달빛이 비추는 궁전에서

AWS CloudTrail과 GuardDuty 정리

AWS CloudTrail과 GuardDuty 정리 개요, 설치, 설정, 위협 대응 1. 두 서비스는 무엇을 하나AWS 계정 보안의 기본은 "누가 무엇을 했는지 남기는 것"과 "지금 이상한 일이 일어나는지 알아채는 것"입니다. CloudTrail이 앞의 일을, GuardDuty가 뒤의 일을 맡습니다.구분AWS CloudTrailAmazon GuardDuty역할기록 (누가, 언제, 무엇을 했는지)탐지 (지금 의심스러운 일이 있는지)보는 것콘솔, CLI, SDK, API로 한 행동CloudTrail 관리 이벤트, VPC 흐름 로그, DNS 로그 등결과물이벤트 로그 (S3, CloudWatch Logs)finding (심각도 Low ~ Critical)범위트레일 설정에 따름 (다중 리전 권장)리전 서비스 (리..

사이드 프로젝트로 클라우드 비용 계산기를 만들었습니다.https://cost.seonggi.kr 클라우드 비용 계산기 | AWS·Azure·GCP 월 요금을 말로 계산AWS, Azure, GCP 구성을 한국어 문장으로 적으면 공개 가격표로 월 비용을 바로 계산합니다. EC2·RDS·S3, VM·MySQL, Compute Engine·Cloud SQL 요금을 서울 리전 기준으로 비교하세요.cost.seonggi.kr 아키텍처 검토할 때마다 AWS, Azure, GCP 요금 계산기를 일일이 띄워 놓고 사양을 맞춰 가며 보는 게 꽤 불편했습니다.그냥 평소 말하듯이 구성을 던지면 대략적인 월 비용을 바로 뽑아 주는 도구가 있으면 좋겠다 싶어서 만들어 보았습니다.동작화면예를 들어 "서울 리전에 EC2 m5.lar..

이전 글: AI SRE Auto-Remediator 구축기 (seonggi.kr/295)GitHub 저장소: https://github.com/SeongGi/AI-SRE-System며칠 운영해보니 터져 나온 문제들지난번 글(seonggi.kr/295)에서 리눅스 시스템 로그를 실시간으로 지켜보다가 에러가 발생하면 Gemini가 원인을 분석하고 복구 명령어를 슬랙으로 제안하는 구조를 만들어 올렸었습니다.구상할 때만 해도 꽤 그럴듯해 보였는데, 실제로 서버에 올려두고 며칠 돌려보니 예상치 못한 문제들이 연달아 나타났습니다.슬랙으로 날아오는 복구 명령어가 깨진 문자열이거나 엉뚱한 명령어였습니다.시스템에 별다른 문제가 없는데도 난데없이 sudo systemctl restart sshd 같은 뜬금없는 명령을 추천..

배경 : GitHub Actions의 Self-Hosted Runner를 상시 또는 고정 스케줄(예: 07시 ~ 24시)로 가동하면, 실제 빌드할때만 사용이 되어, 나머지 유휴 시간의 비용이 계속 발생합니다.물론 낮은사양의 EC2를 켜두거나, AWS EventBridge Scheduler를 사용하여 특정시간에만 동작하는것도 방법입니다. (지난번 포스팅 참조)이번에는 아예 필요할때만 동작하는 방안에 대해 작성하였습니다.목적 : 빌드가 있을 때만 러너 머신을 자동으로 기동하고, 잡이 끝나면 스스로 종료되도록 구성하여 유휴 비용을 제거합니다.본 문서에서는 AWS EC2, GCP GCE, On-Premise 각각의 구축 방안을 정리합니다. 1. 개요온디맨드 방식은 어떤 플랫폼이든 아래 세 가지 원리로 동작합니다..

여러 서버와 사이드 프로젝트의 접속 주소를 한곳에서 관리하기 위해 Homepage를 Docker로 설치하고, Nginx Reverse Proxy와 Basic Authentication을 적용하여 외부에서도 안전하게 접근할 수 있도록 구성하였습니다.홈 서버와 개인 프로젝트를 운영하다 보면 접속해야 할 주소가 계속 늘어납니다.Portainer, Grafana, Proxmox VE 같은 인프라 관리 도구부터 Home Assistant, Synology NAS, n8n, Jupyter Notebook, 직접 만든 사이드 프로젝트까지 각각의 URL을 기억하거나 브라우저 즐겨찾기에서 찾는 것이 점점 불편해졌습니다.이를 한 화면에 정리하기 위해 오픈소스 애플리케이션 대시보드인 Homepage를 설치하였습니다.구성한 ..

사이드 프로젝트로 SSH 웹 포털을 만들었습니다.홈서버와 클라우드 서버, 도커가 점점 늘어나면서, 매번 터미널 앱 켜고 접속 정보 찾는 게 귀찮아 졌습니다.정확히는 한차례의 소동때문이었는데, 테슬라메이트 잘 쓰다가, 갑자기 안되어서 보니 업데이트로 방식이 바뀌었고 3주나 데이터를 못받았습니다.그래서 접속정보를 찾는데, 한서버가 뚫리면 다 뚫리는걸 방지 한다고 서버마다 id, password를 다르게 했고, 키파일은 또 데스크탑에다가만 넣는데, 지금 육아때문에 데탑을 저기 저 구석에 넣어놓은지라 접속하는데 한 세월이 걸렸네요 ㅠㅠ그래서 브라우저에서 바로 SSH 접속할 수 있는 걸 만들기로 했습니다.Antigravity를 사용하여 개발을 진행했습니다.동작화면은 아래와 같습니다. 메인화면 서버 리스트 확인..

벌써 한 해의 절반이 지났습니다. 지난 반년은 제 인생에서 가장 스펙터클하고 많은 변화가 있었던 시기로 기억될 것 같습니다. 오랜만에 블로그에 생존 신고 겸 근황을 남겨봅니다.기적처럼 찾아온 선물가장 큰 변화는 저희 가족에게 새 생명이 찾아왔다는 것입니다. 40줄을 훅 넘긴 나이, 용희와 저 둘이서 거의 3년을 노력해도 안 되어서 '작년 말까지 해보고 소식 없으면 그냥 우리 둘이서 재밌게 살자'고 마음먹었었죠.그런데 정말 기적처럼 타이밍을 맞춰 작년 11월에 임신 소식을 알게 되었고, 지난 6월 중순에 무사히 출산을 마쳤습니다. 요즘은 육아용품을 사느라 평소 자주 가던 커뮤니티의 핫딜 게시판을 문지방이 닳도록 드나들며 도움을 톡톡히 받고 있네요. 육아가 몸은 참 힘들지만, 아기가 집에 있으니 양가 어른들..

개요GitHub Actions는 무료 플랜 기준 월 2,000분의 러너 실행 시간을 제공합니다. 최근 AI 활용을 비롯한 빌드 파이프라인 사용량 증가로 인해 제공량이 조기 소진됨에 따라, 유료 플랜 전환 대신 비용 효율적인 대안으로 AWS EC2 기반의 Self-Hosted Runner를 구축하고자 합니다.본 문서에서는 AWS EC2를 GitHub Actions Runner로 등록하여 빌드 및 컴파일 작업을 EC2 인프라에서 처리하는 방법을 다룹니다. 특히 인프라 운영 비용을 최소화하기 위해 아래 두 가지 방안을 비교 및 정리했습니다.AWS EC2 온디맨드(On-Demand) 인스턴스를 활용한 기본 구성AWS EC2 스팟(Spot) 인스턴스 + AWS EventBridge Scheduler 조합을 통해 ..

GCP, AWS, Azure를 비롯한 모든 클라우드에서는 Landing Zone 구성을 권고합니다.사실 권고라기보다는 클라우드를 제대로 쓰기 위해 필수로 해야 하는 기본 작업에 가깝습니다.벤더마다 개념이나 구현 방안은 조금씩 다르지만, 처음 클라우드를 시작하는 기업들에게 안정적인 초기 환경을 구축한다는 목표는 같습니다.이러한 GCP 랜딩존 지침을 참고하여, 아키텍처 설계를 가이드해 주는 Landing Zone Advisor 웹을 만들어 보았습니다.https://gcp-check.seonggi.kr/ GCP Landing Zone Advisor gcp-check.seonggi.kr이 서비스는 다음과 같은 방식으로 동작합니다.- GCP 권고 가이드와 실무에서 필요한 요구사항을 결합했습니다.- 국내외 보안 컴..

목표 On-premise에서 VPN, Interconnect를 통하여 private망을 통해 접근 후 PSC를 통해 GCP Agent Engine과 연동합니다.그 이후 Agent Engine은 VPN을 통해 외부에 있는 MCP Server와 연동하여 응답을 제공할 수 있는 아키텍처 설명과 실행 방안에 대해 작성합니다. 3가지로 구분되어 진행됨 - 실행하는 단말기 설정 - GCP 설정 PSC network-attachment 설정 Agent Engine 설정 VPN 설정 - MCP Server와 통신하여 처리 VPN, PSC를 제외하고는 대부분 Python코드로 진행되어야함 전체 구성도FAQAgent Engine 서브넷 관련 DocsPSC-Interface 생성방안 DocsOn-premise 요청하는 사용..

Gemini API사용시 PSC를 사용하여 보안성을 높이고, VPC-SC로 상세 보안을 더한 부분을 설명합니다. VPC SC를 통한 보안방법https://cloud.google.com/blog/ko/products/ai-machine-learning/ai-private-service-connect-vpc-service-controls-gemini-api VPC - SC 생성 보호할 리소스 보호서비스 선택 PSA 여부 허용 IP 테스트코드# 1. 변수 설정PROJECT_ID="shared-vpc-test-2-"LOCATION="us-central1"MODEL_ID="gemini-2.5-flash"# 2. 토큰 갱신ACCESS_TOKEN=$(gcloud auth print-access-token)# 3..

정의: IAM(ID 기반 보안)과는 독립적으로, 컨텍스트 기반의 경계 보안을 제공하는 추가 보안 계층 목적: 데이터 무단 반출 방지: 권한이 있는 내부자가 데이터를 외부 버킷으로 복사하거나 유출하는 것을 차단 도용된 인증 정보 보호: 외부에서 훔친 계정으로 접근하더라도, 승인되지 않은 네트워크라면 API 호출을 차단 공용 노출 방지: IAM 설정 실수로 데이터가 외부에 공개되더라도, VPC SC 경계가 2차 방어선 역할을 하여 접근을 차단 구성도 GCP 내부 동작VPN 연결을 통한 동작아래 그림은 PGA를 사용해서 제어하는 구성 단순 인터넷 제어각 서비스별 설정방안 PGA로 오는 서비스를 제어모든 서비스 : 모두 통과서비스 없음 : 모두 차단제한된 모든 서비스 : 제한된 서비스로 선택한 리소스만 사용가능..

목표 GCP Agent Engine에서 PSC-Interface -> 외부 MCP Server를 사용하는 방안을 정리3가지로 구분되어 진행됩니다. - Agent Engine 실행(배포)하는 단말기의 설정 - GCP 설정 PSC network-attachment 설정 Agent Engine 설정 VPN 설정 - MCP Server와 통신하여 처리 VPN을 제외하고는 대부분 Python코드로 진행되어야함 FAQGemini Enterprise -> Agent Engine간 통신https://docs.cloud.google.com/architecture/multi-agent-private-networking-patterns?hl=ko- Gemini Enterprise 앱은 VPC 네트워크 외부이지만 Googl..

목표 VPN간 테스트를 위해 GCP VPC 간 VPN을 구축하는 스크립트 추가적으로 Private Service Connect (PSC)연결을 위해 PSC IP 라우팅을 추가한 설치 쉘스크립트를 설명합니다.사용방법소스코드를 Cloud Shell, ADC인증을 받은 local CLI(CMD)에서 실행합니다.쉘스크립트는 gcloud 명령을 이용하여, 인증된 GCP 프로젝트의 VPC를 조회하고, 선택된 VPC의 subnet을 조회합니다.사용자는 각 VPC, Subnet을 선택합니다.PSC를 테스트 할 경우 해당 PSC IP대역을 입력하면 On-premise (VPC2번측)에서 PSC대역으로 찾아가도록 자동으로 GCP VPC 경로를 추가해줍니다.아래는 실행시 예제 화면 입니다.- 스크립트 실행- 스크립트 실행 ..

GCP는 조직 = 도메인 이란 개념을 사용합니다. seonggi.kr / seonggi.com / seonggi.co.kr 모두 개별의 조직으로 운영할 수 있습니다. (물론 대표도메인 하나만 사용하고, 나머지는 alias(별칭)으로 둘 수 도 있습니다.)사용자의 메일이 계정이 되기 때문에 꼭 메일을 수발신 되어야 하는지에 대한 물음이 있습니다. 그에 대한 설명을 정리하였습니다. 도메인에 대한 문의Cloud ID 가입 시 입력하는 도메인은 메일 도메인 기준으로 진행해야 하는지별도의 도메인을 사용해도 되는지사용할 도메인은 메일 서버(MX) 구성 없이 도메인만 보유한 상태이 경우에도 TXT 기반 도메인 소유권 인증만으로 Cloud ID 설정/운영이 가능한지 도메인 인증 및 메일 서버(MX) 구성 관련Clo..

개요Google Cloud의 Model Armor는 LLM(대규모 언어 모델) 서비스 이용 시 발생할 수 있는 보안 위협을 실시간으로 탐지하고 차단하는 핵심 보안 솔루션입니다. 프롬프트 인젝션, 탈옥(Jailbreak) 시도, 개인정보(PII) 유출 및 부적절한 콘텐츠 생성 등의 위협은 기업의 데이터 자산과 서비스 신뢰도에 직접적인 타격을 줄 수 있습니다. 본 가이드는 Model Armor를 통해 생성되는 SanitizeOperation 로그를 실시간으로 탐지하고 , 복잡한 JSON 형식의 감사 로그를 파싱하여 운영자가 즉시 위협 상황을 인지할 수 있도록 알림 체계를 구축하는 방안을 제시합니다. 구성도Log Explorer 이동 Log 검색resource.type="modelarmor.googleapis..

목적 : GCP 계정인증을 PSC로 사용하기인증 트래픽의 사설 경로화: 온프레미스(On-Premise) 환경에서 GCP 계정 인증 요청 시, 공인 인터넷이 아닌 Cloud VPN과 PSC를 거치는 사설망 경로를 통해 Google OAuth Server에 도달하도록 구성하는 것 계정 유형별 호환성 검증: 개인 계정(gmail.com)뿐만 아니라 조직 계정(예: mz.co.kr) 등 다양한 도메인의 계정들이 PSC 경로를 통해 문제없이 인증되는지 확인하는 것이 주요 테스트 방안 보안성 강화: 내부 서버가 인터넷 게이트웨이를 통하지 않고도 외부 구글 API 서버와 안전하게 통신할 수 있는 환경을 구축 구성도테스트 방안DNS 조작: 온프레미스 서버의 /etc/hosts 파일을 수정하여, 구글 인증 서버 주소인 ..

MacBook 배터리를 지켜주는 무료 오픈소스 배터리 매니저 bat-charge-gi는 MacBook의 배터리 수명을 극대화하기 위해 만들어진 무료 오픈소스 앱입니다.완충, 완방을 하지 않기 위해 원하는 충전%까지 제한하기, 배터리 재교정, 마이크로 충전 방지를 위한 보존모드를 지원합니다.누구나 검증하고 기여할 수 있습니다.다운로드는 아래 주소에서 github : https://github.com/SeongGi/bat-charge-gi GitHub - SeongGi/bat-charge-gi: MacBook 배터리 보호 유틸리티MacBook 배터리 보호 유틸리티. Contribute to SeongGi/bat-charge-gi development by creating an account on GitHub..

AI 기반의 Cloud 마이그레이션 전략 수립 도구 'Migration AI 전략' (Feat. Gemini / 그리고 2개월간의 사이드 프로젝트 회고)프로젝트 보러가기: https://ai-migration.seonggi.kr Migration AI 전략 ai-migration.seonggi.kr 안녕하세요.온프레미스, 클라우드 인프라 아키텍처, 엔지니어 업무를 하고있는 최성기입니다. 온프레미스 시스템을 클라우드로 이전할 때마다, 항상 반복되는 고민이 있었습니다."운영문서에는 없던 배치 작업이 왜 여기서 돌아가고 있지?" "이 서버는 도대체 누구와 통신하고 있는 걸까?"프로젝트 기간동안 꼬박 준비해서 이전을 진행했지만, 실제 운영정보 수집과 운영 문서에 기록되지 않은 다른 서버와의 6개월마다 주기적 통..

Notion과 UpNote에서 편하게 작성한 마크다운 문서와 이미지를 티스토리(Tistory)에 원클릭으로 자동 업로드하는 도구입니다. Notion, Upnote에서는 편하게 문서를 작성할 수 있습니다.다만, 이를 다른 플랫폼으로 작성하기 위해서는 단순 복사 붙여넣기로는 템플릿이 깨지기도 하고이미지는 또한 자동업로드가 안되어 불편했습니다. 내보내기 기능을 통해 마크다운으로 글과 이미지를 내보낸 후 이 도구를 실행하면, 자동으로 에디터에 업로드를 할 수 있습니다. 다운로드 주소 : https://github.com/SeongGi/notion-upnote-to-tistory GitHub - SeongGi/notion-upnote-to-tistoryContribute to SeongGi/notion-upnot..