클라우드 시큐리티 과정 6기 - 4주차 AWS 자산식별 및 ISMS-P 대응 가이드

안녕하세요, Twodragon입니다. 

이번 포스트에서는 클라우드 보안 과정 6기의 AWS 취약점 점검 및 ISMS 대응 가이드에 관련된 내용을 다루고자 합니다. 이 과정은 게더 타운에서 진행되며, 각 세션은 20분 강의 후 5분 휴식으로 구성되어 있습니다. 이러한 구성은 온라인 강의의 특성 상 눈의 피로를 줄이고, 멘티 분들의 집중력을 최대화하기 위함입니다. 여러분들과 함께 다양한 AWS 취약점 점검 및 ISMS 대응 가이드 관련 주제를 깊이 있게 다루어 보고자 합니다.

 

클라우드 보안 교육 (with ChatGPT DALL-E)

---

 

10:00 - 10:20 근황 토크 & 과제 피드백

• 한 주간의 근황 공유 및 토론
• 영상 & 과제 피드백: 어려웠던 점, 개선점 공유
• 보안 이슈 논의

10:25 - 10:50 AWS 보안 취약점 점검 및 자동화

• ISMS-P 인증
• 2024년 AWS 클라우드 보안 가이드 (with ISMS)
• AWS 자산 식별 (with ChatGPT)

11:00 - 11:30  AWS 보안 모니터링

• AWS SSM, Cloudwatch 모니터링
• AWS Guardduty 모니터링
• AWS Security Group 모니터링

11:40 - 12:00 필수적인 실습을 통한 이론 정리 

---

최신 보안 업데이트 권고사항

• 금융보안원이 금융회사의 안전한 클라우드서비스 이용을 지원하기 위해 주요 국내·외 9개 클라우드 서비스 제공업체(CSP)와 협업하여 「금융분야 상용 클라우드서비스 보안 관리 참고서」를 발간했습니다. 이 참고서는 클라우드 보안 관리를 위한 5개 분야와 32개 기준으로 구성되어 있으며, 각 분야별로 가상자원 관리, 네트워크 관리, 계정 및 권한 관리, 암호키 관리, 로깅 및 모니터링 관리 등을 포함합니다. 참고서에는 보안 관리 기준별 설명, 예시, 우수 사례 등을 제공합니다.
• 러·우 전쟁 및 국제 해킹그룹 관련 사이버 위협 증가 : 러·우 전쟁과 국제 해킹그룹의 활동으로 국내 DDoS 공격 등 사이버 위협이 증가하고 있습니다. 각 기관과 기업은 비상 상황에 대비해 보안을 강화해야 합니다.
• 랜섬웨어 및 DDoS 공격 사례 : 랜섬웨어는 계정 탈취와 권한 상승을 통해 시스템을 감염시키고, DDoS 공격은 정부 및 금융기관을 표적으로 합니다. 이러한 공격은 경제적 및 사회적 큰 피해를 초래할 수 있습니다.
• Google Chrome 보안 업데이트 : Google은 Chrome의 취약점(CVE-2024-10487, CVE-2024-10488)을 해결한 보안 업데이트를 발표했습니다. 사용자들은 최신 버전으로 업데이트하여 보안을 강화해야 합니다.
• Grafana 보안 업데이트 : Grafana Labs는 원격 코드 실행 가능한 취약점(CVE-2024-9264)을 해결한 보안 업데이트를 발표했습니다. 영향을 받는 시스템 사용자는 즉시 최신 버전으로 업데이트할 것을 권고합니다.

인프라 취약점 점검 수행절차 (http://www.jbline.co.kr/?page_id=1341)

 

AWS 자산 식별 및 자동화

ISMS-P 인증

• 정보보호 관리체계 인증에 대해 설명하고, 이를 클라우드 환경에 어떻게 적용할 수 있는지 탐구합니다. 
• 2024년 SK쉴더스 AWS 클라우드 보안 가이드 (with ISMS-P) : https://www.skshieldus.com/uploads/files/20240416/20240416180036051.pdf
• 2024년 금융보안원 AWS 클라우드 보안 가이드 : https://www.fsec.or.kr/uploadFile1/csp/AWS.pdf
• AWS 보안 점검 가이드 : https://rogue-gouda-f87.notion.site/AWS-de0b5749d03b464ea2e555cba3974d0b

AWS 자산 식별 (with ChatGPT)

• AWS ISMS-P 자산 식별: https://github.com/Twodragon0/AWS/tree/main/ISMS
• AWS ISMS-P 법적 준수 체크리스트 및 위험 평가 보고서 : https://github.com/prowler-cloud/prowler
• AWS 자산관리 자동화, Config 비준수 정책 모니터링 및 ISMS 대응: https://twodragon.tistory.com/611

AWS/ISMS at main · Twodragon0/AWS

GitHub - prowler-cloud/prowler: Prowler is an Open Source Security tool for AWS, Azure, GCP and Kubernetes to do security assess

클라우드 시큐리티 과정 4기 - 5회차 클라우드 ISMS 취약점 점검 및 조치

 

AWS 보안 모니터링

• AWS SSM, Cloudwatch 모니터링 : SSM, Cloudwatch
• GuardDuty, Cloudtrail, VPC Flowlog 유형 : 결과 유형 - Amazon GuardDuty
• AWS Security Group 모니터링 : https://techblog.woowahan.com/2665/
• AWS 안전한 S3 사용 가이드 : https://techblog.woowahan.com/6217/

필수적인 실습을 통한 이론 정리 

• 다음 주차를 위한 AWS Control Tower에 대한 소개 및 사전 준비 사항을 공유합니다. (https://blog.kico.co.kr/2022/08/19/aws-control-tower란/)
• AWS 아키텍처 및 보안 관련 모임 자료 참고 : https://github.com/awskrug/security-group/tree/main
• AWS WAF 보안 강화: AWS WAF를 활용하여 웹 애플리케이션을 보호하는 방법에 대해 학습하고 실습을 준비합니다. (https://twodragon.tistory.com/596)

이번 강의에서는 AWS의 다양한 보안 도구를 활용하여 실제 보안 점검 및 모니터링을 어떻게 수행할 수 있는지에 대한 실습을 중점적으로 다루며, 차주에 대비한 실습 준비를 포함합니다.