0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 시행세칙 [별표 3]의 기술적 보안 부문 중 데이터베이스 보안 항목 2. 개요 S3 버킷에 저장되는 오브젝트의 가용성과 무결성을 보장하기 위해 버전 관리 및 암호화 설정 적용 필요 [참고] 해당 설정을 적용하지 않아 사고가 발생한 사례 "'야놀자 인수' 도도포인트 고객정보 유출… 최소 100만명 피해" 3. 취약점 판단 기준 S3 버킷에 버전 관리 및 암호화 설정이 적용되지 않은 경우 취약 S3 버킷에 버전 관리 및 암호화 설정이 적용되어 있는 경우 취약하지 않음 4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인 관리 콘솔에서 [S3] 검색 → ..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 NTP 동기화를 명시한 법령은 없으나, 전자금융감독규정 제13조 제4항을 비롯한 접근기록 및 모니터링 관련 조문의 준수를 위해 필요 2. 개요 EC2 인스턴스 생성 시 디폴트 시간대가 대한민국 표준 시간대로 설정되어 있지 않음 침해사고 분석 시 syslog의 시간 정확성 및 원활한 인스턴스 운영을 위해 인스턴스의 시간을 대한민국 표준 시간대로 설정 필요 3. 취약점 판단 기준 인스턴스의 시간대가 대한민국 표준 시로 설정되어 있지 않은 경우 취약 인스턴스의 시간대가 대한민국 표준 시로 설정되어 있는 경우 취약하지 않음 4. 취약점 확인 방법 인스턴스에 설정된 시간이 ..
0. 들어가며 해당 글은 본인이 노션으로 작성해 공유한 AWS 보안 점검 및 설정 가이드의 내용을 티스토리에 옮긴 것입니다. 1. 관련 법령 전자금융감독규정 제13조 제1항 제1호 개인정보의 안전성 확보조치 기준 제5조 제1항 개인정보의 기술적·관리적 보호조치 기준 제4조 제1항 2. 개요 EC2 인스턴스 생성 시 AMI OS별로 디폴트 계정(ubuntu, ec2-user 등)이 자동으로 생성되고, 모든 디폴트 계정 정보는 AWS 공식 문서에서 안내하고 있음 따라서 공개된 계정 정보를 활용한 브루트포싱 공격을 예방하기 위해 디폴트 계정 삭제 필요 3. 취약점 판단 기준 인스턴스 디폴트 계정이 삭제되지 않고 존재하는 경우 취약 인스턴스 디폴트 계정이 삭제되어 존재하지 않을 경우 취약하지 않음 4. 취약점 ..
