인사이트리포트

 들어가며

오픈소스SW는 IT 산업에서 선택이 아닌 필수가 되었다. 시스템SW부터 모바일·PC 애플리케이션, 기업용 솔루션 등 오픈소스SW를 활용하지 않은 영역을 찾기 어려울 정도로 광범위하게 사용되고 있다. 아울러 오픈소스SW는 IT 개발 및 운영 전반의 혁신을 주도하고 있다. 빠른 개발·배포·전달을 특징으로 하는 클라우드 기반의 컨테이너 애플리케이션이 늘어나면서 애자일(Agile) 개발 방법론이 인기를 얻고 있다. 또한 클라우드 네이티브 환경이 가속화되면서 개발과 운영이 유기적으로 협력하는 데브옵스(DevOps) 모델이 등장했다. 모두 오픈소스SW가 있었기에 가능한 일들이다.

데브옵스(DevOps)와 데브섹옵스(DevSecOps)

이제는 대부분의 IT 개발자와 시스템 운영자들이 데브옵스를 잘 이해하고 있으며 많은 조직이 데브옵스 방식의 민첩성과 유연성을 바탕으로 라이프 사이클을 운영하고 있다. 데브옵스는 개발 주기를 단축하고 산출물을 재빨리 배포하는데 큰 장점이 있다. 하지만 보안 측면에서는 약점이 있는데 바로 처음부터 보안 요구 사항을 적용하지 않은 상태에서 보안 이슈가 생길 경우 전체 라이프 사이클에 부정적인 영향을 미치게 된다는 점이다. 이로 인해 데브섹옵스 모델이 나왔다. 데브섹옵스는 빠른 개발이라는 데브옵스의 장점에 보안을 추가해 라이프 사이클 전체에 적용하는 방법론이다.

쿠버네티스 보안의 중요성

데브섹옵스는 보안 안정성을 기반으로 빠른 개발·배포·테스트를 지원하기 위해 컨테이너가 중심이 된다. 산출물을 개발하고 배포하는 사이클 중간에 보안 요소가 들어가야 하지만 무엇보다 컨테이너 자체의 보안에 대한 고려가 우선시되어야 한다.

전세계에서 가장 많이 사용되면서 컨테이너 오케스트레이션을 위한 사실상의 표준이라고 할 수 있는 오픈소스SW 플랫폼, 쿠버네티스의 보안에 신경을 써야 하는 이유다.

최근 미국 사이버 보안 인프라 보안국(CISA)과 국가안전국(NSA)에서 쿠버네티스 보안에 대한 중요성을 강조하며 쿠버네티스 강화 가이드(Kubernetes Hardening Guidance)를 발표했다. 권고 조치는 다음과 같다.

1. 취약점이 있거나 구성이 잘못된 컨테이너 및 파드를 스캔해야 함
2. 최소한의 권한으로 컨테이너와 파드를 실행해야 함
3. 네트워크 분리를 사용하여 피해 받지 않도록 제어가 가능해야 함
4. 방화벽을 사용하여 불필요한 네트워크 연결을 제어
5. 강력한 인증 및 권한 부여를 사용하여 사용자 및 관리자 액세스를 제한해야 함
6. 관리자가 모든 활동을 모니터링하며 잠재적/악의적 활동에 대응할 수 있도록 로그 감사를 사용해야 함
7. 정기적으로 모든 쿠버네티스 설정을 검토하고 취약성 스캔 및 보안 패치가 적용되어 있는지 확인해야 함

위 권고 조치의 대표적인 사항은 컨테이너 이미지의 안정성, 인증과 권한 및 보안 감사 등이다. 본 아티클에서는 쿠버네티스를 운영하거나 컨테이너 형태의 애플리케이션을 개발하는 엔지니어와 개발자 관점에서 코드 수준에서 컨테이너를 안전하게 유지할 수 있는 방법을 살펴보겠다.

쿠버네티스 컨테이너 보안 가이드

1) 컨테이너 이미지 관리

컨테이너 이미지 관리는 매우 중요하다. 이미지로 인한 취약점, 구성 결함 및 악성 코드 삽입 등으로 보안 이슈가 발생할 수 있기 때문이다. 이미지는 애플리케이션을 실행하는데 필요한 모든 구성 요소가 포함된 정적 파일이다. 보안 업데이트가 누락됐거나 지원되지 않는 구성 요소가 있을 경우 취약점이 발생할 수 있다. 만약 취약점이 존재하는 상태로 배포될 경우 보안 위험은 커지게 된다.

이미지 취약점이 없더라도 구성이 올바르지 않으면 공격에 노출될 수 있다. 불필요한 계정을 갖고 있거나 쓸데없이 네트워크에 노출되는 서비스가 있는 경우에 구성 결함이 발생할 가능성이 있다. 또한 컨테이너에 주입된 애플리케이션에 악성코드가 포함되는 경우도 위험하다. 배포 환경 내 다른 컨테이너나 호스트를 공격할 수 있기 때문이다. 이를 방지하기 위해서는 사용하는 이미지가 보안이 검증된 것인지 확인해야 하며 OS 패치가 지속적으로 적용되어야 한다. 또한 컨테이너 이미지 자체에 스캔(Scan)을 하도록 앵커(Anchore)나 클레어(Clair)와 같은 오픈소스SW를 사용하여 데브섹옵스 파이프라인을 구성하는 것이 좋다.

2) 네트워크 트래픽 분리

동일한 쿠버네티스 클러스터에서 서로 다른 애플리케이션을 실행하면 특정 애플리케이션이 인접 애플리케이션을 공격할 위험이 있다. 네트워크 규칙을 통해 인바운드, 아웃바운드 트래픽을 제한함으로써 트래픽 공격을 방어할 수 있도록 해야 한다.

다음과 같이 네트워크 규칙을 설정해 아웃바운드 트래픽을 제한하여 네트워크를 분리할 수 있다.

3) 파드 보안을 위한 컨텍스트(Context) 적용

파드를 생성할 때 파드와 볼륨에 대한 보안 컨텍스트(Security Context) 기능을 적용할 것을 권장한다. 파드에 과도한 권한을 부여하면 접근하지 말아야 할 리소스에 접근하게 되어 보안 사고를 일으킬 수 있다. 보안 컨텍스트를 통해 불필요한 루트와 커널 접근을 방지할 수 있다. 사용 가능한 몇 가지 중요 매개 변수는 다음과 같다.

아래는 보안 컨텍스트를 runAsNonRoot로 설정하여 컨테이너가 루트로 실행되는 것을 방지하는 예시이다.

4) 파드의 보안 관련 기능 사용 제한

클러스터 관리자는 하나 이상의 PodSecurityPolicy를 작성해 쿠버네티스가 제공하는 보안 관련 기능 사용을 제한할 수 있다. PodSecurityPolicy는 사용자가 파드에서 이용할 수 있는 보안 기능을 제어하는 클러스터 수준의 리소스이다. ‘클러스터 수준의 리소스’라 함은 정책이 클러스터 전체에 적용된다는 의미이다. PodSecurityPolicy 리소스의 정책 작업은 Admission Control Plugin에 의해 수행된다. PodSecurityPolicy를 적용함으로써 컨테이너가 바인드할 수 있는 포트 범위, 네임 스페이스를 제한해 클러스터를 보호한다.

마치며

클라우드 네이티브 생태계가 발전하면서 클라우드의 사용 방식이 근본적으로 바뀌고 있다. 보안 역시 기존의 엔드포인트 중심에서 클라우드 전체의 라이프 사이클을 아우르는 방향으로 패러다임이 변화하는 중이다. 그 중심에 쿠버네티스가 있다. 기업의 개발자·데브옵스 엔지니어·IT 운영자는 앞서 소개한 사례를 참고하여 쿠버네티스 보안에 만전을 기해야 한다. 이를 통해 컨테이너 중심의 애플리케이션을 안전하게 보호할 수 있음은 물론 궁극적으로 데브섹옵스 여정의 기초를 탄탄하게 다질 수 있을 것이다.