본문으로 건너뛰기
aws검색
운영, 보안, 비용

보안 서비스 (GuardDuty, Security Hub, KMS, Secrets Manager, WAF)

위협 탐지(GuardDuty), 보안 상태를 한곳에 모으는 Security Hub(2025-12 GA 된 새 Security Hub 와 Security Hub CSPM 의 관계), 암호화 키(KMS), 비밀 관리(Secrets Manager), 웹 방어(WAF, Shield)를 조직 단위로 켜는 순서와 비용, 흔한 실수 중심으로 정리합니다.

GuardDutySecurity HubKMSSecrets ManagerWAF2026-10 기준, 약 7분상태 표시 설명

무엇을 먼저 켜나

계정이 하나든 수백 개든 순서는 비슷합니다. 아래 서비스는 모두 Organizations 의 위임 관리자를 보안 도구 계정으로 정해 조직 전체에 자동으로 켭니다. 새 계정이 생기면 자동으로 포함되게 하는 설정이 핵심입니다.

순서서비스이유
1CloudTrail 조직 추적모든 조사의 출발점. CloudWatch, CloudTrail, Config 참고
2GuardDuty켜기만 하면 위협 탐지 시작, 에이전트 불필요
3Security Hub탐지 결과와 설정 점검을 한 화면으로
4IAM Access Analyzer외부에 공개된 리소스, 쓰지 않는 권한 찾기
5InspectorEC2, 컨테이너 이미지, Lambda 의 취약점 스캔
6MacieS3 의 개인정보 탐지(필요한 버킷만)

GuardDuty

GuardDuty 는 CloudTrail 관리 이벤트, VPC 흐름 로그, DNS 질의 로그를 AWS 가 직접 읽어 이상 행동을 찾습니다. 흐름 로그를 따로 켜지 않아도 됩니다.

  • 보호 플랜: S3 Protection(데이터 이벤트 분석), EKS Protection, Runtime Monitoring(EC2, ECS, EKS 의 프로세스 수준 탐지, 에이전트 필요), Malware Protection(EC2 EBS 스캔, S3 업로드 스캔), RDS Protection(로그인 이상), Lambda Protection(네트워크 활동).
  • Extended Threat Detection: 개별 탐지를 묶어 여러 단계의 공격 시퀀스로 보여 줍니다. re:Invent 2025 에서 EC2 와 ECS 까지 넓어졌습니다.
  • 탐지 결과는 EventBridge 로 보내 Slack, 티켓 시스템, 자동 대응 Lambda 로 연결합니다.
{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": { "severity": [{ "numeric": [">=", 7] }] }
}

주의 탐지 결과를 일괄 "보관" 하는 억제 규칙을 넓게 걸면 진짜 공격도 같이 사라집니다. 억제 규칙은 계정, 리소스, 탐지 유형을 좁혀서 만들고 이유를 기록합니다.

Security Hub

2025-12-02 에 새 Security Hub 가 GA 됐습니다. GuardDuty, Inspector, Macie, 설정 점검 결과를 묶어 상관 분석하고, 노출(exposure)과 공격 경로 관점으로 우선순위를 매겨 보여 줍니다. 예전의 Security Hub 는 Security Hub CSPM 이라는 이름으로 이어지며, CIS, AWS 기초 보안 모범 사례(FSBP) 같은 표준으로 설정을 점검하는 역할을 맡고 새 Security Hub 의 데이터 원천이 됩니다.

이름역할
Security Hub (2025-12 GA)여러 보안 서비스 결과를 묶어 우선순위, 상관 분석, 대응
Security Hub CSPM보안 표준 기준의 설정 점검(이전의 Security Hub)
  • 중앙 구성으로 위임 관리자 계정에서 조직 전체에 표준, 통제를 정책으로 배포합니다.
  • 교차 리전 집계로 모든 리전 결과를 서울 같은 홈 리전 하나에서 봅니다.
  • 2026-07 에는 Security Hub 의 네트워크 스캐닝 기능이 발표됐습니다. 쓰기 전에 콘솔에서 단계와 지원 리전을 확인합니다.

KMS

키 종류특징
AWS 관리형 키 (aws/s3 등)서비스가 자동 생성, 정책 수정 불가, 교차 계정 공유 불가
고객 관리형 키 (CMK)키 정책, 그랜트, 교체 주기를 직접 관리. 키당 월 요금과 API 호출 요금
다중 리전 키여러 리전에 같은 키 재료. 리전 간 복제 데이터 복호화
  • 키 정책이 KMS 권한의 출발점입니다. 키 정책이 계정을 신뢰하지 않으면 IAM 정책만으로는 키를 쓸 수 없습니다.
  • 자동 교체를 켜면 기본 1 년마다 새 키 재료가 생기고, 예전 데이터는 그대로 복호화됩니다. 교체 주기는 90 일부터 2,560 일까지 정할 수 있습니다.
  • 키를 지우면 그 키로 암호화한 데이터는 영원히 복구할 수 없습니다. 그래서 삭제는 7 일부터 30 일의 대기 기간을 거칩니다. 먼저 키를 비활성화해 보고 문제가 없을 때 삭제를 예약합니다.
  • S3 의 SSE-KMS 를 대량으로 쓰면 KMS 호출 요금이 커집니다. S3 버킷 키를 켜면 호출이 크게 줄어듭니다.
aws kms create-key --description "app-prod data key" --tags TagKey=env,TagValue=prod
aws kms enable-key-rotation --key-id <키 ID> --rotation-period-in-days 365

Secrets Manager 와 Parameter Store

서비스맞는 곳
Secrets ManagerDB 비밀번호, API 키. 자동 교체, 교차 계정 공유, 다중 리전 복제. 비밀당 월 요금
Systems Manager Parameter Store설정값, 기능 플래그. Standard 파라미터는 무료. SecureString 으로 암호화 저장

RDS, Aurora, Redshift 는 관리형 교체를 지원해서 Lambda 를 직접 쓰지 않아도 됩니다. 애플리케이션은 비밀을 시작할 때 한 번 읽지 말고, 캐싱 클라이언트로 읽어 교체 후에도 새 값을 받게 합니다. Lambda 에서는 Parameters and Secrets Lambda Extension 이 캐시를 맡습니다.

WAF 와 Shield

  • AWS WAF 는 CloudFront, ALB, API Gateway, AppSync, Cognito 사용자 풀 등에 웹 ACL 로 붙습니다.
  • 관리형 규칙 그룹: Core rule set, Known bad inputs, SQL 데이터베이스, IP 평판 목록부터 시작합니다. 새 규칙은 먼저 Count 모드로 며칠 지켜본 뒤 Block 으로 바꿉니다.
  • 속도 기반 규칙으로 IP, 헤더, 쿼리 단위의 요청 폭주를 막습니다.
  • Bot Control, Fraud Control(계정 탈취, 가짜 가입 방지)은 추가 요금이 있는 관리형 규칙입니다.
  • Shield Standard 는 모든 고객에게 무료로 3, 4 계층 DDoS 를 막습니다. Shield Advanced 는 조직당 월 정액과 1 년 약정이 있고, DDoS 대응팀 지원과 DDoS 로 늘어난 요금 보호를 줍니다.
  • CloudFront 의 정액 요금제는 WAF 와 DDoS 보호를 포함합니다.

흔한 실수

  • GuardDuty 를 한 리전에서만 켬: 공격자는 쓰지 않는 리전에서 채굴 인스턴스를 띄웁니다. 모든 리전에 켜거나, SCP 로 쓰지 않는 리전을 막습니다.
  • Security Hub 결과를 아무도 안 봄: 담당 팀과 처리 기한(심각도별 SLA)을 정하고 자동화 규칙으로 담당자를 지정합니다.
  • KMS 키 정책에 "Principal": "*" 를 조건 없이 둠: 반드시 aws:PrincipalOrgID 같은 조건을 붙입니다.
  • 비밀을 환경 변수, 코드, AMI 에 넣음: 유출 시 교체할 방법이 없습니다.
  • WAF 를 바로 Block 모드로: 정상 요청을 막아 장애가 납니다.

이 문서에서