클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-025서비스 지원이 종료된(EoS) 런타임 교체 여부

위험도 5 기술적 보안 Lambda 평가 구분: 스크립트

서비스 지원이 종료된(EoS) 버전을 사용하는 경우, 알려진 취약점 또는 신규로 발견되는 취약점으로부터 발생하는 보안위협에 대처할 수 없는 위협이 존재하므로 서비스 지원이 종료된 버전의 런타임 사용 여부를 점검합니다. ※ 런타임 교체 계획을 수립하고 보고를 마친 경우 취약으로 반영하고 위험수용으로 관리합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

Lambda → 함수 → 대상 함수 선택 → 코드 → 런타임 설정에서 런타임 버전 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

런타임을 올리는 것은 코드 호환성 작업을 동반합니다. 별칭(alias)과 가중치 라우팅으로 점진 전환하는 것이 금융 서비스에서의 안전한 방식입니다.

# 1) 새 버전을 최신 런타임으로 배포 (코드 수정 후) $ aws lambda update-function-configuration \ --function-name fin-settlement-batch --runtime python3.12 $ aws lambda publish-version --function-name fin-settlement-batch # → Version: 14 # 2) 별칭에 가중치를 줘 10% 만 새 버전으로 흘린다 $ aws lambda update-alias --function-name fin-settlement-batch \ --name prod --function-version 13 \ --routing-config '{"AdditionalVersionWeights":{"14":0.1}}' # 3) 오류율 확인 후 100% 전환 $ aws cloudwatch get-metric-statistics --namespace AWS/Lambda \ --metric-name Errors --dimensions Name=FunctionName,Value=fin-settlement-batch \ --start-time 2026-09-14T00:00:00Z --end-time 2026-09-14T06:00:00Z \ --period 3600 --statistics Sum $ aws lambda update-alias --function-name fin-settlement-batch \ --name prod --function-version 14 --routing-config '{}' # 4) FDS 함수도 동일 절차 (nodejs16.x → nodejs22.x)

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

# 런타임을 변수로 빼고 분기마다 갱신 — 코드 리뷰에 걸리게 만든다 variable "python_runtime" { default = "python3.12" } resource "aws_lambda_function" "settlement" { function_name = "fin-settlement-batch" runtime = var.python_runtime publish = true } resource "aws_lambda_alias" "prod" { name = "prod" function_name = aws_lambda_function.settlement.function_name function_version = aws_lambda_function.settlement.version }

주의 — AWS 는 EoS 런타임의 함수 생성은 막지만 기존 함수의 호출은 계속 허용합니다. 그래서 "아직 잘 돈다"며 방치되기 쉽습니다. 또한 런타임을 올리면 의존 라이브러리와 Lambda 레이어도 함께 맞춰야 합니다 — 레이어가 구버전 런타임용으로 빌드되어 있으면 배포는 성공하고 런타임에 실패합니다. 반드시 스테이징에서 실행까지 확인하세요.

📋 평가항목 정보

평가항목 ID	PISM-025
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	서비스 지원이 종료된(EoS) 런타임 교체 여부
위험도	5
평가 구분 (AWS)	스크립트
상세설명	서비스 지원이 종료된(EoS) 버전을 사용하는 경우, 알려진 취약점 또는 신규로 발견되는 취약점으로부터 발생하는 보안위협에 대처할 수 없는 위협이 존재하므로 서비스 지원이 종료된 버전의 런타임 사용 여부를 점검합니다. ※ 런타임 교체 계획을 수립하고 보고를 마친 경우 취약으로 반영하고 위험수용으로 관리합니다.

📎 확인 자료 (증적)

전체 함수의 런타임 목록 (list-functions)
AWS 런타임 지원 정책과 대조한 EoS 판정표
교체 계획서 (대상·일정·담당) 및 경영진 보고 증적
전환 후 런타임 목록 및 오류율 지표

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

EoS 런타임은 알려진 취약점에 무방비라는 뜻입니다. 특히 정산 배치·FDS 점수 산정처럼 금전과 직결된 로직이 지원 종료 런타임 위에서 돌고 있다면, 취약점 하나가 거래 무결성에 영향을 줄 수 있습니다. 평가기준이 "계획 수립 후에도 취약으로 반영"하도록 한 것은 실제 교체 전까지 위험이 그대로이기 때문입니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.