GuardDuty
로그를 기계학습으로 분석해 위협을 탐지
이게 뭔가요? / What is this?
GuardDuty는 방화벽이 아니라, 계정 안의 로그를 기계학습으로 계속 지켜보며 수상한 움직임을 찾아 알려주는 관리형 감시 서비스입니다. 건물 곳곳의 CCTV 영상을 사람 대신 AI가 24시간 분석해 이상 행동을 발견하면 경고만 울리는 것과 같아서, 직접 문을 잠그거나 침입자를 막지는 않습니다.
개요 / Overview
GuardDuty는 CloudTrail, VPC 플로우 로그, DNS 로그를 자동 분석해 비정상 API 호출, 암호화폐 채굴, 손상된 인스턴스 같은 위협을 찾아냅니다. 에이전트 설치가 필요 없습니다.
동작 원리 / How it works
GuardDuty는 CloudTrail 관리·데이터 이벤트, VPC 플로우 로그, Route 53 DNS 로그를 계정 밖에서 읽어 기계학습과 위협 인텔리전스로 분석합니다. 에이전트를 설치하지 않고 로그 수집을 켜지 않아도 동작하는 것이 특징이며, 켜는 순간부터 결과(finding)를 냅니다.
결과는 EventBridge 이벤트로 나가므로 Lambda나 Step Functions로 자동 대응을 붙일 수 있습니다 — 손상된 인스턴스를 격리 보안 그룹으로 옮기거나, 유출된 키를 비활성화하는 식입니다.
시험은 무엇을 보는가 / What the exam is testing
시험은 보안 서비스 넷을 구분시킵니다 — 위협 탐지는 GuardDuty, S3 민감 데이터 식별은 Macie, 취약점 스캔은 Inspector, 구성 규정 준수는 Config. 이 매핑만 확실하면 대부분 풀립니다.
시험 포인트 / Exam points
GuardDuty는 찾아낼 뿐 차단하지 않습니다. 자동 대응이 필요하면 EventBridge로 결과를 받아 Lambda로 조치합니다.
위협 탐지는 GuardDuty, S3의 민감 데이터 식별은 Macie, EC2·컨테이너 취약점 스캔은 Inspector, 리소스 구성 규정 준수는 Config입니다.
자주 틀리는 함정 / Common traps
GuardDuty가 공격을 차단한다고 보는 것 — 탐지만 하며 차단은 별도 자동화가 필요합니다.
GuardDuty
Machine-learning threat detection over your logs
이게 뭔가요? / What is this?
GuardDuty is not a firewall — it is a managed monitoring service that uses machine learning to continuously watch account logs and flag suspicious activity. It is like having an AI analyze every security camera footage around the clock instead of a human, sounding an alarm when it spots something odd — but it never locks a door or stops an intruder itself.
개요 / Overview
GuardDuty continuously analyses CloudTrail, VPC flow logs, and DNS logs to surface anomalous API calls, crypto-mining, and compromised instances — with no agents to install.
동작 원리 / How it works
GuardDuty reads CloudTrail management and data events, VPC flow logs, and Route 53 DNS logs from outside your account and analyses them with machine learning and threat intelligence. It needs no agents and no log collection setup, producing findings from the moment it is enabled.
Findings emit as EventBridge events, so automated response can be attached via Lambda or Step Functions — moving a compromised instance into a quarantine security group, or disabling a leaked key.
시험은 무엇을 보는가 / What the exam is testing
The exam separates four security services: threats → GuardDuty, sensitive data in S3 → Macie, vulnerability scanning → Inspector, configuration compliance → Config. That mapping answers most of them.
시험 포인트 / Exam points
GuardDuty detects but does not block. For automated response, route findings through EventBridge to a Lambda function.
Threats → GuardDuty. Sensitive data in S3 → Macie. Vulnerability scanning of EC2 and containers → Inspector. Resource configuration compliance → Config.
자주 틀리는 함정 / Common traps
Believing GuardDuty blocks attacks — it only detects; blocking requires separate automation.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.