CSAP SaaS 인증을 위한 보안 설정
- 인쇄
- PDF
CSAP SaaS 인증을 위한 보안 설정
- 인쇄
- PDF
기사 요약
이 요약이 도움이 되었나요?
의견을 보내 주셔서 감사합니다.
VPC 환경에서 이용 가능합니다.
네이버 클라우드 플랫폼에서 제공하는 완전 관리형 클라우드 데이터베이스 서비스는 2024년 3월 28일자로 CSAP SaaS 표준등급 인증을 취득하였습니다. CSAP SaaS 인증을 위한 보안 설정에서는 완전 관리형 클라우드 데이터베이스 서비스에서 제공하는 서비스 제공 범위를 안내하고 CSAP SaaS 인증에 적합한 보안 수준을 설정하기 위해 사용자가 해야 할 일을 설명합니다. CSAP SaaS 인증을 위한 보안 설정에서 설명하는 내용은 다음과 같습니다.
- 서비스 지원 범위와 관리 및 책임 주체
- 운영 체제 보안 정책
- 데이터베이스의 보안 설정
제공 서비스
CSAP SaaS 인증을 위한 보안 설정을 지원하는 완전 관리형 클라우드 데이터베이스 서비스는 다음과 같습니다.
주의
Classic 환경은 지원하지 않습니다. CSAP SaaS 인증을 위한 보안 설정이 필요한 경우, 먼저 VPC 환경으로의 이전을 검토해 주십시오.
| 서비스 | 리전(존) | 플랫폼 |
|---|---|---|
| Cloud DB for MySQL | 수도권(KR-1), 남부권(KRS-1) | VPC |
| Cloud DB for Redis | 수도권(KR-1), 남부권(KRS-1) | VPC |
| Cloud DB for MSSQL | 수도권(KR-1), 남부권(KRS-1) | VPC |
| Cloud DB for MongoDB | 수도권(KR-1), 남부권(KRS-1) | VPC |
| Cloud DB for PostgreSQL | 수도권(KR-1), 남부권(KRS-1) | VPC |
각 서비스별 자세한 사용 방법은 Cloud DB for MySQL 사용 가이드, Cloud DB for Redis 사용 가이드, Cloud DB for MSSQL 사용 가이드, Cloud DB for MongoDB 사용 가이드, Cloud DB for PostgreSQL 사용 가이드를 참조해 주십시오.
서비스 지원 범위와 관리 및 책임 주체
완전 관리형 클라우드 데이터베이스 서비스는 "응용프로그램 등 소프트웨어의 개발ㆍ배포ㆍ운영ㆍ관리 등을 위한 환경을 제공하는 서비스"인 PaaS(Platform-as-a-Service) 모델에 해당합니다. PaaS 모델에서는 클라우드 인프라에 해당하는 서버, 네트워크, 저장장치 및 소프트웨어를 플랫폼 형태로 제공하며, 사용자는 인프라와 소프트웨어를 직접 구성하지 않아도 애플리케이션을 개발ㆍ배포ㆍ운영ㆍ관리할 수 있습니다. 네이버 클라우드 플랫폼은 클라우드 서비스 제공자로서의 책임을 다하기 위해 최선의 노력을 기울이고 있으며, 사용자가 사용자의 책임 범위를 효과적으로 보호하는 데 도움을 드릴 수 있는 별도의 보안 서비스를 선택할 수 있도록 상품을 구성하고 있습니다.
네이버 클라우드 플랫폼이 제공하는 글로벌 수준의 클라우드 보안 서비스는 사용자의 리소스를 안전하게 보호할 수 있도록 네이버 클라우드 플랫폼이 담당하는 서비스 지원 범위 내에서 책임을 다합니다. 완전 관리형 클라우드 데이터베이스 서비스 이용시 네이버 클라우드 플랫폼과 고객의 관리 범위 및 책임 범위에 대한 구분은 다음 표와 같습니다. 서비스 지원 범위는 각 Layer별 관리 범위 및 책임 범위를 의미합니다.
| Cloud Layer | 완전 관리형 클라우드 데이터베이스 |
|---|---|
| Data | 고객 |
| Applications | 고객 |
| Operation Systems(OS) | 네이버 클라우드 플랫폼 |
| Virtual Machines | 네이버 클라우드 플랫폼 |
| Hypervisors | 네이버 클라우드 플랫폼 |
| Processing and Memory | 네이버 클라우드 플랫폼 |
| Data Storage(hard drivers, removable disks, backups, etc.) | 네이버 클라우드 플랫폼 |
| Network(Interfaces and devices, communications infrastructure) | 네이버 클라우드 플랫폼 |
| Physical Facilities / Data Centers | 네이버 클라우드 플랫폼 |
운영 체제 보안 정책
완전 관리형 클라우드 데이터베이스 서비스는 PaaS 모델로써, 운영 체제(Operation Systems) 영역은 클라우드 서비스 제공자의 책임 영역입니다. 완전 관리형 클라우드 데이터베이스 서비스의 운영 체제는 CSAP IaaS 인증을 획득한 네이버 클라우드 플랫폼의 서버 이미지를 동일하게 사용합니다. 네이버 클라우드 플랫폼에서는 매년 CSAP IaaS 사후 평가를 통해 보안 취약점을 개선한 서버 이미지를 제공해 운영 체제를 최신 버전으로 유지하고 있습니다.
최초 생성하는 경우 네이버 클라우드 플랫폼에서 제공하는 최신 버전의 서버 이미지 기반으로 서비스를 이용할 수 있습니다.
네이버 클라우드 플랫폼에서는 서버 이미지 업데이트 일정에 맞춰 최신 버전으로 운영 체제 업그레이드할 수 있는 기능을 제공할 예정입니다. 이미 사용 중인 클러스터가 있는 경우, 사용자는 서버 이미지 업데이트 일정에 맞춰 사용 중인 클러스터의 운영 체제를 업그레이드할 수 있습니다. 각 서비스별 콘솔에 접속해 운영 체제 업그레이드에 대한 알림을 확인할 수 있습니다.
2024년 8월 23일 기준으로 제공중인 서비스별 운영 체제 정보는 다음과 같습니다.
| 서비스 | 운영 체제 | 상세 정보 |
|---|---|---|
| Cloud DB for MySQL | Linux | Rocky 8.10 |
| Cloud DB for Redis | Linux | Rocky 8.10 |
| Cloud DB for MSSQL | Windows | Windows Server 2016 (64-bit) |
| Cloud DB for MongoDB | Linux | Rocky 8.10 |
| Cloud DB for PostgreSQL | Linux | Rocky 8.10 |
Linux 보안 정책
Cloud DB for MySQL, Cloud DB for Redis, Cloud DB for MongoDB, Cloud DB for PostgreSQL은 Linux 운영 체제 기반의 서비스입니다. 이 서비스들의 운영 체제는 네이버 클라우드 플랫폼에서 제공하는 Rocky 8.10 서버 이미지와 동일합니다.
네이버 클라우드 플랫폼에서는 정기적으로 서버 이미지를 업데이트하고 있으며, 운영 체제별 업데이트 일정과 상세 정보는 포털의 공지사항을 통해 확인할 수 있습니다.
완전 관리형 클라우드 데이터베이스 서비스는 서버 이미지 업데이트 일정에 맞춰 최신 버전으로 운영 체제 업그레이드할 수 있는 기능을 2024년 하반기 중으로 제공할 예정입니다.
Windows 보안 정책
Cloud DB for MSSQL은 Windows 운영 체제 기반의 서비스입니다. 이 서비스들의 운영 체제는 네이버 클라우드 플랫폼에서 제공하는 Windows Server 2016 (64-bit) 서버 이미지와 동일합니다.
네이버 클라우드 플랫폼에서는 정기적으로 서버 이미지를 업데이트하고 있으며, 운영 체제별 업데이트 일정과 상세 정보는 포털의 공지사항을 통해 확인할 수 있습니다.
완전 관리형 클라우드 데이터베이스 서비스는 서버 이미지 업데이트 일정에 맞춰 최신 버전으로 운영 체제 업그레이드할 수 있는 기능을 제공합니다. 이용중인 클러스터의 운영 체제 업그레이드에 대한 자세한 사용 방법은 Cloud DB for MSSQL 사용 가이드의 운영 체제 관리 기능을 참조해 주십시오.
주의
운영 체제 업그레이드 이후에는 콘솔에서 해당 서버들의 업그레이드 이전 시점 Monitoring 정보와 Event 이력을 확인할 수 없습니다. 업그레이드 전 Monitoring 정보 및 Event 이력 백업이 필요한 경우 Cloud Insight 사용 가이드의 위젯 데이터 다운로드 기능과 Cloud Log Analytics 사용 가이드의 Export Log 기능을 참조해 주십시오.
데이터베이스 보안 설정
완전 관리형 클라우드 데이터베이스 서비스는 PaaS 모델로써, 데이터베이스 구성 및 패치 관리는 사용자의 책임 영역입니다. 네이버 클라우드 플랫폼에서는 사용자의 책임 영역을 효과적으로 보호할 수 있는 보안 설정 기능 및 가이드를 제공하고 있습니다. 완전 관리형 클라우드 데이터베이스 서비스를 이용해 CSAP SaaS 인증을 준비한다면 인증 기관에서 요구하는 데이터베이스 보안 설정이 필요합니다.
각 서비스별 데이터베이스 보안 설정 방법은 다음과 같습니다.
Cloud DB for MySQL
| 진단 항목 | 분류 | 항목명 | 항목 설명 | 조치 방법 |
|---|---|---|---|---|
| DY-01 | 계정 관리 | 불필요한 계정 제거 | 데이터베이스의 계정 중 인가되지 않은 계정, 퇴직자 계정, 테스트 계정 등 실질적으로 업무에 사용하지 않은 불필요한 계정들이 있는 경우 비인가자가 쉽게 데이터베이스에 접속하여 데이터를 열람, 삭제, 수정 등을 할 위험이 있음 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(radmin, ha_admin, repl_admin, agent, mysql.infoschema, mysql.session, mysql.sys) - 그 외 사용자가 직접 생성한 계정에 대해서는 DB Service 상세 보기 > DB User 관리 에서 사용자가 제어 가능 |
| DY-02 | 계정 관리 | 취약한 패스워드 사용 제한 | 패스워드가 계정명과 동일하거나 Default 패스워드를 사용하는 경우 비 인가자가 쉽게 데이터베이스에 접근할 위험이 있고, 접근 시 데이터베이스 삭제, 변경 등의 심각한 침해 사고를 일으킬 가능성이 있음 | - 최초 생성시 영문, 숫자, 특수문자를 각 1자 이상씩 포함하여 9~20자 사이로 패스워드 입력 - DB Service 상세 보기 > Password Plugin 설정 활성화 |
| DY-03 | 보안 설정 | 타 사용자에 권한 부여 옵션 사용 제한 | With grant option과 함께 권한을 받은 사용자는 해당 권한을 다른 사용자에게 grant 가능. 그러므로, 다른 object의 사용권한 부여는 DBA만 할 수 있도록 제한해야 함 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(radmin, ha_admin, repl_admin, agent, mysql.infoschema, mysql.session, mysql.sys) - 그 외에는 DB Service 상세 보기 > DB User 관리, DB Service 상세 보기 > Database 관리에서 사용자가 제어 가능 |
| DY-04 | 보안 설정 | DB 사용자 계정 정보 테이블 접근 권한 | 일반 사용자의 mysql.user 테이블 접근이 허용될 경우, 일반사용자가 DB에 등록되어 있는 사용자 계정 및 패스워드를 알 수 있게 됨 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(radmin, ha_admin, repl_admin, agent, mysql.infoschema, mysql.session, mysql.sys) - 그 외에는 사용자가 제어 가능함 |
| DY-05 | 보안 설정 | root 권한으로 서버 구동 제한 | root 권한은 데이터베이스의 최고 상위 권한으로 소수의 관리자만이 제한적으로 사용되어야 함 | - root 권한으로 데몬이 구동되고 있지 않으므로 양호함 |
| DY-06 | 보안 설정 | 환경설정 파일 접근 권한 | MY-SQL 중요 파일 중에 하나인 환경설정 파일의 변경으로 인한 시스템 장애 발생이 가능하므로, 환경설정 파일에 대한 접근 권한을 제한해야 함 | - 환경설정 파일의 접근 권한이 640 이하로 설정되어 있으므로 양호함 |
| DY-07 | 보안 설정 | 안전한 암호화 알고리즘 사용 | SHA-1의 취약점이 발견됨에 따라 SHA-1은 더 이상 안전한 알고리즘이 아니다. 따라서 SHA-256 이상의 암호화 알고리즘을 사용해야 함 | - MySQL 8.0 버전부터는 SHA-256으로 제공 - DB Server 상세 보기 > DB Config 관리에서 default-authentication-plugin 설정으로 SHA-256 적용 가능 |
| DY-08 | 패치 및 로그 관리 | 로그 활성화 | 로그 기능을 수행할 수 있게 설정함으로써 사용자에 의한 문장에 대한 감사, 권한에 대한 감사, 객체에 대한 감사를 수행할 수 있음. 또한, 침해사고 및 장애 시 로그 자료를 분석하여 정확한 분석 가능 | - DB Service 상세 보기 > Audit Plugin 설정 활성화 - DB Server 상세 보기 > DB Config 관리에서 general log ON 설정 - Monitoring 화면의 DB Dashboard 그래프 차트에서 Slow Query 조회 가능 |
| DY-09 | 패치 및 로그 관리 | 최신 패치 적용 | 버그 또는 알려진 취약점으로 인한 침해사고가 발생할 수 있으므로 주기적으로 최신 패치를 적용하여 취약점을 제거해야 함 | - 네이버 클라우드 플랫폼에서는 정기적으로 최신 버전을 제공함 - DB Engine Upgrade 기능을 통해 사용자가 업그레이드 수행 |
Cloud DB for Redis
| 진단 항목 | 분류 | 항목명 | 항목 설명 | 조치 방법 |
|---|---|---|---|---|
| DR-01 | 보안 설정 | Redis 인증 패스워드 설정 | Redis 패스워드 설정이 되어 있지 않은 경우, 서버에 접근하는 사용자 모두 데이터베이스에 접근이 가능하게 되어 데이터베이스 장악 및 정보 유출의 위험 존재 | - Cloud DB for Redis는 requirepass가 아닌 6.0 버전 이후부터 새롭게 추가된 인증인 ACL을 사용하여 인증함 |
| DR-02 | 보안 설정 | Binding 설정 | 인가된 IP만 접근 가능하도록 설정되어 있지 않은 경우, 비인가된 사용자가 해당 데이터베이스에 접근할 위험이 존재 | - Cloud DB for Redis는 Binding 설정을 사용하지 않으며 사용자가 접근 가능한 IP를 ACG 설정 기능으로 제어할 수 있으므로 대체 가능 |
| DR-03 | 보안 설정 | Slave 읽기 전용 모드 설정 | master와 slave 환경에서 slave에 read only 기능만을 설정하여 master에 있는 자원을 변경할 수 없도록 해야 함 | - replica-read-only yes로 설정 |
| DR-04 | 보안 설정 | rename-command 설정 | 공유되는 환경에서는 위험한 command들의 이름을 변경할 수 없음 비인가된 사용자가 환경을 변경하거나 데이터를 가져오는 위험한 command를 사용할 수 없도록 설정해야 함 | - Cloud DB for Redis는 config 명령어 수행 불가 |
| DR-05 | 디렉터리 및 파일 권한 관리 | 데이터 디렉터리 접근권한 설정 | 일반 사용자가 redis 설치 디렉토리에 임의의 파일을 생성, 삭제 및 변경할 수 있으면, 중요파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있음 | - 750으로 설정되어 있으므로 양호함 |
| DR-06 | 디렉터리 및 파일 권한 관리 | 설정파일 접근권한 설정 | 설정 파일에 others 권한이 존재할 경우, 비인가된 사용자가 설정파일에 접근하여 설정 변경을 통해 서비스 장애를 일으킬 위험이 존재하며 또한 설정 파일을 통해 정보를 획득하여 2차 공격의 정보로 사용할 위험이 존재함 | - 600으로 설정되어 있으므로 양호함 |
| DR-07 | 패치 및 로그 관리 | 로그 활성화 | 로그를 정기적으로 분석하여 침입 유무를 파악하고, 침입 시도 의심 사례를 분석하여 사전에 해당 장비에 대한 접근을 차단하는 등 체계적인 로그 관리 작업이 이루어져야 함 | - slowlog-log-slower-than 10000으로 설정되어 있으므로 양호함 - 로그 레벨은 notice로 설정 |
| DR-08 | 패치 및 로그 관리 | 최신 패치 적용 | 최신 패치가 적용되어 있지 않을 경우, 잘 알려진 취약점에 데이터베이스가 노출될 위험이 존재함 | - 네이버 클라우드 플랫폼에서는 정기적으로 최신 버전을 제공함 - DB Engine Upgrade 기능을 통해 사용자가 마이너 버전 업그레이드 수행 |
Cloud DB for MSSQL
| 진단 항목 | 분류 | 항목명 | 항목 설명 | 조치 방법 |
|---|---|---|---|---|
| DS-01 | 계정 관리 | 불필요한 계정 제거 | 데이터베이스의 계정 중 인가되지 않은 계정, 퇴직자 계정, 테스트 계정 등 실질적으로 업무에 사용하지 않은 불필요한 계정들이 있는 경우 비인가자가 쉽게 데이터베이스에 접속하여 데이터를 열람, 삭제, 수정 등을 할 위험이 있음 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(rdsadmin, agent) - 그 외에는 SSMS를 통해 사용자가 제어 가능함 |
| DS-02 | 계정 관리 | SYSADMIN 권한 제한 | sysadmin(System administrators)의 역할은 sql 서버와 설치된 데이터베이스에 대해서 완전한 관리 권한을 필요로 하는 사용자를 위해 만들어진 역할로써 이 역할의 구성원은 sql서버에서 모든 작업을 수행할 수 있어 비 인가된 사용자가 해당 역할의 구성원으로 등록되어 있을 경우, 데이터베이스에 직접적인 공격이 가능한 위험이 존재함 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(rdsadmin, agent) - 그 외에는 SSMS를 통해 사용자가 제어 가능함 |
| DS-03 | 계정 관리 | SA 계정 패스워드 관리 | sa계정의 경우, MS-SQL 설치 시 디폴트로 존재하는 계정이며 sysadmin 권한을 가지고 있는 계정이다. 해당 계정에 패스워드가 존재하지 않을 경우, 악의적인 사용자가 해당 계정을 통해 데이터베이스의 모든 권한을 행할 위험이 존재함 | - SA 계정은 Disabled |
| DS-04 | 계정 관리 | guest 계정 사용 제한 | guest 계정은 특별한 로그인 계정으로 SQL 모든 사용자가 guest의 권한으로 접근 할 수 있게 하는 계정이다. 비 인가된 사용자의 접근을 허가하므로 데이터베이스에 guest권한을 제거하여야 함 | - 데이터베이스에 불필요한 guest 권한이 존재하지 않음 |
| DS-05 | 보안 설정 | Registry Procedure Permission 제한 | 레지스트리 확장 저장 프로시저를 이용하면 Windows 레지스트리에 액세스할 수 있음 레지스트리에는 SQL에 대한 구성 정보가 들어있으며 원격 또는 로컬시스템에 대한 암호가 포함되어 있을 수 있으므로 악의적인 사용자가 windows 레지스트리에 서버 및 데이터베이스에 손상 및 비 인가된 접근을 할 위험이 존재함 | - 시스템 확장 저장 프로시저 제한 목록에 프로시저들이 제한되어 있으므로 양호함 |
| DS-06 | 보안 설정 | xp_cmdshell 사용 제한 | 서버의 유지 관리를 위해 MS-SQL에서 제공하고 있는 확장 프로시저 중, 자주 해킹에 이용되고 있는 특정 프로시저를 제거해야 함. 특히 xp_cmdshell은 중국에서 제작된 해킹 툴에서 자주 이용되고 있으므로 불필요한 경우 반드시 제거하여야 함 | - xp_cmdshell이 제한되어 있으므로 양호함 |
| DS-07 | 패치 및 로그 관리 | 로그 활성화 | 데이터베이스의 감사기록이 기관에서 정의한 감사기록 정책에 적합하도록 설정되어 있어야 하며, 데이터베이스는 데이터, 로그와 응용프로그램에 대한 백업 정책을 수립하여야 함 | - Audit 설정 관리에서 Audit 활성화 - Monitoring 화면에서 로그 조회 가능 |
| DS-08 | 패치 및 로그 관리 | 최신 패치 적용 | 데이터베이스의 주요한 보안 패치 등을 설치하지 않은 경우, 데이터베이스 자체의 취약점에 노출되어 공격자가 데이터베이스 손상 및 비 인가된 접근을 할 위험이 존재함 | - 네이버 클라우드 플랫폼에서는 정기적으로 최신 버전을 제공함 - MSSQL Engine Upgrade 기능을 통해 사용자가 업그레이드 수행 |
Cloud DB for MongoDB
| 진단 항목 | 분류 | 항목명 | 항목 설명 | 조치 방법 |
|---|---|---|---|---|
| MG-01 | 계정 관리 | 불필요한 데이터베이스 및 테이블 제거 | 사용하지 않는 데이터베이스(collection)가 존재하면 해당 데이터베이스 및 collection의 관리 미흡으로 인한 알려진 취약점에 노출될 수 있음 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 데이터베이스가 존재하며 예외처리 필요(config, local) |
| MG-02 | 계정 관리 | 불필요한 계정 제거 | 사용하지 않는 데이터베이스 계정이 존재하면 해당 계정의 관리 미흡으로 인한 비인가된 사용자가 접근할 위험이 존재함 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(cdb_admin, agent) - 그 외 사용자가 직접 생성한 계정에 대해서는 DB Service 상세 보기 > DB User 관리 에서 사용자가 제어 가능 |
| MG-03 | 계정 관리 | 데몬 실행시 인증 옵션 사용 | MongoDB의 실행 데몬인 mongod를 실행할 때, 인증을 사용하는 옵션을 함께 사용하지 않으면 인증 없이 접근이 가능하게 되므로 비인가된 사용자가 데이터베이스에 접근하여 악의적인 행위를 할 위험이 존재함 | - 데몬 실행시 인증 옵션을 사용하고 있으므로 양호함 |
| MG-04 | 계정 관리 | 관리자 계정 생성 여부 | 관리자 계정이 없으면 인증 없이 데이터베이스에 접근하거나 database 서버를 임의로 종료시키는 위험이 존재함 | - 관리자 계정이 생성되어 있으므로 양호함 |
| MG-05 | 접근 제어 및 서비스 관리 | 주요 실행파일 및 설정파일 권한 관리 | 실행 파일로 이루어진 파일은 전체시스템 손상을 방지하기 위해 별도의 계정이나 관리자가 소유해야하며, others 권한에 읽기, 쓰기, 실행 권한을 제거하여 임의의 실행 및 정보탈취의 위험으로부터 보호하여야 함 | - 주요 실행파일 및 설정파일의 권한이 750 이하이므로 양호함 |
| MG-06 | 접근 제어 및 서비스 관리 | http interface 접근 통제 | http interface에 접근 제한이 설정되어 있지 않으면 누구나 http interface를 통해 MongoDB를 모니터링할 수 있어 해당 정보를 통해 제 2차 공격에 정보수집으로 이용될 위험이 존재함 | - 해당 주소로 접근할 때 인증 창이 활성화되므로 양호함 |
| MG-07 | 접근 제어 및 서비스 관리 | 데이터베이스 접근 제한 설정 | 접근 제한이 설정되어 있지 않으면 비인가된 사용자가 해당 데이터베이스에 접근하여 무차별 대입 공격을 통해 DBA 권한을 획득하여 데이터베이스를 조작할 위험이 존재함 | - 사용자가 접근 가능한 IP를 ACG 설정 기능으로 제어할 수 있으므로 대체 가능 |
| MG-08 | 패치 및 로그 관리 | 데이터베이스에 대한 최신 보안 패치와 벤더 권고사항 적용 여부 | 데이터베이스의 주요한 보안 패치 등을 설치하지 않은 경우, 데이터베이스의 자체의 취약점에 노출되어 공격자가 데이터베이스 손상 및 비인가된 접근을 할 위험이 존재함 | - 네이버 클라우드 플랫폼에서는 정기적으로 최신 버전을 제공함 - MongoDB Engine Upgrade 기능을 통해 사용자가 업그레이드 수행 |
| MG-09 | 패치 및 로그 관리 | 데이터베이스의 접근, 변경, 삭제, 감사 기록 및 백업 | 데이터베이스의 감사기록이 기관에서 정의한 감사 기록 정책에 적합하도록 설정되어 있어야 하며, 데이터베이스는 데이터, 로그와 응용프로그램에 대한 백업 정책을 수립하여야 함 | - Cloud DB for MongoDB의 Enterprise Edition에서 Audit 기능 제공 - Monitoring 화면에서 Audit 그래프 차트 확인 가능 |
Cloud DB for PostgreSQL
| 진단 항목 | 분류 | 항목명 | 항목 설명 | 조치 방법 |
|---|---|---|---|---|
| DP-01 | 보안 설정 | 불필요한 계정 제거 | 데이터베이스의 계정 중 인가되지 않은 계정, 퇴직자 계정, 테스트 계정 등 실질적으로 업무에 사용하지 않은 불필요한 계정들이 있는 경우 비인가자가 쉽게 데이터베이스에 접속하여 데이터를 열람, 삭제, 수정 등을 할 위험이 있음 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(pgautofailover_monitor, pgautofailover_replicator) - 그 외 사용자가 직접 생성한 계정에 대해서는 DB Service 상세 보기 > DB User 관리 에서 사용자가 제어 가능 |
| DP-02 | 보안 설정 | 취약한 패스워드 사용 제한 | 패스워드 복잡성 설정이 되어 있지 않은 패스워드나 null인 패스워드를 사용하는 경우 비인가자가 쉽게 데이터베이스에 접근할 위험이 있으며 이 경우 데이터베이스 삭제, 변경 등의 심각한 침해사고를 일으킬 가능성이 있음 | - 최초 생성시 영문, 숫자, 특수문자를 각 1자 이상씩 포함하여 9~20자 사이로 패스워드 입력 - DB Service 상세 보기 > Extension 관리에서 passwordcheck 설치 |
| DP-03 | 보안 설정 | 불필요한 권한 제거 | PostgreSQL은 계정에 권한을 설정할 수 있으며 그 중 Superuser가 설정되어 있는 경우 모든 권한을 무시하고 작업을 수행할 수 있으며 Create Role이 설정되어 있는 경우 계정을 생성하고 권한을 부여할 수 있게 함. 만약 불필요한 계정에 Superuser, Create Role이 설정되어 있는 경우 비인가자가 데이터베이스에 접속하여 계정 생성 및 삭제, 데이터 열람, 삭제, 수정 등의 위험이 있음 | - 서비스 자체적으로 모니터링, 백업, Failover 등의 기능 제공을 위해 생성한 계정이 존재하며 예외처리 필요(pgautofailover_monitor, pgautofailover_replicator) - 그 외 사용자가 직접 생성한 계정에 대해서는 DB Service 상세 보기 > DB User 관리 에서 사용자가 제어 가능 |
| DP-04 | 보안 설정 | public schema 사용 제한 | PostgreSQL에서 DB를 생성할 경우 Default로 public schema가 생성된다. 다른 schema를 생성하지 않고 table을 생성할 경우 기본적으로 public schema 안에 생성이 되며 public schema는 모든 개체에서 접근이 가능하므로 정보유출, 자원고갈 등의 위험성이 있음 | - 2023년 3월 23일 이후 생성한 클러스터의 경우 public schema 사용을 제한하고 있으므로 양호함 - 이전 클러스터의 경우 사용자가 직접 Revoke 및 신규 schema 생성해 이관 가능 |
| DP-05 | 보안 설정 | IP 접근 제한 설정 | 인가된 IP만 접근 가능하도록 설정되어 있지 않은 경우, 비인가된 사용자가 해당 데이터베이스에 접근할 위험이 존재함 | - 사용자가 접근 가능한 IP를 ACG 설정 기능으로 제어할 수 있으므로 대체 가능 |
| DP-06 | 보안 설정 | 안전한 인증 방식 설정 | PostgreSQL에서는 다양한 인증 방식을 지원하지만 trust, password 등 안전하지 않은 인증 방식도 존재함. trust 설정 시 암호나 다른 인증 없이 바로 접속이 가능하며 password 설정 시 password가 평문으로 전송되어 스니핑 등의 공격을 통해 password가 노출될 수 있음 | - SHA-256으로 안전한 인증방식을 설정하고 있으므로 양호함 |
| DP-07 | 보안 설정 | 안전한 암호화 알고리즘 사용 | SHA-1의 취약점이 발견됨에 따라 SHA-1이하의 알고리즘은 더 이상 안전한 알고리즘이 아니다. 따라서 SHA-256이상의 암호화 알고리즘을 사용해야 함 | - SHA-256으로 안전한 암호화 알고리즘을 설정하고 있으므로 양호함 |
| DP-08 | 디렉터리 및 파일 권한 관리 | 데이터 디렉터리 권한 설정 | 일반 사용자가 PostgreSQL 데이터 디렉토리에 임의의 파일을 생성, 삭제 및 변경할 수 있으면 중요파일 삭제, 백도어 삽입 등의 피해가 발생할 수있음 | - 데이터 디렉터리의 권한이 700으로 설정되어 있으므로 양호함 |
| DP-09 | 디렉터리 및 파일 권한 관리 | 환경 설정파일 권한 설정 | PostgreSQL 중요 파일 중의 하나인 환경설정 파일이 비인가자에 의해 변경된다면 시스템 장애 발생이 가능하다. | - 환경 파일 권한이 600으로 설정되어 있으므로 양호함 |
| DP-10 | 패치 및 로그 관리 | 로그 활성화 | 로그를 정기적으로 분석하여 침입 유무를 파악하고, 침입 시도 의심 사례를 분석하여 사전에 해당 장비에 대한 접근을 차단하는 등 체계적인 로그 관리 작업이 이루어져야 함 | - 사용자가 DB Service 상세 보기 > DB Config 관리에서 log_statement, log_connections, log_disconnections 설정 가능 - Monitoring 화면에서 로그 조회 가능 |
| DP-11 | 패치 및 로그 관리 | 최신 패치 적용 | 최신 패치가 적용되어 있지 않을 경우, 잘 알려진 취약점에 데이터베이스가 노출될 위험이 존재함 | - 네이버 클라우드 플랫폼에서는 정기적으로 최신 버전을 제공함 - Version Upgrade 기능을 통해 사용자가 업그레이드 수행 |
데이터베이스 버전 관리 정책
완전 관리형 클라우드 데이터베이스 서비스는 DB 엔진별 최신 버전 출시 일정 및 변경 영향도를 종합적으로 고려해 제공 중인 메이저 버전의 상위 마이너 버전을 제공합니다. 또한 End of Life 스케줄에 맞춰 일정 기간 이후에는 해당 버전을 유지함으로써 발생하는 오류나 장애에 대한 기술 지원을 종료합니다. 따라서 각 서비스별로 제공하는 DB 엔진 업그레이드 기능을 이용해 항상 최신 버전을 유지하는 것을 권장합니다.
2024년 현재 각 서비스별로 제공중인 DB 버전 정보는 아래와 같습니다. DB 엔진별 운영 정책 및 변경 영향도에 따라 실제 제공하는 DB 버전 및 일정은 변경될 수 있습니다.
| 서비스 | 메이저 버전 | 제공 중인 버전 | 최신 버전 출시 | End of Life Date | 판매 종료 | 운영 지원 종료 |
|---|---|---|---|---|---|---|
| Cloud DB for MySQL | MySQL 5.7 | MySQL 5.7.40 MySQL 5.7.37 MySQL 5.7.32 MySQL 5.7.29 | - | 2023년 10월 31일 | 2024년 12월 | - |
| MySQL 8.0 | MySQL 8.0.36 MySQL 8.0.34 MySQL 8.0.32 MySQL 8.0.25 | 2024년 6월, 12월 | 2026년 4월 30일 | - | - | |
| Cloud DB for Redis | Redis 6.2 | Redis 6.2.14 Redis 6.2.11 Redis 6.2.4 | 2024년 5월 | - | - | - |
| Redis 7.0 | Redis 7.0.15 Redis 7.0.13 | 2024년 5월 | 2024년 7월 29일 | - | - | |
| Redis 7.2 | - | 2024년 12월 | - | - | - | |
| Cloud DB for MSSQL | SQL Server 2019 | SQL Server 2019 15.0.4355.3 SQL Server 2019 15.0.4326.1 SQL Server 2019 15.0.4298.1 SQL Server 2019 15.0.4198.2 SQL Server 2019 15.0.2000.5 | 2024년 5월, 12월 | 2030년 1월 8일 | - | - |
| Cloud DB for MongoDB | MongoDB 4.2 | MongoDB 4.2.23 MongoDB 4.2.12 | - | 2023년 4월 30일 | 2024년 5월 | 2024년 12월 |
| MongoDB 4.4 | MongoDB 4.4.25 MongoDB 4.4.18 | - | 2024년 2월 29일 | - | - | |
| MongoDB 5.0 | MongoDB 5.0.25 MongoDB 5.0.19 | 2024년 5월 | 2024년 10월 31일 | - | - | |
| MongoDB 6.0 | MongoDB 6.0.15 | 2024년 9월, 12월 | 2025년 7월 31일 | - | - | |
| Cloud DB for PosgreSQL | PostgreSQL 13 | PostgreSQL 13.15 PostgreSQL 13.13 PostgreSQL 13.10 PostgreSQL 13.7 PostgreSQL 13.3 | 2024년 5월, 12월 | 2025년 11월 13일 | - | - |
| PostgreSQL 14 | - | 2024년 12월 | 2026년 11월 12일 | - | - |
참고
- End of Life Date가 도래했거나 지난 DB 버전은 신규 마이너 버전을 출시하지 않습니다. 판매중인 상위 버전을 이용하는 것을 권장합니다.
- 네이버 클라우드 플랫폼에서는 서비스의 안정적인 운영을 위해 사용자가 충분히 검증한 후 DB 엔진 업그레이드를 진행할 수 있도록 End of Life가 지난 시점으로부터 12개월 이후에 판매 종료 처리하고 있습니다. 판매 종료 처리시 해당 버전으로 신규 클러스터 생성이 불가능합니다. 단, 사용중인 클러스터는 반납하지 않는 한 사용 가능합니다.
- 판매 종료 처리 후 6개월 이후에 운영 지원 종료 처리를 진행합니다. 운영 지원 종료 처리 이후에는 해당 버전을 유지함으로써 발생하는 오류나 장애에 대해서는 기술 지원을 하지 않으며, 서비스 수준 협약(SLA)에 의한 서비스 크레딧을 지급하지 않습니다.
- 판매 종료와 운영 지원 종료시 포털 공지사항 게시 및 사용자 개별 안내를 진행합니다.
자주 하는 질문을 먼저 확인해 보십시오.
사용 가이드를 읽기 전 자주 하는 질문에 대한 답변으로 궁금증을 빠르게 해소할 수 있습니다. 만약 다음의 자주 하는 질문에서 원하는 답을 얻지 못한 경우 사용 가이드에서 원하는 내용을 찾아서 확인해 보십시오.
Q. Cloud DB 서비스의 CSAP SaaS 인증서를 받아볼 수 있나요?
A. 네이버 클라우드 플랫폼에서 제공하는 완전 관리형 클라우드 데이터베이스 서비스는 2024년 3월 28일자로 CSAP SaaS 표준등급 인증을 취득하였습니다. 클라우드 보안인증 인증서는 포털의 보안 센터 > 보안 공지 > 보안 자료 에서 다운로드 가능합니다.
Q. CSAP SaaS 인증을 받으려고 합니다. 완전 관리형 클라우드 데이터베이스 서비스를 이용해 애플리케이션을 개발하면 CSAP SaaS 인증을 취득할 수 있나요?
A. 네이버 클라우드 플랫폼에서 제공하는 완전 관리형 클라우드 데이터베이스 서비스는 2024년 3월 28일자로 CSAP SaaS 표준등급 인증을 취득하였으므로 이용 가능합니다. 단, 클라우드 공동 책임 모델에 따라 Cloud Layer별로 클라우드 서비스 제공자와 사용자의 책임 영역을 확인하고 운영 체제 보안 정책 및 데이터베이스 보안 설정 가이드에 따라 사용 중인 클러스터에 적절한 조치가 필요합니다.
Q. 사용 중인 클러스터의 데이터베이스 영역에 대한 CCE 취약점 스크립트 수행 결과가 필요합니다.
A. 완전 관리형 클라우드 데이터베이스 서비스는 서비스 이용 약관과 서비스 수준 협약(SLA)에서 보장하는 품질의 서비스 제공을 위해 사용자의 운영 체제 접근을 허용하지 않습니다. 운영 체제에 접근해 CCE 취약점 스크립트를 수행하는 대신, 데이터베이스 보안 설정 가이드에 따라 사용 중인 클러스터에 적절한 조치를 진행한 뒤, 조치한 내용을 증적으로 제출하시기 바랍니다.
Q. 사용 중인 클러스터의 OS 영역에 대한 CCE 취약점 스크립트 수행 결과가 필요합니다.
A. 클라우드 공동 책임모델에 따라 완전 관리형 클라우드 데이터베이스 서비스의 운영 체제 보안은 클라우드 서비스 제공자의 책임 영역에 해당하며, 클라우드 서비스 제공자의 책임 영역에 대해서는 CSAP 인증을 통해 적절한 보안 설정이 적용되어 있음을 주기적으로 수검받고 있습니다. 따라서 사용 중인 클러스터의 OS 영역은 제외하고 인증 평가를 진행해 주십시오.
관련해서는 포털의 클라우드 공동 책임 모델 및 보안 아키텍처 및 보안 가이드를 참조해 주십시오.
Q. 사용 중인 클러스터의 CVE 취약점 스크립트 수행 결과가 필요합니다.
A. 클라우드 공동 책임모델에 따라 완전 관리형 클라우드 데이터베이스 서비스의 운영 체제 보안은 클라우드 서비스 제공자의 책임 영역에 해당하며, 클라우드 서비스 제공자의 책임 영역에 대해서는 CSAP 인증을 통해 적절한 보안 설정이 적용되어 있음을 주기적으로 수검받고 있습니다. 따라서 사용 중인 클러스터의 OS 영역은 제외하고 인증 평가를 진행해 주십시오.
관련해서는 포털의 클라우드 공동 책임 모델 및 보안 아키텍처 및 보안 가이드를 참조해 주십시오.
Q. 사용 중인 클러스터의 OS 영역에 대한 보안 취약점은 어떻게 조치하나요?
A. 네이버 클라우드 플랫폼에서는 매년 CSAP IaaS 사후 평가를 통해 보안 취약점을 개선한 서버 이미지를 제공해 운영 체제를 최신 버전으로 유지하고 있습니다.
네이버 클라우드 플랫폼에서는 서버 이미지 업데이트 일정에 맞춰 최신 버전으로 운영 체제 업그레이드할 수 있는 기능을 제공할 예정입니다. 이미 사용 중인 클러스터가 있는 경우, 사용자는 서버 이미지 업데이트 일정에 맞춰 사용 중인 클러스터의 운영 체제를 업그레이드한 뒤, 해당 내용을 증적으로 제출하시기 바랍니다.
Q. 사용 중인 클러스터의 DB 엔진을 최신 버전으로 교체해야 합니다.
A. 네이버 클라우드 플랫폼에서는 연 2회 DB 엔진별 최신 버전을 제공하고 있습니다. 이용 중인 클러스터의 경우 각 서비스별 DB 엔진 업그레이드 기능을 이용해 최신 버전으로 교체 가능합니다. 사용자는 최신 버전으로 사용 중인 클러스터의 운영 체제를 업그레이드한 뒤, 해당 내용을 증적으로 제출하시기 바랍니다.
Q. 완전 관리형 클라우드 데이터베이스 서비스의 DB 엔진 최신 버전 제공 일정이 필요합니다.
A. 데이터베이스 버전 관리 정책을 참고하시기 바랍니다. 단 DB 엔진별 운영 정책 및 변경 영향도에 따라 실제 제공 일정은 변경될 수 있습니다.
Q. 완전 관리형 클라우드 데이터베이스 서비스에서 패스워드 관리 정책을 설정할 수 있나요?
A. 모든 서비스는 최초 생성시 영문, 숫자, 특수문자를 각 1자 이상씩 포함하여 9~20자 사이로 패스워드를 입력하게 되어 있습니다.
Cloud DB for MySQL 서비스의 경우 DB Service 상세 보기 > Password Plugin 설정 활성화를 통해 패스워드 관리 정책을 설정할 수 있습니다.
Cloud DB for PostgreSQL 서비스의 경우 DB Service 상세 보기 > Extension 관리에서 passwordcheck 설치를 통해 패스워드 관리 정책을 설정할 수 있습니다.
Q. 완전 관리형 클라우드 데이터베이스 서비스에서 제공하는 암호화 알고리즘은 무엇인가요?
A. 모든 서비스는 SHA-256 암호화 알고리즘 적용 가능합니다.
Cloud DB for MySQL 서비스의 경우 MySQL 8.0 버전부터는 SHA-256으로 제공하며, DB Server 상세 보기 > DB Config 관리에서 default-authentication-plugin 설정을 통해 SHA-256으로 변경 가능합니다.
Q. 소산 백업을 하기 위해서는 어떤 설정을 해야 하나요?
A. 모든 서비스는 Object Storage로 보내기 기능을 제공하고 있습니다. 사용자는 버킷에 다운로드한 백업 파일을 원하는 곳에 보관할 수 있습니다. 네이버 클라우드 플랫폼의 수도권 혹은 남부권에 백업 파일을 보관할 경우 Object Stroage 서비스의 리전 간 복제 기능을 통해 소산 백업이 가능합니다. 자세한 사용 방법은 Object Storage 개요를 참조해 주십시오.
Q. 완전 관리형 클라우드 데이터베이스 서비스에서는 감사 로그(Audit Log)를 제공하나요?
A. 모든 서비스는 CSAP SaaS 인증시 요구하는 로그를 제공하고 있으며 각 서비스별로 제공하는 조건은 다음과 같습니다.
| 서비스 | 설정 방법 | 조회 방법 |
|---|---|---|
| Cloud DB for MySQL | - DB Service 상세 보기 > Audit Plugin 설정 활성화 - DB Server 상세 보기 > DB Config 관리에서 general log ON 설정 | - Monitoring 화면에서 로그 조회 가능 |
| Cloud DB for Redis | - 최초 생성 시 자동으로 Slow Query 기록 여부 및 로그 레벨 설정 | - Monitoring 화면에서 로그 조회 가능 |
| Cloud DB for MSSQL | - Audit 설정 관리에서 Audit 활성화 | - Monitoring 화면에서 로그 조회 가능 |
| Cloud DB for MongoDB | - Enterprise Edition으로 최초 생성시 자동으로 Audit 기능 제공 | - Monitoring 화면에서 로그 조회 가능 |
| Cloud DB for PostgreSQL | - DB Service 상세 보기 > DB Config 관리에서 log_statement 설정 가능 | - Monitoring 화면에서 로그 조회 가능 |
Q. 암호화 통신(SSL/TLS) 기능을 제공하나요?
A. CSAP SaaS 인증을 위해서는 최초 생성시 Private Subnet을 선택하는 것을 권장합니다.
사용자의 이용 목적에 따라 Public Subnet을 선택한 경우, 네이버 클라우드 플랫폼의 SSL VPN 서비스나 IPsec VPN 서비스를 이용해 암호화 통신을 설정할 수 있습니다. 서비스에 대한 자세한 정보는 SSL VPN 및 IPsec VPN을 참조해 주십시오.
Q. CentOS 7이 2024년 6월 30일에 지원 종료(EoL) 예정입니다. Linux 운영 체제를 사용 중인 서비스는 어떻게 대응하면 되나요?
A. 네이버 클라우드 플랫폼에서는 매년 CSAP IaaS 사후 평가를 통해 보안 취약점을 개선한 서버 이미지를 제공해 운영 체제를 최신 버전으로 유지하고 있습니다.
2024년 8월 23일 기준으로 Cloud DB for MySQL, Cloud DB for Redis, Cloud DB for MongoDB, Cloud DB for PostgreSQL 서비스들의 운영 체제는 네이버 클라우드 플랫폼에서 제공하는 Rocky 8.10 서버 이미지와 동일합니다. 2024년 8월 23일 이후 신규 DB Server 생성시 네이버 클라우드 플랫폼에서 제공하는 최신 버전의 서버 이미지 기반으로 서비스를 이용할 수 있습니다.
네이버 클라우드 플랫폼에서는 서버 이미지 업데이트 일정에 맞춰 최신 버전으로 운영 체제 업그레이드할 수 있는 기능을 2024년 하반기 중으로 제공할 예정입니다. 2024년 8월 23일 이전에 생성한 CentOS 7 기반의 Cloud DB for MySQL, Cloud DB for Redis, Cloud DB for MongoDB, Cloud DB for PostgreSQL 서비스를 사용중인 경우, 해당 기능을 이용해 사용 중인 클러스터의 운영 체제를 업그레이드해주시기 바랍니다.
이 문서가 도움이 되었습니까?