02. [OAuth 기반 인프라 취약점 진단] 가상화 플랫폼(Proxmox) 점검

XII. 클라우드

점검항목 (중요도: 상)		항목코드	결과
1.계정 관리	사용자 계정 관리	CA-01
	MFA(Multi-Factor Authentication) 설정	CA-03	[취약]
2.권한 관리	인스턴스 서비스 정책 관리	CA-05
	네트워크 서비스 정책 관리	CA-06
3.가상 리소스 관리	VPC 네트워크 서브넷 관리	CA-07
	접근 제어 설정 관리	CA-09	[취약]
4.운영 관리	클라우드 서비스 사용자 계정 로깅 설정	CA-13

 

점검항목	사용자 계정 관리(CA-01)
점검내용	pveum user list 명령을 통해 Proxmox VE 관리 콘솔 계정 현황을 점검하고 불필요한 계정 존재 여부를 확인함
점검목적	불필요한 계정(퇴직자, 장기 미사용 계정 등)을 식별하여 비인가 접근 및 계정 기반 침해사고를 예방하기 위함
보안 위협	불필요한 계정이 존재할 경우 해당 계정을 통한 비인가 접근 가능성이 있으며, 계정 탈취 시 관리자 권한 획득 및 추적 어려움이 발생할 수 있음
판단기준	양호: 불필요한 계정이 존재하지 않거나 최소 계정만 존재하는 경우 취약: 불필요한 계정이 존재하고 활성화된 경우
점검결과	[양호]  확인 결과 1개의 계정만 존재하며, 불필요한 계정이 존재하지 않아 양호로 판단함 #pveum user list
조치방법	별도 조치 필요 없음

점검항목	Multi-Factor Authentication 설정 (CA-03)
점검내용	Proxmox VE 관리 콘솔 사용자 계정에 대해 2차 인증(TOTP, U2F 등) 설정 여부를 확인함
점검목적	계정 ID/Password 탈취 시에도 추가 인증 절차를 통해 비인가 접근을 차단하여 계정 보안을 강화하기 위함
보안위협	MFA가 미설정된 경우 계정 정보(ID/PW) 유출 시 별도 인증 없이 시스템 접근이 가능하여 관리자 권한 탈취 및 가상화 인프라 전체 침해로 이어질 수 있음
판단기준	양호: 관리자 계정에 MFA(TOTP 또는 U2F)가 적용된 경우 취약: MFA가 설정되지 않은 경우
점검결과	[취약]  현재 Proxmox VE 사용자 계정에 MFA(TOTP/U2F)가 설정되어 있지 않아 미적용 상태로 확인됨 [TFA]->[2단계인증]->[추가}
조치방법	1) [TFA]->[2단계인증]->[추가]->[복구키] 2) 복구키 복사 3) 복구키 입력

 

점검항목	인스턴스 서비스 정책 관리 (CA-05)
점검내용	Proxmox 관리 콘솔 내 가상 머신(VM/CT) 생성 및 접근 권한 설정 현황 점검
점검목적	인스턴스 제어 권한을 관리자로 제한하여 비인가자의 자원 조작 및 정보 유출 방지
보안 위협	부적절한 권한 부여 시 비인가자가 인스턴스를 임의 삭제하거나 내부 데이터에 접근할 위험 존재
판단기준	양호: 인스턴스 접근 권한이 관리자 등 허가된 사용자에게만 최소한으로 부여된 경우 취약: 일반 사용자에게 과도한 권한이 부여되었거나 관리되지 않는 계정이 존재하는 경우
점검결과	[양호]  점검 결과 관리자 계정(root@pam) 1개만 활성화되어 있으며, 모든 인스턴스(ID 100~110 등)에 대해 비인가 사용자 및 불필요한 접근 권한이 설정되지 않음을 확인함
조치방법	별도 조치 필요 없음

 

점검항목	네트워크 서비스 정책 관리 (CA-06)
점검내용	가상 네트워크 서비스 리소스 생성 또는 접근 권한 설정 여부 점검
점검목적	가상 네트워크 서비스 리소스 생성 또는 접근 권한을 점검하여 서비스 내부 정보 유출을 방지하기 위함
보안 위협	네트워크 서비스 접근 권한이 적절하지 않으면 비인가자가 서비스 내부에 침입하여 중요 정보를 유출하 는 위험이 존재함
판단기준	양호: 네트워크 서비스 리소스 접근 권한이 적절하게 부여된 경우 취약: 네트워크 서비스 리소스 접근 권한이 적절하게 부여되지 않은 경우
점검결과	[양호]  점검 결과 관리자 계정(root@pam) 1개만 활성화되어 있으며, 점검 결과 별도의 ACL 및 불필요한 사용자 권한 설정은 존재하지 않는 것으로 확인됨  #pveum user list #pveum acl list
조치방법	별도 조치 필요 없음

 

점검항목	VPC 네트워크 서브넷 관리 (CA-07)
점검내용	단일 가상 네트워크 내 Public/Private 서브넷을 혼용하여 사용하는지 여부 점검
점검목적	Public/Private 서브넷을 각 가상 네트워크 리소스를 단위로 분리하여 안전하게 운영하기 위함
보안 위협	Public/Private 서브넷을 단일 가상 네트워크 리소스 내 혼용하여 사용할 경우, Private 서브넷이 외부에 노출되어 내부 정보의 유출 위험이 존재함
판단기준	양호: 공개용 네트워크와 내부 네트워크를 분리한 경우 취약: 공개용 네트워크와 내부 네트워크를 분리하지 않은 경우
점검결과	[양호]  vmbr0~vmbr3 서브넷이 분리되어 있으며 vmbr0만 외부 NIC에 연결되어 있고, 내부망은 Private IP로 구성되어 OPNsense를 통한 라우팅 및 NAT 적용으로 외부 직접 노출이 없는 것으로 확인됨 # /etc/network/interfaces # ip route
조치방법	별도 조치 필요 없음

 

점검항목	접근 제어 설정 관리 (CA-09)
점검내용	불필요한 접근 정책 존재 여부 점검
점검목적	클라우드 서비스에 접근할 수 있는 IP를 등록하여 비인가자의 클라우드 서비스 접근을 차단하고, 권한이 부여된 관리자만 클라우드 서비스에 접근할 수 있도록 하기 위함
보안 위협	불필요한 접근 제어 정책이 존재할 경우, 비인가자의 클라우드 서비스 접근 시도로 인한 내부 정보의 유출 위험이 존재함
판단기준	양호 : 접근 제어 정책을 주기적으로 검토하고 불필요한 규칙이 존재하지 않는 경우 취약 : 접근 제어 정책을 비주기적으로 검토하고 불필요한 규칙이 존재하는 경우
점검결과	[취약]  방화벽 규칙이 설정되어 있지 않아 비인가자의 접근 위험이 있으므로, 관리자 전용 IP만 접근 가능하도록 정책 설정이 필요함
조치방법	1.  접근 허용: 관리자 전용 IP(192.168.10.170)에서 데이터센터 관리 포트(8006)로 접근하는 트래픽에 대해 ACCEPT 규칙을 최우선으로 적용함. 2. 전체 차단: 관리자 허용 IP 외의 모든 불필요한 접근을 차단하기 위해 기본 DROP 정책을 적용함

 

 

점검항목	클라우드 서비스 사용자 계정 로깅 설정  (CA-13)
점검내용	사용자 계정 로깅 설정 여부 점검
점검목적	사용자 계정 로깅 설정을 점검하여 클라우드 서비스의 이상 유무와 비인가자의 침입 및 공격을 식별하기 위함
보안 위협	사용자 계정 로깅 설정이 적용되어 있지 않을 경우, 클라우드 서비스에 장애, 침해사고 발생 시 원인 분석이 어려워져 문제 해결이 지연되거나, 추가적인 피해 발생 위험이 존재
판단기준	양호 : 사용자 계정 로깅 설정이 기관 정책에 따라 설정된 경우 취약 : 사용자 계정 로깅 설정이 기관 정책에 따라 설정되지 않은 경우
점검결과	[양호] Proxmox 시스템 로그(Syslog) 설정을 통해 사용자 계정(root 등)의 로그인 활동 및 시스템 작업 내역이 실시간으로 기록되고 있음을 확인함
조치방법	별도 조치 필요 없음