Day 5 - D-Day 마무리: 시험장 전략 · 키워드→서비스 번역 · 함정 총정리

12주의 마지막 날이다. 오늘은 새 지식이 아니라 시험장에서 점수로 바꾸는 기술을 정리한다. SCS-C03은 65문항·170분, 합격선은 750/1000(스케일드). 아는 것을 제 시간에·함정을 피해 답으로 옮기는 것이 마지막 관문이다.

시험장 운영 전략

• 시간 배분: 65문항 / 170분 = 문항당 ~2.6분. 첫 패스에서 막히면 검토 표시(flag for review)를 하고 넘어간다. 한 문제에 4분 이상 쓰지 말 것.
• 2-패스 방식: 1패스에서 확실한 것만 답하고 나머지는 표시. 2패스에서 표시 문항을 집중. 시간 압박을 분산한다.
• 지문 먼저, 보기 나중: 질문의 마지막 문장(실제 묻는 것)을 먼저 읽고 본문으로 돌아오면 노이즈가 줄어든다.
• 빈칸 금지: 오답 감점이 없다. 모르면 소거 후 찍어도 표시해두고 넘어간다.
• "MOST/BEST/LEAST" 강조어: 작동하는 답이 여럿일 때 정도를 묻는다. 선호 위계(managed>self, automated>manual, prevent>detect>respond)로 가린다.

Specialty는 "지식 시험"이 아니라 "판단 시험"이다. 두 보기가 모두 동작해도 AWS Well-Architected의 보안 기둥 원칙 — 최소 권한, 다계층 방어, 추적 가능성(traceability), 자동화된 보안, 전송·저장 데이터 보호 — 에 더 부합하는 쪽이 답이다. 막판 2지선다는 거의 항상 이 원칙 중 하나로 갈린다.

한정어 한 장 요약

문항 끝의 한 단어가 채점 기준이다. 어제 표의 압축본을 시험장 직전에 한 번 훑는다.

키워드 → 서비스 번역 사전

지문의 표현을 서비스로 즉시 번역하는 반사 신경. 이게 속도의 핵심이다. 분야별로 나눠 둔다.

① 탐지·조사·집계

② 로깅·감사·모니터링

③ 네트워크·인프라

④ 자격 증명·액세스

⑤ 데이터 보호·거버넌스

헷갈리는 짝 대조표 모음

시험 실점의 대부분은 모르는 것이 아니라 경계가 흐린 것에서 나온다. 시험장 직전에 이 절만 다시 읽어도 된다.

GuardDuty vs Inspector vs Macie vs Detective vs Access Analyzer vs Security Hub

SCP vs RCP vs 권한 경계 vs 리소스 정책 vs 세션 정책

판별 한 줄: 범위가 계정·OU면 SCP, 주체 하나면 권한 경계, 리소스 쪽이면 리소스 정책·RCP.

KMS 키 정책 vs IAM 정책 vs Grant

"AdministratorAccess인데 복호화가 안 된다"의 답은 대개 키 정책이다.

Object Lock Governance vs Compliance vs Legal Hold

SSE-S3 vs SSE-KMS vs DSSE-KMS vs SSE-C

Config vs CloudTrail vs VPC Flow Logs

Shield vs WAF vs Network Firewall vs NACL/SG

그 밖의 헷갈리는 쌍

• Security Hub vs Security Lake: finding(ASFF) 집계 vs 원천 로그(OCSF) 공급.
• Conformance Pack vs Audit Manager: 규칙 배포 vs 증거 포장. Audit Manager는 증거를 생성하지 않는다.
• Tag Policy vs SCP: 표기 표준화 vs 생성 차단.
• Control Tower vs StackSets: 가드레일 프레임워크 vs 배포 도구.
• Secrets Manager vs Parameter Store: 자동 로테이션 vs 저비용 설정값.
• Gateway vs Interface Endpoint: S3·DynamoDB 무료 vs 그 외 유료.
• Peering vs Transit Gateway: 전이 불가 vs 허브·전이 가능.
• 격리 vs 종료: 네트워크 차단(증거 보존) vs 증거 파괴.
• automation rules vs EventBridge: Security Hub 안에서 필드 변경 vs 밖으로 내보내 조치.

자주 틀리는 함정 총정리

마지막으로 가장 비싼 실수들을 한 번에 정리한다.

⚠️ 로깅·탐지 함정:

• CloudTrail 관리 이벤트는 S3 객체·Lambda 데이터 접근을 기록하지 않음 → 데이터 이벤트 별도 활성화.
• GuardDuty는 로그를 내부 소비하므로 Flow Logs/DNS 로그를 따로 켤 필요 없음 — 끄지 말 것.
• GuardDuty=위협, Inspector=취약점, Macie=데이터, Detective=조사, Security Hub=집약. 혼동 금지.
• VPC Flow Logs는 페이로드를 안 봄(허용/거부·메타만). 내용은 패킷 미러링·앱 로그.

⚠️ IAM·거버넌스 함정:

• SCP·Permission Boundary는 권한을 부여하지 않음 — 상한만 제한.
• 평가 순서: 명시적 Deny가 최우선, 그다음 SCP, Allow, Boundary, 암묵적 Deny.
• 장기 액세스 키를 워크로드에 두지 말 것 → 역할(인스턴스 프로파일/IRSA/실행 역할).
• 교차계정 위임에 External ID로 confused deputy 방지.
• IAM 역할=직원·워크로드, Cognito=앱 사용자.

네트워크 함정

• NACL은 stateless → 아웃바운드 임시 포트(1024-65535) 별도 허용.
• SG는 거부 규칙 없음(화이트리스트만). IP 차단은 NACL deny.
• VPC Endpoint 만들어도 엔드포인트/IAM 정책이 허용해야 통신.
• Network Firewall은 라우팅으로 트래픽을 강제 통과시켜야 검사됨.
• TGW로 stateful 검사 시 appliance mode 누락하면 비대칭 오작동.

데이터 보호 함정

• CloudFront용 ACM 인증서는 us-east-1에만 발급.
• KMS는 envelope encryption(대용량을 직접 암호화하지 않음).
• KMS 키 정책이 root를 신뢰해야 IAM 정책 위임 가능.
• KMS 키 삭제는 7~30일 대기 — 그 전엔 disable로 복구 가능.
• at-rest(SSE/KMS)와 in-transit(TLS·aws:SecureTransport)은 별개 통제 — 둘 다.
• SSE-S3는 키 감사·정책 통제 약함 → 통제 필요 시 SSE-KMS.

인시던트 대응 함정

• 침해 인스턴스를 즉시 terminate해 휘발성 증거 파괴.
• ASG·타깃 그룹에서 분리하지 않고 격리 → 헬스체크 실패로 ASG가 종료.
• 새 격리 SG의 기본 아웃바운드 허용을 제거하지 않아 유출이 계속됨.
• 인스턴스만 격리하고 STS 토큰을 폐기하지 않음(밖에서 만료까지 유효).
• 노출 키를 추적 전에 삭제해 accessKeyId 조회 축을 잃음.
• 근절 없이 복구해 백도어로 재침해.
• 비가역 조치를 무인 자동화에 넣어 오탐 한 번이 곧 장애.
• SG만 교체하고 established C2 세션이 유지됨(NACL·ENI 보조 필요).
• IAM 정책·SCP로 루트를 제한하려 함(관리 계정 프린시펄에 SCP 미적용).

거버넌스·증명 함정

• Audit Manager는 증거를 생성하지 않는다 — Config/CloudTrail/Security Hub 선행 필수.
• 현재 COMPLIANT는 기간 증명이 아니다 — 이력엔 Config 구성 이력 + CloudTrail.
• 로그·증거는 소급 생성 불가 — 요구가 오기 전에 켠 것만 증거가 된다.
• Tag Policy는 무태그 생성을 막지 못한다 — 차단은 SCP.
• Control Tower 관리 리소스 수동 변경 = 드리프트 → 랜딩 존 재적용.
• Firewall Manager는 Config가 전제, RemediationEnabled가 꺼지면 보고만 한다.
• auto-enable·위임 관리자는 서비스마다 따로.
• 컨트롤은 OU에 적용 — 계정 개별 적용은 신규 계정 누락.
• 리전 잠금 SCP에 글로벌 서비스·us-east-1 예외 누락 시 콘솔·CloudFront·ACM 파손.
• 서비스 연결 역할 호출은 SCP 평가에서 제외 — "특정 경로만 계속 통과"의 원인.

🎯 막판 2지선다 결정 규칙: 두 답이 모두 작동하면 — (1) 더 관리형인가? (2) 더 자동화인가? (3) 더 최소 권한인가? (4) 더 우회 불가능한가? (5) 예방 > 탐지 > 대응 위계에서 더 앞인가? (6) 조직 전체 강제가 가능한가? (7) 가역적인가(자동 대응 문항일 때)? 이 중 더 많이 만족하는 쪽이 best.

결정 트리: 막판 2지선다를 가르는 순서

두 보기가 모두 "동작"한다
   │
   ├─① 한정어가 있는가?  ── 있으면 그 축이 채점 기준이다. 여기서 끝난다.
   │      MOST cost-effective → 무료·기본 제공 쪽
   │      LEAST operational overhead → 관리형 쪽
   │      MOST secure → 더 좁고 더 불변인 쪽
   │
   ├─② 제약 조건을 어기는 쪽이 있는가?
   │      "no internet" / "existing app" / "multi-account" / "regulatory"
   │      → 하나라도 어기면 그 보기는 즉시 탈락
   │
   ├─③ 요구 동사와 통제 계층이 맞는가?
   │      prevent → SCP·정책 Deny·능동 컨트롤
   │      detect  → Config·GuardDuty·Access Analyzer
   │      respond → EventBridge·Lambda·SSM
   │      (탐지 도구로 차단하겠다는 보기는 오답)
   │
   ├─④ 반쪽 조치인가?
   │      경로만 잠그고 권한은 그대로 / 봉쇄만 하고 추적·근절 없음
   │      → 조합을 갖춘 쪽이 best
   │
   ├─⑤ 극단적 서술인가?
   │      "모두 자동화" "모두 수동" "탐지를 끈다" "전 권한 회수"
   │      → 극단은 대개 오답
   │
   └─⑥ 그래도 갈리면 ── 선호 위계
          managed > self-managed
          automated > manual
          prevent > detect > respond
          조직 강제 > 계정 개별
          가역 자동화 > 비가역 자동화

시험 전날·당일 운영

지식은 이미 끝났다. 남은 변수는 컨디션과 절차다.

전날에 하면 좋은 것 — 새 자료를 펼치지 않는다. 오늘 문서의 대조표와 함정 목록만 훑는다(새 지식은 불안만 늘린다). 시험 장소·시간·필요 신분증을 확인하고, 온라인 응시라면 시스템 점검과 책상 정리를 미리 끝낸다. 충분히 잔다 — 170분 집중력은 마지막 20문항에서 갈리고, 그 구간의 정확도는 수면에 직접 비례한다.

당일 운영 — 시작 직후 30초를 써서 체크포인트 숫자를 머릿속에 다시 새긴다(33번에서 85분). 1패스는 확신 문항 위주로 빠르게, 표시 문항은 잠정 답을 반드시 채우고 넘긴다. 화면의 검토 표시(flag) 기능과 남은 시간 표시를 초반에 확인해 두면 중반에 헤매지 않는다. 중간에 페이스가 무너졌다고 느끼면 지문 읽는 순서로 돌아간다 — 마지막 문장 → 제약 조건 → 보기.

시험은 "이 서비스를 아는가"보다 "이 상황에서 옳은 조합을 고르는가"를 본다. 그래서 단일 정답 암기보다 시나리오 분해 → 키워드 번역 → 함정 회피 → 선호 위계 적용의 흐름이 점수를 만든다. 모르는 문제는 표시하고 넘기는 결단이 전체 점수를 지킨다. 한 문제의 완벽함보다 65문제의 페이스가 합격을 만든다. 12주간 쌓은 도메인별 정신 모델 — 탐지·대응 신경계(1·2), 경로×권한 이중통제(3·4), 암호화×거버넌스 전파(5·6) — 를 그대로 적용하면 된다. 그리고 하나 더: 긴장은 지문을 짧게 읽게 만든다. 실전에서 아는 문제를 틀리는 가장 흔한 경로가 "제약 조건 한 줄을 건너뛴 것"이다. 속도를 내야 할 곳은 보기 소거이지 지문 독해가 아니다.

이 자격증이 요구하는 판단이 실제로 어떤 사건들에서 유래했는지 한 줄씩만 되짚어 두면, 함정 목록이 암기가 아니라 이야기로 남는다. Code Spaces(2014) — 계정이 탈취된 상태에서 데이터와 같은 계정에 있던 백업까지 지워져 회사가 문을 닫았다. → 로그·백업은 만든 주체가 지울 수 없는 계정에. Capital One(2019) — SSRF로 인스턴스 메타데이터에 도달해 역할의 임시 자격증명을 얻어 데이터가 반출됐고, 인지는 외부 제보로 이뤄졌다. → 격리와 자격증명 회수는 별개이고, IMDSv2·최소 권한은 대응이 아니라 준비 항목이며, 자체 탐지 루프가 없으면 인지 자체가 늦는다. Equifax(2017) — 패치 누락으로 진입이 이뤄졌고, 트래픽 검사 장비의 인증서가 만료된 채 방치돼 오랜 기간 탐지가 작동하지 않았다. → 통제는 "설치했다"가 아니라 "지금 작동한다"가 확인돼야 한다. SolarWinds(2020) — 신뢰된 공급망을 통해 침투했고 결국 한 보안 기업의 자체 이상 탐지로 드러났다. → 신뢰 경계는 내부에도 그어야 하고, 최종 방어선은 언제나 스스로의 탐지다. 시험 보기에서 "정기적으로 사람이 점검한다"가 오답인 이유, "별도 계정에 불변 보관한다"가 정답인 이유가 모두 이 네 문장 안에 있다.

마지막 체크리스트 (시험 직전)

• 6개 도메인의 핵심 서비스를 키워드로 즉시 번역할 수 있는가
• 함정 5종(데이터 이벤트, SCP 비부여, NACL 임시 포트, ACM us-east-1, KMS 대기)을 외웠는가
• GuardDuty/Inspector/Macie/Detective/Security Hub의 역할 구분이 명확한가
• IAM 평가 순서(Deny→SCP→Allow→Boundary)가 반사적으로 떠오르는가
• 2-패스 전략과 검토 표시(flag for review)로 시간을 관리할 준비가 됐는가
• 막판 2지선다 결정 규칙(managed/automated/least-priv/prevent)을 기억하는가

정리

12주를 한 문장으로 압축하면 이렇다. "로그가 증거를 만들고, 탐지가 판단을 만들고, 경계와 권한이 피해를 제한하고, 암호화와 거버넌스가 그 상태를 유지시킨다."

시험장에서 실제로 쓰는 것은 셋뿐이다.

1. 번역 — 지문의 표현을 서비스로 옮긴다. "변조 불가" → Object Lock, "인터넷 없이" → 엔드포인트, "즉시 무효화" → 키 비활성화·세션 폐기, "기존 소프트웨어 교체 불가" → 인프라 계층 해결, "최소 운영 부담" → 관리형.
2. 경계 — 헷갈리는 짝의 선을 긋는다. 위협/약점/데이터/관계/노출/집계, SCP/권한 경계/리소스 정책, Governance/Compliance, Config/CloudTrail/Flow Logs.
3. 위계 — 두 답이 모두 동작하면 한정어 → 제약 → 통제 계층 → 조합 → 선호 위계 순으로 가른다.

이 셋이 되면 나머지는 페이스의 문제다. 33번에서 85분, 1패스 150분, 표시 문항에 20분. 어떤 문항도 빈칸으로 두지 않는다.

마지막으로 하나만 더. 모르는 문항을 만나는 것은 실패의 신호가 아니라 정상 분포다. 합격선은 만점이 아니고, 채점되지 않는 문항도 섞여 있다. 한 문항에 흔들려 다음 다섯 문항의 집중을 잃는 것이 실제 위험이다. 표시하고, 넘어가고, 돌아오면 된다.

침착하게 분해하고, 번역하고, 함정을 피하면 된다.

📝 연습 문제

선택지를 클릭하면 정답·해설이 펼쳐집니다.

문제 1

시험 중 한 문제에서 4분째 두 보기 사이에서 결정하지 못하고 있다. 가장 합리적인 행동은?

• A정답이 나올 때까지 계속 붙든다
• Bflag for review로 표시하고 다음 문제로 넘어가, 2패스에서 다시 본다
• C빈칸으로 비워둔다
• D시험을 일찍 종료한다

문제 2

지문에 "사람의 개입 없이 자동으로(automatically, without manual intervention) 비준수 리소스를 교정"이라는 표현이 있다. 이 키워드가 가리키는 전형적 패턴은?

• A매일 사람이 콘솔에서 점검
• BConfig/GuardDuty finding → EventBridge → Lambda 또는 SSM Automation 자동 교정
• CIAM 정책 검토 회의
• DTrusted Advisor 주간 리포트

문제 3

"조직의 어떤 계정에서도 특정 작업을 할 수 없게 막아라"는 요구가 나왔다. 두 보기가 (A) Config 규칙으로 탐지, (B) SCP로 Deny일 때 best는?

• AConfig 규칙 — 위반을 발견하므로
• BSCP로 Deny — 예방 통제로 애초에 행위를 불가능하게 함(예방 > 탐지)
• C둘 다 동일하다
• DIAM 정책을 계정마다 수동 부착

문제 4

두 보기가 모두 작동한다: (A) EC2에서 cron으로 직접 키를 교체하는 스크립트, (B) Secrets Manager 자동 로테이션. SCS-C03에서 선호되는 답과 이유는?

• A직접 스크립트 — 더 유연하므로
• BSecrets Manager 자동 로테이션 — 관리형·자동화가 자체 구현보다 선호됨(managed > self-managed)
• C둘 다 같다
• D키 교체는 불필요하다

문제 5

다음 함정 진술 중 사실과 다른 것은?

• ACloudTrail 관리 이벤트는 S3 객체 수준 접근을 기록하지 않는다
• BSCP는 권한을 부여하지 않고 상한만 제한한다
• CCloudFront용 ACM 인증서는 어느 리전에서나 발급해도 된다
• DNACL은 stateless라 아웃바운드 임시 포트를 별도 허용해야 한다

문제 6

"MOST cost-effective(가장 비용 효율적인) 방법으로 프라이빗 서브넷에서 S3에 접근"이라는 요구다. 강조어 "MOST cost-effective"가 가르는 답은?

• ANAT Gateway 경유(시간당·데이터 처리 과금)
• BS3 Gateway VPC Endpoint(무료)
• CInterface Endpoint(시간당·데이터 과금)
• D퍼블릭 IP 부여

문제 7

시험 마인드셋으로 가장 부적절한 것은?

• A질문의 마지막 문장(실제 묻는 것)을 먼저 파악한다
• B모르는 문제는 끝까지 붙들어 반드시 풀고 넘어간다
• C두 답이 모두 작동하면 선호 위계(managed/automated/least-priv/prevent)로 가린다
• D명백히 요구를 어기는 보기(키 하드코딩·퍼블릭화)는 즉시 소거한다

문제 8

"S3에 신용카드 번호가 저장돼 있는지 자동 발견"과 "EC2에 미패치 CVE가 있는지 평가"라는 두 요구를 각각 올바른 서비스에 연결한 것은?

• A둘 다 GuardDuty
• B전자는 Macie(S3 민감 데이터 분류), 후자는 Inspector(취약점·CVE 평가)
• C전자는 Inspector, 후자는 Macie
• D둘 다 Config