Cloud 환경이 복잡해질수록 단순한 접근 제어만으로는 충분하지 않습니다.
정상적인 사용자인지, 비정상적인 접근인지, 악성 활동이 발생하고 있는지를 지속적으로 분석하는 보안 탐지 시스템이 필요합니다.
AWS에서는 이를 위해 Amazon GuardDuty를 제공합니다.
예:
AWS Resource 사용
↓
보안 데이터 분석
↓
이상 행동 탐지
↓
Security Finding 생성
↓
대응 처리
GuardDuty는 AWS 환경에서 위협 탐지와 보안 분석을 담당하는 핵심 서비스입니다.
| 구성 요소 | 역할 |
|---|---|
| Finding | 탐지된 보안 이벤트 |
| Threat Intelligence | 악성 정보 분석 |
| Machine Learning | 이상 행동 탐지 |
| CloudTrail 분석 | API 활동 분석 |
| Security Hub 연동 | 통합 보안 관리 |
AWS GuardDuty 구조를 이해하면 Enterprise Cloud Security Monitoring Architecture를 설계할 수 있습니다.
AWS GuardDuty란?
Amazon GuardDuty는 AWS Resource와 Application 환경을 분석하여 보안 위협을 탐지하는 Managed Threat Detection 서비스입니다.
탐지 대상:
- 비정상 API 호출
- 악성 IP 접근
- 계정 탈취 의심 활동
- Malware
- Network 이상 행동
Machine Learning 기반으로 보안 이벤트를 분석합니다.
AWS GuardDuty Architecture
기본 구조:
AWS Resource
↓
CloudTrail / VPC Flow Logs / DNS Logs
↓
GuardDuty 분석 Engine
↓
Security Finding 생성
↓
Response다양한 보안 데이터를 기반으로 위협을 탐지합니다.
AWS GuardDuty Finding이란?
Finding은 GuardDuty가 발견한 보안 이벤트입니다.
포함 정보:
- 공격 유형
- 심각도
- 발생 시간
- 대상 Resource
- Source IP
보안 담당자가 대응할 수 있도록 정보를 제공합니다.
AWS GuardDuty 데이터 분석 구조
GuardDuty는 다양한 AWS 데이터를 분석합니다.
| 데이터 | 분석 내용 |
|---|---|
| CloudTrail | API 활동 |
| VPC Flow Logs | Network Traffic |
| DNS Logs | 비정상 Domain |
| S3 Data Event | Object 접근 |
Cloud 환경 전체를 분석합니다.
AWS GuardDuty와 CloudTrail 연결
API 이상 탐지:
IAM User
↓
AWS API 호출
↓
CloudTrail 기록
↓
GuardDuty 분석
↓
Threat Detection비정상 API 활동을 발견할 수 있습니다.
AWS GuardDuty와 VPC Flow Logs
Network 분석:
Network Traffic
↓
VPC Flow Logs
↓
GuardDuty
↓
Suspicious Activity Detection악성 Network 패턴을 탐지합니다.
AWS GuardDuty Malware Protection
GuardDuty는 Malware 탐지 기능을 제공합니다.
대상:
- EC2 Instance
- EBS Volume
- S3 Object
악성 파일 여부를 분석합니다.
AWS GuardDuty와 S3 Protection
S3 보안:
S3 Bucket
↓
Object Access
↓
GuardDuty Analysis
↓
Suspicious Activity Detection비정상적인 데이터 접근을 탐지합니다.
AWS GuardDuty와 Security Hub 연결
통합 Security 구조:
GuardDuty
↓
Security Hub
↓
Security Dashboard
↓
Response여러 보안 서비스를 통합 관리할 수 있습니다.
AWS GuardDuty와 EventBridge 자동 대응
자동화 구조:
GuardDuty Finding
↓
EventBridge
↓
Lambda
↓
Security Action예:
악성 IP 발견
↓
자동 차단
보안 대응 자동화가 가능합니다.
AWS GuardDuty와 Kubernetes 연결
EKS 환경:
EKS Cluster
↓
AWS Security Monitoring
↓
GuardDuty
↓
Threat Detection
↓
ResponseCloud Native 환경의 보안을 강화합니다.
AWS GuardDuty Severity Level
Finding은 심각도로 구분됩니다.
| Level | 의미 |
|---|---|
| Low | 낮은 위험 |
| Medium | 주의 필요 |
| High | 즉시 대응 필요 |
우선순위를 정하여 대응합니다.
AWS GuardDuty Security Best Practice
권장:
- 모든 Region 활성화
- Security Hub 연결
- EventBridge 자동화
- Finding 모니터링
- IAM 권한 검토
지속적인 Threat Detection 환경을 구축합니다.
AWS GuardDuty 장애 분석
Detector 확인:
aws guardduty list-detectorsFinding 조회:
aws guardduty list-findings상세 확인:
aws guardduty get-findings확인:
- Detector 상태
- Finding 발생 여부
- IAM Permission
- Event 연결 상태
AWS GuardDuty 장점
| 장점 | 설명 |
|---|---|
| Threat Detection | 위협 탐지 |
| Machine Learning | 이상 행동 분석 |
| Managed Service | 운영 부담 감소 |
| AWS 통합 | Cloud 보안 연동 |
GuardDuty는 AWS Security Monitoring Architecture의 핵심 서비스입니다.
자주 묻는 질문
GuardDuty는 Firewall인가요?
아닙니다.
Firewall은 Traffic을 제어하고 GuardDuty는 보안 이벤트를 탐지하는 분석 서비스입니다.
GuardDuty가 공격을 자동 차단하나요?
기본적으로는 탐지 서비스이며 EventBridge, Lambda 등과 연결하여 자동 대응을 구성할 수 있습니다.
GuardDuty와 CloudTrail 차이는 무엇인가요?
CloudTrail은 활동 기록이고 GuardDuty는 기록 데이터를 분석하여 위협을 탐지합니다.
마무리
AWS GuardDuty는 CloudTrail, VPC Flow Logs, DNS Logs 등 다양한 보안 데이터를 분석하여 악성 활동과 이상 행동을 탐지하는 Managed Threat Detection 서비스입니다.
| 구성 요소 | 역할 |
|---|---|
| Finding | 보안 이벤트 |
| CloudTrail | API 분석 |
| Flow Logs | Network 분석 |
| Machine Learning | 위협 탐지 |
| EventBridge | 자동 대응 |
AWS GuardDuty 구조를 이해하면 Enterprise Cloud 환경에서 Threat Detection과 자동화된 Security Response Architecture를 구축할 수 있습니다.