보안 / 클라우드

IDG 블로그 | 아마존 클라우드에서 발생한 살해 사건

Paul Venezia | InfoWorld 2014.06.25
코드 스페이스 사고는 클라우드에서 오프사이트 백업과 서비스 분리가 생존의 열쇠가 될 수 있음을 보여준다.

코드 스페이스(Code Spaces)는 기트(Git)나 서브버전(Subversion)을 활용해 소스 코드 리포지토리와 프로젝트 관리 서비스를 개발자들에게 제공하는 업체였다. 7년 간 운영하는 동안 고객은 언제나 풍부했다. 하지만 코드 스페이스는 공격자들로 인해 모든 것이 끝나버렸다.

보안, 백업 특히 클라우드에 대한 무수히 많은 논의가 진행되고 있지만, 우리가 쏟는 노력의 대부분을 특히 예산적 관점에서 계량화하기는 어렵다. 보유하고 있는 자원을 이용해 할 수 있는 최대한의 보안 방벽을 쌓을 수 있고, 대부분의 경우 이 정도만으로도 충분할 것이다. 하지만 가끔 충분하지 않을 때가 있다.

코드 스페이스는 대부분 AWS를 기반으로 AWS의 스토리지와 서버 인스턴스를 활용해 서비스를 제공하도록 구축되었다. 이들 서비스 인스턴스는 해킹되지 않았고, 코드 스페이스의 데이터베이스가 침투당하거나 도난 당한 것도 아니다.

코드 스페이스의 웹사이트에 올라온 메시지에 의하면, 공격자들은 코드 스페이스의 AWS 제어판 접속 권한을 탈취했고, 이를 코드 스페이스로 돌려주는 대가로 돈을 요구했다. 코드 스페이스가 그 요구를 따르지 않고 자체적으로 서비스를 복구하려고 시도하자, 공격자들은 자원을 삭제하기 시작했다. 웹사이트에 올라온 메시지는 다음과 같다.

“우리는 결국 우리의 제어판 권한을 되찾았지만, 공격자들은 이미 모든 EBS 스냅샷, S3 버켓, 모든 AMI, 몇몇 EBS 인스턴스, 몇몇 머신 인스턴스들을 삭제 해버린 상태였다.”

공격자들은 효과적으로 코드 스페이스를 파괴시켰다. 이는 마치 누군가 깊은 밤 사무실에 침입해 몸값을 요구하다가, 요구가 수용되지 않자 데이터센터에 수류탄을 던지고 도망간 것과 비슷한 상황이다. 유일한 차이점이라면 물리적으로 기업 데이터센터에 침입하는 것보다 클라우드 기반 플랫폼에 침투하는 것이 훨씬 쉽다는 정도라 할 수 있다.

필자는 이런 사태가 이전에는 일어난 적이 없었다고 확신한다. 코드 스페이스는 자사의 보안 조치를 취했고, 자사 서버 보안이 철저함을 확인했고, 인프라 상당부분을 수많은 다른 회사들과 달리 아마존에 의존했다. 그럼에도 코드 스페이스를 무너트린 공격자들은 AWS 제어판 접속 권한만을 간단히 탈취했다. 위협이 내부에서 발생할 경우 이 세상의 모든 보안 조치들은 무의미해지는데, 바로 그런 상황이 코드 스페이스에서 일어난 것으로 보인다.

코드 스페이스는 서비스와 백업을 복제해 두었지만, 그들 모두 분명 동일한 권한에 의해 제어가 가능해서 즉각적으로 파괴되었다. 코드 스페이스는 일부 데이터가 아직 남아있다며, 고객들에게 남아있는 데이터에 대한 액세스를 제공하기 위해 최선을 다하고 있다고 말한다.

이번 사태는 누구에게나 일어날 수 있다는 점에서 더욱 충격적이며, 분명 서비스 분리의 중요성을 다시 한 번 일깨워 줄 것이다.

만약 클라우드 상에서 서비스를 운영한다면 몇몇 다른 업체를 함께 활용하는 편이 좋을 것이다. 여러 위치에 걸쳐 서비스를 분산시키고, 가능하면 돈을 이곳 저곳에 조금 더 투입해서 단순 서버 인스턴스 이미징 이상의 보안 조치를 취해야 한다. 비록 모든 것이 클라우드에서 운영되는 경우 상당한 추가 비용이 들겠지만, 오프사이트(off-site) 백업은 절대로 갖추어야 한다.

한편으로는 서드파티 클라우드 백업 업체가 목소리를 높일 시점이다. 이번의 안타까운 사례는 이들 백업 서비스 업체의 고객을 상당히 많이 늘려주는 효과를 가져올 것으로 예상된다.

이 무지막지한 공격으로 아직도 힘든 시간을 보내고 있을 코드 스페이스 관계자들에게 위로를 보내고 싶다. 이런 대소동을 저지른 사람들을 심판하면 좋겠지만, 그렇게 하기는 현실적으로 힘들어 보인다. 이번의 불행한 사례가 다른 이들이 같은 상황에 처하는 것을 막는데 도움이 될 것이라는 데서 조금의 위안을 얻을 수밖에 없을 것으로 보인다.  editor@itworld.co.kr

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.