기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

보안 OU - 보안 툴링 계정

다음 다이어그램은 AWS Security Tooling 계정에 구성된 보안 서비스를 보여줍니다.

Security Tooling 계정은 보안 서비스 운영, AWS 계정 모니터링, 보안 알림 및 응답 자동화를 전담합니다. 보안 목표에는 다음이 포함됩니다.

보안 서비스에 대한 위임된 관리자

Security Tooling 계정은 계정 전체에서 관리자/멤버 구조로 관리되는 보안 서비스의 관리자 AWS 계정 역할을 합니다. 앞서 언급한 것처럼 이는 AWS Organizations 위임된 관리자 기능을 통해 처리됩니다. 현재 위임된 관리자AWSSRA를 지원하는 의 서비스에는 AWS Config, AWS Firewall Manager, Amazon GuardDuty, AWS IAM Access Analyzer, Amazon Macie , AWS Security Hub, Amazon Detective, AWS Audit Manager, Amazon Inspector , AWS CloudTrail, AWS Systems Manager가 포함됩니다. https://docs.aws.amazon.com/organizations/latest/userguide/orgs_integrate_services_list.html 보안 팀은 이러한 서비스의 보안 기능을 관리하고 보안 관련 이벤트 또는 조사 결과를 모니터링합니다.

IAM Identity Center는 멤버 계정에 대한 위임된 관리를 지원합니다. AWS SRA 는 Shared Services 계정의 IAM Identity Center 섹션 뒷부분에서 설명한 대로 Shared Services 계정을 IAM Identity Center의 위임된 관리자 계정으로 사용합니다.

AWS CloudTrail

AWS CloudTrail 는 AWS 계정 활동의 거버넌스, 규정 준수 및 감사를 지원하는 서비스입니다. 를 사용하면 AWS 인프라 전반의 작업과 관련된 계정 활동을 로깅, 지속적으로 모니터링 및 유지할 CloudTrail수 있습니다. CloudTrail 는 AWS Organizations와 통합되며, 해당 통합을 사용하여 AWS 조직의 모든 계정에 대한 모든 이벤트를 로깅하는 단일 추적을 생성할 수 있습니다. 이를 조직 추적이라고 합니다. 조직의 관리 계정 내에서만 또는 위임된 관리자 계정에서 조직 추적을 생성하고 관리할 수 있습니다. 조직 추적을 생성하면 지정한 이름의 추적이 AWS 조직에 속한 모든 AWS 계정에 생성됩니다. 추적은 AWS 조직의 관리 계정을 포함한 모든 계정에 대한 활동을 기록하고 로그를 단일 S3 버킷에 저장합니다. 이 S3 버킷의 민감도로 인해 이 가이드의 뒷부분에 있는 Amazon S3 중앙 로그 스토어 섹션에 설명된 모범 사례에 따라 이를 보호해야 합니다. AWS 조직의 모든 계정은 추적 목록에서 조직 추적을 볼 수 있습니다. 그러나 멤버 AWS 계정은 이 추적에 대한 보기 전용 액세스 권한이 있습니다. 기본적으로 CloudTrail 콘솔에서 조직 추적을 생성하면 추적은 다중 리전 추적입니다. 추가 보안 모범 사례는 AWS CloudTrail 설명서를 참조하세요.

에서 AWS SRASecurity Tooling 계정은 관리를 위한 위임된 관리자 계정입니다 CloudTrail. 조직 추적 로그를 저장할 해당 S3 버킷이 로그 아카이브 계정에 생성됩니다. 이는 로그 권한의 관리 및 사용을 CloudTrail 분리하기 위한 것입니다. 조직 추적에 대한 로그 파일을 저장하기 위해 S3 버킷을 생성하거나 업데이트하는 방법에 대한 자세한 내용은 AWS CloudTrail 설명서를 참조하세요.

AWS Security Hub

AWS Security Hub는 에서 보안 태세를 포괄적으로 볼 수 있도록 AWS 하고 보안 업계 표준 및 모범 사례를 기준으로 환경을 확인하는 데 도움이 됩니다. Security Hub는 AWS 통합 서비스, 지원되는 타사 제품 및 기타 사용할 수 있는 사용자 지정 보안 제품에서 보안 데이터를 수집합니다. 이 서비스는 보안 추세를 지속적으로 모니터링 및 분석하고 우선 순위가 가장 높은 보안 문제를 식별하는 데 도움을 줍니다. 수집된 소스 외에도 Security Hub는 하나 이상의 보안 표준에 매핑되는 보안 제어로 표시되는 자체 조사 결과를 생성합니다. 이러한 표준에는 AWS Foundational Security 모범 사례(FSBP), Center for Internet Security(CIS) AWS Foundations Benchmark v1.20 및 v1.4.0, National Institute of Standards and Technology(NIST) SP 800-53 Rev. 5, Payment Card Industry Data Security Standard(PCIDSS) 및 서비스 관리형 표준이 포함됩니다. 현재 보안 표준 목록과 특정 보안 제어에 대한 세부 정보는 Security Hub 설명서의 Security Hub 표준 참조를 참조하세요.

Security Hub는 AWS Organizations와 통합되어 AWS 조직의 모든 기존 및 미래 계정에서 보안 태세 관리를 간소화합니다. 위임된 관리자 계정(이 경우 Security Tooling)의 Security Hub 중앙 구성 기능을 사용하여 리전 간 조직 계정 및 조직 단위(OUs)에서 Security Hub 서비스, 보안 표준 및 보안 제어를 구성하는 방법을 지정할 수 있습니다. 이러한 설정은 홈 리전이라고 하는 하나의 기본 리전에서 몇 단계로 구성할 수 있습니다. 중앙 구성을 사용하지 않는 경우 각 계정 및 리전에서 개별적으로 Security Hub를 구성해야 합니다. 위임된 관리자는 계정을 자체 관리형OUs으로 지정할 수 있습니다. 여기서 멤버는 각 리전에서 설정을 별도로 구성하거나, 중앙 관리형으로 구성할 수 있습니다. 여기서 위임된 관리자는 리전 간에 멤버 계정 또는 OU를 구성할 수 있습니다. 조직의 모든 계정과 OUs를 중앙에서 관리되거나, 모두 자체 관리되거나, 둘 다 조합으로 지정할 수 있습니다. 이렇게 하면 일관된 구성의 적용을 간소화하는 동시에 각 OU 및 계정에 대해 유연하게 수정할 수 있습니다.

Security Hub 위임된 관리자 계정은 모든 멤버 계정의 조사 결과, 인사이트 및 제어 세부 정보를 볼 수도 있습니다. 위임된 관리자 계정 내에서 집계 리전을 추가로 지정하여 계정 및 연결된 리전에 걸쳐 조사 결과를 중앙 집중화할 수 있습니다. 조사 결과는 집계자 리전과 다른 모든 리전 간에 지속적으로 양방향으로 동기화됩니다.

Security Hub는 여러 AWS 서비스와의 통합을 지원합니다. Amazon GuardDuty, AWS Config, Amazon Macie , AWS IAM Access Analyzer, AWS Firewall Manager, Amazon Inspector 및 AWS Systems Manager Patch Manager는 Security Hub에 조사 결과를 피드할 수 있습니다. Security Hub는 AWS Security Finding Format(ASFF)이라는 표준 형식을 사용하여 조사 결과를 처리합니다. Security Hub는 가장 중요한 제품을 우선 순위로 지정할 수 있도록 모든 통합 제품 간의 조사 결과를 상호 연관시킵니다. Security Hub 조사 결과의 메타데이터를 보강하여 보안 조사 결과의 컨텍스트화, 우선 순위 지정 및 조치를 개선할 수 있습니다. 이 보강 기능은 Security Hub에 수집된 모든 결과에 리소스 태그, 새 AWS 애플리케이션 태그 및 계정 이름 정보를 추가합니다. 이를 통해 자동화 규칙에 대한 결과를 미세 조정하고, 조사 결과 및 인사이트를 검색 또는 필터링하고, 애플리케이션별로 보안 태세 상태를 평가할 수 있습니다. 또한 자동화 규칙을 사용하여 조사 결과를 자동으로 업데이트할 수 있습니다. Security Hub는 조사 결과를 수집하므로 조사 결과 억제, 심각도 변경, 조사 결과에 메모 추가와 같은 다양한 규칙 작업을 적용할 수 있습니다. 이러한 규칙 작업은 조사 결과가 조사 결과와 연결된 리소스 또는 계정 또는 제목과 같이 조사 결과가 지정된 기준과 일치IDs할 때 적용됩니다. 자동화 규칙을 사용하여 에서 선택 결과 필드를 업데이트할 수 있습니다ASFF. 규칙은 새 조사 결과와 업데이트된 조사 결과 모두에 적용됩니다.

보안 이벤트를 조사하는 동안 Security Hub에서 Amazon Detective로 이동하여 Amazon GuardDuty 결과를 조사할 수 있습니다. Security Hub는 원활한 통합을 위해 Detective(있는 경우)와 같은 서비스에 대해 위임된 관리자 계정을 정렬하는 것이 좋습니다. 예를 들어 Detective와 Security Hub 간에 관리자 계정을 정렬하지 않으면 조사 결과에서 Detective로 탐색할 수 없습니다. 전체 목록은 Security Hub 설명서의 Security Hub와의 AWS 서비스 통합 개요를 참조하세요.

Amazon의 Network Access Analyzer 기능과 함께 Security HubVPC를 사용하면 AWS 네트워크 구성의 규정 준수를 지속적으로 모니터링할 수 있습니다. 이렇게 하면 원치 않는 네트워크 액세스를 차단하고 중요한 리소스가 외부에 액세스하지 못하도록 방지하는 데 도움이 됩니다. 자세한 아키텍처 및 구현 세부 정보는 Amazon VPC Network Access Analyzer 및 AWS Security Hub를 사용하여 네트워크 규정 준수의 지속적 확인을 AWS 블로그 게시물에서 참조하세요.

Security Hub는 모니터링 기능 외에도 Amazon과의 통합을 지원 EventBridge 하여 특정 조사 결과의 수정을 자동화합니다. 결과를 수신할 때 수행할 사용자 지정 작업을 정의할 수 있습니다. 예를 들어 조사 결과를 티켓팅 시스템 또는 자동 문제 해결 시스템으로 전송하도록 사용자 지정 작업을 구성할 수 있습니다. 추가 논의 및 예제는 AWS 블로그 게시물AWS인 Security Hub를 사용한 자동 응답 및 수정과 Security Hub 자동 응답 및 수정 AWS 솔루션 배포 방법을 참조하세요.

Security Hub는 서비스 연결 AWS Config 규칙을 사용하여 제어에 대한 대부분의 보안 검사를 수행합니다. 이러한 제어를 지원하려면 Security Hub가 AWS 활성화된 각 리전의 관리자(또는 위임된 관리자) 계정 및 멤버 계정을 포함한 모든 계정에서 Config를 활성화해야 합니다. AWS

Amazon GuardDuty

Amazon GuardDuty은 AWS 계정과 워크로드를 보호하기 위해 악의적인 활동 및 무단 행동을 지속적으로 모니터링하는 위협 탐지 서비스입니다. 모니터링 및 감사 목적으로 항상 적절한 로그를 캡처하고 저장해야 하지만 Amazon은 AWS CloudTrail, Amazon VPC 흐름 로그 및 AWS DNS 로그에서 직접 독립적인 데이터 스트림을 GuardDuty 가져옵니다. Amazon S3 버킷 정책을 관리하거나 로그를 수집하고 저장하는 방법을 수정할 필요가 없습니다. GuardDuty 권한은 를 비활성화하여 언제든지 취소할 수 있는 서비스 연결 역할로 관리됩니다 GuardDuty. 이렇게 하면 복잡한 구성 없이 서비스를 쉽게 활성화할 수 있으며 권한 IAM 수정 또는 S3 버킷 정책 변경이 서비스 운영에 영향을 미칠 위험을 제거할 수 있습니다.

기본 데이터 소스를 제공하는 것 외에도 는 보안 결과를 식별하는 선택적 기능을 GuardDuty 제공합니다. 여기에는 EKS 보호, RDS 보호, S3 보호, 맬웨어 보호 및 Lambda 보호가 포함됩니다. 새 감지기의 경우 이러한 선택적 기능은 보호 기능을 제외하고 기본적으로 활성화되어 있으며, EKS 보호 기능은 수동으로 활성화해야 합니다.

GuardDuty 는 AWS Organizations를 통해 모든 계정에서 활성화되며, 모든 조사 결과는 GuardDuty 위임된 관리자 계정(이 경우 Security Tooling 계정)의 적절한 보안 팀이 보고 실행할 수 있습니다. 

AWS Security Hub가 활성화되면 GuardDuty 조사 결과가 Security Hub로 자동으로 흐릅니다. Amazon Detective가 활성화되면 GuardDuty Detective 로그 수집 프로세스에 조사 결과가 포함됩니다. GuardDuty 또한 Detective는 교차 서비스 사용자 워크플로를 지원합니다. 여기서 GuardDuty 는 선택한 조사 결과에서 해당 조사 결과를 조사하기 위해 큐레이션된 시각화 세트가 포함된 Detective 페이지로 리디렉션하는 콘솔의 링크를 제공합니다. 예를 들어 Amazon GuardDuty 과 통합하여 새 조사 결과에 대한 응답 EventBridge 자동화 GuardDuty와 같은 의 모범 사례를 자동화할 수도 있습니다. GuardDuty

AWS 구성

AWS Config는 AWS 계정에서 지원되는 AWS 리소스의 구성을 평가, 감사 및 평가할 수 있는 서비스입니다. AWS Config는 AWS 리소스 구성을 지속적으로 모니터링 및 기록하고, 기록된 구성을 원하는 구성과 비교하여 자동으로 평가합니다. 또한 AWS Config를 다른 서비스와 통합하여 자동화된 감사 및 모니터링 파이프라인에서 과도한 작업을 수행할 수 있습니다. 예를 들어 AWS Config는 AWS Secrets Manager에서 개별 보안 암호의 변경 사항을 모니터링할 수 있습니다. 

Config AWS 규칙 을 사용하여 AWS 리소스의 구성 설정을 평가할 수 있습니다. AWS Config는 관리형 규칙이라고 하는 사용자 지정 가능하고 사전 정의된 규칙 라이브러리를 제공하거나 사용자 지정 규칙을 직접 작성할 수 있습니다. 사전 예방적 모드(리소스 배포 전) 또는 탐지 모드(리소스 배포 후)에서 AWS Config 규칙을 실행할 수 있습니다. 구성 변경이 발생할 때, 주기적인 일정에 따라 또는 둘 다에 따라 리소스를 평가할 수 있습니다.

적합성 팩은 계정 및 리전의 단일 엔터티로 또는 AWS Organizations의 조직 전체에 배포할 수 있는 AWSConfig 규칙 및 수정 작업 모음입니다. 적합성 팩은 AWSConfig 관리형 또는 사용자 지정 규칙 및 수정 작업 목록이 포함된 YAML 템플릿을 작성하여 생성됩니다. AWS 환경 평가를 시작하려면 샘플 적합성 팩 템플릿 중 하나를 사용합니다. 

AWS Config는 AWS Security Hub와 통합되어 AWS Config 관리형 및 사용자 지정 규칙 평가 결과를 Security Hub에 조사 결과로 전송합니다. 

AWS AWS Systems Manager와 함께 구성 규칙을 사용하여 규정 미준수 리소스를 효과적으로 수정할 수 있습니다. AWS Systems Manager Explorer를 사용하여 AWS 여러 리전의 AWS 계정에서 AWS Config 규칙의 규정 준수 상태를 수집한 다음 Systems Manager Automation 문서(런북)를 사용하여 규정 미준수 AWS Config 규칙을 해결합니다. 구현에 대한 자세한 내용은 블로그 게시물 AWS Systems Manager Automation 런북을 사용하여 규정 미준수 AWS Config 규칙 수정을 참조하세요.

AWS Config 애그리게이터는 AWS Organizations의 여러 계정, 리전 및 조직에서 구성 및 규정 준수 데이터를 수집합니다. 집계자 대시보드에는 집계된 리소스의 구성 데이터가 표시됩니다. 인벤토리 및 규정 준수 대시보드는 AWS 계정 간, AWS 리전 간 또는 AWS 조직 내 AWS 리소스 구성 및 규정 준수 상태에 대한 필수 및 최신 정보를 제공합니다. 이를 통해 AWS Config 고급 쿼리를 작성할 필요 없이 AWS 리소스 인벤토리를 시각화하고 평가할 수 있습니다. 리소스별 규정 준수 요약, 규정 미준수 리소스가 있는 상위 10개 계정, 유형별 실행 및 중지된 EC2 인스턴스 비교, 볼륨 유형 및 크기별 EBS 볼륨과 같은 필수 인사이트를 얻을 수 있습니다.

AWS Control Tower를 사용하여 AWS 조직을 관리하는 경우 일련의 AWS Config 규칙을 탐지 가드레일로 배포합니다(필수, 강력 권장 또는 선택으로 분류됨). 이러한 가드레일은 리소스를 관리하고 AWS 조직의 계정 간 규정 준수를 모니터링하는 데 도움이 됩니다. 이러한 AWS Config 규칙은 값이 인 aws-control-tower 태그를 자동으로 사용합니다managed-by-control-tower.

AWS 보호하려는 리소스가 포함된 AWS 조직 및 AWS 리전의 각 멤버 계정에 대해 구성을 활성화해야 합니다. AWS 조직 내 모든 계정에서 AWS Config 규칙을 중앙에서 관리(예: 생성, 업데이트 및 삭제)할 수 있습니다. AWS Config 위임된 관리자 계정에서 모든 계정에 공통 Config 규칙 세트를 배포하고 AWS AWSConfig 규칙을 생성하지 않아야 하는 계정을 지정할 수 있습니다. AWS Config 위임된 관리자 계정은 모든 멤버 계정의 리소스 구성 및 규정 준수 데이터를 집계하여 단일 보기를 제공할 수도 있습니다. 위임된 관리자 계정APIs의 를 사용하여 AWS 조직의 멤버 계정에서 기본 AWS Config 규칙을 수정할 수 없도록 하여 거버넌스를 적용합니다.

Amazon Security Lake

Amazon Security Lake는 완전 관리형 보안 데이터 레이크 서비스입니다. Security Lake를 사용하여 AWS 환경, 서비스형 소프트웨어(SaaS) 공급자, 온프레미스 및 타사 소스 의 보안 데이터를 자동으로 중앙 집중화할 수 있습니다. Security Lake를 사용하면 보안 데이터에 대한 분석 도구 사용을 간소화하는 정규화된 데이터 소스를 구축할 수 있으므로 조직 전체에서 보안 태세를 더 완벽하게 이해할 수 있습니다. 데이터 레이크는 Amazon Simple Storage Service(S3) 버킷에서 지원되며, 데이터에 대한 소유권은 사용자에게 있습니다. Security Lake는 , Amazon AWS CloudTrail, Amazon Route 53VPC, Amazon S3, AWS Lambda 및 Amazon EKS 감사 로그를 포함한 AWS 서비스에 대한 로그를 자동으로 수집합니다. Amazon Route 53

AWS SRA 에서는 로그 아카이브 계정을 Security Lake의 위임된 관리자 계정으로 사용할 것을 권장합니다. 위임된 관리자 계정 설정에 대한 자세한 내용은 보안 OU - 로그 아카이브 계정 섹션의 Amazon Security Lake를 참조하세요. Security Lake 데이터에 액세스하거나 사용자 지정 추출, 변환 및 로드(ETL) 함수를 사용하여 Security Lake 버킷에 기본이 아닌 로그를 쓸 수 있는 기능이 필요한 보안 팀은 Security Tooling 계정 내에서 작동해야 합니다.

Security Lake는 다양한 클라우드 공급자의 로그, 타사 솔루션의 로그 또는 기타 사용자 지정 로그를 수집할 수 있습니다. Security Tooling 계정을 사용하여 로그를 Open Cybersecurity Schema Framework(OCSF) 형식으로 변환하고 Apache Parquet 형식으로 파일을 출력하는 ETL 함수를 수행하는 것이 좋습니다. Security Lake는 Security Tooling 계정 및 AWS Lambda 함수 또는 AWS Glue 크롤러가 지원하는 사용자 지정 소스에 대한 적절한 권한을 가진 교차 계정 역할을 생성하여 Security Lake용 S3 버킷에 데이터를 씁니다.

Security Lake 관리자는 Security Tooling 계정을 사용하고 Security Lake가 구독자로 수집하는 로그에 액세스해야 하는 보안 팀을 구성해야 합니다. Security Lake는 두 종류의 구독자 액세스를 지원합니다.

구독자 생성에 대한 자세한 내용은 Security Lake 설명서의 구독자 관리를 참조하세요.

사용자 지정 소스를 수집하는 모범 사례는 Security Lake 설명서의 사용자 지정 소스에서 데이터 수집을 참조하세요.

Amazon QuickSight, Amazon 및 OpenSearch Amazon SageMaker을 사용하여 Security Lake에 저장하는 보안 데이터에 대한 분석을 설정할 수 있습니다.

Amazon Macie

Amazon Macie는 기계 학습 및 패턴 매칭을 사용하여 에서 민감한 데이터를 검색하고 보호하는 완전 관리형 데이터 보안 및 데이터 프라이버시 서비스입니다AWS. 워크로드가 처리하는 데이터의 유형과 분류를 식별하여 적절한 제어가 적용되도록 해야 합니다. Macie를 사용하여 민감한 데이터 자동 검색 수행과 민감한 데이터 검색 작업 생성 및 실행이라는 두 가지 방법으로 민감한 데이터의 검색 및 보고를 자동화할 수 있습니다. 민감한 데이터 자동 검색을 통해 Macie는 매일 S3 버킷 인벤토리를 평가하고 샘플링 기법을 사용하여 버킷에서 대표적인 S3 객체를 식별하고 선택합니다. 그런 다음 Macie는 선택한 객체를 검색 및 분석하여 민감한 데이터가 있는지 검사합니다. 민감한 데이터 검색 작업은 더 심층적이고 더 대상화된 분석을 제공합니다. 이 옵션을 사용하면 분석할 S3 버킷, 샘플링 깊이, S3 객체의 속성에서 파생되는 사용자 지정 기준을 포함하여 분석의 폭과 깊이를 정의할 수 있습니다. Macie가 버킷의 보안 또는 프라이버시와 관련된 잠재적 문제를 탐지하면 Macie가 정책 조사 결과를 생성합니다. 모든 신규 Macie 고객에게는 자동 데이터 검색이 기본적으로 활성화되어 있으며 기존 Macie 고객은 한 번의 클릭으로 활성화할 수 있습니다.

Macie는 AWS Organizations를 통해 모든 계정에서 활성화됩니다. 위임된 관리자 계정(이 경우 Security Tooling 계정)에 적절한 권한이 있는 보안 주체는 모든 계정에서 Macie를 활성화 또는 일시 중지하고, 멤버 계정이 소유한 버킷에 대한 민감한 데이터 검색 작업을 생성하고, 모든 멤버 계정에 대한 모든 정책 결과를 볼 수 있습니다. 민감한 데이터 조사 결과는 민감한 조사 결과 작업을 생성한 계정에서만 볼 수 있습니다. 자세한 내용은 Macie 설명서의 Amazon Macie에서 여러 계정 관리를 참조하세요.

Macie 조사 결과는 검토 및 분석을 위해 AWS Security Hub로 전달됩니다. Macie는 또한 Amazon과 통합되어 알림, 보안 정보 및 이벤트 관리(SIEM) 시스템에 대한 피드, 자동 수정과 같은 결과에 대한 자동 응답을 EventBridge 용이하게 합니다.

AWS IAM 액세스 분석기

AWS 클라우드 채택 여정을 가속화하고 계속 혁신함에 따라 세분화된 액세스(권한)를 엄격하게 제어하고, 액세스 확산을 억제하고, 권한을 효과적으로 사용하는 것이 중요합니다. 과도하고 사용되지 않는 액세스는 보안 문제를 야기하며 기업이 최소 권한 원칙을 적용하기가 더 어렵습니다. 이 원칙은 보안 요구 사항과 운영 및 애플리케이션 개발 요구 사항의 균형을 맞추기 위해 지속적으로 적절한 크기IAM로 권한을 조정하는 중요한 보안 아키텍처 원칙입니다. 이러한 노력에는 중앙 보안 및 Cloud Center of Excellence(CCoE) 팀과 분산형 개발 팀을 비롯한 여러 이해관계자 페르소나가 포함됩니다.

AWS IAM Access Analyzer는 엔터프라이즈 보안 표준을 충족하는 데 도움이 되도록 미사용 액세스를 제거하여 세분화된 권한을 효율적으로 설정하고, 의도한 권한을 확인하고, 권한을 구체화하는 도구를 제공합니다. 대시보드 및 AWS Security Hub 를 통해 외부 및 미사용 액세스 조사 결과에 대한 가시성을 제공합니다. 또한 이벤트 기반 사용자 지정 알림 및 수정 워크플로에 대해 Amazon EventBridge을 지원합니다.

IAM Access Analyzer 외부 조사 결과 기능을 사용하면 Amazon S3 버킷 또는 IAM 역할 과 같이 외부 엔터티와 공유되는 AWS 조직 및 계정의 리소스를 식별할 수 있습니다. 선택한 AWS 조직 또는 계정을 신뢰 영역 이라고 합니다. 분석기는 자동 추론을 사용하여 신뢰 영역 내에서 지원되는 모든 리소스를 분석하고 신뢰 영역 외부에서 리소스에 액세스할 수 있는 보안 주체에 대한 조사 결과를 생성합니다. 이러한 결과는 외부 엔터티와 공유되는 리소스를 식별하고 리소스 권한을 배포하기 전에 정책이 리소스에 대한 퍼블릭 및 크로스 계정 액세스에 미치는 영향을 미리 보는 데 도움이 됩니다.

IAM 또한 Access Analyzer 조사 결과는 다음과 같이 AWS 조직 및 계정에 부여된 미사용 액세스를 식별하는 데 도움이 됩니다.

IAM Access Analyzer에서 생성된 조사 결과를 사용하여 조직의 정책 및 보안 표준에 따라 의도하지 않거나 사용되지 않은 액세스를 파악하고 수정할 수 있습니다. 수정 후 이러한 결과는 다음에 분석기를 실행할 때 해결된 것으로 표시됩니다. 조사 결과가 의도적인 경우 IAM Access Analyzer에 아카이브로 표시하고 보안 위험이 더 큰 다른 조사 결과의 우선 순위를 지정할 수 있습니다. 또한 아카이브 규칙을 설정하여 특정 조사 결과를 자동으로 아카이브할 수 있습니다. 예를 들어, 정기적으로 액세스 권한을 부여한 특정 Amazon S3 버킷에 대한 조사 결과를 자동으로 아카이브하는 아카이브 규칙을 생성할 수 있습니다.

빌더는 IAM Access Analyzer를 사용하여 개발 및 배포(CI/CD) 프로세스 초기에 자동화된 IAM 정책 확인을 수행하여 기업 보안 표준을 준수할 수 있습니다. IAM Access Analyzer 사용자 지정 정책 확인 및 정책 검토를 AWS CloudFormation 와 통합하여 개발 팀의 CI/CD 파이프라인의 일부로 정책 검토를 자동화할 수 있습니다. 여기에는 다음이 포함됩니다.

보안 팀과 기타 IAM 정책 작성자는 IAM Access Analyzer를 사용하여 정책 문법 및 보안 표준을 준수하는 IAM 정책을 작성할 수 있습니다. 적절한 크기의 정책을 수동으로 작성하면 오류가 발생하기 쉽고 시간이 많이 걸릴 수 있습니다. IAM Access Analyzer 정책 생성 기능은 보안 주체의 액세스 활동을 기반으로 하는 IAM 정책을 작성하는 데 도움이 됩니다. IAM Access Analyzer는 지원되는 서비스에 대한 AWS CloudTrail 로그를 검토하고 지정된 날짜 범위에서 보안 주체가 사용한 권한이 포함된 정책 템플릿을 생성합니다. 그런 다음 이 템플릿을 사용하여 필요한 권한만 부여하는 세분화된 권한이 있는 정책을 생성할 수 있습니다.

Access Analyzer는 AWS Organizations의 위임된 관리자 기능을 통해 Security Tooling 계정에 배포됩니다. 위임된 관리자는 AWS 조직을 신뢰 영역으로 사용하여 분석기를 생성하고 관리할 수 있는 권한이 있습니다.

AWS Firewall Manager

AWS Firewall Manager는 여러 계정 및 리소스에서 AWS WAF, AWS Shield Advanced, Amazon VPC 보안 그룹, AWS Network Firewall 및 Route 53 Resolver DNS Firewall에 대한 관리 및 유지 관리 작업을 간소화하여 네트워크를 보호합니다. Firewall Manager를 사용하면 AWS WAF 방화벽 규칙, Shield Advanced 보호, Amazon VPC 보안 그룹, AWS 네트워크 방화벽 및 DNS 방화벽 규칙 그룹 연결을 한 번만 설정합니다. 새 계정을 추가하는 즉시 서비스에서 계정과 리소스 전체에 규칙과 보호가 자동으로 적용됩니다.

Firewall Manager는 특정 계정과 리소스가 적은 대신 전체 AWS 조직을 보호하려는 경우 또는 보호하려는 새 리소스를 자주 추가하는 경우에 특히 유용합니다. Firewall Manager는 보안 정책을 사용하여 배포해야 하는 관련 규칙, 보호 및 작업과 포함하거나 제외할 계정 및 리소스(태그로 표시됨)를 포함한 구성 세트를 정의할 수 있습니다. 세분화되고 유연한 구성을 생성하는 동시에 많은 수의 계정 및 로 제어를 확장할 수 있습니다VPCs. 이러한 정책은 새 계정과 리소스가 생성될 때에도 구성한 규칙을 자동으로 일관되게 적용합니다. Firewall Manager는 AWS Organizations를 통해 모든 계정에서 활성화되며 구성 및 관리는 Firewall Manager 위임 관리자 계정(이 경우 Security Tooling 계정)의 적절한 보안 팀이 수행합니다. 

보호하려는 리소스가 포함된 각 AWS 리전에 대해 AWS Config를 활성화해야 합니다. 모든 리소스에 대해 AWS Config를 활성화하지 않으려면 사용하는 Firewall Manager 정책 유형과 연결된 리소스에 대해 Config를 활성화해야 합니다. AWS Security Hub와 Firewall Manager를 모두 사용하면 Firewall Manager가 자동으로 조사 결과를 Security Hub로 전송합니다. Firewall Manager는 규정을 준수하지 않는 리소스와 탐지된 공격에 대한 조사 결과를 생성하고 조사 결과를 Security Hub로 보냅니다. 에 대한 Firewall Manager 정책을 설정할 때 모든 범위 내 계정에 대해 웹 액세스 제어 목록(웹 ACLs)에 대한 로깅을 중앙에서 활성화하고 단일 계정에서 로그를 중앙 집중화할 AWS WAF수 있습니다. 

Amazon EventBridge

Amazon EventBridge은 애플리케이션을 다양한 소스의 데이터와 쉽게 연결할 수 있는 서버리스 이벤트 버스 서비스입니다. 보안 자동화에 자주 사용합니다. 라우팅 규칙을 설정하여 모든 데이터 소스에 실시간으로 반응하는 애플리케이션 아키텍처를 구축하기 위해 데이터를 전송할 위치를 결정할 수 있습니다. 사용자 지정 이벤트 버스를 생성하여 각 계정의 기본 이벤트 버스를 사용하는 것 외에도 사용자 지정 애플리케이션에서 이벤트를 수신할 수 있습니다. Security Tooling 계정에서 AWS 조직의 다른 계정에서 보안 관련 이벤트를 수신할 수 있는 이벤트 버스를 생성할 수 있습니다. 예를 들어 GuardDuty, AWS Config 규칙과 Security Hub를 에 연결 EventBridge하면 보안 데이터를 라우팅하고, 알림을 생성하고, 문제를 해결하기 위한 작업을 관리하기 위한 유연하고 자동화된 파이프라인을 생성할 수 있습니다. 

Amazon Detective

Amazon Detective는 보안 분석가를 위한 보안 조사 결과 또는 의심스러운 활동의 근본 원인을 쉽게 분석, 조사 및 식별할 수 있도록 하여 대응형 보안 제어 전략을 지원합니다. Detective는 로그 및 Amazon VPC 흐름 AWS CloudTrail 로그에서 로그인 시도, API 호출 및 네트워크 트래픽과 같은 시간 기반 이벤트를 자동으로 추출합니다. Detective를 사용하여 최대 1년의 과거 이벤트 데이터에 액세스할 수 있습니다. Detective는 로그 및 Amazon VPC 흐름 CloudTrail 로그의 독립적인 스트림을 사용하여 이러한 이벤트를 사용합니다. Detective는 기계 학습 및 시각화를 사용하여 리소스의 동작과 시간 경과에 따른 상호 작용에 대한 통합된 대화형 뷰를 생성합니다. 이를 동작 그래프 라고 합니다. 동작 그래프를 탐색하여 실패한 로그온 시도 또는 의심스러운 API 호출과 같은 이질적인 작업을 검사할 수 있습니다.

Detective는 Amazon Security Lake와 통합되어 보안 분석가가 Security Lake에 저장된 로그를 쿼리하고 검색할 수 있도록 합니다. 이 통합을 사용하면 Detective에서 보안 조사를 수행하는 동안 Security Lake에 저장된 AWS CloudTrail 로그 및 Amazon VPC 흐름 로그에서 추가 정보를 얻을 수 있습니다.

또한 Detective는 GuardDuty 런타임 모니터링에서 탐지된 위협을 GuardDuty포함하여 Amazon 에서 탐지된 조사 결과를 수집합니다. 계정이 Detective를 활성화하면 동작 그래프의 관리자 계정이 됩니다. Detective를 활성화하기 전에 계정이 최소 48시간 동안 에 GuardDuty 등록되었는지 확인합니다. 이 요구 사항을 충족하지 않으면 Detective를 활성화할 수 없습니다.

Detective는 단일 보안 손상 이벤트와 관련된 여러 결과를 결과 그룹 로 자동으로 그룹화합니다. 위협 행위자는 일반적으로 일련의 작업을 수행하여 시간과 리소스에 걸쳐 여러 보안 조사 결과를 확산시킵니다. 따라서 결과 그룹은 여러 엔터티 및 조사 결과가 포함된 조사의 시작점이 되어야 합니다. 또한 Detective는 결과 그룹을 자동으로 분석하고 자연어로 인사이트를 제공하여 보안 조사를 가속화하는 생성형 AI를 사용하여 결과 그룹 요약을 제공합니다.

Detective는 AWS Organizations와 통합됩니다. 조직 관리 계정은 멤버 계정을 Detective 관리자 계정으로 위임합니다. 에서 AWS SRA이는 Security Tooling 계정입니다. Detective 관리자 계정은 조직의 모든 현재 멤버 계정을 탐지 멤버 계정으로 자동으로 활성화하고 AWS 조직에 추가될 때 새 멤버 계정을 추가할 수 있습니다. Detective 관리자 계정은 현재 AWS 조직에는 없지만 동일한 리전 내에 있는 멤버 계정을 초대하여 기본 계정의 동작 그래프에 데이터를 제공할 수도 있습니다. 멤버 계정이 초대를 수락하고 활성화되면 Detective는 멤버 계정의 데이터를 수집하여 해당 동작 그래프로 추출하기 시작합니다.

AWS Audit Manager

AWS Audit Manager를 사용하면 AWS 사용량을 지속적으로 감사하여 감사 및 규정 및 업계 표준 준수를 관리하는 방법을 간소화할 수 있습니다. 이를 통해 증거를 수동으로 수집, 검토 및 관리하는 것에서 증거 수집을 자동화하고 감사 증거의 소스를 추적하는 간단한 방법을 제공하며 팀워크 협업을 가능하게 하고 증거 보안 및 무결성을 관리하는 데 도움이 되는 솔루션으로 이동할 수 있습니다. 감사 시기에 Audit Manager는 귀하의 제어에 대한 이해 관계자들의 검토를 관리할 수 있습니다.

Audit Manager를 사용하면 인터넷 보안 센터(CIS) 벤치마크, CIS AWS 파운데이션 벤치마크, 시스템 및 조직 제어 2(SOC 2) 및 결제 카드 산업 데이터 보안 표준( PCI)과 같은 사전 구축된 프레임워크를 기준으로 감사할 수 있습니다DSS. 또한 내부 감사에 대한 특정 요구 사항에 따라 표준 또는 사용자 지정 제어를 사용하여 자체 프레임워크를 생성할 수 있습니다.

Audit Manager는 네 가지 유형의 증거를 수집합니다. AWS Config 및 AWS Security Hub의 규정 준수 확인 증거, 의 관리 이벤트 증거AWS CloudTrail, AWS service-to-service API 호출의 구성 증거 등 세 가지 유형의 증거가 자동화됩니다. 자동화할 수 없는 증거의 경우 Audit Manager를 사용하여 수동 증거를 업로드할 수 있습니다.

Audit Manager 평가는 AWS 조직의 여러 계정을 통해 실행될 수 있습니다. Audit Manager는 AWS Organizations의 위임된 관리자 계정으로 증거를 수집하고 통합합니다. 이 감사 기능은 주로 규정 준수 및 내부 감사 팀에서 사용되며 AWS 계정에 대한 읽기 액세스만 필요합니다.

AWS 아티팩트

AWS 아티팩트는 보안 도구 계정 내에서 호스팅되어 규정 준수 아티팩트 관리 기능을 AWS 조직 관리 계정과 분리합니다. 절대적으로 필요하지 않은 한 배포에 AWS Org Management 계정을 사용하지 않는 것이 좋습니다. 대신 멤버 계정에 배포를 전달합니다. 감사 아티팩트 관리는 멤버 계정에서 수행할 수 있고 함수는 보안 및 규정 준수 팀과 밀접하게 일치하므로 Security Tooling 계정은 AWS 아티팩트의 관리자 계정으로 지정됩니다. AWS Artifact 보고서를 사용하여 AWS ISO 인증, 결제 카드 산업(PCI) 및 시스템 및 조직 제어(SOC) 보고서와 같은 AWS 보안 및 규정 준수 문서를 다운로드할 수 있습니다.

AWS 아티팩트는 위임된 관리 기능을 지원하지 않습니다. 대신 이 기능을 감사 및 규정 준수 팀과 관련된 Security Tooling 계정의 IAM 역할로만 제한하여 필요에 따라 외부 감사자에게 보고서를 다운로드, 검토 및 제공할 수 있습니다. IAM 정책을 통해 특정 아AWS티팩트 보고서에만 액세스하도록 특정 IAM 역할을 추가로 제한할 수 있습니다. 샘플 IAM 정책은 AWS 아티팩트 설명서 를 참조하세요.

AWS KMS

AWS Key Management Service(AWS KMS)를 사용하면 암호화 키를 생성 및 관리하고 다양한 AWS 서비스와 애플리케이션에서 암호화 키의 사용을 제어할 수 있습니다. AWS KMS 는 하드웨어 보안 모듈을 사용하여 암호화 키를 보호하는 안전하고 탄력적인 서비스입니다. 키의 스토리지, 교체 및 액세스 제어와 같은 키 구성 요소에 대한 업계 표준 수명 주기 프로세스를 따릅니다. AWS KMS 는 암호화 및 서명 키로 데이터를 보호하는 데 도움이 되며 암호화 AWS SDK를 통해 서버 측 암호화와 클라이언트 측 암호화 모두에 사용할 수 있습니다. 보호 및 유연성을 위해 는 고객 관리형 키, AWS 관리형 키 및 AWS 소유 키의 세 가지 유형의 키를 AWS KMS 지원합니다. 고객 관리형 키는 생성, 소유 및 관리하는 AWS 계정의 AWS KMS 키입니다. AWS 관리형 키는 와 통합된 AWS 서비스에 의해 사용자를 대신하여 생성, 관리 및 사용되는 계정의 AWS KMS 키입니다AWSKMS. AWS 소유 키는 AWS 서비스가 여러 AWS 계정에서 사용하기 위해 소유하고 관리하는 AWS KMS 키 모음입니다. KMS 키 사용에 대한 자세한 내용은 AWS KMS 설명서 및 AWS KMS 암호화 세부 정보 를 참조하세요.

는 KMS 키가 사용되는 계정 내에 로컬로 상주하는 분산 키 관리 모델을 AWS SRA 권장하며, 특정 계정의 인프라 및 워크로드를 담당하는 사용자가 자체 키를 관리할 수 있도록 허용합니다. 모든 암호화 함수에 대해 단일 계정에서 단일 키를 사용하지 않는 것이 좋습니다. 키는 함수 및 데이터 보호 요구 사항에 따라 생성할 수 있으며 최소 권한 원칙을 적용할 수 있습니다. 이 모델은 워크로드 팀에 암호화 키 사용에 대한 제어, 유연성 및 민첩성을 강화합니다. 또한 API 제한을 방지하고, 단일 AWS 계정에 대한 영향 범위를 제한하며, 보고, 감사 및 기타 규정 준수 관련 작업을 간소화하는 데 도움이 됩니다. 경우에 따라 암호화 권한은 복호화 권한과 별도로 유지되며 관리자는 수명 주기 함수를 관리하지만 관리하는 키로 데이터를 암호화하거나 복호화할 수 없습니다. 분산형 모델에서는 분산형 키가 동일한 방식으로 관리되고 KMS 키 사용이 확립된 모범 사례 및 정책에 따라 감사되도록 가드레일을 배포하고 적용하는 것이 중요합니다. 자세한 내용은 AWS KMS 설명서의 AWS 키 관리 서비스에 대한 보안 모범 사례를 참조하세요.

대체 배포 옵션은 KMS 키와 IAM 정책의 조합을 사용하여 애플리케이션 리소스에서 애플리케이션 계정의 키를 사용할 수 있는 기능을 위임하면서 키 관리 책임을 단일 계정으로 중앙 집중화하는 것입니다. 이 접근 방식은 안전하고 관리하기 쉽지만 AWS KMS 제한, 계정 서비스 제한 및 보안 팀이 운영 키 관리 작업으로 인해 장애물이 발생할 수 있습니다.

는 중앙 집중식 모델과 분산형 모델을 AWS SRA 결합합니다. Security Tooling 계정에서 AWS KMS 는 AWS 조직에서 관리하는 AWS CloudTrail 조직 추적과 같은 중앙 집중식 보안 서비스의 암호화를 관리하는 데 사용됩니다. 이 가이드의 뒷부분에 있는 애플리케이션 계정 섹션에서는 워크로드별 리소스를 보호하는 데 사용되는 KMS 주요 패턴을 설명합니다.

AWS Private CA

AWS Private Certificate Authority (AWS Private CA)는 EC2 인스턴스, 컨테이너, IoT 디바이스 및 온프레미스 리소스에 대한 프라이빗 엔드엔터티 TLS 인증서의 수명 주기를 안전하게 관리하는 데 도움이 되는 관리형 프라이빗 CA 서비스입니다. 실행 중인 애플리케이션에 대한 암호화된 TLS 통신을 허용합니다. 를 사용하면 자체 CA 계층 구조(근본 CA, 종속 CAs를 통해 최종 주체 인증서까지)를 생성하고 인증서를 발급하여 내부 사용자 AWS Private CA, 컴퓨터, 애플리케이션, 서비스, 서버 및 기타 디바이스를 인증하고 컴퓨터 코드에 서명할 수 있습니다. 프라이빗 CA에서 발급한 인증서는 인터넷이 아닌 AWS 조직 내에서만 신뢰할 수 있습니다.

퍼블릭 키 인프라(PKI) 또는 보안 팀이 모든 PKI 인프라를 관리할 수 있습니다. 여기에는 프라이빗 CA의 관리 및 생성이 포함됩니다. 그러나 워크로드 팀이 인증서 요구 사항을 자체적으로 처리할 수 있도록 허용하는 조항이 있어야 합니다. 는 Security Tooling 계정 내에서 루트 CA가 호스팅되는 중앙 집중식 CA 계층 구조를 AWS SRA 보여줍니다. 이렇게 하면 루트 CA가 전체 의 기반이므로 보안 팀이 엄격한 보안 제어를 적용할 수 있습니다PKI. 하지만 프라이빗 CA에서 프라이빗 인증서를 생성하는 것은 AWS Resource Access Manager(AWS )를 사용하여 CA를 애플리케이션 계정에 공유하여 애플리케이션 개발 팀에 위임됩니다RAM. AWS RAM 는 교차 계정 공유에 필요한 권한을 관리합니다. 이렇게 하면 모든 계정에서 프라이빗 CA가 필요하지 않으며 보다 비용 효율적인 배포 방법을 제공합니다. 워크플로 및 구현에 대한 자세한 내용은 블로그 게시물 AWS Private CA 교차 계정 AWS RAM 공유에 사용하는 방법을 참조하세요.

Amazon Inspector

Amazon Inspector는 알려진 소프트웨어 취약성 및 의도하지 않은 네트워크 노출이 있는지 Amazon EC2 인스턴스, Amazon Container Registry(AmazonECR)의 컨테이너 이미지 및 AWS Lambda 함수를 자동으로 검색하고 스캔하는 자동화된 취약성 관리 서비스입니다.

Amazon Inspector는 리소스를 변경할 때마다 자동으로 리소스를 스캔하여 리소스의 수명 주기 동안 환경을 지속적으로 평가합니다. 리소스 재스캔을 시작하는 이벤트에는 EC2 인스턴스에 새 패키지 설치, 패치 설치, 리소스에 영향을 미치는 새로운 일반적인 취약성 및 노출(CVE) 보고서 게시가 포함됩니다. Amazon Inspector는 EC2 인스턴스의 운영 체제에 대한 인터넷 보안 센터(CIS) 벤치마크 평가를 지원합니다.

Amazon Inspector는 컨테이너 이미지 평가를 TeamCity 위해 Jenkins 및 와 같은 개발자 도구와 통합됩니다. 지속적 통합 및 지속적 제공(CI/CD) 도구 내에서 컨테이너 이미지에 소프트웨어 취약성이 있는지 평가하고 소프트웨어 개발 수명 주기의 이전 시점으로 보안을 푸시할 수 있습니다. CI/CD 도구의 대시보드에서 평가 결과를 사용할 수 있으므로 컨테이너 레지스트리에 대한 차단된 빌드 또는 이미지 푸시와 같은 중요한 보안 문제에 대응하여 자동화된 작업을 수행할 수 있습니다. 활성 AWS 계정이 있는 경우 CI/CD 도구 마켓플레이스에서 Amazon Inspector 플러그인을 설치하고 Amazon Inspector 서비스를 활성화할 필요 없이 빌드 파이프라인에 Amazon Inspector 스캔을 추가할 수 있습니다. 이 기능은 AWS, 온프레미스 또는 하이브리드 클라우드에서 어디서나 호스팅되는 CI/CD 도구와 함께 작동하므로 모든 개발 파이프라인에서 단일 솔루션을 일관되게 사용할 수 있습니다. Amazon Inspector가 활성화되면 Amazon ECR 및 CI/CD 도구의 모든 EC2 인스턴스, 컨테이너 이미지 및 대규모 AWS Lambda 함수를 자동으로 검색하고 알려진 취약성이 있는지 지속적으로 모니터링합니다.

Amazon Inspector의 네트워크 연결성 조사 결과는 가상 게이트웨이를 통해 인터넷 게이트웨이, VPC 피어링 연결 또는 가상 프라이빗 네트워크(VPNs)와 같은 VPC 엣지에서 또는 엣지로 EC2 인스턴스에 대한 액세스 가능성을 평가합니다. 이러한 규칙은 AWS 네트워크 모니터링을 자동화하고 잘못 관리된 보안 그룹, 액세스 제어 목록(ACLs), 인터넷 게이트웨이 등을 통해 EC2 인스턴스에 대한 네트워크 액세스가 잘못 구성될 수 있는 위치를 식별하는 데 도움이 됩니다. 자세한 내용은 Amazon Inspector 설명서 를 참조하세요.

Amazon Inspector가 취약성 또는 열린 네트워크 경로를 식별하면 조사할 수 있는 결과가 생성됩니다. 조사 결과에는 위험 점수, 영향을 받는 리소스 및 수정 권장 사항을 포함하여 취약성에 대한 포괄적인 세부 정보가 포함됩니다. 위험 점수는 환경에 맞게 특별히 조정되며 네트워크 접근성 및 이용 가능성 up-to-date CVE 정보와 같은 시간적 및 환경적 요인과 정보를 상호 연관시켜 상황별 결과를 제공함으로써 계산됩니다.

취약성을 검사하려면 AWS Systems Manager 에이전트(SSM 에이전트)를 사용하여 AWS Systems Manager에서 EC2 인스턴스를 관리해야 합니다. Amazon 또는 Lambda 함수에서 EC2 인스턴스의 네트워크 연결성 ECR 또는 컨테이너 이미지의 취약성 스캔에 에이전트가 필요하지 않습니다.

Amazon Inspector는 AWS Organizations와 통합되며 위임된 관리를 지원합니다. 에서 AWS SRASecurity Tooling 계정은 Amazon Inspector 의 위임된 관리자 계정이 됩니다. Amazon Inspector 위임 관리자 계정은 조사 결과 데이터와 AWS 조직 구성원의 특정 설정을 관리할 수 있습니다. 여기에는 모든 멤버 계정에 대한 집계된 조사 결과의 세부 정보 보기, 멤버 계정에 대한 스캔 활성화 또는 비활성화, AWS 조직 내에서 스캔한 리소스 검토가 포함됩니다.

모든 AWS 계정 내에 공통 보안 서비스 배포

이 참조의 앞부분에 있는 AWS 조직 전체에 보안 서비스 적용 섹션에서는 AWS 계정을 보호하는 보안 서비스를 강조 표시했으며, 이러한 서비스 중 많은 것을 AWS Organizations 내에서 구성하고 관리할 수 있다는 점에 유의했습니다. 이러한 서비스 중 일부는 모든 계정에 배포되어야 하며 에서 볼 수 있습니다AWSSRA. 이를 통해 일관된 가드레일 세트를 사용할 수 있으며 AWS 조직 전체에 중앙 집중식 모니터링, 관리 및 거버넌스를 제공합니다. 

Security Hub, GuardDuty, AWS Config, Access Analyzer 및 AWS CloudTrail 조직 추적이 모든 계정에 표시됩니다. 처음 3개는 관리 계정, 신뢰할 수 있는 액세스 및 위임된 관리자 섹션에서 앞서 설명한 위임된 관리자 기능을 지원합니다. CloudTrail 현재 는 다른 집계 메커니즘을 사용합니다.

AWS SRA GitHub 코드 리포지토리는 AWS 조직 관리 계정을 포함한 모든 계정에서 Security Hub, GuardDuty, AWS Config, Firewall Manager 및 CloudTrail 조직 추적을 활성화하는 샘플 구현을 제공합니다.