구글 루커 스튜디오의 새로운 "LeakyLooker" 취약점, 교차 테넌트 SQL 쿼리 가능성

핵심 요약

사이버 보안 연구원들이 구글 루커 스튜디오에서 'LeakyLooker'로 명명된 9가지 교차 테넌트 취약점을 공개했습니다. 이 취약점들은 공격자가 피해자 데이터베이스에 임의의 SQL 쿼리를 실행하고 조직의 구글 클라우드 환경 내에서 민감한 데이터를 유출할 수 있도록 허용했을 수 있습니다. 이는 클라우드 기반 데이터 분석 플랫폼의 근본적인 보안 설계 또는 구성 오류로 인해 발생할 수 있는 심각한 데이터 유출 및 무단 접근 위험을 시사합니다. IT 감사인은 클라우드 서비스의 다중 테넌트 환경에서 데이터 격리 및 접근 통제 메커니즘의 효과성을 면밀히 검토하고, 민감 데이터 처리 시 보안 통제 준수 여부를 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치구글 루커 스튜디오와 같은 클라우드 기반 데이터 분석 플랫폼 및 연동된 구글 클라우드 데이터베이스에 대한 접근 통제 정책을 최소 권한 원칙에 따라 재검토하고, 불필요한 접근 권한을 즉시 제거할 것을 권고함.
• ✔기술적 조치클라우드 환경 내 데이터베이스에 대한 비정상적인 SQL 쿼리 실행 및 데이터 접근 시도를 탐지하기 위한 모니터링 시스템(예: SIEM, DB 접근 제어 시스템)의 탐지 규칙을 고도화하고, 실시간 경보 및 자동화된 대응 체계를 구축할 것을 권고함.
• ✔기술적 조치구글 클라우드 환경의 보안 구성(Security Configuration)을 정기적으로 점검하고, 클라우드 보안 형상 관리(CSPM) 도구를 활용하여 설정 오류를 실시간으로 탐지 및 수정하는 프로세스를 수립 및 적용해야 함을 권고함.
• ✔기술적 조치구글 루커 스튜디오를 통해 접근되거나 분석되는 민감 데이터(개인정보, 금융정보 등)에 대해 데이터 마스킹, 암호화 또는 비식별화 기술을 적용하여 데이터 유출 시에도 정보의 가치를 최소화할 것을 권고함.
• ✔관리적 조치클라우드 기반 데이터 분석 플랫폼 사용에 대한 내부 보안 정책을 수립하고, 해당 정책에 따라 데이터 분류, 접근 통제, 보안 취약점 관리, 인시던트 대응 절차를 명확히 정의하고 임직원 교육을 강화할 것을 권고함.
• ✔관리적 조치클라우드 서비스 제공자(CSP)의 보안 통제 현황 및 취약점 관리 프로세스를 정기적으로 검토하고, 서비스 계약 시 보안 책임 공유 모델(Shared Responsibility Model)에 따른 조직의 책임과 CSP의 책임을 명확히 정의할 것을 권고함.
• ✔관리적 조치클라우드 환경 및 클라우드 기반 애플리케이션에 대한 정기적인 보안 취약점 점검(모의 해킹, 취약점 분석)을 수행하고, 발견된 취약점에 대한 신속한 패치 및 조치 프로세스를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문