보안 표준 및 규정 준수 점수

조사 결과를 집계하는 것은 보안 허브가 제공하는 가치의 절반입니다. 나머지 절반은 모범 사례 표준에 따라 계정을 지속적으로 검사하고 점수를 제공하는 것입니다. 이를 통해 무엇이 자신을 공격했는지만이 아니라 애초에 구성이 얼마나 노출되어 있는지도 알 수 있습니다.

보안 표준은 리소스를 모범 사례에 따라 검사하는 자동화된 제어 항목의 엄선된 모음입니다. 보안 허브는 일정에 따라 이러한 검사를 실행하고 각 제어 항목을 통과 또는 실패로 보고합니다. 따라서 막연한 "보안이 제대로 되어 있는가?"라는 질문을 구체적이고 측정 가능한 결과로 바꿀 수 있습니다.

보안 허브는 AWS Foundational Security Best Practices (FSBP), Center for Internet Security(CIS) AWS Foundations Benchmark, PCI DSS 및 NIST에 맞춰진 표준을 제공합니다. 각 표준은 일반적인 보안 강화부터 특정 규정 준수 체계까지 서로 다른 대상을 위한 것입니다.

FSBP 표준은 여러 서비스를 포괄하는 AWS 자체의 광범위한 검사 모음입니다. 예를 들어 "S3 버킷은 퍼블릭 액세스를 차단해야 함" 또는 "IAM 루트 사용자는 MFA를 사용해야 함"과 같은 검사입니다. 현재 AWS 지침을 전반적으로 반영하므로 대부분의 계정에서 권장되는 시작점입니다.

CIS AWS Foundations Benchmark는 Center for Internet Security에서 관리하는 업계 표준 보안 강화 지침입니다. 보안 허브에서 활성화하면 널리 알려진 합의 기반 제어 항목에 따라 계정을 검사할 수 있으므로, 감사자가 특히 CIS 준수를 요구할 때 유용합니다.

각 표준은 개별 제어 항목으로 구성되며 각 제어 항목은 통과, 실패 또는 사용 불가 상태를 보고합니다. 실패한 제어 항목은 수정할 수 있는 조사 결과를 생성합니다. 환경에 적용되지 않는 제어 항목은 비활성화하여 결과를 왜곡하지 않도록 할 수 있습니다.

보안 허브는 활성화된 제어 항목 중 통과한 항목의 비율인 보안 점수를 계산합니다. 점수가 높을수록 보안 상태가 강하다는 의미입니다. 이 점수는 경영진이 시간에 따른 상태를 추적할 수 있는 간단한 지표를 제공하며, 실패한 제어 항목의 세부 내용은 엔지니어가 처리할 작업 목록을 제공합니다.

여러 표준에서 겹치는 제어 항목이 많습니다. 보안 허브는 제어 항목 조사 결과를 통합하여 하나의 근본 문제가 여러 번 보고되지 않도록 할 수 있습니다. 여러 표준이 같은 내용을 검사하더라도 점수와 조사 결과 목록을 깔끔하게 유지할 수 있습니다.

실패한 제어 항목은 수정해야 하는 조사 결과이며, 문서화된 수정 절차가 제공되는 경우가 많습니다. EventBridge를 통해 자동 수정으로 전달하거나 티켓 관리 시스템으로 보낼 수 있습니다. 제어 항목이 실패에서 통과로 바뀌면 점수가 향상되므로 진행 상황을 측정할 수 있습니다.

모든 제어 항목이 모든 계정에 적합한 것은 아닙니다. 적용되지 않는 개별 제어 항목을 비활성화할 수 있으며, 일부 제어 항목은 정책에 맞추기 위한 매개변수를 지원합니다. 예를 들어 필요한 최소 비밀번호 길이를 지정할 수 있습니다. 제어 항목을 조정하면 보안 점수가 의미를 유지합니다. 관련 없는 검사 때문에 점수가 낮아지면 수정 작업을 안내하는 대신 오해를 일으킬 수 있기 때문입니다.

중요한 종속성이 있습니다. 일부 보안 허브 제어 항목은 리소스 구성을 기록하는 AWS Config에 의존합니다. Config가 관련 리소스 유형을 기록하지 않으면 해당 제어 항목을 평가할 수 없어 데이터 없음으로 표시될 수 있습니다. 따라서 완전한 보안 상태 관리 프로그램에서는 보안 허브와 함께 Config도 활성화해야 합니다. 시험에서는 이러한 종속성을 숨기고, Config가 많은 제어 항목 검사의 기반이라는 사실을 알고 있는지 확인할 수 있습니다.

표준을 요구 사항에 맞춰 보십시오.

보안 허브는 자동화된 제어 항목 모음인 보안 표준을 실행해 보안 상태를 측정합니다. 여기에는 AWS FSBP, CIS Benchmark, PCI DSS/NIST에 맞춰진 표준이 포함됩니다. 각 제어 항목은 통과 또는 실패를 보고하여 보안 점수(통과 비율)를 생성합니다. 관련 없는 제어 항목은 비활성화하고, 겹치는 항목은 통합하며, 실패 항목을 수정해 점수를 높이십시오.