[AWS] Security Hub

AWS Security Hub, Security Hub, Security Hub CSPM, Security Hub Central, AWS 통합 보안, CIS Foundations Benchmark, AWS Foundational Security Best Practices

정의

AWS Security Hub 는 여러 AWS 보안 서비스와 3rd-party 도구의 보안 발견 사항 (findings) 을 통합 표시하고, 산업 표준 프레임워크 (CIS, PCI DSS, NIST, AWS FSBP) 에 대한 컴플라이언스 상태 지속 평가 를 제공하는 클라우드 보안 자세 관리 (CSPM, Cloud Security Posture Management) 서비스입니다.

한 줄 요약: “여러 보안 서비스의 알람이 흩어져 있다면, Security Hub 가 통합 대시보드” 역할.

왜 Security Hub 인가

문제: 보안 서비스 파편화

AWS 만 해도:

• GuardDuty: 위협 활동
• Inspector: 취약점
• Macie: 데이터 민감성
• Config: 리소스 컴플라이언스
• Shield: DDoS
• IAM Access Analyzer, Firewall Manager, Detective, Systems Manager, Health

각기 다른 콘솔, 다른 finding 형식, 다른 API. 통합 뷰가 없으면 놓친 위협 다수.

Security Hub 의 해결

• 통합 대시보드: 모든 finding 을 하나의 표준 (ASFF, AWS Security Finding Format) 로
• 컴플라이언스 자동 평가: 프레임워크 기반 지속 검증
• 자동 대응: EventBridge -> Lambda/SSM Automation
• Multi-account: Organizations 통합
• 3rd-party 통합: Palo Alto, Splunk, Snyk 등 100+ 파트너

AWS Security Finding Format (ASFF)

모든 finding 을 표준 JSON 형식으로:

{
  "SchemaVersion": "2018-10-08",
  "Id": "arn:aws:securityhub:us-east-1:...:finding/abc",
  "ProductArn": "arn:aws:securityhub:us-east-1:aws:product/aws/guardduty",
  "GeneratorId": "arn:aws:guardduty:us-east-1:...:detector/abc",
  "AwsAccountId": "123456789012",
  "Types": ["TTPs/Discovery/Reconnaissance"],
  "CreatedAt": "2026-07-07T10:15:32.000Z",
  "UpdatedAt": "2026-07-07T10:15:32.000Z",
  "Severity": {"Label": "HIGH", "Normalized": 70},
  "Title": "Unusual API call pattern detected",
  "Description": "...",
  "Resources": [
    {
      "Id": "arn:aws:iam::...:user/alice",
      "Type": "AwsIamUser",
      "Region": "us-east-1"
    }
  ],
  "Compliance": {
    "Status": "FAILED",
    "RelatedRequirements": ["CIS AWS Foundations 1.4.0/1.9"]
  },
  "Workflow": {"Status": "NEW"},
  "RecordState": "ACTIVE"
}

Severity Label: INFORMATIONAL / LOW / MEDIUM / HIGH / CRITICAL

Workflow Status: NEW / NOTIFIED / SUPPRESSED / RESOLVED - 팀이 관리하는 티켓 상태.

지원 프레임워크 (Standards)

Security Hub 에서 활성화 가능한 표준:

AWS Foundational Security Best Practices (FSBP)

AWS 가 정의한 필수 보안 통제 집합 (200+ 컨트롤). 가장 흔한 시작점.

• S3 Public Access Block
• IAM MFA
• RDS 암호화
• CloudTrail 활성
• VPC Flow Logs
• …

CIS AWS Foundations Benchmark

Center for Internet Security 표준. 세 버전:

• CIS v1.2 (legacy)
• CIS v1.4
• CIS v3.0 (2024, 최신)

PCI DSS

결제 카드 산업 데이터 보안 표준.

NIST SP 800-53

미국 정부 표준. FedRAMP 매핑.

NIST SP 800-171

미국 정부 계약자 표준.

AWS Resource Tagging Standard

태깅 정책 컴플라이언스.

Service-Managed Standards

AWS Config Conformance Pack 을 Security Hub 표준으로 활용. 커스텀 프레임워크 가능.

컴플라이언스 점수

Security Hub 는 활성 표준에 대해:

• Passed / Failed / No data 컨트롤 카운트
• 전체 컴플라이언스 % (예: 87% passing)
• Failed control 우선순위: severity 별

대시보드: 계정별 / 표준별 / 리전별 상태 시각화.

통합 서비스 (AWS 자체)

Security Hub 활성화 시 자동으로 다음 서비스의 finding 수집:

• GuardDuty
• Inspector
• Macie
• Config (Rules 결과)
• IAM Access Analyzer
• Firewall Manager
• Systems Manager Patch Manager
• AWS Health
• Amazon Detective (연동만)
• Trusted Advisor (일부)

Import 대신 링크: Security Hub 는 finding 을 링크로 유지. 원본은 각 서비스에.

3rd-Party 통합

100+ 파트너:

• CrowdStrike, SentinelOne, Trend Micro: EDR
• Palo Alto, Fortinet, Check Point: 네트워크 보안
• Splunk, Sumo Logic, Datadog: SIEM
• Snyk, Sonatype, Sysdig: DevSecOps
• Tenable, Qualys: 취약점
• Turbot, Prisma Cloud, Wiz: 멀티클라우드 CSPM

파트너 finding 도 ASFF 로 변환되어 통합 뷰.

Multi-Account (Organizations)

Delegated administrator 계정이 조직 전체 관리:

aws organizations enable-aws-service-access \
  --service-principal securityhub.amazonaws.com

aws securityhub enable-organization-admin-account \
  --admin-account-id 111111111111

• Central account 에서 모든 계정 finding
• 새 계정 자동 활성 (auto-enable)
• 조직 전체 컴플라이언스 대시보드

Automation Rules

Security Hub 자체 규칙으로 finding 을 자동 처리 (Lambda 없이):

{
  "Name": "Suppress dev environment low findings",
  "Criteria": {
    "AwsAccountId": [{"Value": "222222222222", "Comparison": "EQUALS"}],
    "SeverityLabel": [{"Value": "LOW", "Comparison": "EQUALS"}]
  },
  "Actions": [
    {
      "Type": "FINDING_FIELDS_UPDATE",
      "FindingFieldsUpdate": {
        "Workflow": {"Status": "SUPPRESSED"},
        "Note": {"Text": "Dev account low-severity auto-suppressed", "UpdatedBy": "AutomationRule"}
      }
    }
  ]
}

Dev 계정의 LOW 자동 억제. 대량 finding 관리에 필수.

EventBridge 대응

{
  "source": ["aws.securityhub"],
  "detail-type": ["Security Hub Findings - Imported"],
  "detail": {
    "findings": {
      "Severity": {
        "Label": ["HIGH", "CRITICAL"]
      },
      "Workflow": {
        "Status": ["NEW"]
      }
    }
  }
}

CRITICAL/HIGH 새 finding -> Lambda -> Jira 티켓, PagerDuty, Slack.

Custom Insights

Insight = 필터 + 그룹화. 특정 관심사에 집중:

{
  "Name": "S3 buckets with public access",
  "Filters": {
    "Type": [{"Value": "Effects/Data Exposure", "Comparison": "EQUALS"}],
    "ResourceType": [{"Value": "AwsS3Bucket", "Comparison": "EQUALS"}],
    "SeverityLabel": [{"Value": "HIGH", "Comparison": "EQUALS"}]
  },
  "GroupByAttribute": "ResourceId"
}

각 관심 영역별 대시보드.

Security Hub CSPM (2024)

2024년 확장. 진정한 Cloud Security Posture Management:

• 자산 인벤토리: 자동 리소스 발견
• 탐지 통합 뷰: 모든 위협/취약점/설정 오류 한 곳
• 우선순위화: EPSS + reachability + exploit 통합
• AI 지원 요약: LLM 기반 문제 요약 (2025+)

Wiz / Prisma Cloud 등 CSPM 벤더와 경쟁 지향.

요금

• Compliance checks: 계정당 월 (예: 첫 100k checks 무료, 이후 요금)
• Finding ingestion: 100만당 (통합 서비스 별)
• Automation Rules: 실행당

주의: 대량 계정 조직에서 요금 증가. Auto-enable + Automation Rules 로 관리.

Security Hub vs Audit Manager

두 서비스 자주 혼동.

서비스	목적
Security Hub	지속 보안 자세 모니터링. 실시간 위협/취약점/오설정.
Audit Manager	감사 보고서 자동 컴파일. 프레임워크 기반, 감사인 제출용 PDF.

• Security Hub = 실시간 대시보드 (엔지니어)
• Audit Manager = 감사 보고서 (감사인)

Audit Manager 는 Security Hub finding 을 evidence 로 사용.

4-서비스 거버넌스 지도

서비스	역할
CloudTrail	활동 이력 (원천 데이터)
Config	리소스 상태 (원천 데이터)
Security Hub	여러 finding 통합 + 컴플라이언스
Audit Manager	프레임워크 기반 감사 보고서

Security Hub 가 중앙 대시보드 역할.

실전 사용 사례

1. 조직 전체 CSPM 대시보드

• 모든 계정 활성
• FSBP + CIS v3.0 표준
• 컴플라이언스 % 트래킹 (분기 목표)

2. 통합 인시던트 응답

• GuardDuty + Inspector + Config + 3rd-party 모두 Security Hub 로
• 하나의 티켓 시스템 (Jira) 로 연동
• 팀이 finding 분류/할당/해결 워크플로

3. 컴플라이언스 감사 (SOC 2, PCI)

• Security Hub 로 지속 통제 검증
• Audit Manager 에 evidence 자동 공급
• 감사인에게 최신 상태 즉시 증명

4. Cross-account visibility

• 100+ 계정 조직
• 중앙 audit 계정에 모든 finding 집계
• Weekly report 자동 생성

5. 정책 위반 자동 대응

• S3 public access 감지 -> 자동 block (SSM Automation)
• Root 로그인 -> 즉시 알림 + IAM 감사 자동 트리거

함정

관련 위키

• GuardDuty - 위협 finding 원천
• Inspector - 취약점 finding 원천
• Macie - 데이터 finding 원천
• Config - 컴플라이언스 데이터
• CloudTrail - 활동 로깅
• Audit Manager - 감사 보고서 (짝)
• Shield - DDoS
• Trusted Advisor - 유사 통합 (부분 겹침)
• Artifact - AWS 자체 컴플라이언스
• IAM - IAM Access Analyzer 통합
• EventBridge - 자동 대응