AWS 클라우드 따라잡기 20장

이번 장은 보안 운영과 위협 탐지를 다룬다.

12장에서 보안의 기본을 봤다면, 이번엔 지속적으로 감시하고 대응하는 운영 관점을 배운다.

이 장의 목표는 다음과 같다.

• 위협을 탐지하는 서비스를 안다.
• 설정 규정 준수를 자동으로 점검한다.
• 보안 상태를 한곳에서 관리한다.

1. GuardDuty — 위협 탐지

GuardDuty는 지능형 위협 탐지 서비스다.

• CloudTrail 로그, VPC 흐름 로그, DNS 로그를 자동 분석한다.
• 비정상 행위(예: 알려진 악성 IP와 통신, 비정상적 API 호출)를 탐지한다.
• 별도 설정이나 에이전트 없이 켜기만 하면 동작한다.

2. Config — 설정 규정 준수

Config는 리소스의 설정 변경을 기록하고 규칙과 비교한다.

• "모든 S3 버킷은 암호화돼야 한다" 같은 규칙을 정한다.
• 규칙을 위반한 리소스를 찾아내고, 자동으로 교정할 수도 있다.
• 설정 이력을 남겨 "언제 이 설정이 바뀌었나"를 추적한다.

3. Inspector — 취약점 점검

Inspector는 워크로드의 취약점을 자동으로 스캔한다.

• EC2, 컨테이너 이미지(ECR), Lambda의 알려진 취약점(CVE)을 찾는다.
• 패치가 필요한 소프트웨어를 알려 준다.

4. Security Hub — 통합 관리

Security Hub는 위 서비스들의 결과를 한곳에 모은다.

• GuardDuty·Inspector·Config 등의 발견을 통합 대시보드로 본다.
• 보안 표준(모범 사례) 대비 점수를 보여 준다.
• 우선순위를 정해 대응하기 쉽게 한다.

5. 사고 대응의 흐름

전형적인 자동화 흐름은 이렇다.

GuardDuty(위협 탐지) → EventBridge(규칙) → Lambda/SNS(자동 대응·알림)

탐지에서 그치지 않고 자동 격리·알림까지 이어지게 설계한다.

정리

• GuardDuty는 로그를 분석해 위협을 자동 탐지한다.
• Config는 설정 규정 준수를, Inspector는 취약점을 점검한다.
• Security Hub가 이 모두를 통합해 한눈에 보여 준다.
• 탐지→이벤트→자동 대응으로 보안 운영을 자동화한다.

다음 장에서는 최악의 상황에 대비하는 재해 복구와 백업을 다룬다.