◈ 이 책에서 다루는 내용 ◈ 클라우드 시스템에서 동작하는 마이크로서비스를 설계하는 조직에서 보안 이슈는 우선순위가 낮아 나중에 고려하는 경우가 대부분이다. 오늘날 대부분의 기업은 잠재적인 보안 위협에 노출돼 있지만 사전 대응보다는 사후 대응에 주력하고 있다. 이로 인해 만들어지는 시스템은 구현하기 어렵고 관리 및 확장이 훨씬 더 불편하면서 복잡하다. 저자는 오버헤드를 늘리지 않으면서도 AWS에서 매우 안전한 시스템을 구축하는 방법을 이 책을 통해 설명한다. AWS 경험을 가진 클라우드 솔루션 아키텍트와 소프트웨어 개발자에게 적합한 실용적인 도서로서, 높은 수준의 아키텍처 및 설계에 관한 논의로 시작해 개발 및 운영 경험을 손상시키지 않는 범위에서 클라우드에서 솔루션을 구현하는 방법을 설명한다. AWS 공동 책임 모델을 활용해 얻을 수 있는 장점은 다음과 같다. ◆ 마이크로서비스로 금융, 의료 및 법률 분야의 다양한 규제를 간단하고도 쉽게 준수할 수 있는 모듈형 아키텍처 개발 ◆ 악의적인 행위자로부터 마이크로서비스를 보호하는 데 사용할 수 있는 다양한 AWS 기반 보안 통제 도입 ◆ 모듈화한 아키텍처를 활용해 개별 마이크로서비스에서 보안 메커니즘을 독립적으로 확장 ◆ 개발 팀의 자율성이나 효율성을 손상시키지 않으면서 보안 태세 개선 ◈ 이 책의 대상 독자 ◈ 아마도 여러분은 AWS에 마이크로서비스 시스템을 구현하고 나서 갑자기 시스템을 보호해야 할 필요를 깨달았거나 보안을 중요한 요소로 고려하는 산업계에 재직 중일 수도 있다. 또는 여태껏 개발된 적이 없는 애플리케이션을 개발하는 과정 중에 마이크로서비스를 막 발견한 사람일지도 모른다. 아니면 마이크로서비스를 사용하는 회사에 입사해 보안 측면의 모범 사례를 따르고 있는지를 궁금해하고 있거나 다양한 유형의 클라우드 설계 패턴을 배우고 AWS가 클라우드 환경에서 제공하는 도구에 관한 추가 정보를 찾는 데 관심이 있는 사람일 수도 있다. 당신이 어떤 사람인지는 중요하지 않다. 누구든지 이 책을 통해 새로운 지식을 배울 것이라 확신한다. ◈ 옮긴이의 말 ◈ AWS 클라우드에 마이크로서비스를 구축해 비즈니스 기능을 운영하는 사례는 이미 대세가 됐지만 많은 보안 정책은 이러한 기술을 고려하지 않고 작성한 레거시 성격을 띠고 있어 AWS 기반 마이크로서비스 보안에 관해 참고할 수 있는 자료가 많지 않은 것이 사실이다. AWS, 마이크로서비스 아키텍처, 보안에 대한 기본 지식을 가진 독자가 AWS가 제공하는 도구를 활용해 마이크로서비스 보호 대책을 수립 및 적용할 수 있게 해줌으로써 보안 이슈에 대한 해결책을 제시하는 책이다. 마이크로서비스나 AWS 클라우드 전반을 다룬 책은 시중에 많지만 AWS 클라우드에 구축한 마이크로서비스 보안을 핵심 주제로 집필한 책은 아직 없다. 관련 주제를 고민 중인 보안 담당자에게 도움을 줄 수 있는 책이 됐으면 한다. 이 책의 구성은 다음과 같다. 1장, 클라우드 기반 마이크로서비스 소개 정보 보안 용어에 대한 정의를 시작으로 클라우드와 마이크로서비스 아키텍처에 대한 기본 지식을 소개함으로써 AWS 클라우드 기반 마이크로서비스를 보호하는 데 필요한 배경지식을 전달한다. 2장, 인가와 인증 기초 모놀리식과 마이크로서비스 애플리케이션의 접근 통제 정책을 비교하고, 접근 정책을 중앙 집중화해 관리할 수 있는 AWS IAM 서비스를 사용해 마이크로서비스 아키텍처에서 비인가 요청을 차단하기 위한 인증과 인가 정책을 구현하는 방법을 설명한다. 3장, 암호화의 기초 물리적 인프라를 여러 고객이 공유해서 사용하는 클라우드 리소스의 특성을 고려한 심층 방어 전략의 일환으로, 인증이나 인가 절차 등 다른 통제가 동작하지 않을 때 비인가자에게 데이터를 노출하지 않도록 보호하기 위한 암호화의 개념과 구현 방법도 알아본다. 4장, 저장된 데이터 보안 데이터를 분산해 저장하는 마이크로서비스 아키텍처의 특징을 알아보고 암호화와 접근 통제를 사용해 S3, 람다, 데이터베이스 등 AWS의 저장소 메커니즘을 보호하는 방법을 소개한다. 5장, 네트워크 보안 AWS 네트워킹에 대한 이해를 도울 수 있는 배경지식을 전달하고 VPC 간 통신을 가능하게 하는 방법들과 AWS에 추가할 수 있는 다양한 네트워크 통제에 대해 다룬다. 6장, 대외 공개 서비스 최종 사용자와 상호작용의 필요성 때문에 퍼블릭 영역에서 운영해야 하는 서비스를 API Gateway, 배스천 호스트, AWS CloudFront, WAF, Shield 등으로 안전하게 설계하고 보호하는 방법을 설명한다. 7장, 전송 보안 전송 암호화를 구현하는 데 사용할 TLS 관련 배경지식과 다양한 마이크로서비스 통신 패턴에 TLS를 적용하는 방법을 전달하고 CloudFront의 필드 수준 암호화 기능을 소개한다. 8장, 조직의 복잡성을 고려한 보안 설계 마이크로서비스를 개발 및 운영하는 조직 구조에 맞게끔 보안 조치를 설계하는 방법과 이를 지원하는 AWS 도구들을 살펴본다. 9장, 모니터링과 사고 대응 미국 국립 표준 기술원의 사고 대응 프레임워크를 간략히 소개하고, 해당 프레임워크에 맞춰 대응할 수 있도록 도와주는 AWS의 서비스 및 도구를 살펴볼뿐만 아니라 보안 인프라를 보호하기 위한 모범 사례를 다룬다.

1장. 클라우드 기반 마이크로서비스 소개 __클라우드 정보 보안의 기초 ____위험과 보안 통제 ____조직의 보안 정책 ____보안 사고와 보안의 3요소 ____AWS 공동 책임 모델 __클라우드 아키텍처와 보안 ____모듈화를 통한 보안 ____단순화를 통한 보안 ____AWS의 완전 관리형 서비스를 통한 보안 ____폭발 반경과 격리 ____심층 방어와 보안 ____경계 보호를 통한 보안 ____제로 트러스트 아키텍처를 통한 보안 __소프트웨어 아키텍처에 대한 간략한 소개 ____계층형 아키텍처 ____도메인 주도 설계 __마이크로서비스 __AWS에서 마이크로서비스 구현 ____컨테이너 기반 마이크로서비스 아키텍처 ____쿠버네티스의 매우 간략한 소개 ____서비스형 함수: AWS 람다를 사용한 FaaS __클라우드 마이크로서비스 구현 개요 ____아마존 EKS ____아마존 EKS Fargate 모드 ____AWS 람다를 사용한 서비스형 함수 ____마이크로서비스 구현 요약 __마이크로서비스 통신 패턴 예 ____예제 1: 콘텍스트 간 단순 메시지 전달 ____예제 2: 메시지 큐 ____예제 3: 이벤트 기반 마이크로서비스 __요약 2장. 인가와 인증 기초 __AWS IAM의 기초 ____AWS의 권한 주체 ____IAM 정책 ____최소 권한의 원칙 ____최소 권한의 원칙과 폭발 반경 ____AWS IAM 정책의 구조 ____권한 주체 기반 정책 ____리소스 기반 정책 ____신뢰 영역 ____정책 평가 __AWS IAM 정책의 고급 개념 ____IAM 정책 조건 ____AWS 태그와 속성 기반 접근 통제 ____Not 정책 요소: NotPrincipal 및 NotResource ____IAM 정책 마무리 __역할 기반 접근 통제 ____역할 기반 접근 통제 모델링 ____역할 보호 ____역할 수임 ____AWS CLI를 사용한 역할 수임 ____AWS 관리 콘솔을 사용한 역할 전환 ____서비스 연결 역할 __인증 및 신원 관리 ____인증의 기초 ____AWS의 자격증명 연동 ____SAML 2.0과 OpenID Connect를 사용한 자격증명 연동 __역할 기반 접근 통제와 마이크로서비스 ____실행 역할 ____AWS 람다를 사용한 역할 기반 접근 통제 ____EC2와 인스턴스 메타데이터 서비스로 역할 기반 접근 통제 ____서비스 계정이 필요로 하는 IAM 역할을 사용하는 아마존 EKS로 역할 기반 접근 통제 __요약 3장. 암호화의 기초 __암호화의 간략한 개요 ____AWS에서 암호화의 중요성 ____마이크로서비스 아키텍처에서 암호화의 중요성 ____AWS에서의 암호화 ____키 기반 암호화의 보안 문제 ____비즈니스 문제 __AWS KMS ____CMK를 사용한 기본 암호화 ____봉투 암호화 ____봉투 암호화 부연 설명 __보안과 AWS KMS ____KMS 콘텍스트 및 추가 인증 데이터 ____키 정책 ____Grants와 ViaService ____CMK와 CMK의 구성 요소 및 지원되는 작업 ____리전과 KMS ____비용, 복잡성, 규제 고려 __비대칭 암호화와 KMS ____암호화와 복호화 ____디지털 서명(서명과 검증) __도메인 주도 설계와 AWS KMS ____콘텍스트 경계와 암호화 ____계정과 CMK 공유 ____KMS와 네트워크 고려 사항 ____KMS grant 재논의 __KMS 계정과 토폴로지: 통합 ____옵션 1: 경계 콘텍스트 내에 CMK 포함 ____옵션 2: 전용 계정을 생성해 CMK 보유 __AWS 시크릿 매니저 ____시크릿 매니저의 작동 방식 ____AWS 시크릿 매니저의 비밀 값 보호 __요약 4장. 저장된 데이터 보안 __데이터 분류 기초 __KMS를 사용한 봉투 암호화 요약 __AWS S3 ____AWS S3의 데이터 암호화 ____버킷 정책을 사용한 S3 접근 통제 ____아마존 GuardDuty ____Glacier 저장소 잠금을 사용한 부인 방지 __컴퓨팅 서비스에 저장된 데이터 보안 ____AWS CodeGuru를 사용한 정적 코드 분석 ____AWS ECR ____AWS 람다 ____AWS EBS ____AWS에서 제공하는 도구 요약 __마이크로서비스 데이터베이스 시스템 ____AWS DynamoDB ____아마존 오로라 관계형 데이터 서비스 __미디어와 데이터 삭제 __요약 5장. 네트워크 보안 __AWS 네트워킹 ____통제 ____모놀리식과 마이크로서비스 모델에 대한 이해 ____세분화와 마이크로서비스 ____소프트웨어 정의 네트워크 파티션 __서브넷팅 ____서브넷 내에서의 라우팅 ____게이트웨이와 서브넷 ____퍼블릭 서브넷 ____프라이빗 서브넷 ____서브넷과 가용 영역 ____서브넷에서 인터넷 접근 __VPC ____VPC 내에서의 라우팅 ____네트워크 계층에서 마이크로세분화 __VPC 간 통신 ____VPC 피어링 ____AWS Transit Gateway ____VPC 엔드포인트 ____VPC 간 통신 요약 __클라우드 환경의 방화벽 ____보안 그룹 ____보안 그룹 참조(체인) 및 설계 ____보안 그룹의 속성 ____네트워크 ACL ____보안 그룹과 네트워크 ACL 비교 __컨테이너와 네트워크 보안 ____인스턴스 메타데이터 서비스 접근 차단 ____파드를 프라이빗 서브넷에서 실행 ____파드의 인터넷 접근 차단 ____파드 간에 암호화된 네트워킹 사용 __람다와 네트워크 보안 __요약 6장. 대외 공개 서비스 __API 우선 설계와 API Gateway __AWS API Gateway ____API Gateway 엔드포인트 유형 __API Gateway 보안 ____API Gateway 통합 ____API Gateway 접근 제어 ____API Gateway 인프라 보안 __AWS API Gateway 사용 시 비용 고려 사항 __배스천 호스트 ____해결책 __정적 자산 배포(콘텐츠 전송 네트워크) ____AWS CloudFront ____서명된 URL과 쿠키 ____AWS Lambda@Edge __엣지 네트워크를 알려진 공격으로부터 보호 ____AWS WAF ____AWS Shield와 AWS Shield Advanced ____마이크로서비스와 AWS Shield Advanced ____엣지 보호를 위한 비용 고려 사항 __요약 7장. 전송 보안 __TLS 기초 ____디지털 서명 ____인증서, 인증기관, 신원 검증 ____TLS 암호화 __마이크로서비스 환경의 TLS 종료와 종료 지점별 장단점 ____TLS 오프로딩과 종료 __전송 암호화 적용 시 발생 비용과 복잡성 __마이크로서비스에 TLS 적용 ____메시지 큐(AWS SQS) 사용 시 전송 암호화 적용 ____gRPC와 애플리케이션 로드밸런서 ____mTLS __서비스 메시에 대한 보안 관점의 간략한 소개 ____프록시와 사이드카 ____App Mesh 구성 요소와 용어 ____TLS와 App Mesh ____mTLS 재논의 ____AWS App Mesh 요약 __서버리스 마이크로서비스와 전송 암호화 ____AWS API 게이트웨이와 AWS 람다 ____캐싱, API 게이트웨이, 전송 암호화 __필드 수준 암호화 __요약 8장. 조직의 복잡성을 고려한 보안 설계 __조직 구조와 마이크로서비스 ____콘웨이의 법칙 ____단일 팀 지향 서비스 아키텍처 ____역할 기반 접근 통제 ____권한 상승 ____권한 경계 ____책임을 위임하기 위한 권한 경계 __대규모 조직을 위한 AWS 계정 구조 ____AWS 계정과 팀 ____AWS Organizations ____조직 단위와 서비스 제어 정책 ____목적 기반 계정 __조직 관리를 위한 AWS 도구 ____AWS Organizations 모범 사례 ____AWS Resource Access Manager ____AWS RAM을 사용한 공유 서비스 ____IAM Identity Center를 사용한 AWS SSO ____계정에 멀티팩터 인증 적용 __역할 기반 접근 통제, SSO, AWS Organizations를 사용한 복잡한 도메인 기반 조직 단순화 __요약 9장. 모니터링과 사고 대응 __미국 국립 표준 기술원 사고 대응 프레임워크 ____단계 1: 설계 및 준비 ____단계 2: 탐지 및 분석 ____단계 3: 억제 및 격리 ____단계 4: 포렌식 분석 ____단계 5: 재발 방지 ____단계 6: 사후 활동 __보안 인프라 보호 ____CloudTrail 보안 ____목적 기반 계정 __요약 부록 A. 테라폼 클라우드에 대한 짧은 소개 부록 B. AWS와의 연동을 지원하는 SAML 자격증명 공급자의 예 부록 C. AWS KMS를 사용한 암호화 실습 부록 D. 최소 권한의 원칙 적용 실습