클라우드 보안 실수 Top 7 — 많은 기업이 반복하는 설정 오류
잘못된 S3 버킷 공개, 과도한 IAM 권한, 시크릿 하드코딩... CSPM 스캔 데이터 기반으로 국내 기업에서 가장 자주 발견되는 클라우드 보안 오설정을 정리했다.
클라우드 보안 침해의 대부분은 제공업체의 취약점이 아니라 사용자 측 설정 오류(Misconfiguration)에서 비롯된다. Fortinet 2026 자료 기준 클라우드 보안 실패의 95%가 사람의 실수에서 비롯된 것으로 분석된다. Gartner는 클라우드 보안 실패의 대부분이 제공업체가 아닌 고객 측 책임에서 발생한다고 오래전부터 전망해 왔다. 2026년 실측 조사에서도 취약한 IAM 통제와 로깅 누락이 계정의 80~98%에 영향을 미치는 것으로 나타났다(Intruder Cloud Security Index). 실제 CSPM(Cloud Security Posture Management) 스캔 데이터를 기반으로 가장 빈번하게 발견되는 오류를 정리한다.
① 공개된 S3 버킷 (Public S3 Bucket)
여전히 가장 많이 발견되는 오류다. Block Public Access 설정이 비활성화된 S3 버킷에 고객 데이터, 백업 파일, 소스코드가 저장된 사례가 국내에서도 반복적으로 발생하고 있다.
- 계정 레벨에서 S3 Block Public Access 전체 활성화
- 버킷 정책에 명시적 deny 추가
- S3 Access Analyzer로 주기적 검사
② 과도한 IAM 권한 (Excessive IAM Permissions)
"Action": "*", "Resource": "*" 형태의 와일드카드 IAM 정책. 단일 자격증명 탈취 시 전체 계정 접근 가능.
- 최소 권한 원칙(Principle of Least Privilege) 적용
- IAM Access Analyzer로 미사용 권한 탐지
- 서비스 계정에 MFA 적용
- 권한 경계(Permission Boundary) 설정
③ 보안 그룹 0.0.0.0/0 오픈
RDP(3389), SSH(22), DB 포트(3306, 5432, 1433)를 전체 인터넷에 개방한 보안 그룹은 브루트포스·크리덴셜 스터핑 공격의 즉각적인 표적이 된다.
- 관리용 포트는 특정 IP 또는 VPN IP만 허용
- AWS Systems Manager Session Manager 활용으로 SSH/RDP 불필요화
④ 시크릿 하드코딩
AWS Access Key, DB 비밀번호, API 토큰이 소스코드에 직접 작성되어 GitHub에 올라간 사례. GitHub Secret Scanning은 공개 저장소를 실시간 모니터링하며 AWS는 탈취된 키를 자동 감지하기도 한다.
- AWS Secrets Manager / Parameter Store 사용
- pre-commit 훅으로 시크릿 커밋 방지 (detect-secrets, gitleaks)
- 기존 저장소 전체 스캔 후 탐지된 시크릿 즉시 로테이션
⑤ 로깅 미활성화
CloudTrail, VPC Flow Logs, S3 액세스 로그가 비활성화된 환경은 침해 발생 시 원인 분석이 불가능하다. 로그 없는 환경은 공격자에게 더 유리하다.
⑥ 암호화 미적용
- S3 버킷 기본 암호화 비활성화
- EBS 볼륨 미암호화
- RDS 저장 데이터 암호화 미적용
- 전송 중 데이터 TLS 미적용 API
⑦ 멀티 계정 전략 부재
단일 AWS 계정에 개발·스테이징·운영 환경이 혼재하면 개발자 실수 하나가 운영 환경을 침해할 수 있다. AWS Organizations + Control Tower를 활용한 계정 분리가 권장된다.
클라우드 보안의 시작은 복잡한 도구가 아니라 기본 설정을 올바르게 하는 것에서 시작한다. CSPM 도구 하나로 위 7가지를 자동으로 탐지할 수 있다.