Notes on blog.212clabhttps://212clab.pages.dev/notes/Recent content in Notes on blog.212clabHugoko-krSat, 02 May 2026 00:00:00 +0000온프렘 보안 장비와 클라우드 연결 구성https://212clab.pages.dev/notes/2026-05-02-onprem-security-to-cloud/Sat, 02 May 2026 00:00:00 +0000https://212clab.pages.dev/notes/2026-05-02-onprem-security-to-cloud/<h2 id="온프렘-사무실-네트워크-보안-장비">온프렘 사무실 네트워크 보안 장비</h2> <p>일반적인 기업 사무실에서 사용하는 보안 장비를 바깥에서 안쪽 순서로 정리한다.</p> <pre tabindex="0"><code>[인터넷] ↓ [① 방화벽 (Firewall)] ← 외부/내부 경계, L3/L4 필터링 ↓ [② IDS/IPS] ← 침입 탐지/차단 ↓ [③ VPN Gateway] ← 외부 접속 암호화 터널 ↓ [④ WAF] ← 웹 애플리케이션 방화벽 (L7) ↓ [⑤ NAC] ← 네트워크 접근 제어 (단말 인증) ↓ [내부 네트워크 / 서버] </code></pre><h3 id="-방화벽-firewall">① 방화벽 (Firewall)</h3> <table> <thead> <tr> <th>항목</th> <th>설명</th> </tr> </thead> <tbody> <tr> <td>역할</td> <td>외부/내부 트래픽 필터링, IP/Port 기반 허용/차단</td> </tr> <tr> <td>위치</td> <td>인터넷과 내부 네트워크 경계</td> </tr> <tr> <td>장비 예시</td> <td>Fortinet FortiGate, Palo Alto, Cisco ASA, Juniper SRX</td> </tr> <tr> <td>클라우드 대응</td> <td>Security Group + NACL</td> </tr> </tbody> </table> <p>차세대 방화벽(NGFW)은 L7까지 검사하며, 애플리케이션 식별/사용자 식별/SSL 복호화까지 수행한다.</p>침투테스트 인프라 취약점 발견 및 보완 조치https://212clab.pages.dev/notes/2026-04-15-pentest-remediation/Wed, 15 Apr 2026 00:00:00 +0000https://212clab.pages.dev/notes/2026-04-15-pentest-remediation/<h2 id="개요">개요</h2> <p>KT Cloud TechUp 사이버보안 훈련에서 레드팀(4개 팀)이 72시간 동안 PlayBall 플랫폼을 대상으로 침투테스트를 수행했다. 인프라 영역에서 발견된 취약점에 대해 28건의 보완 조치를 수행했다.</p> <table> <thead> <tr> <th>항목</th> <th>내용</th> </tr> </thead> <tbody> <tr> <td>기간</td> <td>2026-04-02 ~ 04 (72시간)</td> </tr> <tr> <td>대상</td> <td>goormgb.space (Dev), staging.playball.one (Staging)</td> </tr> <tr> <td>레드팀</td> <td>4개 팀 (5팀, 1팀, 4팀, 7팀)</td> </tr> <tr> <td>인프라 조치</td> <td>28건 완료</td> </tr> </tbody> </table> <h3 id="주요-공격-성공-사례">주요 공격 성공 사례</h3> <table> <thead> <tr> <th>공격</th> <th>심각도</th> <th>설명</th> </tr> </thead> <tbody> <tr> <td>Kiali/kafka-ui 장악</td> <td>CRITICAL</td> <td>무인증 관리도구 외부 노출 → 클러스터 정보 탈취</td> </tr> <tr> <td>EKS API 서버 외부 노출</td> <td>HIGH</td> <td>0.0.0.0/0 공개 → 누구나 API 접근 가능</td> </tr> <tr> <td>Rate Limiting 미적용</td> <td>HIGH</td> <td>10회 연속 로그인 성공, Brute Force 가능</td> </tr> <tr> <td>ALB 직접 접근</td> <td>HIGH</td> <td>CloudFront/WAF 우회하여 ALB에 직접 요청</td> </tr> </tbody> </table> <hr> <h2 id="발견된-인프라-취약점">발견된 인프라 취약점</h2> <h3 id="critical">CRITICAL</h3> <table> <thead> <tr> <th>ID</th> <th>취약점</th> <th>조치</th> </tr> </thead> <tbody> <tr> <td>C-10</td> <td>Kiali prod 무인증 쓰기 접근</td> <td>Admin Tools IP Whitelist (#25)</td> </tr> <tr> <td>C-11</td> <td>kafka-ui 무인증, readOnly:false</td> <td>Admin Tools IP Whitelist (#25)</td> </tr> </tbody> </table> <h3 id="high">HIGH</h3> <table> <thead> <tr> <th>ID</th> <th>취약점</th> <th>조치</th> </tr> </thead> <tbody> <tr> <td>H-02</td> <td>K8s API 서버 외부 노출 (0.0.0.0/0)</td> <td>EKS Control Plane 접근 제한 (#4)</td> </tr> <tr> <td>H-03</td> <td>K8s 내부 서비스 DNS 노출</td> <td>NetworkPolicy default-deny (#13)</td> </tr> <tr> <td>H-05</td> <td>Actuator 전체 노출</td> <td>내부 경로 차단 AuthorizationPolicy (#24)</td> </tr> <tr> <td>H-06</td> <td>내부 라우트 + K8s URI 노출</td> <td>Actuator 제거로 해소 (#24)</td> </tr> <tr> <td>H-08</td> <td>서버 리소스 정보 노출</td> <td>Actuator 제거로 해소 (#24)</td> </tr> <tr> <td>H-09</td> <td>Thread Pool 무제한 DoS</td> <td>Kyverno Require Resource Limits (#17)</td> </tr> <tr> <td>H-10</td> <td>IP 블랙리스트 우회 (ALB 직접 접근)</td> <td>CloudFront 전환 + ALB SG 제한 (#1, #2, #3)</td> </tr> <tr> <td>H-11</td> <td>SQLi 앱 레벨 필터 우회 가능성</td> <td>Istio WAF EnvoyFilter (#21)</td> </tr> <tr> <td>H-12</td> <td>OS Command Injection 의심</td> <td>Istio WAF EnvoyFilter (#21)</td> </tr> </tbody> </table> <h3 id="medium">MEDIUM</h3> <table> <thead> <tr> <th>ID</th> <th>취약점</th> <th>조치</th> </tr> </thead> <tbody> <tr> <td>M-01</td> <td>Staging ALB 직접 노출 (CDN 미적용)</td> <td>CloudFront 전환 (#1)</td> </tr> <tr> <td>M-02</td> <td>Swagger UI 외부 노출</td> <td>404 처리 완료</td> </tr> <tr> <td>M-05</td> <td>Admin 엔드포인트 존재 확인</td> <td>JWT AuthorizationPolicy (#23)</td> </tr> <tr> <td>M-07</td> <td>Actuator RBAC 불일치</td> <td>내부 경로 차단 (#24)</td> </tr> <tr> <td>M-08</td> <td>Gateway 라우트 수 노출</td> <td>Actuator 제거로 해소 (#24)</td> </tr> <tr> <td>M-12</td> <td>Origin 미검증 + Rate Limiting 미설정</td> <td>Rate Limiting (#22)</td> </tr> </tbody> </table> <hr> <h2 id="인프라-보완-조치-28건">인프라 보완 조치 (28건)</h2> <h3 id="네트워크--접근-제어">네트워크 / 접근 제어</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>대응 취약점</th> <th>전</th> <th>후</th> </tr> </thead> <tbody> <tr> <td>1</td> <td>Staging API → CloudFront 전환</td> <td>M-01, H-10</td> <td>ALB 직접 노출</td> <td>CloudFront Alias</td> </tr> <tr> <td>2</td> <td>Prod API → CloudFront 전환</td> <td>M-01, H-10</td> <td>ALB 직접 / Cloudflare 단일</td> <td>CloudFront Distribution</td> </tr> <tr> <td>3</td> <td>Staging ALB SG 제한</td> <td>H-10, M-01</td> <td>443 ← 0.0.0.0/0</td> <td>CloudFront PL + 팀원 IP만</td> </tr> <tr> <td>4</td> <td>EKS Control Plane 접근 제한</td> <td>H-02</td> <td>public_access 0.0.0.0/0</td> <td>bastion SG + 팀원 IP, private_access=true</td> </tr> <tr> <td>25</td> <td>Admin Tools IP Whitelist</td> <td>C-10, C-11</td> <td>무인증 외부 접근</td> <td>팀 IP 외 DENY (kiali/kafka-ui/grafana 등)</td> </tr> </tbody> </table> <h3 id="istio-service-mesh-보안">Istio Service Mesh 보안</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>대응 취약점</th> <th>전</th> <th>후</th> </tr> </thead> <tbody> <tr> <td>14</td> <td>mTLS STRICT</td> <td>일반 암호화</td> <td>PERMISSIVE 혼합</td> <td>Mesh-wide STRICT</td> </tr> <tr> <td>21</td> <td>WAF (EnvoyFilter + Lua)</td> <td>H-11, H-12</td> <td>L7 탐지 없음</td> <td>10종 탐지 (SQLi/XSS/CmdInj 등) + 자동 IP 블랙리스트</td> </tr> <tr> <td>22</td> <td>Rate Limiting (Local + Global)</td> <td>M-12</td> <td>제한 없음</td> <td>/auth 10/s, /payment 5/s, /signup 3/s</td> </tr> <tr> <td>23</td> <td>JWT RequestAuthentication + AuthZ</td> <td>M-05</td> <td>앱만 JWT 검증</td> <td>Istio 엣지 JWKS 검증 (미인증 → 401)</td> </tr> <tr> <td>24</td> <td>내부 경로 차단</td> <td>H-05, H-06, H-08, M-07</td> <td>/actuator, /metrics 접근 가능</td> <td>DENY 정책 적용</td> </tr> </tbody> </table> <h3 id="iam--권한-관리">IAM / 권한 관리</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>대응 취약점</th> <th>전</th> <th>후</th> </tr> </thead> <tbody> <tr> <td>5</td> <td>Node IMDSv2 강제</td> <td>SSRF 대비</td> <td>IMDSv1 허용</td> <td>IMDSv2 전용</td> </tr> <tr> <td>11</td> <td>IAM IRSA 최소 권한</td> <td>C-02</td> <td>장기 Access Key</td> <td>OIDC 기반 SA별 IAM Role, 정적 키 폐기</td> </tr> <tr> <td>12</td> <td>SSO Permission Set 분리</td> <td>권한 최소화</td> <td>Admin-Full 단일</td> <td>DevOps/Developer/Security/ReadOnly 4종</td> </tr> </tbody> </table> <h3 id="kubernetes-정책-kyverno">Kubernetes 정책 (Kyverno)</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>대응 취약점</th> <th>효과</th> </tr> </thead> <tbody> <tr> <td>13</td> <td>NetworkPolicy default-deny</td> <td>H-03</td> <td>네임스페이스 간 측면 이동 차단</td> </tr> <tr> <td>15</td> <td>Disallow Privileged</td> <td>Pod 격리</td> <td>privileged=true 차단</td> </tr> <tr> <td>16</td> <td>Disallow :latest Tag</td> <td>버전 추적</td> <td>image:latest 사용 금지</td> </tr> <tr> <td>17</td> <td>Require Resource Limits</td> <td>H-09</td> <td>CPU/Memory limits 필수</td> </tr> <tr> <td>18</td> <td>Require ArgoCD Management</td> <td>GitOps 강제</td> <td>라벨 없는 리소스 차단</td> </tr> <tr> <td>19</td> <td>Protect Critical Namespaces</td> <td>C-10, C-11</td> <td>kube-system/argocd/istio-system 무단 변경 차단</td> </tr> <tr> <td>20</td> <td>Policy Reporter</td> <td>위반 가시화</td> <td>위반 수집 + Discord 알림</td> </tr> </tbody> </table> <h3 id="감사--모니터링">감사 / 모니터링</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>효과</th> </tr> </thead> <tbody> <tr> <td>6</td> <td>EKS Control Plane 로깅</td> <td>api/audit/authenticator/scheduler 전부 CloudWatch</td> </tr> <tr> <td>7</td> <td>CloudTrail Multi-Region + Log Validation</td> <td>감사 증적 강화</td> </tr> <tr> <td>8</td> <td>감사 로그 S3 보안 정책</td> <td>AES256 + Versioning + Lifecycle</td> </tr> <tr> <td>9</td> <td>보안 이벤트 실시간 알람</td> <td>EventBridge → Lambda → Discord</td> </tr> <tr> <td>10</td> <td>S3 감사 이벤트 요약 알람</td> <td>S3 API 감시 → Discord</td> </tr> </tbody> </table> <h3 id="데이터-보호">데이터 보호</h3> <table> <thead> <tr> <th>#</th> <th>조치</th> <th>대응 취약점</th> <th>전</th> <th>후</th> </tr> </thead> <tbody> <tr> <td>26</td> <td>RDS 암호화 + Deletion Protection</td> <td>C-05</td> <td>기본값</td> <td>storage_encrypted=true, deletion_protection=true</td> </tr> <tr> <td>27</td> <td>RDS 자격증명 Secrets Manager 이관</td> <td>C-05</td> <td>.env 평문</td> <td>Secrets Manager + External Secrets</td> </tr> </tbody> </table> <hr> <h2 id="조치-결과">조치 결과</h2> <h3 id="인프라-조치-전후-비교">인프라 조치 전후 비교</h3> <table> <thead> <tr> <th>항목</th> <th>조치 전</th> <th>조치 후</th> </tr> </thead> <tbody> <tr> <td>EKS API</td> <td>0.0.0.0/0 공개</td> <td>bastion + 팀원 IP만</td> </tr> <tr> <td>ALB 접근</td> <td>직접 노출</td> <td>CloudFront 경유만 허용</td> </tr> <tr> <td>관리도구 (Kiali, kafka-ui)</td> <td>무인증 외부 접근</td> <td>IP Whitelist + 인증</td> </tr> <tr> <td>내부 통신</td> <td>mTLS PERMISSIVE</td> <td>mTLS STRICT</td> </tr> <tr> <td>L7 공격 방어</td> <td>없음</td> <td>WAF 10종 탐지 + 자동 IP 차단</td> </tr> <tr> <td>Rate Limiting</td> <td>없음</td> <td>경로별 제한 (/auth 10/s 등)</td> </tr> <tr> <td>IAM 키 관리</td> <td>장기 Access Key</td> <td>IRSA (OIDC 기반 임시 자격증명)</td> </tr> <tr> <td>DB 크리덴셜</td> <td>.env 평문</td> <td>Secrets Manager</td> </tr> <tr> <td>감사 로그</td> <td>미구성</td> <td>CloudTrail + EventBridge → Discord 실시간 알림</td> </tr> <tr> <td>Pod 보안 정책</td> <td>없음</td> <td>Kyverno 6종 정책 + Policy Reporter</td> </tr> </tbody> </table>Istio ext_authz Adapter 설계 및 구현https://212clab.pages.dev/notes/2026-04-10-istio-authz-adapter/Fri, 10 Apr 2026 00:00:00 +0000https://212clab.pages.dev/notes/2026-04-10-istio-authz-adapter/<h2 id="배경">배경</h2> <p>AI 방어팀이 실시간 봇 탐지와 사후 분석 처리 두 가지를 구현해야 했는데, 앱 코드에 직접 넣으면 모든 서비스에 SDK를 심어야 하고 유지보수가 어려웠다. Istio의 ext_authz 확장 포인트를 활용하면 <strong>앱 코드 수정 없이 Mesh 레벨에서 투명하게</strong> 요청을 가로채서 AI로 보낼 수 있어서, 이 방식을 AI 팀에 제안했고 합작으로 개발했다.</p> <h3 id="역할-분담">역할 분담</h3> <table> <thead> <tr> <th>담당</th> <th>작업</th> </tr> </thead> <tbody> <tr> <td><strong>인프라 (본인)</strong></td> <td>Istio ext_authz 연동 설계, Go gRPC 어댑터 개발, EnvoyFilter 작성, Helm 배포 구성</td> </tr> <tr> <td><strong>AI 팀</strong></td> <td>Critical API 선정, 판정 스펙 설계, AI Defense API(Python FastAPI) 개발, 행동 분석 엔진</td> </tr> </tbody> </table> <p>핵심 아이디어: Envoy가 모든 요청을 이미 프록시하고 있으니까, 거기에 ext_authz hook을 걸어서 AI 판정을 받자.</p>