기준: SOA-C02 시험 가이드오류 제보
한 주 동안 KMS의 키 격리부터 GuardDuty·Inspector·Macie·Security Hub의 탐지 분담까지 보안과 암호화의 전체 지형을 훑었다. 시험에서 이 영역의 문제는 거의 항상 "시나리오 속 한두 개의 키워드가 정답을 가리키는" 구조다. "리전을 넘어 복호화"라는 말이 나오면 Multi-Region Key고, "자동 회전"이 나오면 Secrets Manager고, "에이전트 없이 위협 탐지"가 나오면 GuardDuty다. 이 글은 그 키워드-정답 매핑을 한 번에 굳히는 복습이다.
복습의 핵심은 단순 암기가 아니라 왜 그 답인지의 이유를 함께 쥐는 것이다. KMS가 4KB만 처리하는 건 마스터 키를 대량 데이터에 노출시키지 않으려는 Envelope Encryption 강제 때문이고, Key Policy가 IAM보다 우선하는 건 키 하나가 뚫려도 전체가 노출되지 않게 하려는 폭발 반경 제한 때문이다. 이유를 알면 처음 보는 변형 문제도 풀린다. 아래 한 줄 요약과 비교표로 뼈대를 세우고, 시나리오 12문제로 살을 붙인다.
aws/ 접두사, 강제 회전) / Customer Managed($1/월, 정책·회전 제어). 키 원본은 절대 다운로드 불가.kms:*가 있어도 Key Policy가 위임하지 않으면 거부. 기본 정책의 root 위임 줄을 지우면 키가 잠긴다.💡 관련 이론: 이 12개 개념을 관통하는 한 가지 사상은 "심층 방어(Defense in Depth)"다. 단일 통제에 의존하지 않고 여러 겹의 독립적 방어선을 쌓아, 한 겹이 뚫려도 다음 겹이 막는 군사 전략에서 온 개념이다. KMS의 Key Policy(IAM이 뚫려도 키는 별도 방어선), Envelope Encryption(마스터 키 노출 최소화), 삭제 대기 기간(실수에 브레이크), 네 탐지 도구의 층위 분담(행동·소프트웨어·데이터·구성을 각각 감시)이 모두 이 사상의 구현이다. 시험에서 "가장 안전한 구성"을 고르라는 문제는 대개 "겹을 하나 더 쌓는" 선택지가 정답이다.
| 항목 | KMS | CloudHSM |
|---|---|---|
| HSM 점유 | 멀티테넌트(AWS 운영) | 단독(고객 임대) |
| FIPS 140-2 | 모듈 L3, 서비스 맥락 L2 | L3(단독) |
| 키 통제 | AWS 운영, 고객은 정책 제어 | 고객 100%, AWS도 접근 불가 |
| 비용 | $1/월/키 + API | 시간당 $1.45+ 상시 |
| 키 복구 | Support 한도 내 | 분실 시 영구 손실 |
| 사용 사례 | 대부분의 워크로드 | 규제가 단독 HSM 강제 시 |
| 항목 | Parameter Store | Secrets Manager |
|---|---|---|
| 비용 | Standard 무료 / Advanced 저렴 | $0.40/시크릿/월 + API |
| 자동 회전 | ❌ | ✅ (RDS는 AWS 제공 Lambda) |
| Cross-Region 복제 | ❌ | ✅ |
| 최대 크기 | Standard 4KB / Advanced 8KB | 64KB |
| 사용 사례 | 일반 설정값·평문 파라미터 | DB 자격증명·회전 필요 시크릿 |
| 항목 | GuardDuty | Inspector v2 | Macie | Security Hub |
|---|---|---|---|---|
| 보는 층위 | 행동(위협) | 소프트웨어(취약점) | 데이터(민감정보) | 통합·표준 |
| 대상 | 계정 활동 전반 | EC2/ECR/Lambda | S3 객체 본문 | 모든 finding |
| 에이전트 | ❌(Runtime만 ✅) | SSM Agent | ❌ | ❌ |
| 데이터 소스 | Flow Logs/CloudTrail/DNS | OS 패키지/이미지/코드 | S3 객체 내용 | ASFF finding |
| 과금 기준 | 분석 이벤트량 | 스캔 리소스 수 | 스캔 데이터 바이트 | finding 수 |
비교표를 외울 때 "왜 이 차이가 생기는가"를 붙이면 변형 문제에 강해진다. 예로 Secrets Manager만 자동 회전을 지원하는 건 그것이 회전을 위한 4단계 lifecycle(createSecret → setSecret → testSecret → finishSecret)을 Lambda로 오케스트레이션하도록 설계됐기 때문이고, Parameter Store는 단순 키-값 저장소라 그 오케스트레이션 개념 자체가 없다. Macie만 데이터 바이트로 과금하는 건 유일하게 객체 본문을 읽기 때문이고(나머지는 메타데이터만 봄), 그래서 대용량 스캔 비용 통제가 Macie 특유의 시험 포인트가 된다.
⚠️ 함정: 비교표에서 틀리기 쉬운 두 지점. 첫째, "DB 비밀번호를 무료로 자동 회전"은 모순 선택지다 — 자동 회전은 Secrets Manager($0.40/월)만 가능하므로 "무료(Parameter Store)"와 "자동 회전"이 한 선택지에 같이 있으면 오답이다. 둘째, "GuardDuty로 OS 취약점 스캔" 또는 "Inspector로 악성 도메인 통신 탐지"처럼 도구의 층위를 바꿔치기한 선택지. GuardDuty는 행동을, Inspector는 소프트웨어 약점을 본다 — 이 경계를 흐리는 선택지가 오답으로 쓰이기 쉽다.
선택지를 클릭하면 정답·해설이 펼쳐집니다.
문제 1
IAM 사용자에게 kms:* 권한이 있는데도 특정 KMS 키 사용이 AccessDenied로 거부된다. 가장 가능성 높은 원인은?
문제 2
1GB 로그 파일을 KMS로 직접 암호화하려다 4KB 한도 에러가 났다. 표준 해결책은?
문제 3
RDS MySQL의 마스터 비밀번호를 30일마다 자동 회전하되, 회전 Lambda를 직접 작성하지 않으려 한다. 가장 적합한 구성은?
문제 4
Secrets Manager가 RDS 비밀번호를 회전하는 동안 실행 중인 애플리케이션이 인증 실패 없이 동작해야 한다. 이를 가능하게 하는 메커니즘은?
문제 5
서울 리전에서 운영 중인 데이터를 도쿄 리전으로 S3 Cross-Region Replication하려는데, 원본 객체가 SSE-KMS로 암호화돼 있다. 도착지에서 복호화가 가능하려면?
문제 6
운영자가 KMS 키를 더 이상 안 쓴다고 판단해 삭제하려 한다. 데이터 영구 손실 위험을 최소화하는 절차는?
문제 7
권한·키 상태·리전이 모두 정상인데도 특정 암호문의 복호화가 계속 InvalidCiphertext로 실패한다. 권한 외에 1순위로 의심할 원인은?
문제 8
EC2 인스턴스가 알려진 C&C 서버 도메인과 통신하는 정황을 에이전트 설치 없이 자동 탐지하려 한다. 어떤 도구이며 그 근거는?
문제 9
Inspector v2를 ECR에 켜둔 지 한 달째다. 지난주 깨끗하게 스캔된 이미지에서 오늘 Critical finding이 떴고, 그 사이 이미지는 변경되지 않았다. 올바른 해석은?
문제 10
80TB 규모 S3 데이터 레이크에서 신용카드·SSN 노출 위험 버킷을 찾되 스캔 비용을 통제해야 한다. 가장 적절한 접근은?
문제 11
회사가 모든 멤버 계정의 GuardDuty·Inspector·Macie·Access Analyzer·서드파티 finding을 한 화면에서 동일 형식으로 보고, 동시에 CIS·PCI-DSS 표준 충족 여부를 자동 채점하려 한다. 어떤 서비스이며 전제 조건은?
문제 12
GuardDuty가 severity 8.2의 침해 의심 인스턴스를 탐지했다. 사람 개입 없이 즉시 격리 SG로 교체하는 자동 대응을 구성하려 한다. AWS 권장 표준 흐름은?
Week 10은 백업·DR 운영 — Snapshot, AWS Backup, Multi-AZ, Cross-Region이다.
💡 안정성·BCP(16%) 도메인의 핵심이다. RTO/RPO 시나리오가 빈출하며, "복구 목표 시간 vs 복구 목표 시점"의 트레이드오프가 단골 출제 포인트다.