[인프라진단] #CA-10 스토리지 리소스 퍼블릭 접근 관리

1. 항목 설명

Object Storage의 버킷과 객체가 불필요하게 인터넷에 공개되어 있는지 점검하는 항목입니다.

버킷·객체 접근 권한이 필요한 사용자와 서비스로 제한되고 공개 예외가 승인·관리되는 경우 양호합니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, CA-10, p.863. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

저장 데이터, 백업, 로그와 배포 파일이 의도치 않게 외부에 노출되는 것을 방지하고 공개 콘텐츠의 예외 관리를 강화하는 것이 목적입니다.

3. 실습 환경

• 클라우드: NAVER Cloud Platform 개인 실습 계정
• Object Storage 이용 상태: 미가입
• 생성 버킷: 0개
• 공개 객체·공개 URL: 없음
• 과금 방지: 유료 서비스 이용 신청을 진행하지 않음

4. 취약 상태 구성

Object Storage 서비스가 활성화되지 않았으므로 공개 버킷이나 객체를 고의로 만들지 않았습니다. 실제 대상이 없는 항목은 가상 증적을 만들지 않고 N/A로 분류했습니다.

5. 최초진단 결과

• 최초진단 판정: 해당 없음(N/A)
• 판정 근거: Object Storage 미가입으로 점검 대상 버킷과 객체가 없음
• 확인 범위: 서비스 이용 신청 화면과 현재 가입 상태

6. 조치 방법

서비스 도입 시 버킷의 공개 권한, 객체 ACL, 사용자·서비스 계정 정책과 공개 URL을 함께 점검합니다. 공개가 필요하지 않은 버킷은 기본 비공개로 유지하고 예외는 승인 기간과 소유자를 기록합니다.

콘솔 경로: Object Storage → Bucket Management → 대상 버킷 → 권한 관리

7. 이행진단 결과

• 이행진단 판정: 양호(대상 없음)
• 판정 근거: 퍼블릭 접근이 가능한 Object Storage 리소스가 없음
• 제한 사항: 실제 버킷 권한을 변경한 결과가 아니라 서비스 미사용 상태에 대한 확인임

8. 실무 주의사항

버킷 자체가 비공개여도 개별 객체 ACL, 임시 공유 URL, CDN 원본 설정 또는 서비스 계정 정책으로 우회 공개될 수 있습니다.

컨설턴트 조언

• 버킷 정책, 객체 ACL, 사용자 정책과 익명 접근을 한 화면만 보지 말고 교차 점검합니다.
• 공개 웹 콘텐츠 버킷은 업무 데이터와 분리하고 업로드 권한을 최소화합니다.
• 공개 예외에는 소유자, 목적, 승인일과 종료일을 태그나 관리 대장에 기록합니다.
• 실제 객체 URL을 비인증 환경에서 요청하여 공개 여부를 검증하되 민감 데이터로 시험하지 않습니다.

9. 마무리

현재 계정은 Object Storage 미가입 상태라 N/A로 판정했습니다. 향후 서비스를 활성화할 때는 기본 비공개와 공개 예외 관리 원칙을 생성 단계부터 적용해야 합니다.