CA-09 접근제어설정관리

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# AWS CLI 예시
# 모든 보안 그룹의 규칙 확인
aws ec2 describe-security-groups

# 0.0.0.0/0으로 열린 인바운드 규칙 확인
aws ec2 describe-security-groups \
  --filters Name=ip-permission.cidr,Values="0.0.0.0/0" \
  --query "SecurityGroups[].{GroupId:GroupId,GroupName:GroupName,IpPermissions:IpPermissions}"

# 특정 포트(예: 22, 3306, 6379)가 열린 규칙 확인
aws ec2 describe-security-groups \
  --filters Name=ip-permission.from-port,Values="22" \
  --query "SecurityGroups[].{GroupId:GroupId,IpPermissions:IpPermissions}"

1
2
3
4
5
6
7
8

# Azure CLI 예시
# NSG 규칙 확인
az network nsg list --query "[].{Name:name,Location:location,ResourceGroup:resourceGroup}"
az network nsg rule list --nsg-name nsg-name --resource-group group-name

# 모든 IP 허용 규칙 확인
az network nsg rule list --nsg-name nsg-name --resource-group group-name \
  --query "[?access=='Allow' && sourceAddressPrefix=='*']"

1
2
3
4
5
6

# GCP CLI 예시
# 방화벽 규칙 확인
gcloud compute firewall-rules list

# 모든 소스 IP 허용 규칙 확인
gcloud compute firewall-rules list --filter="sourceRanges:*"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# AWS - 인스턴스에 연결되지 않은 보안 그룹 확인
aws ec2 describe-network-interfaces \
  --query "NetworkInterfaces[].Groups[].GroupId" \
  | sort | uniq > used_sgs.txt

aws ec2 describe-security-groups \
  --query "SecurityGroups[].GroupId" \
  | sort | uniq > all_sgs.txt

# 사용하지 않는 보안 그룹 찾기
grep -v -f used_sgs.txt all_sgs.txt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# AWS VPC Reachability Analyzer를 통한 규칙 분석
# 분석 생성
aws ec2 create-network-insights-path \
  --source ip-xxx.xxx.xxx.xxx \
  --destination ip-yyy.yyy.yyy.yyy \
  --protocol TCP \
  --destination-port 3306

# 분석 결과 확인
aws ec2 describe-network-insights-analyses \
  --network-insights-path-id path-xxxxxxxx

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# AWS - 보안 그룹 규칙 제거
# 규칙 제거 전 규칙 ID 확인
aws ec2 describe-security-groups --group-ids sg-xxxxxxxx

# 인바운드 규칙 제거
aws ec2 revoke-security-group-ingress \
  --group-id sg-xxxxxxxx \
  --protocol tcp \
  --port 22 \
  --cidr 0.0.0.0/0

# 아웃바운드 규칙 제거
aws ec2 revoke-security-group-egress \
  --group-id sg-xxxxxxxx \
  --protocol tcp \
  --port 80 \
  --cidr 0.0.0.0/0

1
2
3
4
5

# Azure - NSG 규칙 제거
az network nsg rule delete \
  --nsg-name nsg-name \
  --name rule-name \
  --resource-group group-name

1
2

# GCP - 방화벽 규칙 삭제
gcloud compute firewall-rules delete rule-name

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# AWS - 특정 IP 또는 IP 범위로 규칙 수정
# 기존 규칙 제거
aws ec2 revoke-security-group-ingress \
  --group-id sg-xxxxxxxx \
  --protocol tcp \
  --port 22 \
  --cidr 0.0.0.0/0

# 특정 IP로만 접근 허용
aws ec2 authorize-security-group-ingress \
  --group-id sg-xxxxxxxx \
  --protocol tcp \
  --port 22 \
  --cidr 203.0.113.0/24

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# AWS - 특정 보안 그룹에서만 접근 허용
# 애플리케이션 서버의 보안 그룹에서만 데이터베이스 접근 허용
aws ec2 authorize-security-group-ingress \
  --group-id sg-database \
  --protocol tcp \
  --port 3306 \
  --source-group sg-application

# SSH는 관리자 네트워크에서만 허용
aws ec2 authorize-security-group-ingress \
  --group-id sg-database \
  --protocol tcp \
  --port 22 \
  --cidr 10.0.0.0/16

1
2
3
4
5
6

# AWS - 보안 그룹 규칙 감사 보고서 생성
# AWS Config를 활용한 규칙 감사
aws configservice start-config-rule-evaluation --config-rule-name rule-name

# AWS Trusted Advisor를 통한 보안 권장사항 확인
aws support describe-trusted-advisor-checks --language en

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

# 파이썬을 활용한 불필요한 규칙 자동 감지 스크립트
import boto3
from datetime import datetime, timedelta

ec2 = boto3.client('ec2')

def find_unused_security_groups():
    # 90일 이상 사용되지 않은 보안 그룹 찾기
    unused_sgs = []
    response = ec2.describe_network_interfaces()

    used_sg_ids = set()
    for interface in response['NetworkInterfaces']:
        for group in interface['Groups']:
            used_sg_ids.add(group['GroupId'])

    all_sgs = ec2.describe_security_groups()
    for sg in all_sgs['SecurityGroups']:
        if sg['GroupId'] not in used_sg_ids:
            unused_sgs.append(sg)

    return unused_sgs

if __name__ == "__main__":
    unused = find_unused_security_groups()
    print(f"사용하지 않는 보안 그룹: {len(unused)}개")
    for sg in unused:
        print(f"- {sg['GroupId']}: {sg['GroupName']}")