AWS, GuardDuty Investigation Agent 공개 미리보기 출시: AI가 보안 팀을 위해 공격 단서를 추적

아마존 웹 서비스(AWS)가 공개 미리보기로 Amazon GuardDuty 조사 에이전트(Amazon GuardDuty Investigation Agent)를 발표했습니다. 이는 보안 결과를 평가하고, 과거 활동을 연관시키며, AWS 계정 및 조직 전반의 위협 원격 분석을 매핑하도록 설계된 AI 기반 보안 도구입니다. 이 서비스는 결과 메타데이터, 90일 활동 로그, 영향받은 리소스 토폴로지를 구조화된 분석 보고서에 통합하여 조사 시간을 몇 시간에서 몇 분으로 단축하는 것을 목표로 합니다. 처음에는 6월에 'AI 기반 조사'로 발표되었고, 7월에는 조사 에이전트라는 이름으로 자세히 설명되었습니다. 에이전트는 세 가지 범위에서 작동합니다: 특정 32자리 GuardDuty 결과 ID에 대한 결과 분석, 단일 12자리 AWS 계정에 대한 계정 분석, AWS 조직의 최대 100개 멤버 계정에 대한 조직 분석입니다. 각 분석은 정보(Info)부터 중요(Critical)까지의 위험 수준, 신뢰 점수, MITRE ATT&CK 분류, 실행 가능한 CLI 수정 단계를 포함한 구조화된 결과 집합을 생성합니다. AWS Security Hero인 Sena Yakut은 GuardDuty의 기존 확장 위협 탐지(Extended Threat Detection)와의 차이점을 언급했는데, 이는 관련 결과를 공격 체인으로 연결하는 반면, 조사는 영향받은 리소스, IAM 활동 및 주변 컨텍스트를 분석하여 권장 사항이 포함된 요약 보고서를 생성합니다. 이 도구는 대규모 보안 팀이 없는 조직에 특히 적합하지만, Yakut은 AI가 인간의 조사 및 의사 결정을 대체하지 않고 지원해야 한다고 강조했습니다. 개발자와 SecOps 팀은 AWS SDK, 'aws guardduty create-investigation' CLI 명령 또는 EventBridge 규칙을 통해 프로그래밍 방식으로 조사를 트리거할 수 있습니다. AWS MCP 서버 통합을 통해 엔지니어는 기존 IAM 자격 증명을 사용하여 Claude Desktop 또는 사용자 지정 CLI 에이전트 러너에서 위협 조사를 트리거할 수 있습니다. AWS는 조사 데이터와 보고서가 원래 지역에 저장되지만, 추론은 Bedrock 모델로 구동되는 교차 지역 추론 서비스(CRIS)를 통해 다른 지역으로 라우팅될 수 있다고 언급하며 거버넌스 문제를 해결합니다. 이 서비스는 Microsoft의 Security Copilot 및 Google의 Gemini 지원 조사와 경쟁합니다. 차별화는 범위에 있으며, GuardDuty 결과 및 주변 AWS 원격 분석으로 제한되어 추론 도메인을 좁히고 출력을 검증 가능하게 만듭니다. 공개 미리보기는 10개의 AWS 상용 지역에서 제공되며, 미리보기 기간 동안 무료이며 계정당 하루 10회, 계정당 총 100회의 조사 한도가 있습니다. 이러한 한도는 자동 대응 파이프라인보다는 수동 분석에 초점을 맞추고 있음을 시사하며, Yakut의 미리보기는 자율 대응이 아닌 출력 평가를 위한 것이라는 점을 상기시키는 것과 일치합니다.