클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.9 IP주소 관리

PISM-007네트워크 접근 제어 설정의 최소 권한 적용

위험도 5 기술적 보안 Security Group 평가 구분: 관리체계, 스크립트

기본 네트워크 보안 설정(방화벽, 보안그룹 등)이 최소 권한 원칙을 준수하도록 구성되어 있는지, 과도한 접근 권한이 허용되지 않도록 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

EC2 → 보안 그룹 → 목록에서 대상 보안 그룹 ID 클릭 → 인바운드 규칙 확인 → 아웃바운드 규칙 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

관리 포트는 회수하고, DB 는 보안그룹 참조(source security group) 로 바꿉니다. CIDR 대신 SG 를 소스로 쓰면 IP 가 바뀌어도 규칙을 다시 손댈 필요가 없습니다.

# 1) APP 의 전체 개방 SSH 회수 → 세션 관리자(SSM)로 접속 전환 $ aws ec2 revoke-security-group-ingress --group-id sg-07c9a3f18be62d540 \ --protocol tcp --port 22 --cidr 0.0.0.0/0 # 2) DB 의 전 포트 개방 회수 $ aws ec2 revoke-security-group-ingress --group-id sg-0b58d27e94a1c6f38 \ --protocol tcp --port 0-65535 --cidr 0.0.0.0/0 # 3) DB 는 APP 보안그룹에서 오는 5432 만 허용 (CIDR 아님, SG 참조) $ aws ec2 authorize-security-group-ingress --group-id sg-0b58d27e94a1c6f38 \ --protocol tcp --port 5432 --source-group sg-07c9a3f18be62d540

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

resource "aws_security_group_rule" "db_from_app_only" { security_group_id = aws_security_group.db.id type = "ingress" protocol = "tcp" from_port = 5432 to_port = 5432 source_security_group_id = aws_security_group.app.id # CIDR 대신 SG 참조 } # 관리 접속은 SG 를 열지 않고 SSM Session Manager 로 — 인바운드 0개 유지 resource "aws_iam_role_policy_attachment" "ssm" { role = aws_iam_role.app_instance.name policy_arn = "arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore" }

주의 — revoke-security-group-ingress 는 규칙이 정확히 일치해야 지워집니다. 포트 범위나 프로토콜이 한 글자라도 다르면 "규칙 없음"으로 조용히 넘어가고 개방이 그대로 남습니다. 지운 뒤 반드시 describe 로 재확인하세요. 또한 아웃바운드 기본값이 전체 허용(0.0.0.0/0)이라는 점도 평가 대상입니다 — 데이터 유출 경로가 되므로 금융권에서는 아웃바운드도 좁히도록 요구받는 경우가 많습니다.

📋 평가항목 정보

평가항목 ID	PISM-007
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.9 IP주소 관리
평가항목	네트워크 접근 제어 설정의 최소 권한 적용
위험도	5
평가 구분 (AWS)	관리체계, 스크립트
상세설명	기본 네트워크 보안 설정(방화벽, 보안그룹 등)이 최소 권한 원칙을 준수하도록 구성되어 있는지, 과도한 접근 권한이 허용되지 않도록 점검합니다.

📎 확인 자료 (증적)

전체 보안그룹의 인바운드·아웃바운드 규칙 목록
0.0.0.0/0 개방 규칙별 업무상 필요성 소명 자료
관리 포트(22/3389) 접근 경로 (SSM·踏み台 등) 설명
조치 후 규칙 재확인 출력

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

전자금융감독규정의 내부통신망 분리·접근통제 요구는 클라우드에서 보안그룹으로 구현됩니다. 특히 코어뱅킹 DB 계층은 인터넷 경로가 존재하는 것만으로 중대한 지적 사항이며, 사고 시 "보안그룹 설정 오류"는 가장 흔한 직접 원인입니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.