CloudSec 2015 in Korea

1. 클라우드 보안, 고객사례를 중심으로
기영삼
상무
메가존 | 플랫폼 서비스 그룹
#CLOUDSEC

2. WHO WE ARE?
메가존은 누구인가?
2www.cloudsec.com | #CLOUDSEC

3. 3
메가존
설립일자
임직원 수
본사
1998
278
서울, 대한민국
고객 수
파트너쉽
+ 1,000
+ 20
하노이, 베트남해외사무소
 디지털 에이전시 그룹
 디지털 마케팅 그룹
 플랫폼 서비스 그룹

4. 4
AWS TRACK RECORDS
 1st AWS 레지스터드 파트너
 1st AWS 스탠다드 파트너
 1st AWS 어드밴스드 파트너
 세계유일 AWS 인증 서포트 프로그램 제공
 +100 고객사
 +400 어카운트

5. 5
AWS TRACK RECORDS

6. 6
주요 고객사

7. CLOUD MARKET
7www.cloudsec.com | #CLOUDSEC

8. 8
Data source : “Worldwide Quarterly Cloud IT Infrastructure Tracker” by IDC 2015
Worldwide Cloud IT Infrastructure Market
빠르게 성장하는 시장
 U$ 32 B, 2015
 성장률 21%
 전체 IT 지출 중 33%
 U$ 52 B, 2019
 CAGR 14%
 전체 IT 지출 중 45%

9.  비용절감
 IT 기술의 부족
 복잡성의 단순화
 글로벌 확장
 타임 투 마켓 – 속도
 비즈니스 다변화
클라우드 이전의 이유는?

10. DRIVERS : CLOUD MIGRATION

11. 11
SECURITY, SELECTION CRITERIA

12. 12
SECURITY, NO.1 ISSUE

13. 13
SECURITY, NO.1 ISSUE

14. 14
REPORT CASE A
Data source : “Cloud Security Spotlight report” by bitglass

15. 15
REPORT CASE A
Data source : “Cloud Security Spotlight report” by bitglass

16. 16
Data source : “Cloud Security Spotlight report” by bitglass
REPORT CASE A

17. 17
REPORT CASE B
Data source : “Cloud: Driving a Faster, More connected Business” by HBR, sponsored by Verisign 2014
클라우드 사업자 선정 시 중요 요소는?
29
26
18
18
Security practice
Interoperate
Compliance
Long term viability
클라우드가 보안에 미친 영향은? 도입 후
34
39
10
17
Neutral
Positive
Negative
Not applicable

18. 클라우드 보안 공유 책임모델
18www.cloudsec.com | #CLOUDSEC

19. 19
1
2
3
4
5
6
7
8
9
Data Breaches
Data Loss
Account Hijacking
Data Insecure interface & APIs
Denial of Service
Malicious Insiders
Abuse of Cloud Service
Insufficient Due diligence
Shared Technology Issues
데이터 유출
데이터 손실
계정 탈취
보안성이 낮은 인터페이스 & API
서비스 거부
내부자 유출
클라우드 서비스의 남용
공유기술 이슈
불충분한 절차
클라우드 보안의 주요 위험들

20. Hypervisor
Virtual Machines
Data
Interface (APIs, GUIs)
Application & Solution Stack
Guest Operating System
Compute & Storage
Shared Network
Physical Facilities / DCs
IT Layer On Premise
전통적인 고객의 책임범위

21. Hypervisor
Virtual Machines
Data
Interface (APIs, GUIs)
Application & Solution Stack
Guest Operating System
Compute & Storage
Shared Network
Physical Facilities / DCs
IT Layer On Premise IaaS PaaS SaaS
공유 책임범위

22. 22
Infrastructure services : EC2, EBS, Auto Scaling, VPC
AWS 보안책임 공유모델 1
AWS Foundation Services
Compute Storage Database Networking
AWS Global
Infrastructure Regions
Availability Zones
Edge Locations
Optional – Opaque data: 1’s and 0’s (in transit/at rest)
Platform & Applications Management
Customer content
Client-Side Data encryption
& Data Integrity Authentication
Network Traffic Protection
Encryption / Integrity / Identity
AWSIAMCustomerIAM
Operating System, Network & Firewall Configuration
Server-Side Encryption
Fire System and/or Data
Customers
Managed by
Managed by

23. 23
Container services : RDS, EMR, Elastic Beanstalk 등
AWS 보안책임 공유모델 2
Customers
Managed by
Managed by
AWS Foundation Services
Compute Storage Database Networking
AWS Global
Infrastructure Regions
Availability Zones
Edge Locations
Optional – Opaque data: 1’s and 0’s (in transit/at rest)
Firewall
Configuration
Platform & Applications Management
Operating System, Network Configuration
Customer content
Client-Side Data encryption
& Data Integrity Authentication
Network Traffic Protection
Encryption / Integrity / Identity
AWSIAMCustomerIAM

24. 24
Abstracted Services : S3, Glacier, DynamoDB, SQS, SES 등
AWS 보안책임 공유모델 3
AWS Foundation Services
Compute Storage Database Networking
AWS Global
Infrastructure Regions
Availability Zones
Edge Locations
Platform & Applications Management
Operating System, Network & Firewall Configuration
Customer content
Optional – Opaque Data: 1’s and
0’s
(in flight / at rest)
Network Traffic Protection by the Platform
Protection of Data at Rest
Network Traffic Protection by the Platform
Protection of Data at in Transit
Client-Side Data Encryption
& Data Integrity Authentication
AWSIAM
Customers
Managed by
Managed by

25. CASE A
계정탈취 사례
25www.cloudsec.com | #CLOUDSEC

26. 26
1
2
3
4
5
6
7
8
9
Data Breaches
Data Loss
Account Hijacking
Data Insecure interface & APIs
Denial of Service
Malicious Insiders
Abuse of Cloud Service
Insufficient Due diligence
Shared Technology Issues
데이터 유출
데이터 손실
계정 탈취
보안성이 낮은 인터페이스 & API
서비스 거부
내부자 유출
클라우드 서비스의 남용
공유기술 이슈
불충분한 인식, 절차
CLOUD SECURITY TOP THREAT

27. 27
모바일 게임회사 사례 A
 모바일 게임 스튜디오
 서비스 대상지역 : 한국, 태국
 7 명의 인력
 1 명의 인프라 담당자
 월 U$ 200 ~ 300 개발서버 사용

28. 28
고객사례 A | 계정탈취

29. 29
고객사례 A | 계정탈취

30. 30
고객사례 A | 계정탈취
Identity and Access Management

31. 31
 제한 없는 특정 포트/액세스
 IAM 사용 및 암호 정책
 S3 버킷 권한
 RDS 보안 그룹 액세스
 루트 계정의 MFA 등
AWS TRUSTED ADVISOR
AWS Cloud에서 운영되는 Infra의 Security는 안전한지, 확인할 방법은 없을까?

32. CASE B
Denial of Service
32www.cloudsec.com | #CLOUDSEC

33. 33
1
2
3
4
5
6
7
8
9
Data Breaches
고객사례 B | 서비스 거부
Data Loss
Account Hijacking
Data Insecure interface & APIs
Denial of Service
Malicious Insiders
Abuse of Cloud Service
Insufficient Due diligence
Shared Technology Issues
데이터 유출
데이터 손실
계정 탈취
보안성이 낮은 인터페이스 & API
서비스 거부
내부자 유출
클라우드 서비스의 남용
공유기술 이슈
불충분한 인식, 절차

34. 34
고객사례 B | 서비스 거부
 유통업체 B사
 스포츠, 화장품 전자상거래
 서비스 지역 : 한국, 일본, 중국

35. 35
고객사례 B | 서비스 거부

36. 고객사례 B | 서비스 거부
36

37. 37
DDOS 공격 최근 트렌드
 인프라스트럭쳐 공격 (Layer 3,4)
전체 공격의 78% 정도 (손쉬운 공격 실행)
평균공격규모 900 Mbps (50% 정도는 500 Mbps 이하)
 어플리케이션 공격 (Layer 7)
모든 공격 중 22% 정도는 포트 80 & 443 (방어하기 어려움!)
 Multi-Vector – 다양한 유형의 공격을 섞어서 실행
 치고 빠지기 (91% < 1시간 이내)
Data source Arbor Networks

38. 38
AWS 베스트 프랙티스
DDOS에 대한 AWS 대응방안
1. 공격대상이 될 수 있는 노출 엔드 포인트의 최소화
2. 정상적인 트래픽 (사용자) 패턴을 숙지
3. 공격을 흡수할 수 있는 확장 가능한 아키텍처 설계
4. 확장이 어렵고 중요한 자원의 집중 보고
5. DDoS 공격에 대한 사전 계획 수립

39. 39
AWS 베스트 프랙티스 #1
DDOS에 대한 AWS 대응방안
1. 공격대상이 될 수 있는 노출 엔드 포인트의 최소화
 백앤드 서버들은 퍼블릭 서브넷에 노출 금지
 서비스 서버에 불필요한 Port 및 IP 접근 차단
 인프라 외부접속 포인트(Bastion서버)를 숨기거나 제거
장점
 공격자 목표로 할 수 있는 유효 공격 대상 감소
 모니터링 및 보호대상 자원 감소

40. 40
AWS 베스트 프랙티스 #2
DDOS에 대한 AWS 대응방안
2. 정상적인 트래픽 (사용자) 패턴을 숙지
 시간 별 패턴 및 사용자 이벤트 시 트래픽 레벨 확인
 인프라 서비스 한계시점에 따른 경보 설정
장점
 비정상적인 패턴을 신속하게 감지
 침해 발생 시 수사를 위한 참고자료 사용가능

41. 41
AWS 베스트 프랙티스 #2

42. 42
AWS 베스트 프랙티스 #3
DDOS에 대한 AWS 대응방안
3. 공격을 흡수할 수 있는 확장 가능한 아키텍처 설계
 상황에 따라 자동으로 용량 확장 및 감축
 엣지서비스 (Cloud Front, Route 53)를 활용하여 수용력 호가장
 고 가용성 인프라 구축 (> 멀티 Azs)
장점
 공격자 피로도 증가
 대응방안에 대한 고려 시간 확보

43. 43
AWS 베스트 프랙티스 #3

44. 44
AWS 베스트 프랙티스 #3

45. DISASTER RECOVERY ON AWS
AWS에서의 DR
45www.cloudsec.com | #CLOUDSEC

46. 46
AWS GLOBAL INFRASTRUCTE
Region
Edge Location
11 Regions
29 Availability Zones
53 Edge Locations

47. 47
AWS DR SCENARIOS
A
B
C
백업과 복구
빠른 복구를 위한 파일롯 라이트
웜 스탠바이 솔루션
D 멀티 사이트 솔루션

48. 48
Customer Infrastructure
Amazon
Route 53
Bucket
with
Objects
Data copied
to S3
Legacy
server
AWS
Import/Export
A. 백업과 복구
S3 : 99.999999999%

49. 49
AvailabilityZone
AWS Region
AMI
Instance
S3 Bucket
Pre-bundled
with OS and
applications
Instance
quickly
provisioned
from AMI
Data copied
from objects
in S3
Data
Volume
Amazon EC2
Restore from Amazon S3 into AWS
A. 백업과 복구

50. 50
www.example.com
Data Mirroring /
Replication
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Not Running
Smaller Instance
“Pilot Light” in Non-DR Phase
B. 빠른 복구를 위한 파일롯 라이트

51. 51
www.example.com
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Not Running
Smaller Instance
“Pilot Light” in Disaster Phase
B. 빠른복구를 위한 파일롯 라이트

52. 52
www.example.com
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Application
Server
Database
Server
Start in Minutes
Resize Instance to
Prod Capacity
“Pilot Light” in Recovered Phase
B. 빠른 복구를 위한 파일롯 라이트

53. 53
Mirroring / Replication
Data
Volume
Application
Server
Master
Database
Server
Reverse
Proxy /
Caching
Server
Application
Data Source
Cut Over
Data
Volume
Slave
Database
Server
Application
Server
Reverse
Proxy /
Caching
Server
Elastic
Load
Balancer
On site
Active
Not Active for
Production Traffic
Amazon
Route 53
www.example.com
Warm Standby in Non-DR Phase
C. 웜 스탠바이

54. 54
Data
Volume
Application
Server
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Master
Database
Server
Application
Server
Reverse
Proxy /
Caching
Server
Elastic
Load
Balancer
On site
Active Active
Amazon
Route 53
www.example.com Standby Scaled Up in DR Phase
C. 웜 스탠바이

55. 55
Data
Volume
Application
Server
Master
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Slave
Database
Server
Application
Server
Reverse
Proxy /
Caching
Server
Elastic Load
Balancer
On site
Active
Amazon
Route 53
www.example.com
Active
Mirroring / Replication
Application Data
Source
Cut Over
Multi-Site Hot Standby in Non-DR Phase
D. 멀티 사이트

56. 56
Data
Volume
Application
Server
Database
Server
Reverse
Proxy /
Caching
Server
Data
Volume
Master
Database
Server
Application
Server
Reverse
Proxy /
Caching
Server
Elastic
Load
Balancer
On site
Active
Amazon
Route 53
www.example.com
Active
Multi-Site Hot Standby in Non-DR Phase
D.멀티 사이트

57. Youngsam Khee
SVP
Megazone | Platform Service
#CLOUDSEC