감사 가이드 - AWS IoT Device Defender
필수 조건감사 검사 활성화감사 결과 보기감사 완화 작업 생성감사 결과에 완화 작업 적용AWS IoT Device Defender Audit IAM 역할 생성(선택 사항)SNS 알림 활성화(선택 사항)로깅 활성화(선택 사항)

감사 가이드

이 자습서에서는 반복 감사 구성, 경보 설정, 감사 결과 검토 및 감사 문제 완화에 대한 지침을 제공합니다.

필수 조건

이 튜토리얼을 완료하려면 다음이 필요합니다.

  • AWS 계정. 이것이 없는 경우 설정을 참조하세요.

감사 검사 활성화

다음 절차에서는 계정 및 디바이스 설정과 정책을 검토하는 감사 검사와 보안 조치가 구현되어 있는지 확인합니다. 이 자습서에서는 모든 감사 검사를 사용하도록 지시하지만 원하는 검사를 선택할 수 있습니다.

감사 요금은 디바이스 개수당 월별로 계산됩니다(AWS IoT에 연결된 플릿 디바이스). 따라서 감사 검사를 추가하거나 제거해도 이 기능을 사용할 때 월별 청구서에 영향을 미치지 않습니다.

  1. AWS IoT 콘솔을 엽니다. 탐색 창에서 보안을 확장하고 인트로를 선택합니다.

  2. AWS IoT 보안 감사 자동화를 선택합니다. 감사 점검이 자동으로 켜집니다.

  3. 감사를 확장하고 설정을 선택하여 감사 점검을 확인합니다. 감사 점검 이름을 선택하여 감사 점검의 기능을 알아보세요. 감사 검사에 대한 자세한 내용은 감사 검사를 참조하세요.

  4. (선택 사항) 사용하려는 역할이 이미 있는 경우 서비스 권한 관리를 선택하고 목록에서 역할을 선택한 다음 업데이트를 선택합니다.

감사 결과 보기

다음 절차에서는 감사 결과를 보는 방법을 보여줍니다. 이 자습서에서는 감사 검사 활성화 자습서에서 설정한 감사 검사의 감사 결과를 봅니다.

감사 결과를 보려면

  1. AWS IoT 콘솔을 엽니다. 탐색 창에서 보안, 감사를 확장한 다음 결과를 선택합니다.

  2. 조사할 감사 일정의 이름을 선택합니다.

  3. 규정 미준수 점검의 완화에서 정보 버튼을 선택하여 규정 미준수 사유에 대한 정보를 확인하세요. 규정 미준수 점검이 규정을 준수하도록 하는 방법에 대한 지침은 감사 검사 섹션을 참조하세요.

감사 완화 작업 생성

다음 절차에서는 AWS IoT 로깅을 활성화할 AWS IoT Device Defender 감사 완화 작업을 생성합니다. 각 감사 검사에는 매핑된 완화 작업이 있으며 이러한 작업은 수정하려는 감사 검사에 대해 선택하는 작업 유형에 영향을 줍니다. 자세한 내용은 완화 작업을 참조하세요.

AWS IoT 콘솔을 사용하여 완화 작업을 생성하려면

  1. AWS IoT 콘솔을 엽니다. 탐색 창에서 보안, 탐지를 확장한 다음 완화 작업을 선택합니다.

  2. Mitigation actions(완화 작업) 페이지에서 Create(생성)를 선택합니다.

  3. 새 완화 작업 생성 페이지의 작업 이름에서 완화 작업에 고유한 이름(예: EnableErrorLoggingAction)을 입력합니다.

  4. 작업 유형에서 AWS IoT 로깅 활성화를 선택합니다.

  5. 권한에서 역할 생성을 선택합니다. 역할 이름에 IoTMitigationActionErrorLoggingRole을 사용합니다. 그다음에 생성을 선택합니다.

  6. 파라미터에서 로깅을 위한 역할에 IoTMitigationActionErrorLoggingRole을 선택합니다. 로그 수준에 Error을(를) 선택합니다.

  7. 생성(Create)을 선택합니다.

감사 결과에 완화 작업 적용

다음 절차에서는 감사 결과에 완화 작업을 적용하는 방법을 소개합니다.

비준수 감사 결과를 완화하려면

  1. AWS IoT 콘솔을 엽니다. 탐색 창에서 보안, 감사를 확장한 다음 결과를 선택합니다.

  2. 대응하려는 감사 결과를 선택합니다.

  3. 결과를 확인하세요.

  4. Start mitigation actions(완화 작업 시작)를 선택합니다.

  5. 로깅이 비활성화된 경우 이전에 만든 완화 작업인 EnableErrorLoggingAction을 선택합니다. 각 규정 미준수 결과에 대해 적절한 작업을 선택하여 문제를 해결합니다.

  6. 사유 코드 선택에서 감사 점검에서 반환된 사유 코드를 선택합니다.

  7. 작업 시작을 선택합니다. 완화 작업을 실행하는 데 몇 분이 걸릴 수 있습니다.

완화 작업이 작동하는지 확인하려면

  1. AWS IoT 콘솔의 탐색 창에서 설정을 선택합니다.

  2. 서비스 로그에서 로그 수준이 Error (least verbosity)인지 확인합니다.

AWS IoT Device Defender Audit IAM 역할 생성(선택 사항)

다음 절차에서 AWS IoT에 대한 읽기 액세스 권한을 AWS IoT Device Defender에 제공하는 AWS IoT Device Defender Audit IAM 역할을 생성합니다.

AWS IoT Device Defender에 대한 서비스 역할을 생성하는 방법 (콘솔)

  1. AWS Management Console에 로그인하고 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

  2. IAM 콘솔의 탐색 창에서 역할을 선택하고 역할 생성을 선택합니다.

  3. AWS 서비스 역할 유형을 선택합니다.

  4. 다른 AWS 서비스의 사용 사례에서 AWS IoT를 선택한 다음 IoT - Device Defender Audit를 선택합니다.

  5. 다음을 선택합니다.

  6. (선택 사항) 권한 경계를 선택합니다. 이는 서비스 역할에서 가능한 고급 기능이며 서비스 링크된 역할은 아닙니다.

    권한 경계 섹션을 열고 최대 역할 권한을 관리하기 위한 권한 경계 사용을 선택합니다. IAM은 계정의 AWS 관리형 또는 고객 관리형 정책 목록을 포함합니다. 권한 경계를 사용하기 위한 정책을 선택하거나 정책 생성을 선택하여 새 브라우저 탭을 열고 완전히 새로운 정책을 생성합니다. 자세한 내용은 IAM 사용자 설명서에서 IAM 정책 생성을 참조하세요. 정책을 생성하면 탭을 닫고 원래 탭으로 돌아와 권한 경계에 사용할 정책을 선택합니다.

  7. 다음을 선택합니다.

  8. 이 역할의 목적을 식별하는 데 도움이 되는 역할 이름을 입력합니다. 역할 이름은 AWS 계정 내에서 고유해야 합니다. 대소문자는 구별하지 않습니다. 예를 들어, 이름이 PRODROLE과 prodrole, 두 가지로 지정된 역할을 만들 수는 없습니다. 다양한 개체가 역할을 참조할 수 있기 때문에 역할이 생성된 후에는 역할 이름을 편집할 수 없습니다.

  9. (선택 사항)설명에 새 역할에 대한 설명을 입력합니다.

  10. 1단계: 신뢰할 수 있는 엔터티 선택(Step 1: Select trusted entities) 또는 2단계: 권한 선택(Step 2: Select permissions) 섹션에서 편집(Edit)을 선택하여 역할에 대한 사용 사례와 권한을 편집합니다.

  11. (선택 사항) 태그를 키 값 페어로 연결하여 메타데이터를 사용자에게 추가합니다. IAM에서 태그 사용에 대한 자세한 내용을 알아보려면 IAM 사용 설명서의 IAM 리소스에 태그 지정을 참조하십시오.

  12. 역할을 검토한 다음 역할 생성을 선택합니다.

SNS 알림 활성화(선택 사항)

다음 절차에서는 Amazon SNS(SNS) 알림을 사용하여 감사에서 규정 미준수 리소스를 식별할 때 알림을 받습니다. 이 자습서에서는 감사 검사 활성화 자습서에서 활성화된 감사 검사에 대한 알림을 설정합니다.

  1. 아직 연결하지 않았다면 AWS Management Console을 통해 SNS에 액세스할 수 있는 정책을 연결하세요. IAM 사용 설명서의 정책을 IAM 사용자 그룹에 연결의 지침을 따르고 AWSIoTDeviceDefenderPublishFindingsToSNSMitigationAction 정책을 선택하면 됩니다.

  2. AWS IoT 콘솔을 엽니다. 탐색 창에서 보안, 감사를 확장한 다음 설정을 선택합니다.

  3. Device Defender 감사 설정 페이지 하단에서 SNS 알림 활성화를 선택합니다.

  4. 활성을 선택합니다.

  5. 주제에서 새 주제 생성을 선택합니다. 주제 이름을 IoTDDNotifications로 지정하고 생성을 선택합니다. 역할에서 AWS IoT Device Defender Audit IAM 역할 생성(선택 사항)에서 생성한 역할을 선택합니다.

  6. 업데이트를 선택합니다.

  7. Amazon SNS를 통해 Ops 플랫폼에서 이메일이나 문자를 수신하려면 사용자 알림에 Amazon Simple Notification Service 사용을 참조하세요.

로깅 활성화(선택 사항)

이 절차에서는 AWS IoT이(가) CloudWatch Logs에 정보를 로깅하도록 설정하는 방법을 설명합니다. 이렇게 하면 감사 결과를 볼 수 있습니다. 로깅을 활성화하면 요금이 발생할 수 있습니다.

로깅을 활성화하려면

  1. AWS IoT 콘솔을 엽니다. 탐색 창에서 설정을 선택합니다.

  2. 로그에서 로그 관리를 선택합니다.

  3. 역할 선택에서 역할 생성을 선택합니다. 역할 이름을 AWSIoTLoggingRole로 지정하고 생성을 선택합니다. 정책이 자동으로 연결됩니다.

  4. 로그 수준에서 디버그(최대 상세 수준)를 선택합니다.

  5. 업데이트를 선택합니다.