클라우드 환경은 로그가 방대한 만큼 오탐·미탐이 늘어나고 있다. 특히 IAM 역할 전환(AssumeRole) 이벤트는 정상 업무와 공격 사이의 경계가 모호해, 수백 건의 정상 호출이 탐지 시스템을 압도한다. 이때 핵심은 이벤트 메타데이터(principalArn, sourceIPAddress, eventSource, eventName)와 정상 패턴 프로파일을 매핑해 비정상 시그널을 추출하는 것.
예시 룰:
- 필드: eventName=AssumeRole, sourceIPAddress, userAgent
- 조건: sourceIPAddress not in corporate CIDR OR userAgent not in approved list
- 오탐 감소: exclude events from known automation accounts, apply time‑window aggregation (5 min) to filter bursty legitimate activity.
실무 체크포인트:
1. CloudTrail을 모든 리전에서 로그 수집하도록 설정하고, S3 접근 로그와 연동해 IAM 활동을 한눈에 보기.
2. GuardDuty, SecurityHub와 연동해 비정상 IAM 행동을 자동화.
3. 로그 보존 기간을 최소 90 일 이상으로 확장해, 장기 분석에 대비.
이런 접근을 빠르게 적용하면, 오탐으로 인한 경보 소음은 줄이고, 미탐으로 인한 내부 권한 상승을 사전에 차단할 수 있다.
예시 룰:
- 필드: eventName=AssumeRole, sourceIPAddress, userAgent
- 조건: sourceIPAddress not in corporate CIDR OR userAgent not in approved list
- 오탐 감소: exclude events from known automation accounts, apply time‑window aggregation (5 min) to filter bursty legitimate activity.
실무 체크포인트:
1. CloudTrail을 모든 리전에서 로그 수집하도록 설정하고, S3 접근 로그와 연동해 IAM 활동을 한눈에 보기.
2. GuardDuty, SecurityHub와 연동해 비정상 IAM 행동을 자동화.
3. 로그 보존 기간을 최소 90 일 이상으로 확장해, 장기 분석에 대비.
이런 접근을 빠르게 적용하면, 오탐으로 인한 경보 소음은 줄이고, 미탐으로 인한 내부 권한 상승을 사전에 차단할 수 있다.
💬 댓글 3