Day 5 - Week 4 종합: 보안과 규정 준수 한 번에 정리

1) 공동 책임 모델: 모든 답의 출발점

보안 문제를 만나면 항상 먼저 물어야 한다. "이건 AWS 책임인가, 고객 책임인가?"

• AWS (of the cloud): 물리 보안, 하드웨어, 네트워크 인프라, 가상화 계층, 관리형 서비스의 기반.
• 고객 (in the cloud): 데이터, 암호화 설정, 접근 권한(IAM), EC2의 OS·앱 패치, 방화벽 규칙.

핵심 원칙 두 가지: ① 관리형 서비스일수록 AWS 책임이 커진다. ② 데이터와 접근 권한은 어떤 경우든 항상 고객 책임이다.

규정 준수에도 같은 원리가 적용된다. AWS가 PCI/HIPAA 인증을 받아도 고객 앱이 자동으로 준수되는 건 아니다. 기반은 AWS, 그 위 구성은 고객.

책임 판정 연습. 아래 항목들을 왼쪽만 보고 스스로 답한 뒤 오른쪽을 확인해 본다. 시험에서 이 감각이 그대로 점수가 된다.

⚠️ 함정: "AWS가 ISO 27001 인증을 받았으니 우리 서비스도 규정을 준수한다"는 서술은 오답이다. AWS의 인증은 AWS가 제공하는 기반에 대한 것이지, 그 위에 고객이 무엇을 어떻게 올렸는지까지 보증하지 않는다. 비유하면 건물이 소방 검사를 통과했다고 해서 내가 그 건물 안에서 하는 영업이 자동으로 합법이 되는 건 아닌 것과 같다.

2) IAM: 누가 무엇을 할 수 있는가

기억할 모범 사례: 루트 사용자는 일상 사용 금지 + MFA 필수, 권한은 최소 권한 원칙으로, EC2가 다른 서비스에 접근할 땐 역할(Role) 사용(키 하드코딩 금지). IAM은 무료 글로벌 서비스다.

"EC2가 S3에 접근 → 역할", "동일 권한을 여러 명에게 → 그룹", "계정 보안 강화 첫 단계 → 루트 MFA"가 대표 매칭이다.

네 구성요소를 헷갈리지 않는 가장 쉬운 방법은 회사 출입증에 빗대는 것이다.

이 비유로 보면 왜 "EC2가 S3에 접근할 때 액세스 키를 코드에 박으면 안 되는지"도 자연스럽다. 액세스 키를 코드에 넣는 건 영구 출입증을 복사해서 아무 데나 놓아두는 것이고, 역할을 쓰는 건 필요할 때 임시 출입증을 받고 자동으로 만료시키는 것이다.

⚠️ 함정: "역할(Role)은 사용자보다 권한이 강한 것"이라는 식의 서술은 오답이다. 역할은 권한의 세기가 아니라 자격 증명을 주는 방식의 차이다. 비밀번호·액세스 키 같은 영구 자격 증명이 없고, 필요할 때 임시로 빌려준다는 점이 핵심이다.

3) 보안 서비스 6종: 무슨 위협을 막는가

헷갈리기 쉬운 짝:

• WAF vs Shield: WAF는 "요청 내용(웹 공격)", Shield는 "트래픽 물량(DDoS)".
• GuardDuty vs Inspector: GuardDuty는 "지금 일어나는 악의적 행동", Inspector는 "공격받기 쉬운 약점(취약점)".
• 개별 탐지 vs 통합: GuardDuty/Inspector/Macie가 탐지하고, Security Hub가 모아서 본다.

시험은 "이 시나리오에 맞는 서비스"를 묻는다. 각 서비스의 한 줄 정체성만 또렷하면 대부분 풀린다.

세 덩어리로 묶어 기억하기. 여섯 개를 나열해 외우면 시험장에서 섞인다. 역할로 묶으면 세 덩어리뿐이다.

[막는다]     WAF (웹 요청 내용 검사) · Shield (트래픽 폭주 방어)
[찾아낸다]   GuardDuty (수상한 행동) · Inspector (약점) · Macie (민감 데이터)
[모아 본다]  Security Hub (탐지 결과 통합 대시보드)

이 구도를 잡아두면 낯선 시나리오가 나와도 "지금 이 상황은 막는 얘긴가, 찾는 얘긴가, 모아 보는 얘긴가"부터 좁힐 수 있다.

상황 → 서비스 즉답 연습

함정: GuardDuty와 Inspector는 뒤바뀌기 쉬운 짝이다. 한 글자로 구분하면 GuardDuty는 행동, Inspector는 상태다. "누가 지금 이상한 짓을 하고 있다"는 GuardDuty, "우리 서버에 뚫릴 구멍이 있다"는 Inspector. 또 하나, Macie는 막는 서비스가 아니다. "민감 데이터 유출을 차단하라"가 아니라 "민감 데이터가 어디 있는지 찾아라"가 Macie의 일이다.

4) 규정 준수: 증명과 데이터의 국적

• AWS Artifact: SOC·ISO·PCI DSS 등 AWS의 규정 준수 보고서를 셀프 서비스로 다운로드하는 포털.
• AWS는 HIPAA·PCI DSS·ISO 27001·SOC·GDPR·FedRAMP 등 다양한 프로그램을 준수.
• 데이터 주권: 법규상 데이터를 특정 지역에만 둬야 하면 → 해당 리전을 선택. AWS는 고객 데이터를 선택한 리전 밖으로 임의 이동시키지 않는다.

"규정 준수 보고서 어디서? → Artifact", "데이터를 EU에만? → EU 리전 선택"이 핵심 매칭이다.

이 영역은 개념이 어렵다기보다 이름이 비슷한 도구들과 헷갈려서 틀린다. 아래 셋을 갈라둔다.

유럽 고객을 받기 시작한 한 국내 소프트웨어 회사가 첫 해외 계약 과정에서 두 가지 요구를 동시에 받았다. 하나는 "당신들이 쓰는 클라우드가 국제 보안 표준을 충족한다는 문서를 제출하라"였고, 다른 하나는 "우리 시민의 데이터는 유럽 밖으로 나가면 안 된다"였다. 처음 담당자는 두 요구를 같은 문제로 보고 한참 헤맸지만, 실제 해법은 완전히 달랐다. 앞의 것은 AWS Artifact에서 보고서를 내려받아 첨부하면 끝나는 서류 작업이었고, 뒤의 것은 EU 리전에 리소스를 만들고 데이터를 그곳에만 두는 설계 결정이었다. 시험에서도 이 둘은 늘 한 문항 안에 나란히 등장하니, 증명은 Artifact, 위치는 리전으로 갈라두면 된다.

5) 데이터 보호: 암호화·키·비밀

헷갈리기 쉬운 짝:

• in transit vs at rest: 이동 중 보호 vs 저장 중 보호.
• KMS vs CloudHSM: 통합 간편(기본) vs 전용 하드웨어 단독 통제(엄격).
• KMS vs Secrets Manager: 암호화 "키" 관리 vs "자격 증명(비밀)" 보관.

전체 한 장 흐름도

[누가 무엇을?]        IAM (사용자/그룹/역할/정책, MFA, 최소권한)
[누구 책임?]          공동 책임 모델 (AWS=of / 고객=in)
[외부 위협 차단]      WAF(웹) · Shield(DDoS)
[내부 위협 탐지]      GuardDuty · Inspector · Macie → Security Hub
[규정 증명/위치]      Artifact(보고서) · 리전 선택(데이터 주권)
[데이터 보호]         암호화(전송/저장) · KMS/CloudHSM · Secrets Manager

Week 4는 보안이 공동 책임이며 고객 몫의 도구를 알맞게 고르는 영역이다. 각 서비스의 한 줄 정체성과 헷갈리는 짝의 차이를 잡아 두면 보안 영역에 대비할 수 있다.

시험에 이렇게 나온다: 키워드 → 정답 총정리

보안 영역 문항은 대부분 문장 속 한두 단어가 정답을 결정한다. 아래 표의 왼쪽 표현을 보면 오른쪽이 바로 떠오르는 상태를 만드는 것이 이번 주 복습의 목표다.

자주 틀리는 오답 함정 10가지

한 주 내용을 통틀어, 실제로 사람들이 가장 많이 걸려 넘어지는 지점만 모았다. 각 항목은 "이렇게 쓰여 있으면 오답"이라는 형태로 기억해 두면 좋다.

1. "AWS가 인증을 받았으니 우리 서비스도 준수된다" — 기반과 그 위 구성은 별개다.
2. "데이터 보안은 AWS가 알아서 해준다" — 데이터와 접근 권한은 어떤 서비스에서든 항상 고객 몫이다.
3. "루트 액세스 키를 만들어 자동화에 쓴다" — 루트 키는 만들지 않는 것이 원칙이다.
4. "편의를 위해 일단 관리자 권한을 주고 나중에 줄인다" — 최소 권한 원칙의 정반대다.
5. "EC2에 액세스 키를 넣어 S3에 접근한다" — 정답은 언제나 IAM 역할이다.
6. "WAF로 DDoS를 막는다" / "Shield로 SQL 인젝션을 막는다" — 둘이 서로 바뀌었다. 내용은 WAF, 물량은 Shield.
7. "Inspector로 지금 벌어지는 침입을 탐지한다" — 그건 GuardDuty다. Inspector는 약점 점검이다.
8. "Macie가 민감 데이터 유출을 차단한다" — Macie는 찾아서 알려주는 쪽이다.
9. "규정 준수 보고서를 Trusted Advisor / Security Hub에서 받는다" — 보고서 포털은 Artifact 하나다.
10. "암호화만 켜면 잘못된 공개 설정도 안전해진다" — 암호화는 권한 실수를 막아주지 않는다.

함정: 목록 중에서도 6번과 7번이 압도적으로 많이 틀리는 짝이다. 시험장에서 헷갈리면 이렇게 되뇐다. "WAF는 편지 내용을 읽고, Shield는 편지 개수를 센다. GuardDuty는 현행범을 잡고, Inspector는 열린 창문을 찾는다."

자가 점검 체크리스트

아래 항목에 전부 "네"라고 답할 수 있으면 Week 4는 끝난 것이다. 하나라도 막히면 그 날짜의 글로 돌아간다.

공동 책임 모델 (Day 1)

• "of the cloud"와 "in the cloud"를 각각 한 문장으로 설명할 수 있다.
• 임의의 항목을 던져줬을 때 AWS 책임인지 고객 책임인지 즉시 판정할 수 있다.
• 관리형 서비스로 갈수록 책임 경계가 어느 쪽으로 움직이는지 안다.

IAM (Day 1)

• 사용자·그룹·역할·정책의 차이를 비유 없이도 구분해 말할 수 있다.
• EC2가 S3에 접근해야 할 때 왜 역할이 정답인지 설명할 수 있다.
• 루트 사용자에 대한 모범 사례 세 가지를 댈 수 있다.

보안 서비스 (Day 2)

• 여섯 서비스를 "막는다 / 찾아낸다 / 모아 본다"로 분류할 수 있다.
• WAF와 Shield, GuardDuty와 Inspector의 차이를 각각 한 문장으로 말할 수 있다.

규정 준수 (Day 3)

• 규정 준수 보고서를 어디서 받는지 안다.
• 데이터 주권 요구가 나오면 무엇을 조정해야 하는지 안다.

데이터 보호 (Day 4)

• 전송 중 암호화와 저장 시 암호화를 구분하고, 둘이 별개임을 안다.
• KMS가 기본 선택이고 CloudHSM이 예외인 이유를 설명할 수 있다.
• "열쇠"와 "비밀값"을 각각 어떤 서비스가 담당하는지 구분할 수 있다.

다음 주에는 비용 관리와 지원(요금, 청구, 지원 플랜) 영역으로 넘어가, 클라우드의 "돈 이야기"를 정리한다.

📖 용어

• 공동 책임 모델 : 클라우드 보안을 AWS와 고객이 나눠 맡는 방식. 기반은 AWS, 그 위에 올린 것은 고객.
• of the cloud / in the cloud : "클라우드 자체"의 보안(AWS) / "클라우드 안에 올린 것"의 보안(고객).
• IAM : 누가 무엇을 할 수 있는지 정하는 서비스. 무료이고 리전 구분이 없다.
• 역할(Role) : 영구 자격 증명 없이 임시로 권한을 빌려주는 방식. EC2 같은 서비스에 붙여 쓴다.
• 최소 권한 원칙 : 일에 꼭 필요한 만큼만 권한을 주고, 좁게 시작해 필요할 때 넓히는 원칙.
• MFA(다중 인증) : 비밀번호에 더해 두 번째 확인 수단을 요구하는 로그인 방식. 루트 사용자에 필수.
• WAF / Shield : 웹 요청의 내용을 검사해 막는 것 / 트래픽 물량 공격(DDoS)을 막는 것.
• GuardDuty / Inspector : 지금 벌어지는 수상한 행동 탐지 / 시스템에 남은 약점(취약점) 점검.
• Macie : S3에 담긴 개인정보 같은 민감 데이터를 찾아 분류해 알려주는 서비스.
• Security Hub : 여러 보안 서비스의 탐지 결과를 한 화면에 모아 보는 통합 대시보드.
• AWS Artifact : AWS의 규정 준수 보고서·인증서를 직접 내려받는 포털.
• 데이터 주권 : 데이터를 특정 국가·지역 안에만 두어야 한다는 법적 요구. 리전 선택으로 대응한다.
• KMS / CloudHSM : 암호화 키의 관리형 보관함(기본 선택) / 고객 전용 하드웨어 단독 통제(예외 상황).
• Secrets Manager : 비밀번호·API 키 같은 자격 증명을 보관하고 자동으로 교체해 주는 금고.

📝 연습 문제

선택지를 클릭하면 정답·해설이 펼쳐집니다.

문제 1

공동 책임 모델에 따라, EC2 인스턴스에서 실행되는 운영체제의 보안 패치는 누구의 책임인가?

• AAWS
• B고객
• CAWS와 고객이 공동으로 직접 수행
• D책임 주체가 없다

문제 2

대량의 트래픽을 동시에 퍼부어 서비스를 마비시키는 공격(DDoS)을 방어하며, 모든 고객에게 무료로 기본 제공되는 서비스는?

• AAWS WAF
• BAWS Shield Standard
• CAmazon GuardDuty
• DAmazon Macie

문제 3

한 회사가 AWS 서비스 전반에서 사용할 암호화 키를 손쉽게 관리하려 한다. 일반적인 요구에 가장 적합한 기본 선택은?

• AAWS CloudHSM
• BAWS KMS
• CAWS Secrets Manager
• DAWS Artifact

문제 4

감사를 위해 AWS가 받은 ISO 27001 인증서와 SOC 보고서를 받아야 한다. 그리고 별도로, 데이터를 EU 내에만 보관해야 한다. 각각에 대한 올바른 조치 조합은?

• AArtifact에서 보고서 다운로드 / EU 리전 선택
• BInspector로 보고서 생성 / 모든 리전에 복제
• CTrusted Advisor로 보고서 다운로드 / 인스턴스 유형 변경
• DSecurity Hub로 인증서 발급 / IAM 그룹 설정

문제 5

데이터베이스 비밀번호를 코드에 하드코딩하지 않고 안전하게 저장하며 주기적으로 자동 교체하려 한다. 가장 적합한 서비스는?

• AAWS Secrets Manager
• BAmazon Inspector
• CAWS WAF
• DAmazon Macie