Red Hat Summit2장. 위협 및 취약성 관리
Red Hat Ceph Storage(RHCS)는 일반적으로 클라우드 컴퓨팅 솔루션과 함께 배포되므로 대규모 배포의 여러 구성 요소 중 하나로 요약된 Red Hat Ceph Storage 배포에 대해 생각하는 것이 유용할 수 있습니다. 이러한 배포에는 일반적으로 공유 보안 문제가 있으며 이 안내서에서는 보안 영역 이라고 합니다. 위협 행위자와 벡터는 동기 부여 및 리소스에 대한 액세스를 기반으로 분류됩니다. 목표는 목표에 따라 각 구역의 보안 문제에 대한 이해를 제공하기 위한 것입니다.
2.1. 위협 행위자
위협 행위자는 당신이 방어하려고 시도 할 수있는 형의 클래스를 나타내는 추상적인 방법입니다. 작업자가 더 강력하게 할 수 있는, 성공적인 공격 완화 및 예방에 필요한 보안 제어가 더 엄격합니다. 보안은 요구 사항에 따라 균형 잡힌 편의성, 방위 및 비용의 문제입니다. 경우에 따라 여기에 설명된 모든 위협 행위자에 대해 Red Hat Ceph Storage 배포를 보호할 수 없습니다. Red Hat Ceph Storage를 배포할 때는 배포 및 사용에 대한 균형이 어디에 있는지 결정해야합니다.
위험 평가의 일환으로 사용자가 저장하는 데이터 유형과 액세스 가능한 리소스의 유형을 고려해야 합니다. 이는 특정 행위자에게도 영향을 미치기 때문입니다. 그러나 데이터가 위협 행위자를 유발하지 않더라도 컴퓨팅 리소스에 쉽게 끌어올릴 수 있습니다.
- 국가-국가: 이것은 가장 신뢰할 수 있는 광고입니다. 국가 상태 행위자는 대상에 대해 엄청난 리소스를 가져올 수 있습니다. 그들은 다른 배우보다 더 많은 능력을 가지고 있습니다. 인간과 기술 모두 상당히 엄격한 통제없이 이러한 액터들을 보호하는 것은 매우 어렵습니다.
- 심각한 조직화 된 Crime: 이 클래스는 매우 강력하고 재정 중심 공격자 그룹을 설명합니다. 사내 익스플로잇 개발 및 목표 연구 비용을 절감할 수 있습니다. 최근 몇 년 동안 러시아 Business Network와 같은 조직의 증가로 인해 대규모의 사이버 보안 기업은 사이버 공격이 어떻게 상용이 되었는지 입증했습니다. 산업적 대응은 심각한 조직의 범죄 그룹에 속합니다.
- 높은 지원 그룹: 이는 일반적으로 상업적으로 투자되지는 않지만 서비스 제공 업체 및 클라우드 운영자에게 심각한 위협을 초래할 수 있는 '결제주의' 유형의 조직을 나타냅니다.
- 바이낸스 액티비티(Digitals Acting Alone) : 이러한 공격자는 악성인 또는 악성 종사자, 비효율 고객 또는 소규모 산업적 탈출기와 같은 많은 위장에서 온 것입니다.
- Script Kiddies: 이 공격자는 특정 조직을 대상으로 하지 않지만 자동화된 취약점 검색 및 악용을 실행합니다. 이러한 행위자 중 하나에 의한 손상은 종종 미묘하지만 이러한 행위자 중 하나가 조직의 평판에 큰 위험을 초래할 수 있습니다.
다음 사례는 위에서 설명한 일부 위험을 줄이는 데 도움이 될 수 있습니다.
- 보안 업데이트: 네트워킹, 스토리지 및 서버 하드웨어를 포함하여 기본 물리적 인프라의 포괄적인 보안 상태를 고려해야 합니다. 이러한 시스템에는 자체 보안 강화 방법이 필요합니다. Red Hat Ceph Storage 배포의 경우 보안 업데이트를 정기적으로 테스트하고 배포할 계획이어야 합니다.
- 액세스 관리: 액세스 관리에는 인증, 권한 부여 및 계정이 포함됩니다. 인증은 사용자 ID를 확인하는 프로세스입니다. 권한 부여는 인증된 사용자에게 권한을 부여하는 프로세스입니다. 회계는 사용자가 작업을 수행하는 추적 프로세스입니다. 사용자에게 시스템 액세스 권한을 부여하는 경우 최소 권한 원칙을 적용하고 사용자에게 실제로 필요한 세분화된 시스템 권한만 부여합니다. 이 접근 방식은 시스템 관리자의 악의적인 행위자와 오타 오류의 위험을 줄이는 데 도움이 될 수 있습니다.
- 내부 인터페이스의 암호화를 사용하여 역할 기반 액세스 제어(최소 필요한 액세스), 내부 인터페이스의 암호화를 사용하여 중앙 집중식 ID 관리(예: 중앙 집중식 ID 관리)를 사용하여 악의적인 내부자 위협을 완화할 수 있습니다. 작업 분리 및 불규칙한 작업 역할 회전과 같은 추가적인 비기술적 옵션을 고려할 수도 있습니다.
