보안 제어: 백업 및 복구

  • 아티클

백업 및 복구는 여러 서비스 계층의 데이터 및 구성 백업이 수행되고, 유효성이 검사되고, 보호되도록 하는 컨트롤을 포함합니다.

BR-1: 자동화된 정기 백업 보장

CIS Controls v8 ID NIST SP 800-53 r4 ID PCI-DSS ID v3.2.1
11.2 CP-2, CP-4, CP-9 해당 없음

보안 원칙: 리소스를 만드는 동안 또는 기존 리소스에 대한 정책을 통해 적용되는 중요 비즈니스용 리소스의 백업을 보장합니다.

Azure 지침: 지원되는 Azure Backup 리소스(예: Azure VM, SQL Server, HANA 데이터베이스, Azure PostgreSQL 데이터베이스, 파일 공유, Blob 또는 디스크)의 경우 Azure Backup 사용하도록 설정하고 원하는 빈도 및 보존 기간을 구성합니다. Azure VM의 경우 Azure Policy를 사용하여 Azure Policy를 사용하여 백업을 자동으로 사용하도록 설정할 수 있습니다.

Azure Backup 지원하지 않는 리소스 또는 서비스의 경우 리소스 또는 서비스에서 제공하는 네이티브 백업 기능을 사용합니다. 예를 들어 Azure Key Vault 네이티브 백업 기능을 제공합니다.

Azure Backup 지원되지 않고 네이티브 백업 기능이 없는 리소스/서비스의 경우 백업 및 재해 요구 사항을 평가하고 비즈니스 요구 사항에 따라 고유한 메커니즘을 만듭니다. 예를 들면 다음과 같습니다.

  • 데이터 스토리지에 Azure Storage를 사용하는 경우 스토리지 Blob에 대해 Blob 버전 관리를 사용하도록 설정하면 Azure Storage에 저장된 모든 개체의 모든 버전을 보존, 검색 및 복원할 수 있습니다.
  • 서비스 구성 설정은 일반적으로 Azure Resource Manager 템플릿으로 내보낼 수 있습니다.

Azure 구현 및 추가 컨텍스트:

AWS 지침: AWS Backup 지원 리소스(예: EC2, S3, EBS 또는 RDS)의 경우 AWS Backup을 사용하도록 설정하고 원하는 빈도 및 보존 기간을 구성합니다.

AWS KMS와 같이 AWS Backup에서 지원되지 않는 리소스/서비스의 경우 리소스 만들기의 일부로 네이티브 백업 기능을 사용하도록 설정합니다.

AWS Backup에서 지원되지 않고 네이티브 백업 기능이 없는 리소스/서비스의 경우 백업 및 재해 요구 사항을 평가하고 비즈니스 요구 사항에 따라 고유한 메커니즘을 만듭니다. 예를 들면 다음과 같습니다.

  • Amazon S3이 데이터 스토리지에 사용되는 경우 스토리지 백셋에 대해 S3 버전 관리를 사용하도록 설정하면 S3 버킷에 저장된 모든 개체의 모든 버전을 보존, 검색 및 복원할 수 있습니다.
  • 서비스 구성 설정은 일반적으로 CloudFormation 템플릿으로 내보낼 수 있습니다.

AWS 구현 및 추가 컨텍스트:

GCP 지침: Google Cloud Backup 지원 리소스(예: 컴퓨터 엔진, 클라우드 스토리지 및 컨테이너)의 경우 GCP Backup을 사용하도록 설정하고 원하는 빈도 및 보존 기간을 구성합니다.

Google Cloud Backup에서 지원되지 않는 리소스 또는 서비스의 경우 리소스 또는 서비스에서 제공하는 네이티브 백업 기능을 사용합니다. 예를 들어 Secret Manager는 네이티브 백업 기능을 제공합니다.

Google Cloud Backup에서 지원되지 않고 네이티브 백업 기능이 없는 리소스/서비스의 경우 백업 및 재해 요구 사항을 평가하고 비즈니스 요구 사항에 따라 고유한 메커니즘을 만듭니다. 예를 들면 다음과 같습니다.

  • 백업 데이터 스토리지에 Google Storage를 사용하는 경우 Google Storage에 저장된 모든 개체의 모든 버전을 보존, 검색 및 복원할 수 있는 개체 버전 관리용 스토리지 버전 관리를 사용하도록 설정합니다.

GCP 구현 및 추가 컨텍스트:

고객 보안 관련자(자세한 정보):

BR-2: 백업 및 복구 데이터 보호

CIS Controls v8 ID NIST SP 800-53 r4 ID PCI-DSS ID v3.2.1
11.3 CP-6, CP-9 3.4

보안 원칙: 백업 데이터 및 작업이 데이터 반출, 데이터 손상, 랜섬웨어/맬웨어 및 악의적인 내부자로부터 보호되는지 확인합니다. 적용해야 하는 보안 제어에는 사용자 및 네트워크 액세스 제어, 저장 및 전송 중인 데이터 암호화가 포함됩니다.

Azure 지침: 다단계 인증 및 Azure RBAC를 사용하여 중요한 Azure Backup 작업(예: 삭제, 보존 변경, 백업 구성 업데이트)을 보호합니다. Azure Backup 지원 리소스의 경우 Azure RBAC를 사용하여 업무를 분리하고 세분화된 액세스를 사용하도록 설정하고 Azure Virtual Network 내에 프라이빗 엔드포인트를 만들어 Recovery Services 자격 증명 모음에서 데이터를 안전하게 백업 및 복원합니다.

Azure Backup 지원 리소스의 경우 백업 데이터는 256비트 AES 암호화가 포함된 Azure 플랫폼 관리형 키를 사용하여 자동으로 암호화됩니다. 고객 관리형 키를 사용하여 백업을 암호화하도록 선택할 수도 있습니다. 이 경우 Azure Key Vault 고객 관리형 키도 백업 scope 있는지 확인합니다. 고객 관리형 키를 사용하는 경우 Azure Key Vault 일시 삭제 및 제거 보호를 사용하여 실수로 또는 악의적인 삭제로부터 키를 보호합니다. Azure Backup을 사용하는 온-프레미스 백업의 경우 사용자가 제공한 암호를 사용하여 휴지 상태의 암호화가 제공됩니다.

랜섬웨어 공격/백업 데이터 암호화 또는 변조 시도와 같은 우발적이거나 악의적인 삭제로부터 백업 데이터를 보호합니다. Azure Backup 지원 리소스의 경우 일시 삭제를 사용하도록 설정하여 무단 삭제 후 최대 14일 동안 데이터 손실 없이 항목을 복구하고 Azure Portal에서 생성된 PIN을 사용하여 다단계 인증을 사용하도록 설정합니다. 또한 지역 중복 스토리지 또는 지역 간 복원을 사용하도록 설정하여 주 지역에 재해가 발생할 때 백업 데이터를 복원할 수 있도록 합니다. 영역 오류 중에 백업을 복원할 수 있도록 ZRS(영역 중복 스토리지)를 사용하도록 설정할 수도 있습니다.

참고: 리소스의 네이티브 백업 기능 또는 Azure Backup 이외의 백업 서비스를 사용하는 경우 Microsoft 클라우드 보안 벤치마크(및 서비스 기준)를 참조하여 위의 컨트롤을 구현합니다.

Azure 구현 및 추가 컨텍스트:

AWS 지침: AWS IAM 액세스 제어를 사용하여 AWS Backup을 보호합니다. 여기에는 AWS Backup 서비스 액세스 및 백업 및 복원 지점 보안이 포함됩니다. 예제 컨트롤은 다음과 같습니다.

  • 백업/복원 지점 삭제와 같은 중요한 작업에 MFA(다단계 인증)를 사용합니다.
  • SSL(Secure Sockets Layer)/TLS(전송 계층 보안)를 사용하여 AWS 리소스와 통신합니다.
  • AWS BACKUP과 함께 AWS KMS를 사용하여 고객 관리 CMK 또는 AWS Backup 서비스와 연결된 AWS 관리형 CMK를 사용하여 백업 데이터를 암호화합니다.
  • 중요한 데이터의 변경할 수 없는 스토리지에 AWS Backup 자격 증명 모음 잠금을 사용합니다.
  • 액세스 정책을 통해 S3 버킷을 보호하고, 공용 액세스를 사용하지 않도록 설정하며, 미사용 데이터 암호화를 적용하고, 제어를 버전 관리합니다.

AWS 구현 및 추가 컨텍스트:

GCP 지침: 가장 강력한 인증이 있는 전용 계정을 사용하여 삭제, 보존 변경, 백업 구성 업데이트와 같은 중요한 백업 및 복구 작업을 수행합니다. 이렇게 하면 랜섬웨어 공격/백업 데이터 암호화 또는 변조 시도와 같은 우발적이거나 악의적인 삭제로부터 백업 데이터를 보호할 수 있습니다.

GCP Backup 지원 리소스의 경우 역할 및 권한이 있는 Google IAM을 사용하여 업무를 분리하고 세분화된 액세스를 사용하도록 설정하고 VPC에 대한 프라이빗 서비스 액세스 연결을 설정하여 Backup/Recovery 어플라이언스 데이터를 안전하게 백업 및 복원합니다.

백업 데이터는 AES(Advanced Encryption Standard) 알고리즘 AES-256을 사용하여 플랫폼 수준에서 기본적으로 자동으로 암호화됩니다.

참고: 리소스의 네이티브 백업 기능 또는 GCP Backup 이외의 백업 서비스를 사용하는 경우 해당 지침을 참조하여 보안 제어를 구현해야 합니다. 예를 들어 VM instance 리소스에서 deletionProtection 속성을 설정하여 특정 VM 인스턴스를 삭제로부터 보호할 수도 있습니다.

GCP 구현 및 추가 컨텍스트:

고객 보안 관련자(자세한 정보):

BR-3: 백업 모니터링

CIS Controls v8 ID NIST SP 800-53 r4 ID PCI-DSS ID v3.2.1
11.3 CP-9 해당 없음

보안 원칙: 모든 중요 비즈니스용 보호 가능한 리소스가 정의된 백업 정책 및 표준을 준수하는지 확인합니다.

Azure 지침: Azure 환경을 모니터링하여 모든 중요한 리소스가 백업 관점에서 규정을 준수하는지 확인합니다. 백업에 Azure Policy 사용하여 이러한 제어를 감사하고 적용합니다. 지원되는 Azure Backup 리소스의 경우 Backup Center를 통해 백업 자산을 중앙에서 제어할 수 있습니다.

중요한 백업 작업(삭제, 보존 변경, 백업 구성 업데이트)이 모니터링, 감사 및 경고가 있는지 확인합니다. 지원되는 Azure Backup 리소스의 경우 전체 백업 상태를 모니터링하고, 중요한 백업 인시던트에 대한 경고를 받고, 자격 증명 모음에서 트리거된 사용자 작업을 감사합니다.

참고: 해당하는 경우 기본 제공 정책(Azure Policy)을 사용하여 Azure 리소스가 백업을 위해 구성되었는지 확인합니다.

Azure 구현 및 추가 컨텍스트:

AWS 지침: AWS Backup은 다른 AWS 도구와 협력하여 워크로드를 모니터링할 수 있는 권한을 부여합니다. 이러한 도구에는 다음이 포함됩니다.

  • AWS Backup 감사 관리자를 사용하여 백업 작업을 모니터링하여 규정 준수를 확인합니다.
  • CloudWatch 및 Amazon EventBridge를 사용하여 AWS 백업 프로세스를 모니터링합니다.
  • CloudWatch를 사용하여 메트릭을 추적하고, 알람을 만들고, 대시보드를 봅니다.
  • EventBridge를 사용하여 AWS Backup 이벤트를 보고 모니터링합니다.
  • Amazon SNS(Amazon Simple Notification Service)를 사용하여 백업, 복원 및 복사 이벤트와 같은 AWS Backup 관련 topics 구독합니다.

AWS 구현 및 추가 컨텍스트:

GCP 지침: 백업 및 재해 복구 환경을 모니터링하여 모든 중요한 리소스가 백업 관점에서 규정을 준수하는지 확인합니다. 백업에 조직 정책을 사용하여 이러한 제어를 감사하고 적용합니다. GCP 백업 지원 리소스의 경우 관리 콘솔을 사용하면 백업 자산을 중앙에서 제어할 수 있습니다.

중요한 백업 작업(삭제, 보존 변경, 백업 구성 업데이트)이 모니터링, 감사 및 경고가 있는지 확인합니다. GCP Backup 지원 리소스의 경우 전체 백업 상태를 모니터링하고, 중요한 백업 인시던트에 대한 경고를 받고, 트리거된 사용자 작업을 감사합니다.

참고: 해당하는 경우 기본 제공 정책(조직 정책)을 사용하여 Google 리소스가 백업을 위해 구성되었는지 확인합니다.

GCP 구현 및 추가 컨텍스트:

고객 보안 관련자(자세한 정보):

BR-4: 정기적으로 백업 테스트

CIS Controls v8 ID NIST SP 800-53 r4 ID PCI-DSS ID v3.2.1
11.5 CP-4, CP-9 해당 없음

보안 원칙: 주기적으로 백업의 데이터 복구 테스트를 수행하여 백업 데이터의 백업 구성 및 가용성이 RTO(복구 시간 목표) 및 RPO(복구 지점 목표)에 정의된 대로 복구 요구 사항을 충족하는지 확인합니다.

Azure 지침: 백업의 데이터 복구 테스트를 주기적으로 수행하여 백업 데이터의 백업 구성 및 가용성이 RTO 및 RPO에 정의된 복구 요구 사항을 충족하는지 확인합니다.

매번 전체 복구 테스트를 수행하는 것은 어려울 수 있으므로 테스트 범위, 빈도 및 방법을 포함하여 백업 복구 테스트 전략을 정의해야 할 수 있습니다.

Azure 구현 및 추가 컨텍스트:

AWS 지침: 백업의 데이터 복구 테스트를 주기적으로 수행하여 백업 데이터의 백업 구성 및 가용성이 RTO 및 RPO에 정의된 복구 요구 사항을 충족하는지 확인합니다.

매번 전체 복구 테스트를 수행하는 것은 어려울 수 있으므로 테스트 범위, 빈도 및 방법을 포함하여 백업 복구 테스트 전략을 정의해야 할 수 있습니다. AWS 구현 및 추가 컨텍스트:

GCP 지침: 주기적으로 백업의 데이터 복구 테스트를 수행하여 백업 데이터의 백업 구성 및 가용성이 RTO 및 RPO에 정의된 복구 요구 사항을 충족하는지 확인합니다.

매번 전체 복구 테스트를 수행하는 것은 어려울 수 있으므로 테스트 범위, 빈도 및 방법을 포함하여 백업 복구 테스트 전략을 정의해야 할 수 있습니다.

GCP 구현 및 추가 컨텍스트:

고객 보안 관련자(자세한 정보):