AWS AWS 09 보안 감시 — GuardDuty·Inspector·Macie·Security Hub·Detective·Security Lake
AWS · 18/27

AWS 09 보안 감시 — GuardDuty·Inspector·Macie·Security Hub·Detective·Security Lake

gabury1

GitHub 에 올린 커밋에 AWS 액세스 키가 섞여 들어갔다고 해 봅니다. 그 키를 주운 누군가가 평소 쓰지 않던 리전에 인스턴스를 잔뜩 띄우고 암호화폐를 캡니다. 청구서가 오기 전에 이걸 알려 줄 장치가 있을까요? 05-2편의 WAF·Shield 는 들어오는 요청을 막는 방어막이었습니다. 이 편의 서비스 여섯은 막지 않습니다. 계정 안을 지켜보다가 이상한 것을 찾으면 알립니다.

여섯은 지켜보는 대상이 저마다 다릅니다. GuardDuty 는 계정에서 벌어지는 행동을, Inspector 는 서버와 이미지에 깔린 소프트웨어를, Macie 는 S3 에 든 데이터를 봅니다. Security Hub CSPM(Cloud Security Posture Management, 클라우드 설정 점검)은 리소스의 설정을 봅니다. 이 넷이 내놓는 결과를 Security Hub 가 엮어 무엇부터 고칠지 매깁니다. Detective 는 경보 하나를 거슬러 올라가 조사합니다. Security Lake 는 보안 로그를 내 S3 에 오래 모아 둡니다. 이름이 거의 같은 Security Hub 와 Security Hub CSPM 은 서로 다른 서비스라 4절에서 가릅니다. 끝에서는 EC2 네 대짜리 서비스 하나를 지켜보는 한 달 값을 셉니다.

요금은 전부 2026-11-13 서울(ap-northeast-2) 기준입니다. 요금 페이지가 미국 동부 예시만 보여 주는 경우가 많아, 서울 단가는 AWS 가 공개하는 가격 목록(AWS Price List)에서 읽었습니다. 여섯 모두 이날 현재 AWS 의 유지보수·종료 예정 목록에 없습니다(AWS Lifecycle Changes).

지도

flowchart TD
    LOG["CloudTrail · VPC 흐름 로그<br/>· DNS 로그"] --> GD["GuardDuty<br/>지금 벌어지는 위협"]
    RES["EC2 · ECR 이미지 · Lambda"] --> INS["Inspector<br/>깔린 소프트웨어의 취약점"]
    BKT["S3 버킷과 객체"] --> MAC["Macie<br/>민감한 데이터"]
    CFG["리소스 설정"] --> CSPM["Security Hub CSPM<br/>설정 점검"]
    GD --> HUB["Security Hub<br/>엮어서 순서 매기기"]
    INS --> HUB
    MAC --> HUB
    CSPM --> HUB
    GD --> DT["Detective<br/>경보 하나를 파고든다"]
    LOG -.-> LAKE["Security Lake<br/>내 S3 에 오래 모은다"]
    CSPM -.-> LAKE

둘째 줄의 서비스 넷(GuardDuty·Inspector·Macie·CSPM)은 각자 다른 원재료를 읽어 발견(finding, 문제 하나를 적은 보고)을 만듭니다. 실선은 그 발견이 흘러가는 길입니다. Security Hub 는 네 서비스의 발견을 받아 묶고, Detective 는 GuardDuty 의 발견에서 출발해 무슨 일이 있었는지 따라갑니다. 점선의 Security Lake 는 원본 로그와 CSPM 발견을 내 S3 에 모아 두는 쪽입니다. 감시의 원재료인 CloudTrail 과 Config 자체는 관측·운영 편(06)에서 봤습니다.

1. GuardDuty — 지금 누가 이상한 짓을 하나

계정이 털렸는지는 무엇을 보면 알 수 있을까요? GuardDuty 는 계정에 이미 쌓이는 기록을 읽습니다. 켜는 순간 CloudTrail 관리 이벤트(리소스를 만들고 바꾸고 지우는 API 호출 기록), VPC 흐름 로그(EC2 가 어느 IP 와 통신했나), DNS 로그(어느 도메인을 찾았나) 세 가지를 따로 설정하지 않아도 읽기 시작합니다. 악성으로 알려진 IP·도메인 목록 같은 위협 인텔리전스와 기계 학습 모델로 수상한 행동을 골라 발견으로 남깁니다. 유출된 자격 증명이 낯선 곳에서 쓰이는 것, EC2·컨테이너에서 도는 무단 암호화폐 채굴, 데이터를 빼내거나 지우려는 시도가 대표적입니다(What is Amazon GuardDuty?).

따로 보면 별일 아닌 사건들이 이어질 때도 있습니다. 낯선 곳에서의 로그인, 권한 조회, 버킷 내용 대량 읽기가 차례로 일어나면 하나하나는 경보감이 아니어도 합치면 공격입니다. 확장 위협 탐지(Extended Threat Detection)는 이렇게 여러 리소스와 시간에 걸친 행동을 공격 시퀀스 발견 하나로 묶습니다. GuardDuty 를 켜면 추가 요금 없이 같이 켜집니다.

기본 세 원천 밖을 보려면 보호 플랜을 켭니다. S3 데이터 이벤트를 읽는 S3 보호, EKS 감사 로그, RDS·Aurora 로그인 활동, Lambda 네트워크 활동, EBS·S3·백업의 악성 코드 검사, Bedrock·SageMaker AI 호출을 보는 AI 보호, 그리고 EKS·EC2·ECS(Fargate 포함)에 보안 에이전트를 넣어 운영체제 수준의 프로세스·파일·네트워크 행동을 보는 런타임 모니터링 같은 플랜이 있습니다. 처음 켜면 런타임 모니터링을 뺀 플랜이 모두 켜진 채로 30일 무료 기간에 들어가므로, 무료 기간이 끝나기 전에 쓰지 않는 플랜을 꺼 둬야 합니다.

GuardDuty 는 알리는 데서 멈춥니다. 발견은 EventBridge 이벤트로도 나오므로, 키를 끄거나 인스턴스를 네트워크에서 떼어 내는 대응은 그 이벤트를 받은 Lambda 같은 쪽에 직접 짭니다. 값은 읽은 로그·이벤트의 양과 지켜본 vCPU 수에 비례합니다(Amazon GuardDuty pricing).

GuardDuty · 서울 · 2026-11-13
  CloudTrail 관리 이벤트   100만 건당 $4.60
  VPC 흐름 로그·DNS 로그   GB당 $1.15 (월 첫 500 GB)
                          많이 읽을수록 GB당 값이 내려간다
  S3 보호                 S3 데이터 이벤트 100만 건당 $0.90
  RDS 보호(로그인 활동)     vCPU 하나에 월 $1.20
  런타임 모니터링           vCPU 하나에 월 $1.66 (첫 500개)
  EBS 악성 코드 검사        검사한 GB당 $0.04
  무료 기간                계정·리전마다 30일

트래픽이 많은 계정일수록 흐름 로그 몫이 커지므로, 무료 기간 동안 콘솔의 사용량 화면에 찍히는 추정치로 켜 둔 뒤의 값을 미리 봅니다(Monitoring GuardDuty usage and estimating costs). 기본 세 원천은 켜 두고, S3 보호·RDS 보호·런타임 모니터링 가운데 무엇을 남길지는 무료 기간 수치를 보고 정합니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
키 유출·무단 채굴처럼 계정 단위의 이상 행동을 알고 싶다 들어오는 요청을 들어오는 순간 막아야 한다(→ WAF·Shield) 발견은 알림일 뿐이라 대응은 EventBridge 뒤에 직접 짠다
S3·RDS 에 중요한 데이터가 있어 그쪽 접근까지 지켜본다(보호 플랜) 그 리소스를 거의 안 쓰는데 무료 기간에 켜진 플랜이 남아 있다 플랜마다 이벤트·vCPU 단위 요금이 더해진다
컨테이너·EC2 안 프로세스의 행동까지 봐야 한다(런타임 모니터링) 계정 단위 기록만으로 충분하다 보안 에이전트를 배포·관리하고 vCPU 마다 낸다

2. Inspector — 뚫릴 구멍이 깔려 있나

공격이 벌어지기 전에 막을 수 있는 것도 있습니다. 서버에 깔린 OpenSSL 이나 이미지 안의 자바 라이브러리에 공개된 취약점이 남아 있다면 공격자는 그 구멍으로 들어옵니다. Inspector 는 EC2 인스턴스, ECR 의 컨테이너 이미지, Lambda 함수를 스스로 찾아 소프트웨어 취약점과 의도하지 않은 네트워크 노출을 검사합니다. 검사 일정은 짤 필요가 없습니다. 새 패키지가 깔리거나 그 리소스에 해당하는 새 CVE(Common Vulnerabilities and Exposures, 공개된 취약점마다 붙는 번호)가 발표되면 알아서 다시 검사합니다. 고친 것을 확인하면 발견을 스스로 닫습니다(What is Amazon Inspector?). 지금 Inspector 라고 하면 이 서비스이고, 예전 판인 Inspector Classic 은 2026-05-20 완전 종료됐습니다(Services in full shutdown).

EC2 의 패키지 목록을 얻는 방법은 둘입니다. 에이전트 방식은 Systems Manager(SSM) 에이전트가 관리하는 인스턴스에서 패키지 목록을 받아 계속 검사합니다. 에이전트 없는 방식은 인스턴스의 EBS 볼륨을 스냅숏으로 떠서 읽은 뒤 스냅숏을 지웁니다. 이 검사는 24시간에 한 번 돕니다. 다만 에이전트 없는 방식만 켜는 모드는 없습니다. 계정의 검사 모드는 에이전트 방식과 하이브리드 둘입니다. 하이브리드 모드를 켜면 SSM 이 관리하지 않는 인스턴스에 한해 스냅숏 방식이 쓰입니다. 인터넷에서 그 인스턴스까지 열린 길이 있는지는 12시간마다 봅니다(Scanning Amazon EC2 instances with Amazon Inspector).

이 네트워크 정보는 점수에도 들어갑니다. Inspector 는 공개 취약점 데이터베이스 NVD(National Vulnerability Database)가 매긴 기본 CVSS(Common Vulnerability Scoring System, 취약점 심각도 점수) 점수를 내 환경에 맞춰 고친 Inspector 위험 점수를 붙입니다. 네트워크로 악용되는 취약점이라도 인터넷에서 그 인스턴스로 열린 길이 없으면 점수를 낮추는 식입니다. 빌드·배포 편(08)에서 본 ECR 의 향상된 스캔이 이 Inspector 입니다.

일정 없이 계속 보는 서비스라, 값도 검사 대상이 켜져 있던 시간에 매겨집니다. 이미지는 검사한 횟수로 셉니다(Amazon Inspector pricing).

Inspector · 서울 · 2026-11-13
  EC2 에이전트 방식       인스턴스 시간당 $0.0021
                         (730시간이면 $1.53)
  EC2 에이전트 없는 방식   인스턴스 시간당 $0.00289
                         (730시간이면 $2.11)
                         + 검사 중 생기는 EBS 스냅숏 저장 요금(EBS 요금)
  ECR 이미지              첫 검사 $0.11 · 다시 검사 $0.01
  Lambda 표준 검사         함수 시간당 $0.0005
                         (730시간이면 $0.365)
  CI/CD 이미지 평가        이미지당 $0.03
  무료 기간               처음 켜는 계정 15일
  • CI/CD 이미지 평가는 Jenkins·TeamCity 같은 빌드 도구 안에서 이미지를 올리기 전에 검사하는 것입니다
  • 검사에서 빼 둔 인스턴스(InspectorEc2Exclusion 태그)는 요금을 받지 않습니다

인스턴스 한 대에 한 달 $1.53 이면 끄고 켜는 셈보다 어디까지 계속 볼지가 남습니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
패키지를 내가 깔고 패치하는 EC2·이미지·Lambda 가 있다 패키지를 내가 고르지 않는 관리형 서비스만 쓴다 EC2 는 SSM 관리 인스턴스로 만들어야 계속 검사된다
새 CVE 가 나올 때마다 이미 돌고 있는 서버까지 다시 봐야 한다 빌드할 때 한 번 검사하면 충분하다(→ CI/CD 평가나 빌드 도구의 스캐너) 대상이 켜져 있는 시간만큼 계속 낸다
SSM 에이전트를 못 붙이는 인스턴스도 봐야 한다(하이브리드 모드) 인스턴스가 모두 SSM 관리 대상이다 그 인스턴스는 시간당 단가가 약 38% 비싸고 하루 한 번만 검사한다. EBS 스냅숏 저장 요금도 붙는다

3. Macie — 새면 큰일 날 데이터가 어디 있나

버킷이 수백 개쯤 되면 어느 버킷에 개인정보나 카드 번호가 든 파일이 있는지 아무도 모르게 됩니다. Macie 는 S3 에 든 데이터를 봅니다. 켜면 계정의 S3 범용 버킷 목록부터 만듭니다. 범용 버킷은 보통 만드는 S3 버킷이고, S3 편(02-1)에서 본 S3 Tables 의 테이블 버킷 같은 다른 종류는 빠집니다. 그다음 버킷마다 공개 접근·암호화·다른 계정과의 공유 상태를 계속 평가해, 버킷이 공개로 바뀌는 것 같은 문제를 정책 발견으로 알립니다(What is Amazon Macie?).

버킷 안의 내용은 두 방식으로 들여다봅니다. 자동 민감 데이터 검색은 버킷마다 대표가 될 만한 객체를 표본으로 골라 계속 훑어, 민감한 데이터가 있을 법한 곳의 지도를 넓게 그립니다. 민감 데이터 검색 작업은 내가 고른 버킷을 원하는 깊이로 한 번, 또는 주기적으로 검사합니다. 무엇을 민감하다고 볼지는 Macie 가 기본으로 주는 관리형 데이터 식별자(개인 식별 정보·금융 정보·자격 증명을 기계 학습과 패턴으로 찾는 규칙)에, 정규식으로 내가 정하는 사용자 지정 식별자를 더해 정합니다.

넓게 훑는 일과 깊게 여는 일은 값을 매기는 단위도 다릅니다. 버킷과 지켜보는 객체는 개수로, 열어 본 내용은 바이트로 셉니다(Amazon Macie pricing).

Macie · 서울 · 2026-11-13
  버킷 평가           버킷 하나에 월 약 $0.10 (하루 단위로 나눠 받는다)
  자동 검색 객체 감시   객체 10만 개당 월 $0.0115
  데이터 검사          GB당 $1.15 (자동 검색은 월 첫 1 GB 무료)
  무료 기간            30일 (버킷 평가·자동 검색만, 검색 작업은 빠진다)
  • Macie 가 분석하지 않는 형식(이미지 등)은 검사 요금을 받지 않습니다
  • 검색 작업에는 객체를 읽는 S3 GET·LIST 요청 요금이 붙습니다
  • 고객 관리형 KMS 키로 암호화된 객체라면 복호화하는 KMS 요금도 붙습니다(What is Amazon Macie?)

검사 요금이 GB 로 매겨지므로 큰 버킷 전체를 검색 작업에 걸면 그 크기만큼 값이 바로 붙습니다. 그래서 넓게는 자동 검색으로 훑고, 깊게는 좁힌 버킷에만 작업을 거는 순서가 됩니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
개인정보가 어디 흩어져 있는지 모르는 버킷이 많다 데이터가 어디 있는지 이미 알고 버킷이 몇 개뿐이다 지켜보는 객체 수와 표본으로 연 GB 만큼 매달 낸다
규정 때문에 민감 데이터의 위치를 증명해야 한다(검색 작업) 로그·이미지처럼 민감 데이터가 들 일이 없는 버킷이 대부분이다 검사한 GB 만큼 내고, 범위를 좁히는 설정을 직접 한다
버킷이 공개로 바뀌는 것을 바로 알아야 한다 지킬 데이터가 S3 밖(RDS·DynamoDB)에 있다 내용을 검사하지 않아도 버킷 평가 요금이 버킷마다 매달 붙는다

4. Security Hub CSPM 과 Security Hub — 점검하는 쪽과 엮는 쪽

콘솔에서 Security Hub 를 찾으면 비슷한 이름이 둘 나옵니다. 설정을 점검하는 쪽과 결과를 엮는 쪽인데, 무엇을 켜야 하고 둘 다 켜면 돈을 두 번 내는 걸까요? 오래전부터 Security Hub 라고 부르던 서비스는 지금 Security Hub CSPM 이라는 이름으로 남아 있습니다. 2025년 6월 미리보기를 거쳐 2025-12-02 정식 출시된 새 서비스가 Security Hub 라는 이름을 씁니다(AWS Security Hub is now generally available). CSPM 은 클라우드 리소스의 설정이 보안 기준에 맞는지 계속 대보는 일을 말합니다. 2025년 이전 자료에서 Security Hub 라고 하면 대개 지금의 CSPM 입니다.

Security Hub CSPM 에서는 보안 표준을 골라 켭니다. AWS 가 만든 기본 보안 모범 사례(FSBP, AWS Foundational Security Best Practices) 말고도 외부 보안 기준을 옮긴 표준이 있습니다. 비영리 단체 CIS(Center for Internet Security)가 정한 AWS 설정 지침인 CIS AWS Foundations Benchmark, 미국 국립표준기술연구소(NIST)의 보안 요구 사항인 NIST SP 800-53, 카드 결제 데이터를 다루는 곳이 따르는 PCI DSS(Payment Card Industry Data Security Standard)가 그렇습니다(Standards reference for Security Hub CSPM).

표준을 켜면 그 안의 컨트롤(점검 항목 하나, 예를 들면 버킷의 공개 접근 차단이 켜져 있나)마다 리소스를 계속 검사합니다. 통과·실패는 발견으로 남고, 그 결과로 보안 점수가 매겨집니다. 점검 대부분이 AWS Config 의 규칙으로 돌기 때문에 Config 가 리소스를 기록하고 있어야 합니다. 점검은 설정이 바뀔 때, 또는 12시간이나 24시간마다 다시 돕니다(Schedule for running security checks). 켠 리전의 리소스만 봅니다. GuardDuty·Inspector·Macie 의 발견도 받아 한 화면에 모읍니다(Introduction to AWS Security Hub CSPM).

새 Security Hub 는 점검을 더 하는 서비스가 아니라, 이미 나온 결과를 엮는 서비스입니다. CSPM 의 컨트롤 발견, Inspector 의 취약점, Macie 의 민감 데이터, GuardDuty 의 위협을 받아 같은 리소스에 걸린 것끼리 노출 발견(exposure finding) 하나로 묶습니다. 그 리소스까지 공격자가 어떤 길로 손을 뻗을 수 있는지는 공격 경로 그래프로 보여 줍니다.

이 밖에 90일 동안 쓰지 않은 IAM 역할·사용자·액세스 키를 찾아 줍니다. 발견을 Jira·ServiceNow 티켓으로 넘기는 연동도 있습니다(Introduction to AWS Security Hub). 두 서비스는 발견을 적는 형식도 다릅니다. CSPM 은 AWS 가 정한 ASFF(AWS Security Finding Format)를 쓰고, 새 Security Hub 는 AWS 밖 보안 도구도 읽는 공개 스키마 OCSF(Open Cybersecurity Schema Framework)를 씁니다.

계정이 여럿이면 결과를 한곳에 모으는 일이 먼저 생깁니다. 둘 다 Organizations 와 엮으면 여러 계정의 결과를 위임 관리자 계정 하나로 모을 수 있습니다. 위임 관리자는 Organizations 에서 보안 서비스 관리를 맡긴 멤버 계정입니다(10편). 여러 리전의 결과도 한 리전으로 모아 봅니다(Security Hub concepts).

돈을 두 번 내는지는 요금 구조가 답합니다. CSPM 만 쓰면 점검 건수와 받아들인 발견 건수에 값이 매겨집니다. 새 Security Hub 는 essentials 플랜이 기본으로 붙어 지켜보는 리소스 수로 셉니다. 이 플랜에 Inspector 의 EC2·ECR·Lambda 검사와 CSPM 점검이 들어 있어서, Security Hub 를 켜면 둘을 켜거나 값을 낼 필요가 없습니다. GuardDuty 의 위협 탐지는 위협 분석(threat analytics)이라는 추가 플랜으로 붙습니다(AWS Security Hub pricing · Monitoring usage and costs in Security Hub).

Security Hub CSPM · 서울 · 2026-11-13
  보안 점검        건당 $0.001  (월 첫 10만 건)
                  건당 $0.0008 (다음 40만 건)
                  건당 $0.0005 (그 위)
  발견 받아들이기   월 1만 건 무료, 그 위 건당 $0.00003
                  CSPM 자체 점검이 만든 발견은 늘 무료
  + AWS Config 구성 항목 기록 요금
  무료 기간        30일

Security Hub essentials 플랜 · 서울 · 2026-11-13
  1단위 = EC2 인스턴스 1대 = ECR 이미지 18개
        = Lambda 함수 12개 = IAM 사용자·역할 125개
  1단위 시간당 $0.0056944 → 730시간이면 $4.157
  무료 기간        30일 (위협 분석 같은 추가 플랜은 빠진다)

CSPM 은 「설정이 기준에 맞나」에 답하고, 새 Security Hub 는 「쌓인 결과 가운데 무엇이 진짜 위험한가」에 답합니다. 외부 기준에 대 봐야 하는지, 결과가 손으로 고를 수 없을 만큼 쌓였는지, 계정이 여럿인지를 차례로 물으면 어느 쪽을 켤지 나옵니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
설정을 CIS·PCI DSS 같은 기준에 대 보고 점수를 내야 한다(CSPM) 리소스가 몇 개뿐이라 손으로 점검해도 된다 Config 기록을 켜 두고 점검 건수만큼 낸다
GuardDuty·Inspector·CSPM 발견이 쌓여 무엇부터 고칠지 모르겠다(Security Hub) 감시 서비스를 하나만 켜서 결과가 많지 않다 리소스마다 시간 요금, EC2 한 대에 월 $4.157(Inspector 검사·CSPM 점검 포함)
여러 계정·리전의 결과를 위임 관리자 계정 하나에서 보고 티켓으로 넘긴다 계정 하나, 리전 하나로 운영한다 Organizations 를 세우고 위임 관리자 계정을 정해 둔다

두 길 가운데 어느 쪽이 싼지는 7절에서 셉니다.

5. Detective — 경보 하나를 거슬러 올라간다

GuardDuty 가 「이 IAM 역할이 평소 안 쓰던 곳에서 API 를 부른다」는 발견을 냈다고 해 봅니다. 다음 질문은 이 일이 언제 시작됐고, 그 역할로 무엇을 했으며, 어느 인스턴스와 IP 가 얽혀 있느냐입니다. CloudTrail 로그를 직접 뒤지면 답은 나오지만 쿼리를 짜는 데 시간이 듭니다.

Detective 는 CloudTrail 과 VPC 흐름 로그에서 로그인 시도·API 호출·네트워크 트래픽을 뽑고 GuardDuty 의 발견까지 받아, 계정·역할·인스턴스·IP 사이에 오간 일을 행동 그래프(behavior graph)로 엮어 둡니다. 「이 역할에게 이 API 호출은 평소와 다른가」「이 인스턴스의 트래픽 급증은 예상된 것인가」 같은 질문에 쿼리 없이 시각화로 답합니다. 거슬러 볼 수 있는 기간은 최대 1년입니다. GuardDuty·Security Hub CSPM 의 발견에서 곧바로 Detective 화면으로 넘어갈 수 있습니다(What is Amazon Detective?).

조사를 거드는 기능도 둘 있습니다. 관련된 발견들을 공격 하나로 묶는 발견 그룹이 있습니다. IAM 사용자·역할에 침해 지표가 있는지 자동으로 훑는 조사 기능도 있습니다.

쓰지 않는 달에도 데이터는 계속 들어오니, 값은 분석한 데이터 양으로만 매겨집니다(Amazon Detective pricing).

Detective · 서울 · 2026-11-13
  분석한 데이터   GB당 $2.30 (월 첫 1,000 GB)
                GB당 $1.15 (다음 4,000 GB)
                GB당 $0.58 (다음 5,000 GB)
                GB당 $0.29 (그 위)
  무료 기간      30일

Detective 는 평소에는 조용히 데이터를 받아 그래프만 쌓고, 사고가 났을 때 쓸모가 드러납니다. 그러니 경보를 받아 원인을 따라갈 사람이 있는지가 먼저입니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
GuardDuty 발견을 받으면 사람이 원인을 따라가 본다 발견을 받으면 자동으로 막고 끝낸다 조사할 일이 없는 달에도 데이터 GB 만큼 낸다
쿼리를 짜지 않고 역할·IP·인스턴스 사이를 오가며 본다 로그를 이미 Athena 나 SIEM(6절)으로 자유롭게 뒤진다 볼 수 있는 화면과 데이터 원천이 Detective 가 정한 범위 안이다
지난 1년 안의 일을 따라간다 몇 년 전 일까지 거슬러 봐야 한다(→ Security Lake) 1년 넘는 기록까지 보려면 Security Lake 를 더 꾸려 두 곳에 낸다

6. Security Lake — 보안 로그를 내 S3 에 모아 둔다

앞의 서비스들은 각자 정한 기간만큼 데이터를 들고, 정한 화면으로만 보여 줍니다. 규정상 몇 년 치 로그를 남겨야 하거나, Okta 로그인 기록 같은 AWS 밖 로그까지 한데 놓고 직접 질의하고 싶다면 로그를 내 쪽에 모아야 합니다.

Security Lake 는 CloudTrail 관리·데이터 이벤트(S3·Lambda), EKS 감사 로그, Route 53 Resolver 쿼리 로그, Security Hub CSPM 발견, VPC 흐름 로그, WAF 로그를 여러 계정·리전에서 모아 내 계정의 S3 버킷에 쌓는 데이터 레이크 서비스입니다. 모은 로그는 OCSF 스키마로 맞추고 Apache Parquet 형식으로 바꿔 두므로, 출처가 달라도 같은 열 이름으로 질의할 수 있습니다. 직접 만든 원천이나 서드파티 로그도 넣을 수 있습니다(What is Amazon Security Lake?).

모인 데이터를 읽는 쪽은 구독자(subscriber)라고 부릅니다. 구독자는 새 객체가 쌓일 때 알림을 받아 데이터를 가져갈 수도 있고, S3 의 파일에 SQL 을 거는 Athena 같은 도구로 그 자리에서 질의할 수도 있습니다. 공식 문서에 구독자로 이름이 오른 제품에는 Splunk·IBM QRadar·Sumo Logic 같은 SIEM(Security Information and Event Management, 보안 로그를 모아 탐지 규칙을 돌리는 도구)이 있습니다. Okta 는 반대로 로그인 기록을 OCSF 로 보내 오는 원천 쪽에 올라 있습니다(Third-party integrations with Security Lake).

이 일을 하려고 Security Lake 는 부품 몇 개를 내 계정에 만듭니다. S3 의 파일을 표처럼 질의하게 해 주는 목록(Glue 데이터 카탈로그), 그 표의 접근 권한(Lake Formation), 그리고 이를 굴리는 Lambda·SQS·EventBridge 입니다. Glue 와 Lake Formation 은 데이터 분석 편(11)에서 다룹니다.

여러 리전의 로그를 한 리전으로 모으는 롤업 리전과 보존 기간도 정할 수 있습니다. 값은 받아들인 양과 OCSF 로 바꾼 양에 매겨집니다. 위 부품들의 값은 별도로 붙습니다(Amazon Security Lake pricing).

Security Lake · 서울 · 2026-11-13
  CloudTrail 이벤트 수집      GB당 $0.75
  그 밖의 AWS 로그 수집       GB당 $0.38 (월 첫 10 TB)
                             많이 넣을수록 GB당 값이 내려간다
  OCSF 로 정규화              GB당 $0.035
  직접·서드파티 원천 가져오기   무료
  + S3 저장 · Glue · Lambda · SQS · 질의(Athena 등) 요금
  무료 기간                   처음 쓰는 계정 15일

로그는 내 것이 되지만 화면과 탐지 규칙은 따라오지 않습니다.

이럴 때 맞다 이럴 때 안 맞다 대신 치르는 것
규정 때문에 보안 로그를 몇 년씩 남긴다 발견만 받으면 되고 원본 로그를 뒤질 일이 없다 S3 저장 요금이 보존 기간만큼 쌓인다
AWS 로그와 Okta 같은 SaaS 로그를 한 스키마로 질의한다 로그가 전부 AWS 것이고 CloudWatch Logs 로 충분하다 질의·대시보드·탐지 규칙은 Athena 나 SIEM 위에 직접 짠다
이미 쓰는 Splunk·QRadar 같은 SIEM 이 S3 의 OCSF 데이터를 구독할 수 있다 그런 도구도, 데이터를 들여다볼 사람도 없다 Glue 데이터 카탈로그·Lake Formation 같은 부품이 계정에 늘어난다

7. EC2 네 대짜리 서비스를 지켜보면 한 달에 얼마인가

EC2 4대(한 달 내내), Lambda 함수 24개, IAM 사용자·역할 50개, 2 vCPU 짜리 RDS 하나를 쓰는 서비스를 730시간 지켜보는 값을 셉니다. 한 달에 CloudTrail 관리 이벤트 200만 건, VPC 흐름 로그·DNS 로그 10 GB, S3 데이터 이벤트 1,000만 건이 생긴다고 두고, 무료 기간은 끝났다고 봅니다. GuardDuty 는 두 길 모두 단독 요금으로 켜고, Inspector 와 CSPM 을 각각 켜는 길과 Security Hub essentials 로 묶는 길을 견줍니다.

서울 · 2026-11-13 · 730시간

GuardDuty (두 길 공통)
  관리 이벤트   200만 × $4.60/100만     =  $9.20
  흐름·DNS     10 GB × $1.15           = $11.50
  S3 보호      1,000만 × $0.90/100만    =  $9.00
  RDS 보호     2 vCPU × $1.20          =  $2.40
  합계                                 = $32.10

따로 켜는 길 · Inspector 와 CSPM
  EC2         4 × $0.0021 × 730       =  $6.13
  Lambda      24 × $0.0005 × 730      =  $8.76
  Inspector 합계                       = $14.89
  + CSPM 점검 건당 $0.001 + Config 기록

묶는 길 · Security Hub essentials
  단위   EC2 4 + Lambda 24÷12 + IAM 50÷125
        = 4 + 2 + 0.4 = 6.4단위
  요금   6.4 × $4.157                  = $26.60
        (Inspector 검사·CSPM 점검 포함)

GuardDuty 를 더하면 따로 켜는 길은 $46.99($32.10 + $14.89)에 CSPM 점검 값이 붙고, 묶는 길은 $58.70($32.10 + $26.60)입니다. 두 길의 차이 $11.71 은 CSPM 점검 약 1만 1,700건 값입니다. 한 달 점검이 이보다 적으면 따로 켜는 쪽이, 많으면 묶는 쪽이 쌉니다. 따로 켜는 길에는 Config 기록 요금도 붙으므로 갈림점은 실제로 그보다 낮습니다.

4절에서 본 대로 점검은 설정이 바뀔 때와 12·24시간마다 다시 돌아, 건수는 켠 표준의 컨트롤 수와 리소스 수에 따라 커집니다. 이 규모의 서비스가 1만 1,700건의 어느 쪽에 서는지는 셈으로 알 수 없습니다. CSPM 무료 30일 동안 사용량 화면에 찍히는 점검 수로만 압니다. 그러니 무료 기간에 그 수를 확인한 뒤 고릅니다. 값이 비슷하다면 노출 발견과 공격 경로 그래프는 묶는 길에만 있다는 점이 남습니다.

GuardDuty 를 Security Hub 의 위협 분석 플랜으로 켜면 그 몫도 Security Hub 청구로 묶입니다. 위협 분석 플랜의 서울 단가는 CloudTrail 이벤트 100만 건당 $4.60(GuardDuty 와 같음), 그 밖의 로그 GB당 $0.6325(월 첫 1,000 GB)입니다(AWS Price List, AWSSecurityHub, 2026-11-13). 이 단가라면 위 셈의 흐름·DNS 몫 $11.50 은 $6.33 으로 내려가 묶는 길이 그만큼 유리해집니다. 그런데 S3 데이터 이벤트는 고정 환산율로 GB 로 바꿔 받는데, 그 환산율은 공개돼 있지 않습니다(Monitoring GuardDuty usage and estimating costs). 그래서 위 셈은 두 길 모두 GuardDuty 단독 요금으로 셌습니다.

켜기 전에 Security Hub 의 비용 추정기가 각각 켰을 때와 묶었을 때의 값을 나란히 보여 줍니다(AWS Security Hub Cost Estimator). 다만 추정기는 미국 동부(us-east-1) 단가로 계산하므로, 서울 값은 위 셈처럼 가격 목록에서 봐야 합니다. Macie·Detective·Security Lake 는 버킷 수와 데이터 양에 따라 값이 크게 갈려 이 셈에 넣지 않았습니다.

이럴 땐 무엇

행동·소프트웨어·데이터·설정 가운데 무엇을 지켜볼지로 서비스가 정해지고, 엮고 조사하고 보관하는 서비스는 결과가 쌓이고 사람이 붙을 때 더합니다.

상황 서비스 이유
액세스 키 유출·무단 채굴을 알아채고 싶다 GuardDuty 켜기만 하면 CloudTrail·흐름·DNS 로그를 읽는다
서버·이미지·Lambda 의 알려진 취약점을 계속 본다 Inspector 새 CVE 가 나오면 알아서 다시 검사한다
어느 버킷에 개인정보가 있는지 모른다 Macie 표본으로 넓게 훑는 자동 검색
설정을 CIS·PCI DSS 기준에 대고 점수를 낸다 Security Hub CSPM 표준의 컨트롤마다 계속 점검
발견이 쌓여 무엇부터 고칠지 모른다 Security Hub 노출 발견으로 묶고, Inspector·CSPM 이 리소스 단가에 들어 있다
GuardDuty 경보의 원인을 따라간다 Detective 1년 치 행동 그래프를 쿼리 없이
보안 로그를 몇 년씩 내 S3 에 남기고 직접 질의한다 Security Lake OCSF·Parquet 로 맞춰 쌓는다
요청을 들어오는 순간 막아야 한다 WAF·Shield(05-2편) 이 편의 서비스는 알리기만 한다

자주 붙는 서비스는 EventBridge(발견을 받아 자동 대응), SNS(알림), CloudTrail·Config(감시의 원재료, 06편), Organizations(위임 관리자로 여러 계정을 한 번에, 10편), Systems Manager(Inspector 의 EC2 에이전트), Athena(Security Lake 질의)입니다.

한 장 요약

이 편의 서비스는 막지 않고 지켜보며, 지켜보는 대상으로 갈립니다. 행동은 GuardDuty, 소프트웨어는 Inspector, 데이터는 Macie, 설정은 Security Hub CSPM 이 보고, 새 Security Hub 는 그 결과를 엮어 순서를 매깁니다. 작은 서비스라면 GuardDuty 부터 켭니다. Inspector·CSPM 을 각각 켤지 Security Hub 로 묶을지는 리소스 수와 CSPM 점검 건수가 정합니다. EC2 네 대 규모라면 한 달 점검이 약 1만 1,700건을 넘을 때 묶는 쪽이 쌉니다(Config 요금을 빼고 GuardDuty 단독 요금으로 센 값). 점검 수는 무료 기간에 확인합니다.

관련 항목

보안을 지켜보는 같은 갈래

Amazon GuardDuty · Amazon Inspector · Amazon Macie · AWS Security Hub · AWS Security Hub CSPM · Amazon Detective · Amazon Security Lake

막는 쪽과 권한 쪽

AWS 05-2 비밀·인증서·방어막 — KMS·Secrets Manager·ACM·Private CA·WAF·Shield · AWS 05-1 누가 무엇을 할 수 있나 — IAM·IAM Identity Center·Cognito·Verified Permissions · AWS WAF · AWS Shield · IAM Access Analyzer

감시가 읽는 원재료

AWS 06 관측·운영 — CloudWatch·CloudTrail·Systems Manager·AppConfig·X-Ray·Config·Health · AWS CloudTrail · VPC 흐름 로그 · Route 53 Resolver 쿼리 로그 · AWS Config · EKS 감사 로그

위협 탐지를 이루는 말

위협 인텔리전스 · 공격 시퀀스 · 런타임 모니터링 · 침해 지표 · 크립토재킹 · 자격 증명 유출

취약점 관리를 이루는 말

취약점 · CVE · CVSS · NVD · SSM 에이전트 · EBS 스냅숏 · AWS 08 빌드·배포 자동화 — ECR·CodeBuild·CodePipeline·CodeDeploy·CloudFormation·CDK

설정 점검과 보안 표준

CSPM · CIS 벤치마크 · PCI DSS · NIST 사이버보안 프레임워크 · ASFF · 노출 발견

민감 데이터를 찾는 말

개인 식별 정보 · 관리형 데이터 식별자 · 정규 표현식 · 데이터 분류

보안 데이터를 모으고 질의하는 쪽

OCSF · Apache Parquet · 데이터 레이크 · Amazon Athena · AWS Lake Formation · AWS Glue · SIEM

발견을 받아 움직이는 쪽

Amazon EventBridge · Amazon SNS · AWS Lambda · AWS Organizations · 위임 관리자 · 사고 대응

이 노트가 쓴 용어 43

API AWS AWS Lambda Amazon SNS Apache Parquet CVE CVSS CloudWatch DNS GET GitHub IP PCI DSS SQL 감사 로그 경보 대시보드 데이터 레이크 데이터 분석 데이터 카탈로그 데이터베이스 런타임 버킷 빌드 사고 대응 서버 서비스 스키마 암호화 운영체제 원천 이벤트 질의 취약점 카탈로그 컨테이너 이미지 클라우드 태그 테이블 트래픽 패키지 프로세스 함수