KIMKYUTAE.COM · ©
글로벌 CSP 보안 항목 비교
글로벌 CSP 4사인 AWS, Microsoft Azure, Google Cloud, Oracle OCI의 보안 항목들을 비교해보았다.
약 80% 정도는 대체로 비슷하나 일부 항목은 구현방식의 차이로 인해 약간의 차이가 있다.
먼저 전반적인 항목들을 살펴보자.
| 항목 | AWS | Azure |
|---|---|---|
| 조직/계정 구조 | Organizations / OU / Account | Tenant / Management Group / Subscription |
| 인증 | IAM Identity Center | Microsoft Entra ID |
| 권한 통제 | IAM / SCP / RCP / Permission Boundary | Azure RBAC / Entra Roles / PIM |
| 정책기반 예방통제 | SCP / RCP / Control Tower | Azure Policy |
| CSPM | Security Hub CSPM | Defender for Cloud |
| 위협탐지 | GuardDuty | Defender for Cloud |
| 구성 감사 | AWS Config | Azure Policy |
| API 감사 로그 | CloudTrail | Activity Log |
| SIEM | Security Lake + 외부 SIEM | Microsoft Sentinel |
| 키 관리 | KMS / CloudHSM | Key Vault / Managed HSM |
| Secret | Secrets Manager | Key Vault |
| 취약점 | Inspector | Defender Vulnerability Management |
| 데이터분류 | Macie | Purview |
| 관리자 접속 | Systems Manager Session Manager | Azure Bastion |
| WAF | AWS WAF | Application Gateway WAF / Front Door WAF |
| FW | Network Firewall | Azure Firewall |
| Private PaaS 연결 | PrivateLink / VPC Endpoint | Private Link |
| 항목 | GCP | OCI |
|---|---|---|
| 조직/계정 구조 | Organization / Folder / Project | Tenancy / Compartment |
| 인증 | Cloud Identity / IAM | IAM Identity Domains |
| 권한 통제 | IAM / Org Policy / IAM Deny | IAM Policy |
| 정책기반 예방통제 | Organization Policy | Security Zones |
| CSPM | Security Command Center | Cloud Guard |
| 위협탐지 | Security Command Center | Cloud Guard |
| 구성 감사 | Asset Inventory / Org Policy / SCC | Cloud Guard |
| API 감사 로그 | Cloud Audit Logs | Audit |
| SIEM | Chronicle / Google SecOps | Logging Analytics / 외부 SIEM |
| 키 관리 | Cloud KMS / Cloud HSM | Vault |
| Secret | Secret Manager | Vault / Secret Management |
| 취약점 | Vulnerability Manager / SCC | Vulnerability Scanning |
| 데이터분류 | Sensitive Data Protection | Data Safe |
| 관리자 접속 | IAP / OS Login | OCI Bastion |
| WAF | Cloud Armor | OCI WAF |
| FW | Cloud NGFW | Network Firewall |
| Private PaaS 연결 | Private Service Connect | Service Gateway / Private Endpoint |
AWS는 Organizations를 중심으로 Security Hub CSPM, GuardDuty, Config, IAM Access Analyzer, CloudTrail 등을 모든 계정에 배포하고, Security Tooling 계정으로 중앙 관리하는 구조를 공식 SRA에서 권장한다.
Azure는 MCSB(Microsoft Cloud Security Benchmark)를기준으로 네트워크, IAM, 특권 접근, 데이터 보호, 자산 관리, 로깅, 사고 대응, 취약점, 백업, DevOps보안 등을 하나의 통제체계로 구성한다.
GCP는 SecureEnterprise Foundation에서 인증/인가, 조직, 네트워크, 로깅, 키/Secret 관리, Security Posture를 핵심 영역으로 정의하고 있다.
OCI는 Compartment를 IAM과 보안 경계의 핵심으로 사용하고 Cloud Guard와 Security Zones를 결합하는 형태가 특징적이다.
