AWS 실습 계정에서 흔적을 남기고 되짚기 목차
실습 계정에서 S3 공개 설정과 IAM 권한을 직접 바꾸고, 그 호출을 CloudTrail에서 조사자 입장으로 되짚은 뒤, GuardDuty가 같은 행동을 어떻게 보고하는지까지 확인한 기록입니다. 답을 아는 상태에서 도구를 읽는 순서로 이어집니다.
1편. 버킷이 공개인지는 버킷 정책만 봐서는 알 수 없다
새로 만든 S3 버킷의 기본 설정과 버킷 수준 Public Access Block의 동작을 실습 계정에서 직접 확인했다. 공개 정책의 저장 거부와 S3의 public-policy 판정이 고정된 신뢰 값으로 접근 범위를 제한하는 방식을 조건별 정책으로 비교한 기록이다.
2편. 최소 권한을 정책 길이가 아니라 거부 테스트로 확인했다
IAM 정책을 좁혔다는 것을 무엇으로 증명하는지 실습 계정에서 확인했다. 정책 시뮬레이터로 Negative 테스트를 돌리다가, 입력이 틀려도 「거부됨」이 똑같이 나오는 경로를 네 개 만났다. 거부가 왜 증거가 되지 못하는지에 대한 기록이다.
3편. 내가 바꾼 권한을 CloudTrail에서 다시 찾아봤다
실습 계정에서 IAM 사용자를 만들고 정책을 바꾼 뒤, 그 호출을 조사자 입장에서 찾아봤다. 서울 리전에서는 아무것도 나오지 않았고, 그 이유를 찾는 것이 이 글의 대부분이다.
4편. GuardDuty를 켜자마자 내가 잡혔다
실습 계정에 GuardDuty를 켜고 며칠을 기다릴 생각이었는데, 몇 분 만에 진짜 Finding이 하나 올라왔다. 대상은 나였다. 심각도가 무엇을 뜻하고, Finding을 어디까지 믿을 수 있는지 확인한 기록이다.