0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13조 제1항 제4호 개인정보의 안전성 확보조치 기준 제5조 제1항 2. 개요 권한 관리의 효율성과 편의를 위해 그룹에 권한을 할당하고, 권한이 필요한 IAM 계정을 해당 그룹에 연결 필요 3. 취약점 판단 기준 IAM 계정에 직접 권한을 부여한 경우 취약 권한을 부여한 그룹에 IAM 계정을 연결시킨 경우 취약하지 않음 4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인 관리 콘솔에서 [IAM] 검색 → [사용자] 메뉴 클릭 → IAM 계정 클릭 → [권한] 탭 권한 직접 할당 여부 확인 4. 취약점 확인 방법 - (2) AWS CLI에서 확인 ..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13호 제1항 제1호 전자금융감독규정 제32조 제2호 가목 개인정보의 기술적·관리적 보호조치 기준 제4조 제8항 제3호 2. 개요 AWS 리소스 핸들링을 위해 IAM 계정에 Access key(Access key ID/Secret access key)를 발급한 경우 주기적으로 변경 필요 3. 취약점 판단 기준 Access key 변경 주기를 지정하지 않고, 주기적으로 Access key를 변경하지 않은 경우 취약 Access key 변경 주기를 지정하고, 주기적으로 Access key를 변경한 경우 취약하지 않음 4. 취약점 확인 방법 - (1) ..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13호 제1항 제1호 2. 개요 IAM 계정에 발급한 Access key의 이용 여부를 주기적으로 점검하여 일정 기간 이상 사용하지 않은 Access key 삭제 필요 3. 취약점 판단 기준 주기적으로 Access key 이용 현황을 점검하여 일정 기간 이상 사용하지 않은 Access key를 삭제하지 않는 경우 취약 주기적으로 Access key 이용 현황을 점검하여 일정 기간 이상 사용하지 않은 Access key를 삭제하는 경우 취약하지 않음 4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인 관리 콘솔에서 [IAM] 검색 → [사용자] 메..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13조 제1항 제4호 개인정보의 안전성 확보조치 기준 제5조 제1항 2. 개요 root 계정은 AWS 리소스에 대한 모든 권한을 보유한 계정이지만 권한 제어가 불가능하기 때문에 명확한 목적 이외에는 사용 제한 필요 3. 취약점 판단 기준 root 계정 사용 이력이 존재하고, 사용에 따른 목적이 불분명한 경우 취약 root 계정 사용 이력이 존재하지 않거나, 사용에 따른 목적을 증명할 수 있는 경우 취약하지 않음 4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인 관리 콘솔에서 [IAM] 검색 → [자격 증명 보고서] 메뉴 클릭 → [보고서 다운로..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13조 제5항 2. 개요 root 계정은 AWS 리소스에 대한 모든 권한을 보유한 계정이지만, IAM 등을 통한 권한 제어가 불가능 따라서 root 계정에 Access key ID / Secret access key를 발급해 사용하는 경우 과도한 권한으로 인한 휴먼 에러 또는 secret 유출에 대한 리스크가 존재하여 적절한 조치 필요 [참고] 해당 설정을 적용하지 않아 사고가 발생한 사례 개인정보위, 개인정보 유출 16개 사업자에 과징금·과태료 처분 3. 취약점 판단 기준 root 계정에 Access key ID / Secret access ke..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 개요 root 계정은 AWS 리소스에 대한 모든 권한을 보유한 계정이지만, IAM 등을 통한 권한 제어가 불가능 따라서 root 계정의 이용을 최소화하기 위해, 일반적으로 root 계정에서 조회ㆍ처리하는 빌링 권한을 IAM 계정에 부여 필요 2. 취약점 판단 기준 root 계정에서 빌링 관련 업무를 수행하는 경우 취약 root 계정이 아닌 IAM 계정에서 빌링 관련 업무를 수행하는 경우 취약하지 않음 3. 취약점 확인 방법 root 계정으로 관리 콘솔 로그인 후 오른쪽 상단의 계정명 클릭 → [계정] 클릭 [결제 정보에 대한 IAM 사용자 및 역할 액세스] 항목에서 IAM 계..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 개요 클라우드 서비스의 특성상 인터넷이 가능한 모든 환경에서 관리 콘솔에 접속해 리소스 핸들링이 가능 따라서 root 및 IAM 계정의 관리 콘솔 접근 관리를 강화하기 위해 로그인 알람 시스템 구축 필요 [주의] 본 항목에서 예시로 든 SNS와 EventBridge를 활용한 방법은 SMS 메세지 발송에 따른 요금이 발생하므로 설정 전 면밀히 검토 필요 비용 산정 기준 2. 취약점 판단 기준 관리 콘솔 로그인 알람 시스템을 구축하지 않은 경우 취약 관리 콘솔 로그인 알람 시스템을 구축한 경우 취약하지 않음 3. 취약점 확인 방법 담당자 인터뷰 및 관련 증적을 통해 로그인 알람 ..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제15조 제1항 제5호 2. 개요 EC2 서비스에서 [인스턴스] → [인스턴스 세부 정보] → [연결] → [Session Manager] 기능을 통해 망분리되지 않은 단말기에서 인스턴스에 접근 가능 따라서 [Session Manager] 기능을 비활성화 또는 별도의 통제를 적용하여, 중요 단말기가 아닌 일반 단말기에서 인스턴스에 접근할 수 없도록 조치 필요 3. 취약점 판단 기준 [Session Manager] 연결 기능이 활성화되어 있는 경우 취약 [Session Manager] 연결 기능이 비활성화되어 있는 경우 취약하지 않음 4. 취약점 확인..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제15조 제1항 제5호 2. 개요 EC2 서비스에서 [인스턴스] → [인스턴스 세부 정보] → [연결] → [EC2 인스턴스 연결] 기능을 통해 망분리되지 않은 단말기에서 인스턴스에 접근 가능 따라서 [EC2 인스턴스 연결] 기능을 비활성화 또는 별도의 통제를 적용하여, 중요 단말기가 아닌 일반 단말기에서 인스턴스에 접근할 수 없도록 조치 필요 3. 취약점 판단 기준 [EC2 인스턴스 연결] 기능이 활성화되어 있는 경우 취약 [EC2 인스턴스 연결] 기능이 비활성화되어 있는 경우 취약하지 않음 4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인 E..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 개인정보의 기술적·관리적 보호조치 기준 제4조 제5항 제1호 개인정보의 안전성 확보조치 기준 제6조 제1항 제1호 ※ 개인정보처리시스템의 범위는 WEB, WAS, DB이나, 관리 콘솔은 개인정보처리시스템에 접속을 가능케 하는 관문으로서 기능하기에 해당 조문을 맵핑 2. 개요 클라우드 서비스의 특성상 인터넷이 가능한 모든 환경에서 관리 콘솔에 접속해 리소스 핸들링이 가능 관리 콘솔 접근통제를 위해 접근 가능한 소스IP 설정 필요 [참고] 해당 설정을 적용하지 않아 사고가 발생한 사례 AWS 쓰다 개인정보 유출한 야놀자 등 4개사, 과징금 낸다 상위 1%끼리 만남 주선..
