정답 · 해설

해설

【핵심 용어】 ▸ IAM policy condition — 정책 적용 조건 ▸ aws:username — 현재 사용자명 ▸ aws:SourceIp — 요청 출처 IP 주소 ▸ 문자열 연산자 — StringEquals, StringLike 등 【정답 포인트】 ▸ Condition 블록에서 제한 조건 정의 → 보안 강화 ▸ aws:username으로 사용자별 폴더 접근 제한 → /username/ 경로만 ▸ aws:SourceIp로 회사망만 허용 → IP 범위 제한 ▸ 조건 조합 (AND) → 모든 조건 만족 시에만 허용 ▸ 최소 권한 원칙 → 필요한 조건만 적용 【오답 체크】 (A) 조건 없음 — 모든 사용자가 모든 폴더 접근 가능 (B) IP 확인만 — 사용자 격리 불가능 (D) 정책 없음 — 권한 부족 【시험 포인트】 ▸ Condition으로 정책 세분화: 사용자, IP, 시간 등 ▸ StringEquals: 정확한 일치 필요 ▸ AND 조건: 모두 만족해야 Allow

해설

【핵심 용어】 ▸ AWS Certificate Manager (ACM) — SSL/TLS 인증서 관리 ▸ Domain validation — 도메인 소유권 확인 ▸ Auto-renewal — 만료 전 자동 갱신 ▸ HTTPS 종료 — ALB/CloudFront에서 암호화 처리 【정답 포인트】 ▸ ACM 인증서 요청 → 공인 인증서 무료 발급 ▸ Domain validation (DNS) → Route 53 자동 검증 ▸ ALB/CloudFront에 연결 → HTTPS 트래픽 처리 ▸ 자동 갱신 → 90일 전 자동 재발급 ▸ 백엔드 암호화 (옵션) — 엔드투엔드 보안 ▸ 로그 모니터링 → CloudTrail 감시 【오답 체크】 (A) 자체 서명 인증서 — 브라우저 경고, 신뢰성 문제 (B) 타사 CA — 관리 복잡도, 비용 증가 (D) HTTPS 미사용 — 규정 준수 불가능 【시험 포인트】 ▸ ACM: AWS에서 HTTPS 인증서 관리 표준 ▸ 자동 갱신으로 인증서 만료 예방 ▸ Domain validation으로 도메인 소유권 확인

해설

【핵심 용어】 ▸ Data residency — 데이터 저장 위치 제한 (규정 준수) ▸ AWS Region — 지리적으로 독립된 데이터 센터 집합 ▸ S3 bucket policy — 리전 기반 저장 위치 제어 ▸ 교차 리전 복제 (CRR) — 다중 지역 재해 복구 【정답 포인트】 ▸ 리전별 S3 버킷 분리 → 데이터 상주 요구사항 충족 ▸ 버킷 정책 설정 → 특정 리전에만 객체 저장 허용 ▸ 조건: aws:RequestedRegion → PutObject 시 지역 검증 ▸ Effect: Deny → 다른 리전 업로드 차단 ▸ 감시 로그 → CloudTrail로 위치 위반 탐지 ▸ 백업 — 규정 준수 범위 내에서 복제 【오답 체크】 (A) 다중 리전 저장 — 규정 위반, 데이터 상주 불가능 (B) 정책 없음 — 자동 위치 보장 불가능 (D) 감시 없음 — 위반 사항 탐지 불가능 【시험 포인트】 ▸ 리전 기반 정책으로 규정 준수 자동화 ▸ aws:RequestedRegion 조건으로 업로드 위치 제어 ▸ CloudTrail로 정책 위반 이력 추적

해설

【핵심 용어】 ▸ VPC Endpoint — VPC 내부에서 AWS 서비스에 비공개 연결 ▸ Gateway endpoint — S3, DynamoDB용 (무료) ▸ Interface endpoint — 대부분의 AWS 서비스 (유료) ▸ PrivateLink — AWS 서비스 비공개 연결 기술 【정답 포인트】 ▸ 인터넷 게이트웨이 제거 → 인스턴스가 프라이빗 서브넷만 사용 ▸ Gateway endpoint (S3) → NAT 없이 프라이빗 접근 ▸ 엔드포인트 정책 → 리소스별 접근 제어 ▸ 트래픽 비용 절감 → 인터넷 전송 제거 ▸ 보안 강화 — 인터넷 노출 제거 ▸ 로그 모니터링 → VPC Flow Logs 활용 【오답 체크】 (A) NAT Gateway — 비용 발생, 인터넷 접근 필요 (B) 퍼블릭 서브넷 — 보안 위험, 인스턴스 노출 (D) VPN — 복잡도 높음, VPC Endpoint 간단 【시험 포인트】 ▸ Gateway endpoint (S3/DynamoDB): 무료, 비용 절감 ▸ 프라이빗 서브넷: 인터넷 접근 제거로 보안 강화 ▸ 엔드포인트 정책: 세밀한 접근 제어

해설

【핵심 용어】 ▸ AWS Backup — 중앙화된 백업 관리 서비스 ▸ Backup plan — 자동 백업 스케줄 및 보존 정책 ▸ Cross-region backup — 재해 복구용 다중 지역 복제 ▸ RPO/RTO — 복구 목표 시간 및 손실 시간 【정답 포인트】 ▸ Backup vault 생성 → 리소스 백업 중앙 저장소 ▸ Backup plan 설정 → 자동 일일/주간/월간 백업 ▸ Cross-region replication → 재해 복구 시뮬레이션 ▸ 암호화 (KMS) → 백업 데이터 보호 ▸ 액세스 제어 → IAM 정책으로 복구 권한 제한 ▸ 보존 정책 — 규정 준수 기간 설정 【오답 체크】 (A) 수동 백업 — 일관성 없음, 운영 오류 위험 (B) 단일 리전 — 재해 복구 불가능 (D) 백업 없음 — 데이터 손실 위험 【시험 포인트】 ▸ AWS Backup: 멀티 서비스 중앙 백업 관리 ▸ Cross-region: 지역 재해 대비 필수 ▸ 보존 정책: 규정 준수 및 비용 최적화

해설

【핵심 용어】 ▸ IAM Access Analyzer — 과도한 권한 검사 및 외부 액세스 탐지 ▸ Finding — 접근 권한 분석 결과 ▸ External access — 외부 AWS 계정이나 서비스에 노출된 리소스 ▸ Permission boundary — 역할 권한 제한 【정답 포인트】 ▸ Access Analyzer 활성화 → 조직 전체 권한 분석 ▸ 외부 액세스 탐지 → 의도하지 않은 노출 식별 ▸ 정책 검증 → 과도한 권한 권장사항 제공 ▸ 이력 추적 → 정책 변경 감시 ▸ 자동화 → EventBridge로 발견사항 알림 ▸ 최소 권한 원칙 실행 → 권한 제거 자동화 【오답 체크】 (A) 수동 감시 — 놓친 권한 위험 (B) CloudTrail만 — API 활동만 추적, 권한 검증 안 함 (D) 감시 없음 — 보안 위험 증가 【시험 포인트】 ▸ Access Analyzer: 권한 분석 자동화 도구 ▸ 외부 액세스 탐지: 의도하지 않은 노출 방지 ▸ 정책 검증: 최소 권한 원칙 강화

해설

【핵심 용어】 ▸ Amazon GuardDuty — AI 기반 위협 탐지 서비스 ▸ Finding — 의심스러운 활동 탐지 결과 ▸ CloudTrail event — API 활동 로그 ▸ VPC Flow Logs — 네트워크 트래픽 로그 【정답 포인트】 ▸ GuardDuty 활성화 → CloudTrail, VPC Flow Logs 자동 분석 ▸ 위협 탐지 → 비정상 행동, 악성 IP 연결 감지 ▸ Finding 심각도 — High/Medium/Low 분류 ▸ 자동 대응 → EventBridge로 Lambda 트리거 ▸ 멀티 계정 — 조직 전체 위협 통합 모니터링 ▸ 로그 분석 — CloudWatch 대시보드 통합 【오답 체크】 (A) CloudTrail만 — 위협 탐지 기능 없음, 수동 분석 필요 (B) VPC Flow Logs만 — API 위협 탐지 불가능 (D) 감시 없음 — 위협 조기 탐지 불가능 【시험 포인트】 ▸ GuardDuty: 머신러닝 기반 위협 탐지 ▸ 멀티 데이터 소스: CloudTrail + VPC Flow Logs + DNS ▸ 자동 대응: EventBridge 통합으로 신속 대응

해설

【핵심 용어】 ▸ S3 Public Access Block — 버킷 수준에서 공개 액세스 차단 ▸ Block public ACLs — 공개 ACL 설정 방지 ▸ Block public bucket policies — 공개 정책 적용 방지 ▸ Ignore public ACLs — 기존 공개 ACL 무시 ▸ Restrict public buckets — 공개 액세스 제한 【정답 포인트】 ▸ 모든 차단 설정 활성화 → 의도하지 않은 공개 노출 방지 ▸ 조직 수준 정책 — 모든 버킷에 자동 적용 ▸ 감시 로그 — CloudTrail로 공개 설정 시도 추적 ▸ 예외 관리 — 공개 필요 리소스는 명시적 허용 ▸ 정기 감사 — Config로 준수 확인 ▸ 경고 설정 — 공개 정책 시도 알림 【오답 체크】 (A) 차단 없음 — 실수로 공개 노출 위험 (B) 정책만 — ACL 기반 공개는 방지 안 함 (D) 감시 없음 — 위반 사항 탐지 불가능 【시험 포인트】 ▸ Public Access Block 모든 설정 활성화 권장 ▸ 조직 정책: 중앙 관리로 일관성 보장 ▸ 예외 관리: 명시적 정책으로 필요한 공개만 허용

해설

【핵심 용어】 ▸ Network ACL — 서브넷 수준 상태 비저장 방화벽 ▸ Security group — 인스턴스 수준 상태 저장 방화벽 ▸ 계층화 방어 — 여러 보안 계층 ▸ 세그멘테이션 — 보안 그룹별 트래픽 격리 【정답 포인트】 ▸ VPC 분리 → 프라이빗/퍼블릭 서브넷 분리 ▸ 다층 방화벽 → Network ACL + Security Group ▸ Network ACL 규칙 — 서브넷 진입/탈출 제어 ▸ 보안 그룹 규칙 — 인스턴스 진입/탈출 제어 ▸ 최소 권한 — 필요한 트래픽만 허용 ▸ VPC Flow Logs — 트래픽 모니터링 및 감시 【오답 체크】 (A) 보안 그룹만 — Network ACL 없으면 서브넷 수준 제어 불가능 (B) Network ACL만 — 인스턴스 수준 보안 취약 (D) 제어 없음 — 모든 트래픽 허용, 보안 위험 【시험 포인트】 ▸ 계층화 방어: Network ACL + Security Group 병행 ▸ Stateless vs Stateful: ACL는 상태 비저장, SG는 상태 저장 ▸ VPC Flow Logs: 네트워크 트래픽 가시성 제공

해설

【핵심 용어】 ▸ AWS Config — 리소스 구성 변화 추적 및 규정 준수 평가 ▸ Conformance pack — 사전 정의된 규정 준수 규칙 모음 ▸ CloudTrail — API 활동 로깅 및 감사 추적 ▸ Remediation — 비규정 리소스 자동 수정 【정답 포인트】 ▸ Config 활성화 → 리소스 구성 기록 및 변화 추적 ▸ Conformance pack 적용 → 규정 준수 자동 평가 ▸ CloudTrail 활성화 → 모든 API 활동 기록 ▸ Config Rules → 규정 위반 자동 탐지 ▸ Remediation Actions → 자동 수정 (옵션) ▸ 감사 대시보드 — Config 준수 상태 시각화 【오답 체크】 (A) CloudTrail만 — 구성 변화 추적 불가능, API 활동만 기록 (B) Config만 — API 활동 감사 추적 불가능 (D) 감시 없음 — 규정 준수 증명 불가능 【시험 포인트】 ▸ Config: 구성 변화 및 규정 준수 평가 ▸ CloudTrail: API 활동 및 감사 추적 ▸ Conformance pack: 규정 준수 자동화

해설

【핵심 용어】 ▸ Automatic key rotation — KMS 키 자동 주기적 교체 ▸ Manual key rotation — 새 키 생성 및 기존 키 비활성화 ▸ Key metadata — 키 생성 및 회전 이력 ▸ Cryptographic operations — 암호화 작업 수행 【정답 포인트】 ▸ KMS에서 자동 회전 활성화 → 1년(365일) 주기 ▸ 자동 회전은 투명 → 기존 암호화 데이터 계속 접근 가능 ▸ 회전 이력 추적 → CloudTrail로 기록 ▸ Manual rotation — 필요 시 신규 키 생성 ▸ 기존 데이터 — 자동으로 신규 키로 재암호화 (선택) ▸ 규정 준수 — 규제 요구사항 충족 【오답 체크】 (A) 회전 없음 — 장기 키 사용으로 보안 위험 (B) 수동 회전만 — 운영 오류 위험, 일관성 부족 (D) 빈번한 회전 — 성능 저하, 관리 복잡도 증가 【시험 포인트】 ▸ 자동 회전: 1년 주기로 투명하게 수행 ▸ 기존 데이터: 회전 후에도 계속 접근 가능 ▸ CloudTrail로 회전 이력 감시

해설

【핵심 용어】 ▸ Privilege escalation — 낮은 권한 사용자가 높은 권한 획득 ▸ Permission boundary — 역할이 가질 수 있는 최대 권한 ▸ Session policy — 임시 자격증명 사용 시 권한 제한 ▸ AssumeRole 권한 — 특정 역할만 가정 가능 【정답 포인트】 ▸ 권한 경계 설정 → 역할 권한의 상한선 제어 ▸ AssumeRole 제한 → 특정 역할만 가정 가능 ▸ 세션 정책 적용 → 임시 자격증명 권한 제한 ▸ 역할 체이닝 차단 → 다단계 권한 상승 방지 ▸ 액세스 분석 → 과도한 권한 식별 ▸ 정기 감사 — IAM 정책 검토 【오답 체크】 (A) 권한 경계 없음 — 권한 상승 제어 불가능 (B) AssumeRole 제한 없음 — 모든 역할 가능, 권한 상승 위험 (D) 감시 없음 — 비정상 권한 상승 탐지 불가능 【시험 포인트】 ▸ 권한 경계: 역할의 최대 권한 제한 ▸ AssumeRole 조건: 특정 역할만 가정 가능 ▸ 세션 정책: 임시 자격증명 권한 추가 제한

해설

【핵심 용어】 ▸ MFA (Multi-Factor Authentication) — 다중 인증 (비밀번호 + 디바이스) ▸ Virtual MFA device — 스마트폰 앱 (Google Authenticator 등) ▸ Hardware MFA device — FIDO2 보안 키 ▸ U2F (Universal 2nd Factor) — 피싱 저항 인증 【정답 포인트】 ▸ 모든 IAM 사용자 MFA 필수 → 콘솔 로그인 및 API 호출 ▸ 루트 계정 MFA 필수 → 계정 보안 강화 ▸ 정책으로 MFA 강제 → MFA 없으면 권한 거부 ▸ 하드웨어 키 권장 → 스미싱, 피싱 저항 ▸ MFA 디바이스 백업 — 분실 시 복구 계획 ▸ 정기 감시 — CloudTrail로 MFA 활동 추적 【오답 체크】 (A) MFA 없음 — 비밀번호 유출 시 계정 탈취 위험 (B) 선택적 MFA — 사용자 무시 가능, 실효성 낮음 (D) 정책 없음 — MFA 강제 불가능 【시험 포인트】 ▸ MFA: 비밀번호 기반 인증의 보안 강화 필수 ▸ 정책으로 강제: IAM 정책에 MFA 조건 포함 ▸ 하드웨어 키: 피싱 저항이 가장 안전

해설

【핵심 용어】 ▸ IAM Identity Center — 중앙 집중식 ID 및 액세스 관리 ▸ Delegated Administration — 관리 계정이 다른 계정에 관리 권한 위임 ▸ Directory — Identity Center의 사용자/그룹 저장소 ▸ Permission Set — 권한 템플릿, 사용자/그룹에 할당 【정답 포인트】 ▸ (B) 디렉터리 생성 → 사용자/그룹 저장 ▸ (D) 권한 집합 생성 → 위임 관리에 필요한 권한 템플릿 ▸ (F) 사용자 할당 → 권한 집합을 관리 계정 사용자에게 할당 ▸ 셋의 조합: 디렉터리 → 권한 집합 → 사용자 할당 순서 【오답 체크】 (A) 최소 권한은 SCP 정책 차원, Identity Center 내 설정 아님 (C) 리전 추가는 위임 관리와 무관 (E) IAM 사용자는 Identity Center와 별개 (Identity Center 사용하면 IAM 사용자 불필요) 【시험 포인트】 Identity Center 설정 순서: 디렉터리 → 권한 집합 → 사용자 할당 위임 관리 = 관리 계정에서 준비 후 다른 계정 위임 IAM 사용자 ≠ Identity Center 사용자

해설

【핵심 용어】 ▸ Termination Protection — EC2 실수 삭제 방지 ▸ EBS Snapshot — 볼륨 데이터 법의학 증거 보존 ▸ Instance Metadata — 인스턴스 ID, 역할, 태그 정보 ▸ Quarantine Tag — 의심 인스턴스 격리 표시 【정답 포인트】 ▸ (B) 종료 방지 활성화 → 실수 삭제 방지, 조사 중 보호 ▸ (C) EBS 스냅샷 생성 → 법의학 증거 보존 (손상 시 분석) ▸ (E) 메타데이터 캡처 + 격리 태그 → 인스턴스 상태 기록 및 격리 표시 【오답 체크】 (A) 종료 방지 비활성화 = 조사 중 위험 (D) 스냅샷 제거 = 증거 파괴, 법의학 불가능 (F) 메타데이터 제거 = 증거 파괴, 조사 방해 【시험 포인트】 사건 대응 초기 단계: 증거 보존 우선 Termination Protection + Snapshot + Quarantine Tag 메타데이터/스냅샷 삭제는 금지

해설

【핵심 용어】 ▸ Security Group — Stateful 방화벽 (기존 연결 유지) ▸ Network ACL — 서브넷 레벨 Stateless 방화벽 ▸ Session Manager — SSM을 통한 에이전트 기반 접근 (SSH 포트 불필요) ▸ Stateful vs Stateless — 기존 연결 상태 추적 여부 【정답 포인트】 ▸ (B) SSH 포트 22 규칙 제거 → 기존 SSH 세션도 차단 ▸ Session Manager IAM 정책 추가 → SSM Agent로 안전한 관리자 접근 ▸ Session Manager는 포트 기반 아님 = 보안 그룹 규칙 불필요 【오답 체크】 (A) 규칙 추가 후 삭제 = 순간적 접근 만 가능, 차단 아님 (C) Network ACL은 서브넷 전체 적용 (다른 인스턴스도 차단) 서브넷 레벨이므로 세분화된 격리 불가능 (D) SSM 문서는 OS 레벨 변경, 보안 그룹 제어보다 복잡 【시험 포인트】 Stateful Security Group: 기존 연결(established) 자동 허용 포트 22 규칙 제거 = 신규 연결 + 기존 연결 모두 차단 Session Manager = 포트 기반 아님, SSM Agent 기반 Quarantine = SSH 제거 + 안전한 대체 접근(Session Manager)

해설

【핵심 용어】 ▸ Permission Set — 여러 계정에 일관되게 적용되는 IAM 권한 템플릿 ▸ Customer Managed Policy — 사용자 정의 정책, 계정별로 존재 ▸ AWS Managed Policy — AWS에서 제공, 자동으로 모든 계정에서 사용 가능 ▸ Policy Scope — 정책이 존재하는 계정 범위 【정답 포인트】 ▸ (A) 고객 관리형 정책은 정책이 정의된 계정에만 존재 ▸ 권한 집합이 할당되는 모든 계정에서 동일한 이름/권한의 정책 필요 ▸ 각 계정에서 정책 복제 → Permission Set 사용 가능 【오답 체크】 (B) 두 개의 권한 집합 분리 = 복잡한 관리, 대증요법 (C) 정책 충돌 해결 = 근본 원인 아님 (정책 범위 문제) (D) 기존 권한 집합 편집 = 다른 사용자도 영향, 신규 사용자 할당 문제 해결 안 함 【시험 포인트】 Customer Managed Policy는 계정 단위로 존재 Permission Set은 여러 계정에 적용되므로 각 대상 계정에서 동일한 이름의 정책 필요 AWS Managed Policy는 자동으로 사용 가능

해설

【핵심 용어】 ▸ IAM Policy — 사용자/역할 권한 정의 ▸ KMS Key Policy — 키 자체에 대한 접근 제어 (반드시 확인 필요) ▸ SSE-KMS — 객체 암호화 시 KMS 키 사용 ▸ Key Policy Statement — 계정에 대한 전체 권한(Principal: AWS Account) 【정답 포인트】 ▸ (D) KMS 키 정책에서 AWS 계정의 전체 액세스 권한 제거 ▸ IAM 정책만 있으면 부족 → 키 정책도 허용해야 함 ▸ 키 정책에서 계정 권한 제거 = Decrypt 거부 ▸ 이중 검증 필요: IAM 정책 AND 키 정책 【오답 체크】 (A) DescribeKey도 필요할 수 있지만, 근본 원인은 키 정책 (B) AWS 관리형 키로 변경되면 새 KMS 권한이 필요함 (설정만으로 수정 안 됨) (C) 버킷 정책은 S3 객체 액세스 제어, KMS 권한은 별개 【시험 포인트】 KMS + S3: IAM 정책 + 키 정책 모두 필요 키 정책에서 계정 권한 제거 = 모든 사용자 거부 키 정책의 Principal: AWS Account를 확인할 것

해설

【핵심 용어】 ▸ Secrets Manager Replication — 다중 리전 복제 ▸ AWS Managed KMS Key — 리전별 별도 키, 자동 관리 ▸ Customer Managed Key — 수동 복제/관리 필요, 크로스 리전 복제 복잡 ▸ Single Region Failure — 한 리전 장애 시에도 작동 【정답 포인트】 ▸ (A) AWS 관리형 키 사용 → 각 리전에서 자동 회전/관리 ▸ 비밀 복제 → 두 리전 모두에 독립적 사본 ▸ 각 리전의 AWS 관리형 키로 암호화 → 리전 독립성 ▸ 한 리전 장애 → 다른 리전에서 독립적으로 작동 【오답 체크】 (B) us-east-1 엔드포인트 호출 → us-west-1 리전 장애 시 비밀 접근 불가 (C) us-east-1 엔드포인트에만 의존 → 리전 이중화 미달성 (D) 고객 관리 키 크로스 리전 복제 → 키 정책 동기화 복잡 【시험 포인트】 Multi-Region Secrets = AWS 관리형 키 + 비밀 복제 각 리전 독립적 KMS 키 필요 AWS 관리형 키가 가장 간편한 선택 지연시간 최소화 = 리전별 로컬 비밀/키

해설

【핵심 용어】 ▸ Amazon Detective — GuardDuty 결과 심화 조사 및 법의학 분석 ▸ Indicators of Compromise (IoC) — 손상 지표 식별 ▸ Anomalous Behavior — 비정상적 활동 패턴 분석 ▸ AWS Audit Manager — 규정 준수 감시 (조사 아님) ▸ Amazon Inspector — 취약점 평가 (법의학 아님) 【정답 포인트】 ▸ (A) Amazon Detective 사용 → GuardDuty 결과 연계 분석 ▸ IAM 역할 활동 추적 → 비정상 행동 시각화 ▸ 법의학 그래프 분석 → IoC 식별 ▸ 상세 조사 보고서 생성 【오답 체크】 (B) Audit Manager = 규정 준수 평가 (보안 조사 아님) (C) Inspector = 취약점 스캔 (법의학 분석 아님) (D) Inspector 주문형 스캔 = 정적 취약점 스캔 (역할 조사 아님) 【시험 포인트】 GuardDuty 결과 → Detective 자동 연계 Detective = 법의학 분석 + 비정상 행동 패턴 탐지 Anomalies + IoC 리포트 생성 가능 Audit Manager / Inspector는 다른 용도