[ISMS] 암호 통제 - 암호키 관리,암호 통제 (개인공부)

목표

• ISMS 심사를 준비하여 암호키 관리 방안 및 접근 제어 솔루션을 찾아보자
• 확인 해야할 리스트가 어떤 것이 있는 지
• 사용할만한 솔루션 조사

내용

• 필요한 ISMS 정보보호대책 목록은 아래와 같다. (많다...)
• 정보자산 분류 → 인증 범위 산정, 자산 데이터 정리
• 정보보호 정책
• 정보보호 조직
• 외부자 보안
• 인적 보안
• 물리적 보안
• 운영 보안
• 시스템 개발 보안
• 암호 통제 → 암호키 관리, 계정 관리
• 접근 통제
• 침해사고 관리
• IT 재해복구
• AWS ISMS-P 중 계정 보안 확인 리스트 확인

1. Root 계정은 사용하지 않는지 확인
2. 불필요한 AWS 계정이 있는 지 확인
3. MFA 필수 설정
4. 그룹에 맞는 권한인지 확인
5. 액세스 키는 발급 최소화 확인
6. 액세스 키는 주기적인 변경 확인
7. 서버를 접속하는 PEM키의 경우 외부에 노출되지 않도록 관리 확인
8. ec2-user 등 기본 서버 접속 계정 삭제 확인
9. SaaS 서버 서비스의 계정관리와 2차 인증 설정 확인
10. AD와 연계해 퇴사자 발생 시 AWS 계정도 삭제되도록 관리 설정 확인

#추가 조사
1. 접속자의 감사 로그와 히스토리를 직관적으로 확인할 수 있어야 함 (누가,언제,무엇을 했는 지)

• Pem 키 관리 방안 선례 조사 (오픈카카오방 헬프)

1. VPC 혹은 프로젝트 단위로 내려주는 Pem키 사용은 막는 것이 좋음
2. 인스턴스 단위로 적용하는 것이 바람직함 (위 내용의 7번 갈래)

• 서버 접근 제어를 위해 사용할만한 솔루션 조사
  • AWS 서비스의 SSM Session Manager (ssh 대비 장점 및 단점)
    • 장점
      • AWS IAM 레벨로 접근 권한 통제 가능
      • 별도의 Bastion 또는 VPN 같이 외부 노출점 생성이 필요 없음
      • AWS Console에서 바로 접근이 가능
      • Cloud Watch에 세션로그를 남기기 때문에, 증적 자료 가능
    • 단점
      • 실시간 탐지에 적합하지 않음 (로그를 모아서 올림)
      • OOM(Out of Memory)이 발생할 수 있는 확률이 높음 (로그 올릴 때)
      • SSM Agent가 설치되어야 하고, 기본 root 사용자 권한으로만 실행
      • 파일을 직접 업로드할 수단이 없음
  • Teleport
    • 장점
      • 오픈소스로 자체 서버 구성 시 무료로 사용할 수 있음
      • 접근 제어 및 로그를 확인할 수 있음
      • 웹 기반 SSH 접근이 가능함
    • 단점
      • 인기가 많은 편은 아니라 레퍼런스가 적음
      • 문제가 생겼을 시 기술 지원을 받기가 어려움 (무료로 사용 시)
  • Vault의 SSH 기능
    • 장점
      • 많이 사용해서 레퍼런스가 많음
      • 폭 넓은 권한, 인증 관리가 가능
      • 증적 로그 기능은 없는 것 같다 (별도 확인 필요)
    • 단점
      • 유료임 가격대가 좀 있음

배울 점

• 계정 관리 + 암호 키 관리 + 서버 접근 제어 3개의 부분은 어떻게 보면 땔래야 떌 수 없는 관계 인 것 같다.
• 결국 3가지 방안의 장,단점을 요약하면 다음과 같다.
  • AWS의 기본 서비스를 사용할 것인지 → 장: 편함, 단: 종속성 발생
  • Teleport를 사용할 것인지 → 장: 무료임, 단: 관리포인트 증가
  • Valut의 ssh를 사용할 것인지 → 장: 인지도 높음, 안정적, 단: 비용 발생
• 결국 위의 내용을 정리하면 계정 및 키관리, 서버 접근 제어에 대해선 아래와 내용에 대한 정리가 필요한 것 같다.
  • 기초적으로 처리할 수 있는 것은 처리하기 (1,2,3,4,5 사항)
  • 액세스키를 변경할 때, 발생할 수 있는 사이드 이펙트 확인하기
  • 기존의 서버 접근 제어 방식(pem키 기반)에 대해 솔루션을 도입해서 바꿀 것인지, pem키를 관리할 것인지 정립 필요
  • SSM의 경우에는 현재 내가 운영하고 있는 인프라 상황에 맞지 않다...

추후 해야할 것

• 액세스키 변경 시 사이드 이펙트 확인하기 + 간단한 솔루션이 있는 지
• Teleport와 Vault ssh 기능 사용해보기 (장,단점 비교)
• 추가 솔루션 조사하기

참고 자료

176. (AWS ISMS-P) 계정 보안 확인 리스트

Teleport 프로그램

SSM-agent-vs-ssh