[논문]모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크

노현; 옥지원; 김성민

doi:10.13089/jkiisc.2023.33.3.487

모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크
Pentesting-Based Proactive Cloud Infringement Incident Response Framework 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.33 no.3, 2023년, pp.487 - 498

노현 (성신여자대학교) , 옥지원 (성신여자대학교) , 김성민 (성신여자대학교)

초록
AI-Helper

클라우드 서비스 취약점을 이용한 보안 사고가 발생하고 있으나, 복잡하고 다양한 서비스 모델을 갖는 클라우드 환경에서의 사고 흔적을 수집하고 분석하는 것은 어려운 문제이다. 이에 클라우드 포렌식 연구의 중요성이 대두되며, 퍼블릭 클라우드 서비스 모델에서의 대표적 보안 위협 사례에 기반한 클라우드 서비스 사용자(CSU)와 클라우드 서비스 제공자(CSP) 관점에서 침해 사고 대응 시나리오를 디자인해야 할 필요가 있다. 본 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크가 클라우드를 대상으로 사이버 공격이 발생하기 전, 취약점 탐지 관점에서 클라우드 서비스 중요 자원 공격 프로세스에 대한 대응 방안에 활용할 수 있고, 포렌식 과정에서 침해 사고 포렌식을 위해 데이터 수집(data acquisition)을 위한 목적으로도 기대할 수 있다. 따라서 본 논문에서는 클라우드 침투 테스트 도구인 Cloudfox를 분석 및 활용하여 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 제안한다.

Abstract ▼ AI-Helper

Security incidents using vulnerabilities in cloud services occur, but it is difficult to collect and analyze traces of incidents in cloud environments with complex and diverse service models. As a result, the importance of cloud forensics research has emerged, and infringement response scenarios must be designed from the perspective of cloud service users (CSUs) and cloud service providers (CSPs) based on representative security threat cases in the public cloud service model. This simulated hacking-based proactive cloud infringement response framework can be used to respond to the cloud service critical resource attack process from the viewpoint of vulnerability detection before cyberattacks occur on the cloud, and can also be expected for data acquisition. Therefore, in this paper, we propose a framework for preventive cloud infringement based on simulated hacking by analyzing and utilizing Cloudfox, a cloud penetration test tool.

주제어

표/그림 (6)

그림 Fig. 1. Pentesting-based Proactive cloud Infringement Incident Response Framework overview
그림 Fig. 2. Components of CSP and CSU
표 Table 1. AWS/Azure plugin provided by Cloudfox
그림 Fig. 3. Misconfiguration Storage Cloud Forensics Scenario Architecture
그림 Fig. 4. Internal output of credentials.txt file present on cloudfox.s3.amazons.com
그림 Fig. 5. Internal output of credentials.txt file present on azurecloudfoxt3st Container

AI 본문요약
AI-Helper

문제 정의

본 장에서는 시나리오별로 활용할 수 있는 Cloudfox 플러그인의 항목화를 수행하고, 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크 시나리오를 위한 사용성이 높은 AWS 클라우드 자원 동향을 살펴본다. 또한, 스토리지와 인스턴스에 대한 사전 예방적 클라우드 침해 사고 시나리오의 분석 결과를 토대로 CSU 및 CSP 관점에서 본 제안하는 프레임워크의 활용 가능성을 고찰한다.
본 논문에서는 클라우드 상에서 데이터 유출의 원인을 파악하는 것이 어렵고, Free Tier 계정을 범죄에 악용한 뒤 삭제하거나 데이터를 범죄에 악용하는 등의 악성 행위로 인한 클라우드 포렌식 데이터 수집의 한계점을 확인하였다. Free Tier 계정에서 잠재적으로 악의적인 활동을 발견하기 위해서 클라우드 침투 테스트 도구인 Cloudfox를 활용한 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 제안하고, Free Tier 계정 CSU와 CSP 관점에 대한 분석을 수행하였다.
본 연구에서는 상용 퍼블릭 클라우드를 대상으로 한 오픈 소스 침투 테스트 도구인Cloudfox가 제공하는 플러그인들을 기반으로, 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크 디자인을 탐구한다. Fig.
본 장에서는 시나리오별로 활용할 수 있는 Cloudfox 플러그인의 항목화를 수행하고, 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크 시나리오를 위한 사용성이 높은 AWS 클라우드 자원 동향을 살펴본다. 또한, 스토리지와 인스턴스에 대한 사전 예방적 클라우드 침해 사고 시나리오의 분석 결과를 토대로 CSU 및 CSP 관점에서 본 제안하는 프레임워크의 활용 가능성을 고찰한다.
본 절에서는 앞서 논의한 사전 예방적 클라우드 침해 사고 시나리오에 대하여 CSU와CSP 관점에서 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 통해 얻을 수 있는 이점에 대해 논의한다.
논문 작성 시점에는 AWS과 Azure를 중점적으로 지원하여 해당 클라우드 서비스를 기준으로 분석한다. 특정 CSP의 서비스에서만 활용 가능한 기존 클라우드 침해 사고 대응 솔루션과 달리 본 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크에서는 CSP에 agnostic하고 다양한 형태의 클라우드 서비스 모델의 Free Tier들에 대한 모의해킹을 수행함으로써 다채로운 공격 경로 파악을 통해 모니터링 기능을 개선하고자 한다.

가설 설정

Azure 스토리지에 대한 사전 예방적 클라우드 침해 사고 시나리오는 앞선 S3 버킷 스토리지와 동일한 시나리오로 Victim이 잘못 구성된 스토리지에 Azure 계정 정보가 포함된 credentials.txt 파일을 업로드한 상황에서 모의해킹을 수행한다고 가정한다. CSU가 스토리지 계정에서 스토리지와 컨테이너에 공용 액세스 수준을 설정할 때 퍼블릭 권한으로 부여하여 잘못된 구성을 한다.
본 논문에서 제안하는 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크의 경우, CSP와 CSU 상호 간 합의하에 준사법기관에 사전 예방 포렌식을 위한 침해 사고 대응이 허용되는 상황을 바탕으로 프레임워크를 설계하였다. 구체적으로, 미국의 CLOUD 법을 근거로 뒷받침하여 클라우드와 같이 데이터가 외부에 저장되어 있더라도 저장통신법상 제출대상에 해당한다는 상황을 가정한다.
txt는 CSU의 계정 정보를 저장하고 있는데, 암호화되지 않은 평문을 그대로 출력한다. 해당 스토리지에 민감한 계정 정보를 저장하고 있는 credentials.txt을 발견하고, 공격자가 Free Tier 계정을 탈취하였다고 가정한다. 공격자는 해당 계정 내 다른 클라우드서비스 자원에 대해 접근하여 이후 스토리지 내부에 존재하게 되는 객체에 해당하는 jpg, exe, pdf, json 등의 다양한 파일들을 권한이 없더라도 열람하거나 편집할 수 있는 권한으로 접근할 수 있다.

제안 방법

본 논문에서는 클라우드 상에서 데이터 유출의 원인을 파악하는 것이 어렵고, Free Tier 계정을 범죄에 악용한 뒤 삭제하거나 데이터를 범죄에 악용하는 등의 악성 행위로 인한 클라우드 포렌식 데이터 수집의 한계점을 확인하였다. Free Tier 계정에서 잠재적으로 악의적인 활동을 발견하기 위해서 클라우드 침투 테스트 도구인 Cloudfox를 활용한 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 제안하고, Free Tier 계정 CSU와 CSP 관점에 대한 분석을 수행하였다. Cloudfox가 지원하는 IaaS 유형의 AWS, Azure를 대상으로 분석한 결과, CSU와 CSP 관점에서 클라우드 서비스 내 공격 경로 모니터링 기능의 구현 가능성을 확인하였다.
또한, 클라우드 서비스에 대한 압수·수색을 위한 법률적 방안에 대한 필요성이 논의됨에 따라, 형사소송법과 대법원 판례에 부합하는 역외 압수·수색 방법에 관한 연구가 이루어져야 한다. 본 논문에서 제안하는 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크의 경우, CSP와 CSU 상호 간 합의하에 준사법기관에 사전 예방 포렌식을 위한 침해 사고 대응이 허용되는 상황을 바탕으로 프레임워크를 설계하였다. 구체적으로, 미국의 CLOUD 법을 근거로 뒷받침하여 클라우드와 같이 데이터가 외부에 저장되어 있더라도 저장통신법상 제출대상에 해당한다는 상황을 가정한다.
앞선 해당 시나리오에서 공격 경로 검증 외에도 자원을 확인하고자 인스턴스 및 서버리스 사전 예방적 클라우드 침해 사고 시나리오를 진행하였다. CSU가 AWS EC2 인스턴스, Azure Virtual Machine와 서버리스 컴퓨팅 서비스인 Lambda function을 생성하고 활성화 상태로 설정한다.

대상 데이터

AWS, Azure, GCP와 같은 퍼블릭 클라우드 서비스에서 가상머신 및 서버, 스토리지, 함수기능을 서비스하는 자원을 대상으로 클라우드 포렌식 정보를 수집한다. 먼저, 가상머신 및 서버의 역할을 수행하는 인스턴스는 AWS EC2, Azure Virtual Machine, GCP Compute Engine이 해당된다.
또 하나의 오퍼 유형으로는 Free Tier 계정이 있다. 본 연구에서는 오퍼 유형 중 Free Tier 계정을 클라우드 취약점 탐지 대상인 CSU로 설정한다. AWS 사용 시 첫 단계로 사용자 계정을 생성한 후 AWS CLI에서 프로필(profile)을 구성한다.

성능/효과

Free Tier 계정에서 잠재적으로 악의적인 활동을 발견하기 위해서 클라우드 침투 테스트 도구인 Cloudfox를 활용한 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 제안하고, Free Tier 계정 CSU와 CSP 관점에 대한 분석을 수행하였다. Cloudfox가 지원하는 IaaS 유형의 AWS, Azure를 대상으로 분석한 결과, CSU와 CSP 관점에서 클라우드 서비스 내 공격 경로 모니터링 기능의 구현 가능성을 확인하였다. 또한, CSP 관점에서 클라우드 포렌식 데이터를 적절하게 수집할 수 있다면 이를 활용하여 효과적인 프레임워크를 고안할 수 있다.
CSU는 CSP에서 수행한 클라우드 로그에서 수행된 분석이 원본 데이터가 맞는지, 분석에 존재해야 하는 기록된 정보가 모두 포함되어 있는지를 침투 테스트를 통해 확인할 수 있다. 또한, 제안한 모의 해킹 기반 프레임워크는 CloudTrail과 같은 서비스와 달리, 하나의 상용 퍼블릭 클라우드에 의존성을 갖지 않아 멀티 클라우드 시나리오에서도 활용 가능하다는 강점을 갖는다. 마지막으로, 실제 유료 계정 구매전 Free Tier 계정에 대한 모의 해킹을 수행한 뒤 결과를 비교 및 분석하여 이용할 상용 솔루션을 선택하는데 유용한 정보로써 활용될 수 있다.

후속연구

향후 AWS, Azure 외에도 다양한 클라우드 서비스에서 적용 가능한 일반화된 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크로 확장하고자 한다. CSP 관점에서 Cloudfox를 사용할 때의 모니터링 성능 및 포렌식 사건 대응을 위한 플러그인의 자동화된 프레임워크를 구현하는 연구를 진행할 예정이다.
특히, 모니터링시 이상 탐지를 위해 Free Tier 오퍼들에 대해 모두 실시간으로 API Call 등의 행위를 계속 탐지하는 경우에는 오버헤드가 크게 적용될 수 있다. Cloudfox 플러그인의 동작에서 특징적인 행위들만 지정(pinpointing)해서 탐지할 경우 모니터링 오버헤드를 줄이고, 특정한 포렌식 사고에 대한 증거 수집절차를 정형화하여 제시할 수 있을 것으로 기대한다.
본 연구에서는 Cloudfox 플러그인을 사용하여 실제 공격 경로를 나타내고, 제안하는프레임워크 구현에 대해서는 추가적인 탐구가 필요하다. Cloudfox를 활용함에 따라 현재 Cloudfox의 경우 AWS, Azure에 대한 지원만을 제공하기 때문에 추가적인 CSP에 대한 활용이 제한된다. 또한, Cloudfox 수행 결과 파일의 무결성에 대해서 추가적인 분석이 필요할 것으로 보인다.
또한, CSP 관점에서 클라우드 포렌식 데이터를 적절하게 수집할 수 있다면 이를 활용하여 효과적인 프레임워크를 고안할 수 있다. 또한, CSU 관점에서는 제안한 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 통해 클라우드에서 발생하는 보안 사고에 대해 사전 예방 및 신속한 사후 대처를 기대할 수 있다. 향후 포렌식 조사관이 범죄에 사용될 수 있는 포렌식 클라우드 기반의 데이터를 획득하고, 추가적으로 신뢰를 입증하는데 취할 수 있는 조치로써 활용될 수 있다.
Cloudfox를 활용함에 따라 현재 Cloudfox의 경우 AWS, Azure에 대한 지원만을 제공하기 때문에 추가적인 CSP에 대한 활용이 제한된다. 또한, Cloudfox 수행 결과 파일의 무결성에 대해서 추가적인 분석이 필요할 것으로 보인다. 향후 AWS, Azure 외에도 다양한 클라우드 서비스에서 적용 가능한 일반화된 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크로 확장하고자 한다.
또한, 제안한 모의 해킹 기반 프레임워크는 CloudTrail과 같은 서비스와 달리, 하나의 상용 퍼블릭 클라우드에 의존성을 갖지 않아 멀티 클라우드 시나리오에서도 활용 가능하다는 강점을 갖는다. 마지막으로, 실제 유료 계정 구매전 Free Tier 계정에 대한 모의 해킹을 수행한 뒤 결과를 비교 및 분석하여 이용할 상용 솔루션을 선택하는데 유용한 정보로써 활용될 수 있다.
본 연구에서는 Cloudfox 플러그인을 사용하여 실제 공격 경로를 나타내고, 제안하는프레임워크 구현에 대해서는 추가적인 탐구가 필요하다. Cloudfox를 활용함에 따라 현재 Cloudfox의 경우 AWS, Azure에 대한 지원만을 제공하기 때문에 추가적인 CSP에 대한 활용이 제한된다.
클라우드 스토리지에 대한 사전 예방적 클라우드 침해 사고 시나리오 과정을 통해, 잘못된 구성으로 인한 AWS S3 버킷, Azure Blob Storage에서 정보 유출과 같은 사고가 발생하거나 클라우드 기반 포렌식 조사를 계획하는 경우에 효율적인 Cloudfox 플러그인 셋을 제안함으로써 도움이 될 수 있다.
또한, Cloudfox 수행 결과 파일의 무결성에 대해서 추가적인 분석이 필요할 것으로 보인다. 향후 AWS, Azure 외에도 다양한 클라우드 서비스에서 적용 가능한 일반화된 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크로 확장하고자 한다. CSP 관점에서 Cloudfox를 사용할 때의 모니터링 성능 및 포렌식 사건 대응을 위한 플러그인의 자동화된 프레임워크를 구현하는 연구를 진행할 예정이다.
또한, CSU 관점에서는 제안한 모의해킹 기반 사전 예방적 클라우드 침해 사고 대응 프레임워크를 통해 클라우드에서 발생하는 보안 사고에 대해 사전 예방 및 신속한 사후 대처를 기대할 수 있다. 향후 포렌식 조사관이 범죄에 사용될 수 있는 포렌식 클라우드 기반의 데이터를 획득하고, 추가적으로 신뢰를 입증하는데 취할 수 있는 조치로써 활용될 수 있다.

참고문헌 (22)

Sarah Park, Beomseok Kim, Sungmin Jo, Korea Cloud Opportunity Forecast by Industry, 2021-2025, May. 2022.？
eNsecure, "Cloud Transformation and Security Response," PASCON 2022, 2022.？
S. Zawoad, A. K. Dutta andR.Hasan, "Towards building forensics enabled cloud through secure logging-as-a- service," IEEE Transactions on Dependable and Secure Computing, vol. 13, no. 2, pp.148-162, Apr. 2016.？

상세보기
Pichan, A. and Lazarescu, M. andSoh, S.T., "Towards a practical cloud forensics logging framework," Journal of Information Security and Applications, vol. 42, pp. 18-28, 2018.？

상세보기
C. P. Grobler, C. P. Louwrens and S. H. von Solms, "A multi-component view of digital forensics," 2010 International Conference on Availability, Reliability and Security, pp. 647-652, Mar. 2010.？
Soltan Abed Alharbi, Jens H.Weber-Jahnke, Issa Traore, "The proactive and reactive digital forensics investigation process: A systematic literature review," International Journal of Security and its Applications, vol.5, No.4, pp. 59-72, Aug. 2011.？
Github, "Cloudfox" https://github.com/BishopFox/cloudfox, Sep. 2022.？
Github, "AWSBucketDump" https://github.com/jordanpotti/AWSBucketDump, Jun. 2017.？
Github, "Blob Hunter" https://github.com/cyberark/BlobHunter, Jan. 2021.？
A. Sedighi and D. Jacobson, "Forensic analysis of cloud virtual environments," 2019 IEEE International Conference on Computational Science and Engineering and IEEE International Conference on Embedded and Ubiquitous Computing, pp. 323-329, Dec. 2019.？
Jason E James, "An exploration in forensic evidence in a cloud computing environment," International Association for Computer Information Systems, vol. 22, pp. 250-259, 2021.？
Sebastien Philomin, Avinash Singh, Adeyemi Ikuesan, H.s Venter, "Digital forensic readiness framework for smart homes," International Conference on Cyber Warfare and Security. Academic Conferences International Limited, pp. 627-XVIII, Mar. 2020.？
Suleman Khan, Abdullah Gani, Ainuddin Wahid Abdul Wahab, Mustapha Aminu Bagiwa, Muhammad Shiraz, Samee U. Khan, Rajkumar Buyya, Albert Y. Zomaya, "Cloud log forensics: foundations, state of the art, and future directions," ACM Computing Surveys, vol. 49, pp. 1-42, Mar. 2017.？
AWS, Amazon CloudTrail, http://awsdocs.s3.amazonaws.com/awscloudtrail/latest/awscloudtrail-ug.pdf, Nov. 2022.？
AWS, Amazon GuardDuty, https://docs.aws.amazon.com/pdfs/guardduty/latest/ug/guardduty-ug.pdf, Nov. 2017.？
Ivan Orton, J.D., Aaron Alva, Barbara Endicott-Popovsky, "Legal process and requirements for cloud forensic investigations," Cybercrime and Cloud Forensics: Applications for Investigation Processes. IGI Global, pp. 186-229, Jan. 2013.？
Kwon Yang-sub, "Major issues and suggestions of investigation procedures for extra-territorial search and seizure of digital information," Journal of Law research, 37(1), pp.43-64, Mar. 2021.？
I.-H. Jeong, J.-H. Oh, J.-H. Park,and S.-J. Lee, "Digital forensic methodology of iaas cloud computing service," Journal of the Korea Institute of Information Security and Cryptology, 21(6), pp. 55-65, Dec.2011.？
McAfee, "Cloud Adoption and Risk Report,", 2019.？
Trendmicro, "Azure misconfiguration" The Most Common Cloud Misconfigurations That Could Lead to Security Breaches, https://www.trendmicro.com/vinfo/hk-en/security/news/virtualization-and-cloud/the-most-common-cloud-misconfigurations-that-could-lead-to-security-breaches (Accessed on October 25 2022).？
Github, "S3Scanner" https://github.com/sa7mon/S3Scanner, Jun. 2017.？
Comparitech, "aws bucket credentials" It takes hackers 1 minute to find and abuse credentials exposed on GitHub, https://www.comparitech.com/blog/information-security/github-honeypot/ (Accessed on October 25 2022).

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증