GCP 클라우드 보안 완벽 가이드: IAM부터 GKE까지 실무 중심 보안 아키텍처

서론

안녕하세요, Twodragon입니다.

GCP 클라우드 환경에서 보안을 강화하기 위해서는 IAM부터 GKE까지 모든 서비스 계층에서 Defense in Depth 전략을 적용해야 합니다. 이 포스팅은 SK Shieldus의 2024년 GCP 클라우드 보안 가이드를 기반으로, 실무에서 즉시 활용 가능한 GCP 보안 아키텍처 설계 및 구현 가이드를 제공합니다.

주요 GCP 서비스별 보안 모범 사례와 코드 예제, 보안 체크리스트를 포함하여 실무 중심의 보안 구축 방법을 제시합니다.

경영진 요약 (Executive Summary)

GCP 보안 태세 평가

전체 보안 성숙도: ⭐⭐⭐⭐ (4/5)

핵심 보안 지표:

• IAM 정책 준수율: 94%
• 암호화 적용률: 98%
• 취약점 평균 해결 시간: 3일
• 보안 이벤트 탐지율: 89%

즉각 조치 필요 항목:

1. 모든 관리자 계정에 MFA 강제 적용 (현재 87% 적용)
2. Public IP를 사용하는 Cloud SQL 인스턴스 제거 (5개 발견)
3. 과도한 권한을 가진 Service Account 권한 축소 (12개 발견)

2026년 1분기 보안 목표:

• Security Command Center Premium 도입
• Binary Authorization 전체 GKE 클러스터 적용
• 보안 자동화 스크립트 확대 (현재 60% → 목표 85%)

MITRE ATT&CK 매핑 (GCP 클라우드)

GCP 환경 주요 공격 기법

공격 시나리오: GCP IAM 권한 상승

경영진 보고 형식

월간 GCP 보안 리포트 (2026년 1월)

보고 일자: 2026-01-14 보고 대상: CISO, CTO, 경영진 작성자: GCP 보안팀

1. 핵심 요약 (Executive Highlight)

2. 주요 보안 이슈 및 조치사항

🔴 Critical (즉시 조치 필요):

• Public IP를 사용하는 Cloud SQL 인스턴스 5개 발견
  • 위험도: 높음 (데이터 유출 가능)
  • 조치 기한: 2026-01-20
  • 담당: 인프라팀

🟡 High (1주일 내 조치):

• 과도한 권한을 가진 Service Account 12개 발견
  • 위험도: 중상 (권한 상승 공격 가능)
  • 조치 기한: 2026-01-21
  • 담당: IAM 관리팀

🟢 Medium (2주일 내 조치):

• VPC Flow Logs 미활성화 서브넷 8개 발견
  • 위험도: 중 (가시성 부족)
  • 조치 기한: 2026-01-28
  • 담당: 네트워크팀

3. 비용 영향 분석

ROI 분석:

• 보안 사고 방지로 인한 추정 손실 방지액: 월 $45,000
• 보안 투자 대비 수익률: 약 870%

4. 향후 계획 (2026년 1분기)

5. 규제 준수 현황

GCP 보안 아키텍처 다이어그램

Defense in Depth 전체 구조

GCP Defense in Depth 아키텍처는 외부 인터넷에서 시작하여 Cloud Armor(DDoS/WAF 보호), VPC 방화벽 규칙(네트워크 분리), IAM 접근 제어(최소 권한), 암호화 레이어(Cloud KMS/CMEK), 그리고 내부 워크로드(GKE, Cloud SQL, Cloud Storage)로 이어지는 다층 보안 구조를 갖춥니다. Security Command Center가 전체 레이어를 통합 모니터링합니다.

📊 빠른 참조

GCP 보안 서비스 개요

GCP 보안은 여러 레이어로 구성된 Defense in Depth 전략을 통해 강화됩니다.

1. GCP 보안 아키텍처 개요

GCP 보안 아키텍처 (Defense in Depth)

GCP 클라우드 환경에서의 다층 보안 방어 구조:

1.1 Defense in Depth 전략

다층 보안 방어 구조

1.2 보안 모범 사례

2. IAM 보안

2.1 IAM 정책 작성

최소 권한 원칙 적용

# IAM 정책 예시: 최소 권한 원칙
bindings:
  - members:
      - serviceAccount:app-service-account@project-id.iam.gserviceaccount.com
    role: roles/storage.objectViewer
    condition:
      expression: resource.name.startsWith('projects/_/buckets/secure-bucket')
      title: Secure bucket access only

서비스 계정 관리

# 서비스 계정 예시
resources:
  - name: app-service-account
    type: iam.v1.serviceAccount
    properties:
      accountId: app-service-account
      displayName: Application Service Account
      description: Service account for application

참고: 전체 IAM 정책 예시는 GCP IAM 모범 사례 및 GCP 보안 모범 사례를 참조하세요.

2.2 Identity Platform

2.3 IAM 보안 체크리스트

3. VPC Network 보안

3.1 VPC 아키텍처 설계

Subnet 구성

3.2 방화벽 규칙

4.2 Cloud Storage 보안 체크리스트

4. Cloud SQL 보안

4.1 데이터베이스 암호화

6.2 Network Policy

7.2 Cloud Monitoring

7.3 Security Command Center 통합

5. Threat Hunting (위협 헌팅)

5.1 GCP 환경 위협 헌팅 쿼리

IAM 권한 상승 탐지

시나리오: Service Account Key 생성 후 즉시 IAM 정책 변경 시도

Splunk SPL 쿼리 (IAM 권한 상승 탐지):

index=gcp_audit sourcetype="google:gcp:audit"
protoPayload.serviceName="iam.googleapis.com"
| eval method=case(
    protoPayload.methodName="google.iam.admin.v1.CreateServiceAccountKey", "key_created",
    protoPayload.methodName="SetIamPolicy", "policy_changed",
    1=1, "other"
  )
| transaction protoPayload.authenticationInfo.principalEmail maxspan=5m
| where mvcount(method) >= 2 AND mvfind(method, "key_created") >= 0 AND mvfind(method, "policy_changed") >= 0
| table _time, protoPayload.authenticationInfo.principalEmail, protoPayload.resourceName, method
| sort -_time

Cloud Storage 대량 다운로드 탐지

시나리오: 비정상적으로 많은 양의 Cloud Storage 객체 다운로드

Splunk SPL 쿼리:

index=gcp_audit sourcetype="google:gcp:audit"
protoPayload.serviceName="storage.googleapis.com"
protoPayload.methodName="storage.objects.get"
| stats count as download_count, dc(protoPayload.resourceName) as unique_files by protoPayload.authenticationInfo.principalEmail, _time
| where download_count > 100 OR unique_files > 50
| table _time, protoPayload.authenticationInfo.principalEmail, download_count, unique_files

참고: 대체 SIEM 쿼리 (Google Chronicle YARA-L)

Azure Sentinel / Microsoft Sentinel을 사용하는 경우 GCPAuditLogs 테이블에서 동일한 탐지를 구현할 수 있습니다. MethodName == "storage.objects.get" 조건과 5분 집계 창으로 DownloadCount > 100 또는 UniqueFiles > 50 임계값을 적용합니다.

GKE Privileged Container 실행 탐지

Google Chronicle YARA-L 룰:

rule gke_privileged_pod_detection {
  meta:
    author = "GCP Security Team"
    description = "Detects creation of privileged pods in GKE"
    severity = "CRITICAL"

  events:
    $e.metadata.product_name = "Google Kubernetes Engine"
    $e.metadata.vendor_name = "Google"
    $e.target.resource.attribute.labels["verb"] = "create"
    $e.target.resource.attribute.labels["objectRef.resource"] = "pods"
    $e.target.resource.attribute.labels["requestObject"] = /privileged.*true/

  match:
    $user over 1h

  outcome:
    $risk_score = 95
    $alert_title = "Privileged Pod Created in GKE"

  condition:
    $e
}

5.2 Cloud SQL 의심스러운 접근 패턴

비정상 시간대 데이터베이스 접근

Splunk SPL 쿼리:

index=gcp_cloudsql sourcetype="google:gcp:cloudsql:mysql"
| eval hour=strftime(_time, "%H")
| where (hour >= "22" OR hour <= "06") AND source_ip!="10.0.0.0/8"
| stats count by user, source_ip, database, _time
| where count > 10
| table _time, user, source_ip, database, count

SQL Injection 패턴 탐지

Azure Sentinel KQL 쿼리:

GCPCloudSQLLogs
| where QueryText contains "UNION" or QueryText contains "OR 1=1" or QueryText contains "DROP TABLE"
| where QueryText !contains "/* Legitimate App Query */"
| project TimeGenerated, User, SourceIP, Database, QueryText
| order by TimeGenerated desc

5.3 네트워크 이상 행위 탐지

VPC Flow Logs를 통한 데이터 유출 탐지

Splunk SPL 쿼리:

index=gcp_vpc sourcetype="google:gcp:vpc:flowlogs"
| stats sum(bytes_sent) as total_bytes_sent by src_ip, dest_ip, _time
| where total_bytes_sent > 1000000000
| eval GB_sent=round(total_bytes_sent/1073741824, 2)
| table _time, src_ip, dest_ip, GB_sent
| sort -GB_sent

Google Chronicle YARA-L 룰:

rule gcp_high_volume_data_transfer {
  meta:
    author = "GCP Network Security"
    description = "Detects unusually high data transfers"
    severity = "HIGH"

  events:
    $e.metadata.product_name = "Google Cloud VPC"
    $e.network.sent_bytes > 1073741824

  match:
    $src_ip over 10m

  outcome:
    $risk_score = 80
    $alert_title = "High Volume Data Transfer Detected"

  condition:
    #e > 5
}

5.4 Kubernetes API 무단 접근 시도

Splunk SPL 쿼리:

index=gcp_gke sourcetype="google:gcp:gke:audit"
responseStatus.code=403
| stats count by user.username, verb, objectRef.resource, _time
| where count > 10
| table _time, user.username, verb, objectRef.resource, count

5.5 암호화 키 무단 사용 시도

Azure Sentinel KQL 쿼리:

GCPAuditLogs
| where ServiceName == "cloudkms.googleapis.com"
| where MethodName in ("Decrypt", "Encrypt", "AsymmetricDecrypt")
| where AuthorizationInfo has "PERMISSION_DENIED"
| summarize AttemptCount=count() by PrincipalEmail, ResourceName, bin(TimeGenerated, 5m)
| where AttemptCount > 5
| project TimeGenerated, PrincipalEmail, ResourceName, AttemptCount

6. 2025년 이후 최신 업데이트

6.1 IAM 보안 강화

IAM Recommender 개선

2025년, GCP IAM Recommender는 보안 강화를 위한 권장사항을 더욱 정확하게 제공합니다.

주요 기능:

• 사용하지 않는 권한 자동 탐지
• 과도한 권한 부여 감지
• 최소 권한 원칙 기반 권장사항 제공

6.2 Cloud SQL 보안 강화

자동 백업 및 복구 개선

2025년, Cloud SQL은 자동 백업 및 복구 기능을 강화하여 데이터 보호를 향상시켰습니다.

주요 기능:

• Point-in-time 복구 (PITR) 개선
• 자동 백업 스케줄링 최적화
• 암호화된 백업 지원 강화

6.3 Cloud Storage 보안 강화

객체 라이프사이클 정책 개선

2025년, Cloud Storage는 객체 라이프사이클 정책을 개선하여 보안 및 비용 최적화를 강화했습니다.

주요 기능:

• 자동 암호화 전환
• 보안 정책 기반 자동 삭제
• 접근 빈도 기반 스토리지 클래스 자동 전환

6.4 GKE 보안 강화

Pod Security Standards 강화

Pod Security Standards는 세 가지 보안 레벨을 제공합니다:

2025년, GKE는 Pod Security Standards를 강화하여 컨테이너 보안을 향상시켰습니다.

주요 기능:

• Restricted 모드 기본 적용
• Security Context 자동 검증
• 네트워크 정책 자동 적용

Anthos 통합 강화

2025년, GKE는 Anthos와의 통합을 강화하여 멀티클라우드 및 하이브리드 환경에서의 보안 관리를 개선했습니다.

주요 기능:

• 서비스 메쉬 보안 정책 통합
• 구성 관리 및 정책 통합
• 중앙화된 보안 관리

6.5 Security Command Center 개선

자동 위협 탐지 강화

2025년, Security Command Center는 AI 기반 자동 위협 탐지 기능을 강화했습니다.

주요 기능:

• 이상 활동 자동 탐지
• 보안 이벤트 자동 분석
• 위협 인텔리전스 통합

결론

GCP 클라우드 환경에서 보안을 강화하기 위해서는 IAM부터 GKE까지 모든 서비스 계층에서 Defense in Depth 전략을 적용해야 합니다.

주요 보안 원칙:

1. 최소 권한 원칙: 필요한 최소한의 권한만 부여
2. 암호화: 전송 중/저장 데이터 암호화
3. 로그 관리: 모든 활동 로깅 및 모니터링
4. 정기적 검토: 보안 설정 정기적 검토 및 개선

이 가이드를 참고하여 GCP 환경에서 강력한 보안 아키텍처를 구축하시기 바랍니다.

참고 자료

공식 문서 및 가이드

1. GCP 공식 보안 문서
   • GCP Security Best Practices - Google Cloud 보안 모범 사례 공식 가이드
   • IAM Best Practices - IAM 권한 관리 모범 사례
   • VPC Security Best Practices - VPC 네트워크 보안 설정
   • GKE Security Hardening Guide - GKE 클러스터 보안 강화
   • Cloud SQL Security Guide - Cloud SQL 보안 구성
2. 보안 프레임워크 및 컴플라이언스
   • SK Shieldus 2024년 GCP 클라우드 보안 가이드 - SK쉴더스 공식 가이드
   • ISMS-P 인증 페이지 - 정보보호 및 개인정보보호 관리체계 인증
   • GCP Compliance Resource Center - 규제 준수 리소스
   • CSAP 클라우드보안인증제 - 한국인터넷진흥원 클라우드 보안 인증
3. MITRE ATT&CK 및 위협 인텔리전스
   • MITRE ATT&CK for Cloud - 클라우드 환경 공격 기법 매트릭스
   • MITRE ATT&CK: IaaS - IaaS 환경 공격 기법
   • Google Threat Horizons Report - Google Cloud 위협 인텔리전스 리포트
4. 컨테이너 및 Kubernetes 보안
   • Kubernetes Pod Security Standards - Pod 보안 표준
   • GKE Binary Authorization - 컨테이너 이미지 검증
   • Container Analysis API - 취약점 스캐닝
   • CIS Kubernetes Benchmark - Kubernetes 보안 벤치마크
5. 모니터링 및 로깅
   • Cloud Logging Best Practices - 로깅 모범 사례
   • Security Command Center Documentation - 통합 보안 관리
   • Cloud Monitoring Documentation - 모니터링 설정
   • VPC Flow Logs - 네트워크 트래픽 로깅
6. 암호화 및 키 관리
   • Cloud KMS Documentation - 키 관리 서비스
   • CMEK (Customer-Managed Encryption Keys) - 고객 관리 암호화 키
   • Encryption at Rest - 저장 데이터 암호화
7. 한국 규제 및 법률
   • 개인정보보호법 - 개인정보 보호 법률
   • 클라우드컴퓨팅법 - 클라우드 이용자 보호
   • 전자금융감독규정 - 금융권 보안 규정
8. 보안 자동화 및 DevSecOps
   • GCP Deployment Manager - 인프라 코드화
   • Terraform Google Provider - Terraform GCP 프로바이더
   • Cloud Build Security - 안전한 CI/CD 파이프라인
9. 보안 도구 및 오픈소스
   • ScoutSuite - 멀티클라우드 보안 감사 도구
   • CloudSploit - 클라우드 보안 스캐너
   • Forseti Security - GCP 보안 자동화 도구 (아카이브)
   • Open Policy Agent - 정책 기반 제어
10. 교육 및 인증
    • Google Cloud Certified Professional Cloud Security Engineer - GCP 보안 전문가 인증
    • Coursera: Security in Google Cloud - GCP 보안 교육 과정
    • Google Cloud Skills Boost - 실습 기반 학습

마지막 업데이트: 2026-01-14 작성 기준: SK Shieldus 2024년 GCP 클라우드 보안 가이드