AWS

새 기능

• AWS Config 수집기, 수집 모델 및 로그 스키마 추가
• AWS S3 Server Access 수집 모델 및 로그 스키마 추가
• AWS Cloud Watch Security Hub 수집 모델 및 AWS Security Hub 로그 스키마 추가
• AWS 대시보드에 S3 Server Access 탭 추가

버그 수정

• AWS 대시보드 Cost 탭에서 월간 청구 비용(KRW)이 표시되지 않는 문제 수정
• AWS 대시보드 Cost 탭 일부 차트가 다크 테마에서 흰 배경으로 표시되는 문제 수정
• S3 기반 수집기를 중지하면 수집 오류로 표시되는 문제 수정
• AWS Aurora DB Activity 로그 스키마의 end_time 필드 타입을 날짜로 수정

변경 사항

• AWS S3 Server Access 로그 시각(_time) 기준 변경: 수집 시각 → 이벤트 발생 시각
• AWS S3 Server Access 파서 이름 변경: aws-s3-access → aws-s3-server-access

업데이트 시 주의 사항

• AWS S3 Server Access 로그는 1.11.2610.0 이하 버전 수집 데이터와 _time 기준이 다르므로 시각 기준 쿼리·탐지 규칙 확인 필요
• aws-s3-access 파서로 직접 만든 파서는 업그레이드 후 aws-s3-server-access 파서로 다시 만들어야 함

새 기능

• AWS Network Firewall 수집 모델 및 로그 스키마 추가

버그 수정

• AWS Network Firewall 수집기에서 대상 기간 설정 시 로그가 수집되지 않는 문제 수정

변경 사항

• AWS Network Firewall 수집기 대상 기간 조회 로직 최적화
• AWS Network Firewall 로그 시각(_time) 기준 변경: 수집 시각 → 이벤트 발생 시각
• AWS Network Firewall 로그 정규화 변경
  • 방화벽 이름 bucket_name → firewall_name, 가용 영역 region → availability_zone
  • bucket_name은 S3 버킷 이름, region은 방화벽 리전으로 변경 (수집기 전용)
  • action 값 표준화(allowed → DETECT, blocked → BLOCK), 원본 값은 raw_action에 저장

업데이트 시 주의 사항

• 정규화 변경으로 1.10.2607.1 이하 버전 수집 데이터와 호환 불가
  • bucket_name, region, action은 1.10.2607.1 이하와 값 의미가 다르므로 기존 쿼리·탐지 규칙 수정 필요
  • 사용자 정의 수집 모델에서 AWS Network Firewall 파서를 사용하는 경우도 해당

수집기 버그 수정

• 모니터링 대상기간이 1일로 설정된 경우 UTC 타임존 미일치로 누락 발생현상 수정
• 모니터링 대상기간 일자 처리 기준 완화
• 수집 중단 등 이상 상황 시, 중복 수집현상 완화(상태키를 3일치 보관)

※ 기존 수집기의 모니터링 대상기간이 1일이었을 경우, 누락 처리 과정에서 1회 중복 수집이 발생할 수 있습니다.

기능 개선

• S3 일자별 디렉토리 수집기 날짜 비교 로직 최적화
• AWS Aurora MySQL Audit 수집기 region 설정 누락 코드 수정

WAF 로그 파서 수정

• responseCodeSent 필드 처리 오류 해결

기능개선

• AWS VPC Flow 기본 수집 모델 및 로그 스키마 추가

버그 수정

• AWS WAF 수집기 설정 중 출력 필드 간소화 옵션이 false 인 경우 requestBodySize, requestBodySizeInspectedByWAF 필드 캐스팅 오류가 발생하는 문제 수정
• aws-cost 명령어에 profile 옵션 추가

기능 개선

• AWS WAF 차단 연동 시 CloudFront 스코프 지원 추가. 차단 연동 설정에서 리전 드롭박스에서 CloudFront 선택 가능 (빈 값 선택 시 저장 불가)
• AWS WAF 관련 커맨드에서 region=cloudfront 옵션 입력 시 CloudFront 지원

AWS cloudwatch metrics, stats 쿼리 VPC Endpoint 지원

기능 개선

• AWS VPC Endpoint 지원
• AWS Network Firewall 로그 지원
• AWS CloudWatch VPC Flow 로그 커스텀 형식 지원
• AWS STS 인증 지원
• AWS S3 일자별 디렉터리 수집기에 로그 시작/끝 정규표현식 옵션 추가
• AWS S3 일자별 디렉터리 수집기가 S3 경로 패턴에 OID 포함된 경우와 미포함인 경우가 혼재된 환경에서의 로그 수집 지원
• AWS S3 일자별 디렉터리 수집기에 날짜 정규 표현식 옵션 추가
• AWS 앱 확장 명령어 플레이북 지원

AWS S3 일자별 디렉터리 수집기 지원 추가

AWS WAF 로그 수집 필드 확대 및 간소화 옵션 추가

AWS S3 로그 수집 시 Organization ID가 경로에 포함된 경우에 대한 수집 지원

신규 수집기 및 대시보드 지원

• AWS SQS 수집기
• AWS Shield Advanced 수집기
• AWS Aurora with Database Activity Streams 감사 로그 수집 지원
• AWS Shield 및 Aurora DB Activity 대시보드 추가

AWS WAF IP 차단 연동 및 4종 쿼리 명령어 확장

• aws-waf-ip-sets
• aws-waf-ip-set-addresses
• aws-waf-add-ip-set-address
• aws-waf-remove-ip-set-address

ECR 지원 추가

• ECR 취약점 대시보드 추가
• aws-ecr-image-scan-findings 쿼리 명령어 추가

AWS 접속 프로파일 및 수집기별 HTTP 프록시 지원 추가