큐버네티스, 컨테이너가 필수 요소처럼 굳어져 가면서 각광받기 시작
하지만 환경설정 조금만 실수해도 잘못될 여지 크고...성능 우선주의 발견돼
[보안뉴스 문가용 기자] 컨테이너들이 IT 인프라에 있어서 점점 더 중요한 요소로 자리 잡아 가고 있는 가운데, 큐버네티스(Kubernetes)라는 오픈소스의 인기가 그야말로 치솟고 있다. 특히 데브옵스를 실천하고 있는 조직들에서 큐버네티스는 거의 필수 요소나 다름이 없을 정도다. 그에 따라 큐버네티스의 안전도 점검도 보다 활발히 일어나고 있는 추세다.
NCC 그룹(NCC Group)의 기술 부문 국장인 마크 매닝(Mark Manning)은 최근 워싱턴에서 열린 쉬무콘(ShmooCon) 대회에서 큐버네티스의 침투 테스트에 대해 강연했다. 그는 큐버네티스의 보안 시험이 무척이나 중요한 이유에 대해 다음과 같이 설명했다. “현재 85%의 NCC 고객들이 이미 컨테이너를 사용하고 있거나 올해 안에 사용하기 시작할 예정입니다. 현대의 IT 환경에서 가장 많이 보이는 게 큐버네티스가 되어 가고 있고, 포춘 500대 기업의 망에는 전부 큐버네티스가 발견되고 있다고 해도 과언이 아닙니다.”
숨겨진 위험
매닝은 제일 먼저 큐버네티스의 환경설정에 따라 생겨나는 취약점들을 지적했다. “수많은 위험들이 여기서 시작됩니다. 연구를 하면서 느낀 건데, 큐버네티스는 디폴트 그대로 사용할 경우 절대 안전하다고 말할 수 있는 플랫폼은 아닙니다. 큐버네티스에서 코드만 일부 가져다가 환경에 적용할 경우는 어떨까요? 마찬가지입니다. 많은 보안 취약점들이 생겨납니다. 사실 이는 제법 알려진 사실입니다. 그래서 많은 조직들이 서버에 큐버네티스 구축을 잘 안 하는 것이죠.”
큐버네티스의 디폴트 환경설정 때문에 생겨나는 문제들 중 하나는 “환경설정을 잘못할 가능성이 너무나 높다”는 것이라고 한다. “잘못 설정할 구석이 너무나 많아요. ‘가지가지 한다’고들 말하죠? 정말 가지가지를 할 수 있어요.” 매닝은 큐버네티스를 활용하려면 이 환경설정 옵션들부터 명확하게 익힐 것을 권장했다.
그러면서 매닝은 “모의 해킹을 위해 ‘공격용 팟(attack pod)’을 만들었다”고 설명했다. 팟은 컨테이너를 다량으로 묶어둔 것을 말한다. “공격용 팟은 표준 큐버네티스 툴들을 가지고 만들었어요. 명령행 인터페이스인 kuberctl과 API 요소에 접근하는 데 필요한 인터페이스인 cURL 등이죠. 여기에 표준 공격 툴인 메타스플로잇(Metasploit)도 활용했습니다. 컨테이너는 원래 고립되어야 하는 거죠? 팟 내에 포함된 여러 컨테이너에 접근한다는 게 얼마나 힘든지, 정말 컨테이너들이 고립되는지를 알아내고자 했습니다.”
프로세스를 고립시키는 것이 큐버네티스의 주요한 기능이며, 이것이 정말 사실인지를 확인해보고자 했다는 뜻인데, 결과부터 말하자면 “각 프로세스의 분리도를 의도적으로 약화시킬 수 있다는 걸 확인할 수 있었다”고 한다. “큐버네티스는 보안과 안전만을 위해 만들어진 게 아닙니다. 즉 성능과 속도도 중요한 요소라는 겁니다. 실제로 큐버네티스의 가동 원리 안에는 성능과 속도 때문에 보안과 ‘트레이드 오프’하는 부분이 여럿 존재합니다.”
그러면서 그는 “보안이라는 측면에 있어서는 구글의 크롬 브라우저에서 샌드박스 기능으로서 활용되는 도커(Docker)가 좀 더 나은 모습을 보인다”고 설명하기도 했다. “큐버네티스의 경우 관리자가 보다 쉽고 빠르게 컨테이너를 생성할 수 있게 하기 위해 의도적으로 보안을 약화시킬 때가 있습니다. 기능도 많고, 속도도 빠르며, 이용성도 좋은 그런 친절한 프로그램이 되는 거죠. 하지만 그 사이로 보안이라는 대가를 지불해야 할 때가 많습니다.”
떠오르는 신기술을 구현하는 플랫폼으로서 많은 인기를 누리고 있고, 실제로 많이 도입되고 있지만, 생각보다 보안의 기반이 탄탄하지는 않다는 게 이번 큐버네티스 침투 테스트의 결과라고 매닝은 말했다. “이런 상황에서 가장 많은 이익을 볼 게 누구일까요? 바로 암호화폐 채굴자들입니다. 이들은 보호되지 않은 팟을 찾아 여러 프로세스에 침투한 뒤 채굴을 시작할 겁니다. 제로데이를 찾아야 한다거나, 대단한 위험을 무릅쓸 필요도 없는 게 현재 그들의 입장입니다.”
매닝은 “큐버네티스를 연구하면서 제로데이나 치명적인 취약점을 발견한 게 아니”라고 강조했다. “이번 강연에서 CVE 얘기가 한 번이라도 나온 적이 있었나요? 아니죠. 환경설정과 성능 발휘의 원리 자체만으로도 충분히 위험하기 때문입니다. 이런 부분들에서 잘못될 여지가 크다는 건, 안전하게 사용하는 데에 많은 공을 들여야 하고, 공격의 난이도는 낮다는 뜻이 됩니다. 큐버네티스의 활용, 사용자 입장에서 생각보다 고민하고 확인해야 할 것이 많습니다.”
3줄 요약
1. 컨테이너 기술 떠오르면서 큐버네티스 오픈소스 플랫폼도 같이 떠오름.
2. 침투 테스트를 실시해 보니, 환경설정과 기본 아키텍처에서 허술한 점들 많이 나옴.
3. 큐버네티스의 약점을 악용한다고 했을 때 가장 큰 이익을 거둘 사람은 암호화폐 채굴자들.
[국제부 문가용 기자(globoan@boannews.com)]
하지만 환경설정 조금만 실수해도 잘못될 여지 크고...성능 우선주의 발견돼
[보안뉴스 문가용 기자] 컨테이너들이 IT 인프라에 있어서 점점 더 중요한 요소로 자리 잡아 가고 있는 가운데, 큐버네티스(Kubernetes)라는 오픈소스의 인기가 그야말로 치솟고 있다. 특히 데브옵스를 실천하고 있는 조직들에서 큐버네티스는 거의 필수 요소나 다름이 없을 정도다. 그에 따라 큐버네티스의 안전도 점검도 보다 활발히 일어나고 있는 추세다.
[이미지 = iclickart]
NCC 그룹(NCC Group)의 기술 부문 국장인 마크 매닝(Mark Manning)은 최근 워싱턴에서 열린 쉬무콘(ShmooCon) 대회에서 큐버네티스의 침투 테스트에 대해 강연했다. 그는 큐버네티스의 보안 시험이 무척이나 중요한 이유에 대해 다음과 같이 설명했다. “현재 85%의 NCC 고객들이 이미 컨테이너를 사용하고 있거나 올해 안에 사용하기 시작할 예정입니다. 현대의 IT 환경에서 가장 많이 보이는 게 큐버네티스가 되어 가고 있고, 포춘 500대 기업의 망에는 전부 큐버네티스가 발견되고 있다고 해도 과언이 아닙니다.”
숨겨진 위험
매닝은 제일 먼저 큐버네티스의 환경설정에 따라 생겨나는 취약점들을 지적했다. “수많은 위험들이 여기서 시작됩니다. 연구를 하면서 느낀 건데, 큐버네티스는 디폴트 그대로 사용할 경우 절대 안전하다고 말할 수 있는 플랫폼은 아닙니다. 큐버네티스에서 코드만 일부 가져다가 환경에 적용할 경우는 어떨까요? 마찬가지입니다. 많은 보안 취약점들이 생겨납니다. 사실 이는 제법 알려진 사실입니다. 그래서 많은 조직들이 서버에 큐버네티스 구축을 잘 안 하는 것이죠.”
큐버네티스의 디폴트 환경설정 때문에 생겨나는 문제들 중 하나는 “환경설정을 잘못할 가능성이 너무나 높다”는 것이라고 한다. “잘못 설정할 구석이 너무나 많아요. ‘가지가지 한다’고들 말하죠? 정말 가지가지를 할 수 있어요.” 매닝은 큐버네티스를 활용하려면 이 환경설정 옵션들부터 명확하게 익힐 것을 권장했다.
그러면서 매닝은 “모의 해킹을 위해 ‘공격용 팟(attack pod)’을 만들었다”고 설명했다. 팟은 컨테이너를 다량으로 묶어둔 것을 말한다. “공격용 팟은 표준 큐버네티스 툴들을 가지고 만들었어요. 명령행 인터페이스인 kuberctl과 API 요소에 접근하는 데 필요한 인터페이스인 cURL 등이죠. 여기에 표준 공격 툴인 메타스플로잇(Metasploit)도 활용했습니다. 컨테이너는 원래 고립되어야 하는 거죠? 팟 내에 포함된 여러 컨테이너에 접근한다는 게 얼마나 힘든지, 정말 컨테이너들이 고립되는지를 알아내고자 했습니다.”
프로세스를 고립시키는 것이 큐버네티스의 주요한 기능이며, 이것이 정말 사실인지를 확인해보고자 했다는 뜻인데, 결과부터 말하자면 “각 프로세스의 분리도를 의도적으로 약화시킬 수 있다는 걸 확인할 수 있었다”고 한다. “큐버네티스는 보안과 안전만을 위해 만들어진 게 아닙니다. 즉 성능과 속도도 중요한 요소라는 겁니다. 실제로 큐버네티스의 가동 원리 안에는 성능과 속도 때문에 보안과 ‘트레이드 오프’하는 부분이 여럿 존재합니다.”
그러면서 그는 “보안이라는 측면에 있어서는 구글의 크롬 브라우저에서 샌드박스 기능으로서 활용되는 도커(Docker)가 좀 더 나은 모습을 보인다”고 설명하기도 했다. “큐버네티스의 경우 관리자가 보다 쉽고 빠르게 컨테이너를 생성할 수 있게 하기 위해 의도적으로 보안을 약화시킬 때가 있습니다. 기능도 많고, 속도도 빠르며, 이용성도 좋은 그런 친절한 프로그램이 되는 거죠. 하지만 그 사이로 보안이라는 대가를 지불해야 할 때가 많습니다.”
떠오르는 신기술을 구현하는 플랫폼으로서 많은 인기를 누리고 있고, 실제로 많이 도입되고 있지만, 생각보다 보안의 기반이 탄탄하지는 않다는 게 이번 큐버네티스 침투 테스트의 결과라고 매닝은 말했다. “이런 상황에서 가장 많은 이익을 볼 게 누구일까요? 바로 암호화폐 채굴자들입니다. 이들은 보호되지 않은 팟을 찾아 여러 프로세스에 침투한 뒤 채굴을 시작할 겁니다. 제로데이를 찾아야 한다거나, 대단한 위험을 무릅쓸 필요도 없는 게 현재 그들의 입장입니다.”
매닝은 “큐버네티스를 연구하면서 제로데이나 치명적인 취약점을 발견한 게 아니”라고 강조했다. “이번 강연에서 CVE 얘기가 한 번이라도 나온 적이 있었나요? 아니죠. 환경설정과 성능 발휘의 원리 자체만으로도 충분히 위험하기 때문입니다. 이런 부분들에서 잘못될 여지가 크다는 건, 안전하게 사용하는 데에 많은 공을 들여야 하고, 공격의 난이도는 낮다는 뜻이 됩니다. 큐버네티스의 활용, 사용자 입장에서 생각보다 고민하고 확인해야 할 것이 많습니다.”
3줄 요약
1. 컨테이너 기술 떠오르면서 큐버네티스 오픈소스 플랫폼도 같이 떠오름.
2. 침투 테스트를 실시해 보니, 환경설정과 기본 아키텍처에서 허술한 점들 많이 나옴.
3. 큐버네티스의 약점을 악용한다고 했을 때 가장 큰 이익을 거둘 사람은 암호화폐 채굴자들.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
