CloudTrail이 "누가 무엇을 했는가"(활동)를 기록한다면, AWS Config는 "리소스가 지금 그리고 과거의 각 시점에 어떤 상태였는가"(구성)를 기록한다. 둘은 보완 관계다. 침해 조사에서 CloudTrail은 AuthorizeSecurityGroupIngress 호출을 보여주지만, AWS Config는 그 결과 보안 그룹이 0.0.0.0/0:22로 열렸고 그것이 며칠간 지속됐다는 상태와 시간선을 보여준다.
보안 시험에서 Config는 "규정 준수 평가", "구성 드리프트 탐지", "원하는 상태 강제(자동 교정)"의 핵심 도구다.
📚 사례: 공개적으로 보고된 대규모 클라우드 데이터 노출 사고 중 상당수는 취약점 익스플로잇이 아니라 구성 실수였다. 잘못 열린 스토리지 버킷, 인터넷에 노출된 데이터베이스, 0.0.0.0/0으로 열린 관리 포트 — 반복되는 패턴은 늘 같다. 그리고 이 사고들이 공통적으로 보여 준 더 뼈아픈 사실은, 문제의 설정이 사고가 알려지기 몇 주 또는 몇 달 전부터 그 상태였다는 점이다. 즉 실패는 "잘못 설정한 순간"이 아니라 "잘못된 상태가 아무에게도 보이지 않은 채 지속된 기간"에서 발생한다. AWS Config의 존재 이유가 정확히 여기다 — 구성을 사건이 아니라 지속되는 상태로 다루고, 그 상태가 기준에서 벗어난 순간부터 그것을 계속 붉게 표시한다