"우리 클라우드는 안전할 거야" — 그런데 주소만 알면 파일이 다 열립니다
AI 코딩으로 며칠 만에 서비스를 올리는 시대입니다. 코드는 빠르게 완성되지만, 그 아래 클라우드 인프라 설정은 대부분 기본값 그대로거나 "일단 되게" 열어둔 채 남습니다. 문제는 이 설정이 곧바로 외부에 드러난다는 점입니다.
공격자는 여러분 서버에 침투하지 않습니다. 그냥 인터넷에서 보이는 것을 줍습니다. 공개된 S3 버킷 주소, 열린 관리 포트, 노출된 관리자 콘솔은 로그인 없이도 눈에 띕니다. 백업 파일 하나, 고객 명단 한 장이 URL 하나로 열리는 사고는 "해킹"이 아니라 "설정 실수"입니다.
가장 무서운 건 조용하다는 점입니다. 침입 흔적도, 경고도 없이 데이터가 색인되고 복사됩니다. 그래서 점검의 시작은 "외부에서 우리가 어떻게 보이는가"부터여야 합니다.
왜 중요한가 — 사고의 대부분은 침입이 아니라 설정
클라우드 보안 사고의 대부분은 클라우드 제공사의 결함이 아니라 사용자 측 설정 문제에서 비롯됩니다. 가트너도 클라우드 보안 실패의 대다수가 고객 책임이라고 전망한 바 있습니다. 공개 스토리지와 과다 권한은 클라우드에서 가장 흔히 지적되는 노출 경로이고, OWASP도 '보안 설정 오류(Security Misconfiguration)'를 주요 위험으로 꼽습니다.
방치하면 결과는 단순합니다. 개인정보가 유출되면 개인정보보호법에 따라 신고 의무와 과징금이 발생하고, 사고 대응·복구 비용에 신뢰 손상까지 겹칩니다. 게다가 설정 오류로 인한 노출은 발견까지 수개월이 걸리기도 합니다 — 그 사이는 사실상 무방비입니다.
외부에서 보이는 것부터 막으세요
- 공개 S3 버킷·스토리지 차단: 버킷을 비공개 기본값으로 두고 "퍼블릭 액세스 차단"을 계정·버킷 양쪽에서 켜세요. 정적 파일 배포는 CDN(CloudFront 등)을 앞단에 두고 원본은 잠급니다. → URL만으로 파일이 열리는 최악의 사고를 원천 차단.
- 루트 액세스 키 제거·MFA: 루트 계정의 액세스 키는 운영에서 쓸 이유가 없습니다. 즉시 삭제하고 루트에는 MFA를 켜세요. 일상 작업은 최소 권한 IAM 사용자/역할로 처리합니다. → 키 하나가 계정 전체를 넘기는 시나리오 제거.
- IAM 최소 권한:
*전권 정책을 걷어내고 실제로 필요한 동작만 부여하세요. 사람은 임시 자격증명(역할 전환)을, 서버는 인스턴스 역할을 쓰게 합니다. → 계정 하나가 뚫려도 피해 범위를 좁힘. - 보안그룹 0.0.0.0/0 정리: SSH(22)·RDP(3389)·DB 포트를 전 세계에 여는 규칙을 없애세요. 관리 접근은 회사 IP나 VPN으로 제한합니다. → 무차별 대입·자동 스캔의 1순위 표적에서 제외.
- 관리 콘솔·대시보드 노출 차단: DB 관리툴, 관리자 페이지, 모니터링 대시보드가 공개 URL에 떠 있지 않은지 확인하세요. 인증·IP 제한을 앞에 둡니다. → 기본 계정·약한 비밀번호로 뚫리는 통로 제거.
- 하드코딩 키 제거: 소스·설정 파일·프론트엔드 번들에 API 키가 박혀 있지 않은지 점검하고 Secrets Manager나 환경변수로 옮기세요. 이미 노출된 키는 폐기·재발급합니다. → 저장소·배포물에서 키가 새는 경로 차단.
자가점검 체크리스트
- ☐ S3 버킷 "퍼블릭 액세스 차단"이 계정·버킷 모두 켜져 있다
- ☐ 루트 계정에 액세스 키가 없고 MFA가 켜져 있다
- ☐
AdministratorAccess·*권한이 꼭 필요한 대상에만 부여돼 있다 - ☐ 보안그룹에 0.0.0.0/0 + 관리/DB 포트 조합이 없다
- ☐ 관리자 콘솔·DB 툴·대시보드가 공개 URL로 열리지 않는다
- ☐ 소스·프론트엔드·저장소에 하드코딩된 키가 없다
- ☐ 외부에서 우리 도메인/서버가 어떻게 보이는지 실제로 확인해 봤다
수동 확인은 되지만, 판단이 애매합니다
콘솔을 하나씩 열어 보면 위 항목 대부분은 직접 확인할 수 있습니다. 문제는 "이게 위험한 노출인지" 판단입니다. 공개돼도 되는 정적 파일과 새면 안 되는 백업의 구분, 권한이 넓은 건지 적정한 건지, 열린 포트가 의도된 건지 실수인지 — 대부분 여기서 막힙니다. 게다가 자산이 늘수록 사람이 전부 훑기는 어렵고, 정작 놓친 한 곳이 사고가 됩니다.
지금, 외부에서 보이는 위험부터 30초 만에 확인하세요
내부 설정을 뒤지기 전에 공격자와 같은 시선 — 외부에서 무엇이 보이는가부터 점검하는 게 순서입니다. 보안 전문 기업 SENTRIX의 CodeScan은 로그인 없이 여러분 서비스의 외부 노출 위험(열린 포트, 노출된 파일·경로, 취약한 보안 헤더 등)을 자동으로 훑어 리포트로 보여줍니다.
- 지금 30초 무료로 점검하기 → codescan.kr
- 내부 IAM·계정 구조까지 포함한 정밀 진단이 필요하면, 레드팀을 운영하는 SENTRIX에 문의하세요 → sentrix.co.kr/contact/