보안 그룹, 포트를 열기 전에 출입 규칙을 적습니다

허용만 적고 거부는 적지 않는 규칙입니다

보안 그룹은 허용 규칙만 적는 목록입니다. 적지 않은 통신은 자동으로 막히므로 '막는 규칙'을 추가할 자리가 없습니다. 이 성질이 설정 방식을 정합니다. 넓게 열고 예외를 막는 방식이 아니라, 아무것도 열지 않은 상태에서 필요한 것만 하나씩 추가해야 합니다. 그래서 첫 작업은 포트를 여는 것이 아니라 통신 목록을 적는 것입니다. 1단계로 이 서버에 들어와야 하는 통신을 출처와 포트로 적고, 2단계로 이 서버가 나가야 하는 통신을 목적지와 포트로 적습니다. 두 목록이 곧 규칙이 됩니다. 목록 없이 포트를 먼저 열면 나중에 어느 규칙이 왜 있는지 아무도 설명할 수 없는 상태가 됩니다.

출처를 주소 대신 그룹으로 지정합니다

규칙의 출처에는 주소 범위 대신 다른 보안 그룹을 적을 수 있습니다. 이 방법이 운영을 크게 줄입니다. 예를 들어 웹 서버 그룹에서 오는 통신만 데이터베이스 포트에 허용하면, 웹 서버가 몇 대로 늘어나든 규칙을 고치지 않습니다. 주소 범위로 적으면 서버가 교체될 때마다 규칙을 따라 바꿔야 하고, 결국 넓은 범위를 열어 두게 됩니다. 적용 순서는 역할별로 그룹을 먼저 만들고, 그룹 사이의 허용 관계를 그림으로 그린 뒤, 그 그림대로 규칙을 적는 것입니다. 사람 접속용 규칙만 예외로 주소를 쓰되, 사무실 고정 주소로 좁히고 그 범위를 문서에 남깁니다.

열린 포트를 점검하고 정리 효과를 계산합니다

학습용 가정으로 점검 효과를 계산합니다. 가정값은 서버 20대에 그룹 12개가 있고, 그중 4개에 전체 공개 범위로 열린 관리 포트가 있다고 두겠습니다. 점검은 그룹 12개를 훑어 전체 공개 규칙을 찾는 일이고, 그룹당 3분이면 36분입니다. 내부 시간 비용을 시간당 30,000원으로 가정하면 18,000원입니다. 이것이 중간 계산값입니다. 최종 효과는 사고 비용과 비교해야 나옵니다. 관리 포트 노출로 서버 1대를 재구축하는 데 8시간이 든다고 가정하면 240,000원이고, 점검 비용의 13배가 넘습니다. 그래서 점검은 분기 일정에 넣고, 전체 공개 규칙은 발견 즉시 좁히거나 보류 사유를 적습니다.

그룹만으로 막지 못하는 두 가지

결론을 뒤집는 조건이 있습니다. 첫째, 보안 그룹은 서버 단위 규칙이라 서브넷 전체에 공통으로 걸어야 하는 차단에는 맞지 않습니다. 특정 주소를 조직 전체에서 막아야 한다면 서브넷 수준 통제를 함께 써야 합니다. 둘째, 응용 계층 공격은 포트가 열려 있어야 서비스가 되는 구조여서 그룹으로 막을 수 없습니다. 이 경우 웹 방화벽처럼 요청 내용을 보는 수단이 필요합니다. 그래서 점검 결과를 적을 때 '포트는 좁혔으나 응용 계층 보호는 없음'처럼 남은 범위를 명시합니다. 남은 범위를 적지 않으면 포트 정리만으로 보안 작업이 끝났다고 오해하게 됩니다.

클라우드 비교 실행 전 점검표

• 들어오는 통신과 나가는 통신 목록을 출처·포트로 적었다
• 출처를 주소 대신 보안 그룹으로 지정했다
• 전체 공개 범위로 열린 관리 포트를 분기마다 점검한다
• 그룹으로 막을 수 없는 범위를 문서에 남겼다