AWS 공격 경로를 위한 Wiz 대안: CNAPP가 답하는 것과 Pathbreak가 더하는 것

Pathbreak 팀 작성 · 2026년 10월 26일 · 6분 읽기

Wiz 대안에 대한 검색은 두 가지 경우에서 나옵니다. 어떤 팀은 같은 폭넓은 범위, 즉 여러 클라우드에 걸쳐 인벤토리, 취약점, 잘못된 구성, 시크릿, 컨테이너, 코드를 다루는 CNAPP를 다른 가격에 원합니다. 다른 팀은 이미 그 범위를 갖추고 있고, 더 좁은 질문에 대한 검증된 답을 원합니다. 그래프 위의 모든 공격 경로 중 어느 것이 AWS가 평가하는 권한 부여에 비추어 성립하는지, 어떤 해결책이 가장 많은 경로를 제거하는지, 그리고 그 해결책이 유지되었는지입니다. 이 글은 두 번째 그룹을 위한 것입니다. Wiz 같은 CNAPP가 무엇을 위해 만들어졌는지, Prowler의 Attack Paths 기능이 무엇을 하는지, 그리고 Pathbreak가 무엇을 더하는지 설명합니다. 벤더에 대한 설명은 각 벤더의 공개 자료를 바탕으로 했으므로, 결정을 내리기 전에 세부 사항을 해당 벤더에 확인하세요.

Wiz는 무엇을 위해 만들어졌나

Wiz는 에이전트 없이 클라우드 계정에 연결해 워크로드, 신원, 구성, 데이터의 인벤토리를 구축하고, 발견 항목을 서로의 관계를 보여 주는 그래프 위에 배치합니다. 공격 경로 분석은 그 그래프에서 심각도가 낮은 여러 문제가 결합해 중요 자산으로 가는 경로가 되는 체인을 찾는데, Wiz는 이를 유해한 조합(toxic combinations)이라고 부르며 체인을 영향도에 따라 순위를 매깁니다. 공개 자료에는 센서의 런타임 신호가 그래프에 공급되고 발견 항목이 코드까지 추적된다고 설명되어 있습니다.

이는 강력한 기록 시스템입니다. AWS, Azure, Google Cloud, Kubernetes, 코드 전반에 걸쳐 "우리가 무엇을 가지고 있고, 어디가 취약하며, 그것들이 어떻게 연결되는가"가 질문이라면 CNAPP가 맞는 도구이고, Wiz는 그 분야를 선도하는 제품입니다.

Prowler Attack Paths가 하는 일

Prowler는 널리 쓰이는 오픈 소스 클라우드 스캐너이며, 버전 5.17에서 AWS용 Attack Paths 기능이 추가되었습니다. 스캔 중에 IAM 주체, 정책, 신뢰 관계, 리소스의 그래프를 만들고, 일부는 Datadog의 pathfinding.cloud 연구를 기반으로 한 기본 제공 쿼리와 사용자 지정 읽기 전용 openCypher 쿼리를 제공하며, 결과를 그래프로 그려 줍니다. 계정의 IAM 관계를 탐색하기에 좋은 방법이며, 오픈 소스 도구 생태계에서 의미 있는 진전입니다.

Pathbreak가 더하는 것

Pathbreak는 하나의 클라우드에서 하나의 질문을 위해 만들어졌습니다. 읽기 전용으로 AWS에 연결해 그래프를 만들고, 그 위에서 추론해 멀티 홉 및 교차 계정 체인을 포함한 후보 체인을 생성한 다음, 각 단계에 대해 AWS가 평가할 권한 부여, 즉 자격 증명 정책, 권한 경계, 서비스 제어 정책, 신뢰 및 리소스 정책, 조건 키를 판정해 각 체인을 처음부터 끝까지 검증합니다. 아무것도 실행되지 않습니다. 입증된 각 경로는 계정 전반에서 무엇에 도달하는지에 따라 순위가 매겨지므로, 첫 번째 해결책이 가장 많은 위험을 제거하는 해결책이 됩니다. 각 경로에는 그것을 차단하는 구체적인 변경 사항이 함께 제공됩니다. 변경이 배포되면 경로를 다시 평가하고 결과를 기록하므로, 티켓은 증거를 근거로 종료됩니다.

Pathbreak 랩 계정에서는 4,942개의 후보 경로가 하나의 목록으로 줄어들었고, 그 목록에서 한 역할에 대한 단일 Deny가 입증된 경로 4,087개 중 3,893개를 제거했으며, 두 가지 변경으로 위험의 80퍼센트가 제거되었습니다. 분석 대 검증 글은 하나의 체인을 도달 가능 단계에서 입증 단계까지 따라가며, 녹화된 데모는 실제 계정에서 검증된 경로 보기를 보여 줍니다.

나란히 비교

아래 표는 각 도구가 무엇을 위해 만들어졌는지를 각자의 용어로 설명합니다.

Wiz가 맞는 답일 때

둘 이상의 클라우드를 운영하면서 그 전체에 걸쳐 하나의 인벤토리, 하나의 취약점 보기, 하나의 정책 세트가 필요하다면 CNAPP를 유지하세요. 가장 큰 공백이 컨테이너 이미지, 코드에 노출된 시크릿, 또는 취약점 관리라면 그 작업에는 CNAPP가 맞는 곳입니다. Pathbreak는 그런 플랫폼이 되려 하지 않습니다.

Pathbreak를 더해야 할 때

민감한 데이터와 특권 역할이 AWS에 있고, 각 공격 경로가 실제 권한 부여에 비추어 입증되고, 도달 대상에 따라 순위가 매겨지며, 해결 후 사라졌음이 확인되기를 원한다면 Pathbreak를 더하세요. Wiz와 함께 실행하는 팀도 있고, CNAPP가 없는 팀은 노출 검사와 컴플라이언스 범위도 함께 제공된다는 점에서 독립형 스캐너 대신 사용합니다. 어느 경우든 수동 AWS 보안 평가를 보완하며 대체하지는 않습니다. 가격은 AWS 계정 구간별로 책정되며 공개되어 있습니다.

자주 묻는 질문