AWS Security Incident Response 구성 검증

온보딩을 완료한 후 실제 보안 이벤트가 발생하기 전에 등록, 탐지 소스, AWS Identity and Access Management(IAM) 권한, 격리, 알림이 올바르게 구성되었는지 확인할 수 있습니다. 이 섹션에서는 AWS Management Console과 AWS CLI를 모두 사용하는 단계별 확인 절차를 제공합니다.

검증하기 전에

Security Incident Response 구성을 검증하기 위한 사전 조건

이러한 검증 단계를 완료하려면 다음이 필요합니다.

로그 준비 상태 확인

AWS Security Incident Response는 사용자를 대신하여 로그 소스를 활성화하지 않습니다. 엔지니어는 조사 중에 환경에 이미 있는 로그에 의존합니다. 설정을 검증하기 전에 모든 적용 대상 계정 및 AWS 리전에서 다음 로그가 활성화되어 있는지 확인합니다. 이러한 로그가 없으면 Security Incident Response 엔지니어는 조사 중에 가시성이 제한됩니다. 계속하기 전에 로그를 활성화합니다.

GuardDuty가 활성화되어 있는지 확인하세요

다음 명령을 사용하여 계정에서 Amazon GuardDuty가 활성 상태인지 확인합니다.

aws guardduty list-detectors

비어 있지 않은 응답은 현재 AWS 리전에서 GuardDuty가 활성화되었음을 확인합니다. 이 단계를 각 활성 리전에 대해 반복하거나 GuardDuty 위임 관리자 계정을 통해 조직 전체에서 확인합니다.

1단계: 등록 및 멤버십 확인

AWS Security Incident Response 콘솔 사용

AWS CLI 사용

위임 관리자 계정에서 다음 명령을 실행합니다.

aws security-ir list-memberships

위 명령은 멤버십 ID 및 상태를 반환합니다.

인시던트 대응 팀 구성을 포함한 전체 멤버십 세부 정보를 가져오기 위해 다음 명령을 실행합니다.

aws security-ir get-membership --membership-id membership-id

명령 출력을 사용하여 다음 정보를 확인합니다.

위임 관리자 확인

올바른 계정이 Security Incident Response의 위임 관리자로 등록되었는지 확인하려면 다음 명령을 실행합니다.

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

2단계: 탐지 소스 및 분류 확인

AWS Security Incident Response는 Security Hub CSPM을 통해 GuardDuty 및 서드 파티 도구의 보안 조사 결과를 모니터링합니다. 서비스는 서비스 연결 역할을 사용하여 온보딩 중에 계정에 배포된 Amazon EventBridge 규칙을 통해 조사 결과를 수집합니다.

분류 서비스 연결 역할 확인

AWSServiceRoleForSecurityIncidentResponse_Triage 서비스 연결 역할은 관리 계정 및 모든 범위 내 멤버 계정에 있어야 합니다.

확인하려면 관리 및 범위 내 멤버 계정에서 다음 명령을 실행합니다.

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

성공적인 응답은 역할이 존재함을 확인합니다. NoSuchEntity 오류가 발생하면 다음 중 하나를 수행하세요.

기본 서비스 연결 역할 확인

이 AWSServiceRoleForSecurityIncidentResponse 역할은 위임 관리자 계정에도 있어야 합니다. 이 역할이 존재하는지 확인하려면 다음 명령을 실행합니다.

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

선제적 대응 및 EventBridge 규칙 확인

AWS Security Incident Response 콘솔에서 선제적 대응이 활성화된 것으로 표시되는지 확인합니다. 활성화된 경우 서비스가 다음을 수행합니다.

EventBridge 규칙이 멤버 계정에 배포되었는지 확인

EventBridge 규칙이 멤버 계정에 배포되었는지 확인하려면 다음 단계를 완료합니다.

규칙이 누락된 경우 Security Incident Response 콘솔에서 선제적 대응 설정을 다시 실행하거나 AWS Support에 문의하세요.

서드 파티 통합 확인(해당하는 경우)

서드 파티 탐지 도구(예: CrowdStrike Falcon, Trend Micro Cloud One 또는 Fortinet Lacework FortiCNAPP)를 사용하는 경우 조사 결과가 Security Hub CSPM을 통과하는지 확인합니다.

3단계: 자동 조사 결과 파이프라인 확인

이 단계에서는 EventBridge 파이프라인이 활성 상태이고 조사 결과가 자동화된 분류에 도달하고 있는지 확인합니다.

GuardDuty 샘플 조사 결과 정보

GuardDuty의 기본 제공 샘플 조사 결과 생성 기능은 샘플로 표시된 조사 결과를 생성합니다. 자동화된 분류는 샘플 조사 결과를 필터링하여 노이즈를 방지합니다. 전체 분류 파이프라인을 통과하지 않으며 Security Incident Response 구성을 검증하는 데 사용할 수 없습니다. 이 단계에서는 사용하지 마세요.

GuardDuty 테스트 도메인으로 검증

GuardDuty 설명서는 실제 보안 이벤트 없이 실제 조사 결과를 생성하는 테스트 도메인(guarddutyc2activityb.com)을 제공합니다. 적용 대상 계정의 Amazon EC2 인스턴스에서 이 도메인을 쿼리하면 Security Incident Response가 수집 및 처리하는 조사 결과가 생성됩니다.

테스트 조사 결과를 생성하려면:

예상되는 사항:

4단계: 알림 및 인시던트 대응 팀 확인

인시던트 대응 팀 확인

Security Incident Response 콘솔에서 구성된 인시던트 대응 팀 구성원을 검토합니다. 사례가 생성되면 각 구성원은 즉시 이메일 알림을 받습니다.

또는 AWS CLI에서 다음 명령을 실행하여 확인합니다.

aws security-ir get-membership --membership-id membership-id

다음을 확인합니다.

사례 감시자 이해

사례 감시자는 특정 사례를 볼 수 있는 액세스 권한이 부여된 이해관계자입니다. 주요 세부 정보:

이 사례별 범위 조정은 관리형 탐지 및 대응(MDR) 파트너 또는 관련된 특정 사례만 확인해야 하는 서드 파티 조사 팀과 같은 외부 당사자에게 액세스 권한을 부여할 때 특히 중요합니다.

테스트 사례를 사용하여 알림 전송 확인

엔드 투 엔드 알림 흐름을 검증하는 가장 효과적인 방법은 사후 대응(자체 관리형) 테스트 사례를 생성하는 것입니다.

사례 알림에서 기대할 수 있는 사항

사례가 생성되면(서비스에서 선제적으로 또는 팀이 사후 대응적으로) 구성된 모든 인시던트 대응 팀 구성원이 사례 세부 정보가 포함된 이메일 알림을 받습니다.

EventBridge 통합 확인(구성된 경우)

사례 이벤트를 서드 파티 플랫폼(예: ServiceNow, Jira, Slack 또는 PagerDuty)으로 라우팅하도록 EventBridge를 구성한 경우 테스트 사례가 해당 시스템에서 예상 알림을 트리거하는지 확인합니다.

5단계: 격리 준비 상태 확인(선택 사항)

격리를 활성화하지 않은 경우

여기에서 검증할 사항이 없습니다. Security Incident Response는 보안 이벤트 중에 지침 및 조사를 제공하지만 사용자가 명시적으로 승인하지 않는 한 자동 격리 작업을 수행하지 않습니다.

격리를 활성화한 경우

콘솔에서 격리 상태를 확인합니다. 격리 작업이 승인됨으로 표시되는지 확인합니다. 지원되는 격리 작업에는 다음에 대한 런북이 포함됩니다.

CloudFormation StackSet가 배포되었는지 확인합니다. 격리에는 적용 대상 계정에 IAM 역할(AWSSecurityIncidentResponseContainment 및 AWSSecurityIncidentResponseContainmentExecution)이 필요합니다.

StackSet가 배포되지 않은 경우 콘솔의 격리 권한 부여로 인해 실제 격리 작업이 수행되지 않습니다.

격리 기본 설정을 확인합니다. Security Incident Response는 세 가지 격리 수준을 지원합니다.

기본 설정을 제출하거나 업데이트하려면 사례 유형 기술: Security Incident Response 서비스/기타를 사용하여 AWS Support 사례를 생성합니다.

EC2 Triage를 원하는 경우: EC2 Triage를 사용하여 격리 CloudFormation 템플릿을 배포합니다. 이를 통해 Security Incident Response 엔지니어는 AWS Systems Manager를 사용하여 Amazon EC2 인스턴스에서 조사 데이터를 수집할 수 있습니다.

6단계: 지속적인 작업 확인

초기 검증을 완료한 후 이러한 지표를 사용하여 Security Incident Response가 예상대로 계속 작동하는지 확인합니다.

사례가 없는 것은 정상입니다.

Security Incident Response는 자동화된 분류에서 인적 조사가 필요한 활동을 식별하는 경우에만 선제적 사례를 생성합니다. 분류에서 조사 결과가 정상이라고 판단되면 사례를 생성하거나 팀에 연락하지 않고 조사 결과를 보관합니다. 개설된 사례가 없고 보관된 GuardDuty 조사 결과의 일관된 흐름이 있는 배포는 의도한 대로 작동합니다.

환경이 며칠 동안 활성 상태였지만 사례 및 보관된 조사 결과가 없는 경우 파이프라인이 연결되지 않은 것일 수 있습니다. 2단계 및 3단계를 확인하세요.

상태 신호로서의 보관된 조사 결과 및 억제 규칙

Security Incident Response는 시간이 지남에 따라 조사 결과를 처리하면서 관찰 가능한 두 가지 아티팩트를 생성합니다.

억제 규칙이 생성되면 인시던트 대응 팀에 알립니다. 오류로 규칙이 생성된 경우 AWS Support에 문의하여 롤백을 요청합니다. 보관된 조사 결과는 GuardDuty에 90일 동안 보존됩니다.

월별 활동 보고서

Security Incident Response는 처리된 조사 결과, 분류 결과, 개설된 사례를 요약한 월별 활동 보고서를 인시던트 대응 팀에 전송합니다. 운영을 시작한 후 첫 번째 달이 온전히 지났는데도 팀이 보고서를 받지 못한 경우 인시던트 대응 팀 구성원이 커뮤니케이션을 활성화했는지 확인합니다. 월별 보고서와 관련된 다른 문제는 계정 팀에 문의하거나 사례 유형 기술: Security Incident Response 서비스/기타으로 지원 사례를 개설하고 다음 정보를 포함합니다.

Security Incident Response 엔지니어에게 예상되는 사항

AWS 지원 사례를 생성하거나 서비스가 선제적으로 사례를 생성하면 Security Incident Response 엔지니어는 15분 이내에 새 사례를 확인합니다. 이 15분 확인 SLO는 모든 AWS 지원 사례 유형, 즉 활성 보안 이벤트 및 조사에 적용됩니다. 초기 확인은 사례를 검토 중임을 확인하며, 전체 평가 타임라인은 사례 심각도 및 복잡성에 따라 다를 수 있습니다.

선제적 사례(분류 서비스가 확인된 보안 문제를 식별하면 자동으로 생성됨)의 경우, 자동화된 분류가 문제를 확인한 후 서비스가 사례를 생성하고 사례가 개설되면 인시던트 대응 팀에 알립니다.

검증 체크리스트

이 체크리스트를 사용하여 구성이 완료되었는지 확인합니다.

청구 확인

Enterprise Support 및 Unified Operations 고객: Security Incident Response는 지원 플랜의 일부로 추가 비용 없이 포함됩니다. AWS Cost Explorer 또는 AWS 비용 및 사용량 보고서에는 Security Incident Response 요금이 표시되지 않습니다.

기타 모든 고객: 요금은 수집된 보안 조사 결과의 수에 따라 책정됩니다. 매월 10,000건의 조사 결과까지는 무료입니다. 자세한 내용은 AWS Security Incident Response 요금을 참조하세요.

문제 해결

관련 리소스