SSM - 100-hours-a-week/9-team-Devths-WIKI GitHub Wiki

목차 (펼치기/접기)

• 1. 도입 배경

  • 1-1. 서비스 특성에 따른 보안의 엄격성

• 2. 인프라 접속 구조 다이어그램

  • 2-1. VPN vs SSM 접속 아키텍처 비교

• 3. 접속 방식 설계 및 비교 전략

  • 3-1. 접근 제어 개요
  • 3-2. 핵심 기술 비교 (OpenVPN vs Client VPN vs SSM)
  • 3-3. 보안 및 감사 전략 (Audit)
  • 3-4. 비용 최적화 분석

• 4. 구성 및 설정 명세

  • 4-1. SSM 세션 매니저 도입 설계
  • 4-2. 감사 로그 통합 구성

• 5. 결론 및 선택안

  • 5-1. 최종 선택 결과

💡 원격 접속 보안이란? 개발자나 운영자가 사설 네트워크(VPC) 내부에 있는 서버에 안전하게 접근하기 위한 기술적 수단입니다.

---

우리 서비스는 사용자의 이력서 및 포트폴리오를 관리하는 플랫폼입니다. 이는 단순한 텍스트 데이터를 넘어 다음과 같은 민감 정보를 포함하고 있어 최상위 수준의 보안이 요구됩니다.

• 민감 개인정보 취급: 성함, 연락처, 학력, 경력 사항 등 개인을 식별할 수 있는 정보가 집중되어 있음.
• 자산 가치 보호: 사용자가 정성 들여 작성한 포트폴리오는 개인의 지적 자산이며, 유출 시 서비스 신뢰도에 치명적인 타격을 입음.
• 컴플라이언스 준수: 개인정보 보호법에 의거하여 개인정보 처리 시스템에 대한 접근 기록(Audit Log) 보관 및 비인가 접근 차단이 필수적임.

따라서, 접속해서 정확히 어떤 데이터를 조회/수정했는가를 완벽히 기록해야 합니다.

---

• VPN 방식: VPC로 들어오는 통로(Inbound)를 열어두는 방식. 인증서나 계정이 탈취될 경우 내부 네트워크 전체가 위험에 노출됨.
• SSM 방식: 모든 입구를 닫고 내부에서 밖으로(Outbound) 요청하는 방식. "포트리스(Port-less)" 환경을 구현하여 공격 표면을 제거함.

---

• 비교 대상: OpenVPN(Self-hosted) vs AWS Client VPN vs AWS SSM Session Manager
• 선택 기준: 보안(개인정보 보호), 감사(명령어 기록), 비용

항목	OpenVPN (EC2)	AWS Client VPN	AWS SSM (선택)
인바운드 포트	UDP/TCP 개방 필요	UDP 1194 개방 필요	완전 폐쇄 (HTTPS 443만 사용)
인증 체계	별도 ID/PW 또는 키	IAM, SAML 연동	IAM Policy & MFA 강제
개인정보 보호	관리자 권한 남용 추적 어려움	접속 기록 위주 관리	실시간 명령어 로깅 및 제한
관리 오버헤드	서버 패치 등 직접 관리	AWS 관리형	에이전트 기반 자동 관리

"이력서 데이터 접근에 대한 완벽한 사후 추적"

• VPN (OpenVPN/Client VPN): "관리자 A가 오후 2시에 접속했다"는 알 수 있지만, 서버 안에서 어떤 명령어를 쳤는지는 기록되지 않음.**
• SSM (선택):
• 명령어 단위 기록: 세션 매니저를 통해 입력한 모든 리눅스 커맨드가 CloudWatch Logs에 박제됨.
• 접근 제어: 특정 관리자는 AI 서버만, 특정 관리자는 DB 서버만 접속하도록 IAM으로 세밀하게 분리 가능.

구분	OpenVPN (on EC2)	AWS Client VPN	AWS SSM
엔드포인트 비용	$0	약 $72/월	$0
연결 시간 비용	$0	시간당 $0.05 (인원별)	$0
인프라 비용	t3.small 등 서버비 발생	Bastion 비용 발생 가능	0원 (추가 비용 없음)

⇒ 분석 결과: OpenVPN은 직접 구축 시 저렴해 보이지만, 보안 패치 및 관리 공수를 생각하면 실질 비용이 높습니다. SSM은 보안성이 가장 높으면서도 고정 비용이 0원에 수렴하여 우리 서비스에 가장 적합합니다.

---

1. 에이전트 활성화: 모든 EC2 인스턴스에 SSM Agent 상시 가동.
2. IAM Role: 개인정보 접근 권한이 있는 인원에게만 세션 시작 권한(ssm:StartSession) 부여.
3. 네트워크: 보안 그룹 인바운드에서 22번(SSH) 포트를 제거하여 외부로부터의 모든 접속 시도를 차단.

• CloudWatch Logs: 모든 관리 작업 로그를 실시간 전송.
• S3: 개인정보 보호 정책에 의거, 접속 로그를 2년간 의무 보관 설정.

로그 기록 및 알림 이미지 (펼치기/접기)

---

최종 선택: AWS Systems Manager (SSM) Session Manager

• 보안: 이력서 등 민감 개인정보 보호를 위해 공격 표면을 0으로 만듦.
• 감사: 관리자의 모든 행위를 명령어 단위로 기록하여 법적 준거성 확보.
• 비용: VPN 솔루션 대비 월 최소 $72 이상의 인프라 비용 절감.