![[Cloud & CERT] 근두운 인프라 문제점 분석 (장혜리)](data:image/webp;base64,UklGRlIAAABXRUJQVlA4IEYAAADwAQCdASoQAA0ABUB8JZACdACnvbo1zyAA/aYjroQHC/WlqjE3GigDEMkUGe7v4iQmgGH5oCpFuBArZUhpD6kO2WERKQAA)
![[Cloud & CERT] 근두운 인프라 문제점 분석 (장혜리)](https://www.notion.so/image/https%3A%2F%2Fwww.notion.so%2Fimages%2Fpage-cover%2Fnasa_transonic_tunnel.jpg?table=block&id=3ead23c8-25c0-80fc-bf05-c0aa4984bb1f&cache=v2&width=1600)
현재 구조 구조
- 현재 Victim EC2와 Wazuh EC2는 둘 다 Public Subnet에 위치해 있고 각각 퍼블릭 IP를 가지고 있음
- Private Subnet은 아직 구성되어 있지 않음
문제점 목록
문제 | 설명 |
Wazuh가 Public Subnet에 있음 | 탐지 서버가 인터넷에 노출돼 있음 (Private로 옮기는 게 원칙) |
victim_sg egress 443이 전체 허용 | 지금은 서버가 2개뿐이라 괜찮지만 늘어나면 위험해질 수 있는 범위
만약 Victim 서버가 침해당하면(해킹당하면) 공격자가 그 서버 안에서 외부 아무 서버로나 443 포트로 통신할 수 있음 |
wazuh_sg가 콘솔→Terraform import된 리소스 | 코드에 안 보이는 규칙이 실제로 남아있을 수 있음 |
잘한 점 (확인된 것)
- ALB → Victim은 80 포트만, Victim → Wazuh는 1514/1515 포트만 허용되어 있고
같은 SG 전체 허용같은 느슨한 규칙은 없음
- ALB에서 Wazuh로 가는 경로 자체가 없음
- Bastion Host 대신 SSM Session Manager를 사용하고 있는데 이는 커리큘럼 기준보다 한 단계 더 나은 방식 (Bastion보다 관리 포인트가 적고 SSH 키 노출 위험이 없음)
CERT 진행 현황 (확인된 것만)
- Mission 1(엔드포인트 탐지)미착수
- Mission 2(중앙 로그 수집) 진행중
- Mission 3(위협 인텔리전스 연동)은 미착수
- Mission 4(SOAR), Mission 5(사고 타임라인/DFIR)는 진행중
개선 우선순위
- Wazuh를 Private Subnet으로 이전
- wazuh_sg의 실제 규칙(드리프트 여부) 콘솔에서 직접 확인
- victim_sg의 egress 범위 축소
- 위협 인텔리전스 연동 (Mission 3)
- SOAR 완성 (Mission 4)
- 사고 타임라인 체계 정착 (Mission 5)
