IBM Cloud 사이버 볼트 개요

IBM Cloud Cyber Vault는 현재 베타 버전입니다. 이 새로운 솔루션은 베타 체험판으로 제공되며, 제한된 기간 동안 평가 및 테스트 목적으로만 이용 가능합니다. 어떠한 보증, SLA 또는 지원도 제공되지 않으며, 베타 제품은 실제 운영 환경에서 사용하기 위한 것이 아닙니다. 이 솔루션을 사용하기 전에 IBM 의 서비스 약관을 확인하시기 바랍니다. 베타 기간 동안에는 IBM Cloud Cyber Vault를 실제 운영 워크로드에 사용하지 마십시오.

IBM Cloud Cyber Vault는 기업 데이터 보호를 위해 변경 불가능하고 격리된 오브젝트 스토리지 기능을 제공하는, 관리형 에어갭 방식의 S3-compatible 스토리지 솔루션입니다. Cyber Vault는 규정 준수 모드의 Object Lock 보존 기능, 암호화, 신원 기반 접근 제한, 네트워크 격리, 시간 기반 쓰기 접근 제어, 그리고 자동으로 프로비저닝되는 HMAC 자격 증명 쌍을 단일 프로비저닝된 볼트 리소스로 통합하여, 랜섬웨어, 실수로 인한 삭제 및 내부자 위협으로부터 중요 데이터를 보호하도록 설계되었습니다.

IBM Cloud 의 ‘Cyber Vault’란 무엇인가요?

IBM Cloud Cyber Vault는 IBM COS 및 IBM Cloud 기본 기능을 기반으로 구축된, S3 와 호환되는 관리형 스토리지 솔루션으로, 가상 에어 갭, Object Lock을 통한 불변성, FIPS 140-2 레벨 3 관리형 키를 활용한 암호화, 그리고 내장된 지리적 중복성을 제공합니다.

사이버 볼트를 생성하면, 이 서비스는 다음과 같은 보안 조치가 적용된 강화된 COS 버킷을 자동으로 구성합니다

  • 컴플라이언스 모드의 객체 잠금 보존 기능은 볼트에 기록된 모든 객체가 잠기도록 강제하며, 보존 기간이 만료될 때까지 해당 객체를 삭제하거나 덮어쓸 수 없도록 합니다. 이 보호 기능은 루트 사용자를 포함한 그 어떤 사용자나 관리자도 무효화할 수 없습니다.
  • 암호화는 저장된 모든 데이터를 보호합니다. IBM 볼트 데이터 암호화에 사용되는 키를 관리하고 순환합니다.
  • IAM 제한 사항: Cyber Vault에는 읽기 및 쓰기 워크플로우에 대해 각각 별도로 범위가 지정된 전용 HMAC 자격 증명이 할당됩니다. 각 자격 증명 세트는 최소 권한 접근 모델을 따르며, 해당 워크플로우에 필요한 최소한의 권한 세트를 부여합니다.
  • 시간 기반 쓰기 권한은 선택적으로 볼트 쓰기 작업을 정의된 일일 시간대 내로 제한하여, 승인된 시간대에만 데이터가 기록되도록 보장합니다.
  • 컨텍스트 기반 제한(CBR) 은 볼트 액세스를 특정 네트워크 영역, VPC CRN 또는 사설 IP CIDR 범위로 제한하여 네트워크 수준의 격리를 적용합니다.
  • 읽기 액세스 제어는 명시적으로 승인된 식별자에 한해 읽기 작업을 허용함으로써, 전체 데이터 수명 주기 전반에 걸쳐 최소 권한 원칙을 지원합니다.

이러한 제어 수단들은 종합적으로 검증된 소프트웨어 정의 에어갭(air-gap) 패턴을 구현하여, 백업 및 아카이브 데이터를 랜섬웨어, 데이터 유출 및 무단 수정으로부터 보호합니다.

주요 기능 및 특징

규정 준수 모드의 객체 잠금 유지
사이버 볼트에 저장되는 모든 객체에는 규정 준수 모드 WORM(Write Once, Read Many) 보존 잠금 기능이 자동으로 적용됩니다. 설정된 보존 기간이 만료되기 전까지는 개체를 삭제하거나 수정할 수 없습니다. 이는 요청자의 IAM 역할에 관계없이 모든 새 객체에 적용됩니다. 기본 보존 기간은 생성 시점에 0일에서 3,650일 사이로 설정할 수 있습니다. 이 설정을 0 로 지정하면 자동 보존 잠금이 적용되지 않으므로, 백업 소프트웨어가 S3 객체 잠금 API를 통해 객체별 보존 기간을 직접 관리할 수 있습니다.
암호화
모든 볼트 데이터는 저장 시 AES-256 를 사용하여 암호화됩니다. IBM 는 FIPS 140-2 레벨 3 인증을 받은 HSM으로 보호되는 암호화 키를 자동으로 생성하고 주기적으로 갱신합니다.
범위가 지정된 HMAC 자격 증명 쌍
볼트가 생성되면 두 쌍의 범위 지정 HMAC 자격 증명 쌍이 자동으로 프로비저닝됩니다. 하나는 백업 에이전트가 사용하는 쓰기 키이고, 다른 하나는 복구 작업 및 감사 검증을 위한 읽기 키입니다. 인증 정보는 조회 시 제한된 시간 동안 안전하게 표시됩니다.
시간 기반 쓰기 액세스
enableTimeWindows 가 true 로 설정된 경우, 볼트 쓰기 권한은 accessStartTime 및 accessEndTime ( HH:MM 형식, 24시간제)에서 지정된 일일 시간대 내로 제한됩니다. 이 기간 외에는 쓰기 작업이 거부되므로, 조직은 엄격한 데이터 수집 일정을 시행할 수 있습니다.
문맥 기반 제한(CBR)
cbrRestrictions 구성은 볼트 액세스를 지정된 네트워크 영역으로 제한합니다. 특정 계정 VPC(VPC CRN 기준) 또는 사설 IP CIDR 범위(RFC 1918)에서 오는 액세스를 승인할 수 있습니다. 비공개 엔드포인트만 허용하도록 설정하여 공용 엔드포인트를 비활성화할 수 있습니다.
변경 불가능한 구성
볼트 구성은 영구적이며, 생성 후에는 변경할 수 없습니다. 프로비저닝을 진행하기 전에 모든 설정을 꼼꼼히 검토하십시오. 베타 버전에서는 업데이트 API를 사용할 수 없습니다.
비동기 프로비저닝
볼트 생성은 비동기 작업입니다. 이 API는 HTTP 202 Accepted 를 반환하며, 초기 상태는 provisioning 입니다. 볼트 상태 엔드포인트를 조회하여 볼트가 ‘ active ’ 상태로 전환되는 시점을 확인할 수 있습니다.

지역적 가용성

IBM Cloud Cyber Vault는 현재 다음 지역에서 이용 가능합니다:

IBM Cloud 사이버 볼트 지역별 이용 가능 여부
지역 위치 API 엔드포인트
us-south 댈러스, 미국 https://solutions.private.cloud-object-storage.cloud.ibm.com/v1

향후 릴리스에서는 추가적인 ‘ IBM Cloud ’ 지역에 대한 지원이 제공될 예정입니다. 현재 모든 Vault API 요청은 us-south 을 대상으로 해야 합니다. 생성 요청에서 region 필드에 다른 값을 지정하려고 하면 400 Bad Request 오류가 반환됩니다.

모든 볼트 데이터는 비공개 및 직접적인 S3 엔드포인트를 통해서만 액세스할 수 있습니다. Cyber Vault 버킷에는 공개 엔드포인트가 노출되지 않습니다.

전제조건

IBM Cloud Cyber Vault를 생성하기 전에 다음 사항이 준비되어 있는지 확인하십시오:

  • IBM Cloud 리소스를 생성할 수 있는 활성 상태의 IBM Cloud 계정.
  • us-south 리전에 있는 기존 IBM Cloud Object Storage 인스턴스 (Standard 요금제) 또는, cosInstanceId 이 제공되지 않은 경우 Cyber Vault 서비스가 사용자를 대신하여 해당 인스턴스를 생성하는 데 필요한 IAM 권한.
  • IAM 권한:
    • UI에 모든 사이버 볼트를 표시하려면 계정 수준에서 ‘ 사이버 볼트 리더 ’ 역할을 가지고 있어야 합니다.
    • 자동 HMAC 자격 증명 프로비저닝 기능이 포함된 Cyber Vault를 생성하려면 계정 수준에서 ‘Cyber Vault Manager’ 역할과 대상 IBM Cloud Object Storage 인스턴스에서 ‘Editor’ 또는 ‘Administrator’ 역할이 있어야 합니다.
  • VPC 또는 네트워크 영역 정보: 볼트에 액세스할 VPC의 CRN 또는 사설 IP CIDR 범위. 모든 볼트 생성 요청에는 네트워크 격리가 필요합니다.

볼트 상태

다음 표는 프로비저닝 진행 중 및 완료 후 발생할 수 있는 볼트 상태를 설명합니다.

사이버 볼트 상태
상태 의미
provisioning 금고가 설치되고 있습니다. 인증 정보와 엔드포인트는 아직 제공되지 않습니다.
active 금고가 준비되었습니다. S3 엔드포인트, HMAC 자격 증명 및 모든 보안 정책이 활성화되어 있습니다.
failed 프로비저닝 과정에서 오류가 발생했습니다. 볼트 세부 정보에 오류 메시지가 포함되어 있습니다.
deleting 볼트 삭제 절차가 시작되었습니다.

사이버 볼트의 작동 원리

다음의 종단간 흐름도는 ‘ IBM Cloud ’의 Cyber Vault가 데이터를 어떻게 보호하는지 설명합니다:

  1. 프로비저닝: IBM Cloud Object Storage 인스턴스, 리전, 보존 구성, 암호화 설정 및 액세스 제어를 지정하여 Cyber Vault를 생성합니다. IBM Cloud Object Storage Solutions 서비스는 모든 보호 제어 기능이 자동으로 적용된 전용 IBM Cloud Object Storage 버킷을 제공합니다. 이 시점에서 두 쌍의 HMAC 자격 증명(쓰기 및 읽기)이 생성됩니다.

  2. 데이터 수집(쓰기 시간대): 승인된 쓰기 주체(프로비저닝된 쓰기 HMAC 키를 사용하는 백업 에이전트)는 허용된 시간대 내에 볼트에 데이터를 기록합니다( enableTimeWindows 가 활성화된 경우). 각 객체는 쓰기 작업이 이루어지는 즉시 규정 준수 모드의 Object Lock 보존 태그를 부여받습니다.

  3. 불변성 적용: 일단 기록되면, 보존 기간이 만료될 때까지 계정 관리자나 볼트 소유자를 포함한 그 누구도 잠긴 개체를 삭제하거나 수정할 수 없습니다. 이는 기본으로 설정된 ‘ IBM Cloud Object Storage ’ 객체 잠금 준수 모드에 의해 강제 적용되며, 이를 우회할 수 없습니다.

  4. 네트워크 격리: CBR 규칙을 통해 볼트 트래픽이 승인된 VPC 또는 사설 네트워크를 통해서만 흐르도록 보장할 수 있습니다. 사용 가능한 엔드포인트는 비공개 및 직접 엔드포인트뿐이며, 공개 엔드포인트는 노출되지 않습니다.

  5. 복구: 승인된 읽기 권한을 가진 주체는 프로비저닝된 읽기용 HMAC 키를 사용하여 볼트의 비공개 또는 직접 엔드포인트를 통해 볼트 데이터에 액세스합니다. 읽기 권한에는 시간 제한이 적용되지 않으며, 오퍼레이션스-어-마인드( readIdentities ) 구성에 의해서만 제어됩니다.

  6. 수명 주기: 객체는 보존 기간이 만료되면 자동으로 잠금이 해제되며, 이때 표준 수명 주기 관리의 일환으로 삭제될 수 있습니다. 잠긴 개체가 여전히 포함된 볼트는 삭제할 수 없습니다.

다음 단계