メニュー
AWS Well-Architected Security Pillar review. Checks IAM, encryption, network security, and detective controls in IaC code. Integrates with owasp-review for application code.
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
SOC 職業分類に基づく
| name | aws-wa-security |
| description | AWS Well-Architected Security Pillar review. Checks IAM, encryption, network security, and detective controls in IaC code. Integrates with owasp-review for application code. |
데이터 보호, ID/접근 관리, 탐지 제어 관점에서 IaC 코드를 검토합니다.
| 심각도 | 탐지 유형 |
|---|---|
| Critical | 자동 탐지 |
검토 내용: IAM 정책이 최소 권한 원칙을 준수하는지 확인
Terraform 패턴:
# 취약 - 과도한 권한
resource "aws_iam_policy" "bad" {
policy = jsonencode({
Statement = [{
Effect = "Allow"
Action = "*"
Resource = "*"
}]
})
}
# 안전 - 최소 권한
resource "aws_iam_policy" "good" {
policy = jsonencode({
Statement = [{
Effect = "Allow"
Action = ["s3:GetObject", "s3:PutObject"]
Resource = "arn:aws:s3:::my-bucket/*"
}]
})
}
| 심각도 | 탐지 유형 |
|---|---|
| Critical | 자동 탐지 |
검토 내용: S3 버킷에 서버 측 암호화가 설정되어 있는지 확인
Terraform 패턴:
# 취약 - 암호화 없음
resource "aws_s3_bucket" "bad" {
bucket = "my-bucket"
}
# 안전 - KMS 암호화
resource "aws_s3_bucket_server_side_encryption_configuration" "good" {
bucket = aws_s3_bucket.example.id
rule {
apply_server_side_encryption_by_default {
sse_algorithm = "aws:kms"
kms_master_key_id = aws_kms_key.mykey.arn
}
}
}
| 심각도 | 탐지 유형 |
|---|---|
| Critical | 자동 탐지 |
검토 내용: RDS 인스턴스에 암호화가 설정되어 있는지 확인
Terraform 패턴:
# 취약
resource "aws_db_instance" "bad" {
storage_encrypted = false
}
# 안전
resource "aws_db_instance" "good" {
storage_encrypted = true
kms_key_id = aws_kms_key.rds.arn
}
| 심각도 | 탐지 유형 |
|---|---|
| Critical | 자동 탐지 |
검토 내용: 0.0.0.0/0 인바운드 규칙 확인 (SSH/RDP)
Terraform 패턴:
# 취약 - 전체 IP 허용
resource "aws_security_group_rule" "bad" {
type = "ingress"
from_port = 22
to_port = 22
protocol = "tcp"
cidr_blocks = ["0.0.0.0/0"]
}
# 안전 - 특정 IP만 허용
resource "aws_security_group_rule" "good" {
type = "ingress"
from_port = 22
to_port = 22
protocol = "tcp"
cidr_blocks = ["10.0.0.0/8"]
}
| 심각도 | 탐지 유형 |
|---|---|
| High | 자동 탐지 |
검토 내용: VPC에 Flow Logs가 활성화되어 있는지 확인
| 심각도 | 탐지 유형 |
|---|---|
| High | 자동 탐지 |
검토 내용: GuardDuty가 활성화되어 있는지 확인
| 심각도 | 탐지 유형 |
|---|---|
| High | 자동 탐지 |
검토 내용: KMS 키 자동 로테이션이 활성화되어 있는지 확인
| 심각도 | 탐지 유형 |
|---|---|
| Critical | 자동 탐지 |
검토 내용: S3 버킷이 퍼블릭으로 설정되어 있는지 확인
Terraform 패턴:
# 취약
resource "aws_s3_bucket_public_access_block" "bad" {
bucket = aws_s3_bucket.example.id
block_public_acls = false
block_public_policy = false
}
# 안전
resource "aws_s3_bucket_public_access_block" "good" {
bucket = aws_s3_bucket.example.id
block_public_acls = true
block_public_policy = true
ignore_public_acls = true
restrict_public_buckets = true
}
애플리케이션 코드 발견 시 owasp-review 스킬 참조 제안:
src/, app/, lib/ 등 애플리케이션 디렉토리 감지상세 패턴은 다음 참조:
| 항목 | PCI-DSS | HIPAA | SOC2 |
|---|---|---|---|
| IAM 최소 권한 | 7.1 | §164.312(a)(1) | CC6.3 |
| 데이터 암호화 | 3.4 | §164.312(a)(2)(iv) | CC6.1 |
| 네트워크 보안 | 1.3 | §164.312(e)(1) | CC6.6 |
| 항목 | 가중치 |
|---|---|
| IAM 최소 권한 | 20% |
| 데이터 암호화 (S3, RDS, EBS) | 25% |
| 네트워크 보안 | 20% |
| 탐지 제어 (GuardDuty, Flow Logs) | 20% |
| KMS 관리 | 15% |
Karpathy LLM Wiki 패턴 구현. 프로젝트 문서(스펙/ADR/회의록)를 wiki/raw/에 모으고 LLM이 컴파일하여 wiki/에 교차참조 마크다운 위키를 생성·갱신. qmd 설치 시 하이브리드 검색 자동 활성, 미설치 시 INDEX.md 라우팅으로 graceful degrade. LanceDB 선택적 벡터 인덱스. Obsidian 호환. 하위 명령 - init, ingest, query, lint, sync, export, qmd-index, lancedb-sync.
Intent Document(INTENT.md) 생성 및 관리 스킬. 프로젝트의 의도를 Why/What/Not/Learnings로 문서화하고, 탐구와 학습을 통해 의도를 진화시키는 생명주기를 관리한다. 반드시 사용해야 하는 경우: "intent document", "INTENT.md", "intent engineering", "프로젝트 의도 정리", "왜 만드는지 정리", "프로젝트 목적 문서화", "What/Why/Not 정리", "프로젝트 방향 잡기", "피벗", "프로젝트 종료 판단" 등을 언급하거나, 새 프로젝트를 시작하면서 방향을 잡고 싶다고 할 때. 기존 INTENT.md를 수정하거나 학습 결과를 기록하고 싶을 때도 이 스킬을 사용한다.
AWS always-on 아키텍처(EC2/ALB/ECS/RDS)를 서버리스+Spot 패턴으로 이행할 때 사용. 워크로드 분류, 트레이드오프 평가, 단계별 이행 계획 생성. 구현 how-to는 sagemaker-spot-training 등 후속 스킬로 위임. 트리거 예 - "서버리스 이행", "EC2에서 Lambda로", "Spot 이행", "serverless migration", "ALB에서 API Gateway", "비용 절감 이행".
Guide for running cost-effective ML training on SageMaker Managed Spot Training. Use this skill when setting up GPU training jobs, choosing instance types/regions, debugging Spot capacity issues, or optimizing SageMaker training costs.
AWS Well-Architected Cost Optimization Pillar review. Checks resource sizing, scaling, storage classes, and cost monitoring configurations in IaC code.
AWS Well-Architected Operational Excellence Pillar review. Checks monitoring, logging, deployment automation, and continuous improvement practices in IaC code.