[논문 리뷰] Systematic Mapping Study On Security Threats in Cloud Computing

Carlo Marcelo Revoredo da Silva, José Lutiano Costa da Silva외 3명|arXiv (Cornell University)|2013. 03. 27.

Cloud Data Security Solutions참고 문헌 43인용 수 15

한 줄 요약

이 체계적 매핑 연구는 클라우드 보안 협의회(CSA)의 '클라우드 컴퓨팅에 대한 주요 위협' 프레임워크를 사용하여 105篇의 클라우드 보안 위협 논문을 분석한다. 주로 연구된 위협들을 특정하고, 15개의 보안 영역으로 분류하며, 준수 중심의 솔루션이 가장 흔한 것으로 드러났으며, 데이터 유출 및 비밀스러운 인터페이스가 가장 많이 연구된 문제임을 확인한다.

ABSTRACT

Today, Cloud Computing is rising strongly, presenting itself to the market by its main service models, known as IaaS, PaaS and SaaS, that offer advantages in operational investments by means of on-demand costs, where consumers pay by resources used. In face of this growth, security threats also rise, compromising the Confidentiality, Integrity and Availability of the services provided. Our work is a Systematic Mapping where we hope to present metrics about publications available in literature that deal with some of the seven security threats in Cloud Computing, based in the guide entitled "Top Threats to Cloud Computing" from the Cloud Security Alliance (CSA). In our research we identified the more explored threats, distributed the results between fifteen Security Domains and identified the types of solutions proposed for the threats. In face of those results, we highlight the publications that are concerned to fulfill some standard of compliance.

연구 동기 및 목표

• 체계적 매핑 접근법을 사용하여 클라우드 보안 위협 분야의 연구 현황을 분석하기 위해.
• CSA 프레임워크의 일곱 가지 주요 클라우드 위협 중 어느 것이 학술 문헌에서 가장 자주 다뤄지는지 규명하기 위해.
• 출판물들을 보안 영역별로 분류하고, 제안된 솔루션의 유형을 평가하기 위해.
• 기존 연구가 클라우드 보안 기준 준수를 얼마나 깊이 있게 다루고 있는지 평가하기 위해.

제안 방법

• 학술 데이터베이스를 대상으로 사전 정의된 검색 기준을 사용하여 체계적 문헌 리뷰를 수행하였다.
• 위협 분류의 기준으로 클라우드 보안 협의회(CSA)의 '클라우드 컴퓨팅에 대한 주요 위협'을 사용하였다.
• 각 출판물을 15개 정의된 보안 영역(예: 접근 제어, 데이터 보안) 중 하나 이상에 매핑하였다.
• 제안된 솔루션을 기술적 제어, 정책 기반 메커니즘, 준수 중심 접근 방식 등의 유형으로 분류하였다.
• 위협 및 영역별 출판물 빈도를 수량화하여 연구 추세를 파악하였다.
• 일致성과 분석 편향을 줄이기 위해 체계적인 데이터 추출 프rotocol를 사용하였다.

실험 결과

연구 질문

• RQ1 학술 문헌에서 가장 자주 다뤄지는 CSA 클라우드 보안 위협 중 일곱 가지 중 어느 것인가요?
• RQ2 클라우드 컴퓨팅의 15개 정의된 보안 영역에 걸쳐 출판물은 어떻게 분포되어 있나요?
• RQ3 다양한 위협을 완화하기 위해 가장 흔히 제안되는 솔루션의 유형은 무엇인가요?
• RQ4 기존 연구에서 보안 기준 준수에 대해 어느 정도의 비중을 두고 있나요?
• RQ5 특정 위협이나 보안 영역에 대한 연구 커버리지에 격차가 있는가요?

주요 결과

• 'A1: 비밀스러운 인터페이스 및 응용 프로그래밍 인터페이스(API)'가 가장 자주 연구된 위협이었으며, 이어 'A2: 데이터 유출 또는 泄露'가 뒤이었다.
• 보안 영역 중 '데이터 보안'이 가장 많은 출판물에 해당하여 가장 높은 비중을 차지하였다.
• 준수 중심 솔루션이 제안된 위협 완화 방법 중 가장 흔한 것으로 나타났으며, 다수의 연구에서 발견되었다.
• 내부자 공격과 충분한 심층 점검 부족과 관련된 위협은 문헌에서 다소 부족한 편이었다.
• 'A7: 계정 또는 서비스 무효화' 및 'A8: 알 수 없는 또는 관리되지 않는 공격 표면'과 같은 위협은 연구에서 소수의 연구에서만 다뤄졌다.
• 매핑 분석 결과, 기술적 제어와 기준 준수에 대한 연구 비중이 높았고, 조직적 또는 프로세스 수준의 제어에 대한 탐색은 제한적이었다.