AWS 키 유출 예방, IP 제한만 믿으면 놓치는 것들

‘회사 주소에서만 서버에 접속할 수 있으니 키가 유출돼도 괜찮다.’ 이 설명을 들었다면 어떤 접속을 제한한 것인지 한 번 더 확인해보세요.

서버에 들어가는 길을 막는 설정과 클라우드 자원을 조작하는 권한은 다릅니다. 클라우드 키 보안은 키를 덜 쓰는 구조, 필요한 권한, 접속 조건, 이상 징후의 전달을 함께 확인해야 합니다.

서버 접속 제한은 무엇을 보호하나요

서버 관리 접속을 허용된 주소로 제한하거나 중계 서버인 배스천을 거치게 하면, 서버에 직접 들어오는 경로를 줄이는 데 도움이 됩니다. 사설망에 애플리케이션과 데이터베이스를 두는 것도 공개할 경계를 정하는 방법입니다.

하지만 이 설정만 보고 AWS 접근키가 허용된 주소 밖에서 쓰이지 않는다고 결론 내릴 수는 없습니다. AWS 서비스에 보내는 관리 요청은 계정의 권한 정책과 조건을 별도로 평가합니다.

• 서버 관리 접속: 접속 경로, 보안그룹, 배스천·세션 관리를 확인합니다.
• AWS 자원 조작: 사용자·역할의 권한, 정책의 조건과 적용 범위를 확인합니다.
• 실제 업무의 허용·거부: 승인한 시험 요청과 그 결과로 확인합니다.

AWS의 출발지 주소 제한 정책 예시는 특정 주소 범위 밖의 요청을 거부하는 방법과 서비스가 대신 호출하는 경우의 고려사항을 설명합니다. 예시를 그대로 붙이는 것으로 끝내지 않고 역할·리소스·업무 요청에 실제 적용되는지 확인해야 합니다.

오래 쓰는 키를 줄이는 것이 먼저입니다

접근키를 여러 문서와 개인 컴퓨터에 복사하면 어디에서 사용하는지 파악하기 어려워집니다. 교체할 때 서비스가 멈출까 걱정돼 오래된 키를 그대로 두기도 쉽습니다.

AWS 계정·권한 관리 지침은 사람과 프로그램에 임시 자격증명·역할을 활용하고 최소권한을 적용하도록 권고합니다. 사람이 로그인하는 추가인증을 켰다고 기존 프로그램용 키의 모든 사용이 자동으로 보호되는 것은 아닙니다.

점검표에는 키 값 대신 소유자, 사용처, 필요한 권한, 교체·폐기 방법을 적습니다. 업무에 필요한 권한만 남겼다면 정상 기능이 성공하는지와 허용하지 않은 기능이 거부되는지를 함께 검수합니다.

이상 징후를 찾는 것과 사람이 받는 것은 다릅니다

AWS에는 계정과 자원의 의심스러운 활동을 찾아주는 GuardDuty 같은 서비스가 있습니다. 이를 사용한다고 담당자의 연락처까지 자동으로 준비되는 것은 아닙니다.

GuardDuty 경보 전달 문서는 탐지 결과를 EventBridge에 보내고 알림 등의 대상에 연결하는 방식을 설명합니다. 우리 회사에서는 다음 흐름이 실제로 이어지는지 확인해야 합니다.

탐지 결과 생성 → 알림 전달 → 담당자 확인 → 조치 판단 → 기록

샘플 경보를 사용해 생성 시각, 도착 시각, 담당자가 확인한 시각을 기록할 수 있습니다. 자동 격리 같은 조치가 연결돼 있다면 시험 전에 영향도 분리해야 합니다. 샘플 경보가 잘 도착한 결과는 전달 경로를 검증한 것이며, 모든 실제 공격을 탐지했다는 증거는 아닙니다.

다른 회사가 어떤 제품으로 키 유출을 알아냈는지는 당시 경보와 로그가 있어야 설명할 수 있습니다. 구성도나 접속 제한만으로 탐지 제품과 대응 결과를 추정해서는 안 됩니다.

키가 노출됐을 때는 문서에서 지우는 것으로 끝내지 않습니다

노출된 키는 복사됐을 수 있습니다. 게시물이나 파일에서 문자열을 지웠다는 사실만으로 사용할 수 없게 된 것은 아닙니다.

AWS 자격증명 침해 대응 안내를 참고해 담당자가 노출된 자격증명의 차단, 안전한 교체, 관련 활동과 추가 접근수단의 확인을 진행해야 합니다. 진행 중인 피해가 의심되면 차단과 증거 보존을 함께 다룹니다. 유출된 키를 서비스 복구용으로 다시 켜지 않습니다.

사고가 나기 전에 사용처와 책임자를 정리해두면 이 판단을 더 빨리 할 수 있습니다. ‘보안 설정 있음’보다 누가 무엇을 확인하고, 이상이 생기면 누구에게 연락하는지가 실제 운영에서 쓸 수 있는 답입니다.

담당자에게 요청할 자료를 작게 시작하세요

처음부터 비밀번호나 키 원문을 보낼 필요는 없습니다. 값을 가린 권한 목록, 관리 접속 경로, 최근 경보 전달 시험 기록부터 준비하세요. 이 세 가지가 없으면 무엇이 보호되고 있는지 설명하기도 어렵습니다.

무료 보안 기초진단의 범위 확인하기에서는 대표 서비스 1개의 문진·제공 설정자료·일반 공개화면을 확인해 32항목 진단표와 우선 조치 최대 3가지를 정리합니다. 자료가 없으면 안전하다고 추정하지 않고 미확인으로 표시합니다.

무료 범위에는 실제 자원 조작·침투시험·운영 변경이 포함되지 않습니다. 상세 권한 검증, 설정 조치, 사고 대응과 관제는 범위·비용을 별도로 협의합니다.

함께 읽기: 디도스 대응에서 확인할 방어 경로 · 개인정보 첨부파일의 열람 권한 점검

기준일: 2026년 10월 15일. 특정 고객사의 계정 정책이나 사고 탐지 결과를 공개하는 글이 아닙니다.