대규모 클라우드 환경을 운영하는 금융권 보안팀에서는 빠르게 변화하는 디지털 환경 속에서 보안 취약점을 효율적으로 관리하는 것이 항상 중요한 과제로 인식됩니다. 특히, ISMS-P, 전자금융감독규정, ISO 27001과 같은 복잡한 국내외 규제 준수 요구사항을 만족시키면서도, 개발팀의 서비스 출시 속도를 저해하지 않는 보안 전략을 수립하는 것이 핵심 목표입니다. 개발팀은 이미 Infrastructure as Code(IaC)를 적극적으로 활용하여 AWS, Azure와 같은 다양한 클라우드 인프라를 프로비저닝하고 있으며, 이에 따라 인프라 구축 단계부터 보안이 내재화될 수 있는 방법을 모색하고 있습니다.
이러한 배경 속에서 저희 팀은 개발 단계에서부터 보안 취약점을 사전에 발견하고 수정하여, 실제 서비스 배포 후 발생할 수 있는 보안 사고의 위험을 최소화하고 싶었습니다. 궁극적으로는 규제 준수와 내부 보안 표준을 자동화된 방식으로 확보하며, 클라우드 환경의 보안 거버넌스를 강화하는 방향으로 나아가고 있습니다. 인프라가 코드로 정의되는 시대에, 그 코드 자체의 보안성을 검증하는 것은 클라우드 보안의 첫 단추이자 가장 중요한 단계라고 할 수 있습니다.
클라우드 인프라 보안 강화를 위한 도전 과제
저희 팀이 직면한 가장 큰 기술적, 운영적 도전 과제는 바로 IaC 코드의 보안성 검토였습니다. 기존에는 인프라 코드를 수동으로 검토하는 방식에 의존했습니다. 이는 막대한 시간 소모를 야기할 뿐만 아니라, 사람의 실수로 인한 오류 발생 가능성이 높다는 한계를 지니고 있었습니다. 특히, Terraform, AWS CloudFormation 등으로 정의된 인프라 코드 내부에 숨어 있는 보안 취약점이나 미흡한 설정 오류를 사전에 발견하기란 매우 어려운 일이었습니다.
또한, AWS와 Azure를 동시에 사용하는 Multi-cloud 환경에서는 일관된 보안 정책을 적용하고 관리하는 것이 복잡했습니다. 각 클라우드 플랫폼의 특성과 IaC 프레임워크에 맞는 보안 표준을 수립하고 이를 개발 파이프라인에 통합하는 데 어려움이 따랐습니다. 기존에 사용하던 SAST(Static Application Security Testing) 도구들은 주로 애플리케이션 코드의 취약점 분석에 집중되어 있었기 때문에, 인프라 코드의 보안 문제를 효과적으로 탐지하지 못했습니다. 더불어, 클라우드 환경에 인프라가 배포된 후에야 CSPM(Cloud Security Posture Management) 도구를 통해 문제점을 사후에 발견하게 되는 경우가 많았는데, 이는 이미 배포된 인프라의 설정 오류나 취약점을 수정하는 데 훨씬 더 많은 비용과 노력이 필요하다는 것을 의미했습니다.
이러한 상황에서 저희 팀은 개발 속도를 저해하지 않으면서도 보안을 강화해야 하는 이중고를 겪고 있었습니다. 핵심 요구사항은 다음과 같았습니다:
- IaC 코드 작성 단계에서 보안 취약점을 자동으로 스캔하고 개발자에게 즉각적인 피드백을 제공해야 합니다.
- Terraform, AWS CloudFormation, Kubernetes YAML 등 다양한 IaC 프레임워크를 폭넓게 지원해야 합니다.
- 내부 보안 정책 위반, 규제 준수(예: S3 버킷의 퍼블릭 액세스 제한, EC2 보안 그룹의 불필요한 포트 개방)와 관련된 설정 오류를 정확하게 탐지해야 합니다.
- CI/CD 파이프라인과의 긴밀한 연동을 통해 보안 검증 과정을 자동화하고, 개발 흐름에 자연스럽게 녹여내야 합니다.
최적의 IaC 보안 스캔 기술 선택 과정
이러한 도전 과제를 해결하기 위해 다양한 IaC 보안 스캔 도구들을 검토하는 과정을 거쳤습니다. 주요 후보군으로는 Checkov, Trivy, OPA/Conftest, Kics, Terrascan 등이 있었습니다. 이 도구들은 각각의 강점과 특징을 가지고 있어, 저희 환경에 가장 적합한 솔루션을 찾기 위해 여러 기준을 세우고 비교 분석을 진행했습니다.
가장 중요하게 고려했던 선택 기준은 다음과 같습니다.
- IaC 프레임워크 지원 범위: Terraform, AWS CloudFormation, Kubernetes YAML, Azure Resource Manager 등 저희가 사용하는 모든 IaC 프레임워크를 지원하는지 여부를 확인했습니다.
- 탐지 규칙의 정확성 및 풍부함: CIS Benchmarks, OWASP Top 10, 특정 클라우드 벤더의 보안 표준(AWS Security Best Practices 등)을 기반으로 얼마나 정확하고 다양한 보안 문제를 탐지하는지 평가했습니다.
- CI/CD 파이프라인 통합 용이성: GitHub Actions, Jenkins, GitLab CI 등 저희가 사용하는 CI/CD 도구들과 얼마나 쉽게 연동될 수 있는지를 중요하게 보았습니다.
- 오픈소스 여부 및 커뮤니티 지원: 오픈소스 도구의 경우, 활발한 커뮤니티 지원과 지속적인 업데이트가 중요한 고려사항이었습니다.
- 결과 보고서의 가독성 및 활용성: 스캔 결과가 개발자와 보안팀 모두에게 얼마나 이해하기 쉽고, 개선 활동에 효과적으로 활용될 수 있는 형태로 제공되는지를 확인했습니다.
- 정책 정의 및 사용자 정의 규칙 추가의 유연성: 저희 조직의 특수한 보안 요구사항이나 규제 준수 항목을 반영하기 위해 사용자 정의 정책을 얼마나 쉽게 추가하고 관리할 수 있는지가 중요했습니다.
심층적인 PoC(Proof of Concept)를 진행한 결과, 다양한 IaC 프레임워크를 폭넓게 지원하며 정책 규칙이 풍부한 Checkov와, 컨테이너 이미지 스캔뿐만 아니라 IaC 구성 오류(misconfiguration) 탐지에 강점을 보이는 Trivy를 핵심 후보로 선정했습니다. 특히, 저희는 AWS와 Azure를 동시에 사용하는 Multi-cloud 환경이므로, 양쪽 클라우드 환경의 IaC를 커버할 수 있는 유연성이 중요했습니다. 또한, 조직 특유의 보안 정책을 정의하고 자동 검증하기 위해 OPA(Open Policy Agent)의 Rego 언어를 활용할 수 있는 Conftest도 함께 검토하여, 범용 도구와 특정 기능에 특화된 도구를 조합하는 하이브리드 접근법을 선택하기로 결정했습니다.
이러한 의사결정 과정을 통해 개발 속도에 지장을 주지 않으면서도 다양한 클라우드 환경을 커버할 수 있는 유연한 IaC 보안 스캔 솔루션을 도입하여, 개발 단계부터 보안을 내재화하는 Shift-Left 보안 전략을 구현하는 방향으로 나아가고 있습니다.
IaC 보안 스캔 도구 통합 구현 과정
선택된 IaC 보안 스캔 도구들을 실제 개발 및 배포 파이프라인에 통합하는 과정은 여러 단계에 걸쳐 진행되었습니다. 핵심은 개발팀의 워크플로우를 방해하지 않으면서도, IaC 코드의 보안성을 자동으로 검증하는 시스템을 구축하는 것이었습니다.
1. IaC 보안 스캔 통합 아키텍처 설계
저희는 CI/CD 파이프라인 내에 IaC 보안 스캔 단계를 명확히 추가하는 아키텍처를 설계했습니다. 이는 개발자가 Git 리포지토리에 코드를 커밋하거나 Pull Request를 생성할 때, 자동으로 트리거되어 스캔이 진행되도록 하는 방식입니다. 구체적으로는 terraform plan 명령이 실행되거나, IaC 파일(Terraform, CloudFormation, Kubernetes YAML 등)이 생성 또는 수정된 직후 스캔을 수행하도록 구성하였습니다. 스캔 결과는 개발자에게 즉시 피드백되어 취약점을 빠르게 수정할 수 있도록 돕고, 보안팀에는 Seekurity SIEM으로 연동되어 중앙 집중식으로 보안 이벤트를 모니터링하고 분석할 수 있도록 하였습니다. 더 나아가, FRIIM CNAPP의 IaC 스캔 기능을 활용하여 IaC 단계부터 배포 후의 클라우드 자산까지 통합적인 보안 관점을 유지하는 것을 목표로 삼았습니다.
2. Checkov를 활용한 Terraform 코드 스캔 구현
Terraform 코드의 보안 취약점 분석에는 Checkov를 적극적으로 활용했습니다. Checkov는 다양한 클라우드 리소스에 대한 수천 개의 내장 정책을 제공하며, 특히 Terraform, CloudFormation, Kubernetes 등 주요 IaC 프레임워크를 지원하는 강점이 있습니다. 다음은 GitHub Actions를 활용하여 Terraform 코드에 Checkov 스캔을 적용하는 예시입니다.
name: IaC Security Scan with Checkov
on: [push, pull_request]
jobs:
checkov_scan:
runs-on: ubuntu-latest
steps:
- name: Checkout repository
uses: actions/checkout@v3
- name: Install Checkov
run: pip install checkov
- name: Run Checkov Scan
run: |
checkov -d . --output cli --output json --output-file-path checkov_results.json
continue-on-error: true
- name: Upload Checkov results
uses: actions/upload-artifact@v3
with:
name: checkov-results
path: checkov_results.json
이 GitHub Actions 워크플로우는 코드가 push되거나 Pull Request가 생성될 때마다 Checkov를 실행하여 현재 디렉토리의 모든 IaC 파일을 스캔합니다. 스캔 결과는 CLI로 출력될 뿐만 아니라 JSON 파일로 저장되어 추후 분석이나 다른 시스템과의 연동에 활용될 수 있습니다. 특정 정책 위반에 대한 예외 처리가 필요한 경우, Checkov의 --skip-check CKV_AWS_1과 같은 옵션을 사용하여 특정 정책 ID를 제외할 수 있습니다.
3. Trivy를 이용한 Kubernetes YAML 및 구성 파일 스캔
Trivy는 컨테이너 이미지 취약점 스캐너로 잘 알려져 있지만, IaC 파일의 구성 오류(misconfiguration) 탐지에도 매우 강력한 기능을 제공합니다. 특히 Kubernetes Manifest, Dockerfile, Terraform 파일 등 다양한 IaC 관련 파일 형식을 지원하여 구성 오류로 인한 보안 문제를 효과적으로 탐지할 수 있습니다. 다음은 Kubernetes YAML 파일을 Trivy로 스캔하는 예시입니다.
sudo apt-get update && sudo apt-get install -y wget apt-transport-https gnupg
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo "deb https://aquasecurity.github.io/trivy-repo/deb stable main" | sudo tee /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install -y trivy
trivy config deployment.yaml
trivy config main.tf
Trivy는 실행 후 발견된 구성 오류를 Severity(CRITICAL, HIGH, MEDIUM 등)별로 분류하여 보여주므로, 개발자들이 우선순위를 두고 문제를 해결하는 데 도움을 줍니다. 이러한 기능을 CI/CD 파이프라인에 통합하면, Kubernetes 클러스터에 배포되기 전에 잠재적인 보안 위험을 미리 제거할 수 있습니다.
4. OPA Conftest로 사용자 정의 보안 정책 적용
표준화된 정책 외에 저희 조직만의 특수한 보안 요구사항이나 규제 준수 항목을 검증하기 위해 OPA Conftest를 도입했습니다. OPA Conftest는 OPA의 정책 언어인 Rego를 사용하여 YAML, JSON 등의 구성 파일에 대한 정책을 정의하고 검증할 수 있도록 돕습니다. 예를 들어, 모든 AWS S3 버킷에 퍼블릭 접근이 허용되지 않도록 강제하는 정책을 Rego 언어로 정의할 수 있습니다.
package main
denied[msg] {
input.resource_type == "aws_s3_bucket"
input.attributes.acl == "public-read"
msg := "S3 bucket must not have public-read ACL set."
}
denied[msg] {
input.resource_type == "aws_s3_bucket"
input.attributes.block_public_acls == false
msg := "S3 bucket must block public ACLs."
}
위 Rego 정책은 S3 버킷에 public-read ACL이 설정되거나, Public ACL 차단 설정(block_public_acls)이 비활성화되어 있을 경우 이를 탐지하여 denied 메시지를 반환합니다. 이 정책을 Conftest와 함께 사용하여 IaC 파일을 검증하면 다음과 같습니다.
conftest test my-s3-bucket.tf --policy ./policy.rego
이러한 방식으로 사용자 정의 정책을 IaC 파이프라인에 통합함으로써, 표준화된 보안 가이드라인을 넘어서는 조직 특유의 보안 요구사항까지 자동화된 방식으로 검증하고 준수할 수 있게 됩니다. 이는 규제 준수 측면에서도 매우 중요한 역할을 합니다.
성과 및 결과: IaC 보안 스캔의 정량적/정성적 효과
IaC 보안 스캔 도구들을 도입하고 CI/CD 파이프라인에 통합한 결과, 저희 팀은 여러 면에서 유의미한 성과를 달성할 수 있었습니다. 특히, 보안 취약점 발견 및 수정 프로세스의 효율성이 크게 개선되었으며, 전반적인 클라우드 보안 posture가 강화되는 변화가 눈에 띕니다.
정량적 성과
- 보안 취약점 사전 발견율 70% 증가: IaC 코드 배포 전에 Checkov, Trivy, Conftest를 통해 발견되는 중대한 보안 취약점 및 설정 오류의 비율이 이전 대비 약 70% 증가했습니다. 이는 실제 프로덕션 환경에 배포되기 전에 대부분의 보안 문제를 해결할 수 있게 되었음을 의미합니다.
- 배포 후 중대 보안 이벤트 50% 감소: IaC 스캔 도입 후, 클라우드 환경에 인프라가 배포된 후 FRIIM CSPM에서 탐지되는 중대한 보안 이벤트(예: 잘못된 보안 그룹 설정, 퍼블릭 S3 버킷)가 약 50% 감소했습니다. 이는 Shift-Left 보안 전략의 성공적인 적용을 보여주는 지표입니다.
- 보안 검토 시간 30% 단축: 보안팀이 IaC 코드를 수동으로 검토하는 데 소요되던 시간이 자동화된 스캔을 통해 약 30% 단축되었습니다. 덕분에 보안팀은 더욱 전략적이고 고도화된 보안 업무에 집중할 수 있게 되었습니다.
정성적 성과
- 개발팀의 보안 인식 향상: CI/CD 파이프라인에 통합된 IaC 스캔 도구들은 개발자에게 즉각적인 피드백을 제공함으로써, 개발자들이 보안 취약점을 초기에 인지하고 스스로 해결하는 문화를 형성하는 데 크게 기여했습니다. 이는 자연스러운 Shift-Left 보안 문화의 정착으로 이어집니다.
- 규제 준수 및 내부 표준 만족도 증가: 사용자 정의 정책(OPA Rego)을 통해 ISMS-P, ISO 27001 등 규제 요구사항 및 조직 내부 보안 표준을 IaC 단계부터 강제할 수 있게 되어, 전반적인 컴플라이언스 만족도가 향상되었습니다.
- 보안팀의 업무 효율 증대: 반복적이고 수동적인 IaC 코드 검토 작업이 자동화되면서, 보안팀은 위협 인텔리전스 분석, 보안 아키텍처 설계, Seekurity SIEM/SOAR를 활용한 위협 탐지 및 대응 고도화 등 핵심적인 업무에 역량을 집중할 수 있게 되었습니다.
전후 비교
IaC 보안 스캔 도구 도입 전후의 변화는 다음 표와 같이 요약할 수 있습니다.
| 구분 | IaC 보안 스캔 도입 전 | IaC 보안 스캔 도입 후 |
|---|
| 취약점 탐지 시점 | 주로 클라우드 배포 후 (CSPM) | IaC 코드 작성 및 CI/CD 단계 (Shift-Left) |
| 보안 검토 방식 | 보안팀의 수동 검토 중심 | 자동화된 도구 스캔 중심, 보안팀 검토 보조 |
| 취약점 수정 비용 | 배포 후 수정 → 고비용, 높은 복잡성 | 개발 단계 수정 → 저비용, 낮은 복잡성 |
| 개발 속도 영향 | 수동 검토로 인한 지연 발생 가능 | 파이프라인 내 자동화로 지연 최소화 |
| 규제 준수 관리 | 사후 점검 및 수동 조치 중심 | 사전 정책 강제 및 자동 검증 |
| 개발팀 보안 인식 | 낮음, 보안은 '보안팀의 일' 인식 | 높음, '모두의 보안' 문화 확산 |
이러한 변화는 클라우드 인프라 보안 관리의 패러다임을 전환하는 중요한 계기가 되었으며, 더욱 견고하고 효율적인 보안 체계를 구축하는 데 크게 기여했습니다.
교훈 및 회고: 예측과 실제 사이의 간극
IaC 보안 스캔 도구를 도입하는 과정에서 여러 교훈을 얻을 수 있었습니다. 처음에는 개발팀에서 새로운 보안 검증 단계에 대한 저항이 있을 것으로 예상했습니다. 하지만 명확한 도입 목표 설명과 함께, 스캔 결과를 개발자에게 빠르게 피드백하고 수정 가이드를 제공함으로써 개발 흐름을 방해하기보다 오히려 코드 품질을 높이는 데 기여한다는 인식이 확산되었습니다. 이는 개발팀과 보안팀 간의 협업을 증진시키는 긍정적인 부수적 효과로 나타났습니다.
다시 이 프로젝트를 진행한다면, 정책 정의의 고도화 및 버전 관리에 더욱 집중할 필요가 있다고 생각합니다. Rego와 같은 정책 코드는 일반 코드와 마찬가지로 버전 관리가 중요하며, 정책 변경 시 미치는 영향을 사전에 분석하는 체계가 필요합니다. 또한, 스캔 결과를 단순히 텍스트나 JSON 형태로 보는 것을 넘어, 시각화된 대시보드를 구축하여 보안 현황을 한눈에 파악하고, 이를 Seekurity SIEM/SOAR와 더욱 긴밀하게 연동하여 자동화된 위협 탐지 및 대응 프로세스를 강화하는 방향으로 나아갈 것입니다. 특히, KYRA AI Sandbox를 활용하여 IaC 코드의 잠재적 위협 패턴을 분석하고, 이를 바탕으로 새로운 보안 정책을 생성하거나 기존 정책을 고도화하는 방안도 연구해 볼 만합니다. AI 기반의 분석은 사람이 놓칠 수 있는 복합적인 위협 패턴을 식별하는 데 큰 도움이 될 것으로 전망됩니다.
의외의 부수적 효과로는 인프라 코드의 전반적인 품질 향상을 꼽을 수 있습니다. 보안 정책을 지키기 위해 코드 구조를 개선하고 모듈화하는 과정에서, 개발팀은 더 견고하고 재사용 가능한 IaC 코드를 작성하게 되었습니다. 이는 결과적으로 인프라의 안정성과 관리 용이성까지 높이는 결과를 가져왔습니다. IaC 보안 스캔 도입은 단순히 보안을 강화하는 것을 넘어, DevOps 문화와 클라우드 운영 전반에 긍정적인 영향을 미치는 중요한 전환점이 되었다고 할 수 있겠습니다.
클라우드 환경을 위한 IaC 보안 스캔 적용 가이드
저희의 경험을 바탕으로, 유사한 클라우드 환경에서 IaC 보안 스캔 도구를 도입하려는 조직을 위한 실용적인 적용 팁과 단계적 로드맵을 제시합니다.
- 작은 범위부터 시작하여 점진적으로 확장: 모든 IaC 코드에 한 번에 적용하기보다는, 중요도가 높은 서비스나 새로 개발되는 프로젝트부터 IaC 스캔을 도입하는 것이 효과적입니다. 초기에는 경고(warning) 모드로 운영하여 개발 흐름에 미치는 영향을 최소화하고, 점차 정책 위반 시 빌드 실패(fail) 모드로 전환하는 것을 권장합니다.
- 보안 정책의 지속적인 업데이트 및 공유: 클라우드 환경과 위협은 끊임없이 변화하므로, 보안 정책도 이에 발맞춰 지속적으로 업데이트해야 합니다. 업데이트된 정책은 개발팀과 투명하게 공유하여 모두가 동일한 보안 기준을 이해하고 적용할 수 있도록 해야 합니다.
- 기존 클라우드 보안 시스템과의 연동: IaC 스캔 결과는 FRIIM CNAPP/CSPM과 같은 기존 클라우드 보안 관리 시스템과 연동하여 통합적인 클라우드 보안 posture를 유지하는 것이 중요합니다. IaC 단계에서 탐지된 취약점 정보가 실제 배포된 클라우드 자산의 보안 현황과 연결되어야 전반적인 가시성을 확보할 수 있습니다. 또한, Seekurity SIEM/SOAR와 같은 위협 탐지 및 대응 시스템과 연동하여 보안 이벤트에 대한 신속한 대응 체계를 구축하는 것이 효과적입니다.
필수 전제 조건
- IaC 코드의 형상 관리 시스템 활용: 모든 IaC 코드가 Git과 같은 형상 관리 시스템에 저장되고 버전 관리되어야 합니다.
- CI/CD 파이프라인 구축: 자동화된 IaC 스캔을 위해서는 기능하는 CI/CD 파이프라인이 필수적입니다.
- 보안팀 및 개발팀의 협업 의지: IaC 보안은 개발팀과 보안팀의 긴밀한 협업 없이는 성공하기 어렵습니다. 초기부터 양 팀 간의 원활한 소통 채널을 구축하는 것이 중요합니다.
단계적 도입 로드맵
- 1단계 (기반 다지기): 핵심 IaC 프레임워크(예: Terraform)에 대한 기본 스캔 도구(Checkov, Trivy)를 도입하고, 소규모 프로젝트에 시범 적용합니다.
- 2단계 (CI/CD 통합): CI/CD 파이프라인에 IaC 스캔 도구를 통합하고, 스캔 결과를 개발자에게 피드백하는 자동화된 워크플로우를 구축합니다. 초기에는 경고 모드로 운영합니다.
- 3단계 (정책 확장 및 가시성 확보): OPA Conftest를 활용하여 조직 특유의 사용자 정의 보안 정책을 확장하고, 스캔 결과 및 정책 위반 현황을 시각화하는 대시보드를 구축합니다. Seekurity SIEM/SOAR와 연동하여 중앙 집중식 모니터링 및 자동 대응 기반을 마련합니다.
- 4단계 (통합 보안 및 최적화): FRIIM CNAPP과의 연동을 통해 IaC 단계부터 런타임 클라우드 자산까지 포괄하는 통합 클라우드 보안 posture 관리 체계를 완성합니다. 지속적인 정책 최적화 및 도구 고도화를 통해 보안 자동화 수준을 높여나갑니다.
IaC 보안 스캔은 클라우드 환경에서 보안을 강화하고 규제 준수를 효과적으로 달성하기 위한 필수적인 전략입니다. 이 접근법을 통해 조직은 더욱 안전하고 효율적인 클라우드 운영 환경을 구축하는 방향으로 나아갈 수 있습니다.
