클라우드에도 위협이 있습니다
인터넷에 연결된 모든 서비스는 공격 대상이 될 수 있습니다. 클라우드도 예외가 아닙니다.
해커들은 웹사이트의 허점을 찾아 침입하려 하고, 서비스를 마비시키는 대규모 공격을 시도하며, 계정 안에서 몰래 이상한 행동을 합니다.
AWS는 이런 위협 각각에 대응하는 전문 서비스를 제공합니다. 이 글에서 하나씩 살펴봅니다.
---
집 보안 시스템으로 생각해보세요
집을 지킬 때 하나의 자물쇠만으로는 부족합니다. 여러 겹의 보호 장치가 필요합니다.
현관 보안 필터(AWS WAF): 수상한 방문자를 미리 확인하고 문 앞에서 차단합니다. 홍수 방벽(AWS Shield): 갑자기 엄청난 양의 물(트래픽)이 쏟아져도 집을 지킵니다. AI 보안 카메라(Amazon GuardDuty): 집 주변의 모든 움직임을 24시간 감시하고, 이상한 패턴을 자동으로 감지합니다.
이 세 가지가 AWS 위협 방어의 핵심입니다.
---
AWS WAF — 웹 공격을 막는 방패
WAF는 Web Application Firewall의 약자입니다. 쉽게 말해, 웹사이트로 들어오는 요청을 하나씩 검사해서 위험한 것을 걸러내는 서비스입니다.
어떤 공격을 막나요?
SQL 인젝션: 데이터베이스에 악의적인 명령을 심으려는 공격입니다. 로그인 화면에서 비밀번호 대신 특수 코드를 입력해 관리자 권한을 탈취하는 방식입니다. XSS(크로스 사이트 스크립팅): 악성 스크립트를 웹페이지에 심어서 방문자의 정보를 훔치는 공격입니다.
AWS WAF는 Amazon CloudFront, Application Load Balancer, Amazon API Gateway 앞에 배치해서 사용합니다. 직접 규칙을 만들거나, AWS가 미리 만들어둔 관리형 규칙을 사용할 수 있습니다.
---
AWS Shield — DDoS 공격 방어
DDoS(Distributed Denial of Service) 공격은 수많은 컴퓨터가 동시에 한 서버에 엄청난 양의 요청을 보내서 서버를 마비시키는 공격입니다. 마치 수천 명이 동시에 가게 문 앞에 몰려들어 정상 고객이 들어오지 못하게 막는 것과 같습니다.
AWS Shield는 두 가지 버전이 있습니다.
Shield Standard는 무료입니다. AWS를 사용하는 모든 고객에게 자동으로 적용됩니다. 따로 신청하거나 설정할 필요가 없습니다. 일반적인 수준의 DDoS 공격을 막아줍니다.
Shield Advanced는 유료 서비스입니다. 더 정교하고 대규모인 공격을 막습니다. 실시간 공격 알림, 24시간 7일 전문 DDoS 대응팀(DRT) 지원, 그리고 DDoS 공격으로 인해 AWS 비용이 급증했을 때 그 비용을 보전해주는 기능도 포함합니다.
---
Amazon GuardDuty — 자동 위협 탐지
GuardDuty는 AWS 계정 안에서 일어나는 모든 활동을 지켜보다가 이상한 행동을 자동으로 감지하는 서비스입니다.
무엇을 분석하나요? AWS CloudTrail 로그(누가 무엇을 했는지), VPC Flow Logs(네트워크 트래픽), DNS 로그(어떤 도메인에 접속했는지)를 분석합니다.
어떤 이상 징후를 탐지하나요? 평소에 한국에서만 로그인하던 계정이 갑자기 낯선 나라에서 접속하는 경우, 내부 서버가 외부의 악성 IP와 통신하는 경우, 누군가 대량의 데이터를 외부로 내보내려는 경우를 탐지합니다.
중요한 점: GuardDuty는 별도의 설정이나 에이전트 설치 없이, 그냥 "활성화" 버튼 하나만 누르면 즉시 작동합니다.
---
추가로 알아두면 좋은 서비스
| 서비스 | 하는 일 | |--------|---------| | AWS Network Firewall | VPC(가상 네트워크) 수준에서 트래픽을 필터링합니다 | | AWS Firewall Manager | 여러 AWS 계정에 걸친 방화벽 규칙을 한 곳에서 관리합니다 | | Amazon Detective | GuardDuty가 이상한 활동을 발견했을 때, 그 근본 원인을 조사하는 서비스입니다 |
---
세 서비스 한눈에 비교
| 서비스 | 무엇을 막나요 | 어떻게 작동하나요 | |--------|-------------|-----------------| | AWS WAF | 웹 공격 (SQL 인젝션, XSS 등) | 웹 요청을 하나씩 검사해서 차단 | | AWS Shield | DDoS 공격 (대량 트래픽) | 악성 트래픽을 흡수하고 분산 | | Amazon GuardDuty | 계정 내 모든 악의적 활동 | 로그와 패턴을 분석해서 이상 감지 |
!AWS WAF, Shield, GuardDuty 비교
시험 핵심 정리
"SQL 인젝션, XSS 같은 웹 공격 차단" → AWS WAF "DDoS 공격 방어, 모든 고객에게 무료 자동 적용" → AWS Shield Standard "DDoS 방어 + 24/7 전문 대응팀 + 비용 보호" → AWS Shield Advanced "악의적 활동 자동 탐지, 로그 기반 분석" → Amazon GuardDuty "여러 계정의 방화벽 규칙을 중앙에서 관리" → AWS Firewall Manager Shield Standard는 무료이고 자동 적용 — 따로 활성화할 필요 없습니다 GuardDuty는 활성화만 하면 즉시 작동 — 에이전트 설치가 필요 없습니다