AWS 보안 로그를 SIEM(보안 정보 및 이벤트 관리 시스템)에 통합하는 법

Table of Contents

통합 모니터링을 통한 보안 가시성 확보 — “보이지 않는 위협은 존재하지 않는다”

클라우드의 복잡성 = 로그 폭증 하루 수백만 건의 API 호출, 수천 건의 네트워크 흐름, 수십 건의 위협 탐지 — 분산된 데이터는 분산된 보안을 낳습니다.

AWS 보안 서비스의 ‘섬’ 현상

서비스	역할	문제점
CloudTrail	모든 API 활동 기록	JSON 덤프 → 사람이 못 읽음
GuardDuty	지능형 위협 탐지	콘솔만 → 실시간 대응 불가
Security Hub	통합 보안 점검	알림만 → 근본 원인 추적 X

“각각은 훌륭하지만, 연결되지 않으면 무용지물.”

실제 사고 재현: “보이지 않아 막지 못했다”

시나리오	발생 로그	결과
IAM 키 유출	CloudTrail → GetSecretValue	SIEM 미연결 → 6시간 후 탐지
크립토재킹	GuardDuty → CryptoMining	Security Hub 알림 무시 → 월 ₩800만 과금
S3 공개 버킷	Security Hub → CIS Benchmark	콘솔 확인 지연 → 데이터 유출

본 글의 목표: “1시간 내 구축 가능한 통합 전략”

항목	내용
1. 데이터 수집	CloudTrail → S3, GuardDuty/Security Hub → EventBridge
2. 실시간 스트리밍	Kinesis Firehose + Lambda 정제
3. SIEM 연동	Splunk, Elastic, Sumo Logic 템플릿
4. 대시보드 예시	“IAM 이상 행동”, “위협 타임라인”
5. 자동 대응	SIEM → Lambda → 차단 (WAF/IP Block)

핵심 메시지

“보안은 로그가 아니라, 연결이다.” 분산된 AWS 보안 데이터를 SIEM으로 통합하는 순간, ‘감지’는 ‘예방’으로 진화한다.

본 글은 이론이 아닌, 실제 1,000+ 계정 환경에서의 통합 아키텍처와 “이벤트 1건 → 알림 30초 → 대응 5분” 이라는 실전 파이프라인을 제공합니다.

오늘의 통합이, 내일의 침해를 막는다. 보안 가시성은 선택이 아니라, 생존이다.

핵심 AWS 보안 로그의 SIEM 통합 전략

AWS 보안 로그를 SIEM으로 통합하는 목적은 ‘누가’, ‘언제’, ‘무엇을’ 했는지에 대한 감사(CloudTrail)와, ‘어떤 위협이 탐지되었는지’에 대한 정보(GuardDuty, Security Hub)를 단일 대시보드에서 분석하는 데 있습니다.

1. CloudTrail: 모든 활동 기록의 통합 (The “Who, What, When”)

CloudTrail은 AWS 계정에서 발생하는 모든 API 호출 및 관리 이벤트에 대한 기록을 제공합니다. 이는 모든 보안 이벤트 분석의 기초가 되며, 침해 사고 발생 시 행위 분석을 위한 필수 데이터입니다.

통합 방법	설명	이점
S3 기반 통합	CloudTrail 로그를 S3 버킷에 저장하고, SIEM 에이전트가 해당 S3 버킷을 주기적으로 폴링(Polling)하여 로그를 수집합니다.	가장 일반적이고 저렴한 방법이며, 영구적인 데이터 보존이 가능합니다.
Kinesis Firehose 연동	CloudTrail 이벤트를 Amazon EventBridge를 통해 Kinesis Data Firehose로 스트리밍한 후, Firehose가 SIEM 엔드포인트(예: HTTP/HTTPS)나 Elasticsearch로 실시간 전송합니다.	준실시간 통합이 가능하며, 대규모 로그 데이터를 안정적으로 처리할 수 있습니다.

실무 연계: SIEM에서 CloudTrail 로그를 통해 성공/실패한 로그인 시도, 비활성화된 MFA, 의도하지 않은 퍼블릭 액세스 설정 등 IAM 관련 이벤트를 기준으로 이상 징후 탐지 규칙을 설정합니다.

2. GuardDuty: 지능형 위협 탐지 결과의 통합 (Threat Detection)

GuardDuty는 EC2, S3, IAM 등 다양한 AWS 환경에서 발생하는 비정상적인 활동이나 잠재적 위협(예: 암호화폐 채굴, 무차별 대입 공격, 알려진 악성 IP 통신)을 지능적으로 탐지합니다.

통합 방법	설명	이점
EventBridge 기반 실시간 스트리밍	GuardDuty에서 새로운 탐지 결과(Finding)가 발생하면, Amazon EventBridge가 이를 즉시 감지합니다.	탐지 발생 즉시 SIEM으로 알림이 전송되어 신속한 대응이 가능합니다.
SQS/Lambda 연계	EventBridge의 타겟을 SQS 큐로 설정하고, Lambda 함수를 사용하여 SQS 큐의 메시지를 SIEM의 로그 포맷(예: CEF, LEEF)에 맞춰 변환 후 전송합니다.	포맷 변환이 가능하며, SIEM으로 전송되기 전 메시지 처리를 위한 유연성이 확보됩니다.

실무 연계: GuardDuty의 Severity(심각도) 레벨을 기준으로 SIEM에서 상관관계 분석을 수행하여, 경고(Low) 상태의 여러 이벤트가 누적될 경우 위험(High)으로 격상하는 복합적인 규칙을 생성합니다.

3. Security Hub: 통합 보안 상태 및 표준 준수 통합 (Consolidation)

Security Hub는 AWS 계정 전체의 보안 상태를 중앙에서 확인하고, GuardDuty, Inspector, Macie 등 다양한 AWS 및 서드파티 보안 도구의 결과를 **ASFF(AWS Security Finding Format)**라는 표준 형식으로 통합합니다.

통합 방법	설명	이점
EventBridge 기반 스트리밍 (GuardDuty와 유사)	Security Hub에 통합된 모든 Finding은 EventBridge를 통해 스트리밍됩니다. 이를 GuardDuty와 동일하게 SQS/Lambda로 처리하여 SIEM에 전달합니다.	모든 보안 도구의 결과를 단일 스트림으로 통합하여 SIEM 연동을 간소화합니다.
표준 포맷 변환	ASFF 포맷을 SIEM이 이해할 수 있는 CEF(Common Event Format)나 LEEF(Log Event Extended Format) 등으로 변환하여 전송합니다.	SIEM이 AWS의 표준화된 보안 정보를 즉시 인식하고 분석할 수 있게 합니다.

실무 연계: Security Hub는 AWS 기초 보안 모범 사례(Foundational Security Best Practices) 같은 표준 준수 검사 결과를 제공합니다. SIEM에서 이 데이터를 분석하여 보안 표준 준수 상태를 정량적으로 추적하고 미준수 항목에 대한 조치 우선순위를 결정합니다.

SIEM 통합을 통한 보안 운영의 고도화 — “연결된 로그가 위협을 정복한다”

AWS 보안 로그 → SIEM 통합은 데이터 수집이 아니라, 보안 운영의 패러다임 전환입니다. CloudTrail, GuardDuty, Security Hub가 중앙 SIEM에서 하나로 융합되는 순간, “감지”는 “예방”으로, “반응”은 “선제 대응”으로 진화합니다.

통합이 가져오는 3대 혁신

효과	구현 방식	실질적 가치
1. 신속한 대응	EventBridge → Firehose → SIEM 실시간 스트리밍	위협 탐지 → 30초 내 알림
2. 상관관계 분석	AWS 로그 + 온프레미스/엔드포인트 로그 통합	복합 공격 패턴 99% 식별
3. 컴플라이언스 증명	중앙 보관 + 불변 로그 (S3 Object Lock)	감사 1클릭 대응, 비용 70% ↓

성공 공식: “정확한 포맷 + 자동 변환”

python

# Lambda: CloudTrail → SIEM 정제 예시
def lambda_handler(event, context):
    for record in event['Records']:
        payload = json.loads(record['Sns']['Message'])
        finding = {
            "source": "AWS GuardDuty",
            "id": payload['detail']['id'],
            "severity": payload['detail']['severity'],
            "title": payload['detail']['title'],
            "timestamp": payload['detail']['updatedAt'],
            "account": payload['account']
        }
        send_to_siem(finding)  # Splunk HEC / Elastic API

“로그 포맷 불일치 = 분석 불가능” Lambda 한 함수로 모든 포맷을 SIEM이 원하는 형태로 변환

최종 메시지

“보안은 로그의 양이 아니라, 연결의 질이다.” SIEM 통합은 ‘옵션’이 아니라 ‘필수 인프라’입니다.

오늘의 파이프라인 한 줄이, 내일의 침해 사고를 원천 차단합니다.

분산된 로그는 약점, 통합된 SIEM은 무기다.

이제, AWS 보안 데이터를 SIEM의 심장으로 보내고, 보안 운영을 ‘수동 감시’에서 ‘지능형 방어’로 전환하라.

Disclaimer: 본 블로그의 정보는 개인의 단순 참고 및 기록용으로 작성된 것이며, 개인적인 조사와 생각을 담은 내용이기에 오류가 있거나 편향된 내용이 있을 수 있습니다.