<aside> 🔎

요약: Amazon Inspector는 EC2의 취약한 패키지와 네트워크 노출을 찾고, Wazuh는 호스트에서 발생하는 로그·파일 변경·행위를 탐지한다. 둘은 대체재라기보다 서로 다른 시점을 보는 보완재다.

</aside>

EC2 보안을 구성하다 보면 같은 질문이 생긴다. “Wazuh에도 취약점 탐지가 있는데 Inspector를 왜 함께 써야 할까?” 이 글에서는 두 도구가 데이터를 수집하는 방식, 겹치는 영역과 사각지대, 함께 사용할 때의 흐름을 간단히 정리한다.

작성 기준: Amazon Inspector v2, Wazuh 4.x 계열. 콘솔 화면을 게시할 때는 실제 Wazuh 버전과 검사 시각을 함께 적는다.

한눈에 보는 차이

Inspector는 EC2를 어떻게 검사할까?

Inspector는 EC2 안에서 공격 코드를 실행하는 제품이 아니다. 인스턴스의 패키지 인벤토리 또는 SBOM을 수집한 뒤 AWS 측 취약점 정보와 대조한다. Security Group·NACL·Route도 분석해 외부에서 도달 가능한 경로를 찾는다.

검사 방식은 세 가지로 이해하면 쉽다.

• Agent-based: SSM 관리 대상에서 인벤토리를 수집한다.
• Agentless: SSM을 사용할 수 없을 때 EBS Snapshot을 분석한다.
• Hybrid: SSM 여부에 따라 두 방식을 자동 선택한다.

대표 평가 간격은 네트워크 도달성 약 12시간, SSM 인벤토리 기본 30분, Agentless 약 24시간으로 알려져 있다. 다만 이는 보장 SLA가 아닌 일반 동작 참고치이므로 실제 화면의 last scanned 시각을 기준으로 판단해야 한다.

Wazuh는 무엇이 다를까?

Wazuh Agent는 EC2 내부에서 로그와 상태를 지속적으로 Manager에 보낸다. 따라서 취약 패키지뿐 아니라 다음과 같은 런타임 단서까지 다룰 수 있다.

• 파일 생성·수정·삭제를 감지하는 FIM
• 보안 설정을 점검하는 SCA
• 로그·규칙 기반 행위 탐지와 Active Response

즉 Inspector가 “공격 가능한 상태인가?”를 묻는다면, Wazuh는 “지금 수상한 일이 발생했는가?”에 더 가깝다.

두 도구를 함께 쓰는 파이프라인