어영's

## 클라우드 환경의 10가지 보안 문제점과 해결책

클라우드 환경은 유연성과 확장성을 제공하지만 보안 위험 또한 증가합니다. 이 글에서는 클라우드 환경의 10가지 주요 보안 문제점과 해결책을 살펴봅니다.

1. 클라우드 도메인 취약점:

- 피싱 사이트: 공격자가 클라우드 도메인을 이용하여 피싱 사이트를 만들고 악성코드를 배포합니다.
- 해결책:
- ASM(Attack Surface Management) 또는 CWPP(Cloud Workload Protection Platform)을 사용하여 클라우드 도메인을 지속적으로 스캔합니다.
- 도메인 변경 사항에 대한 자동 점검을 위한 도메인 비교 정책을 만들고 운영합니다.

2. 도커 및 쿠버네티스 제어 취약점:

- 원격 API 사용: 도커 및 쿠버네티스는 원격 관리를 위해 API 서버를 사용합니다.
- 공격 시나리오:
- API 서버 IP 포트가 외부에 노출되면 해커 공격 가능성이 높아집니다.
- 해결책:
- CIEM(Cloud Infrastructure Entitlement Management)을 사용하여 클라우드 리소스 접근 권한을 철저히 제어합니다.
- CDR(Cloud Detection & Response) 기능을 사용하여 비정상적인 행위를 감지하고 차단합니다.

3. 클라우드 워크로드의 악성코드 및 CVE 취약점:

- 클라우드 워크로드: 가상 서버 인스턴스 컨테이너 등에서 실행되는 어플리케이션 DB 서비스
- 악성코드 및 CVE 취약점: 클라우드 워크로드의 모든 자산에 존재하는 보안 위험
- 해결책:
- SCA(Software Composition Analysis) 솔루션을 사용하여 워크로드의 취약점을 지속적으로 평가합니다.
- 워크로드에 대한 정기적인 패치 적용 및 업데이트를 수행합니다.

4. 클라우드 인프라 및 서비스 설정 오류:

- 기본값 사용: 많은 고객이 기본값으로 클라우드를 사용하여 보안 취약점을 노출합니다.
- 해결책:
- 보안 전문가의 도움을 받아 클라우드 인프라 및 서비스를 안전하게 설정합니다.
- 최소 권한 접근 원칙을 적용하여 공격 표면을 줄입니다.

5. 클라우드 시크릿 정보 노출:

- 시크릿 정보: 비밀번호 인증서 토큰 SSH 키 API 키 등
- 2021년 피해 규모: 약 6천조 원
- 해결책:
- 시크릿 정보를 안전하게 관리하기 위한 솔루션을 사용합니다.
- 접근 권한을 최소화하고 엄격하게 제어합니다.

6. 리눅스 플랫폼 악성코드:

- 리눅스 플랫폼: 클라우드의 기본 플랫폼
- 공격 시나리오:
- 공격자는 기존 윈도우 악성코드를 리눅스로 포팅하여 공격합니다.
- 해결책:
- 리눅스 서버 및 컨테이너를 위한 최신 보안 패치를 적용합니다.
- 리눅스 환경에 대한 침입 탐지 시스템(IDS) 및 침입 방지 시스템(IPS)을 설치합니다.

7. Docker Escape 취약점:

- 격리된 환경: 일반적으로 도커 컨테이너는 서로 격리되어 있습니다.
- 공격 시나리오:
- Docker Escape 취약점이 존재하면 공격자가 격리된 환경을 벗어나 다른 컨테이너나 호스트를 공격할 수 있습니다.
- 해결책:
- Docker 이미지를 신뢰할 수 있는 소스에서만 가져옵니다.
- Docker 컨테이너에 대한 정기적인 취약점 평가 및 업데이트를 수행합니다.

■ *8. 클라우드 데이터 유출

자세한 내용은 아래 링크(배너)를 클릭해주세요.
“클라우드 보안, 무엇을 어떻게 해야 하나”(4편)

## 인성디지탈 글로벌 보안 기업 이셋코리아와 총판 계약 체결

인성디지탈

은 2024년 2월 26일 글로벌 디지털 보안 기업

이셋코리아

와 정식 총판 계약을 체결했다고 발표했습니다.

이번 계약을 통해:

■ 인성디지탈은 경쟁력 있는

이셋 백신 제품

을 국내 보안 파트너를 통해 고객에게 공급합니다.
■ 이셋코리아는 인성디지탈의 풍부한 영업 네트워크를 기반으로

엔드포인트 보안

및

클라우드 기반 엔드포인트 탐지 및 대응 솔루션(EDR)

시장을 확대할 계획입니다.

이셋

은 10000개 이상의 MSP와 24000개 이상의 리셀러로 구성된 대규모 파트너 네트워크를 활용하여 랜섬웨어 피싱 스파이웨어 등 다양한 위협에 대한 탁월한 탐지 및 차단 성능으로 입증된 최상의 보안 솔루션을 제공하고 있습니다.

이셋코리아 이창규 대표

는 '이번 계약을 통해 국내 IT 전문 솔루션 유통 기업 인성디지탈과 함께 하게 됐다'며 '인성디지탈을 통해 한국 시장 고객들에게 최상의 보안 솔루션을 제공할 수 있도록 노력하겠다'고 말했습니다.

인성디지탈 이인영 대표

는 '이셋은 사이버 보안의 세계적인 솔루션을 제공하고 있으며 글로벌 파트너 네트워크에 대한 최고의 보안 벤더'라며 '인성디지탈의 파트너들이 사이버 보안 비즈니스를 발전시키고 다양한 유형의 위협으로부터 고객을 지속적으로 보호하고 도울 수 있도록 이셋과 함께 협력하겠다'고 강조했습니다.

참고:

■ 이셋 백신 제품: [https://www.eset.com/kr/](https://www.eset.com/kr/)
■ 엔드포인트 보안: [유효하지 않은 URL 삭제됨]
■ 클라우드 기반 엔드포인트 탐지 및 대응 솔루션(EDR): [유효하지 않은 URL 삭제됨]

자세한 내용은 아래 링크(배너)를 클릭해주세요.
인성디지탈, 글로벌 안티바이러스 소프트웨어 ESET 총판 계약

## 글로벌 금융기관 실리콘밸리 인재들이 가상자산 시장에 몰려온다!

비트코인 가격 상승과 함께 가상자산 시장이 활기를 띠고 있는 가운데 글로벌 금융기관과 실리콘밸리 출신 인재들이 업계 진입을 서두르고 있다.

트러스트 머신

은 비트코인 앱 개발사로 메타 출신 엔지니어 사비르 알리자드를 영입했다. 알리자드는 현재 웹3 채팅 앱 콘솔 개발을 이끌고 있다.

알렉스

는 비트코인 금융 인프라 프로젝트로 골드만삭스와 JP모건 출신 임원진으로 구성돼 있다. 레이첼 유 창립자는 9년 이상 금융기관에서 근무했으며 안 찬 CTO는 15년 이상 경력을 쌓았다.

온도 파이낸스

는 현실 세계 자산(RWA) 프로젝트로 골드만삭스 출신 네이선 올먼 CEO와 저스틴 슈밋 COO가 주도하고 있다.

앱토스

는 레이어1 프로젝트로 메타 출신 에버리 칭 CTO가 설립했다. 칭은 10년 이상 메타에서 근무하며 가상자산 지갑 서비스 노비의 기술책임자를 맡았다.

이처럼 글로벌 금융기관과 실리콘밸리 인재들의 가상자산 시장 진입은 업계 성장에 큰 힘이 될 것으로 기대된다.

자세한 내용은 아래 링크(배너)를 클릭해주세요.
가상자산 업계, 미 금융권·실리콘밸리 인재 '블랙홀'

포스뱅크 공모주 사기 주의

최근 포스뱅크 공모주를 사칭한 투자 사기가 기승을 부리고 있습니다. 사기꾼들은 불특정 다수에게 해당 기업의 공모주 무상 지급 대상자로 선정되었다는 문자를 보낸 뒤 전화를 걸어 증권사 주식계좌 정보 등을 요구합니다. 또한, 공모주를 할인된 공모가로 사전 청약한다며 해당 기업의 홈페이지를 모방한 피싱 사이트로 유인하기도 합니다.

포스뱅크 측은 해당 연락은 포스뱅크와 무관한 사기 사례라며 주의를 당부하고 있습니다. 포스뱅크는 홈페이지에 게시한 공지에서 '최근 당사 주식을 기업공개 이전에 특별공모가로 참여 또는 무상으로 주식을 배정하여 양도하겠다는 사기 유도가 발생하고 있으며 해당 사항은 포스뱅크가 추진하고 있는 코스닥 상장 절차와 일체 관련이 없다'고 밝혔습니다.

금융감독원 또한 지난달 20일 금융소비자를 대상으로 소비자주의보를 발령했습니다. 금감원은 IPO 공모주 청약과 관련된 모든 사항은 증권신고서에 기재된 절차와 방법에 따라 진행된다며 전자공시시스템(DART)에 공시된 증권신고서를 확인할 것을 권장했습니다. 또한, 전화나 문자 등을 통한 공모주 투자 권유에는 응해서는 안 된다고 당부했습니다.

따라서 포스뱅크 공모주에 투자를 희망하는 투자자는 다음 사항에 유의해야 합니다.

■ 전화나 문자로 공모주를 무상으로 지급한다는 연락을 받으면 무조건 사기라고 생각하고 응답하지 마세요.
■ 공모주 청약과 관련된 모든 사항은 증권신고서에 기재된 절차와 방법에 따라 진행됩니다. 전자공시시스템(DART)에 공시된 증권신고서를 확인하고 투자하세요.
■ 전화나 문자 등을 통한 공모주 투자 권유에는 응하지 마세요. 이는 사기일 가능성이 매우 높습니다.

자세한 내용은 아래 링크(배너)를 클릭해주세요.
"공모주 무상 지급"…IPO 기업 사칭 투자사기 주의해야