CA-04 클라우드계정비밀번호정책관리

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

가장 많이 사용되는 취약한 비밀번호 TOP 10 (2024):
1. 123456
2. admin
3. 12345678
4. 123456789
5. 12345
6. password
7. 1234567890
8. 1234567
9. qwerty
10. 1q2w3e4r!

1
2
3
4
5
6
7
8

# AWS 계정 비밀번호 정책 확인
aws iam get-account-password-policy

# Azure AD 비밀번호 정책 확인
az ad policy show --policy-id password-policy

# Google Workspace 비밀번호 정책 확인
gsuite admin에서 확인 필요

1
2
3
4
5
6

# AWS에서 로그인 시도 제한 확인
# CloudTrail 로그를 통해 로그인 실패 패턴 확인
aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin

# Azure에서 로그인 시도 제한 확인
az monitor activity-log list --caller user@domain.com

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# AWS 계정 비밀번호 정책 설정
aws iam update-account-password-policy \
  --minimum-password-length 12 \
  --require-symbols \
  --require-numbers \
  --require-uppercase-characters \
  --require-lowercase-characters \
  --allow-users-to-change-password \
  --max-password-age 90 \
  --password-reuse-prevention 5 \
  --hard-expiry

1
2
3
4
5

# Azure PowerShell을 통한 비밀번호 정책 설정
Set-MsolPasswordPolicy -DomainName contoso.com -ValidityPeriod 90 -NotificationDays 14

# 또는 Azure Portal에서 설정
# Azure Active Directory > Properties > Password policy

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

import boto3
import json

def lambda_handler(event, context):
    # 로그인 실패 이벤트 확인
    if event['detail']['eventName'] == 'ConsoleLogin' and event['detail']['errorMessage']:
        user_name = event['detail']['userIdentity']['userName']
        source_ip = event['detail']['sourceIPAddress']

        # 실패 횟수 확인 (DynamoDB 또는 Redis 활용)
        # 실패 횟수가 5회 이상인 경우 계정 잠금

        # SNS를 통해 관리자에게 알림
        sns = boto3.client('sns')
        sns.publish(
            TopicArn='arn:aws:sns:region:account:security-alerts',
            Message=f'로그인 실패 과다: {user_name} from {source_ip}',
            Subject='Security Alert'
        )

1
2
3
4
5
6

비밀번호 정책 검토 체크리스트:
  - 복잡성 요구사항: 8자리 이상, 문자 조합
  - 변경 주기: 90일 권장
  - 재사용 제한: 최근 5개 비밀번호 사용 불가
  - 만료 알림: 만료 14일 전 사용자에게 알림
  - 임시 비밀번호: 첫 로그인 시 강제 변경