CloudFront OAI 설정

1. 관련 법령

• 전자금융감독규정 시행세칙 [별표 3]의 기술적 보안 부문 중 데이터베이스 보안 항목

2. 개요

• S3 버킷을 퍼블릭에 공개해 유저가 접근할 수 있도록 하는 경우 CloudFront OAI를 설정해 버킷 직접 접근 차단 필요

3. 취약점 판단 기준

• S3 버킷에 정적 웹 사이트 호스팅 기능 설정 시 CloudFront OAI를 적용하지 않은 경우 취약
• S3 버킷에 정적 웹 사이트 호스팅 기능 설정 시 CloudFront OAI를 적용한 경우 취약하지 않음

4. 취약점 확인 방법

• S3 버킷 중 [정적 웹 사이트 호스팅] 기능을 설정한 버킷의 존재 여부 확인
• 기능을 설정한 버킷이 존재할 경우 관리 콘솔에서 [CloudFront] 검색 → [배포] 메뉴 → 배포 구성 여부 확인

5. 취약점 조치 방법

• [배포] 메뉴 → [배포 생성] 클릭
• 배포 설정
• 기본 캐시 동작 설정
• 관리 콘솔에서 [S3] 검색 → 버킷 선택 → [권한] 탭의 [버킷 정책]에서 S3:GetObject 정책 삭제
• OAI를 통한 오브젝트 요청 시 접근 성공 확인
• 웹 사이트 엔드포인트를 통한 오브젝트 요청 시 접근 거부 확인
• 버킷에 직접 오브젝트 요청 시 접근 거부 확인

6. 참고

• https://docs.aws.amazon.com/ko_kr/AmazonCloudFront/latest/DeveloperGuide/private-content-restricting-access-to-s3.html