본문으로 이동

클라우드 컴퓨팅 보안

위키백과, 우리 모두의 백과사전.
시리즈
컴퓨터 해킹
역사
해커 문화 및 윤리
콘퍼런스
사이버 범죄
해킹 도구
연습 장소
악성 소프트웨어
컴퓨터 보안
단체
출판

클라우드 컴퓨팅 보안(cloud computing security) 또는 간단히 클라우드 보안(cloud security)은 클라우드 컴퓨팅의 가상화된 IP, 데이터, 애플리케이션, 서비스 및 관련 인프라를 보호하는 데 사용되는 광범위한 정책, 기술, 애플리케이션 및 제어를 의미한다. 이는 컴퓨터 보안, 네트워크 보안의 하위 도메인이자 더 광범위하게는 정보 보안의 하위 도메인이다.

클라우드와 관련된 보안 문제

[편집]

클라우드 컴퓨팅 및 스토리지는 사용자에게 데이터를 타사 데이터 센터에 저장하고 처리할 수 있는 기능을 제공한다.[1] 조직은 다양한 서비스 모델(SaaS, PaaS, IaaS와 같은 약어) 및 배포 모델(프라이빗, 퍼블릭, 하이브리드, 커뮤니티)로 클라우드를 사용한다.[2]

클라우드 컴퓨팅과 관련된 보안 문제는 일반적으로 두 가지 방식으로 분류된다. 클라우드 제공업체(클라우드를 통해 서비스형 소프트웨어, 서비스형 플랫폼 또는 서비스형 인프라스트럭처를 제공하는 조직)가 직면하는 보안 문제와 고객(클라우드에서 애플리케이션을 호스팅하거나 데이터를 저장하는 회사 또는 조직)이 직면하는 보안 문제로 나뉜다.[3] 그러나 책임은 공유되며 종종 클라우드 제공업체의 "공유 보안 책임 모델" 또는 "공유 책임 모델"에 자세히 설명되어 있다.[4][5][6] 제공업체는 인프라가 안전하고 클라이언트의 데이터와 애플리케이션이 보호되도록 해야 하며, 사용자는 애플리케이션을 강화하고 강력한 암호 및 인증 조치를 사용하기 위한 조치를 취해야 한다.[5][6]

조직이 데이터를 저장하거나 애플리케이션을 퍼블릭 클라우드에 호스팅하기로 선택하면 정보가 호스팅되는 서버에 물리적으로 접근할 수 있는 기능을 상실한다. 결과적으로 잠재적으로 민감한 데이터는 내부자 공격의 위험에 노출된다. 2010년 클라우드 보안 연합 보고서에 따르면 내부자 공격은 클라우드 컴퓨팅에서 가장 큰 7가지 위협 중 하나이다.[7] 따라서 클라우드 서비스 제공업체는 데이터 센터의 서버에 물리적으로 접근할 수 있는 직원에 대해 철저한 배경 조사를 수행해야 한다. 또한 데이터 센터는 의심스러운 활동에 대해 자주 모니터링하는 것이 권장된다.

자원을 절약하고 비용을 절감하며 효율성을 유지하기 위해 클라우드 서비스 제공업체는 종종 동일한 서버에 여러 고객의 데이터를 저장한다. 결과적으로 한 사용자의 개인 데이터가 다른 사용자(심지어 경쟁업체)에게도 노출될 가능성이 있다. 이러한 민감한 상황을 처리하기 위해 클라우드 서비스 제공업체는 적절한 데이터 격리 및 논리적 스토리지 분리를 보장해야 한다.[2]

클라우드 인프라를 구현하는 데 가상화를 광범위하게 사용하면 퍼블릭 클라우드 서비스의 고객 또는 테넌트에게 고유한 보안 문제가 발생한다.[8] 가상화는 OS와 기본 하드웨어(컴퓨팅, 스토리지 또는 네트워킹) 간의 관계를 변경한다. 이는 추가 레이어인 가상화를 도입하며, 이 레이어 자체도 적절하게 구성, 관리 및 보안되어야 한다.[9] 특정 우려 사항에는 가상화 소프트웨어 또는 "하이퍼바이저"를 손상시킬 가능성이 포함된다. 이러한 우려는 대체로 이론적이지만 실제로 존재한다.[10] 예를 들어, 가상화 소프트웨어의 관리 소프트웨어가 설치된 관리자 워크스테이션이 침해되면 전체 데이터 센터가 다운되거나 공격자가 원하는 대로 재구성될 수 있다.

클라우드 보안 제어

[편집]

클라우드 보안 아키텍처는 올바른 방어 구현이 이루어져야만 효과적이다. 효율적인 클라우드 보안 아키텍처는 보안 관리에서 발생할 문제를 인식하고 안전한 클라우드 환경을 보장하기 위한 모든 모범 사례, 절차 및 지침을 따라야 한다. 보안 관리는 보안 제어를 통해 이러한 문제를 해결한다. 이러한 제어는 클라우드 환경을 보호하고 시스템의 약점을 보호하며 공격의 영향을 줄이기 위해 마련된다. 클라우드 보안 아키텍처에는 여러 유형의 제어가 있지만 일반적으로 다음 범주 중 하나에 속한다.

억제 제어
이러한 제어는 클라우드 시스템에 대한 공격을 줄이기 위한 관리 메커니즘이며 외부 제어 준수를 보장하는 데 사용된다. 울타리나 재산에 대한 경고 표지판과 마찬가지로 억제 제어는 잠재적 공격자에게 계속 진행할 경우 불리한 결과가 발생할 것이라는 정보를 제공하여 위협 수준을 줄인다.[11] (일부는 이를 예방 제어의 하위 집합으로 간주한다.) 이러한 제어의 예로는 조직을 보안으로 이끄는 정책, 절차, 표준, 지침, 법률 및 규정을 들 수 있다. 대부분의 악의적인 행위자는 이러한 억제 제어를 무시하지만, 이러한 제어는 조직의 IT 인프라를 손상시키는 데 미숙하거나 호기심이 있는 사람들을 막기 위한 것이다.
예방 제어
예방 제어의 주요 목표는 일반적으로 취약점을 실제로 제거하지는 않더라도 줄임으로써 시스템을 사고에 대비하여 강화하고, 권한 없는 침입자가 시스템에 접근하거나 진입하는 것을 방지하는 것이다.[12] 이는 소프트웨어 또는 기능 구현(예: 방화벽 보호, 엔드포인트 보호, 다단계 인증)을 추가하거나, 공격 표면을 최소화하도록 불필요한 기능을 제거함으로써(예: 유니커널 애플리케이션) 달성할 수 있다. 또한 보안의 가장 약한 부분인 인적 오류를 고려하여 보안 인식 교육 및 훈련을 통해 개인을 교육하는 것이 이러한 제어에 포함된다. 예를 들어, 클라우드 사용자에 대한 강력한 인증은 권한 없는 사용자가 클라우드 시스템에 접근할 가능성을 낮추고, 클라우드 사용자가 확실하게 식별될 가능성을 높인다. 종합적으로 예방 제어는 손실 이벤트 발생 가능성에 영향을 미치며, 악의적인 행동에 대한 시스템 노출을 방지하거나 제거하는 것을 목표로 한다.
탐지 제어
탐지 제어는 발생하는 모든 사고를 탐지하고 적절하게 대응하는 것을 목표로 한다. 공격이 발생하면 탐지 제어는 예방 또는 교정 제어에 신호를 보내 문제를 해결하도록 한다. 탐지 보안 제어는 활동이 진행 중일 때뿐만 아니라 활동이 발생한 후에도 작동한다. 침입 탐지 및 방지 장치를 포함한 시스템 및 네트워크 보안 모니터링은 일반적으로 클라우드 시스템 및 지원 통신 인프라에 대한 공격을 탐지하는 데 사용된다. 대부분의 조직은 전담 보안 운영 센터(SOC)를 구축하거나 확보하며, 이곳에서 전담 직원이 로그 및 SIEM(Security Information and Event Management) 소프트웨어를 통해 조직의 IT 인프라를 지속적으로 모니터링한다. SIEM은 조직 및 보안 팀이 "보안 사고를 신속하게 탐지하기 위해 로그 데이터를 실시간으로 분석"하는 데 도움이 되는 보안 솔루션이다.[13] SIEM만이 탐지 제어의 유일한 예시는 아니다. 물리적 보안 제어, 침입 탐지 시스템, 바이러스/악성코드 방지 도구도 있으며, 이들은 모두 IT 인프라 내에서 보안 침해를 탐지하는 정확한 목적을 중심으로 다양한 기능을 수행한다.
교정 제어
교정 제어는 일반적으로 손상을 제한하여 사고의 결과를 줄인다. 이러한 제어에는 보안 사고 발생 후 시스템이나 리소스를 이전 상태로 복원하기 위해 사고 중 또는 사고 후에 발생하는 기술적, 물리적 및 관리적 조치가 포함된다.[14] 물리적 및 기술적 측면에서 교정 제어의 예시는 많다. 예를 들어, 접근 카드를 재발급하거나 물리적 손상을 수리하는 것을 교정 제어로 볼 수 있다. 그러나 프로세스를 종료하는 것과 같은 기술적 제어와 인시던트 대응 계획을 구현하는 것과 같은 관리적 제어도 교정 제어로 간주될 수 있다. 교정 제어는 보안 사고 또는 무단 활동으로 인한 모든 손상을 복구하고 수리하는 데 중점을 둔다. 보안 기능을 변경하는 데 필요한 가치이다.

클라우드 보안의 차원

[편집]

클라우드 보안 엔지니어링은 클라우드 보안 배열 내에 존재하는 보안 계층, 계획, 설계, 프로그래밍 및 모범 사례가 특징이다. 클라우드 보안 엔지니어링은 클라우드 내의 작업에 의해 정의될 작성된 시각적 모델(설계 및 UI)을 필요로 한다. 이 클라우드 보안 엔지니어링 프로세스에는 관리자 접근, 애플리케이션 및 정보를 보장하기 위한 전략 및 제어와 같은 것들이 포함된다. 또한 가시성, 일관성, 위협 자세 및 전반적인 보안을 다루고 유지하기 위한 방법도 포함된다. 클라우드 서비스 및 운영에 보안 표준을 전달하는 프로세스는 일관된 표준 및 필수 프레임워크 보안 구성 요소를 충족하는 접근 방식을 가정한다.[15]

클라우드 발전의 효과적인 관심을 위해 기업들은 클라우드의 다양한 부분을 인식하고 그것이 어떻게 자신들에게 영향을 미치고 도움이 되는지를 이해해야 한다. 이러한 관심사에는 예를 들어 클라우드 컴퓨팅 및 보안에 대한 투자가 포함될 수 있다. 이는 물론 클라우드 발전의 성공을 위한 추진력으로 이어진다.

클라우드 컴퓨팅의 개념은 새로운 것이 아니지만, 유연한 확장성, 상대적 신뢰성 및 서비스 비용 절감으로 인해 조직에서 점점 더 많이 적용하고 있다. 그러나 일부 부문 및 분야에서 빠른 도입에도 불구하고, 연구 및 통계에 따르면 보안 관련 위험이 광범위한 도입의 가장 두드러진 장애물인 것으로 나타났다.

일반적으로 정보 보안 통제는 위험에 따라 적절하게 선택되고 구현되어야 하며, 이는 일반적으로 위협, 취약점 및 영향을 평가하여 이루어진다. 클라우드 보안 문제는 다양한 방식으로 그룹화될 수 있다. 가트너는 7가지를 언급했고[16] 클라우드 보안 연합은 12가지 우려 사항을 식별했다.[17] 클라우드 접근 보안 중개(CASB)는 클라우드 사용자와 클라우드 애플리케이션 사이에 위치하여 클라우드 애플리케이션 사용에 대한 가시성을 제공하고, 모든 활동을 모니터링하며 보안 정책을 시행하기 위한 데이터 보호 및 거버넌스를 제공하는 소프트웨어이다.[18]

보안 및 개인 정보 보호

[편집]

"강화되지 않은" 환경을 가진 모든 서비스는 "취약한" 대상으로 간주된다. 가상 서버는 물리적 서버와 마찬가지로 데이터 유출, 악성 소프트웨어, 악용된 취약점으로부터 보호되어야 한다. "데이터 손실 또는 유출은 클라우드 중단을 유발하는 위협의 24.6%를 차지하며 클라우드 관련 악성 코드는 3.4%를 차지한다."[19]

신원 관리

[편집]

모든 기업은 정보 및 컴퓨팅 자원에 대한 접근을 제어하기 위한 자체적인 신원 관리 시스템을 보유하고 있다. 클라우드 제공업체는 페더레이션 또는 SSO 기술 또는 생체 기반 식별 시스템을 사용하여 고객의 신원 관리 시스템을 자체 인프라에 통합하거나,[1] 자체 신원 관리 시스템을 제공한다.[20] 예를 들어, CloudID[1]는 개인 정보 보호를 위한 클라우드 기반 및 교차 기업 생체 식별을 제공한다. 이는 사용자의 기밀 정보를 생체 정보에 연결하고 암호화된 방식으로 저장한다. 검색 가능한 암호화 기술을 사용하여 암호화된 도메인에서 생체 식별을 수행하여 클라우드 제공업체나 잠재적 공격자가 민감한 데이터 또는 개별 쿼리 내용에 접근하지 못하도록 보장한다.[1]

물리적 보안

[편집]

클라우드 서비스 제공업체는 IT 컴퓨터 하드웨어(서버, 라우터, 케이블 등)를 무단 접근, 간섭, 도난, 화재, 홍수 등으로부터 물리적으로 보호하고, 필수 공급품(예: 전기)이 중단 가능성을 최소화할 수 있을 만큼 충분히 견고하도록 보장한다. 이는 일반적으로 전문적으로 명시, 설계, 구축, 관리, 모니터링 및 유지 관리되는 데이터 센터에서 클라우드 애플리케이션을 제공함으로써 달성된다.

인원 보안

[편집]

IT 및 클라우드 서비스와 관련된 기타 전문가와 관련된 다양한 정보 보안 문제는 일반적으로 잠재적 채용 후보자에 대한 보안 심사, 보안 인식 및 교육 프로그램, 사전 조치와 같은 고용 전, 고용 중 및 고용 후 활동을 통해 처리된다.

개인 정보 보호

[편집]

제공업체는 모든 중요한 데이터(예: 신용 카드 번호)가 마스킹되거나 암호화되며, 승인된 사용자만 데이터 전체에 접근할 수 있도록 보장한다. 또한 디지털 신원 및 자격 증명은 보호되어야 하며, 제공업체가 클라우드에서 고객 활동에 대해 수집하거나 생성하는 모든 데이터도 보호되어야 한다.

침투 테스트

[편집]

침투 테스트는 시스템, 서비스 또는 컴퓨터 망에 대한 공격적인 보안 테스트를 수행하여 보안 취약점을 찾는 프로세스이다. 클라우드는 다른 고객 또는 테넌트와 공유되는 환경이므로, 침투 테스트 참여 규칙을 단계별로 따르는 것은 필수 요구 사항이다. 클라우드 내부 또는 외부에서의 스캔 및 침투 테스트는 클라우드 제공업체의 승인을 받아야 한다. 허용 가능한 사용 정책을 위반하면 서비스가 종료될 수 있다.[21]

클라우드 취약점 및 침투 테스트

[편집]

클라우드 외부 및 내부에서 무료 또는 상용 제품을 사용하여 스캔하는 것은 매우 중요하다. 왜냐하면 강화되지 않은 환경에서는 서비스가 취약한 대상으로 간주되기 때문이다. 가상 서버는 물리적 서버와 마찬가지로 데이터 유출, 악성코드, 악용된 취약점으로부터 강화되어야 한다. "데이터 손실 또는 유출은 클라우드 중단을 유발하는 위협의 24.6%를 차지하며 클라우드 관련 악성 코드는 3.4%를 차지한다."

클라우드 내부 또는 외부에서 스캔 및 침투 테스트는 클라우드 제공업체의 승인을 받아야 한다. 클라우드는 다른 고객 또는 테넌트와 공유되는 환경이므로, 침투 테스트 참여 규칙을 단계별로 따르는 것은 필수 요구 사항이다. 허용 가능한 사용 정책을 위반하면 서비스가 종료될 수 있다. 침투 테스트를 논의할 때 이해해야 할 주요 용어는 애플리케이션 및 네트워크 계층 테스트의 차이이다. 테스터로서 요구되는 사항을 이해하는 것이 때때로 프로세스에서 가장 중요한 단계이다. 네트워크 계층 테스트는 내부/외부 연결뿐만 아니라 로컬 네트워크 전체의 상호 연결된 시스템을 포함하는 테스트를 의미한다. 종종 사회공학 (보안) 공격이 수행되는데, 이는 보안에서 가장 취약한 연결 고리가 종종 직원이기 때문이다.

화이트 박스 테스트

"공격자"가 내부 네트워크, 그 설계 및 구현에 대한 모든 지식을 가지고 있는 조건에서 테스트하는 것.

그레이 박스 테스트

"공격자"가 내부 네트워크, 그 설계 및 구현에 대한 부분적인 지식을 가지고 있는 조건에서 테스트하는 것.

블랙 박스 테스트

"공격자"가 내부 네트워크, 그 설계 및 구현에 대한 사전 지식이 없는 조건에서 테스트하는 것.

데이터 보안

[편집]

클라우드 데이터 서비스와 관련된 수많은 보안 위협이 있다. 여기에는 전통적인 위협과 비전통적인 위협이 포함된다. 전통적인 위협에는 네트워크 도청, 불법 침입, 서비스 거부 공격이 포함되지만, 사이드 채널 공격, 가상화 취약점, 클라우드 서비스 남용과 같은 특정 클라우드 컴퓨팅 위협도 포함된다. 이러한 위협을 완화하기 위해 보안 제어는 종종 CIA 삼합의 세 가지 영역을 모니터링하는 데 의존한다. CIA 삼합은 기밀성(아래에서 더 자세히 이해할 수 있는 접근 제어 가능성 포함[22]), 무결성 및 가용성을 의미한다.

많은 효과적인 보안 조치는 세 가지 범주 중 여러 가지 또는 전부를 포괄한다. 예를 들어, 암호화는 무단 접근을 방지하고 데이터의 무결성을 보장하는 데 사용될 수 있다. 반면에 백업은 일반적으로 무결성과 가용성을 다루고, 방화벽은 기밀성과 접근 제어만 다룬다.[23]

기밀성

[편집]

데이터 기밀성은 데이터 내용이 불법 사용자에게 제공되거나 공개되지 않는 속성이다. 아웃소싱된 데이터는 클라우드에 저장되며 소유자의 직접적인 통제 밖에 있다. 권한 있는 사용자만이 민감한 데이터에 접근할 수 있으며, CSP를 포함한 다른 사람들은 데이터에 대한 어떤 정보도 얻을 수 없어야 한다. 한편, 데이터 소유자는 데이터 내용이 CSP 또는 다른 공격자에게 유출되지 않고 데이터 검색, 데이터 계산 및 데이터 공유와 같은 클라우드 데이터 서비스를 완전히 활용하기를 기대한다. 기밀성은 데이터 소유자에게 데이터가 엄격하게 기밀로 유지되어야 하는 방식을 의미한다.

기밀성을 다루는 보안 제어의 예로는 암호화가 있다. 이를 통해 승인된 사용자만이 데이터에 접근할 수 있다. 암호화에는 대칭 또는 비대칭 키 패러다임을 사용할 수 있다.[24]

접근 제어 가능성

[편집]

접근 제어 가능성은 데이터 소유자가 클라우드에 아웃소싱된 데이터에 대한 접근을 선택적으로 제한할 수 있음을 의미한다. 합법적인 사용자는 소유자의 승인을 받아 데이터에 접근할 수 있지만, 다른 사람들은 허가 없이 접근할 수 없다. 또한, 아웃소싱된 데이터에 대한 세분화된 컴퓨터 접근 제어를 시행하는 것이 바람직하다. 즉, 다른 사용자에게 다른 데이터 조각에 대해 다른 접근 권한이 부여되어야 한다. 접근 권한은 신뢰할 수 없는 클라우드 환경에서 소유자만이 제어해야 한다.

접근 제어는 가용성으로도 언급될 수 있다. 무단 접근은 엄격히 금지되어야 하지만, 관리자 또는 소비자 사용을 위한 접근은 허용되어야 하며 모니터링되어야 한다. 가용성 및 접근 제어는 올바른 사람에게 적절한 권한이 부여되도록 보장한다.

무결성

[편집]

데이터 무결성은 데이터의 정확성과 완전성을 유지하고 보장하는 것을 요구한다. 데이터 소유자는 항상 클라우드에 있는 자신의 데이터가 올바르고 신뢰할 수 있게 저장되기를 기대한다. 이는 데이터가 불법적으로 조작되거나, 부적절하게 수정되거나, 의도적으로 삭제되거나, 악의적으로 조작되어서는 안 된다는 것을 의미한다. 원치 않는 작업으로 데이터가 손상되거나 삭제되면 소유자는 손상 또는 손실을 감지할 수 있어야 한다. 또한, 아웃소싱된 데이터의 일부가 손상되거나 손실되더라도 데이터 사용자가 여전히 검색할 수 있어야 한다. 효과적인 무결성 보안 제어는 악의적인 행위자로부터 보호하는 것을 넘어 비의도적인 변경으로부터도 데이터를 보호한다.

무결성을 다루는 보안 제어의 예로는 정보의 자동화된 백업이 있다.

클라우드 컴퓨팅의 위험 및 취약점

[편집]

클라우드 컴퓨팅은 정보 기술의 최첨단 기술이지만, 완전히 투자하기 전에 고려해야 할 위험과 취약점이 있다. 클라우드를 위한 보안 제어 및 서비스가 존재하지만, 다른 보안 시스템과 마찬가지로 성공이 보장되는 것은 아니다. 또한 일부 위험은 자산 보안을 넘어 생산성 및 심지어 개인 정보 보호 문제까지 포함할 수 있다.[25]

개인 정보 보호 문제

[편집]

클라우드 컴퓨팅은 아직 초기 기술이므로 비교적 새로운 기술 구조에서 개발되고 있다. 결과적으로 모든 클라우드 서비스는 플랫폼을 출시하기 전에 개인 정보 영향 평가(PIA)를 수행해야 한다. 고객 데이터를 저장하기 위해 클라우드를 사용하려는 소비자 또한 개인 정보에 대한 비물리적 저장의 취약점을 인지해야 한다.[26]

관리 인터페이스에 대한 무단 접근

[편집]

클라우드의 자율적인 특성으로 인해, 소비자들은 종종 데이터베이스를 모니터링하기 위한 관리 인터페이스를 제공받는다. 이러한 제어 기능을 한 곳에 집중시키고 사용자의 편의를 위해 인터페이스에 쉽게 접근할 수 있도록 함으로써, 단일 행위자가 클라우드의 관리 인터페이스에 접근하여 데이터베이스에 대한 상당한 제어 및 권한을 얻을 가능성이 있다.[27]

데이터 복구 취약점

[편집]

필요에 따라 자원을 할당하는 클라우드의 기능은 종종 메모리 및 기타 자원이 나중에 다른 사용자에게 재활용되는 결과를 낳는다. 이러한 메모리 또는 저장 자원에 대해 현재 사용자가 이전 사용자가 남긴 정보에 접근할 수 있을 가능성이 있다.[27]

인터넷 취약점

[편집]

클라우드는 인터넷 연결과 접근을 위한 인터넷 프로토콜을 필요로 한다. 따라서 중간자 공격과 같은 많은 인터넷 프로토콜 취약점에 노출되어 있다. 또한 인터넷 연결에 크게 의존하므로 연결이 끊어지면 소비자는 모든 클라우드 리소스에서 완전히 차단된다.[27]

암호화 취약점

[편집]

암호학은 끊임없이 성장하는 분야이자 기술이다. 10년 전에는 안전하다고 여겨졌던 것이 오늘날의 기준으로는 심각한 보안 위험으로 간주될 수 있다. 기술이 계속 발전하고 오래된 기술이 노후화됨에 따라 암호화를 해독하는 새로운 방법과 오래된 암호화 방법의 치명적인 결함이 나타날 것이다. 클라우드 제공업체는 일반적으로 매우 귀중한 데이터를 포함하고 있으므로 암호화를 최신 상태로 유지해야 한다.[28]

법적 문제

[편집]

개인 정보 보호 법률은 국가마다 종종 다르다. 클라우드를 통해 정보가 저장되면 데이터가 어떤 관할권에 속하는지 판단하기 어렵다. 가장 큰 기업들이 여러 국가를 초월하기 때문에 국경을 넘는 클라우드가 특히 인기가 많다. 클라우드의 모호성에서 발생하는 다른 법적 딜레마는 조직 간에 공유되는 정보와 조직 내부에서 공유되는 정보 간의 개인 정보 보호 규정 차이에 관한 것이다.[26]

공격

[편집]

클라우드 컴퓨팅에 대한 여러 가지 유형의 공격이 있는데, 아직 많이 활용되지 않은 것 중 하나는 인프라 침해이다. 완전히 알려지지 않았지만 가장 높은 보상을 주는 공격으로 분류되어 있다.[29] 이것이 매우 위험한 이유는 공격을 수행하는 사람이 본질적으로 시스템에 대한 루트 접근 권한을 얻는 수준의 특권을 얻을 수 있기 때문이다. 이러한 공격은 예측할 수 없고 알려지지 않았기 때문에 방어하기가 매우 어렵다. 이러한 유형의 공격은 취약점이 공격이 발생하기 전까지 알려지지 않고 확인되지 않았기 때문에 방어하기 어렵다는 점에서 제로 데이 공격이라고도 불린다.

DoS 공격은 시스템을 사용자에게 사용 불가능하게 만드는 것을 목표로 한다. 클라우드 컴퓨팅 소프트웨어는 많은 사람들이 사용하기 때문에 이러한 공격을 해결하는 것은 점점 더 어려워진다. 이제 클라우드 컴퓨팅이 부상하면서 데이터 센터의 가상화와 클라우드 서비스의 활용 증가로 인해 새로운 공격 기회가 생겨났다.[30]

2020년 초에 시작된 전 세계적인 팬데믹이 영향을 미치면서 원격 근무로의 대규모 전환이 이루어졌고, 이로 인해 기업들은 클라우드에 더 많이 의존하게 되었다. 이러한 대규모 전환은 특히 사이버 범죄자와 악의적인 행위자들에게 눈에 띄지 않았는데, 그들 중 많은 이들이 이 새로운 원격 근무 환경 때문에 클라우드를 공격할 기회로 보았다. 기업들은 직원들에게 특히 원격으로 끊임없이 경계심을 늦추지 않도록 상기시켜야 한다. 최신 보안 조치와 정책을 끊임없이 최신 상태로 유지하는 것은 이러한 사이버 범죄자들이 노리고 공격할 수 있는 것 중 일부이다.

업무를 가정으로 옮기는 것은 근로자들이 계속 일할 수 있도록 하는 데 중요했지만, 원격 근무로의 전환이 이루어지면서 몇 가지 보안 문제가 빠르게 발생했다. 데이터 프라이버시, 애플리케이션 사용, 개인 장치 및 인터넷의 필요성이 모두 전면에 부상했다. 팬데믹은 특히 의료 부문에서 대량의 데이터가 생성되도록 했다. 현재 코로나바이러스 팬데믹이 증가함에 따라 의료 부문에서는 그 어느 때보다 빅 데이터가 축적되고 있다. 클라우드는 데이터를 안전하게 구성하고 사용자와 공유할 수 있어야 한다. 데이터 품질은 정확성, 중복성, 완전성 및 일관성이라는 네 가지를 찾는다.[31]

사용자들은 대량의 데이터가 전 세계적으로 공유되고 있다는 사실을 고려해야 했다. 다른 국가들은 준수해야 할 특정 법률과 규정을 가지고 있다. 정책 및 관할권의 차이는 클라우드와 관련된 위험을 증가시킨다. 근로자들은 재택근무를 하면서 개인 장치를 더 많이 사용한다. 범죄자들은 이러한 증가를 사람들을 착취할 기회로 보고, 사람들의 장치를 감염시키고 클라우드에 접근할 수 있는 소프트웨어를 개발한다. 현재 팬데믹은 사람들을 매우 취약하고 공격에 취약한 상황에 놓이게 했다. 원격 근무로의 전환이 너무 갑작스러워서 많은 기업들이 자신이 깊이 빠져든 작업과 그에 따른 업무량에 대처할 준비가 되어 있지 않았다. 조직 내의 새로운 긴장을 완화하기 위해 더 엄격한 보안 조치를 마련해야 한다.

클라우드 컴퓨팅 시스템에 가해질 수 있는 공격에는 중간자 공격, 피싱 공격, 인증 공격 및 악성 소프트웨어 공격이 포함된다. 가장 큰 위협 중 하나는 트로이 목마 (컴퓨팅)와 같은 악성코드 공격으로 간주된다.

2022년에 수행된 최근 연구에 따르면 트로이 목마 주입 방식은 클라우드 컴퓨팅 시스템에 해로운 영향을 미치는 심각한 문제로 드러났다. 클라우드 시스템에 대한 트로이 목마 공격은 시스템에 애플리케이션이나 서비스를 삽입하여 기능을 변경하거나 중지시켜 클라우드 서비스에 영향을 미치려고 시도한다. 클라우드 시스템이 이러한 공격을 합법적인 것으로 식별하면 서비스 또는 애플리케이션이 수행되어 클라우드 시스템을 손상시키고 감염시킬 수 있다.[32]

암호화

[편집]

클라우드 컴퓨팅에 적용된 일부 고급 암호화 알고리즘은 개인 정보 보호를 강화한다. 암호화 파쇄라는 방식에서는 데이터가 더 이상 사용되지 않을 때 키를 단순히 삭제할 수 있다.

속성 기반 암호화 (ABE)

[편집]

속성 기반 암호화는 사용자의 비밀 키와 암호문이 속성(예: 거주 국가 또는 구독 유형)에 따라 달라지는 공개 키 암호화의 한 유형이다. 이러한 시스템에서 암호문의 해독은 사용자 키의 속성 집합이 암호문의 속성과 일치하는 경우에만 가능하다.

속성 기반 암호화의 강점 중 일부는 현재 공개 키 인프라(PKI) 및 아이덴티티 기반 암호화(IBE) 구현에 존재하는 문제를 해결하려고 시도한다는 점이다. 속성에 의존함으로써 ABE는 PKI와 같이 직접 키를 공유해야 하는 번거로움과 IBE와 같이 수신자의 신원을 알아야 하는 번거로움을 우회한다.

이러한 이점은 ABE가 복호화 키 재분배 문제로 어려움을 겪는다는 단점을 수반한다. ABE에서 복호화 키는 접근 구조 또는 사용자 속성에 대한 정보만 포함하므로 사용자의 실제 신원을 확인하기 어렵다. 따라서 악의적인 사용자는 자신의 속성 정보를 의도적으로 유출하여 권한 없는 사용자가 가장하여 접근할 수 있도록 할 수 있다.[33]

암호문 정책 ABE (CP-ABE)

[편집]

암호문 정책 ABE (CP-ABE)는 공개 키 암호화의 한 유형이다. CP-ABE에서 암호화자는 접근 전략을 제어한다. CP-ABE의 주요 연구 작업은 접근 구조 설계에 중점을 둔다. 암호문 정책 속성 기반 암호화 스키마는 Setup, Encrypt, KeyGen, Decrypt의 네 가지 알고리즘으로 구성된다.[34] Setup 알고리즘은 보안 매개변수와 속성 유니버스 설명을 입력으로 받아 공개 매개변수와 마스터 키를 출력한다. 암호화 알고리즘은 데이터를 입력으로 받는다. 그런 다음 데이터를 암호화하여 접근 구조를 만족하는 속성 집합을 가진 사용자만 메시지를 복호화할 수 있는 암호문을 생성한다. KeyGen 알고리즘은 마스터 키와 사용자 속성을 사용하여 개인 키를 개발한다. 마지막으로 Decrypt 알고리즘은 공개 매개변수, 암호문, 개인 키 및 사용자 속성을 입력으로 받는다. 이 정보를 사용하여 알고리즘은 먼저 사용자 속성이 접근 구조를 만족하는지 확인한 다음 암호문을 복호화하여 데이터를 반환한다.

키 정책 ABE (KP-ABE)

[편집]

키 정책 속성 기반 암호화(KP-ABE)는 속성 기반 암호화의 중요한 유형이다. KP-ABE는 발신자가 모든 속성 기반 암호화 시스템과 마찬가지로 속성 집합 아래에서 메시지를 암호화할 수 있도록 한다. 각 암호화에 대해 메시지를 해독하기 위한 복호화 알고리즘을 포함하는 개인 사용자 키가 생성되며, 이 개인 사용자 키는 사용자에게 해당하는 특정 메시지에 대한 접근 권한을 부여한다. KP-ABE 시스템에서 암호문 또는 암호화된 메시지는 생성자가 속성 집합으로 태그를 지정하고, 사용자 개인 키는 키가 해독할 수 있는 암호문의 유형을 지정하여 발행된다.[35] 개인 키는 사용자가 해독할 수 있는 암호문을 제어한다.[36] KP-ABE에서 속성 집합은 암호화된 텍스트를 설명하는 데 사용되며, 개인 키는 사용자가 암호문을 해독하기 위해 가질 지정된 정책과 연결된다. KP-ABE의 단점은 KP-ABE에서 암호화자가 설명 속성을 통해서만 암호화된 데이터에 접근할 수 있는 사람을 제어하지 않아, 키 발행자가 사용자에게 접근 권한을 부여하고 거부하는 것에 의존하게 된다는 점이다. 따라서 암호문 정책 속성 기반 암호화와 같은 다른 ABE 시스템이 생성되었다.[34]

완전 동형 암호화 (FHE)

[편집]

완전 동형 암호화는 암호문에서 임의의 계산을 지원하고 복호화 없이 암호화된 데이터에 대한 합과 곱을 계산할 수 있는 암호 시스템이다. 완전 동형 암호화 또는 줄여서 FHE의 또 다른 흥미로운 기능은 비밀 키 없이도 작업을 실행할 수 있다는 점이다.[37] FHE는 클라우드 컴퓨팅뿐만 아니라 전자 투표에도 연결되어 왔다. 완전 동형 암호화는 클라우드 컴퓨팅 및 컴퓨팅 기술 개발에 특히 도움이 되었다. 그러나 이러한 시스템이 발전함에 따라 클라우드 보안의 필요성도 증가했다. FHE는 암호화 알고리즘을 통해 데이터 전송뿐만 아니라 클라우드 컴퓨팅 스토리지를 보호하는 것을 목표로 한다.[38] 그 목표는 클라우드의 막대한 기능을 처리할 수 있는 더 큰 규모의 훨씬 더 안전하고 효율적인 암호화 방법이 되는 것이다.

검색 가능한 암호화 (SE)

[편집]

검색 가능한 암호화는 암호화된 데이터에 대한 안전한 검색 기능을 제공하는 암호화 시스템이다.[39][40] SE 체계는 비밀 키(또는 대칭 키) 암호화 기반 SE와 공개 키 암호화 기반 SE의 두 가지 범주로 분류할 수 있다. 검색 효율성을 향상시키기 위해 대칭 키 SE는 일반적으로 키워드 인덱스를 구축하여 사용자 쿼리에 응답한다. 이는 공유 클라우드 환경 내에서 프레임워크를 대체 매개변수에 노출하여 암호화 알고리즘을 우회함으로써 무단 데이터 검색을 위한 다중 모드 접근 경로를 제공하는 명백한 단점이 있다.[41]

규정 준수

[편집]

데이터 저장 및 사용과 관련된 수많은 법률 및 규정. 미국에서는 개인 정보 보호 또는 데이터 보호 법률, 지불 카드 산업 데이터 보안 표준(PCI DSS), 건강 보험 이동성 및 책임법(HIPAA), 사베인즈-옥슬리법, 2002년 연방 정보 보안 관리법(FISMA), 1998년 아동 온라인 개인 정보 보호법 등이 있다. 다른 관할권에서도 유사한 표준이 존재한다. 예를 들어, 싱가포르의 다단계 클라우드 보안 표준이 있다.

유사한 법률은 다른 법적 관할권에서 적용될 수 있으며, 미국에서 시행되는 법률과 상당히 다를 수 있다. 클라우드 서비스 사용자는 종종 관할권 간의 법적 및 규제적 차이점을 인식해야 할 수 있다. 예를 들어, 클라우드 서비스 제공업체가 저장한 데이터는 싱가포르에 위치할 수 있으며 미국에 미러링될 수 있다.[42]

이러한 규정 중 다수는 특정 제어(예: 강력한 접근 제어 및 감사용 기록)를 의무화하고 정기적인 보고를 요구한다. 클라우드 고객은 클라우드 제공업체가 적절하게 이러한 요구 사항을 충분히 충족하여 자신들의 의무를 준수할 수 있도록 보장해야 한다. 왜냐하면 고객은 상당 부분 책임이 있기 때문이다.

사업 연속성 및 자료 복구
클라우드 제공업체는 재해나 비상 사태 발생 시 서비스가 유지될 수 있도록 하고 데이터 손실이 복구될 수 있도록 업무 연속성 계획 및 자료 복구 계획을 마련하고 있다.[43] 이러한 계획은 고객과 공유 및 검토될 수 있으며, 이상적으로는 고객 자체의 연속성 계획과 연계된다. 예를 들어 주요 인터넷 또는 전기 공급 중단 시뮬레이션과 같은 공동 연속성 훈련이 적절할 수 있다.
로그 및 감사용 기록
클라우드 제공업체는 로그 및 감사용 기록을 생성하는 것 외에도 고객과 협력하여 이러한 로그 및 감사용 기록이 적절히 보호되고 고객이 요구하는 기간 동안 유지되며 법의학 조사(예: eDiscovery) 목적으로 접근할 수 있도록 보장한다.
고유한 규정 준수 요구 사항
고객에게 적용되는 요구 사항 외에도 클라우드 제공업체가 사용하는 데이터 센터는 규정 준수 요구 사항의 적용을 받을 수도 있다. 클라우드 서비스 제공업체(CSP)를 사용하면 고객 또는 테넌트 데이터가 동일한 시스템, 동일한 데이터 센터, 심지어 동일한 제공업체의 클라우드 내에 남아 있지 않을 수 있으므로 데이터 관할권과 관련하여 추가 보안 문제가 발생할 수 있다.[44]
유럽 연합의 GDPR은 고객 데이터에 대한 새로운 규정 준수 요구 사항을 도입했다.

법적 및 계약적 문제

[편집]
클라우드 공급업체의 보안 및 개인 정보 보호 계약은 수요 요구 사항 및 규정에 맞춰야 한다

위에 열거된 보안 및 규정 준수 문제 외에도 클라우드 제공업체와 고객은 책임(예를 들어 데이터 손실 또는 침해 관련 사고가 어떻게 해결될지 명시), 지식 재산권, 서비스 종료(데이터 및 애플리케이션이 최종적으로 고객에게 반환될 때)와 관련된 조건을 협상할 것이다. 또한 소송에 연루될 수 있는 클라우드에서 데이터를 획득하는 것에 대한 고려 사항이 있다.[45] 이러한 문제는 서비스 수준 협약서 (SLA)에서 논의된다.

공공 기록

[편집]

법적 문제에는 공공 부문의 기록 관리 요구 사항도 포함될 수 있으며, 많은 기관이 법률에 따라 전자 기록을 특정 방식으로 보관하고 제공해야 한다. 이는 법률에 의해 결정될 수 있거나, 법률이 기관에 기록 관리 기관이 정한 규칙과 관행을 따르도록 요구할 수 있다. 클라우드 컴퓨팅 및 스토리지를 사용하는 공공 기관은 이러한 우려 사항을 고려해야 한다.

같이 보기

[편집]

각주

[편집]
  1. ↑ 가 나 다 라 Haghighat, Mohammad; Zonouz, Saman; Abdel-Mottaleb, Mohamed (November 2015). 《CloudID: Trustworthy cloud-based and cross-enterprise biometric identification》. 《Expert Systems with Applications》 42. 7905–7916쪽. doi:10.1016/j.eswa.2015.06.025. S2CID 30476498. 
  2. ↑ 가 나 Srinivasan, Madhan Kumar; Sarukesi, K.; Rodrigues, Paul; Manoj, M. Sai; Revathy, P. (2012). 〈State-of-the-art cloud computing security taxonomies〉. 《Proceedings of the International Conference on Advances in Computing, Communications and Informatics - ICACCI '12》. 470–476쪽. doi:10.1145/2345396.2345474. ISBN 978-1-4503-1196-0. S2CID 18507025. 
  3. ↑ “Swamp Computing a.k.a. Cloud Computing”. Web Security Journal. 2009년 12월 28일. 2019년 8월 31일에 원본 문서에서 보존된 문서. 2010년 1월 25일에 확인함. 
  4. ↑ “Cloud Controls Matrix v4” (xlsx). Cloud Security Alliance. 2021년 3월 15일. 2021년 5월 21일에 확인함. 
  5. ↑ 가 나 “Shared Security Responsibility Model”. 《Navigating GDPR Compliance on AWS》. AWS. December 2020. 2021년 5월 21일에 확인함. 
  6. ↑ 가 나 Tozzi, C. (2020년 9월 24일). “Avoiding the Pitfalls of the Shared Responsibility Model for Cloud Security”. 《Pal Alto Blog》. Palo Alto Networks. 2021년 5월 21일에 확인함. 
  7. ↑ “Top Threats to Cloud Computing v1.0” (PDF). Cloud Security Alliance. March 2010. 2020년 9월 19일에 확인함. 
  8. ↑ Winkler, Vic. “Cloud Computing: Virtual Cloud Security Concerns”. Technet Magazine, Microsoft. 2012년 2월 12일에 확인함. 
  9. ↑ Hickey, Kathleen (2010년 3월 18일). “Dark Cloud: Study finds security risks in virtualization”. Government Security News. 2012년 1월 30일에 원본 문서에서 보존된 문서. 2012년 2월 12일에 확인함. 
  10. ↑ Winkler, Joachim R. (2011). 《Securing the Cloud: Cloud Computer Security Techniques and Tactics》. Elsevier. 59쪽. ISBN 978-1-59749-592-9. 
  11. ↑ Andress, Jason (2014). 〈Physical Security〉. 《The Basics of Information Security》. 131–149쪽. doi:10.1016/B978-0-12-800744-0.00009-9. ISBN 978-0-12-800744-0. 
  12. ↑ Virtue, Timothy; Rainey, Justin (2015). 〈Information Risk Assessment〉. 《HCISPP Study Guide》. 131–166쪽. doi:10.1016/B978-0-12-802043-2.00006-9. ISBN 978-0-12-802043-2. 
  13. ↑ Marturano, G. (2020b, December 4). Detective Security Controls. Retrieved December 1, 2021, from https://lifars.com/2020/12/detective-security-controls/
  14. ↑ Walkowski, D. (2019, August 22). What are Security Controls? Retrieved December 1, 2021, from https://www.f5.com/labs/articles/education/what-are-security-controls
  15. ↑ “Cloud Security Architecture”. GuidePoint Security LLC. 2023. 2023년 12월 6일에 확인함. 
  16. ↑ “Gartner: Seven cloud-computing security risks”. 《InfoWorld》. 2008년 7월 2일. 2010년 1월 25일에 확인함. 
  17. ↑ “Top Threats to Cloud Computing Plus: Industry Insights”. Cloud Security Alliance. 2017년 10월 20일. 2018년 10월 20일에 확인함. 
  18. ↑ “What is a CASB (Cloud Access Security Broker)?”. CipherCloud. 2018년 8월 31일에 원본 문서에서 보존된 문서. 2018년 8월 30일에 확인함. 
  19. ↑ Ahmad Dahari Bin Jarno; Shahrin Bin Baharom; Maryam Shahpasand; Zainab; Saba; Narges; Zahra (2017). 《Limitations and challenges on Security Cloud Testing》 (PDF). 《Journal of Applied Technology and Innovation》 1. 89–90쪽. 
  20. ↑ Chickowski, E. (2013년 10월 25일). “Identity Management In The Cloud”. Informa PLC. 2013년 12월 6일에 확인함. 
  21. ↑ Guarda, Teresa; Orozco, Walter; Augusto, Maria Fernanda; Morillo, Giovanna; Navarrete, Silvia Arévalo; Pinto, Filipe Mota (2016). 〈Penetration Testing on Virtual Environments〉. 《Proceedings of the 4th International Conference on Information and Network Security - ICINS '16》. 9–12쪽. doi:10.1145/3026724.3026728. ISBN 978-1-4503-4796-9. S2CID 14414621. 
  22. ↑ Tang, Jun; Cui, Yong; Li, Qi; Ren, Kui; Liu, Jiangchuan; Buyya, Rajkumar (2016년 7월 28일). 《Ensuring Security and Privacy Preservation for Cloud Data Services》. 《ACM Computing Surveys》 49. 1–39쪽. doi:10.1145/2906153. S2CID 11126705. 
  23. ↑ “Confidentiality, Integrity and Availability - The CIA Triad” (미국 영어). 《CertMike》. 2018년 8월 4일. 2021년 11월 27일에 확인함. 
  24. ↑ Tabrizchi, Hamed; Kuchaki Rafsanjani, Marjan (December 2020). 《A survey on security challenges in cloud computing: issues, threats, and solutions》. 《The Journal of Supercomputing》 76. 9493–9532쪽. doi:10.1007/s11227-020-03213-1. S2CID 255070071. 
  25. ↑ Carroll, Mariana; van der Merwe, Alta; Kotzé, Paula (August 2011). 〈Secure cloud computing: Benefits, risks and controls〉. 《2011 Information Security for South Africa》. 1–9쪽. CiteSeerX 10.1.1.232.2868. doi:10.1109/ISSA.2011.6027519. ISBN 978-1-4577-1481-8. S2CID 6208118. 
  26. ↑ 가 나 Svantesson, Dan; Clarke, Roger (July 2010). 《Privacy and consumer risks in cloud computing》. 《Computer Law & Security Review》 26. 391–397쪽. doi:10.1016/j.clsr.2010.05.005. hdl:1885/57037. S2CID 62515390. 
  27. ↑ 가 나 다 Grobauer, Bernd; Walloschek, Tobias; Stocker, Elmar (March 2011). 《Understanding Cloud Computing Vulnerabilities》. 《IEEE Security & Privacy》 9. 50–57쪽. doi:10.1109/MSP.2010.115. S2CID 1156866. 
  28. ↑ Rukavitsyn, Andrey N.; Borisenko, Konstantin A.; Holod, Ivan I.; Shorov, Andrey V. (2017). 〈The method of ensuring confidentiality and integrity data in cloud computing〉. 《2017 XX IEEE International Conference on Soft Computing and Measurements (SCM)》. 272–274쪽. doi:10.1109/SCM.2017.7970558. ISBN 978-1-5386-1810-3. S2CID 40593182. 
  29. ↑ Yao, Huiping; Shin, Dongwan (2013). 〈Towards preventing QR code based attacks on android phone using security warnings〉. 《Proceedings of the 8th ACM SIGSAC symposium on Information, computer and communications security - ASIA CCS '13》. 341쪽. doi:10.1145/2484313.2484357. ISBN 978-1-4503-1767-2. S2CID 1851039. 
  30. ↑ Iqbal, Salman; Mat Kiah, Miss Laiha; Dhaghighi, Babak; Hussain, Muzammil; Khan, Suleman; Khan, Muhammad Khurram; Raymond Choo, Kim-Kwang (October 2016). 《On cloud security attacks: A taxonomy and intrusion detection and prevention as a service》. 《Journal of Network and Computer Applications》 74. 98–120쪽. doi:10.1016/j.jnca.2016.08.016. S2CID 9060910. 
  31. ↑ Alashhab, Ziyad R.; Anbar, Mohammed; Singh, Manmeet Mahinderjit; Leau, Yu-Beng; Al-Sai, Zaher Ali; Abu Alhayja'a, Sami (March 2021). 《Impact of coronavirus pandemic crisis on technologies and cloud computing applications》. 《Journal of Electronic Science and Technology》 19. doi:10.1016/j.jnlest.2020.100059. PMC 7664361. 
  32. ↑ Kanaker, Hasan; Abdel Karim, Nader; A.B. Awwad, Samer; H.A. Ismail, Nurul; Zraqou, Jamal; M. F. Al ali, Abdulla (2022년 12월 20일). 《Trojan Horse Infection Detection in Cloud Based Environment Using Machine Learning》. 《International Journal of Interactive Mobile Technologies》 16. 81–106쪽. doi:10.3991/ijim.v16i24.35763. 
  33. ↑ Xu, Shengmin; Yuan, Jiaming; Xu, Guowen; Li, Yingjiu; Liu, Ximeng; Zhang, Yinghui; Ying, Zuobin (October 2020). 《Efficient ciphertext-policy attribute-based encryption with blackbox traceability》. 《Information Sciences》 538. 19–38쪽. doi:10.1016/j.ins.2020.05.115. S2CID 224845384. 
  34. ↑ 가 나 Bethencourt, John; Sahai, Amit; Waters, Brent (May 2007). 〈Ciphertext-Policy Attribute-Based Encryption〉 (PDF). 《2007 IEEE Symposium on Security and Privacy (SP '07)》. 321–334쪽. doi:10.1109/SP.2007.11. ISBN 978-0-7695-2848-9. S2CID 6282684. 
  35. ↑ Wang, Changji; Luo, Jianfa (2013). 《An Efficient Key-Policy Attribute-Based Encryption Scheme with Constant Ciphertext Length》. 《Mathematical Problems in Engineering》 2013. 1–7쪽. doi:10.1155/2013/810969. S2CID 55470802. 
  36. ↑ Wang, Chang-Ji; Luo, Jian-Fa (November 2012). 〈A Key-policy Attribute-based Encryption Scheme with Constant Size Ciphertext〉. 《2012 Eighth International Conference on Computational Intelligence and Security》. 447–451쪽. doi:10.1109/CIS.2012.106. ISBN 978-1-4673-4725-9. S2CID 1116590. 
  37. ↑ Armknecht, Frederik; Katzenbeisser, Stefan; Peter, Andreas (2012). 〈Shift-Type Homomorphic Encryption and Its Application to Fully Homomorphic Encryption〉 (PDF). 《Progress in Cryptology - AFRICACRYPT 2012》. Lecture Notes in Computer Science 7374. 234–251쪽. doi:10.1007/978-3-642-31410-0_15. ISBN 978-3-642-31409-4. 
  38. ↑ Zhao, Feng; Li, Chao; Liu, Chun Feng (2014). 〈A cloud computing security solution based on fully homomorphic encryption〉. 《16th International Conference on Advanced Communication Technology》. 485–488쪽. doi:10.1109/icact.2014.6779008. ISBN 978-89-968650-3-2. S2CID 20678842. 
  39. ↑ Wang, Qian; He, Meiqi; Du, Minxin; Chow, Sherman S. M.; Lai, Russell W. F.; Zou, Qin (2018년 5월 1일). 《Searchable Encryption over Feature-Rich Data》. 《IEEE Transactions on Dependable and Secure Computing》 15. 496–510쪽. doi:10.1109/TDSC.2016.2593444. S2CID 13708908. 
  40. ↑ Naveed, Muhammad; Prabhakaran, Manoj; Gunter, Carl A. (2014). 〈Dynamic Searchable Encryption via Blind Storage〉. 《2014 IEEE Symposium on Security and Privacy》. 639–654쪽. doi:10.1109/SP.2014.47. ISBN 978-1-4799-4686-0. S2CID 10910918. 
  41. ↑ Sahayini, T (2016). 《Enhancing the security of modern ICT systems with multimodal biometric cryptosystem and continuous user authentication》. 《International Journal of Information and Computer Security》 8. 55쪽. doi:10.1504/IJICS.2016.075310. 
  42. ↑ “Managing legal risks arising from cloud computing”. DLA Piper. 2014년 8월 29일. 2014년 11월 22일에 확인함. 
  43. ↑ “It's Time to Explore the Benefits of Cloud-Based Disaster Recovery”. Dell.com. 2012년 5월 15일에 원본 문서에서 보존된 문서. 2012년 3월 26일에 확인함. 
  44. ↑ Winkler, Joachim R. (2011). 《Securing the Cloud: Cloud Computer Security Techniques and Tactics》. Elsevier. 65, 68, 72, 81, 218–219, 231, 240쪽. ISBN 978-1-59749-592-9. 
  45. ↑ Adams, Richard (2013). 〈The emergence of cloud storage and the need for a new digital forensic process model〉 (PDF). Ruan, Keyun (편집). 《Cybercrime and Cloud Forensics: Applications for Investigation Processes》. Information Science Reference. 79–104쪽. ISBN 978-1-4666-2662-1. 

추가 자료

[편집]
  • Mowbray, Miranda (2009년 4월 15일). 《The Fog over the Grimpen Mire: Cloud Computing and the Law》. 《SCRIPT-ed》 6. 132–146쪽. doi:10.2966/scrip.060109.132. 
  • Mather, Tim; Kumaraswamy, Subra; Latif, Shahed (2009). 《Cloud Security and Privacy: An Enterprise Perspective on Risks and Compliance》. O'Reilly Media, Inc. ISBN 978-0-596-80276-9. 
  • Winkler, Vic (2011). 《Securing the Cloud: Cloud Computer Security Techniques and Tactics》. Elsevier. ISBN 978-1-59749-592-9. 
  • Ottenheimer, Davi (2012). 《Securing the Virtual Environment: How to Defend the Enterprise Against Attack》. Wiley. ISBN 978-1-118-15548-6. 
  • BS ISO/IEC 27017: "Information technology. Security techniques. Code of practice for information security controls based on ISO/IEC 27002 for cloud services." (2015)
  • BS ISO/IEC 27018: "Information technology. Security techniques. Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors." (2014)
  • BS ISO/IEC 27036-4: "Information technology. Security techniques. Information security for supplier relationships. Guidelines for security of cloud services" (2016)

외부 링크

[편집]

아카이브

[편집]
원본 주소 "https://ko.wikipedia.org/w/index.php?title=클라우드_컴퓨팅_보안&oldid=40818832"