Stave - AWS 설정 사이에 숨어 있는 공격 경로를 찾는 보안 검증 도구

8 hours ago 4

AWS 리소스의 설정뿐 아니라 리소스 사이의 권한과 연결 관계를 분석해, 개별 검사에서는 드러나지 않는 복합적인 보안 위험을 찾음
예를 들어 S3의 암호화와 공개 접근 차단이 정상이어도, Bedrock 에이전트 → Lambda → 민감한 S3 데이터로 이어지는 접근 경로에 제약이나 감사 기록이 빠져 있을 수 있음
삭제된 역할을 가리키는 IAM 설정, 사라진 Lambda를 호출하는 에이전트, 없어진 S3 버킷을 가리키는 CNAME처럼 대상이 사라졌는데 남아 있는 참조도 검사
AWS에 직접 접속해 검사하지 않고, obs.v0.1 형식으로 저장한 로컬 JSON 스냅샷을 분석함
- 수집할 때는 읽기 전용 AWS 권한이 필요하지만, 이후 분석은 자격 증명 없이 오프라인에서 반복 가능
기본 수집 스크립트는 AWS CLI와 jq로 설정을 가져오며, Steampipe나 다른 도구로 만든 데이터도 정해진 형식에 맞춰 사용 가능
설정이 지켜야 할 보안 조건을 규칙으로 정의하고, 스냅샷이 이를 만족하는지 검사해 같은 입력에서 같은 결과를 재현할 수 있음
S3, IAM, VPC, EC2, RDS, Lambda, EKS, CloudTrail과 Bedrock, SageMaker 등 여러 서비스에 대한 기본 검사 규칙 제공
심각한 문제 우선 점검, 전체 감사, 인수 실사, 침해 사고 재구성과 S3 버킷 이름 탈취 위험 점검을 위한 템플릿 포함
스냅샷에 들어 있는 서비스에 맞춰 검사 규칙을 고르고, 조직에 필요한 규칙과 평가 템플릿을 추가하거나 수정 가능
기존 보안 스캐너를 보완하는 도구이며, 검사 범위는 수집한 설정과 지원하는 규칙에 한정됨
Go 기반으로 go install github.com/sufield/stave/cmd/stave@latest로 설치하며, AWS 계정 없이 실행할 수 있는 데모도 제공
Apache-2.0 라이선스

Read Entire Article

Stave - AWS 설정 사이에 숨어 있는 공격 경로를 찾는 보안 검증 도구

Related

미국인의 정부 부패 인식 89%, 20년 만에 최고치

NX 비트는 보안만을 위한 것이 아니다

모든 Chromium 버전에 영향을 주는 실제 악용 중인 샌드박스 원격 코드 실행 취약점

AI가 내 두뇌를 망치고 있을까?

Claude Code,Codex,Cursor는 어떤 도구를 선택할까? 1만7천 회 실행 분석

wigolo - AI 에이전트를 위한 로컬 우선 웹 검색/수집 도구

DHH가 바라본 프로그래밍의 미래: 직접 코딩에서 AI 에이전트 팀 운영으로 [유튜브]

AI 시대에 코드 리뷰에서 살아남는 방법은?

Tips

Trending

Popular

[TODAY엔비디아]다음주 실적 발표 앞둔 기대감…UBS "예상치 상회"

데뷔 1년도 안 됐는데…코르티스가 써 내려간 ‘최초·최단’ 기록

“호남반도체 방해하는 미군 박살내자”…오산공군기지 무단 침입 대학생 3명 구속

Why Change Management Is the Difference Between Government T...

Where does PDM end and PLM begin? 🤔

생중계된 죽음, 온라인 확산 계속…플랫폼은 또 못 막았다

이란 협상대표, 트럼프 ‘말 바꾸기’ 조롱…“반복되는 쇼 외교”

‘껍데기’와 다르다…영업망 갖춘 상상인증권, 2000억 몸값 배경은

'상습 프로포폴' 유아인, 3년 만 스크린 복귀…대본 리딩 포착

PgBouncer 없이 Postgres를 운영하는 사람이 있나요?