PE Notes · 보안
클라우드 보안과 하이퍼바이저
공동 책임과 멀티테넌시 위에서 하이퍼바이저 탈출을 읽고, ISO 27017·27018과 CSAP가 가리는 층을 비교합니다.
클라우드에서는 물리 상면과 하이퍼바이저가 제공자 손에 있고, 데이터와 계정은 고객 손에 남습니다. 책임이 갈라진 틈과, 여러 테넌트가 한 기계를 나누는 자리가 새로운 공격면입니다. 이 글은 , 침입, ISO 27017·27018을 한 층으로 읽습니다.
고유 위협과 탈출
설정 실수와 넓은 IAM이 가장 흔한 사고입니다. 그보다 아래 층에서는 게스트가 호스트나 옆 VM으로 나가는 이 최악입니다. 한 테넌트의 침해가 전 층의 격리를 접습니다.
| 위협 | 한 줄 | 대응 |
|---|---|---|
| 데이터 침해 | 저장 데이터 무단 접근 | 암호, IAM |
| 잘못된 구성 | 공개 버킷·느슨한 정책 | |
| 취약한 IAM | 과권한, 키 유출 | 최소 권한, MFA, 키 순환 |
| 계정 탈취 | 피싱으로 콘솔 장악 | MFA, 이상 로그인 |
| 안전하지 않은 API | 공개 API 조작 | 게이트웨이, WAF |
| 공유 기술 | 하이퍼바이저·컨테이너 결함 | 격리, 패치 |
| 비교축 | Type 1 (Bare-metal) | Type 2 (Hosted) |
|---|---|---|
| 자리 | 하드웨어 위 | 호스트 OS 위 |
| 예 | ESXi, Hyper-V, KVM | VirtualBox, Workstation |
| 공격면 | 좁다 | 호스트 OS까지 포함 |
대응은 패치를 미루지 않고, VLAN·보안 그룹으로 VM 사이를 자르며, 불필요 기능을 끄고, 하이퍼바이저 층 IDS와 게스트 에이전트를 같이 둡니다. TEE와 메모리 암호는 제공자도 평문을 못 보게 합니다.
공동 책임
IaaS로 내려갈수록 고객이 지는 칸이 넓어집니다. 데이터는 어떤 모델에서도 고객 쪽입니다.
| 영역 | IaaS | PaaS | SaaS |
|---|---|---|---|
| 데이터 | 고객 | 고객 | 고객 |
| 애플리케이션 | 고객 | 고객 | CSP |
| 런타임·미들웨어 | 고객 | CSP | CSP |
| OS | 고객 | CSP | CSP |
| 하이퍼바이저 | CSP | CSP | CSP |
| 물리 | CSP | CSP | CSP |
국내 공공·중요 정보는 가 선택 전제가 되는 경우가 많습니다. 인증이 공동 책임의 빈칸을 메워 주지는 않습니다. 설정과 키는 여전히 고객 운영입니다.
ISO 27017과 27018
27017은 클라우드 정보자산 통제를 27002 위에 얹고, 27018은 공공 클라우드의 PII 처리에 초점을 둡니다.
| 비교축 | ISO/IEC 27017 | ISO/IEC 27018 |
|---|---|---|
| 보호 대상 | 클라우드 정보자산 | PII |
| 적용 | CSP와 이용자 | 공공 클라우드 PII 처리자 |
| 관심 | 책임 분담, VM 격리, 종료 시 삭제 | 동의, 최소화, 하위처리자 공개 |
| 국내 제도와의 자리 | ISMS 클라우드 통제와 맞닿음 | 개인정보 처리와 맞닿음 |
제로트러스트는 계정과 기기 쪽을, 공급망 보안은 이미지·마켓플레이스 쪽을 받칩니다. 하이퍼바이저 패치와 이미지 서명이 그 두 주제를 가상화 층에서 만납니다.