클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-033이미지 암호화 적용 여부

위험도 5 기술적 보안 EC2 · AMI 평가 구분: 스크립트

이미지가 암호화되지 않은 경우 해당 이미지를 기반으로 생성되는 인스턴스 또는 디스크에 포함된 데이터가 비인가자에게 노출될 수 있는 위협이 존재하므로, 이미지의 암호화 적용 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

EC2 → AMI → 대상 AMI ID 클릭 → 스토리지 탭 → 블록 디바이스의 암호화됨 열 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

공개 해제 → 암호화 AMI 재생성 → 평문 AMI/스냅샷 폐기 순서로 처리하고, 이미지에 구워진 비밀값을 전부 교체합니다. 공개된 이미지는 이미 복제되었다고 보아야 합니다.

# 1) 즉시 — AMI 공개 해제 $ aws ec2 modify-image-attribute --image-id ami-0b41f7d29ca85e630 \ --launch-permission "Remove=[{Group=all}]" # 2) 암호화된 AMI 로 재생성 (copy-image 로 한 번에) $ aws ec2 copy-image --source-region ap-northeast-2 \ --source-image-id ami-0b41f7d29ca85e630 \ --name "fin-core-app-golden-2026-09-enc" \ --encrypted --kms-key-id alias/fin-ebs-cmk # 3) 평문 AMI 등록 해제 + 스냅샷 삭제 $ aws ec2 deregister-image --image-id ami-0b41f7d29ca85e630 $ aws ec2 delete-snapshot --snapshot-id snap-04f9a7c31b6e28d05 # 4) 이미지에 구워져 있던 비밀값 교체 (필수) $ aws secretsmanager update-secret --secret-id fin/core/db-password \ --secret-string "$(openssl rand -base64 32)" # 5) 재발 방지 — 퍼블릭 이미지 차단 $ aws ec2 disable-image-block-public-access --dry-run # 현재 상태 확인용 $ aws ec2 enable-image-block-public-access --image-block-public-access-state block-new-sharing

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

resource "aws_ec2_image_block_public_access" "this" { state = "block-new-sharing" } # 골든 이미지는 파이프라인에서 암호화로 굽는다 resource "aws_imagebuilder_distribution_configuration" "fin" { distribution { region = "ap-northeast-2" ami_distribution_configuration { name = "fin-core-app-{{ imagebuilder:buildDate }}" kms_key_id = aws_kms_key.fin_ebs.arn # launch_permission 을 지정하지 않으면 비공개가 기본 } } }

주의 — deregister-image 만 하면 기반 스냅샷은 그대로 남습니다. AMI 는 사라진 것처럼 보이지만 스냅샷을 통해 데이터는 여전히 접근 가능합니다. 반드시 스냅샷까지 지우세요. 그리고 공개되었던 이미지의 비밀값 교체는 선택이 아니라 필수입니다 — 이미지를 내린다고 이미 복사해 간 사본이 사라지지 않습니다.

📋 평가항목 정보

평가항목 ID	PISM-033
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	이미지 암호화 적용 여부
위험도	5
평가 구분 (AWS)	스크립트
상세설명	이미지가 암호화되지 않은 경우 해당 이미지를 기반으로 생성되는 인스턴스 또는 디스크에 포함된 데이터가 비인가자에게 노출될 수 있는 위협이 존재하므로, 이미지의 암호화 적용 여부를 점검합니다.

📎 확인 자료 (증적)

describe-images --owners self 출력 (Public 여부)
AMI 별 기반 스냅샷 ID 와 그 Encrypted 값
get-image-block-public-access-state 출력
공개 이력이 있는 이미지의 노출 기간 및 비밀값 교체 기록
평문 AMI 등록 해제·스냅샷 삭제 내역

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

AMI 는 서버 한 대를 통째로 복제할 수 있는 자산입니다. 금융권 골든 이미지에는 보안 에이전트 설정, 내부 CA 인증서, 초기 접속 정보가 포함되는 일이 흔해, 공개 시 내부망 구조가 함께 노출됩니다. 암호화는 그 자체로 퍼블릭 공유를 불가능하게 만들어 이중 방어선이 됩니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.