클라우드 환경 진단에서 반복해서 나오는 구성 문제는 대체로 새로운 기술의 문제가 아니라, 초기 설정이 그대로 남아 있는 문제입니다.
1. 과도한 IAM 권한
개발 편의를 위해 부여한 광범위 권한이 운영 단계까지 남는 경우가 가장 많습니다. 관리자 권한을 가진 사용자·역할의 수, 와일드카드 권한, 오래 사용되지 않은 액세스 키를 주기적으로 점검해야 합니다. 특히 CI/CD 파이프라인에 부여된 권한은 사람보다 강한 권한을 갖고 있으면서 검토 대상에서 빠지곤 합니다.
2. 공개된 스토리지와 스냅샷
버킷 자체를 공개하지 않았더라도, 사전 서명 URL의 만료 기간이 과도하거나 스냅샷·이미지의 공유 설정이 열려 있으면 같은 결과가 됩니다. 데이터 자산 목록과 공개 여부를 함께 관리해야 합니다.
3. 꺼져 있거나 짧게 보관되는 감사 로그
사고 이후 원인을 확인하려면 로그가 남아 있어야 합니다. 감사 로그 활성화 여부, 보존 기간, 로그 저장 위치에 대한 접근 통제(로그를 지울 수 있는 권한이 누구에게 있는지)까지 확인이 필요합니다.
4. 불필요하게 열린 인바운드
0.0.0.0/0 으로 열린 관리 포트(SSH·RDP·DB)는 여전히 흔하게 발견됩니다. 임시로 열었다가 닫지 않은 규칙이 대부분이므로, 보안그룹 변경에 대한 승인·검토 절차가 있는지가 근본 대책입니다.
5. 관리 콘솔 계정의 MFA 미적용
루트·관리자 계정에 다중 인증이 적용되지 않은 상태는 단일 자격증명 유출로 전체 환경이 넘어가는 구조를 의미합니다. 계정 생성 시점의 기준선(baseline)에 포함시켜야 합니다.
진단 후 실제로 효과가 있었던 접근
- 기준선(baseline)을 문서가 아니라 IaC 코드로 관리해 신규 자원에 자동 적용
- 변경 승인 절차에 보안 검토 지점을 한 곳만 추가(전체 프로세스를 바꾸지 않음)
- 분기별 권한 검토를 담당자 개인 작업이 아니라 티켓으로 남기기
구성 진단은 범위가 넓지만 계정 단위로 빠르게 확인할 수 있는 항목이 많습니다. 현재 환경(제공자·계정 수·주요 서비스)만 알려주시면 필요한 점검 범위를 정리해 드립니다.