【지침 기업 조직/시스템에 Amazon GuardDuty를 도입하기 위한】 고려 사항

📅 작성일: 2025/01/22, 수정일: 2025/01/22 ⏱️ 예상 읽기 시간 약 10분 (3,804자)

Amazon GuardDuty는 AWS 계정의 활동을 모니터링하고 위협하는 서비스입니다.
이 기사에서는 Amazon GuardDuty에 대한 요약과 회사 조직/시스템에 대한 도입을 고려할 때 확인해야 할 사항에 대해 설명했습니다.

개정 내역

날짜	업데이트 내용
2025/01/22	・ “GuardDuty Malware Protection for S3” 및 “GuardDuty 런타임 모니터링”을 추가했습니다. ・ 링크 업데이트

Amazon GuardDuty(이하 GD)는 AWS 계정의 활동을 모니터링하고 무단 활동과 의심스러운 행동을 탐지하는 관리형 위협 탐지 서비스입니다.
GD는 AWS CloudTrail 로그, Amazon VPC 흐름 로그 및 DNS 로그를 수집하고 분석하여 악의적인 활동을 식별합니다.
일반적인 오해는 GD를 사용하려면 CloudTrail 및 VPC 흐름 로그를 활성화해야 하지만 필수는 아니라는 것입니다.
GD는 기본 데이터 소스 외에 다음과 같은 7가지 선택적 위협 탐지 기능을 제공합니다.
GuardDuty EKS 보호
GuardDuty 람다 보호
EC2용 GuardDuty 악성코드 방지
S3용 GuardDuty 악성코드 방지
GuardDuty RDS 보호
GuardDuty S3 보호
GuardDuty 런타임 모니터링

GD는 IDS/IPS(침입탐지시스템/침입방지시스템)로 분류됩니다.
귀하의 환경에서 이미 IDS/IPS 제품을 사용하고 계시다면, GD와 통합하는 방법을 고려해보세요.
IDS는 비정상적인 트래픽만 통보하고, IPS는 이를 차단할 수도 있습니다.
IPS는 IDS보다 빠른 대응이 가능하지만 비즈니스에 더 큰 영향을 미칠 수 있습니다.
잘못된 IPS 설정으로 인해 잘못된 긍정이 발생하여 잠재적으로 시스템 중단이 발생할 수 있습니다.
GD는 기계 학습을 사용하여 무차별 대입 공격과 의심스러운 API 호출을 탐지합니다.
아래 표에는 GD 및 네트워크 방화벽 관리 규칙에 의해 탐지되거나 차단되는 공격 및 통신 유형이 요약되어 있어 각 기능과 차이점을 이해하는 데 도움이 됩니다.
참고자료:
GuardDuty 결과 유형 - Amazon GuardDuty
AWS 네트워크 방화벽에서 AWS 관리형 규칙 그룹 사용 - AWS 네트워크 방화벽

범주	목	가드듀티	네트워크 방화벽
공격	악성 코드	○	○
〃	DoS/DDoS	○	○
〃	제로데이(취약성)	○	○
〃	피싱	○	○
〃	무차별 대입	○	-
의사소통	봇넷	○	○
〃	익명통신(Tor)	○	-
〃	의심스러운 통신 소스/대상	○	○
〃	의심스러운 API 통신	○	-
〃	기타 의심스러운 통신	○	○
설정	불완전한 Kubernetes 구성	○	-

아니요	보호	개요	가격(도쿄 지역)
01	S3 보호	CloudTrail 관리 이벤트와 데이터 이벤트를 모두 모니터링하고 Amazon S3 버킷의 API 작업을 분석합니다.	이벤트 백만 개당 $1.04 (처음 5억 개 이벤트/월)
02	RDS 보호	Amazon Aurora 데이터베이스에 대한 로그인 활동을 분석합니다.	vCPU당 $1.33
03	EC2용 악성 코드 방지	위협이 감지되면 Amazon EC2 인스턴스 또는 컨테이너 워크로드에 연결된 EBS 볼륨을 검색합니다.	GB당 $0.05
04	S3용 악성 코드 방지	S3 버킷에 업로드된 파일에 맬웨어가 있는지 검사합니다.	GB당 $0.60
05	EKS 보호	EKS 감사 로그 및 런타임을 모니터링하여 애플리케이션, 제어 플레인 및 이벤트를 분석합니다.	감사 로그: 이벤트 백만 개당 $2.48 (처음 1억 개 이벤트/월) EKS 런타임 모니터링: vCPU당 $2.00 (처음 500개 vCPU/월)
06	람다 보호	Lambda 네트워크 활동 로그를 분석합니다.	GB당 $1.18 (처음 500GB/월)
07	런타임 모니터링	Lambda, EC2, Fargate 등의 리소스를 모니터링합니다.	vCPU당 $1.50 (처음 vCPU 500개/월)

GuardDuty S3 발견 유형	기본 심각도	대응책이나 탐지 방법이 있습니까?
발견:S3/비정상적인 행동	낮은	예(*1)
검색:S3/악성IP발신자	높은	예(*1)
검색:S3/MaliciousIPCaller.Custom	높은	예(*1)
검색:S3/TorIP발신자	중간	예(*1)
유출:S3/변칙적 행동	높은	예(*1)
유출:S3/악성IP발신자	높은	예(*1)
영향:S3/AnomalousBehavior.Delete	높은	예( 1, 4)
영향:S3/AnomalousBehavior.Permission	높은	예( 1, 2, *3)
영향:S3/AnomalousBehavior.Write	중간	예(*1)
영향:S3/악성IP발신자	높은	예(*1)
침투 테스트:Sz/KaliLinux	중간	예(*1)
펜테스트:S3/ParrotLinux	중간	예(*1)
펜테스트:S3/PentooLinux	중간	예(*1)
정책:S3/AccountBlockPublicAccessDisabled	낮은	예(*2)
정책:S3/BucketAnonymousAccessGranted	높은	예( 2, 3)
정책:S3/BucketBlockPublicAccessDisabled	낮은	예(*2)
정책:S3/BucketPublicAccessGranted	높은	예(*2)
스텔스:S3/ServerAccessLoggingDisabled	낮은	예(*2)
무단 액세스:S3/MaliciousIPCaller.Custom	높은	예(*1)
무단 액세스:S3/TorIPCaller	높은	예(*1)

일반적으로 플랫폼 팀은 보안 관련 AWS 서비스 활성화를 담당하므로 ’1. 감지기 초기 설정’과 ’4. 기능 업데이트 구현’을 주로 담당합니다.
“2. 조사 결과 검토 및 대응” 및 “3. 조사 결과 조정”에는 시스템 설계에 대한 지식이 필요하므로 시스템 관리자가 처리하는 경우가 많습니다.
조직에서 AWS 서비스 권한이 위임되는 방식에 따라 역할을 할당합니다.