보안 기반 청사진

이 가이드에서는 사용자가 Google Cloud를 채택하거나 조정한 후 Google Cloud의 자산에 자동으로 배포할 수 있도록 구성된 전문가의 의견이 담긴 Google Cloud 보안 권장사항을 설명합니다. CISO, 보안 실무자, 위험 또는 준법 담당자인 경우 이 문서가 유용할 수 있습니다.

클라우드 도입은 퍼블릭 클라우드 인프라 사용 조사에서부터 퍼블릭 클라우드를 통해 고객에게 실제로 프로덕션 서비스를 제공하는 기업이 늘어남에 따라 계속 가속화되고 있습니다. 일반적으로 퍼블릭 클라우드의 보안은 고객과 클라우드 제공업체 간의 보안에 대한 공유 책임으로 명시해 놓기 때문에 본질적으로 고객 소유 인프라와 다릅니다. 그림 1.1.1은 클라우드의 워크로드에 대한 기존의 공유 보안 책임 매트릭스를 보여줍니다.

그림 1.1.1 공유 보안 책임

그림 1.1.1 공유 보안 책임

Google Cloud 제품 및 서비스는 기존 Platform as a Service(PaaS)에서 Infrastructure as a Service(IaaS), Software as a Service(SaaS)에 이르기까지 다양합니다. 그림 1.1.1과 같이 고객과 클라우드 제공업체 간의 기존 책임 경계는 선택한 서비스에 따라 변경됩니다. 퍼블릭 클라우드 제공업체는 보안에 대한 공동 책임의 일환으로 최소한 고객이 견고하고 안전한 기반에서 시작할 수 있도록 해야 합니다. 그런 다음 제공업체는 사용자가 공유 책임 모델에서 자신의 책임을 이해하고 실행할 수 있도록 해야 합니다.

Google Cloud 제품 카탈로그는 계속해서 빠르게 확장하고 있습니다. 각 Google Cloud 서비스는 비즈니스 및 보안 요구사항에 따라 맞춤설정할 수 있도록 다양한 구성과 제어를 선보입니다. 핵심 인프라를 만들고 설정할 때 Google의 목표는 기본적으로 이러한 선별된 보안 기반 청사진에서 기본적으로 주요 Google Cloud 보안 권장사항을 인코딩하여 더 빠르고 안전하게 시작하도록 지원하는 것입니다. 그런 다음 안정적이고 안전한 기반을 토대로 구축하고, 제어를 최적화하거나, Google의 상태 청사진의 서비스별 보안 안내를 추가로 활용할 수 있습니다.

Google은 최근 위험 보호 프로그램에 대한 발표를 통해 더 많은 노력을 기울이고 고객과 클라우드 제공업체 간 공유 책임이라는 기존 모델에서 공통된 운명이라는 방향으로 나아가려고 합니다. 이 접근 방식에서 Google은 책임이 끝나는 부분을 설명하는 것뿐만 아니라 플랫폼에 안전하게 배포할 수 있도록 적극적으로 협력하고 있습니다.

보안을 고려하여 시작하기

클라우드 보안은 다음을 조합한다는 점에서 온프레미스 보안과 다릅니다.

  • 인프라, 제품, 서비스 내에서 보안 기본 요소, 가시성, 제어 지점의 차이
  • 컨테이너화 및 DevSecOps와 같은 새로운 클라우드 기반 개발 방법론
  • 새로운 클라우드 제품 및 서비스의 지속적인 속도와 다양성 및 소비 방식
  • 조직의 시스템 배포, 관리, 운영 방법에 관한 문화적 변화
  • 고객과 클라우드 제공업체 사이의 위험 이해 및 분산

클라우드 배포를 설정할 때는 많은 것들을 결정해야 합니다. 고객들에게 비즈니스 영향 및 가치를 제공하는 능력을 가속화하기 위해 간단하고, 빠르고, 효율적인 방식으로 보안 기본값을 사용해서 워크로드를 배포하기 위한 도움이 필요할 수 있습니다. 하지만 클라우드 전환에 따른 차이와 새로운 과제에 대처하는 데 필요한 새로운 기술을 구축할 시간이 부족할 수 있습니다. 따라서 안전한 기본 시작 지점과 특정 요구에 맞는 맞춤설정에 따라 조정되고 전문가의 의견이 담긴 지침을 활용할 수 있는 경우가 많습니다.

좋은 소식이 있습니다. Google Cloud의 보안 계층에 중요한 새 레이어 집합을 추가하는 보안 청사진을 사용하여 보다 빠르고, 효율적이고, 안전한 방식으로 Google Cloud를 구축할 수 있습니다. 핵심 Google Cloud 인프라를 기본으로 시작해서 다섯 가지 주요 부분이 있습니다. 그 다음 4개의 레이어에는 Google Cloud 제품과 서비스, Security Foundations 청사진, 보안 상태, 워크로드, 애플리케이션을 위한 청사진, 이해, 채택, 소비를 단순화하기 위해 고객 참조 및 상업 제안과 함께 사용 사례 예시에 따라 제품, 서비스, 청사진이 번들로 포함된 솔루션이 있습니다. 각 레이어는 아래 설명된 대로 이전 레이어 위에 구축됩니다.

핵심 Google Cloud 인프라

Google은 Google의 정보 처리 수명 주기 전체를 통틀어 보안을 제공하도록 설계된 글로벌 규모의 기술 인프라를 보유하고 있습니다. 이 인프라는 서비스의 안전한 배포, 최종 사용자 개인정보 보호 수단이 적용된 안전한 데이터 스토리지, 서비스 간의 안전한 통신, 인터넷을 통한 고객과의 안전한 비공개 통신, 관리자에 의한 안전한 운영을 제공합니다.

Google 제품 및 서비스

Google Cloud 제품 및 서비스는 핵심 인프라 위에 구축되며 BeyondProd 백서에 설명된 클라우드 기반 보안 원칙에 따라 일관적으로 설계되고 운영됩니다. 여기에는 액세스 제어, 세분화, 데이터 보호를 사용 설정하기 위해 기본 제공되는 보안 기능이 포함되어 있습니다. 또한 Google Cloud는 정책 요구사항을 충족하고 보안 제품 및 기능으로 핵심 자산을 보호할 수 있게 도와주는 특정 보안 제품을 구축합니다.

Security Foundations 청사진

이 Security Foundations 청사진의 목적은 Google Cloud 배포의 보안 시작 지점을 빌드하기 위해 기본 제어 및 서비스를 최적화할 수 있도록 조정되고 전문가의 의견이 담긴 안내와 함께 자동화 기능을 제공하는 것입니다. 이 Security Foundations 청사진에는 다음이 포함됩니다.

  • Google Cloud 조직 구조 및 정책
  • 인증 및 승인
  • 리소스 계층 및 배포
  • 네트워킹(세분화 및 보안)
  • 키 및 보안 비밀 관리
  • 로깅
  • 감지 제어
  • 결제 설정
  • 보안 애플리케이션 만들기 및 배포
  • 일반 보안 지침

보안 상태, 워크로드, 애플리케이션에 대한 청사진

강력한 보안 기반 외에도 Google은 보안 상태, 워크로드, 애플리케이션에 대한 추가 청사진을 제공하여 워크로드 및 애플리케이션을 설계, 빌드, 운영하는 데 도움이 되는 전문가의 의견이 담긴 선별된 안내서를 제공할 수 있습니다. 예를 들면 PCI on GKE 청사진입니다.

솔루션

Google Cloud 보안 권장사항이 포함된 제품 및 청사진 조합으로 특정 서비스 집합을 구성, 배포, 운영하기 위한 기능, 아키텍처, 안내를 제공합니다. 솔루션에는 수직적 및 사용 사례와 관련된 맞춤설정, 추가적인 예시, 고객 참조, 번들로 묶인 상업용 오퍼링과 함께 이러한 제품이 포함되어 있습니다. 목적은 조직의 비즈니스 요구에 맞게 솔루션을 채택하고 적용하는 능력을 단순화하고 가속화하는 것입니다. 현재 솔루션 포트폴리오에 대한 자세한 내용은 Google Cloud 솔루션 페이지에서 찾아볼 수 있습니다.

그림 1.1.2는 Google Cloud를 사용할 때 살펴볼 수 있는 보안 레이어를 보여주고 보안 청사진에서 제공하는 가이드 및 템플릿을 따릅니다.

그림 1.1.2 Google Cloud 보안 계층 구조

그림 1.1.2 Google Cloud 보안 계층 구조

Security Foundations 청사진으로 시작하기

이 가이드에서는 전문가의 의견이 담긴 보안 기반 청사진을 제공하고 Google Cloud 자산을 구성하고 배포하는 방법에 대한 단계별 뷰를 캡처합니다. 이 문서에서는 고려해야 할 주요 주제를 강조하므로 유용한 참조와 시작점을 제공합니다. 각 주제에서 이를 선택한 이유에 대한 배경과 설명을 제공합니다. 이 보안 기반 청사진에는 단계별 안내 외에도 Terraform 자동화 저장소와 데모 Google 조직의 예가 있어 이를 통해 청사진에 따라 구성된 환경으로 학습하고 실험할 수 있습니다.

Security Foundations 청사진 사용 방법

이 가이드를 활용하기 위해서는 조직에서 다음 역할 중 하나 이상이 필요할 수 있습니다.

  • 보안 리더: 클라우드 보안에 대한 Google의 주요 원칙과 조직 배포의 보안을 위해 이를 적용하고 구현하는 방법을 이해해야 합니다.
  • 보안 실무자: 워크로드 및 애플리케이션을 배포할 준비가 된 보안 중심 인프라 랜딩 영역을 설정, 구성, 배포, 운영하기 위해 보안 권장사항을 적용하는 방법에 대한 자세한 안내가 필요합니다.
  • 보안 엔지니어: 서로 다른 여러 보안 제어가 서로 올바르게 상호작용하도록 구성하고 작동하는 방법을 이해해야 합니다.
  • 비즈니스 리더: 고급 요구를 충족시키기 위해 Google Cloud에 대해 필요한 업무팀의 고급 기술 학습 및 이해를 가속화할 수 있어야 합니다. 또한 이 역할에서는 Google 보안 참조 문서를 위험 및 규정 준수팀과 함께 공유할 수 있어야 합니다.
  • 요구사항 및 규정 준수 담당자: 비즈니스 요구사항을 충족하기 위해 Google Cloud에서 사용할 수 있는 제어 및 이러한 제어가 자동으로 배포되는 방식을 파악해야 합니다. 또한 비즈니스의 규제 요구를 충족하기 위해 각별히 주의를 기울여야 하는 영역과 제어 드리프트 및 영역 대한 가시성을 확보해야 합니다.

이러한 각 사례에서 이 문서를 참조 가이드로 사용할 수 있습니다. 또한 제공된 Terraform 스크립트를 사용하여 자체 라이브 배포를 자동화, 실험, 테스트, 가속화할 수 있습니다. 제공된 스크립트를 수정하여 필요에 맞게 맞춤설정할 수 있습니다.

규정 준수를 위한 더 나은 시작점 만들기

비즈니스에 필요한 규정 준수 및 규정 프레임워크의 경우 다음 사항에 대한 명확한 이해와 근거가 필요합니다.

  • 선택한 Google Cloud 서비스로 요구사항이 충족되는지 여부
  • Google Cloud 서비스 구성 및 사용이 계속해서 요구사항을 충족하는지 여부

첫 번째 사례를 위해 Google Cloud는 규정 준수 리소스 센터를 제공합니다. 이 사이트에서는 프레임워크, 리전, 업종에 따라 검색하여 승인된 Google Cloud 서비스를 찾고 규정 준수 지원을 도울 수 있습니다.

두 번째 경우 보안 기반 청사진을 배포한 후 Security Command Center 프리미엄에서 조직, 폴더 또는 프로젝트 수준의 CIS 1.0, PCI-DSS 3.2.1, NIST-800-53 및 ISO27001 프레임워크에 대한 시작 상태의 대시보드 개요 및 다운로드 가능한 규정 준수 보고서를 제공합니다.

그림 1.2.1에서는 CIS 1.0 및 PCI DSS 3.2.1 프레임워크에 따라 비교된 Security Foundations 청사진에 배포된 샘플 프로젝트에 대한 기본 규정 준수 보고서를 보여줍니다. 그림에 표시된 것처럼 평가된 규정 준수 제어의 대부분이 청사진에서 즉시 구성됩니다. 누락된 제어는 올바른 설정을 위해 사용자 입력이 필요한 로깅 구성 제어입니다.

그림 1.2.1 제한된 네트워크 샘플 프로젝트에 대한 Security Command Center Premium 규정 준수 요약

그림 1.2.1 제한된 네트워크 샘플 프로젝트에 대한 Security Command Center Premium 규정 준수 요약

주요 보안 원칙 구현

규정 준수 및 규제 요구사항을 구현하는 것 외에도 인프라 및 애플리케이션을 보호해야 합니다.

보안 기반 청사진 및 관련 자동화 스크립트를 사용하면 Google 자체 보안의 핵심인 3가지 Google Cloud 보안 원칙을 채택할 수 있습니다. 해당 항목은 다음과 같습니다.

  • 규모에 맞는 기본 심층 방어를 실행합니다.
  • 인프라 및 애플리케이션 보안에 대한 BeyondProd 접근 방식을 채택합니다.
  • 공통된 운명 관계로 전환하여 클라우드 도입의 위험을 제거합니다.

규모에 맞는 기본 심층 방어

Google이 자체 인프라를 보호하는 핵심 원칙은 공격자와 관심 대상 사이에 단 하나의 장벽만 있어서는 안 된다는 것입니다(심층 방어). 이 핵심 원칙에 더해 보안은 확장 가능하고 기본적으로 사용 설정되어야 합니다.

Security Foundations 청사진은 이러한 원칙을 여러 방식으로 구현합니다. 데이터는 기본적으로 네트워킹, 암호화, IAM, 감지, 로깅, 모니터링 서비스 간에 구성된 정책 및 제어를 사용하여 여러 레이어로 구성된 방어를 통해 보호됩니다.

예를 들어 프로덕션 프로젝트의 데이터에는 기본적으로 세 가지 수준의 네트워크 보호 즉, VPC 세분화, VPC 서비스 경계, 방화벽 규칙이 있습니다. IAM, 액세스 컨텍스트 수준, 사용자 ID의 다중 유효성 검사를 사용한 여러 수준의 액세스 보호를 통해 추가로 보호됩니다.

청사진은 데이터에 액세스할 수 있는 애플리케이션을 빌드하기 위한 보안 CI/CD 파이프라인 예시를 제공합니다. 파이프라인의 보안 기능에는 빌드 시간 취약점 평가와 배포 시간 정책 확인이 모두 포함됩니다. 또한 데이터 자체가 고객 관리 암호화 키(CMEK)를 통해 보호됩니다. 기본 감사 로깅을 사용하여 모든 관리 액세스 및 데이터 액세스를 로깅할 수 있습니다. Security Command Center Premium은 지속적인 보안 모니터링 및 감지를 제공합니다. 또한 BigQuery를 통한 커스텀 감지로 이를 보완할 수 있습니다.

BeyondProd

2019년 기본 클라우드 보안에 대한 Google의 새로운 접근 방식인 BeyondProd가 게시되었습니다. 이 접근 방식은 경계 기반 보안 모델로는 보안이 충분하지 않다는 것이 확실해졌기 때문에 2014년 BeyondCorp를 이끌었던 것과 동일한 통찰력에 의해 동기 부여되었습니다. BeyondCorp가 워크스테이션 및 사용자에 사용된 것처럼 BeyondProd는 워크로드 및 서비스 ID에 사용됩니다. 기존 네트워크 중심 모델에서는 공격자가 일단 경계를 침범한 다음에는 시스템 내에서 자유롭게 이동할 수 있습니다. 대신 BeyondProd 접근 방식에서는 기본적으로 제로 트러스트 모델이 사용됩니다. 역사적으로 규모가 큰 모놀리식 애플리케이션을 마이크로서비스로 분해합니다. 따라서 세분화 및 격리가 향상되고 영향을 받는 영역이 제한됩니다. 또한 운영 효율과 확장성이 향상됩니다.

BeyondProd의 핵심 개념은 개발자가 보안에 대한 깊은 전문 지식 없이도 그리고 보안 기능을 직접 구현할 필요 없이 보안 애플리케이션을 작성하고 배포할 수 있어야 한다는 것입니다. 따라서 BeyondProd의 핵심은 다음과 같습니다.

  • 보안은 별도로 추가되는 것이 아니라 전체적으로 기본 제공됩니다.
  • 에지에서 네트워크 보호는 여전히 필요하지만, 기본이 아니고 유일한 방어 지점이 아닙니다.
  • 서비스 간 내재된 상호 신뢰 관계가 없습니다.
  • 알려진 출처의 코드를 실행하는 신뢰할 수 있는 머신입니다.
  • 논리적 초크 포인트는 여러 서비스에 걸쳐 일관된 정책을 적용하는 데 사용됩니다. 예를 들어 승인된 데이터 액세스를 보장하는 데 사용됩니다.
  • 변경사항 출시는 간단하고 자동화되었으며 표준화되어 있습니다.
  • 워크로드 간에 격리를 시행하고 모니터링합니다.

Security Foundations 청사진을 통해 BeyondProd를 채택할 수 있습니다. 보안 제어는 청사진 아키텍처 및 배포의 각 단계 전반에 걸쳐 설계 및 통합됩니다. 서로 다른 보안 제어 레이어가 사후 방침이 아닌 함께 작동하도록 설계됩니다. 시스템의 서비스 간에는 내재된 상호 신뢰 관계가 없습니다. 사전 정의된 IAM 역할로 기본 책임을 구분합니다. 기본적으로 리소스 계층 구조 설계에 따라 프로젝트 간에 명확한 IAM 및 네트워크 경계가 생성됩니다. VPC 서비스 경계에 따라 서비스 및 워크로드별로 세분화 및 격리를 적용할 수 있습니다. 조직 정책과 같은 논리적 제어 초크 포인트는 생성 시간 및 배포 시간에 일관적인 기본 예방 정책 적용을 제공합니다. Security Command Center Premium을 통해 중앙화되고 통합된 가시성으로 조직 내 모든 리소스 및 프로젝트 간에 통합된 모니터링 및 감지를 제공합니다.

애플리케이션 만들기 및 배포 섹션표 2.12.5에서 Google Cloud 기능을 BeyondProd 원칙에 매핑하는 방법을 자세히 알아볼 수 있습니다.

공유 운명

Google은 공유 책임에서 공통된 운명으로 나아가기 위해 Google 플랫폼에서 안전한 배포와 실행을 하는 데 있어 적극적인 협력 관계를 맺어야 한다고 생각합니다. 즉, 다음과 같이 0일차부터 N일차까지의 전체 여정에서 종합적인 통합 기능을 제공합니다.

  • 설계 및 빌드 시간: 인프라 및 애플리케이션에 기본적으로 권장사항을 인코딩하는 지원되는 보안 기반 및 상태 청사진입니다.
  • 배포 시간: 조직 정책 및 Assured Workloads와 같은 서비스를 통해 선언적 보안 제약조건을 시행하는 '가드레일'입니다.
  • 런타임: Security Command Center 프리미엄과 같은 서비스를 통한 가시성, 모니터링, 알림, 수정 작업 기능입니다.

이와 같은 통합 서비스를 통해 수치화된 위험에 대해 더 잘 이해하여 보다 신뢰할 수 있는 상태로 시작하고 유지함으로써 위험을 줄여줍니다. 그림 1.2.2와 같이 이 개선된 위험 상태를 통해 위험 보호 서비스를 활용할 수 있으므로 위험을 제거하고 클라우드에서 마이그레이션하고 변환하는 능력을 궁극적으로 가속화합니다.

그림 1.2.2 공통된 운명의 가치

그림 1.2.2 공통된 운명의 가치

문서 구성

이 문서의 나머지 부분은 다음과 같은 섹션으로 구성됩니다.

  • 이 소개
  • 기본 보안 모델
  • 기본 설계
  • 전문가 의견이 담긴 조직 구조를 나타내는 example.com 샘플
  • 리소스 배포
  • 인증 및 승인
  • 네트워킹
  • 키 및 보안 비밀 관리
  • 로깅
  • 감지 제어
  • 결제
  • 보안 애플리케이션 만들기 및 배포
  • 일반 보안 지침