Auditing Security for Cloud Services in Korean

(사)정보시스템감리협회2013년도 감리 심포지엄(2013.06.18)

제4주제. 가상화 정보시스템의환경과 보안 대책

창조경제 구현을 위한 정보시스템감리의 변화방향

오픈플로우코리아 안종석 기술매니저


I. 클라우드 서비스와 가상화 정보시스템

1. 가상화 기반의 클라우드 서비스

2. 공공 클라우드와 보안인증 프로그램 현황

3. 클라우드 관리 플랫폼 (CMP)

II. 가상화 정보시스템을 위한 보안 대책

1. 서비스 유형별 보안감리 모델 고려사항

2. 보안 비즈니스 모델 변화

III.가상화 환경의 보안 이슈와 기회

1. 감리모델 변화와 국내 기업들의 영향

2. 보안 이슈와 기회

목 차

- 2 -


사용자 소유 사업자 소유

Infrastructure as a Service

Platformas a Service

Softwareas a Service


1. 가상화 기반의 클라우드 서비스

서비스 모델SaaSIaaS PaaS

클라우드 계층 (Cloud Layer)

데이터 (Data)

인터페이스 (APIS, GUIs)

애플리케이션 (application)

솔루션 스택 (Programing languages)

OS (Operating System)

가상 머신 (Virtual Machines)

가상네트워크 인프라

하이퍼바이저 (Hypervisors)

프로세스/메모리

데이터 스토리지 (Data Storage)

네트워크

물리적 환경 제공 / 데이터센터

사용자 소유

사용자 소유

사용자 소유

사업자 소유or

공공클라우드

사업자 소유or

공공클라우드

사업자 소유or

공공클라우드

가상화

- 3 -


• 가상화 기반의 공공클라우드 서비스를 위한 보안인증 필요

• 클라우드 법의 진행을 고려한 로드맵


2. 공공 클라우드와 보안인증 프로그램 현황

전자신문 (2013.05.22) : 한국과 미국 클라우드 보안 인증 프로그램 현황

http://www.etnews.com/news/international/2770648_1496.html

Bloter.net (2013.05.24) : 클라우드 법은 5~6월 미래창조과학부자체 규제심사와 총리실 규제 심사를 거쳐, 7~8월 법제처 심사와차관회의 국무회의를 거쳐 9월국회에 최종 제출될 예정http://www.bloter.net/archives/153851#

국내 기업의 시간 여유?or 경쟁력 약화?

- 4 -



2. 공공 클라우드와 보안인증 프로그램 현황 (아마존 예)

- 5 -


Orchestration Plane

Control PlaneSDN/MAC Learning

Data PlaneUnderlying Network

VM Tenant

1

vNIC

VMTenant

2

vNIC

VM Tenant

1

vNIC

물리 스위치가상 스위치

하이퍼바이저

가상 스위치

하이퍼바이저

라우터

방화벽

LBaaS

IP 네트워크

Encapsulation: VLAN/GRE/VXLAN/NVFRE/STT….

VMTenant

2

NIC

QuantumOperation

&

Monitoring

Plane

sFlow

Ganglia

Puppet

…



- 6 -


• 수동 / 자동Provisioning

• 공공 클라우드모델은?


• Grizzly (new)– LBaaS– FaaS– HA for

dist.• 라우팅• 벤더의

Quantum Plugin으로 물리적 네트워크연동

- 7 -




관리/제어 책임 (예)SaaSIaaS PaaS

PCI DSS 요구사항

데이터에 대한 방화벽 설치/유지 모두 모두 서비스 사업자

벤더 Default Password/보안 설정 변경 모두 모두 서비스 사업자

저장 데이터 차단 모두 모두 서비스 사업자

오픈/공중망 사용시 암호화 전송 사용자 모두 서비스 사업자

안티바이러스 소프트웨어 주기적 업데이트 사용자 모두 서비스 사업자

보안 시스템과 애플리케이션의 개발/유지 모두 모두 모두

데이터 접근 제한 업무 확인 모두 모두 모두

컴퓨터 접근을 위한 개별 ID 할당 모두 모두 모두

데이터의 물리적 접근 제한 서비스 사업자 서비스 사업자 서비스 사업자

네트워크 자원과 데이터 접속 모니터/추적 모두 모두 서비스 사업자

보안 시스템과 프로세스의 주기적 테스트 모두 모두 서비스 사업자

모든 개인을 위한 정보보안 정책 유지 모두 모두 모두

- 8 -

1. 서비스 유형별 보안감리 모델 고려사항 (예)



2. 보안 비즈니스 모델 변화 (IDC 권장)

Cloud and SDN Expedite Growth in Virtual Network/Security Services 　• Rise of SDN and network virtualization will lead to significant increase

in virtualized network and security services (ADCs, WAN Optimization, Firewalls, etc.)

• Will occur at enterprises and cloud service providers, but also across the Telecom space (SDN and NFV)

• Established vendors and startups alike will be suppliers • Customers will benefit from speed and simplicity of provisioning, as

well as from flexibility and service velocity • Appliance vendors must adapt to software- and service-based

business models.

May 9th, 2013

- 9 -


• 방화벽 가상 어플라이언스 (Virtual Appliance) (예)

– 1 virtual CPU or 2 virtual CPUs at 1.5 GHz / RAM: 2 GB / Hard disk: 3 GB– Network interfaces 3개: Data interface (VSG-to-VEM) / 관리 / High-availability interface

– 최대 성능 : 1.2 Gbps / 400 Mpps / 200,000 세션 / 초당 10,000 세션 / VPN 200 Mbps / 최대 VPN 터널 750 – 네트워크 기능: IEEE 802.1Q VLAN encapsulation / Traffic types: Unicast, broadcast, multicast, TCP, and User

Datagram Protocol (UDP) / Jumbo frame support (up to 9216 bytes) / VXLAN aware

• UTM 가상 어플라이언스 (예)

– VMware, Citrix, Microsoft Hyper-V, KVM 지원– Specifications: 1.5+ GHz processor / 1 GB RAM / 20 GB hard disk / Bootable CD-ROM / 2 or more network

cards / 1 GB RAM / 40 GB IDE or SCSI hard disk drive / 3 PCI-NICs (Internet, Local Net, Demilitarized Zone)

• SSL VPN 게이트웨이 가상 어플라이언스 (예)

– License Server Licensing (설치 하드웨어 지정)– Subscription Licensing (유지보수/지원 포함)

• 연수 선택 : 1,2,또는 3년• 동시 사용자 수 선택 : 2500, 5000, 7500, 10K, 15K, 20K, 25K

일부 SDN 콘트롤러와 물리적 스위치는 이동하는 가상 어플라이언스의 VM을 자동으로 감지하여 이동한 위치에서 동일한 네트워크 정책을 유지 할 수 있음


2. 보안 비즈니스 모델 변화 (기존 벤더 비즈니스 모델)

- 10 -


보안 제어 모델

애플리케이션바이너리분석, 트랜잭션 보안, 웹 방화벽, SDLC

정보DLP, 암호화, 데이터베이스 모니터, CMF

관리IAM, 패치관리, 구성 관리, 모니터링, VA/VM, GRC

네트워크NIDS/NIPS, 방화벽, DPI, DDoS 차단, QoS,

DNSSEC, OAuth

Trusted Computing하드웨어 소프트웨어 API’s & RoT

Compute&Storage호스트 방화벽, HIDS/HIPS,

물리적CCTV, Guards

준수 모델

PCI

□ 방화벽□ 코드 리뷰□ WAF□ 암호화□ 사용자 고유 ID□ 안티바이러스□ 모니터링/IDS/IPS□ 패치/취약성 관리□ 물리접속제어□ Two Factor Authentication

HIPAA

GLBA

SOX

클라우드 모델

압축

하드웨어

Facility

통합 / 미들웨어

APIs

접속 / 전달

애플리케이션

데이터 / 메타데이터 / 컨텐츠

프레젠테이션

APIs

서비스 사업자 / 벤더 / 준수의 차이Virtualization Security is NOT Cloud Security!

III. 가상화 환경의 보안 이슈와 기회

1. 감리모델 변화와 국내 기업들의 영향

PaaS

SaaS

IaaS

Consulting

- 11 -



2. 보안 이슈와 기회 (vArmour 예)

SDN Controller

• vArmour: SDSec (Software Defined Security)• 기술 개요: ASG(Application Security Gateway)가 감염된 서버의 로그(Rogue)

애플리케이션을 감지하면 공개 SDN 콘트롤러로 신호를 보내 콘트롤러가 오픈플로우 스위치 내의 포워딩 플레인(Forwarding Plane)을 변경하여 감염된 서버를 격리하여 치료 한 뒤에 다시 운영에 복귀 시킨다.

- 12 -


• Embrane은 ‘heleous’ 제품 군 : 가상화 환경에서 Site-to-Site VPN 기능 보유 방화벽, 로드밸런서 그리고 이들을 관리하는 콘트롤러를 제공하며, 운영 중에도 중단 없이 처리능력을 향상하거나 네트워크 삽입을 할 수 있다. API를 사용하여 프로그램이 가능하며 이중화 기능을 제공 한다.

• 서비스 사업자를 위한 비즈니스 서비스 모델


2. 보안 이슈와 기회 (Embrane 예)

- 13 -


• 가상화 : 리눅스나 하드웨어 어플라이언스에 탑재한 방화벽 코드를 가상화 서버에 적용 가능

• 공개 SDN 콘트롤러 호환성: 확대 서비스를 위해 SDN 콘트롤러 들에 포팅하는 방화벽 애플리케이션 고려

• 프로토콜 버전: 확대 서비스를 위하여 다른 버전의 스펙(Specification)의 스위치 연결 고려

• 콘트롤러 내의 App 호환: 한 콘트롤러에 공존하는 다른 App 들의 완성도 고려

• 목표 시장을 위한 로드맵: 1) 방화벽 성능의 개선, 2) 프로토콜 연동, 3) SDN 콘트롤러 연동, 4) 보안 팀을 위한 CMP 지원 중앙 정책 관리 등 새로운 기능(자동 확장, VPN, NAT, DHCP, 라우팅 등등) 추가 고려

가상화 서버

하이퍼바이저

vSwitch

리눅스

웹서버

vNIC

리눅스

앱서버

vNIC

리눅스

DB서버

vNIC

리눅스

방화벽

vNIC vNIC

vSwitch

NIC

공개 SDN Controller

Orch

estration

2. 보안 이슈와 기회 (방화벽 가상화 모델 예)


- 14 -


2. 보안 이슈와 기회 (인라인 TMS 모델 예)


• 공개 SDN 콘트롤러 내장 보안장비 (레가시 환경에서 TMS, IPS 등 인라인 모드 설치가 필요한 기기)

• 오픈 가상스위치(Open vSwitch) 내장의 NIC or 스위치 사용• OpenFlow 프로토콜 사용• 위협 플로우 Redirect 하여 TMS로 전송

서버

NIC Open vSwitch

VM 1IP 주소 1

vNIC

VM 2IP주소 2

vNIC

VM 3IP 주소 3

vNIC

SDN/OpenFlow Controller

보안 기능 Application

4) 위협

플로

우

3) Flow 카운터 기반의 위협 분석

인라인 설치 TMS 장비

IP주소 2 VM 공격

Open pSwitch

- 15 -


요약

1. 가상화 기반의 공공클라우드 서비스를 고려한 서비스

사업자 / 벤더 / 준수의 차이 극복을 위한 노력 필요

2. 감리 모델의 변화와 시장의 환경 고려

3. 어플라이언스 벤더들은 소프트웨어나 서비스 기반의

비즈니스 모델을 도입

- 16 -


감사합니다!!



Documents

Auditing Security for Cloud Services in Korean