KT Cloud 보안 가이드 - 계정보안 1부(로그인편)

 

 

보안은 Cloud 이용의 허들로 자주 언급되고 있습니다. (Cloud 서비스 제공자들이 강력한 보안 체계를 구축/제공하고는 있지만, 고객 입장에서는 여전히 큰 걱정거리로 인식되고 있는 것 같습니다.)

 

Cloud 보안에 대한 오해를 풀고, 올바른 정보를 제공해 드리고자 "KT Cloud는 어떻게 보호되는가" 시리즈를 연재하고 있었습니다. 이번에는 KT Cloud를 보다 안심하고 이용하실 수 있도록, "KT Cloud 보안 가이드"에 대한 내용을 소개드리고자 합니다.  

 

본 가이드는 KT Cloud 사용 고객이 보안적으로 권장되는 설정을 통해 KT Cloud 서비스를 이용하실 수 있도록 작성되었습니다. 고객께서 직접 선택 및 설정하실 수 있는 보안 사항들을 알기 쉽게 소개드릴 예정입니다.

(KT Cloud 서비스 이용을 위한 주요 영역 별로 진단 항목을 구분하고, 각 진단 항목에 대한 요약 설명/설정 방법/진단 기준 등을  풀어서 말씀드릴 것입니다.) 

 

그 첫번째 여정을 계정 보안 영역에서부터 시작합니다!   

 

 

 

 

 

 계정보안 1부 - 로그인편 (C-01, C-02, C-03, C-04)

 

 

계정보안은 특정 계정에 접근할 수 있는 로그인 기능부터 계정이 가지고 있는 권한까지 다양한 영역을 포함합니다.

 

그 중에서도 로그인은 계정이 접근할 수 있는 정보에 대한 보안과 직결되므로 계정보안 중에서도 중요한 영역에

해당됩니다.

 

이번 포스터에서는 다음과 같은 순서로 KT Cloud의 로그인 보안에 대해 알아보겠습니다.

 

    C-01 . 키 페어 (Key Pair)

 

    C-02 . 접근 패스워드 설정

 

    C-03 . OTP 인증

 

    C-04 . API Key

 

 

 C-01. 키 페어 (Key Pair)

 

1. 항목 설명

 

  o 기능 및 특징

    - SSH 키 페어(Keypair)를 이용한 로그인 방식 지원

    - Public/Private 키를 통해 사용자 접근 권한 인증

    - 존(Zone)을 기준으로 KOR-Seoul M2 및 Etc 이하 2가지 경우로 구분

 

 

※ 참고

    - 키 페어가 공개된 위치에 저장될 경우 비인가자에 의해 악용될 수 있음

 

2. 설정 방법

 

(키 페어 생성)

①    콘솔 server 탭에서 SSH keypair 선택

②    SSH keypair 생성 선택

 

 

③    생성된 키 페어 파일을 비인가자가 쉽게 접근할 수 없는 공간에 보관

 

 

(키 페어 사용)

①    콘솔 server 탭에서 클라우드 서버리스트 선택

②    서버 생성 과정에서 SSH keypair 선택하기 선택

③    사용할 키 페어 선택 및 확인

 

 

3. 진단 기준

 

구분	내용
양호기준	키 페어(PEM) 파일이 비인가자가 유추 및 접근하기 어려운 공간에 보관되어 있을 경우
취약기준	키 페어(PEM) 파일이 공용공간 같이 다수 접근이 가능한 위치에 보관되어 있을 경우

 

 

 C-02. 접근 패스워드 설정

 

1. 항목 설명

 

 o 기능 및 특징

    - 포탈 계정의 ID/PW 로그인 방식 지원

 

  ※    참고

    - 주기적인 패스워드 변경 권장

    - 유추하기 어려운 문자의 조합으로 비인가자의 패스워드 악용 방지

 

구분	내용
주기적인 패스워드 변경	O 최소 90일에 1번 패스워드 변경 권장
유추하기 어려운 문자	O 패스워드 내 아이디, 전화번호 등 개인정보 미포함 O 영문 대/소문자, 숫자, 특수문자의 조합으로 8~15자로 구성

 

2. 설정 방법

 

(패스워드 설정)

①    내 정보 관리 하단에서 개인 정보 관리 선택

②    비밀번호 변경 선택

 

 

③    패스워드 보안 권장 기준에 맞춰 패스워드 기입 및 변경

 

 

3. 진단 기준

 

구분	내용
양호기준	권장하는 패스워드 문자 조합으로 패스워드가 구성되었으며 패스워드 내에 개인정보가 포함되지 않은 경우
취약기준	권장하는 패스워드 문자 조합으로 패스워드가 구성되지 않았거나 패스워드 내에 개인정보가 포함되는 경우

 

 

 C-03. OTP 인증

 

1. 항목 설명

 

 o 기능 및 특징

    - 포탈 계정의 ID/PW 인증 방식에 추가적인 OTP 인증 추가 가능

    - 등록된 핸드폰의 SMS를 통해 1회용 비밀번호를 수신하여 인증 과정 진행

 

 

2. 설정 방법

 

(OTP 설정)

①   개인 정보 관리 선택

 

 

 

②   하단 로그인 방식 선택에서 아이디/비밀번호 + OTP 선택

③   OTP 수신 번호 입력 탭의 내용 작성 및 추가

 

 

3. 진단 기준

 

구분	내용
양호기준	아이디/비밀번호 + OTP(SMS/Email) 방식으로 포탈 계정에 로그인 하는 경우
취약기준	아이디/비밀번호 방식으로 포탈 계정에 로그인 하는 경우

 

 

 C-04. API Key

 

1. 항목 설명

 

  o 기능 및 특징

    - KT Cloud OpenAPI 사용을 위해 API Key와 Secret Key 제공

    - API Key 및 Secret Key를 활용해 API 요청 및 응답 기능 수행

 

  ※    참고

    - OpenAPI는 계정 내 모든 자원에 대한 접근이 가능하므로 높은 수준의 보안 유지 권장

    - 주기적인 API Key 재발급 (60일 이내) 권장 (마지막 활동 기준 (30일 이내))

 

 

2. 설정 방법

 

(API Key 관리)

①   콘솔  server에서 API Key 선택

②   API Key, Secret Key 사용시 복사 기능 활용

③   API Key 재발급을 통해 주기적인 관리

 

 

3. 진단 기준

 

구분	내용
양호기준	API Key를 주기적으로 재발급하여 사용하는 경우
취약기준	API Key를 주기적으로 재발급하지 않고 사용하는 경우

 

 

마무리

 

사용자 계정의 보안 수준을 높일 수 있는 방법은 여러 가지가 있지만, 가장 중요한 것은

계정보안에 대한 사용자의 인식입니다.

 

주기적인 패스워드 변경과 적절한 권한 분배를 통해 안전한 계정 관리가 되면 좋겠습니다!

 

해당 가이드의 보안 진단 기준은 권장 사항일 뿐, KT Cloud 사용을 위해 강제되는 사항은 아닙니다.