핵심: 설정 점검, 행동 탐지, 증거 수집은 서로 다른 일이다. 하나의 사고를 설명하려면 이 기능들이 이어져야 한다.
한눈에 보는 흐름
왜 배웠는가?
Wazuh를 설치하는 것에서 시작했지만, “도구가 있다”만으로 사고를 조사하고 대응할 수 있는 것은 아니었다. 어떤 기록이 필요하고 각 도구가 무엇을 맡는지 정리했다.
도구의 역할 — 한 줄씩
도구·기능 | 이해할 질문 |
Prowler | 클라우드 설정에 보안상 문제는 없는가? |
Amazon Inspector | 알려진 취약점과 노출을 점검할 수 있는가? |
Wazuh | 보안 기록을 모으고 규칙에 맞는 이상행위를 찾을 수 있는가? |
Falco | 실행 중인 시스템에서 수상한 행동이 발생했는가? |
Velociraptor | 조사에 필요한 엔드포인트 증거를 수집할 수 있는가? |
도구 비교에서는 설정 점검, 실행 중인 행동 탐지, 증거 수집의 역할을 구분했다. Prowler·Inspector 등은 비교 조사에 포함된 도구다.
사고를 설명하는 순서
- 기록: 서버·웹·AWS에서 발생한 일을 남긴다.
- 수집: 여러 곳의 기록을 한곳에서 볼 수 있게 모은다.
- 탐지·연결: 수상한 기록을 찾고 같은 사건인지 판단한다.
- 조사·대응: 영향 범위를 확인하고 필요한 조치를 한다.
- 보존·회고: 근거와 판단, 조치 결과를 남긴다.
예시: 웹 요청 기록은 진입 경로, 프로세스 기록은 서버 안의 실행, CloudTrail은 AWS API 사용을 설명한다. 하나의 로그만으로 모든 단계를 알 수는 없다.
실제 기록 · 연결 성공에서 교체 후 운영까지
김태형의 Velociraptor 글은 개인 환경의 Server–Agent 연결 확인 후 팀 PR에서 두 문제를 발견한 사례다.
놓친 부분 | 학습으로 이어진 수정 방향 |
서버 IP를 설정에 고정했다. | 서버 교체를 고려해 내부 DNS 이름을 사용했다. |
교체 때 인증 설정도 새로 만들어진다. | 주소뿐 아니라 기존 인증 설정과 조사 데이터도 유지해야 한다. |
별도 EBS에 설정·조사 데이터를 보관하는 방향과 CA 개인키 분리는 후속 과제로 남았다.
조준환의 컨테이너 조사도 “컨테이너에 넣으면 끝”에서 출발해, 배치한 위치에서 무엇을 관찰할 수 있는가를 다시 확인하는 학습으로 이어졌다.
실제 PR 피드백 화면
화면의 핵심: 서버 교체 시 CA·인증서가 다시 생성된다는 지적과, 설정 보관·별도 데이터 볼륨이라는 두 개선 방향.
출처: 김태형의 Velociraptor 구축 글에 첨부된 화면.
설계 지식을 우리 환경에 대입했다
장혜리·박진혁의 문제점 분석은 탐지 서버 접근 범위, 수집 로그, 권한, 탐지 서버 장애 감시를 검토했다. 각 글은 작성 시점에 확인한 문제와 개선 방향을 다룬다.
배운 점
설치 완료보다 공격 하나의 진입·실행·권한 사용·조치를 근거로 설명할 수 있는가가 중요하다.
원문과 작성자
- 【AWS】 Wazuh SIEM 구축 해보기 — 김태형
- Amazon Inspector의 구현방식(Wazuh와 비교를 통해) — 박진혁, 이재원
- CERT INFRA에 대한 학습(이재원) — 작성자 미기재
- SecOps 개념 — 김태형
- 【Cloud & CERT】 근두운 인프라 문제점 분석 (박진혁) — 작성자 미기재
