클라우드 보안은 네트워크가 아니라 아이덴티티부터 시작한다

클라우드 보안은 네트워크가 아니라 아이덴티티부터 시작한다

 

1️⃣ 왜 “네트워크부터”가 더 이상 출발점이 아니냐

온프레미스 보안의 기본 전제는 이거였습니다.

 

내부망 = 신뢰 외부망 = 위험

그래서:

• 방화벽
• DMZ
• 내부 IP

이 경계 기반 보안(Perimeter Security) 이 먹혔습니다.

---

그런데 클라우드에서는 이 전제가 깨집니다

• 서버는 수시로 생성/삭제
• IP는 바뀜
• 외부 API, SaaS, CI/CD가 내부에 붙음
• 관리 콘솔은 인터넷에 열려 있음

👉 “어디가 내부고 외부인지”가 애매해짐

그래서 네트워크만으로는 누가 접근했는지를 설명 못 합니다.

---

2️⃣ 클라우드에서 진짜 경계는 “아이덴티티”

클라우드에서 모든 행동의 시작은 이 질문입니다.

“누가(Who) 무엇을(What) 할 수 있는가”

이걸 담당하는 게:

• IAM
• Role
• Policy
• Service Account

즉 아이덴티티입니다.

---

클라우드에서 실제로 중요한 권한들

• 누가 VM을 만들 수 있나
• 누가 보안그룹을 열 수 있나
• 누가 스토리지를 읽을 수 있나
• 누가 로그를 지울 수 있나
• 누가 키를 발급할 수 있나

👉 이건 네트워크가 아니라 권한 문제

---

3️⃣ 실사례: 침해의 시작은 대부분 “권한”

흔한 클라우드 사고 패턴

• API 키 유출
• 과도한 IAM 권한
• CI/CD 토큰 노출
• 서비스 계정 오남용

결과:

• 서버 접속 안 했는데도
• 네트워크 안 뚫었는데도
• 리소스가 삭제/유출됨

👉 네트워크는 멀쩡했음

---

4️⃣ 그래서 Zero Trust가 나옴

Zero Trust의 핵심은 이겁니다.

“네트워크 위치는 신뢰하지 않는다.
아이덴티티와 권한만 신뢰한다.”

즉:

• 내부 IP라도 인증 필요
• 서비스 간 통신도 권한 필요
• 모든 요청은 “누구냐”부터 확인

---

5️⃣ 네트워크 보안은 그럼 필요 없냐?

❌ 절대 아닙니다.

다만 순서가 바뀐 것입니다.

올바른 순서

1. 아이덴티티 (IAM)
2. 권한 최소화 (Least Privilege)
3. 서비스 간 인증
4. 그 다음에 네트워크 차단/분리

👉 네트워크는 보조 수단

---

6️⃣ 한 줄로 구조 정리

• 온프레미스 보안:
• 네트워크 → 서버 → 계정
• 클라우드 보안:
• 아이덴티티 → 권한 → 네트워크

---

7️⃣  마무리

클라우드에서 보안 경계는 더 이상 방화벽이 아니라,
‘누가 어떤 권한을 가졌는가’다.