Microsoft 클라우드 보안 벤치마크 소개

참고

Microsoft 클라우드 보안 벤치마크는 2022년 10월 리브랜딩된 ASB(Azure Security Benchmark)의 후속 기준 지표입니다.

새로운 서비스 및 기능은 Azure 및 클라우드 서비스 공급자 플랫폼에서 매일 릴리스되고, 개발자는 이러한 서비스를 기반으로 하는 새로운 클라우드 애플리케이션을 빠르게 게시하고 있으며, 공격자는 잘못 구성된 리소스를 악용하는 새로운 방법을 지속적으로 모색하고 있습니다. 클라우드는 빠르게 이동하고, 개발자는 빠르게 이동하며, 공격자도 빠르게 이동합니다. 클라우드 배포가 항상 안전하게 보호되도록 하려면 어떻게 해야 할까요? 클라우드 시스템에 대한 보안 관행은 온-프레미스 시스템과 어떻게 다르며 클라우드 서비스 공급자 간에 어떻게 다른가요? 여러 클라우드 플랫폼에서 일관성을 위해 워크로드를 모니터링하려면 어떻게 해야 할까요?

Microsoft는 보안 벤치마크를 사용하면 클라우드 배포를 신속하게 보호하는 데 도움이 될 수 있다는 점을 발견했습니다. 클라우드 서비스 공급자의 포괄적인 보안 모범 사례 프레임워크를 사용하면 여러 서비스 공급자에서 클라우드 환경의 특정 보안 구성 설정을 선택할 수 있는 시작점이 제공되고 단일 창으로 이러한 구성을 모니터링할 수 있습니다.

MCSB(Microsoft 클라우드 보안 벤치마크)에는 단일 또는 다중 클라우드 환경에서 클라우드 서비스를 보호하는 데 사용할 수 있는 강력한 보안 권장 사항 모음이 포함되어 있습니다. MCSB 권장 사항에는 다음 두 가지 주요 측면이 포함됩니다.

• 보안 제어: 이러한 권장 사항은 일반적으로 클라우드 워크로드에 적용됩니다. 각 권장 사항은 일반적으로 벤치마크의 계획, 승인 또는 구현에 관여하는 이해관계자의 목록을 식별합니다.
• 서비스 기준: 개별 클라우드 서비스에 컨트롤을 적용하여 특정 서비스의 보안 구성에 대한 권장 사항을 제공합니다. 현재는 Azure에서만 사용할 수 있는 서비스 기준이 있습니다.

Microsoft 클라우드 보안 벤치마크 구현

• 계획 엔터프라이즈 제어 및 서비스별 기준의 설명서를 검토하여 MCSB 구현을 계획하여 제어 프레임워크 및 CIS(Center for Internet Security), NIST(국립 표준 기술 연구소), PCI-DSS(결제 카드 산업 데이터 보안 표준) 프레임워크와 같은 지침에 매핑되는 방법을 계획합니다.
• 클라우드용 Microsoft Defender – 다중 클라우드 환경에 대한 규정 준수 대시보드를 사용하여 MCSB 상태(및 기타 제어 집합)에 대한 규정 준수를 모니터링합니다. .
• 설정 보안 구성을 자동화하고 Azure Blueprints, Azure Policy 또는 다른 클라우드 플랫폼의 동등한 기술과 같은 기능을 사용하여 MCSB(및 조직의 기타 요구 사항) 준수를 적용하는 보호책을 설정합니다.

일반적인 사용 사례

Microsoft 클라우드 보안 벤치마크를 사용하여 다음과 같은 고객 또는 서비스 파트너의 일반적인 문제를 해결할 수 있습니다.

• Azure(및 AWS와 같은 다른 주요 클라우드 플랫폼)를 새로 고치며 클라우드 서비스 및 자체 애플리케이션 워크로드의 안전한 배포를 보장하기 위한 보안 모범 사례를 찾고 있습니다.
• 주요 위험 및 완화의 우선 순위를 지정하기 위해 기존 클라우드 배포의 보안 태세를 개선하고자 합니다.
• 다중 클라우드 환경(예: Azure 및 AWS)을 사용하고 단일 창으로 보안 제어 모니터링 및 평가를 조정하는 데 어려움을 겪고 있습니다.
• 서비스를 클라우드 서비스 카탈로그에 온보딩/승인하기 전에 Azure(및 AWS와 같은 기타 주요 클라우드 플랫폼)의 보안 기능/기능을 평가합니다.
• 정부, 금융 및 의료와 같은 규제가 높은 산업의 규정 준수 요구 사항을 충족해야 합니다. 이러한 고객은 CIS, NIST 또는 PCI와 같은 프레임워크에 정의된 보안 사양을 충족하기 위해 Azure 및 기타 클라우드의 서비스 구성을 확인해야 합니다. MCSB는 이러한 업계 벤치마크에 이미 미리 매핑된 컨트롤을 사용하여 효율적인 접근 방식을 제공합니다.

용어

"제어" 및 "기준"이라는 용어는 종종 Microsoft 클라우드 보안 벤치마크 설명서에서 사용됩니다. MCSB가 이러한 용어를 사용하는 방법을 이해하는 것이 중요합니다.

용어	설명	예제
컨트롤	컨트롤은 처리해야 하고 기술 또는 구현과 관련이 없는 기능이나 작업에 대한 개략적인 설명입니다.	데이터 보호는 보안 컨트롤 제품군 중 하나입니다. 데이터 보호는 데이터를 보호하기 위해 처리해야 하는 특정 작업을 포함합니다.
기초	기준은 개별 Azure 서비스에 대한 컨트롤의 구현입니다. 각 조직은 벤치마크 권장 사항을 지정하며 Azure에서는 해당 구성이 필요합니다. 참고: 현재 Azure에서만 사용할 수 있는 서비스 기준이 있습니다.	Azure SQL 보안 기준에서 제시하는 권장 구성에 따라 Azure SQL 보안 기능을 사용하려는 Contoso사의 경우를 예로 들 수 있습니다.

Microsoft 클라우드 보안 벤치마크에 대한 여러분의 의견을 환영합니다! 아래의 피드백 영역에 의견을 제공해 주시기 바랍니다. Microsoft 클라우드 보안 팀과 더 비공개로 입력을 공유하려면 으로 benchmarkfeedback@microsoft.com이메일을 보내주세요.