인프라 자동화 방어, 과대평가인가?

IaC와 정책 엔진이 보급되면서 “자동 방어”가 대세다.

하지만 규칙이 정적이기 때문에 *상황 인식*이 결여돼 오탐과 미탐이 동시에 발생한다. 실제 현장에서는 “정책 위반” 로그가 넘쳐나지만, 대부분은 권한 부여 오류나 테스트 환경이다.

당장 점검 포인트
- IaC 템플릿 검증: `aws_security_group` 규칙이 최소 권한인지 확인
- CloudTrail + Config 연동: 비정상적 리소스 생성 시 경보
- 네트워크 흐름 로그와 매칭: 정책 차단이 실제 트래픽과 일치하는지 검증

자동화는 시간 절약을 주지만, 인간 리뷰 없이 무작정 적용하면 오히려 보안 허점이 될 수 있다. 핵심은 “자동화 + 컨텍스트”를 결합하는 것.