11 · Cloud & Data Center
클라우드와 데이터센터의 보안
인프라가 클라우드로 옮겨가면서 "네트워크 경계"의 의미 자체가 바뀌었습니다. VPC, 보안 그룹, 데이터센터 보안까지.
경계가 사라진 자리
과거에는 "회사 건물 안의 서버실"이 네트워크의 물리적 경계였습니다. 클라우드로 인프라가 옮겨가면서 서버는 더 이상 눈에 보이는 곳에 있지 않고, 경계는 방화벽 한 대가 아니라 설정 파일 속의 규칙으로 존재합니다. 이는 유연성을 크게 높였지만, 동시에 "설정 실수 한 줄이 곧 침해로 이어질 수 있는" 새로운 위험도 함께 가져왔습니다.
책임 공유 모델
클라우드 보안을 이해하는 첫걸음은 책임 공유 모델(Shared Responsibility Model)입니다. 클라우드 제공자는 물리 서버, 네트워크 인프라, 하이퍼바이저 같은 "클라우드 자체의 보안"을 책임지고, 고객은 그 위에 올린 데이터, 접근 권한 설정, 애플리케이션 같은 "클라우드 안의 보안"을 책임집니다. 실제 침해 사고의 상당수는 클라우드 자체의 결함이 아니라, 고객 쪽 설정 실수에서 발생합니다.
VPC/VNet — 클라우드 안의 사설망
가상 사설 클라우드(VPC, Azure에서는 VNet)는 클라우드 제공자의 거대한 공용 인프라 안에서, 논리적으로 격리된 나만의 네트워크 공간을 만들어주는 기능입니다. IP 대역, 서브넷, 라우팅 규칙을 직접 정의할 수 있어 온프레미스 네트워크를 설계하던 방식과 유사한 개념을 클라우드 위에서도 그대로 적용할 수 있습니다.
보안 그룹 — 인스턴스 단위의 방화벽
보안 그룹은 개별 가상 서버(인스턴스) 단위로 어떤 IP, 어떤 포트에서 들어오고 나가는 트래픽을 허용할지 정의하는 가상 방화벽입니다. VPC가 네트워크 전체의 큰 경계라면, 보안 그룹은 그 안의 서버 한 대 한 대에 씌우는 세밀한 규칙이라 할 수 있습니다. 기본값이 "모두 허용"인 규칙을 무심코 남겨두는 것이 클라우드 환경에서 가장 흔한 실수 중 하나입니다.
데이터센터 보안
클라우드를 쓰든 자체 데이터센터를 운영하든, 물리적 보안은 여전히 유효한 계층입니다. 출입 통제, 생체 인증, 영상 감시 같은 물리 보안은 아무리 네트워크 보안이 완벽해도 서버에 직접 접근할 수 있다면 무너질 수 있다는 사실을 상기시켜줍니다. 클라우드 제공자를 선택할 때 데이터센터의 물리 보안 인증(예: ISO 27001)을 확인하는 것도 이 때문입니다.