클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-037비밀번호 정책 수립 및 로그인 제한 설정

위험도 5 기술적 보안 IAM 평가 구분: 관리체계, 스크립트

계정의 비밀번호가 취약하게 설정되어 있거나 복잡도 정책이 미흡한 경우, 비인가자가 비밀번호를 유추하거나 무작위 대입 공격을 통해 계정을 탈취하여 가상자원 또는 관리 시스템에 접근할 수 있는 위협이 존재하므로 비밀번호 설정 상태 및 복잡도 정책이 적절하게 적용되어 있는지 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

IAM → 계정 설정 → 암호 정책에서 복잡도·만료·재사용 방지 설정 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

복잡도·만료·재사용 방지를 한 번에 설정합니다. 다만 비밀번호 정책만으로는 부족합니다 — AWS 는 로그인 실패 잠금(계정 락아웃)을 제공하지 않으므로, 무작위 대입 대응은 MFA 의무화(PISM-039)와 IdP 연동(SSO) 으로 해결해야 합니다.

# 1) 암호 정책 강화 $ aws iam update-account-password-policy \ --minimum-password-length 14 \ --require-symbols \ --require-numbers \ --require-uppercase-characters \ --require-lowercase-characters \ --allow-users-to-change-password \ --max-password-age 90 \ --password-reuse-prevention 12 # 2) 오래된 비밀번호 강제 교체 (다음 로그인 시) $ aws iam update-login-profile --user-name fin-admin-kim \ --password-reset-required # 3) 근본 해결 — IAM 사용자 대신 IAM Identity Center(SSO) 로 전환 $ aws sso-admin list-instances # 사내 IdP 와 SAML 연동 후, 콘솔 로그인은 IdP 정책(잠금·MFA)을 따르게 한다

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

resource "aws_iam_account_password_policy" "fin" { minimum_password_length = 14 require_symbols = true require_numbers = true require_uppercase_characters = true require_lowercase_characters = true allow_users_to_change_password = true max_password_age = 90 password_reuse_prevention = 12 hard_expiry = false # true 로 두면 만료 시 관리자 개입 필요 }

주의 — update-account-password-policy 는 전달하지 않은 옵션을 기본값으로 되돌립니다. 일부만 바꾸려고 한두 개 옵션만 주면 나머지가 초기화되므로, 항상 전체 옵션을 함께 전달하세요. 또 hard_expiry = true 는 만료된 사용자가 스스로 비밀번호를 바꿀 수 없게 만들어, 전원이 동시에 잠기는 사고로 이어질 수 있습니다.

📋 평가항목 정보

평가항목 ID	PISM-037
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	비밀번호 정책 수립 및 로그인 제한 설정
위험도	5
평가 구분 (AWS)	관리체계, 스크립트
상세설명	계정의 비밀번호가 취약하게 설정되어 있거나 복잡도 정책이 미흡한 경우, 비인가자가 비밀번호를 유추하거나 무작위 대입 공격을 통해 계정을 탈취하여 가상자원 또는 관리 시스템에 접근할 수 있는 위협이 존재하므로 비밀번호 설정 상태 및 복잡도 정책이 적절하게 적용되어 있는지 점검합니다.

📎 확인 자료 (증적)

get-account-password-policy 출력 (복잡도·만료·재사용 방지)
자격증명 보고서 (비밀번호 최종 변경일, 미사용 계정)
MFA 적용 현황 (PISM-039 와 함께 제출)
IdP 연동 시 IdP 측 잠금 임계값 정책

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

전자금융감독규정은 비밀번호 복잡도와 주기적 변경을 요구합니다. 다만 클라우드 관리 콘솔은 인터넷에서 바로 접근 가능한 관리 평면이라, 비밀번호만으로는 방어선이 부족합니다. 평가에서도 이 항목은 MFA·SSO 와 묶어서 봅니다 — 비밀번호 정책만 강화하고 MFA 가 없으면 실질적 개선으로 인정받기 어렵습니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.