주제문제 33개· 검수 문제 1개

Cloud Security and Governance

Cloud Security and Governance 관련 장애 문제 33개를 모았습니다. 검수된 문제부터 풀어 보세요.

먼저 읽을 가이드

IAM, TLS, WAF 장애를 보안 운영 흐름으로 나누는 법인증, 인가, certificate, WAF, audit log 신호가 섞여 하나의 접근 실패처럼 보이는 상황Security2분 읽기 mTLS trust bundle 불일치를 분리하는 법client certificate, server certificate, CA bundle, sidecar reload 시점이 서로 달라 handshake가 실패하는 상황Security2분 읽기 WAF 403 false positive를 안전하게 진단하는 법권한 문제처럼 보이지만 특정 header, payload, rule group이 정상 요청을 차단하는 상황Security2분 읽기

추천 문제

검수된 문제를 먼저, 그다음 시나리오가 자세한 문제를 보여 줍니다.

S3 AccessDenied: 권한을 줬는데도 리포트 파일을 받지 못함데이터 분석팀이 매일 아침 노트북에서 S3의 매출 리포트 파일을 내려받는데, 오늘부터 AccessDenied로 실패합니다.검수Security중급17분무료

모든 문제 33개

S3 AccessDenied: 권한을 줬는데도 리포트 파일을 받지 못함데이터 분석팀이 매일 아침 노트북에서 S3의 매출 리포트 파일을 내려받는데, 오늘부터 AccessDenied로 실패합니다.검수Security중급17분무료 SECURITY-152브라우저 격리 정책이 관리자 포털을 원격으로 렌더링하는데 직접 다운로드 허용목록이 CSV 내보내기를 격리 세션 밖으로 내보냄가장 위험한 상호작용은 보호되는데 옆길 하나가 아직 민감한 payload를 흘립니다.Security중급16분무료 SECURITY-157웹 프록시가 DNS 재작성으로 SafeSearch를 강제하는데 애플리케이션 하나가 HTTPS 엔드포인트를 하드코딩해 그 통제를 통째로 우회DNS를 참조하는 곳에서는 이름 기반 필터링이 되는데 클라이언트 경로 하나가 다시는 DNS에 묻지 않습니다.Security중급15분무료 SECURITY-149CloudFront 서명 URL 정책이 주 asset host는 덮는데 이미지 host로 리다이렉트되면 서명 범위가 빠져 비공개 미디어가 403 루프에 빠짐통제는 있는데 전달 경로가 같은 인가 계약을 공유하지 않는 호스트명들을 가로지릅니다.Security고급17분Pro SECURITY-381스냅샷 정책이 암호화 데이터는 제대로 복사하는데 재해 복구 계정에 복원본을 재암호화하거나 마운트하는 데 필요한 grant 하나가 없음 (단계적 폐기 중)백업은 있는데 복구 절차가 끝나지 못합니다. 주 경로로는 서비스가 계속 되고, 옛 구성 요소가 완전히 빠질 때만 의존성 하나가 실패합니다.Security고급17분Pro SECURITY-135템플릿에서 복사한 AWS IAM 권한 경계가 break-glass role의 kms:Decrypt를 막아 장애 중 복구 자동화가 실패비상 role은 있는데 상속된 경계 하나가 runbook이 요구하는 바로 그 권한을 조용히 없앱니다.Security고급17분Pro SECURITY-111CloudTrail에는 접근 거부가 보이는데, 정작 빠진 서비스 연결 role 자동 생성은 확인한 리전 추적에 기록된 적이 없음권한 증상은 실재하는데 원인이 되는 이벤트가 팀이 뒤지던 것과 다른 감사 scope에 있습니다.Security고급18분Pro SECURITY-124presigned URL은 유효한데 CDN 캐시 키가 scope 파라미터 하나를 무시해, 콘텐츠가 의도한 요청 컨텍스트 밖에서도 재사용 가능해짐origin의 객체 접근 통제는 강한데 edge 캐시가 서로 다른 인가 컨텍스트를 뭉개며 그것을 약화시킵니다.Security고급18분Pro SECURITY-104교체된 KMS 키 정책이 레거시 alias를 빠뜨려 복구 중 과거 백업 복호화가 실패새 암호화 작업은 되는데 복원 테스트가 실패합니다 — 복구 경로가 새 정책이 더는 허용하지 않는 alias를 계속 참조합니다.Security고급18분Pro SECURITY-160랜섬웨어 격리 워크플로가 볼륨 스냅샷은 제대로 뜨는데 스냅샷 보존 태그가 빠져 정리 자동화가 분류 전에 증거를 삭제봉쇄는 됐는데 사건 보존이 실패했습니다 — 증거 경로에 수명주기 보호가 없었습니다.Security고급18분Pro SECURITY-234백업 스냅샷은 복원되는데 복사 role에 대상 계정에서 재암호화할 권한이 없음 (failover 리허설 중)보호된 사본이 다른 곳에서 실제로 살아나야 하기 전까지는 재해 복구가 실행 가능해 보입니다. failover 리허설에서 standby나 대체 경로가 활성화되기 전까지는 평상시 트래픽이 문제를 감췄습니다.Security고급18분Pro SECURITY-318백업·스냅샷 경로는 읽히는데 계정 간·리전 간 복구에 필요한 복호화 또는 복원 권한이 없음 (failover 리허설 중)아티팩트는 있는데 정작 그것이 필요한 복구 scope가 계속 인가되지 않은 상태입니다. failover 리허설에서 standby나 대체 경로가 활성화되기 전까지는 평상시 트래픽이 문제를 감췄습니다.Security고급18분Pro SECURITY-210인가 토큰이 배포 host 하나에는 유효한데 콘텐츠 경로가 다른 곳으로 넘어감 (failover 리허설 중)인가 범위는 제대로 잡혔는데 자산 경로가 토큰이 적용되는 곳에 머무르지 않습니다. failover 리허설에서 standby나 대체 경로가 활성화되기 전까지는 평상시 트래픽이 문제를 감췄습니다.Security고급18분Pro SECURITY-180클라우드 권한은 한 리전에 있는데 복구 워크플로가 다른 scope에서 실행 (failover 리허설 중)워크플로가 실제로 어디서 도느냐에 따라 같은 권한이 있기도 하고 없기도 합니다. failover 리허설에서 standby나 대체 경로가 활성화되기 전까지는 평상시 트래픽이 문제를 감췄습니다.Security고급18분Pro SECURITY-134CASB 인라인 프록시가 다운로드 파일명을 재작성해 DLP 해시 허용 목록이 승인된 문서와 더 이상 일치하지 않음콘텐츠는 안전한데 하위 통제가 그것을 인식하지 못합니다 — 강제 계층 하나가 파일 아티팩트 신원을 바꿨습니다.Security고급16분Pro SECURITY-155DLP 센서가 문서를 제대로 분류하는데 새로 압축된 아카이브 형식이 추출 깊이 제한을 우회해 정책이 페이로드를 보지 못함콘텐츠 통제는 설정돼 있는데 패키징 형식이 스캐너의 가시 경계를 바꿨습니다.Security고급17분Pro SECURITY-128S3 암호화 강제는 켜져 있는데 레거시 multipart 클라이언트가 필수 KMS 컨텍스트를 빠뜨려 업로드가 중간에 실패하기 시작버킷 정책은 맞는데 더 오래된 클라이언트 구현 하나가 새 암호화 계약을 만족하지 못합니다.Security고급17분Pro SECURITY-158교차 계정 access analyzer는 초록인데 새 리소스 정책이 서비스 principal 와일드카드를 부여Security고급17분Pro SECURITY-114버킷 정책이 공개 읽기를 막는데 레거시 웹사이트 엔드포인트가 옛 객체 ACL로 콘텐츠를 계속 노출새 정책은 엄격해 보이는데 접근 경로 하나가 그것을 우회합니다 — 정적 사이트 시절의 객체 단위 권한이 남아 있습니다.Security고급17분Pro SECURITY-144새 KMS grant로 백업 role이 스냅샷을 복호화할 수 있게 됐는데 grant가 한 리전에만 만들어져 리전 간 복원이 계속 실패권한은 있는데 복구 워크플로가 실제로 쓰는 컨트롤 플레인 scope에는 없습니다.Security고급17분Pro