AWSKRUG 보안소모임 참가 후기

 

 

AWSKRUG 보안 소모임에 참여하여 클라우드 보안과 관련된 다양한 사례와 인사이트를 접할 수 있었습니다.
작년에 이어 3번째 참가하였으며, 평일 저녁 역삼에서 진행되는 일정이어서 종로에서 퇴근 후 바로 이동해 참석했습니다.

 

AWS 방문 명찰

참가한 세션 모임 정보

2026년도 세번째 시간은 생성형 AI 프로젝트에서의 보안 요구 사항 사례와
Offensive 에 대한 관점의 유즈케이스를 공유합니다.

자세한 내용은 아래를 참고 부탁드립니다.

📅 일시 및 장소

일시 : 2026년 3월 26일(목) 19:00 ~ 21:00
장소 : 서울 강남구 테헤란로 231 센터필드 EAST 18층 서원/집현전 룸
신청 마감 : 2026년 3월 24일(화)

📌프로그램 소개
[ Opening ]

KRUG Security Meetup Icebreaking
[ Session 1 ]
제목 : 생성형 AI 프로젝트의 보안 고려사항: ProServe 사례로 알아보기!
발표자 : AWS Professional Service Sr.SRC 한현상 (보안 소모임 오거나이저)
내용 : AWS 프로페셔널 팀의 실제 생성형 AI 프로젝트 사례를 통해서
알아보는 보안 고려 사항을 이야기 합니다.

 

[ Session 2 ]
제목 : Offensive Cloud Security 결국 핵심은 IAM 관리!
발표자 : 우아한형제들 - 권현준님
내용 : 방어적 보안의 사각지대를 뚫는 공격적 IAM 분석의 필연성을 짚어보고, 그래프 기반 시각화로 복잡한 클라우드 리소스 간 숨겨진 공격 경로를 찾아내는 아이디어를 공유합니다.

 

 

 

2번째 세션의 내용은 현재 운영 중인 그룹웨어 시스템과 밀접하게 연결된 주제였기 때문에 더욱 인상 깊게 다가왔습니다. IAM은 그룹웨어의 인가 구조와 유사하게, 최고 관리자 아래에 시스템별 관리자와 전자결재 조회 및 사용 권한 등 다양한 권한 계층으로 구성되어 있어 실무적으로도 공감되는 부분이 많았습니다.

 

세션 2 : 그래프 DB 기반 권한 분석 구조 도입 정리

기업 환경에서 보안의 핵심 질문은 단순하다.
“우리 회사에서 누가 어떤 계정에 어떤 수준의 권한으로 접근할 수 있는가?”

하지만 이 질문에 답하기 위해 기존 RDB 구조를 활용하면 문제는 급격히 복잡해진다.
사용자, 그룹, 권한 세트, 계정, IAM 역할로 이어지는 다단계 관계를 조회하기 위해서는 수많은 JOIN 연산이 필요하며, 이로 인해 쿼리는 복잡해지고 성능 또한 점점 저하된다. 특히 권한 구조가 깊어질수록 탐색 비용은 기하급수적으로 증가한다.

이러한 한계를 해결하기 위해 그래프 데이터베이스(Graph DB)를 도입할 수 있다. 그래프 DB는 데이터를 노드(Node)와 관계(Edge) 중심으로 표현하기 때문에, 복잡한 관계를 직관적으로 모델링할 수 있다. 사용자와 계정 사이의 연결 관계를 단순한 경로(Path) 탐색으로 처리할 수 있으며, 다단계 권한 흐름도 하나의 쿼리로 쉽게 추적할 수 있다.

 

예를 들어 openCypher 쿼리를 사용하면 특정 사용자로부터 특정 계정까지 연결된 모든 경로를 한 번에 조회할 수 있다. 이는 기존 SQL에서 다수의 JOIN을 통해 구현하던 로직을 훨씬 간결하게 대체한다. 결과적으로 쿼리 가독성과 유지보수성이 크게 향상되며, 탐색 성능 또한 안정적으로 유지된다.

 

데이터 적재 방식 또한 대량 처리를 고려하여 설계된다. S3에 저장된 CSV 파일을 기반으로 노드와 엣지를 정의하여 그래프 DB에 빠르게 적재할 수 있다. 노드는 고유 식별자와 속성, 타입(label)을 포함하고, 엣지는 출발점(from), 도착점(to), 관계 유형(label)으로 구성된다. 이러한 구조는 대규모 데이터 로딩에 매우 효율적이다.

 

아키텍처 측면에서는 역할 분리가 중요하다. 데이터의 수집과 가공, 적재를 담당하는 시스템과 조회 및 시각화를 담당하는 시스템을 분리해야 한다. 예를 들어 SageMaker Notebook은 데이터 처리보다는 그래프 조회 결과를 시각적으로 표현하는 Viewer 역할에 집중하며, 실제 데이터 처리 로직은 별도의 시스템에서 수행된다.

또한 Jupyter Notebook과 graph_notebook 패키지를 활용하면 그래프 데이터를 노드와 엣지 형태로 시각화할 수 있어, 복잡한 권한 구조를 직관적으로 이해할 수 있다. 이는 단순한 텍스트 기반 조회를 넘어, 실제 관계를 눈으로 확인할 수 있다는 점에서 큰 장점을 가진다.

 

세션에서 공유된 화면 : IAM 권한의 그래프화

 

결론적으로, 사용자 → 그룹 → 권한 세트 → 계정 → IAM 역할로 이어지는 복잡한 권한 구조는 관계 중심 데이터의 대표적인 사례이며, 이러한 구조는 RDB보다 그래프 DB에서 훨씬 효과적으로 처리할 수 있다. 기존의 JOIN 중심 접근 방식에서 벗어나 경로 탐색 기반으로 전환함으로써, 성능과 가독성, 확장성을 모두 확보할 수 있다.

 

그래프 DB 기반 IAM 권한 분석, 왜 필요할까?

클라우드 환경에서 보안은 단순한 설정 문제가 아니다.
이제는 “관계”의 문제다.

특히 AWS IAM 구조에서는 항상 하나의 질문으로 귀결된다.

“누가 어떤 권한으로 어떤 계정에 접근할 수 있는가?”

 

이 질문에 명확하게 답할 수 없다면,

그 시스템은 이미 보안 리스크를 안고 있다고 볼 수 있다.

기존 방식의 한계

IAM 권한 구조는 생각보다 훨씬 복잡하다.

• 사용자(User)
• 그룹(Group)
• 권한 세트(PermissionSet)
• 계정(Account)
• IAM Role

이들이 서로 연결되면서 하나의 권한 흐름을 만든다.

문제는 이 관계를 RDB로 풀려고 할 때 발생한다. 단순한 조회 하나를 위해 여러 테이블을 JOIN해야 하고,
권한 구조가 깊어질수록 쿼리는 점점 복잡해진다.

결국 이런 상황이 된다.

• 쿼리는 길어지고
• 성능은 떨어지고
• 구조는 이해하기 어려워진다

특히 “특정 사용자가 어떤 경로로 권한을 갖게 되었는지”를 추적하는 것은
사실상 JOIN만으로는 한계가 있다.

 

그래프 DB로 바라보는 권한 구조

이 문제를 해결하는 방법 중 하나가 바로 그래프 데이터베이스(Graph DB)다.

그래프 DB에서는 데이터를 다음과 같이 표현한다.

• 노드(Node): 사용자, 그룹, 권한, 계정
• 엣지(Edge): 관계 (소속, 권한 부여 등)

즉, 데이터를 “테이블”이 아니라
“연결된 관계” 중심으로 바라보는 방식이다.

이렇게 되면 기존에 복잡했던 JOIN 대신
단순한 경로 탐색(Path Traversal) 으로 문제를 해결할 수 있다.

예를 들어,

“이 사용자가 어떤 계정에 접근 가능한가?”

라는 질문은 그래프에서는 하나의 연결 경로를 따라가는 것으로 끝난다.

 

왜 그래프가 더 적합할까?

그래프 DB의 가장 큰 장점은 관계 탐색 성능이다.

RDB에서는 관계가 많아질수록 JOIN 비용이 증가하지만,
그래프 DB에서는 관계를 따라가는 것이 기본 동작이기 때문에 구조가 복잡해져도 성능이 크게 흔들리지 않는다.

또한, 결과를 시각화했을 때의 차이는 더욱 크다.

텍스트 기반 쿼리 결과가 아니라 노드와 엣지로 연결된 형태로 보여지기 때문에
권한 구조를 직관적으로 이해할 수 있다.

 

하지만 그래프만으로는 부족하다

그래프 DB를 도입한다고 해서 모든 문제가 해결되는 것은 아니다.

실제 구현 과정에서는 몇 가지 한계가 존재한다.

 

1. 정규식 기반 권한 추출의 한계

IAM 정책을 파싱할 때 정규식을 활용하는 경우가 많은데,
이 방식은 모든 권한 구조를 완벽하게 추출하기 어렵다.

특히 복잡한 정책이나 예외적인 구조에서는 누락되는 관계가 발생할 수 있다.

 

2. 인프라 비용 증가

그래프 분석을 위해 강연자님께서는 다음과 같은 서비스를 조합하게 된다고 설명해주셨다.

• Amazon Neptune
• SageMaker Notebook
• Access Analyzer

이 구조는 강력하지만, 대규모 환경에서는 비용이 빠르게 증가할 수 있다.

특히 전체 데이터를 주기적으로 다시 적재하는 Full Import 방식은 비용 측면에서 부담이 될 수 있다.

 

그래서 나온 방향: Graph + AI

최근에는 그래프 분석에 AI를 결합하는 방향으로 발전하고 있다. 단순히 관계를 조회하는 것을 넘어,
AI를 활용해 다음과 같은 기능이 가능해진다.

• 권한 구조 자동 분석
• 이상 권한 탐지
• 자연어 기반 질의

예를 들어,

“최근 90일 동안 사용되지 않은 관리자 권한 계정 알려줘”

이런 질문을 직접 쿼리로 작성하지 않아도 AI가 해석해서 결과를 도출해줄 수 있다.

 

결국 핵심은  사람이 "이해할 수 있는 구조"를 만드는 것

IAM 권한 구조는 본질적으로 관계 중심 데이터다.

그리고 관계 중심 데이터는 RDB보다 그래프 DB에서 훨씬 잘 표현된다.

하지만 단순히 기술을 바꾸는 것이 아니라, 다음과 같은 방향으로 접근해야 한다.

• 관계를 중심으로 데이터 모델링하고
• 그래프로 가시성을 확보하고
• AI로 분석과 자동화를 더한다

보안은 더 이상 단순한 설정의 문제가 아니다.
“이해할 수 있는 구조”를 만드는 문제다.

그래프 DB는 복잡한 권한 구조를 시각적으로 풀어주는 도구이고,
AI는 그 위에서 인사이트를 만들어주는 역할을 한다.

결국 우리가 해야 할 일은 하나다.

복잡한 권한 구조를, 사람이 이해할 수 있는 형태로 바꾸는 것

 

세션 참여 느낀점

RDB가 아닌 그래프 DB에 데이터를 저장하고 시각화하면, 사용자 간의 관계와 권한 구조를 직관적으로 파악할 수 있다. 특히 멀티 어카운트 환경에서 어떤 사용자가 어떤 계정에 영향을 미치는지, 즉 사용자 영향도를 분석하는 데 매우 효과적이다.

또한 그룹웨어를 운영하다 보면 기술 문의를 유선으로 대응하는 경우가 많은데, 이때 가장 먼저 확인해야 하는 것은 해당 사용자의 권한이다. 이 사용자가 최고 관리자 수준인지, 시스템 관리자 수준인지, 혹은 특정 결재 문서를 조회할 수 있는 권한이 있는지에 따라 안내해야 할 내용이 달라지기 때문이다.

 

권한에 따라 제공할 수 있는 기능 설명과 가이드 범위가 달라지기 때문에, 정확한 권한 파악은 매우 중요하다.

이러한 상황에서 그래프 기반의 시각화 구조가 있다면,
“누가 어떤 리소스에 접근할 수 있는지”,
“어떤 권한을 가지고 무엇을 할 수 있는지”를 한눈에 빠르게 파악할 수 있다.

이는 기존 RDB 기반 구조에서는 여러 테이블을 조회하고 JOIN을 통해 확인해야 했던 과정을, 그래프 DB에서는 관계 탐색과 시각화를 통해 직관적으로 해결할 수 있게 해준다.

 

결과적으로 그래프 DB는 단순한 데이터 저장 방식을 넘어,
사용자의 영향도를 사전에 파악하고, 권한으로 인한 리스크를 미리 차단하는 데 중요한 역할을 한다.