클라우드 컴퓨팅 보안

Cloud computing security
클라우드 호스팅 보안 소프트웨어의 경우 서비스로서의 보안을 참조하십시오.

클라우드 컴퓨팅 보안, 즉 클라우드 보안은 가상화된 IP, 데이터, 애플리케이션, 서비스 및 클라우드 컴퓨팅의 관련 인프라를 보호하기 위해 사용되는 광범위한 정책, 기술, 애플리케이션 및 제어 세트를 의미합니다.컴퓨터 보안, 네트워크 보안, 더 넓게는 정보 보안의 하위 도메인입니다.

클라우드 관련 보안 문제

클라우드 컴퓨팅 및 스토리지는 사용자가 타사 [1]데이터 센터에 데이터를 저장하고 처리할 수 있는 기능을 제공합니다.조직은 다양한 서비스 모델(SaaS, PaaS, IaaS 등 약자)과 구현 모델(프라이빗, 퍼블릭, 하이브리드 및 커뮤니티)[2]에서 클라우드를 사용합니다.

안보 문제 클라우드 제공 업체(단체들은 구름을 통해 software-, platform-, 또는 infrastructure-as-a-service을 제공하는)고 보안 문제 고객(회사나 구름 위에 애플리케이션 또는 데이터를 저장한 단체)이 직면한이 직면한 안보 우려가 있는 클라우드 컴퓨팅과 관련된 일반적으로 두가지 방법으로 분류된다.[3]그러나 이러한 책임은 공유되며 클라우드 프로바이더의 "공유 보안 책임 모델" 또는 "공유 책임 모델"[4][5][6]에 자세히 설명되어 있습니다.프로바이더는 인프라스트럭처가 안전하고 클라이언트의 데이터와 애플리케이션이 보호되고 있는지 확인해야 하며, 사용자는 애플리케이션을 강화하고 강력한 비밀번호와 인증 [5][6]수단을 사용해야 합니다.

퍼블릭 클라우드에 데이터 또는 애플리케이션을 저장하기로 선택한 조직은 정보를 호스팅하는 서버에 물리적으로 액세스할 수 없게 됩니다.따라서 잠재적으로 중요한 데이터가 내부자 공격에 노출될 위험이 있습니다.2010년 Cloud Security Alliance 보고서에 따르면 내부자 공격은 클라우드 [7]컴퓨팅의 7대 위협 중 하나입니다.따라서 클라우드 서비스 프로바이더는 데이터센터의 서버에 물리적으로 접근할 수 있는 종업원에 대해 철저한 백그라운드 체크를 실시할 필요가 있습니다.또한 의심스러운 액티비티가 없는지 데이터 센터를 자주 감시할 것을 권장합니다.

클라우드 서비스 프로바이더는 리소스를 절약하고 비용을 절감하며 효율성을 유지하기 위해 여러 고객의 데이터를 동일한 서버에 저장하는 경우가 많습니다.그 결과 한 사용자의 개인 데이터를 다른 사용자(경합업체도 포함)가 볼 수 있습니다.이러한 민감한 상황을 처리하기 위해 클라우드 서비스 공급자는 적절한 데이터 격리 및 논리적 스토리지 분리를 [2]보장해야 합니다.

클라우드 인프라 구현에 가상화를 광범위하게 사용하는 것은 퍼블릭 클라우드 [8]서비스의 고객이나 테넌트에게 고유한 보안 문제를 야기합니다.가상화는 컴퓨팅, 스토리지, 네트워킹 등 OS와 기반 하드웨어 간의 관계를 변화시킵니다.이것에 의해, 가상화라는 레이어가 추가되어 그 자체가 적절히 설정, 관리, 및 [9]시큐러티가 필요하게 됩니다.구체적인 우려 사항으로는 가상화 소프트웨어(하이퍼바이저)를 손상시킬 가능성이 있습니다.이러한 우려는 대체로 이론적이지만 실제로 존재합니다.[10]예를 들어 가상화 소프트웨어의 관리 소프트웨어가 관리자 워크스테이션에 침입하면 데이터 센터 전체가 다운되거나 공격자의 필요에 따라 재구성될 수 있습니다.

클라우드 보안 제어

클라우드 보안 아키텍처는 올바른 방어적 구현이 구현되어 있는 경우에만 효과적입니다.효율적인 클라우드 보안 아키텍처는 보안 관리와 관련하여 발생할 수 있는 문제를 인식하고 안전한 클라우드 환경을 보장하기 위해 모든 모범 사례, 절차 및 지침을 따라야 합니다.보안 관리는 보안 제어를 통해 이러한 문제를 해결합니다.이러한 제어는 클라우드 환경을 보호하고 시스템의 모든 약점을 보호하고 공격의 영향을 줄이기 위해 사용됩니다.클라우드 보안 아키텍처에는 여러 가지 유형의 제어가 있지만 일반적으로 다음 범주 중 하나로 분류됩니다.

억제 제어
이러한 제어는 클라우드 시스템에 대한 공격을 줄이기 위한 관리 메커니즘으로 외부 제어 규정 준수를 보장하는 데 사용됩니다.펜스나 부동산의 경고 표시와 마찬가지로, 억제 제어는 일반적으로 잠재적인 공격자에게 공격을 [11]계속하면 부정적인 결과가 초래된다는 것을 알려줌으로써 위협 수준을 낮춥니다.(일부에서는 예방 제어의 서브셋으로 간주하고 있습니다).이러한 통제의 예로는 조직이 보안을 향하도록 유도하는 정책, 절차, 표준, 가이드라인, 법률 및 규정을 들 수 있습니다.대부분의 악의적인 행위자는 이러한 억제력을 무시하지만, 이러한 통제력은 조직의 IT 인프라스트럭처를 침해하는 것에 대해 경험이 없거나 호기심이 많은 사람들을 막기 위한 것입니다.
예방 관리
예방적 제어의 주요 목적은 일반적으로 취약성을 제거하지 않더라도 감소시키고 무단 침입자의 [12]시스템 접근 및 침입을 방지함으로써 사고에 대한 시스템을 강화하는 것입니다.이를 실현하려면 소프트웨어 또는 기능 구현(방화벽 보호, 엔드포인트 보호, 멀티팩터 인증 등)을 추가하거나 불필요한 기능을 삭제하여 공격 표면을 최소화할 수 있습니다(유니커널애플리케이션).또한 보안의 가장 취약한 부분이 인적 실수이기 때문에 보안의식 훈련과 연습을 통한 개인 교육이 이러한 통제 대상에 포함된다.예를 들어 클라우드 사용자의 강력한 인증을 통해 권한이 없는 사용자가 클라우드 시스템에 액세스할 가능성이 줄어들고 클라우드 사용자가 확실히 식별될 가능성이 높아집니다.전반적으로 예방적 제어는 손실 이벤트 발생 가능성에 영향을 미치며 악의적인 액션에 대한 시스템의 노출을 방지하거나 제거하는 것을 목적으로 합니다.
탐정 제어
탐정 제어는 발생하는 모든 사건을 감지하고 적절하게 대응하도록 설계되었습니다.공격이 발생하면 탐정 제어가 예방 제어 또는 시정 제어 신호를 보내 문제를 해결합니다.탐정 보안 제어는 이러한 활동이 진행 중일 때와 발생한 후에만 기능하는 것이 아닙니다.침입 탐지 및 방지 조치를 포함한 시스템 및 네트워크 보안 모니터링은 일반적으로 클라우드 시스템 및 지원 통신 인프라에 대한 공격을 탐지하기 위해 사용됩니다.대부분의 조직은 전용 SOC(Security Operations Center)를 구입하거나 구축합니다.SOC에서는 로그와 보안 정보 및 이벤트 관리(SIEM) 소프트웨어를 통해 조직의 IT 인프라스트럭처를 지속적으로 감시합니다.SIEM은 조직 및 보안 팀이 "보안 [13]사고를 신속하게 탐지하기 위해 실시간으로 로그 데이터를 분석할 수 있도록 지원하는 보안 솔루션입니다.SIEMS만이 탐정 단속의 예는 아니다.물리적인 보안 제어, 침입 탐지 시스템, 바이러스 대책/멀웨어 대책 툴도 있습니다.이 툴은 모두 IT 인프라스트럭처 내의 보안 침해 검출이라는 정확한 목적을 중심으로 다양한 기능을 갖추고 있습니다.
수정 제어
시정 제어는 일반적으로 손상을 제한함으로써 사고의 결과를 줄입니다.이러한 제어에는 보안 [14]사고 후 시스템 또는 리소스를 이전 상태로 복원하기 위해 사고 중 또는 사고 후에 발생하는 기술적, 물리적 및 관리적 조치가 포함됩니다.물리적 및 기술적 교정 통제에는 많은 예가 있습니다.예를 들어, 액세스 카드를 재발급하거나 물리적 손상을 수리하는 것은 시정 제어로 간주할 수 있습니다.그러나 프로세스의 종료와 같은 기술적 통제와 사고 대응 계획의 실시와 같은 관리 통제도 시정 통제로 간주될 수 있다.시정 제어는 보안 사고 또는 부정한 활동에 의해 발생한 손상을 복구 및 복구하는 데 중점을 두고 있습니다.이 값은 보안 기능을 변경하는 데 필요합니다.

클라우드 보안 차원

클라우드 보안 엔지니어링은 클라우드 보안 배치 내에 존재하는 보안 계층, 계획, 설계, 프로그래밍 및 모범 사례를 특징으로 합니다.클라우드 보안 엔지니어링에서는 클라우드 내부의 작업에 따라 구성되고 시각적인 모델(디자인 및 UI)이 특성화되어야 합니다.이 클라우드 보안 엔지니어링 프로세스에는 애플리케이션과 정보를 보장하기 위한 경영진, 기술 및 제어에 대한 액세스 등이 포함됩니다.또한 투과성, 일관성, 위험 태세 및 대규모 보안에 대처하고 이를 유지하는 방법도 포함됩니다.클라우드 관리 및 활동에 보안 표준을 부여하는 프로세스에서는 일관된 지침과 필수적인 프레임워크 보안 [15]부분을 충족하는 접근 방식을 가정합니다.

클라우드의 진보에 대한 관심이 실현되기 위해서는 기업은 클라우드의 다양한 부분과 클라우드가 어떻게 영향을 미치고 도움을 줄 수 있는지를 인식해야 합니다.예를 들어 클라우드 컴퓨팅 및 보안에 대한 투자가 이러한 관심사에 포함될 수 있습니다.이는 물론 클라우드 발전을 성공시키기 위한 추진력으로 이어집니다.

클라우드 컴퓨팅의 아이디어는 새로운 것이 아니지만 유연한 확장성, 상대적인 신뢰성 및 서비스의 비용 절약성으로 인해 협회에서는 클라우드 컴퓨팅을 점점 더 많이 시행하고 있습니다.그러나 일부 분야와 분야에서는 빠르게 포기되고 있지만, 보안 관련 함정이 광범위한 [citation needed]포기에서 가장 눈에 띄는 위험 회피책임을 탐색 및 통계에서 알 수 있습니다.

일반적으로 정보보안 통제는 리스크에 따라, 그리고 리스크에 비례하여 선택 및 구현할 것을 권장합니다.일반적으로 위협, 취약성 및 영향을 평가합니다.클라우드 보안에 대한 우려는 다양한 방법으로 분류할 수 있습니다. Gartner는 7개의 이름을[16] 붙였고 Cloud Security Alliance는 12개의 [17]우려 영역을 식별했습니다.클라우드 액세스 보안 브로커(CASB)는 클라우드 사용자와 클라우드 애플리케이션 사이에 배치되어 클라우드 애플리케이션 사용, 데이터 보호 및 거버넌스에 대한 가시성을 제공하여 모든 작업을 모니터링하고 보안 [18]정책을 적용합니다.

보안과 프라이버시

"강화" 환경이 없는 서비스는 "소프트" 타깃으로 간주됩니다.가상 서버는 물리 서버와 마찬가지로 데이터 유출, 악성 프로그램 및 악용된 취약성으로부터 보호해야 합니다."데이터 손실 또는 유출이 24.6%, 클라우드 [19]운영 중단을 일으키는 위협 중 클라우드 관련 멀웨어가 3.4%를 차지합니다."

아이덴티티 관리

모든 기업은 정보 및 컴퓨팅 리소스에 대한 접근을 제어하는 자체 ID 관리 시스템을 보유하게 됩니다.클라우드 프로바이더는 페더레이션 또는 SSO 기술 또는 바이오메트릭 기반 식별 [1]시스템을 사용하여 고객의 ID 관리 시스템을 자체 인프라에 통합하거나 자체 [20]ID 관리 시스템을 제공합니다.예를 들어 CloudID는 [1]개인 정보 보호를 위한 클라우드 기반 및 기업 간 바이오메트릭 식별 기능을 제공합니다.사용자의 기밀 정보를 생체 인식에 연결하여 암호화 방식으로 저장합니다.검색 가능한 암호화 기술을 사용하여 암호화된 도메인에서 바이오메트릭 식별을 수행하여 클라우드 프로바이더 또는 잠재적인 공격자가 기밀 데이터나 개별 [1]쿼리의 내용에 액세스하지 못하도록 합니다.

물리적 보안

클라우드 서비스 프로바이더는 IT 하드웨어(서버, 라우터, 케이블 등)를 부정한 액세스, 간섭, 도난, 화재, 홍수 등으로부터 물리적으로 보호하고, 정전 가능성을 최소화하기 위해 필수 공급 장치(전기 등)가 충분히 견고하도록 합니다.이는 일반적으로 전문적으로 지정, 설계, 구축, 관리, 감시 및 유지보수를 수행하는 데이터 센터에서 클라우드 애플리케이션을 지원함으로써 실현됩니다.

인원 보안

클라우드 서비스와 관련된 IT 및 기타 전문가와 관련된 다양한 정보 보안 문제는 일반적으로 보안 심사, 잠재적 채용자, 보안 의식 및 교육 프로그램, 사전 예방적 조치 등 고용 전, 패러 및 사후 활동을 통해 처리됩니다.

사생활

프로바이더는 모든 중요한 데이터(신용카드 번호 등)를 마스크 또는 암호화하고 허가된 사용자만 데이터 전체에 액세스할 수 있도록 합니다.또한 디지털 ID와 자격 증명은 프로바이더가 클라우드 내 고객 활동에 대해 수집하거나 생성하는 데이터와 마찬가지로 보호되어야 합니다.

침투 테스트

침입 테스트는 시스템, 서비스 또는 컴퓨터 네트워크에서 보안 취약점을 찾기 위해 공격적인 보안 테스트를 수행하는 프로세스입니다.클라우드는 다른 고객 또는 테넌트와의 공유 환경이기 때문에 서비스 제공에 대한 침투 테스트 규칙을 단계별로 따라야 합니다.클라우드 내부 또는 외부에서 검색 및 침투 테스트는 클라우드 프로바이더에 의해 승인되어야 합니다.허용 가능한 사용 정책을 위반하면 서비스가 [21]종료될 수 있습니다.

클라우드 취약성 및 침투 테스트

견고한 환경이 없으면 서비스를 소프트 타깃으로 간주하기 때문에 무료 또는 상용 제품을 사용하여 클라우드를 외부와 내부에서 스캔하는 것이 중요합니다.가상 서버는 물리 서버와 마찬가지로 데이터 유출, 악성 프로그램 및 악용된 취약성에 대해 강화해야 합니다."데이터 손실 또는 유출이 24.6%, 클라우드 운영 중단을 일으키는 위협 중 클라우드 관련 멀웨어가 3.4%를 차지합니다."

클라우드 내부 또는 외부에서 검색 및 침투 테스트는 클라우드 프로바이더의 승인을 받아야 합니다.클라우드는 다른 고객 또는 테넌트와의 공유 환경이기 때문에 서비스 제공에 대한 침투 테스트 규칙을 단계별로 따라야 합니다.허용 가능한 사용 정책을 위반하면 서비스가 종료될 수 있습니다.침투 테스트에 대해 논의할 때 파악해야 할 중요한 용어의 일부는 애플리케이션과 네트워크층 테스트의 차이입니다.테스터로서 요구되는 것을 이해하는 것이 프로세스에서 가장 중요한 단계일 수 있습니다.네트워크 레이어 테스트는 내부/외부 연결 및 로컬네트워크 전체에서 상호 연결된 시스템을 포함하는 테스트를 말합니다.보안에서 가장 취약한 연결 고리는 직원인 경우가 많기 때문에 종종 사회 공학 공격이 수행됩니다.

화이트 박스 테스트

'공격자'가 내부 네트워크, 그 설계 및 구현에 대해 완전히 알고 있는 조건에서의 테스트.

그레이 박스 테스트

'공격자'가 내부 네트워크, 그 설계 및 구현에 대해 부분적으로 알고 있는 조건에서의 테스트.

블랙박스 테스트

'공격자'가 내부 네트워크, 설계 및 구현에 대한 사전 지식이 없는 조건에서의 테스트.

데이터 보안

클라우드 데이터 서비스와 관련된 수많은 보안 위협이 있습니다.여기에는 전통적인 위협과 비전통적인 위협이 포함됩니다.기존의 위협에는 네트워크 도청, 불법 침입 및 서비스 거부 공격뿐만 아니라 사이드 채널 공격, 가상화 취약성, 클라우드 서비스 남용과 같은 특정 클라우드 컴퓨팅 위협도 포함됩니다.이러한 위협을 완화하기 위해 보안 통제는 종종 CIA의 3가지 영역을 감시하는 데 의존합니다.CIA의 삼합회는 기밀성, 무결성 및 접근통제성을 언급하며,[22] 이는 다음에서 더 자세히 이해할 수 있다.

효과적인 보안 대책의 대부분은 3가지 카테고리의 일부 또는 모두를 커버하고 있다는 점에 주의해 주십시오.예를 들어 암호화는 무단 액세스를 방지하여 데이터의 기밀성, 가용성 및 무결성을 보장합니다.한편 백업은 일반적으로 무결성을 커버하고 방화벽은 기밀성과 접근 [23]제어성만을 커버합니다.

기밀성

데이터 기밀성은 데이터 내용을 불법 사용자에게 제공하거나 공개하지 않는 속성입니다.아웃소싱된 데이터는 클라우드에 저장되며 소유자가 직접 제어할 수 없습니다.기밀 데이터에 액세스할 수 있는 것은 허가된 사용자뿐이며 CSP를 포함한 다른 사용자는 데이터에 대한 정보를 얻을 수 없습니다.한편, 데이터 소유자는 데이터 컨텐츠가 CSP나 다른 적에게 유출되지 않고 데이터 검색, 데이터 계산 및 데이터 공유와 같은 클라우드 데이터 서비스를 최대한 활용할 수 있기를 기대합니다.기밀유지란 해당 데이터의 소유자에게 데이터를 엄격하게 비밀에 부치는 방법을 말한다.

기밀성을 다루는 보안 제어의 예로는 인증된 사용자만 데이터에 액세스할 수 있도록 하는 암호화 등이 있습니다.

접근 제어 기능

액세스 제어성은 데이터 소유자가 클라우드에 아웃소싱된 데이터에 대한 액세스를 선택적으로 제한할 수 있음을 의미합니다.법적 사용자는 소유자에 의해 데이터에 액세스할 수 있는 권한을 부여받을 수 있지만 다른 사용자는 허가 없이 데이터에 액세스할 수 없습니다.또한 아웃소싱된 데이터에 대해 세분화된 액세스 제어를 실시하는 것이 바람직하다.즉, 사용자마다 다른 데이터에 대해 다른 액세스 특권을 부여해야 한다.액세스 허가는 신뢰할 수 없는 클라우드 환경에서 소유자만 제어해야 합니다.

액세스 제어는 가용성이라고도 합니다.무단접근은 엄격히 금지되어야 하지만 관리용 또는 소비자용 접근은 허용되어야 하지만 모니터링도 해야 합니다.가용성 및 액세스 제어를 통해 적절한 수준의 권한이 올바른 사람에게 부여됩니다.

무결성

데이터 무결성은 데이터의 정확성과 완전성을 유지하고 보장해야 합니다.데이터 소유자는 항상 클라우드의 데이터를 정확하고 안정적으로 저장할 수 있기를 기대합니다.즉, 데이터를 불법으로 조작하거나 부적절하게 수정하거나 고의로 삭제하거나 악의적으로 조작해서는 안 됩니다.바람직하지 않은 조작으로 데이터가 파손 또는 삭제되었을 경우, 소유자는 파손 또는 손실을 검출할 수 있어야 합니다.또한 아웃소싱된 데이터의 일부가 파손되거나 손실된 경우에도 데이터 사용자가 검색할 수 있다.효과적인 무결성 보안 제어는 악의적인 행위자로부터 보호하는 데 그치지 않고 의도하지 않은 변경으로부터 데이터를 보호합니다.

무결성을 다루는 보안 제어의 예로는 자동 정보 백업이 있습니다.

클라우드 컴퓨팅의 위험과 취약성

클라우드 컴퓨팅은 정보 테크놀로지의 최첨단에 있지만 완전히 투자하기 전에 고려해야 할 위험과 취약성이 있습니다.클라우드용 보안 제어 및 서비스는 존재하지만 다른 보안 시스템과 마찬가지로 성공을 보장하지는 않습니다.게다가 리스크의 일부는 자산의 시큐러티를 넘어, 생산성과 프라이버시에 관한 문제도 생각할 수 있습니다.[24]

프라이버시 문제

클라우드 컴퓨팅은 여전히 새로운 기술이기 때문에 비교적 새로운 기술 구조에서 발전하고 있습니다.따라서 모든 클라우드 서비스는 플랫폼을 출시하기 전에 Privacy Impact Assessment 또는 PIA를 수행해야 합니다.클라우드를 사용하여 고객의 데이터를 저장하려는 소비자뿐만 아니라 개인 정보를 [25]위한 물리적 스토리지가 아닌 경우 취약점도 인지해야 합니다.

관리 인터페이스에 대한 무단 액세스

클라우드의 자율적인 특성으로 인해 소비자에게는 데이터베이스를 모니터링하기 위한 관리 인터페이스가 제공되는 경우가 많습니다.이러한 집합된 장소에 제어 기능을 갖추고 사용자가 편리하게 인터페이스에 액세스할 수 있도록 함으로써 한 명의 작업자가 클라우드의 관리 인터페이스에 액세스하여 데이터베이스에 [26]대한 많은 제어와 파워를 얻을 수 있습니다.

데이터 복구 취약성

필요에 따라 리소스를 할당하는 클라우드의 기능으로 인해 리소스가 메모리에 저장되거나 나중에 다른 사용자에게 재활용되는 경우가 많습니다.이러한 메모리 또는 스토리지 리소스의 경우 현재 사용자가 이전 [26]사용자가 남긴 정보에 액세스할 수 있습니다.

인터넷 취약성

클라우드에 액세스하려면 인터넷 연결이 필요하므로 인터넷 프로토콜이 필요합니다.따라서 man-in-the-middle 공격과 같은 많은 인터넷 프로토콜 취약성에 노출되어 있습니다.게다가 인터넷 접속에 대한 의존도가 높기 때문에 접속에 실패하면 소비자는 클라우드 [26]자원으로부터 완전히 차단됩니다.

암호화 취약성

암호학은 끊임없이 성장하는 분야이자 기술입니다.10년 전에 안전했던 것이 오늘날 기준으로 볼 때 중대한 보안 위험으로 간주될 수 있습니다.테크놀로지가 계속 발전하고 오래된 테크놀로지가 노후화됨에 따라 오래된 암호화 방식에는 치명적인 결함뿐만 아니라 새로운 암호화 방식도 등장할 것입니다.클라우드 프로바이더는 일반적으로 포함된 데이터가 특히 [27]중요하기 때문에 암호화를 최신 상태로 유지해야 합니다.

법적 문제

프라이버시 관련 법률은 국가에 따라 다른 경우가 많습니다.클라우드를 통해 정보를 저장하기 때문에 데이터가 어느 지역에 속하는지 판단하기가 어렵습니다.국경을 초월한 클라우드는 특히 대기업이 여러 나라를 초월한다는 점에서 인기가 있습니다.클라우드의 모호성으로 인한 다른 법적 딜레마는 조직 [25]내에서 공유되는 정보와 공유되는 정보 간에 개인 정보 규제의 차이가 얼마나 큰지를 나타냅니다.

공격

클라우드 컴퓨팅에 대한 공격에는 여러 가지 유형이 있는데, 아직 크게 활용되지 않은 공격 중 하나는 인프라 손상입니다.완전히 알려진 것은 아니지만 가장 많은 대가를 [28]받는 공격으로 나열됩니다.이를 매우 위험하게 하는 것은 공격을 수행하는 사람이 기본적으로 머신에 대한 루트 액세스 권한을 갖는 수준의 특권을 얻을 수 있다는 점입니다.이러한 공격으로부터 방어하는 것은 매우 어렵습니다.왜냐하면 이러한 유형의 공격은 예측할 수 없기 때문에 제로 데이 공격이라고도 불립니다.이러한 유형의 공격은 이전에는 취약성이 알려지지 않았고 이미 공격이 발생할 때까지 체크되지 않았기 때문입니다.

DoS 공격은 사용자가 시스템을 사용할 수 없도록 하는 것을 목적으로 합니다.클라우드 컴퓨팅 소프트웨어는 많은 사람들이 사용하고 있기 때문에 이러한 공격을 해결하는 것이 점점 더 어려워지고 있습니다.클라우드 컴퓨팅이 증가함에 따라 데이터 센터의 가상화와 클라우드 서비스의 활용도가 [29]높아짐에 따라 새로운 공격 기회가 생겨났습니다.

2020년 초에 시작된 글로벌 대유행이 발효되면서, 이 회사는 클라우드에 대한 의존도가 높아졌기 때문에 원격 근무로 대규모 전환이 있었습니다.이러한 대규모 변화는 특히 사이버 범죄자와 악덕 행위자들에 의해 간과되지 않았습니다. 이들 중 상당수는 새로운 원격 작업 환경 때문에 클라우드를 공격할 기회를 얻었습니다.기업은 직원들에게 특히 원격으로 지속적인 경계를 유지하도록 지속적으로 주의를 환기해야 합니다.최신 보안 대책과 정책을 지속적으로 최신 상태로 유지하는 통신 장애는 이러한 사이버 범죄자들이 찾고 있으며 이를 노리고 있습니다.

가구로의 이동은 근로자가 계속 할 수 있는 데 매우 중요했지만, 원격 근무로의 이동이 이루어지면서 몇 가지 보안 문제가 빠르게 발생했다.애플리케이션, 개인 기기 및 인터넷을 사용하는 데이터 개인 정보 보호의 필요성이 대두되었습니다.대유행으로 인해 특히 의료 분야에서 대량의 데이터가 생성되고 있습니다.코로나 바이러스 대유행의 증가로 인해 의료 분야의 빅데이터가 그 어느 때보다 많이 축적되고 있습니다.클라우드는 데이터를 안전하게 구성하고 사용자와 공유할 수 있어야 합니다.데이터의 품질은 정확성, 용장성, 완전성 및 [30]일관성의 4가지를 필요로 합니다.

사용자들은 엄청난 양의 데이터가 전 세계적으로 공유되고 있다는 사실을 생각해야 했습니다.나라마다 지켜야 할 법률과 규정이 있습니다.정책 및 관할권의 차이로 인해 클라우드와 관련된 리스크가 발생합니다.재택근무를 하고 있기 때문에 개인 기기를 사용하는 경우가 많아지고 있습니다.범죄자들은 이러한 증가를 사람들을 착취할 기회로 보고 있으며, 소프트웨어는 사람들의 기기를 감염시키고 클라우드에 액세스하기 위해 개발되었습니다.현재의 대유행은 사람들을 믿을 수 없을 정도로 취약하고 공격에 취약한 상황으로 몰아넣었다.리모트 워크로의 변경은 너무 갑작스러워서 많은 기업이 깊이 파고든 태스크와 그 후의 워크로드에 대처할 준비가 되어 있지 않았습니다.조직 내부의 새로운 긴장을 완화하기 위해 보다 엄격한 보안 대책을 마련해야 합니다.

암호화

클라우드 컴퓨팅에 적용된 일부 고급 암호화 알고리즘은 개인 정보 보호를 강화합니다.crypto-shredding이라고 불리는 실행 방식에서는 데이터를 더 이상 사용하지 않을 때 키를 간단히 삭제할 수 있습니다.

속성 기반 암호화(ABE)

속성 기반 암호화는 사용자의 비밀키와 암호문이 속성(예: 사용자가 거주하는 국가 또는 구독 종류)에 따라 달라지는 공개 키 암호화의 한 종류입니다.이러한 시스템에서 암호문의 복호화는 사용자 키의 속성 세트가 암호문의 속성과 일치하는 경우에만 가능하다.

속성 기반 암호화의 강점 중 하나는 현재 PKI(Public-Key Infrastructure) 및 IBE(Identity-Based Encryption) 구현에 존재하는 문제를 해결하려고 한다는 것입니다.ABE는 속성에 의존함으로써 PKI와 같이 키를 직접 공유할 필요가 없고 IBE와 같이 수신기의 ID를 알 필요가 없습니다.

이러한 혜택은 ABE가 암호 해독 키 재분배 문제로 어려움을 겪기 때문에 대가를 치르게 된다.ABE의 복호화 키는 액세스 구조나 유저의 속성에 관한 정보만을 포함하고 있기 때문에, 유저의 실체를 확인하기 어렵다.따라서 악의적인 사용자는 자신의 속성 정보를 의도적으로 누설하여 권한이 없는 사용자가 모방하고 액세스할 [31]수 있습니다.

암호문 정책 ABE(CP-ABE)

Ciphertext-policy ABE(CP-ABE)는 공개키 암호화의 일종입니다.CP-ABE에서는 암호기가 액세스 전략을 제어합니다.CP-ABE의 주요 연구는 접속 구조의 설계에 초점을 맞추고 있다.암호문 정책 속성 기반 암호화 방식은 Setup, Encrypt, KeyGen 및 [32]Decrypt의 4가지 알고리즘으로 구성됩니다.Setup 알고리즘은 보안 파라미터와 Atribute Universe 설명을 입력으로 사용하여 공개 파라미터와 마스터키를 출력합니다.암호화 알고리즘은 데이터를 입력으로 받아들입니다.그런 다음 암호화하여 접근구조를 만족시키는 Atribute 세트를 가진 사용자만이 메시지를 복호화하는 암호문을 생성합니다.그런 다음 KeyGen 알고리즘은 마스터 키와 사용자의 속성을 사용하여 개인 키를 개발합니다.마지막으로 Decrypt 알고리즘은 공개 파라미터, 암호문, 개인키 및 사용자 속성을 입력으로 사용합니다.이 정보로 알고리즘은 먼저 사용자의 속성이 액세스 구조를 충족하는지 확인한 후 암호문을 복호화하여 데이터를 반환합니다.

키 정책 ABE(KP-ABE)

Key-policy Attribute-Based Encryption(KP-ABE)은 Atribute-Based Encryption의 중요한 유형입니다.KP-ABE 를 사용하면, 송신자는, 어트리뷰트 베이스의 암호화 시스템과 같이, 어트리뷰트 세트를 사용해 메세지를 암호화할 수 있습니다.암호화별로 메시지를 복호화하기 위한 복호화 알고리즘을 포함하는 개인 사용자 키가 생성되며, 이러한 개인 사용자 키는 사용자가 대응하는 특정 메시지에 대한 접근을 사용자에게 부여합니다.KP-ABE 시스템에서 암호문 또는 암호화된 메시지는 작성자에 의해 일련의 속성으로 태그가 지정되며, 사용자의 개인 키는 키가 [33]해독할 수 있는 암호문 유형을 지정하는 데 사용됩니다.개인 키는 사용자가 [34]복호화할 수 있는 암호문을 제어합니다.KP-ABE에서는 Atribute 세트가 암호화 텍스트를 기술하기 위해 사용되며 개인 키는 사용자가 암호문을 복호화하기 위해 갖게 되는 지정된 정책에 관련지어집니다.KP-ABE의 단점은 KP-ABE에서는 기술 속성을 제외하고 암호화 데이터에 대한 액세스 권한을 가진 사용자를 암호화자가 제어하지 않는다는 것입니다.따라서 KP-ABE는 사용자에게 액세스 권한을 부여하고 거부합니다.따라서 Ciphertext-Policy Attribute-Based Encryption [35]등의 기타 ABE 시스템의 작성.

완전 동형 암호화(FHE)

완전 동형 암호화는 암호문에 대한 임의의 연산을 지원하는 암호 시스템이며 암호 해독 없이 암호화된 데이터에 대한 합계 및 곱을 계산할 수 있습니다.FHE(Fully Homomiform Encryption)의 또 다른 흥미로운 기능은 비밀키 [36]없이도 작업을 실행할 수 있다는 것입니다.FHE는 클라우드 컴퓨팅뿐만 아니라 전자 투표와도 연계되어 있습니다.완전 동형 암호화는 클라우드 컴퓨팅과 컴퓨팅 테크놀로지의 개발에 특히 도움이 되고 있습니다.그러나 이러한 시스템이 발전함에 따라 클라우드 보안의 필요성도 높아지고 있습니다.FHE는 암호화 알고리즘을 [37]통해 클라우드 컴퓨팅 스토리지뿐만 아니라 데이터 전송의 보안을 확보하는 것을 목표로 하고 있습니다.클라우드의 방대한 기능을 처리하기 위해 보다 안전하고 효율적인 암호화 방법이 되는 것이 목표입니다.

검색 가능 암호화(SE)

검색 가능 암호화는 암호화된 [38][39]데이터에 대한 안전한 검색 기능을 제공하는 암호화 시스템입니다.SE 스킴은 비밀키(또는 대칭키) 암호화에 근거한 SE와 공개키 암호화에 근거한 SE의 2가지 카테고리로 분류할 수 있습니다.검색 효율을 높이기 위해 대칭 키 SE는 일반적으로 키워드 인덱스를 구축하여 사용자 쿼리에 응답합니다.이는 무단 데이터 검색을 위한 멀티모달 액세스 경로를 제공하고 프레임워크에 공유 클라우드 [40]환경 내의 대체 매개 변수를 적용함으로써 암호화 알고리즘을 우회하는 명백한 단점이 있습니다.

준수

데이터의 저장 및 사용에 관한 수많은 법률과 규제.미국에서는 프라이버시 또는 데이터 보호법, PCI DSS(Payment Card Industry Data Security Standard), HIPAA(Heal Insurance Portability and Accountability Act), Sarbanes-Oxley Act(Sarbanes-Oxley Act), Federal Information Security Management Act of 2002(FISMA; 연방정보보안관리법) 및 온라인 아동보호법 등이 있습니다.싱가포르의 Multi-Tier Cloud Security Standard와 같은 다른 국가에서도 유사한 표준이 존재합니다.

유사한 법률은 다른 법적 관할구역에 적용될 수 있으며 미국에서 시행되는 법률과는 상당히 다를 수 있습니다.클라우드 서비스 사용자는 국가 간의 법적 및 규정적 차이를 인식할 필요가 있는 경우가 많습니다.예를 들어,[41] 클라우드 서비스 공급자가 저장한 데이터는 싱가포르에 있으며 미국에서 미러링될 수 있습니다.

이러한 규제의 대부분은 특정 제어(강력한 액세스 제어나 감사 추적 등)를 요구하고 있어 정기적인 보고를 필요로 합니다.클라우드 고객은 클라우드 프로바이더가 적절한 요건을 충족하도록 해야 합니다.이러한 요건을 준수할 수 있는 것은 클라우드 프로바이더가 책임을 다하기 때문입니다.

비즈니스 연속성 및 데이터 복구
클라우드 프로바이더는 재해 또는 비상 시에도 서비스를 유지할 수 있고 데이터 손실을 [42]복구할 수 있도록 비즈니스 연속성 및 데이터 복구 계획을 수립하고 있습니다.이러한 계획은 고객과 공유하고 검토할 수 있으며, 이상적으로는 고객 자신의 연속성 준비와 일치합니다.예를 들어 주요 인터넷 또는 전기 공급 장애를 시뮬레이션하는 등 공동 연속성 연습이 적절할 수 있다.
로그 및 감사 추적
클라우드 프로바이더는 로그 및 감사 추적을 생성하는 것 외에 고객과 협력하여 이러한 로그 및 감사 추적을 적절히 보호하고 고객이 필요한 기간 동안 유지하며 법의학적 조사(예: eDiscovery)를 위해 액세스할 수 있도록 합니다.
독자적인 컴플라이언스 요건
클라우드 프로바이더가 사용하는 데이터 센터에는 고객이 적용되는 요건과 더불어 컴플라이언스 요건도 적용될 수 있습니다.클라우드 서비스 프로바이더(CSP)를 사용하면 고객 또는 테넌트 데이터가 동일한 시스템, 동일한 데이터 센터 또는 동일한 프로바이더의 [43]클라우드 내에 남아 있지 않을 수 있으므로 데이터 관할권에 대한 추가적인 보안 문제가 발생할 수 있습니다.
유럽연합의 GPR은 고객 데이터에 대한 새로운 컴플라이언스 요건을 도입했습니다.

법적 및 계약상의 문제

위에서 열거한 보안 및 규정 준수 문제 외에도 클라우드 프로바이더와 클라우드 프로바이더는 책임(예: 데이터 손실 또는 손상과 관련된 인시던트의 해결 방법 제시), 지적 재산 및 서비스 종료(데이터와 애플리케이션이 최종적으로 고객에게 반환되는 시점)에 대한 조건을 협상합니다.또한 클라우드에서 [44]소송과 관련된 데이터를 취득할 때 고려해야 할 사항도 있습니다.이러한 문제는 Service Level Agreement(SLA; 서비스레벨 계약)에서 설명하고 있습니다.

공개 기록

법적 문제에는 공공 부문의 기록 보관 요건도 포함될 수 있다. 공공 부문에서는 많은 기관이 특정 방식으로 전자 기록을 보관하고 제공해야 한다.이는 법률에 의해 결정될 수도 있고, 또는 법률에 따라 기관이 기록 보관 기관이 정한 규칙과 관행을 준수하도록 요구할 수도 있다.클라우드 컴퓨팅과 스토리지를 사용하는 공공기관은 이러한 우려를 고려해야 합니다.

「 」를 참조해 주세요.

레퍼런스

  1. ^ a b c d Haghighat, Mohammad; Zonouz, Saman; Abdel-Mottaleb, Mohamed (November 2015). "CloudID: Trustworthy cloud-based and cross-enterprise biometric identification". Expert Systems with Applications. 42 (21): 7905–7916. doi:10.1016/j.eswa.2015.06.025.
  2. ^ a b Srinivasan, Madhan Kumar; Sarukesi, K.; Rodrigues, Paul; Manoj, M. Sai; Revathy, P. (2012). "State-of-the-art cloud computing security taxonomies". Proceedings of the International Conference on Advances in Computing, Communications and Informatics - ICACCI '12. pp. 470–476. doi:10.1145/2345396.2345474. ISBN 978-1-4503-1196-0. S2CID 18507025.
  3. ^ "Swamp Computing a.k.a. Cloud Computing". Web Security Journal. 2009-12-28. Retrieved 2010-01-25.
  4. ^ "Cloud Controls Matrix v4" (xlsx). Cloud Security Alliance. 15 March 2021. Retrieved 21 May 2021.
  5. ^ a b "Shared Security Responsibility Model". Navigating GDPR Compliance on AWS. AWS. December 2020. Retrieved 21 May 2021.
  6. ^ a b Tozzi, C. (24 September 2020). "Avoiding the Pitfalls of the Shared Responsibility Model for Cloud Security". Pal Alto Blog. Palo Alto Networks. Retrieved 21 May 2021.
  7. ^ "Top Threats to Cloud Computing v1.0" (PDF). Cloud Security Alliance. March 2010. Retrieved 2020-09-19.
  8. ^ Winkler, Vic. "Cloud Computing: Virtual Cloud Security Concerns". Technet Magazine, Microsoft. Retrieved 12 February 2012.
  9. ^ Hickey, Kathleen. "Dark Cloud: Study finds security risks in virtualization". Government Security News. Retrieved 12 February 2012.
  10. ^ Winkler, Joachim R. (2011). Securing the Cloud: Cloud Computer Security Techniques and Tactics. Elsevier. p. 59. ISBN 978-1-59749-592-9.
  11. ^ 앤드레스, J. (2014).억제 제어 - Science Direct 토픽의 개요.2021년 10월 14일 https://www.sciencedirect.com/topics/computer-science/deterrent-control에서 취득
  12. ^ 버팀목, T., & Rainey, J. (2015).예방적 관리 - Science Direct 토픽의 개요.2021년 10월 13일 https://www.sciencedirect.com/topics/computer-science/preventative-control에서 취득
  13. ^ 마르투라노, G. (20b, 12월 4일)보안 관제소 형사님2021년 12월 1일 https://lifars.com/2020/12/detective-security-controls/에서 취득
  14. ^ 월코프스키, D.(2019년, 8월 22일).보안 컨트롤이란?2021년 12월 1일 https://www.f5.com/labs/articles/education/what-are-security-controls에서 취득
  15. ^ www.guidepointsecurity.com https://www.guidepointsecurity.com/education-center/cloud-security-architecture/. Retrieved 2021-12-06. {{cite web}}:누락 또는 비어 있음 title=(도움말)
  16. ^ "Gartner: Seven cloud-computing security risks". InfoWorld. 2008-07-02. Retrieved 2010-01-25.
  17. ^ "Top Threats to Cloud Computing Plus: Industry Insights". Cloud Security Alliance. 2017-10-20. Retrieved 2018-10-20.
  18. ^ "What is a CASB (Cloud Access Security Broker)?". CipherCloud. Archived from the original on 2018-08-31. Retrieved 2018-08-30.
  19. ^ Thangasamy, Veeraiyah (2017). "Journal of Applied Technology and Innovation" (PDF). 1: 97. {{cite journal}}:Cite 저널 요구 사항 journal=(도움말)
  20. ^ "Identity Management in the Cloud". Information Week. 2013-10-25. Retrieved 2013-06-05.
  21. ^ Guarda, Teresa; Orozco, Walter; Augusto, Maria Fernanda; Morillo, Giovanna; Navarrete, Silvia Arévalo; Pinto, Filipe Mota (2016). "Penetration Testing on Virtual Environments". Proceedings of the 4th International Conference on Information and Network Security - ICINS '16. pp. 9–12. doi:10.1145/3026724.3026728. ISBN 978-1-4503-4796-9. S2CID 14414621.
  22. ^ Tang, Jun; Cui, Yong; Li, Qi; Ren, Kui; Liu, Jiangchuan; Buyya, Rajkumar (28 July 2016). "Ensuring Security and Privacy Preservation for Cloud Data Services". ACM Computing Surveys. 49 (1): 1–39. doi:10.1145/2906153. S2CID 11126705.
  23. ^ "Confidentiality, Integrity and Availability - The CIA Triad". CertMike. 2018-08-04. Retrieved 2021-11-27.
  24. ^ Carroll, Mariana; van der Merwe, Alta; Kotzé, Paula (August 2011). "Secure cloud computing: Benefits, risks and controls". 2011 Information Security for South Africa: 1–9. CiteSeerX 10.1.1.232.2868. doi:10.1109/ISSA.2011.6027519. ISBN 978-1-4577-1481-8. S2CID 6208118.
  25. ^ a b Svantesson, Dan; Clarke, Roger (July 2010). "Privacy and consumer risks in cloud computing". Computer Law & Security Review. 26 (4): 391–397. doi:10.1016/j.clsr.2010.05.005. hdl:1885/57037. S2CID 62515390.
  26. ^ a b c Grobauer, Bernd; Walloschek, Tobias; Stocker, Elmar (March 2011). "Understanding Cloud Computing Vulnerabilities". IEEE Security Privacy. 9 (2): 50–57. doi:10.1109/MSP.2010.115. S2CID 1156866.
  27. ^ Rukavitsyn, Andrey N.; Borisenko, Konstantin A.; Holod, Ivan I.; Shorov, Andrey V. (2017). "The method of ensuring confidentiality and integrity data in cloud computing". 2017 XX IEEE International Conference on Soft Computing and Measurements (SCM). pp. 272–274. doi:10.1109/SCM.2017.7970558. ISBN 978-1-5386-1810-3. S2CID 40593182.
  28. ^ Yao, Huiping; Shin, Dongwan (2013). "Towards preventing QR code based attacks on android phone using security warnings". Proceedings of the 8th ACM SIGSAC symposium on Information, computer and communications security - ASIA CCS '13. p. 341. doi:10.1145/2484313.2484357. ISBN 9781450317672. S2CID 1851039.
  29. ^ Iqbal, Salman; Mat Kiah, Miss Laiha; Dhaghighi, Babak; Hussain, Muzammil; Khan, Suleman; Khan, Muhammad Khurram; Raymond Choo, Kim-Kwang (October 2016). "On cloud security attacks: A taxonomy and intrusion detection and prevention as a service". Journal of Network and Computer Applications. 74: 98–120. doi:10.1016/j.jnca.2016.08.016.
  30. ^ Alashhab, Ziyad R.; Anbar, Mohammed; Singh, Manmeet Mahinderjit; Leau, Yu-Beng; Al-Sai, Zaher Ali; Abu Alhayja’a, Sami (March 2021). "Impact of coronavirus pandemic crisis on technologies and cloud computing applications". Journal of Electronic Science and Technology. 19 (1): 100059. doi:10.1016/j.jnlest.2020.100059.
  31. ^ Xu, Shengmin; Yuan, Jiaming; Xu, Guowen; Li, Yingjiu; Liu, Ximeng; Zhang, Yinghui; Ying, Zuobin (October 2020). "Efficient ciphertext-policy attribute-based encryption with blackbox traceability". Information Sciences. 538: 19–38. doi:10.1016/j.ins.2020.05.115. S2CID 224845384.
  32. ^ Bethencourt, John; Sahai, Amit; Waters, Brent (May 2007). "Ciphertext-Policy Attribute-Based Encryption" (PDF). 2007 IEEE Symposium on Security and Privacy (SP '07). 2007 IEEE Symposium on Security and Privacy (SP '07). pp. 321–334. doi:10.1109/SP.2007.11. ISBN 978-0-7695-2848-9. S2CID 6282684.
  33. ^ Wang, Changji; Luo, Jianfa (2013). "An Efficient Key-Policy Attribute-Based Encryption Scheme with Constant Ciphertext Length". Mathematical Problems in Engineering. 2013: 1–7. doi:10.1155/2013/810969. S2CID 55470802.
  34. ^ Wang, Chang-Ji; Luo, Jian-Fa (November 2012). "A Key-policy Attribute-based Encryption Scheme with Constant Size Ciphertext". 2012 Eighth International Conference on Computational Intelligence and Security: 447–451. doi:10.1109/CIS.2012.106. ISBN 978-1-4673-4725-9. S2CID 1116590.
  35. ^ Bethencourt, John; Sahai, Amit; Waters, Brent (May 2007). "Ciphertext-Policy Attribute-Based Encryption" (PDF). 2007 IEEE Symposium on Security and Privacy (SP '07). 2007 IEEE Symposium on Security and Privacy (SP '07). pp. 321–334. doi:10.1109/SP.2007.11. ISBN 978-0-7695-2848-9. S2CID 6282684.
  36. ^ Armknecht, Frederik; Katzenbeisser, Stefan; Peter, Andreas (2012). "Shift-Type Homomorphic Encryption and Its Application to Fully Homomorphic Encryption". Progress in Cryptology - AFRICACRYPT 2012. Lecture Notes in Computer Science. Vol. 7374. pp. 234–251. doi:10.1007/978-3-642-31410-0_15. ISBN 978-3-642-31409-4.
  37. ^ Zhao, Feng; Li, Chao; Liu, Chun Feng (2014). "A cloud computing security solution based on fully homomorphic encryption". 16th International Conference on Advanced Communication Technology. pp. 485–488. doi:10.1109/icact.2014.6779008. ISBN 978-89-968650-3-2. S2CID 20678842.
  38. ^ Wang, Qian; He, Meiqi; Du, Minxin; Chow, Sherman S. M.; Lai, Russell W. F.; Zou, Qin (1 May 2018). "Searchable Encryption over Feature-Rich Data". IEEE Transactions on Dependable and Secure Computing. 15 (3): 496–510. doi:10.1109/TDSC.2016.2593444. S2CID 13708908.
  39. ^ Naveed, Muhammad; Prabhakaran, Manoj; Gunter, Carl A. (2014). "Dynamic Searchable Encryption via Blind Storage". 2014 IEEE Symposium on Security and Privacy. pp. 639–654. doi:10.1109/SP.2014.47. ISBN 978-1-4799-4686-0. S2CID 10910918.
  40. ^ Sahayini, T (2016). "Enhancing the security of modern ICT systems with multimodal biometric cryptosystem and continuous user authentication". International Journal of Information and Computer Security. 8 (1): 55. doi:10.1504/IJICS.2016.075310.
  41. ^ "Managing legal risks arising from cloud computing". DLA Piper. 29 August 2014. Retrieved 2014-11-22.
  42. ^ "It's Time to Explore the Benefits of Cloud-Based Disaster Recovery". Dell.com. Archived from the original on 2012-05-15. Retrieved 2012-03-26.
  43. ^ Winkler, Joachim R. (2011). Securing the Cloud: Cloud Computer Security Techniques and Tactics. Elsevier. pp. 65, 68, 72, 81, 218–219, 231, 240. ISBN 978-1-59749-592-9.
  44. ^ Adams, Richard (2013). "The emergence of cloud storage and the need for a new digital forensic process model" (PDF). In Ruan, Keyun (ed.). Cybercrime and Cloud Forensics: Applications for Investigation Processes. Information Science Reference. pp. 79–104. ISBN 978-1-4666-2662-1.

추가 정보

  • Mowbray, Miranda (15 April 2009). "The Fog over the Grimpen Mire: Cloud Computing and the Law". SCRIPT-ed. 6 (1): 132–146. doi:10.2966/scrip.060109.132.
  • Mather, Tim; Kumaraswamy, Subra; Latif, Shahed (2009). Cloud Security and Privacy: An Enterprise Perspective on Risks and Compliance. O'Reilly Media, Inc. ISBN 9780596802769.
  • Winkler, Vic (2011). Securing the Cloud: Cloud Computer Security Techniques and Tactics. Elsevier. ISBN 9781597495929.
  • Ottenheimer, Davi (2012). Securing the Virtual Environment: How to Defend the Enterprise Against Attack. Wiley. ISBN 9781118155486.
  • BS ISO/IEC 27017: "정보 테크놀로지.보안 기술클라우드 서비스용 ISO/IEC 27002를 기반으로 한 정보보안 관리 실무규범" (2015)
  • BS ISO/IEC 27018: "정보 테크놀로지.보안 기술PII 프로세서의 역할을 하는 퍼블릭 클라우드에서 개인 식별 가능 정보(PII) 보호를 위한 실무 지침"(2014년)
  • BS ISO/IEC 27036-4: "정보 테크놀로지.보안 기술공급업체 관계를 위한 정보 보안.클라우드 서비스 보안 가이드라인" (2016년)

외부 링크

2018-10-21 Wayback Machine에서 보관