피드로 돌아가기
Dev.toSecurity
원문 읽기
월 21달러 투자로 Infostealer 기반 자격 증명 탈취 원천 차단
Lazy SRE's guide to secure systems, part 5: the dev laptop is the perimeter
AI 요약
Context
브라우저 저장 자격 증명과 MFA 부재를 악용한 Infostealer Malware가 Snowflake 등 대규모 데이터 웨어하우스 침해 사고의 주원인으로 작용함. 개인 기기 사용 및 보안 설정 부재로 인한 엔지니어 노트북의 Perimeter 붕괴가 시스템 전체의 보안 취약점으로 연결됨.
Technical Solution
- Fleet과 platform-specific MDM 조합을 통한 중앙 집중형 하드웨어 구성 관리 및 보안 정책 강제 적용
- FileVault 암호화 강제 및 Recovery Key 에스크로 설정을 통한 물리적 데이터 유출 방지 구조 설계
- WebAuthn/FIDO2 기반 YubiKey 도입으로 Keylogger가 작동하는 환경에서도 유효한 Phishing-resistant MFA 구현
- ssh-keygen ed25519-sk 설정을 통해 Private Key를 하드웨어 내부에 상주시켜 디스크 내 키 노출 가능성 제거
- Microsoft Defender for Business 도입을 통한 Managed Detection 체계 구축으로 개별 엔지니어의 EDR 수동 스캔 의존성 제거
- No-BYOD 정책 및 MDM 기반 원격 Wipe 프로세스로 Offboarding 시의 권한 회수 경로 일원화
실천 포인트
- YubiKey 2개를 도입하여 GitHub, Google, Okta에 등록하고 SMS MFA 비활성화 - MDM을 통한 FileVault 활성화 여부 주기적 쿼리 및 Slack 알림 자동화 - 브라우저 내 자격 증명 저장 기능을 끄고 전용 Password Manager로 전환 - SSH 키 생성 시 `-O resident` 옵션을 사용하여 하드웨어 토큰 내에 키 저장