2
▪ Firewall/NG Firewall : 방화벽
▪ IPS/IDS : 침입탐지/방지 시스템
▪ NAC : 네트워크 접근제어
▪ WAF : 웹 방화벽
▪ Anti-Spam : 스팸차단 장비
App/DB 서버
Web 서버
전통적인 방식 – 정적인 시스템
3
AWS의 유연성/가변성
“Cloud applications have
amorphous, polymorphic
attack surfaces.”
- Jason Chan
Director of Engineering,
Cloud Security
Netflix
4
한눈에 전체 상황이 다
들어오는 것 같지만,
기존 데이터 센터를 보면
그 이면은 …
5
AWS의 가시성/제어성
AWS IAM Amazon CloudWatch
AWSCloudTrail
AWSConfig
AWSCloudFormation
AWS Trusted Advisor
…
6
기존 데이타센터 내 네트워크 보안 솔루션 구성 방식
Corporate Data center
Servers
Span/Tab
Router
• 트래픽 경로를 벗어나 구성
• 모니터링(스캐닝) 이 필요한
트래픽에 대한 선별적 포워딩
One-Arm 구성
7
유연성 , 가시성 , 네트워크 환경이 다름
≠
8
Security is our #1 priority
9
This
To this
10
보안은 AWS의 최우선 순위 과제입니다!고객층의 증가와 더불어 더 나은 서비스 제공을 위해 보안, 규제/감사, 거버넌스 관련 다양한 업데이트를 빠르게 진행
2007 2008 2009 2010 2011 2012 2013 2014 2015
48 6182
159
280
514
722
269(37%)보안, 거버넌스, 컴플라이언스, 감사관련
신규서비스출시및업데이트
기타신규서비스출시및업데이트
2015년에는 전년대비 40% 증가한, 722건의 새로운 서비스 및 기능을 출시
11
Shared Security Responsibility
12
WHAT NEEDS
TO BE DONE
TO KEEP THE
SYSTEM SAFE
13
WHAT WE DO
WHAT YOU HAVE TO DO
14
AWS와 고객이 보안에 대한 책임 분담
Client-side Data
Encryption
Server-side Data
EncryptionNetwork Traffic
Protection
Platform, Applications, Identity & Access Management
Operating System, Network & Firewall Configuration
Customer content
Custo
mers
Customers are
responsible for
their security IN
the Cloud
AWS is
responsible for
the security OF
the Cloud
Compute Storage Database Networking
AWS Global
Infrastructure Regions
Availability ZonesEdge
Locations
AWS Foundation Services
15
모든 고객은 동일한 AWS 보안 기초위에…
Client-side Data
Encryption
Server-side Data
EncryptionNetwork Traffic
Protection
Platform, Applications, Identity & Access Management
Operating System, Network & Firewall Configuration
Customer contentC
usto
mers
Customers are
responsible for
their security IN
the Cloud
Independent validation by experts
• Every AWS Region is in scope
• SOC 1 (SSAE 16 & ISAE 3402) Type II
• SOC 2 Type II and public SOC 3 report
• ISO 27001 Certification
• Certified PCI DSS Level 1 Service Provider
• FedRAMP Certification, HIPAA capable
16
“Based on our experience, I believe that
we can be even more secure in the AWS
cloud than in our own data center”
Tom Soderstrom –
CTO – NASA JPL
17
심층 방어
AWS compliance
program
Third-party
attestationsPh
ysic
al
Security groups
VPC configuration
Netw
ork
Se
cu
rity
Web application firewalls
Bastion hosts
Encryption in-transit
Hardened AMIs
OS and apppatch mgmt.
IAM roles for EC2
IAM credentials
Syste
m s
ecu
rity
Logical access controls
User authentication
Encryption at-rest
Data
se
cu
rity
18
“AWS 의 보안은
여러분이 지금 수행하고 있는 것과 같은
익숙함을 제공하기 위해서 지속적으로
노력하고 있습니다.”
• 가시성(Visibility)
• 제어(Controllability)
• 감사 기능(Auditability)
19
더 나은 제어(DATA, USER, NETWORK)
20
컴퓨팅과 스토리지의 위치를 고객이 직접 선택가능AWS 클라우드는 전 세계 16개 지리적 Region 내에 42개의 Availability Zone을
운영
21
AWS 리젼 과 가용영역
US West (OR)
AZ A AZ B
AZ C
GovCloud (US)
AZ A AZ B
US West (CA)
AZ A AZ B
AZ C
US East (VA)
AZ A AZ B
AZ C AZ D
AZ E
China (Beijing)*
AZ A
*A limited preview of the China (Beijing) Region is available to a select group of China-based and multinational companies with customers in China. These customers are required to create a AWS Account, with a set of credentials that are distinct and separate from other global AWS Accounts.
EU (Ireland)
AZ A AZ B
AZ C
AZ A AZ B
S. America (Sao Paulo)
Asia Pacific (Tokyo)
AZ A AZ B
AZ C
AZ A AZ B
Asia Pacific (Singapore)
China (Bejing)Asia Pacific (Sydney)
AZ A AZ B
EU (Frankfurt)
AZ A AZ B
AWS Regions
China (Bejing)Asia Pacific (Seoul)
AZ A AZ B
22
AWS 리젼 과 가용영역
Details about encryption can be found in the AWS Whitepaper,“Securing Data at Rest with Encryption”.
Encryption In-Transit
HTTPS
SSL/TLS
SSH
VPN
Object
Encryption At-Rest
Object
Database
Filesystem
Disk
23
AWS KMS - 암호화키 생성/보관/관리
Centralized Key Management for use with AWS: Customer MasterKey(s)
Data Key 1
S3 Object EBS Volume Redshift Cluster
Data Key 2 Data Key 3 Data Key 4
EBS S3 Redshift AWS SDK
AWS CloudTrail
Details about security controls can be found in the AWS Whitepaper: KMS Cryptographic Details.
Application or
AWS Service
+
Data Key Encrypted Data Key
Encrypted
Data
Master Key(s) in
Customer’s Account
KMS
24
AWS Key Management ServiceIntegrated with Amazon EBS
25
USER
에 대한 더 나은 제어
26
AWS IAM : Identity + Authentication + Authorization
• Access to specific services.• Access to console and/or APIs.• Access to Customer Support (Business and Enterprise).
IAM Users, Groups and Roles
• Access to specific services.• Access to console and/or APIs.
Temporary Security Credentials
• Access to all subscribed services.• Access to billing.• Access to console and APIs.• Access to Customer Support.
Account Owner ID (Root Account)
AWS Account Owner (Root)
AWS IAM User
Temporary Security
Credentials
27
28
NETWORK
에 대한 더 나은 제어
29
AWS Cloud 내에 격리된 사설 네트워크를 생성가용
영역
A
가용
영역
B
AWS Virtual Private Cloud
• 논리적으로 분리된 일종의
가상 사설망을 제공
• VPC상에서 사설 IP대역을
선택
• 적절하게 서브넷팅하고
EC2 인스턴스를 배치
AWS network security
• AWS 는 IP Spoofing과 같은
레이어 2 공격 차단
• 소유하지 않은 EC2인스턴스에
대한 스니핑 불가
• 외부와의 모든 라우팅과
연결을 통제
30
애플리케이션 아키텍쳐에 맞게 VPC를 서브넷으로 분리
Web App
DBWeb
31
각 서브넷에 네트워크 액세서 제어 목록 (NACL) 사용
App
DBWeb
Web
Deny all traffic
Allow
32
각 EC2 인스턴스에 보안 그룹(Security Group) 방화벽 사용
App
DBWeb
WebPort 443
Port 443
Deny all traffic
33
라우팅테이블
라우팅테이블
인터넷게이트웨이
가상 사설게이트웨이
가상라우터
VPC 10.1.0.0/16
VPC 보안 통제
34
[WAF] AWS WAF (WAF on CDN)
WEBWAS
WEBWAS
www.a.com WAF on CloudFront edges
users
SafeTraffic
Edge Location
Edge Location
…
54 edges
WAF
WAF
hackers
Bad bots
legitimatetraffic
SQL Injection,
XSS, ..
site scripting
• CloudFront edge단에서
WAF가 monitor & filter처리
• 분산된 edge에서 처리되어
scaling에 대한 부담 없음
• SQL injection, XSS 룰셋 기본
제공
• CloudFront 사용이 전제됨
35
더 나은 가시성(NETWORK, SYSTEM, AUDIT)
36
가시성: 보안의 기본 속성
여러분의 데이터 센터를 보면…
한눈에 전체의상황이 다 들어오는
것을 원하시겠지만,
보통 이런 그림을 보시게 됩니다.
37
가시성: 보안의 기본 속성
AWS IAM Amazon CloudWatch
AWSCloudTrail
AWSConfig
AWSCloudFormation
AWS Trusted Advisor
…
AWS는 이 분야에 혁신적인
개선과 진보된 IT Governance
서비스들을 가지고 있습니다.
38
AWS CloudWatchAWS 리소스와 AWS기반어플리케이션에대한모니터링서비스
EC2
AutoScaling
ELB
Route 53
EBS
Storage Gateway
CloudFront
DynamoDB
ElastiCache
RDS
EMR
SNS
SQS
EBS
빌링
취합과
추적
항목들 Custom
모니터링과로그저장
경보설정
그래프와통계조회
39
AWS Trusted Advisor Security
40
41
AWS Inspector
• Agent 기반 - 어플리케이션보안수준진단
• 보안진단결과 –가이드제공
• API를통한자동화
• Rule Package• CVE (common vulnerabilities and exposures) –수천개항목
• Network security best practices – 4개항목
• Authentication best practices – 9개항목
• Operating system security best practices – 4개항목
• Application security best practices – 2개항목
• PCI DSS 3.0 readiness – 25개항목
42
더 나은 감사기능(COMPLIANCE, HISTORY, LOG)
43
44
45
AWS CloudTrailAWS상의모든관리작업에대한로깅
모든작업은 API
콜로처리됨...
사용하는서비스와인스턴스들이늘어
남에따라 …
CloudTrail은계속해서모든API 요청들에
대해신뢰성있는기록을수행…
CloudTrail이 제공하는정보:
• API 호출한사용자 정보(누가)
• API call 이발생한시간(언제)
• API 호출한사용자의 IP주소(어디서)
• 요청파라미터 값(무엇을)
• AWS서비스에서 반환한응답(결과)
46
AWS CloudTrailAWS상의모든관리작업에대한로깅
• CloudWatch Logs 내
CloudTrail 로그 활용
47
AWS Config/RulesAWS리소스에대한인벤토리관리와구성정보변경관리및통보(AWS SNS)
보안분석 변경관리감사
컴플라이언스Troubleshooting Discovery
ConfigRules 의 custom rule 지원
특정변경이력의실시간/주기적
감시/통보
• Lambda blueprint 내관련참조
소스제공
• GitHub내관련 Lambda 소스공개
48
AWS Service CatalogAWS 리소스생성및관리용셀프서비스포털
관리자
Clo
ud
Form
atio
n템플릿
생성
포트폴리오와퍼미션설정Service Catalog
Product등록
통지
포트폴리오
ProductA
ProductB
배치된스택
통지
Product기동
Product 조회사용자
• 승인된 리소스 카탈로그를 생성하고 관리.
• 사용자는 셀프서비스 포털에서 필요한 Product을 찾고 기동.
• 관련 컴플라이언스나 규제항목에 따라 어플리케이션 혹은 AWS 리소스에대한 사용자 접근을 통제함
• API를 통해 셀프서비스 기능 확장 가능
49
WHAT WE DO
WHAT YOU HAVE TO DO
THANK YOUAmazon Web Services
Kyungsoo Lee
