로그를 "쌓는 것"과 "감지하는 것"은 전혀 다른 문제다. CloudTrail이 무슨 일이 일어났는지 기록한다면, Amazon CloudWatch는 그 기록을 수치화하고, 임계를 정의하고, 임계를 넘는 순간 사람을 깨우는 운영 평면이다. 보안 시험의 관점에서 CloudWatch는 단순 모니터링 도구가 아니라 "텍스트 로그 → 메트릭 → 알람 → 자동 대응"으로 이어지는 탐지 파이프라인의 첫 변환기다. 이 변환의 메커니즘 — 로그가 어떻게 숫자가 되고, 숫자가 어떻게 경보가 되는지 — 을 정확히 아는 것이 핵심이다.
week7에서 CloudTrail이 무엇을 어떻게 기록하는가를, 그리고 그 레코드를 어떻게 읽는가를 다뤘다. 이번 주는 방향이 반대다. 이미 쌓인 로그를 질의와 알림으로 바꾸는 배관을 짓는다. 오늘은 그 배관의 첫 구간 — 로그 그룹에 들어온 텍스트가 메트릭이 되고, 메트릭이 알람이 되고, 알람이 사람과 자동화로 갈라지는 구간 — 을 끝까지 따라간다.
[ Week 8이 짓는 배관 전체. 오늘(day1)은 굵게 표시한 구간 ]