C-12
📊 로그 무결성·보관 미흡
클라우드/컨테이너 · 로깅
위험도: 중💡 쉽게 말하면
무결성 없는 로그는 연필로 쓴 출입대장입니다. 침입자가 자기 기록을 지우개로 지울 수 있죠. 무결성 검증과 WORM 보관은 대장을 지울 수 없는 잉크로 봉인합니다.
무결성 없는 로그는 연필로 쓴 출입대장입니다. 침입자가 자기 기록을 지우개로 지울 수 있죠. 무결성 검증과 WORM 보관은 대장을 지울 수 없는 잉크로 봉인합니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 침입 후 자기 흔적을 로그에서 지운다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 로그 무결성/보관
$ aws cloudtrail get-trail-status
LogFileValidation: false
→ 로그 위변조/조기 소실
✓ 안전한 설정
# 무결성/보관 강화
$ ... --enable-log-file-validation
validation on + 보관 1년
→ 위변조 탐지·증빙
🔧 조치 방법
- 로그 파일 무결성 검증을 활성화합니다.
- 버킷 객체 잠금(WORM)·충분한 보관 기간을 설정합니다.
✅ 점검 체크리스트
- 로그 무결성 검증이 활성화됨
- 로그 보관 기간이 충분함
점검기준: 클라우드 로깅 > 로그 무결성