Day 2 - AWS Config: 구성 항목·기록, 규칙(관리형/커스텀 Lambda), Conformance Pack, 자동 교정

CloudTrail이 "누가 무엇을 했는가"(활동)를 기록한다면, AWS Config는 "리소스가 지금 그리고 과거의 각 시점에 어떤 상태였는가"(구성)를 기록한다. 둘은 보완 관계다. 침해 조사에서 CloudTrail은 AuthorizeSecurityGroupIngress 호출을 보여주지만, AWS Config는 그 결과 보안 그룹이 0.0.0.0/0:22로 열렸고 그것이 며칠간 지속됐다는 상태와 시간선을 보여준다.

보안 시험에서 Config는 "규정 준수 평가", "구성 드리프트 탐지", "원하는 상태 강제(자동 교정)"의 핵심 도구다.

구성 항목(Configuration Item)과 구성 기록(Configuration Recorder)

Config의 기본 단위는 **Configuration Item(CI)**이다. CI는 특정 시점의 한 리소스에 대한 스냅샷으로, 속성·관계·관련 이벤트·메타데이터를 담는다. 리소스가 변경될 때마다 새 CI가 생성되어 **구성 타임라인(configuration timeline)**을 이룬다.