AWS를 위한 Pentera 대안: 공격을 실행하지 않고 공격 경로 검증하기

Pathbreak 팀 작성 · 2026년 10월 27일 · 5분 읽기

Pentera는 자동화된 보안 검증 분야에서 가장 잘 알려진 이름 중 하나입니다. 공개 자료에 따르면 이 플랫폼은 공격자가 내부 네트워크, 신원, 외부 공격 표면을 대상으로 사용할 기법을 에뮬레이션하고, 어떤 기법이 성공했는지 보고합니다. 2024년에는 같은 접근 방식을 AWS와 Azure 계정에 적용하는 클라우드 모듈을 추가해, 신원 침해, 역할 권한 상승, 플랫폼 서비스로의 측면 이동, 코드 실행을 찾습니다. Pentera 대안을 찾는 팀은 대개 두 가지 질문 중 하나를 묻고 있습니다. 에뮬레이션된 공격을 얻는 다른 방법이 있는지, 아니면 프로덕션 계정에서 아무것도 실행하지 않고 클라우드 노출을 검증하는 방법이 있는지입니다. 이 글은 두 번째에 관한 것입니다. 결정을 내리기 전에 Pentera의 세부 사항은 해당 벤더에 확인하세요.

증거를 만드는 두 가지 방법

에뮬레이션된 공격은 공격자처럼 행동합니다. 발판에서 시작해 이동을 시도하며, 증거는 그것이 도달한 곳입니다. 탈취한 자격 증명, 장악한 호스트, 수임한 역할 같은 것들입니다. 네트워크, Active Directory, 엔드포인트 환경에서는 이것이 얻을 수 있는 가장 직접적인 형태의 증거이며, Pentera 같은 플랫폼이 만들어 내도록 설계된 것이기도 합니다.

AWS 컨트롤 플레인에서는 증거가 다른 곳에서 나올 수 있습니다. 공격자의 움직임은 API 호출이며, 각 호출의 성공 여부는 무엇이든 실행되기 전에 AWS가 함께 평가하는 정책 문서들, 즉 호출자의 자격 증명 정책, 권한 경계, 조직 단위의 서비스 제어 정책, 대상의 신뢰 또는 리소스 정책, 그리고 각 문의 조건 키에 의해 결정됩니다. 경로의 모든 단계에 대해 AWS와 같은 방식으로 그 문서들을 판정하면, 호출이 받게 될 것과 동일한 허용 또는 거부 결과를 얻습니다. 모든 단계가 허용으로 판정되면 경로는 입증된 것이며, 아무것도 생성되거나 호출되거나 변경되지 않았습니다. 분석 대 검증 글은 하나의 체인을 이 과정에 따라 살펴봅니다.

Pathbreak의 검증 방식

Pathbreak는 읽기 전용 교차 계정 역할을 통해 연결하고, 주체, 정책, 신뢰 엣지, 리소스의 그래프를 만든 다음, 그 위에서 추론해 멀티 홉 및 교차 계정 체인을 포함한 후보 체인을 생성합니다. 모든 단계에 대한 전체 권한 부여를 판정해 각 체인을 검증하고 그 결과를 증거로 기록합니다. 입증된 경로는 계정 전반에서 무엇에 도달하는지에 따라 순위가 매겨지고, 각 경로에는 그것을 차단하는 구체적인 변경 사항이 함께 제공되며, 변경이 배포된 후에는 경로를 다시 평가해 사라졌음을 확인합니다. 읽기 전용 방식이므로 변경 기간 없이 프로덕션을 대상으로 매일 실행됩니다. Pathbreak 랩 계정에서는 한 역할에 대한 단일 Deny가 입증된 경로 4,087개 중 3,893개를 제거했고, 두 가지 변경으로 위험의 80퍼센트가 제거되었습니다.

나란히 비교

아래 표는 각 접근 방식이 무엇을 위해 만들어졌는지를 각자의 용어로 설명합니다.

에뮬레이션된 공격이 맞는 답일 때

우려하는 환경이 온프레미스이거나, Active Directory가 가장 중요한 자산이거나, 엔드포인트의 피싱 발판이 어딘가로 이어진다는 증거가 필요하거나, 감사인이 공격자를 처음부터 끝까지 에뮬레이션했다는 증거를 원한다면 그런 도구를 사용하세요. Pentera와 유사 제품들은 바로 그 목적으로 만들어졌으며, 클라우드가 더 넓은 환경의 일부일 때는 그 위에 클라우드 모듈을 더하는 것이 합리적입니다.

AWS를 위한 읽기 전용 검증을 더해야 할 때

민감한 데이터와 특권 역할이 AWS에 있거나, 계정과 역할의 수가 주기적인 테스트로는 감당할 수 없을 만큼 많거나, 변경 기간 없이 증거를 원한다면 컨트롤 플레인 검증을 더하세요. 두 접근 방식은 잘 어울립니다. 그런 증거가 필요한 환경의 부분에는 에뮬레이션된 공격을, AWS 컨트롤 플레인에는 매일 읽기 전용 검증을 사용하는 것입니다. 둘 다 수동 AWS 보안 평가를 보완하며, 어느 쪽도 그것을 대체하지 않습니다. 가격은 AWS 계정 구간별로 책정되며 공개되어 있고, 녹화된 데모는 실제 계정에서 검증된 경로 보기를 보여 줍니다.

자주 묻는 질문