2024년 12월, 폭스바겐 그룹은 대규모 데이터 유출 사고가 발행하여 약 80만대 이상의 차량 소유주의 민감한 개인 정보 데이터가 공개되었습니다.
이번 해킹은 아마존 클라우드 스토리지 시스템의 구성오류로 인해 발생하였습니다. 이 구성오류로 인해 개인 및 위치 정보가 수개월간 온라인을 통해 노출되어 있었습니다.
피해 내역
- 800,000+ 개인 정보 유출
- 데이터 유출: 차량의 위치, 전기차량의 타임스탬프, 이메일 주소, 전화번호 및 자택 주소 등
- 피해자: 현직 정치인 및 경찰을 포함하여 독일, 노르웨이, 스웨덴, 영국, 네덜란드, 프랑스, 벨기에와 덴마트의 시민
- 조치: 스토리지 관리 및 소유자인 캐리드가 사고 발생일 당일 접근경로 차단 조치
데이터 유출 경위: AWS 설정 오류
AWS는 안전한 인프라를 제공하지만, 사용자에 의한 구성오류는 민감한 데이터 노출을 야기할 수 있습니다. 폭스바겐 사고의 경우, 다음과 같은 문제점이 있었던 것으로 파악되었습니다.
- AWS S3 스토리지 온라인 접근 가능: 민감 데이타가 S3 버켓의 권한이 과도하게 설정되어 우발적인 데이터 유출이나 공개 보기 가능
- 적절한 IAM 통제의 부재: 부적절한 아이덴티티와 액세스 관리(IAM) 설정으로 비승인 사용자의 데이터 접근을 허용
- 지속적인 보안 모니터링 부재: 설정오류가 발견되지 않은채 수개월을 지속된 것은 자동화된 보안 모니터링의 부재를 의미
AWS 클라우드 자산을 보호하는 AccuKnox
AWS가 인프라에 대한 보안을 제공하지만 사용자의 구성오류까지 책임지지는 않는 책임 공유 모델을 적용합니다. 사용자는 자신의 워크로드를 보호해야 하며, 클라우드 네이티브 애플리케이션 보호 플랫폼 (CNAPP)을 이용하면 대규모의 클라우드 인프라에 대한 구성오류를 조금 더 쉽게 발견하고 수정할 수 있습니다.
대규모 클라우드 환경에 대한 가시성
폭스바겐과 같은 많은 글로벌 기업은 고도로 분산된 클라우드 환경을 운영하며 워크로드가 다수의 리전과 계정에 분산되어 운영됩니다.
클라우드 보안 관리의 어려움
| 도전과제 | 문제점 | 해결방법 |
| 클라우드 자산에 대한 가시성 부재 | 글로벌 분산 자산과 데이터베이스 관리의 어려움으로 인한 사각지대 | 모든 클라우드 환경에 대한 자산 파악 자동화 |
| 너무 많은 수정사항, 우선순위 부재 | 너무 많은 얼럿으로 버거워하는 보안팀 | 사용자를 위한 위험도 기반 우선순위 제공하여 업무 우선순위 제공 |
| 위험도 분석 | 높은 위험 순위와 낮은 리스크에 대한 구분이 어려움 | 위험도 등급 기준 우선순위 및 수정방법 제공 |
| 수작업 컴플라이언 관리 | 보안 프레임워크를 최신으로 유지하는 것은 많은 자원이 필요 | CIS 벤치마킹과 같은 컴플라이언스를 AWS에 자동 적용 |
컴플라이언스가 중요한 이유
- 데이터 보호 및 규제 준수
- 위험 우선순위 부여 및 위험 최소화
- 기업이 처벌 및 명예 훼손 방지
AccuKnox와 같은 CNAPP 플랫폼을 통한 데이터 유출 방지
CNAPP 플랫폼은 AWS의 S3 버킷에 대한 구성오류 등을 선제적으로 파악하여 이로 인한 데이터 유출과 같은 사고를 미연에 방지합니다. 클라우드 자산에 대한 실시간 모니터링을 제공하여 조직이 클라우드 환경에 대한 완전한 가시성을 확보하고 보안 허점을 신속하게 발견할 수 있도록 합니다. 위험 우선순위 자동 지정을 통해 위험도가 높은 구성오류에 집중하여 드리프트와 구성오류로 인한 민감 데이터의 노출을 방지합니다. 또한 제로 트러스트 원칙에 따라 과도한 IAM 역할 권한을 제한하여 비승인 접근으로 인한 위험을 줄여줍니다. 컴플라이언스 자동 관리는 조직이 AWS CIS, NIST, PCI DSS과 같은 보안 표준을 준수하도록 조치합니다.
요점
사고가 발생하기 전에 클라우드 워크로드의 보안을 강화해야 합니다. 적절한 CNAPP 플랫폼을 사용하여 이런 사고를 미연에 방지하고 고객의 데이터를 보호하고 각종 규제를 준수하고 브랜드의 명성을 지킬 수 있습니다.
- AWS 등 퍼블릭 클라우드의 책임 공유 모델 - 사용자는 자신의 클라우드 자산과 설정을 스스로 보호해야 합니다
- 폭스바겐 사고에서 볼 수 있듯이 구성 오류가 가장 큰 취약점입니다.
- 가시성과 자동화는 다중 클라우드 환경의 워크로드 보호를 위한 필수입니다.
- 클라우드 설정 오류를 발견하고 컴플라이언스 및 수정사항 자동 반영이 가능한 CNAPP 플랫폼의 도입을 검토할 필요가 있습니다.
원문 출처: How the Volkswagen Breach Could Have Been Avoided with AccuKnox
관련 링크:
