[논문 리뷰] Security Analysis of Cloud Computing

Frederick R. Carlson|arXiv (Cornell University)|2014. 04. 28.

Cloud Data Security Solutions참고 문헌 2인용 수 27

한 줄 요약

이 논문은 클라우드 컴퓨팅 환경의 기초 보안 분석을 수행하여, 주로 설정 오류, 내부자 위협, 비보안 인터페이스와 같은 상위 3개의 위협을 규명하고, 가장 심각한 위험을 완화하기 위해 기술적 조치보다는 비기술적, 경영 기반의 통제 조치가 더 효과적임을 결론 내린다. 연구는 클라우드 보안 강건성의 핵심으로 거버넌스, 정책 및 프로세스 개선을 강조한다.

ABSTRACT

This paper produces a baseline security analysis of the Cloud Computing Operational Environment in terms of threats, vulnerabilities and impacts. An analysis is conducted and the top three threats are identified with recommendations for practitioners. The conclusion of the analysis is that the most serious threats are non-technical and can be solved via management processes rather than technical countermeasures

연구 동기 및 목표

• 클라우드 컴퓨팅 운영 환경에 대한 기초 보안 분석을 수립하기 위해.
• 클라우드 시스템에 대한 가장 중요한 위협을 규명하고 우선순위를 정하기 위해.
• 기술적 대응 조치와 경영적 대응 조치가 클라우드 보안 위험을 완화하는 데 얼마나 효과적인지 평가하기 위해.
• 위협, 취약성 및 영향도 평가 기반으로 실천가능한 권고 사항을 제공하기 위해.

제안 방법

• 클라우드 컴퓨팅 운영 환경에 중점을 둔 종합적인 위협 모델링 작업을 수행하였다.
• 위협을 발생 가능성과 잠재적 영향도에 따라 분류하였다.
• 위협 모델링 결과에 따라 각 위협과 관련된 취약성을 위험 평가 프레임워크를 사용해 분석하였다.
• 기술적 통제 조치와 조직의 경영 프로세스가 위험 완화에 미치는 역할을 평가하였다.
• 위협의 심각도에 따라 우선순위를 정하고, 순수 기술적 조치보다 경영 기반 솔루션을 우선시하였다.
• 위협-취약성-영향도 간의 관계를 체계적으로 매핑하여, 비기술적 위험 완화를 강조하는 접근 방식을 사용하였다.

실험 결과

연구 질문

• RQ1 영향도와 발생 가능성 측면에서 클라우드 컴퓨팅 환경의 가장 심각한 위협은 무엇인가?
• RQ2 기술적 통제 조치와 경영 프로세스는 클라우드 보안 위험 완화에 어떻게 비교될 수 있는가?
• RQ3 클라우드 시스템에서 어떤 취약성이 가장 높은 영향을 미치는 위협을 초래하는가?
• RQ4 비기술적, 프로세스 기반의 통제 조치가 클라우드 보안의 가장 심각한 위협을 얼마나 효과적으로 완화할 수 있는가?
• RQ5 실무자들이 클라우드 배포 환경의 위험을 줄이기 위해 가장 효과적인 전략은 무엇인가?

주요 결과

• 클라우드 컴퓨팅에서 가장 심각한 위협은 시스템 수준의 공격보다는 인간적 실수와 프로세스 실패에 기인한 비기술적 성격을 띤다.
• 클라우드 리소스의 설정 오류가 가장 큰 위협으로 규명되었으며, 이는 자주 데이터 유출 및 무단 액세스로 이어진다.
• 내부자 위협과 비보안 애플리케이션 프로그래밍 인터페이스(API)가 각각 두 번째 및 세 번째로 중요한 위협으로 평가되었다.
• 접근 제어 정책, 설정 관리, 보안 인식 교육과 같은 경영 프로세스가 기술적 조치만으로는 더 효과적인 것으로 나타났다.
• 연구는 기술적 대응 조치만으로는 다수의 고위험 클라우드 보안 위험을 충분히 완화할 수 없다고 결론 내렸다.
• 조직 거버넌스와 정책 이행이 심각한 클라우드 보안 사고의 위험을 줄이는 데 필수적임이 입증되었다.