클라우드 설정 진단 - 불필요한 Cross-Account Trust
점검 결과
| 역할 | 신뢰 계정 | 용도 | 평가 |
|---|
| CrossAccountRole1 | 123456789012 (외부) | 알 수 없음 | 위험! |
| LegacyPartnerAccess | 999888777666 (폐지된 파트너) | 레거시 | 위험! |
| ProductionBackupRole | 111222333444 (백업 계정) | 백업 자동화 | 안전 |
Cross-Account Trust 정책
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::123456789012:root"
},
"Action": "sts:AssumeRole",
"Condition": {}
},
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999888777666:root"
},
"Action": "sts:AssumeRole"
}
]
}
[문제점]
1. 999888777666 계정: 폐지된 파트너 계정인데 여전히 접근 가능
2. Condition 없음: MFA 요구사항 없음
3. 과도한 권한: 모든 작업 허용 가능
4. 이유가 명확하지 않은 신뢰 관계
[공격 시나리오]
1. 폐지된 파트너 계정 해킹
2. 신뢰 관계를 이용하여 현재 계정 리소스 접근
3. 민감한 데이터/리소스 무단 접근
4. 백도어 생성 또는 악의적 수정
조치 가이드
- Cross-Account Trust 감시: 분기별 신뢰 관계 검토
- MFA 조건 추가: 신뢰 권역에 MFA 요구
- 필요성 검증: 각 신뢰 관계의 비즈니스 정당성 확인
- 권한 최소화: 필요한 작업만 허용하도록 제한
- 정기 감시: CloudTrail로 크로스 계정 접근 모니터링