Coders Conquer Security Infrastructure as Code 시리즈: 보안 설정 오류 - 부적절한 권한 부여

오늘날 사이버 보안 위협은 어디에나 존재하며 끊임없이 이어지고 있습니다. 상황이 너무 심각해져서 프로그램 배포 후에 이러한 위협에 대응하는 것은 거의 불가능해졌습니다. 대신, 현명한 조직들은 인프라를 코드로 관리하는 'Infrastructure as Code' 개념을 도입하고 있습니다. 이를 통해 개발자는 애플리케이션을 설계하는 초기 단계부터 보안을 고려할 수 있습니다. 이 시리즈는 여러분이 보안 준비 태세를 갖추도록 돕기 위한 것으로, 개발자로서 조직 내에서 안전한 인프라를 코드로 배포하기 위해 취할 수 있는 단계들을 이해하도록 안내합니다.

보안 설정 오류, 특히 부적절한 권한 부여와 관련된 문제는 개발자가 새로운 사용자를 생성하거나 특정 작업을 수행하기 위해 애플리케이션에 도구로서의 권한을 부여할 때 가장 자주 발생합니다. 예를 들어, 데이터베이스에서 정보를 수집하기 위해 이러한 작업을 수행할 수 있습니다. 하지만 새 사용자의 권한이 너무 높게 설정되거나 해당 작업에 필요한 최소한의 권한으로 기본 설정되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.

본격적으로 시작하기 전에, 지금 바로 여러분의 실력을 테스트해보는 건 어떨까요? 부적절한 권한 취약점을 찾아 수정해보세요.

결과는 어떠셨나요? 조금 더 자세히 알아보겠습니다.

사용자나 애플리케이션에 모든 권한을 부여하거나, 새 사용자가 수행할 수 있는 작업과 제한해야 할 동작을 정의하지 않는 것은 새로운 코드를 빠르게 적용하는 가장 쉬운 방법일 수 있습니다. 모든 것이 완벽하게 진행된다면 애플리케이션은 부여된 권한을 사용하여 할당된 작업을 수행할 것입니다. 하지만 위험은 해커가 이 과정을 발견하고 해당 사용자의 계정을 탈취할 때 발생합니다. 특정 애플리케이션의 기능을 수행하기 위해 생성된 사용자라 할지라도, 계정이 탈취되면 공격자가 다른 애플리케이션, 데이터, 심지어 네트워크 전체를 위험에 빠뜨릴 수 있습니다.

보안 설정 오류는 어떻게 악용될까요?

위험성을 시각화하기 위해 Docker 클라우드 환경에서 일반적인 작업이 어떻게 코딩되는지 살펴보겠습니다. 개발자가 Prometheus MySQL Exporter 서비스를 사용하여 데이터베이스에서 정보를 수집한다고 가정해 봅시다. 이를 허용하는 가장 쉬운 방법은 Exporter에게 데이터베이스 접근 권한을 부여하는 것입니다. 코드는 다음과 같을 수 있습니다.

FROM mysql:latest
   COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
   USER 999
     CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
       GRANT ALL ON *.* TO exporter@%;
   GRANT SELECT ON performance_schema.* TO exporter@%;

이렇게 하면 Exporter가 작업을 수행할 수 있게 됩니다. 하지만 권한이 명확하게 정의되지 않았기 때문에, Exporter는 사실상 거의 모든 작업을 수행할 수 있는 상태가 됩니다. 물론 Exporter 자체가 프로그래밍된 동작 범위를 벗어나 행동하지는 않겠지만, 만약 공격자가 Exporter 서비스를 탈취한다면 어떻게 될까요? 이 경우, 모든 권한이 부여되어 있었기 때문에 공격자는 SQL 서비스를 통해 온갖 종류의 무단 작업을 수행할 수 있게 됩니다.

부적절한 권한 보안 및 제거

여기서 다시 'Infrastructure as Code' 개념을 활용합니다. 애플리케이션을 생성하는 단계부터 보안을 코드로 구현하면, 사이버 보안 측면에서 네트워크의 전반적인 안정성이 훨씬 높아질 것입니다.

위의 Docker 예시에서, 개발자가 Prometheus MySQL Exporter가 데이터베이스를 쿼리하도록 하려면, 수행 가능한 작업을 정의하여 더 안전하게 구현할 수 있습니다. 좋은 예시는 다음과 같습니다.

FROM mysql:latest
COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
USER 999
   CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
   GRANT PROCESS, REPLICATION CLIENT ON *.* TO exporter@%;
   GRANT SELECT ON performance_schema.* TO exporter@%;

이 경우, Prometheus MySQL Exporter 서비스를 위해 설정된 MySQL 사용자는 MySQL 서비스에 대해 제한된 권한만 갖게 됩니다. 구체적으로 PROCESS 및 REPLICATION CLIENT 권한만 허용됩니다. 이는 악의적인 사용자가 탈취된 Prometheus MySQL Exporter 서비스를 악용하는 것을 방지합니다.

코드 수준에서 권한을 제한하면 사용자나 애플리케이션이 작업에 필요한 최소한의 권한만 갖도록 보장할 수 있습니다. 이는 네트워크를 보호하고 'Infrastructure as Code' 개념을 실천하는 데 큰 도움이 됩니다.

더 많은 정보는 Secure Code Warrior 블로그에서 확인하여 이 취약점에 대해 알아보고 조직과 고객을 보안 위협으로부터 보호하세요. 또한 쇼케이스를 체험하여 Secure Code Warrior 교육 플랫폼을 통해 사이버 보안 기술을 최신 상태로 유지할 수 있습니다.