1.10 AWS 계정 패스워드 정책 관리

취약점 설명

패스워드를 생성할 때는 복잡도를 충족하도록 설정해야 한다.

일반적으로 3종류 이상의 조합(대 소문자, 숫자 특수문자) 및 8자리 이상의 패스워드를 기준으로 한다.

또는 2종류 이상의 조합 + 10자리 이상의 패스워드도 가능.

AWS에서는 계정의 패스워드를 설정할때 복잡도를 충족하도록 강제하는 정책이 기본적으로 적용되는데,

해당 설정을 개인 설정으로 변경하여 취약하게 사용할 경우 보안적으로 위험할 수 있다.

딴소리

SK AWS 진단 가이드에선 패스워드 만료 및 이전 패스워드 사용 제한을 설정하도록 권고하고 있는데,

해당 사항은 AWS 기본 정책에 적용되어 있지 않기 때문에 계정 설정에서 개인 설정을 통해 해당 정책을 설정해주어야 한다.

진단 방법

01. [IAM] -> [액세스 관리] -> [계정 설정] -> 암호 정책을 올바르게 설정하여 사용하고 있는지 확인

* AWS 기본암호 정책은 패스워드 만료, 이전패스워드 사용 금지 정책이 존재하지 않으므로 취약

02. 정책 설정 설명을 위해 편집 페이지 진입

03. 사용자 지정으로 들어가면 기타 요구사항에 패스워드 만료 관련 정책이 존재함을 확인할 수 있다.

양호 취약 기준

참고