취약점 점검을 위해 어떤 도구를 사용해본 경험이 있으며, 그 도구의 장단점은 무엇이라고 생각하나요?

클라우드 보안 스터디에서 AWS SecurityHub를 CSPM 도구로 사용해 취약점 진단을 해본 경험이 있습니다. S3 버킷의 퍼블릭 액세스 차단 여부와 암호화 설정 미흡 항목이 주요 탐지 대상이었습니다. SecurityHub는 NIST, CIS Benchmark 기준으로 점수화된 결과를 제공해서, 어떤 항목이 크리티컬인지 우선순위 파악이 비교적 쉬웠습니다. 결과 분석은 HIGH 등급 항목만 먼저 추려서 실제 공격 경로로 연결될 가능성을 기준으로 정렬했습니다. 단점으로는 서드파티 SaaS 환경이나 멀티클라우드 환경은 탐지 범위가 좁다는 걸 느꼈고, 그 부분을 보완하려면 Wiz나 Orca 같은 도구를 병행해야 한다는 것도 스터디에서 비교하며 배웠습니다. 이 경험을 통해 CSPM은 설정 오류를 찾는 도구이지 침해사고를 직접 막지는 않는다는 점, 탐지 결과를 운영팀이 실제로 수용할 수 있는 형태로 전달하는 커뮤니케이션이 진짜 난이도라는 걸 배웠습니다.