Amazon RDS 데이터베이스의 삭제 보호 설정은 단일 설정으로, 권한이 있는 사용자가 이를 해제할 수 있어 조직 내 수백 개 계정에서 어떤 데이터베이스가 삭제 보호 없이 운영 중인지 파악하기 어렵다. 이 문제를 해결하기 위해 AWS 서비스 이벤트를 중앙 계정의 커스텀 이벤트 버스로 모아 Amazon CloudWatch 대시보드로 시각화하는 솔루션을 제시한다.
이 솔루션은 AWS Trusted Advisor, Security Hub CSPM, CloudTrail, Config, Health 등 다섯 가지 AWS 서비스가 제공하는 이벤트를 수집해 데이터베이스 보호 상태를 실시간으로 보여준다. 삭제 보호, Multi-AZ, 백업 미설정 데이터베이스를 식별하고, 누가 언제 보호 설정을 변경했는지도 추적 가능하다.
구현은 AWS CloudFormation 템플릿과 Terraform 구성을 통해 자동화되며, 조직 단위로 StackSets를 활용해 빠르게 배포할 수 있다. 대시보드는 최근 7일간의 상태를 기준으로 최신 보호 상태만 표시하며, 알람은 삭제 보호 해제 시 즉시 알림을 보내고, Security Hub CSPM의 반복 평가 결과는 상태 알람으로 관리한다.
이 솔루션은 AWS EventBridge를 통한 이벤트 전달을 계정 간 단일 홉으로 제한해 보안 정책을 준수하며, 메트릭 필터는 리소스별 차원이 아닌 제어 ID와 상태를 기준으로 하여 비용을 최적화한다. 또한, 배포 전 사전 점검과 테스트 기능을 제공해 안정적인 운영을 지원한다.
비용은 주로 CloudWatch 커스텀 메트릭에 발생하며, 대시보드와 알람을 포함해 월 수십 달러 수준으로 예측 가능하다. AWS 지원 플랜과 Config, Security Hub 설정이 필요하며, 자세한 배포 및 운영 방법은 GitHub 저장소에서 확인할 수 있다.
출처: AWS Database
