[클라우드 보안 실무 특집 #3] AWS GuardDuty, 실무에서 바로 써먹는 보안 운영법

cloudindovi 2025. 4. 29. 13:14

AWS 환경을 운영하는 조직이라면 외부 위협, 내부 이상 행동을 실시간으로 감지하는 능력이 필수입니다. AWS GuardDuty는 이러한 보안 요구를 충족시키기 위해 설계된 서비스로, AWS 리소스에서 수집된 다양한 로그를 분석해 위협을 탐지합니다. 그러나 실무에서는 단순히 GuardDuty를 켜는 것만으로는 충분하지 않습니다. 이 글에서는 GuardDuty를 실질적인 보안 운영 도구로 만들기 위해 반드시 고려해야 할 전략과 설정 방법을 자세히 다룹니다.

GuardDuty 활성화 후 꼭 해야 할 초기 설정

GuardDuty를 처음 활성화하면 바로 탐지가 시작되지만, 실무에서는 다음 설정을 반드시 추가해야 합니다. 먼저 모든 운영 리전에 대해 GuardDuty를 활성화해야 합니다. 보안 사고는 예상치 못한 리전에서 발생할 수 있기 때문입니다.

또한, S3 Protection, EKS Protection, Malware Protection 등 추가 보호 기능을 활성화하는 것도 권장됩니다. 이 기능들은 기본 설정에서는 꺼져 있으므로 반드시 수동으로 활성화해야 합니다.

탐지 결과를 체계적으로 분류하고 대응 프로세스 수립

GuardDuty는 다양한 유형의 Findings를 생성합니다. 하지만 실무에서는 모든 Findings에 대해 똑같이 대응할 수 없습니다. 따라서 탐지 결과를 중요도에 따라 분류하고, 대응 우선순위를 정하는 것이 필요합니다.

Findings는 Critical, High, Medium, Low로 구분되며, Critical 및 High 등급은 즉각 대응 대상입니다. 특히 비정상 API 호출, 루트 계정 사용, 악성 IP 통신 탐지는 조직 보안 정책에 따라 Incident Response 팀이 즉시 조사해야 합니다.

Findings 기반 알림 및 자동화 구축

탐지된 이벤트를 수동으로 확인하는 것은 한계가 있습니다. GuardDuty Findings를 EventBridge와 연동해 알림 체계를 구축하는 것이 필수입니다. 이벤트 패턴을 설정해 특정 조건을 만족하는 Findings가 발생할 경우, SNS를 통해 알림을 보내거나 Lambda 함수를 호출해 자동 조치할 수 있습니다.

예시: "UnauthorizedAccess:EC2/SSHBruteForce" 유형 탐지 시 Slack 채널로 즉시 알림 발송.

Suppression Rules와 Auto-Archive로 경보 최적화

GuardDuty 운영 초기에 흔히 발생하는 문제가 바로 '경보 피로도(alert fatigue)'입니다. 중요도가 낮거나 반복적으로 발생하는 Findings를 방치하면 보안팀의 주의가 분산됩니다. 이를 해결하기 위해 Suppression Rules를 활용하여 특정 패턴의 Findings를 무시하거나, Auto-Archive 설정으로 일정 기간 지난 Findings를 자동으로 보관 처리해야 합니다.

Suppression Rule은 이벤트의 리소스 타입, 특정 IP, 탐지 유형 등을 기준으로 설정할 수 있으며, 필터링 기준을 세밀하게 조정하는 것이 중요합니다.

운영 최적화를 위한 추가 고려사항

IAM Role 최소 권한 구성: 자동화와 연동 작업에 사용되는 IAM Role은 반드시 필요한 권한만 부여해야 합니다.
멀티 리전 관리: GuardDuty는 리전 단위 서비스이므로, 모든 리전에서 활성화 및 모니터링이 필요합니다.
정기적인 Findings 리뷰: 월 1회 이상 Findings 패턴을 분석하고, 새로운 위협 탐지 패턴을 확인해 대응 프로세스를 업데이트해야 합니다.

GuardDuty는 설정만 해두고 끝나는 서비스가 아닙니다. 실시간 탐지, 자동화된 대응, 경보 최적화까지 적극적으로 운영할 때 비로소 클라우드 보안 수준을 끌어올릴 수 있습니다. 이제 단순한 모니터링을 넘어, 능동적이고 전략적인 GuardDuty 운영을 시작해보세요.