datadog·2018년 11월 1일원문

Datadog 로그 관리로 신뢰도 향상 (새 탭에서 열림)

Datadog은 비밀번호 재설정과 같은 중요 이메일의 전송 신뢰성과 가시성을 확보하기 위해 Amazon SES와 자사의 로그 관리 솔루션을 결합한 서버less 모니터링 시스템을 구축했습니다. 기존 Amazon SES와 CloudWatch만으로는 특정 수신자의 이메일 수신 여부 등을 실시간으로 파악하고 대응하기에 한계가 있었으나, 이 파이프라인을 통해 지원팀이 즉각적으로 문제를 진단할 수 있게 되었습니다. 결과적으로 최소한의 유지보수로 운영 효율성을 높이면서도 전송 프로세스 전반에 대한 높은 수준의 관측성을 확보했습니다. **Amazon SES 이벤트 추출 및 파이프라인 구성** * **이벤트 트리거 설정**: Amazon SES의 'Configuration Sets'를 사용하여 이메일 전송 과정에서 발생하는 bounce, click, complaint, delivery, open, reject, send 등 모든 주요 이벤트를 추적합니다. * **서버리스 아키텍처**: SES에서 발생한 이벤트는 Amazon SNS(Simple Notification Service)로 게시되며, 이는 다시 AWS Lambda 함수를 실행시키는 트리거가 됩니다. * **데이터 전달**: Lambda 함수는 수신된 이메일 이벤트를 Datadog Log Management로 전달합니다. 이 과정에서 Terraform을 사용하여 SNS 토픽 생성, SES 이벤트 대상 지정, IAM 역할 및 Lambda 함수 구성을 코드 기반(IaC)으로 관리합니다. * **안전한 인증**: 프로덕션 환경에서는 Datadog API Key를 암호화하여 보안을 강화할 것을 권장합니다. **Datadog에서의 데이터 가시성 및 인덱싱** * **자동 파싱**: AWS에서 Datadog으로 전송된 로그는 JSON 형식으로 전달되어 Datadog의 기존 통합 파이프라인을 통해 자동으로 처리됩니다. * **패싯(Facet) 활용**: 이메일 이벤트 유형(event type)이나 제목(subject)과 같은 주요 파라미터를 '패싯'으로 변환하여, 지원팀이 특정 이메일 로그를 단 한 번의 클릭으로 쉽게 검색하고 필터링할 수 있게 구성합니다. * **로그 기반 모니터링**: 인덱싱된 데이터를 바탕으로 대시보드를 구성하거나, 특정 이벤트(예: 높은 바운스율) 발생 시 알림을 받을 수 있도록 모니터를 설정할 수 있습니다. **실용적인 결론 및 제언** Amazon SES와 같은 관리형 서비스와 중앙 집중식 로그 분석 도구를 연동하면 이메일 인프라를 직접 운영하는 부담을 줄이면서도 운영 복잡성을 해결할 수 있습니다. 특히 비밀번호 재설정과 같이 성공률이 중요한 서비스의 경우, 단순히 '전송됨' 상태를 확인하는 것을 넘어 전체 파이프라인에 대한 실시간 알림 시스템을 구축하는 것이 고객 지원의 품질을 높이는 핵심적인 방법입니다.

AWS데이터베이스 설계datadog로그 관리+4

datadog·2017년 9월 20일원문

안전하고(사용하기 편리한) 멀티 AWS 계정 IAM 설정 (새 탭에서 열림)

다수의 AWS 계정을 운영하는 방식은 관리 복잡성을 증가시키지만, 네트워크, API, 컴퓨팅 자원 차원에서 자연스러운 보안 경계를 제공한다는 강력한 이점이 있습니다. 본 글은 중앙 집중화된 단일 계정에서 IAM 사용자를 관리하고, 필요할 때마다 MFA 인증을 거쳐 타 계정의 역할을 수행(Assume Role)하는 보안 패턴을 제안합니다. 이를 통해 사용자 권한 오남용을 방지하고 보안 사고 발생 시 피해 범위(Blast Radius)를 최소화하는 실무적인 다중 계정 관리 체계를 구축할 수 있습니다. ## 다중 AWS 계정 체계의 보안적 이점 계정 분리는 운영 부담을 늘리지만, 보안 측면에서는 다음과 같은 격리 효과를 제공합니다. * **네트워크 수준의 격리:** VPC 피어링을 명시적으로 설정하지 않는 한, 계정 간 네트워크는 완전히 분리됩니다. * **API 수준의 격리:** 특정 계정이 침해되더라도 역할 위임(Role Delegation)이 설정되어 있지 않다면 타 계정의 자원에 접근할 수 없습니다. * **컴퓨팅 및 비용 관리:** 비정상적인 자원 사용(예: 비트코인 채굴 등) 발생 시 계정별 결제 알림이나 CloudTrail 모니터링을 통해 즉각적인 탐지가 가능하며, 계정별 지출 한도를 설정하여 피해를 제한할 수 있습니다. ## 중앙 집중식 IAM 사용자 관리 효율적인 관리를 위해 IAM 사용자는 단 하나의 '메인 계정'에만 존재해야 합니다. * **관리의 추적성:** 입사나 퇴사 시 한 곳에서만 권한을 조정하면 되므로 관리 실수를 줄이고 암호 복잡성 정책 등을 일관되게 적용할 수 있습니다. * **비인가 사용자 탐지:** 메인 계정 외의 다른 계정에서 IAM 사용자가 생성되는 것을 모니터링하여 보안 위협을 실시간으로 감지할 수 있습니다. * **SSO 대비 MFA의 정교함:** 일반적인 SSO(Single Sign-On) 대신 개별 IAM 사용자를 유지하는 이유는 특정 작업 수행 시마다 MFA를 강제하는 등 더 세밀한 보안 제어가 가능하기 때문입니다. ## 최소 권한 원칙과 권한 상승 메커니즘 기본적으로 모든 사용자는 매우 제한적인 권한만을 가지며, 필요 시에만 권한을 높이는 'sudo' 방식을 사용합니다. * **제한된 초기 권한:** 사용자는 자신의 비밀번호 변경, API 키 관리, MFA 기기 등록 등 셀프 서비스 기능 외에는 어떤 자원에도 접근할 수 없는 상태로 시작합니다. 이는 자격 증명이 유출되더라도 공격자가 할 수 있는 일을 극도로 제한합니다. * **역할 전환(Assume Role):** 실제 업무 수행을 위해서는 `sts:AssumeRole` API를 호출하여 타 계정의 역할을 일시적으로 획득해야 합니다. * **세션 수명 제한:** 역할 전환을 통해 발급받은 임시 자격 증명은 기본적으로 1시간의 짧은 수명(TTL)을 가지므로, 자격 증명이 노출되더라도 악용될 수 있는 시간적 창구가 좁습니다. ## MFA 기반의 강력한 보안 통제 모든 권한 상승 과정에는 다요소 인증(MFA)이 필수적으로 결합되어야 합니다. * **MFA 강제화:** 사용자가 특정 역할을 수행하기 위해서는 반드시 활성화된 MFA 기기를 통해 인증을 완료해야만 `sts:AssumeRole` 호출이 성공하도록 설계합니다. * **비용 기반 보안:** MFA는 공격자의 침입 비용을 높이는 역할을 하며, API 키만 탈취한 공격자가 읽기 권한 이상의 동작을 수행하는 것을 효과적으로 차단합니다. ## 직무 기반의 역할 분리 사용자의 활동 영역에 따라 역할을 그룹화하여 관리 효율성을 높입니다. * **도메인별 역할 구성:** 네트워크 및 DNS 관리를 위한 VPC 역할, 컴퓨팅 자원 관리를 위한 EC2 역할, 데이터 저장을 위한 S3 역할 등으로 구분하여 권한을 할당합니다. * **확장성 고려:** 이 모델은 현재 IAM 그룹의 제한 사항을 고려할 때 최대 10개 정도의 계정을 운영하는 환경에 가장 적합하며, 특히 개발 환경보다는 강력한 통제가 필요한 운영(Production) 환경에 최적화되어 있습니다. **결론적으로,** 보안성을 극대화하려면 사용자를 한 곳에서 관리하되 실제 작업은 MFA 인증을 거친 임시 역할을 통해 수행하게 해야 합니다. 이러한 방식은 초기 설정에 노력이 필요하지만, 계정이 늘어남에 따라 발생할 수 있는 보안 사각지대를 없애고 인프라 전체의 가시성을 확보하는 가장 확실한 방법입니다.

AWSapi-securityiammfa+4

datadog·2017년 8월 15일원문

ChatOps를 통한 클라우드 보안 가시성 향상 (새 탭에서 열림)

Datadog은 대규모 AWS 환경에서 발생하는 막대한 API 호출을 효율적으로 감시하기 위해 서버리스 기반의 보안 모니터링 및 알림 파이프라인을 구축했습니다. 이 시스템은 모든 API 활동을 실시간으로 분석하여 잠재적 위협과 설정 오류를 탐지하며, Slack과 Duo를 활용한 사용자 직접 확인 절차를 통해 보안팀의 운영 부담을 최소화합니다. 결과적으로 적은 인력으로도 수많은 계정의 보안 상태를 높은 가용성으로 유지할 수 있는 중앙 집중형 구조를 완성했습니다. ### 데이터 필터링과 위험도 분류 * **로그 중심의 선택적 집중:** 모든 API 호출을 실시간 감시하는 것은 불가능하므로, 보안상 의미 있는 API를 식별하여 로그(Log), 알림(Notify), 경고(Alert)의 세 단계로 분류했습니다. * **단계별 대응 체계:** 단순 변경(CreateGroup 등)은 추후 조사를 위해 로그로 남기고, 권한 변경(CreateUser 등)은 실행한 엔지니어에게 직접 확인을 요청하며, 치명적인 설정 오류(보안 그룹을 0.0.0.0/0으로 개방 등)는 즉시 보안팀에 경고를 보냅니다. * **엔지니어 직접 검증:** 알림 단계에서는 해당 API를 호출한 엔지니어에게 Slack 메시지를 보내 본인이 수행한 작업인지 확인하게 함으로써, 계정 탈취 여부를 확인하는 동시에 보안팀의 오탐(False-positive) 분석 업무를 획기적으로 줄였습니다. ### 중앙 집중형 아키텍처 및 파이프라인 * **교차 계정 데이터 통합:** 15개 이상의 AWS 계정에서 발생하는 이벤트를 하나의 중앙 보안 계정으로 수집하기 위해 CloudWatch 이벤트 규칙과 SNS, SQS를 조합했습니다. * **지연 및 비용 최적화:** CloudWatch가 SQS로 직접 데이터를 보내지 못하는 제약을 SNS를 통해 해결했으며, Lambda를 2분마다 트리거하여 SQS 큐의 데이터를 처리함으로써 실시간성과 알림 피로도 사이의 균형을 맞췄습니다. * **인프라 코드화:** Terraform을 사용하여 모든 AWS 계정에 동일한 데이터 수집 설정을 신속하고 일관되게 배포할 수 있는 구조를 갖췄습니다. ### 보안 오케스트레이션과 자동화 로직 * **워크플로우 자동화:** 보안 오케스트레이션 플랫폼인 Komand(현 Rapid7 InsightConnect)를 도입하여 복잡한 결정 트리와 브랜칭 로직을 구현했습니다. * **상세 분석 플러그인:** 커스텀 플러그인을 통해 호출자 identity, API 파라미터 내용, 요청 시간 등을 정밀하게 파싱하여 경고 여부를 결정합니다. * **다중 인증(MFA) 연동:** 엔지니어가 Slack 알림에서 본인의 작업임을 승인하면 Duo Push를 통해 2차 인증을 거치게 되며, 응답이 없거나 본인 작업이 아니라고 응답할 경우에만 보안팀에 비상 호출(PagerDuty)이 전달됩니다. * **가시성 확보:** 모든 워크플로우 실행 결과는 Elasticsearch로 전송되어 대시보드화되며, 이를 통해 보안 이벤트 추세와 시스템 효율성을 측정합니다. 대규모 클라우드 환경을 운영하는 조직이라면 모든 이벤트를 보안팀이 직접 처리하려 하기보다, 이처럼 자동화된 오케스트레이션과 사용자 참여형 검증 시스템을 구축하여 '확장 가능한 보안(Scalable Security)'을 실현하는 것이 권장됩니다.

AWSslackTerraformsecurity-monitoring+4

figma·2017년 6월 19일·3분 읽기큐레이션 요약

Combine이 디자인 벤처 캐피

Combine은 기존 VC처럼 홍보와 사고 리더십을 앞세우기보다, 뛰어난 디자이너가 초기 스타트업에 직접 참여하는 새로운 투자 모델을 제시한다. Facebook과 Airbnb에서 디자인 문화를 구축한 Soleio Cuervo와 Adam Michela는 초기 단계 투자와 디자인 스튜디오를 결합해 소수의 포트폴리오 기업을 깊이 지원하려 한다. 이 모델의 핵심은 자본뿐 아니라 브랜딩, 사용자 조사, 채용 등 제품 성장에 필요한 디자인 역량을 함께 제공하는 데 있다. ## 조용한 출발을 택한 Combine - 2017년 출범한 시드 단계 VC인 Combine은 일반적인 벤처펀드와 달리 대대적인 발표나 Medium 글을 공개하지 않았다. - 창고형 사무실 사진을 올린 몇 개의 암호 같은 트윗만으로 출발했지만, 실리콘밸리의 관련 업계 사람들은 이미 몇 달 전부터 이들의 움직임을 주목하고 있었다. - 창업자들은 “무엇을 할 것인지”보다 “무엇을 해왔는지”로 평판을 쌓아야 한다는 태도를 갖고 있으며, 과도한 자기 홍보를 경계한다. ## Facebook과 Airbnb에서 검증된 두 창업자 - Soleio Cuervo는 Facebook의 두 번째 디자이너로 합류해 초기 디자인 문화와 주요 제품을 만드는 데 기여했다. - Facebook Messenger - Groups - 초기 Facebook Like 버튼 - Adam Michela는 Soleio가 떠난 뒤 Facebook에 합류해 회사 최초의 디자인 시스템을 구축했다. - 이후 Airbnb에서도 디자인 시스템을 만드는 일을 담당했다. - 두 사람은 서로 다른 강점을 보완한다. - Soleio: 감정적이고 사람을 연결하는 역할, 비전과 관계 형성에 강함 - Adam: 조용하고 체계적인 운영자, 실행과 구조화에 강함 - 공통적으로 디자인과 사람에 대한 관심이 크며, 자신의 성과를 과하게 내세우지 않는 성향을 지녔다. ## 투자사와 디자인 스튜디오의 결합 - Combine은 초기 단계 투자사이면서 동시에 포트폴리오 기업을 지원하는 디자인 스튜디오를 지향한다. - 첫 번째 펀드로 1,200만 달러 이상을 조달했다. - 대규모 조직 대신 소수의 뛰어난 디자인 파트너를 채용해 소수의 기업에 집중할 계획이다. - 지원 범위는 단순한 화면 설계를 넘어선다. - 브랜드 전략과 정체성 - 마케팅 - 사용자 조사 - 제품 경험 설계 - 핵심 인재 채용 - 기존의 “서비스를 제공하는 VC” 모델을 극단적으로 확장한 형태로, Andreessen Horowitz처럼 운영 지원을 제공하되 디자인에 훨씬 더 집중하고 포트폴리오 규모는 작게 유지한다. ## 디자인이 스타트업의 경쟁력이 된 배경 - AWS 등으로 소프트웨어를 만드는 비용과 진입장벽이 낮아지면서, 기능 자체만으로는 경쟁 우위를 확보하기 어려워졌다. - 소비자는 수많은 서비스 중에서 선택할 수 있으므로, 기업은 사용자 경험을 통해 차별화하고 장기적인 진입장벽을 만들어야 한다. - 오늘날 사용자가 제품을 이해하지 못하면 자신의 실수라고 생각하기보다 서비스의 문제로 받아들인다. - 따라서 직관적인 인터페이스와 일관된 제품 경험은 부가 요소가 아니라 스타트업의 생존과 성장에 직접 연결되는 핵심 역량이다. ## 실용적인 시사점 - 초기 스타트업은 투자금을 받는 것뿐 아니라 제품·브랜드·채용을 함께 개선할 수 있는 투자자를 선택할 필요가 있다. - 디자인은 시각적 완성도에 국한되지 않고 사용자 조사, 조직 운영, 채용, 마케팅까지 포함하는 사업 전략으로 다뤄야 한다. - 다만 이 모델은 소수 기업에 깊이 관여하는 방식이므로, 모든 스타트업에 적용하기보다는 디자인이 핵심 경쟁력인 초기 기업에 특히 적합하다.

원문 읽기(새 탭에서 열림)

AWSFigma디자인 시스템사용자 경험+1