합니다.

1. S U M M I T
S E O U L
© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

2. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
AWS 위한 도커, 컨테이너(이미지) 환경
보안 방안
양희선 부장
클라우드 보안팀
트렌드마이크로

3. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

4. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
환경의 변화
Public
Cloud
Virtual Servers/Desktops
Containers and Serverless기존 응용프로그램을
컨테이너로 안전하게
마이그레이션
마이크로 서비스
보안
하이브리드 클라우드를 위한 컨테이너 보호
AWS

5. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
변화하는 애플리케이션
Physical
servers
Virtual
servers
ContainersCloud
instances
Serverless
Data
Centers
Cloud
기존의 애플리케이션들 = cashflow 새로운 애플리케이션들 = growth
하이브리드 인프라 보안 및 운영

6. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Docker, 컨테이너 2가지 보안 방안
Docker, 컨테이너
보안
컨테이너 이미지
보안
Security Security
2가지 보안 적용 방안 필요

7. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
호스트 보호!
• Docker에서 실행되는 컨테이너 응용 프로그램은 공통 커널(Kernel) 공유
o 가상화 워크로드에는 독립적인 게스트 OS 구성
• 만약 도커 호스트가 손상되면 모든 컨테이너가 위험
• 도커 호스트 보호 필요성 존재 (보안 제품)
Isolated Guest OS Shared Host OS
Kernel

8. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
컨테이너 내부로 보안 확장
• Agent 방식을 통해 Host
OS 와 컨테이너
응용프로그램 모두 보호
필요
• 실시간 Anti-Malware
(AM) 검사를 통해 악성
코드 보호 필요
• IPS로 응용프로그램
취약점을 통한 공격으로
부터 보호 필요

9. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
컨테이너 트래픽 검사
Host OS
• 컨테이너 간의 트래픽의 최적 검사를 위해 보안
에이전트를 구성 필요
• 컨테이너 간의 네트워크 트래픽 검색이 활성화
된 경우
o 네트워크 트래픽 후킹 포인트가 컨테이너의 로컬
인터페이스로 이동됨
o 컨테이너 간 “East-West” 트래픽을 포함한 모든
컨테이너 트래픽이 검색 대상에 포함
o 도커의 포트 매핑에 영향을 받지 않는 정확한 탐지 방법
제공
Container1
Container2
Docker
Containern
…

10. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
도커 및 쿠버네틱스 공격 탐지 , 보안
• 도커 및 쿠버네틱스 자동 감지
• SW 변경 감지
o 업그레이드, 다운그레이드, 제거
• 속성 변경 사항에 대한 바이너리 모니터링
• 프로세스 실행 모니터링
o etcd, Kubelet, Kube-apiserver, 등..
• 중요한 파일에 대한 변경 사항 감지
o Config, certs, keys, yaml files, 등..
• iptables 룰 변경 모니터링
o 허가 받지 않은 포트 변경 보호
• 주요 디렉토리의 사용 권한 변경 감지
• 주요 이벤트 점검
o 예) 비 허가 행위로 발생된 에러
Application
Container
(e.g. NGINX)
Docker Engine
Operating System
Deep Security Agent
Kubernetes
Application
Container
(e.g.Webapp)
Application
Container
(e.g. MySQL)

11. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
컨테이너 보호 방안
도커 배포를 위한 런타임 보호
호스트 OS 보호
도커 보호
컨테이너 보호
전체 스택 보호
쿠버네틱스 보호
물리, 가상 또는 클라우드 컨테이너 노드
Application
Container
(e.g. NGINX)
Docker Engine
Operating System
보안 Agent
Kubernetes
Application
Container
(e.g.Webapp)
Application
Container
(e.g. MySQL)
응용프로그램 보호

12. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

13. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security 기능
IDS / IPS
Web 어플리케이션 보호
애플리케이션 제어
방화벽
취약점 방어(가상 패치)
로그 감사
Log Inspection
안티 멀웨어
(백신)
OS나 어플리케이션의 취약점을
보호
Web어플리케이션의
취약점을 보호
애플리케이션을 가시화하고 통제
방화벽을 통하여 공격을
받을 기회를 경감
디렉토리, 파일, 레지스트리 등의
이상 변경을 감지
중요한 보안
이벤트를 로그에서
효율적으로 발견
악성 프로그램 공격에서 보호
비인가 응용 프로그램을 차단
무결성 모니터링
Integrity Monitoring
응용프로그램 제어
Application Control
침입 방어
(취약점 방어)
방화벽
응용
프로그램
제어
안티 멀웨어
(백신)
로그
감사
무결성
모니터링

14. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
컨테이너에서 DSA 실행
다른 응용 프로그램과 마찬가지로 쿠버네틱스로 보안 프로비저닝 가능
• 컨테이너 에서 DSA 실행
• Helm chart 로 배포
• 쿠버네틱스 클러스터 당 DSA
1개
• 호스트에 설치할 필요 없음
• IPS 및 AM 지원
Application
Container
(e.g. NGINX)
Docker Engine
Operating System
Kubernetes
Application
Container
(e.g.Webapp)
DSA
Container

15. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security 응용프로그램 보안
보안 응용프로그램을 Build 하면 어디서나 배포 가능합니다.
• 가볍게 배포 가능한 보안 라이브러리
– 2분 이내 보안 기능 적용
• 다양한 환경에 보호 가능한 디자인
– 컨테이너형태의 응용프로그램, 서버리스
(예. AWS Fargate)
– 암호화된 채널
• OWASP Top 10 및 추가 기능을 통한
런타임 보호
– Zero day 보호
– SQL injection, OS command injection, 등.
– IPS 및 AM 기능
Docker
Host OS
Kubernetes
Application
Container
(e.g.Webapp)
GKE ECSAKS EKS
Application Protection으로 보안을 설정하면
보안 구성은 코드의 일부 형태로 되며 응용
프로그램과 함께 배포

16. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

17. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Dev Pipeline의 위험요소
Deploy/Runtime
Application
Container
(e.g. NGINX)
BuildCommit Push
• Code Re-use
• Open Source • Public Repositories
• Package
Dependencies
Pipeline에 악성 소프트웨어 및 취약한 소프트웨어 유입

18. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security Smart Check
도커 컨테이너 Build Pipeline 원활한 보안 적용
BuildCommit Push
• 취약점 점검
o 로컬 및 원격 익스플로잇
• 멀웨어 탐지
o 시그니처 + 머신러닝
• 지속적인 스캔
o 항상 현재 탐지 상태
• 스캔 기록 저장
• 자동화를 위한 설계
Runtime을 위한 안전한 이미지 보장
Deploy

19. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
CI/CD Pipeline 통합
레지스트리 스캔
BuildCommit
Scan
Alert
DeployPush
Sign/Promote
Examine
Remediate

20. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Example: Jenkins Pipeline 통합

21. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
CI/CD Pipeline 통합
Build Time 스캐닝
BuildCommit
Scan
Alert
DeployPush
Sign/Promote
Examine
Remediate

22. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Build Time에 이미지 스캔을 하는 이유
• 배포 전 단계에서 개선(비용 감소 효과)
o 빠른 탐지
o 개발자에게 빠른 피드백
• 안전한 이미지만 Registry push
o 이미지 재사용 위험 감소
o 런타임으로 실행될 위험 감소

23. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
레지스트리에서 이미지를 스캔하는 이유
• Runtime을 나타내는 변경 불가능한 이미지
o 정책 집행을 위한 가이드라인
• 지속적인 스캐닝 가능
o 최신 위협 인텔리전스 및 취약성 데이터
o 최신 멀웨어 패턴 반영
• 스캔 히스토리

24. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Smart Check 대쉬보드
모든 이미지를 스캔 했습니까? 어떤 항목이 수정이 필요합니까? 스캔된 내용이 무엇입니까?

25. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
DevOps를 위한 교정 지원
이미지에서 심각도가 높은
취약점이있는 패키지는 무엇입니까? 어떤 취약점이 있나요?
패치는 가능한가요?
패치는 어떤 내용인가요?

26. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security Smart Check
Scan 결과 (Vulnerabilities)

27. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security Smart Check
Scan 결과 (Virus)

28. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Deep Security 컨테이너 보호 : 요약
 다양한 환경을 지원하는 단일 솔루션
 도커 호스트 보안 지원
 응용 프로그램 컨테이너로 보안 확장 지원
 IPS 기능을 통한 컨테이너 스캐닝
 도커 및 쿠버네틱스 프로세스 및 파일 모니터링
 도커 및 쿠버네틱스 이상 징후 모니터링
 Smart Check 배포 후 파이프라인 검사를 통해 취약점, 멀웨어 및
임베디드 점검
 이미지 레지스트리의 지속적인 스캐닝
 Build Time에서 스캔

29. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

30. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
API 자동화
• 보안 제어 및 프로세스를
포함하여 자동화된
프로비저닝 태스크 지원
• 스케일 등 모든 부분을
자동화 지원
• API를 통해 서비스로 보안
기능 제공
• DevOps 도구와 통합
• 보안 코드

31. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Pipeline & 워크로드 보안 자동화
Pipeline 관리 &
배포 도구
환경 &
레지스트리
IT 서비스
관리 도구
AWS
OpsWorks
Amazon
SNS
SIEM
솔루션
AWS

32. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Automation Center Find
Learn
Code
Verify
Get
Help

33. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Automation Center Find
Learn
Code
Verify
Get
Help

34. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
하이브리드 인프라 보안
Data Centers
물리 서버:
AIX, Solaris, HP-UX, Windows
가상 서버:
Windows, Linux
AWS cloud
AWS Direct
Connect
ECS
container
ECS
container Lambda
functionInstances
existing applications = cashflow new applications = growth
Hybrid Infrastructure Security Management AMI Providers
policy management vulnerability management identity management
intrusion prevention & zero-daylog management anti-malware
application whitelisting
Instances
centralized visibility integrity monitoring
Infrastructure as Code
for Security Automation
Hybrid Infrastructure Security Management SaaS Providers
policy management vulnerability management identity management
intrusion prevention & zero-daylog management anti-malware
application whitelisting centralized visibility change management
SaaS
AWS WAF
Rules
GuardDuty
SNS
Inspector
Conifg
AWS Marketplace
VPC

35. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Zero Day 자동화 예.
Recommendation Scan
2. 하이브리드 인프라
전체에 걸친 모든
vintage의 취약성 찾기
3. 하이브리드 인프라 스트럭처 전반에
걸친 모든 vintages에 가상 패치 적용
자동화
1. Zero Day 알람
O-day
2. 모든 AMI,
컨테이너
이미지에서 취약점
발견
3. 모든 취약한 AMI,
컨테이너 이미지에
가상 패치를 자동으로
Push 합니다.
4. 내부 팀에 정기점검
시간에 패치 하도록
전달
Amazon ECR의
‘승인된 이미지’ API
API
CI/CD Pipeline
Runtime
Amazon
SNS
AWS
Lambda

36. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
배포를 위한 연속 적용 화이트리스트 자동화
1. 외부 앱 (타사, 오픈
소스 등)에 코드를
작성하거나 새
업데이트 확인
적용
2. 업데이트중인
대상에 대해
권한이 부여 된
변경 사항을 설정
(예, 배치 패턴 등)
3. 애플리케이션
배포 자동화
4. 규정 준수를
위해 승인 된
변경 알림 기록
AWS
Lambda
AWS
CodeDeploy
API
AWS
CodeCommit
API
보안
Syslog
또는

37. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Docker, 컨테이너 2가지 보안 방안
Docker, 컨테이너
보안
컨테이너 이미지
보안
Deep Security
Deep Security
Smart Check
보안 적용 2가지 방안

38. 여러분의 피드백을 기다립니다!
#AWSSummit 해시태그로
소셜미디어에 여러분의
행사소감을 올려주세요.
AWS Summit Seoul 2019
모바일 앱과 QR코드를 통해
강연평가 및 설문조사에
참여해 주시기 바랍니다.
내년 Summit을 만들 여러분의
소중한 의견 부탁 드립니다.
© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

39. Thank you!
© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
양희선 부장
luke_yang@trendmicro.com

40. © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.