Infra Graph Clone 및 BFS 기반 배포 전 보안 취약점 시뮬레이션 구현

Experimented to fork AWS infra graph and simulate what breaks before you deploy

Ansh Sonkar2026년 5월 27일1분advanced

AI 요약

Context

기존 Cloud Security의 '배포 후 탐지 및 대응' 워크플로우로 인한 사후 조치 중심의 한계 존재. 인프라 변경 사항이 실제 환경에 반영되기 전 보안 영향을 예측하는 사전 검증 체계 필요성 증대.

18개 이상의 AWS 서비스 상태를 수집하여 SG, EC2, IAM Role, S3, RDS 간의 Topology Graph 구축
실제 상태(Real State)와 변경 사항을 적용할 복제본(Clone)을 분리 운영하는 Immutable Infrastructure 시뮬레이션 구조 설계
Terraform PR의 Diff 분석 결과물을 Clone Graph에 반영하여 변경된 인프라 상태를 동적으로 재구성
Internet 접점부터 Database까지의 경로를 BFS(Breadth-First Search) 알고리즘으로 탐색하여 새로운 Attack Path 노출 여부 검증
현재 상태(NOW), 가상 시나리오(WHAT IF), 이력 추적(TIMELINE)의 3단계 분석 체계를 단일 그래프 모델로 통합

실천 포인트

1. Terraform Plan 결과물을 Graph DB나 인접 리스트로 변환하여 변경 전후의 연결성 비교

2. 외부 노출 지점에서 핵심 자산까지의 도달 가능성을 체크하는 BFS 기반의 자동 검증 스크립트 CI/CD 파이프라인 통합

태그