클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-032스냅샷 암호화 적용 여부

위험도 5 기술적 보안 EC2 · EBS 평가 구분: 스크립트

스냅샷이 암호화되지 않은 경우 타 계정 또는 비인가자에 의해 복원되어 저장된 데이터가 유출될 수 있는 위협이 존재하므로, 스냅샷의 암호화 적용 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

EC2 → 스냅샷 → 대상 스냅샷 ID 클릭 → 암호화 항목 확인. 공유 여부는 권한 공유 탭에서 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

공유부터 즉시 해제한 뒤 암호화 사본을 만들고 평문 원본을 폐기합니다. 순서를 바꾸면 노출 시간이 길어집니다.

# 1) 즉시 — 퍼블릭 공유 해제 $ aws ec2 modify-snapshot-attribute --snapshot-id snap-0c73b19e58af2d640 \ --attribute createVolumePermission --operation-type remove --group-names all # 2) 암호화 사본 생성 $ aws ec2 copy-snapshot --source-region ap-northeast-2 \ --source-snapshot-id snap-0c73b19e58af2d640 \ --encrypted --kms-key-id alias/fin-ebs-cmk \ --description "encrypted copy of fin-core-app-01" # 3) 평문 원본 삭제 $ aws ec2 delete-snapshot --snapshot-id snap-0c73b19e58af2d640 # 4) 재발 방지 — 퍼블릭 스냅샷 차단(계정·리전 단위) $ aws ec2 enable-snapshot-block-public-access --state block-all-sharing

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

# 계정 차원에서 스냅샷 퍼블릭 공유를 원천 차단 resource "aws_ebs_snapshot_block_public_access" "this" { state = "block-all-sharing" } # 자동 스냅샷도 암호화되도록 — DLM 수명주기 정책 resource "aws_dlm_lifecycle_policy" "daily" { policy_details { schedule { name = "daily-encrypted" create_rule { interval = 24 interval_unit = "HOURS" times = ["18:00"] } retain_rule { count = 30 } # 원본 볼륨이 암호화면 스냅샷도 자동 암호화된다 } target_tags = { Backup = "true" } } }

주의 — 퍼블릭 스냅샷은 검색이 쉽습니다. describe-snapshots --restorable-by-user-ids all 로 누구나 공개 스냅샷을 훑을 수 있어, 노출 시간이 짧아도 이미 복제되었다고 가정해야 합니다. 공유 해제 후에는 해당 볼륨의 자격증명·키를 모두 교체하세요. 또한 특정 계정에만 공유(--user-ids)한 경우도 점검 대상입니다 — Group: all 만 보면 놓칩니다.

📋 평가항목 정보

평가항목 ID	PISM-032
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	스냅샷 암호화 적용 여부
위험도	5
평가 구분 (AWS)	스크립트
상세설명	스냅샷이 암호화되지 않은 경우 타 계정 또는 비인가자에 의해 복원되어 저장된 데이터가 유출될 수 있는 위협이 존재하므로, 스냅샷의 암호화 적용 여부를 점검합니다.

📎 확인 자료 (증적)

describe-snapshots --owner-ids self 전체 출력 (Encrypted)
스냅샷별 createVolumePermission (퍼블릭·특정 계정 공유 여부)
get-snapshot-block-public-access-state 출력
평문·공유 스냅샷의 폐기 내역 및 노출 기간 산정

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

스냅샷은 디스크 전체의 완전한 사본입니다. 접근통제·망분리를 아무리 갖춰도 스냅샷 하나가 공개되면 그 시점의 데이터 전부가 나갑니다. 실제 해외 금융·핀테크 유출 사고 중 상당수가 백업·스냅샷의 잘못된 공유에서 비롯됐고, 그래서 이 항목에 위험도 5 가 부여됩니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.