chnh.dev

들어가며2019년 미국의 대형 금융지주회사 캐피탈 원이 해킹을 당해 1억명이 넘는 고객의 정보가 유출된 사례가 있습니다. 캐피탈원은 AWS를 사용중이었고, 공격자는 서버측 요청 위조 공격(SSRF) 취약점)을 이용해 AWS EC2의 인스턴스 메타 데이터 서비스(IMDS)에 액세스하여 AWS Access Key에 접근할 수 있었습니다. 애플리케이션 보안을 위한 WAF가 설정되어 있었으나 공격을 차단할 수 있는 적절한 설정이 되어있지 않았고, 자격 증명을 사용해 고객 정보가 저장된 S3 버킷에 액세스 할 수 있었습니다. (참고: Case Study: AWS and Capital One, https://sarangcho.co.kr/142 ) IMDS가 무엇이길래 액세스 정보까지 알아낼 수 있었던걸까요?  인스..

☁️ AWS 2023. 9. 7. 17:09

들어가며S3(Simple Storage Service)는 AWS의 무제한 객체 기반 스토리지 서비스입니다. 데이터 레이크, 웹 사이트, 모바일 애플리케이션, 백업 및 복원, 빅 데이터 분석 등 다양한 용도로 사용이 가능한 AWS의 대표 서비스 중 하나인데요, 널리 사용되는 만큼 S3 데이터 유출 사고 역시 빈번하게 발생합니다.S3는 다양한 방법의 접근 제어 및 관리 기능을 제공하고 있어 세분화된 제어가 가능합니다. 다소 복잡할 수 있기 때문에 상황에 적절한 방법을 택해 사용할 수 있어야합니다.1주차에서는 S3 접근을 통제하는 방법을 알아보고 통제 방법에 따라 다양한 조건에서 실습을 진행했습니다.  실습 준비AWS 자격 증명이 구성되어 있는 로컬PC와 AWS 자격 증명이 구성되지 않은 EC2가 필요합니다...

☁️ AWS 2023. 9. 2. 18:31

시스템의 보안, 무결성 및 기능을 유지하기 위해서 Linux File Permission에 대해 이해하고 적절히 관리할 수 있어야한다. 필요한 사용자만 액세스 할 수 있도록 제한하여 데이터의 유출이나 무단 수정 등의 위험으로 부터 중요한 데이터를 보호할 수 있다. 이 글에서는 Linux에서 파일 권한 및 소유권이 적용되는 방식에 대해 설명하고 명령어를 사용하여 파일 권한 및 소유권을 관리하는 방법에 대해 알아본다. 1.  파일 권한, 소유자, 그룹 여기서 말하는 '권한'이란 파일이나 디렉터리에 대해 사용자나 그룹이 가지는 권리를 말한다. 이 권리에는 읽을 수 있는 권리, 쓸 수 있는 권리, 실행할 수 있는 권리가 있다. 그리고 각 권리를 각 사용자 범주에 할당할 수 있다. 사용자 범주에 할당된 권리들,..

🔘 OS 2023. 5. 2. 17:45