한 달에 한 번이던 보안 점검을, 매일 자동으로
4개 클라우드의 위험한 행위를 발생 당일 잡아내는 구조
문제
보안 점검은 월말에 한 번, 며칠씩 수동으로 했습니다. 누군가 자신에게 과도한 권한을 주거나 주요 서버를 지워도 최대 한 달 가까이 모를 수 있었습니다. 누가 시킨 일은 아니었지만 직접 바꾸기로 했습니다.
판단
같은 "권한 변경"이라도 클라우드마다 기록 방식이 모두 달랐습니다. 제각각인 로그를 "누가, 언제, 어떤 리소스에, 무엇을 했나"라는 공통 기준으로 바꾸기로 했습니다.
실행
4개 클라우드의 모든 프로젝트에서 감사 로그를 가져와 정규화하고, 매일 새벽 자동으로 점검합니다. 사고로 이어질 수 있는 행위만 크리티컬로 정해 텔레그램·슬랙으로 알리고, 행위자 확인 뒤 조치 완료로 기록합니다.
결과
점검 주기는 월 1회에서 매일로, 위험 행위 인지 시점은 최대 한 달 뒤에서 발생 당일로 바뀌었습니다. 점검 공수는 사실상 0이 됐습니다.
배운 점
사고로 이어질 수 있는 신호를 먼저 정의하고 놓치지 않는 구조가 더 중요합니다. 권한이 없을 때는 "이렇게 해봤더니 좋아졌다"는 결과가 가장 강한 설득입니다.