사고 대응이란?

인시던트 대응 단계

인시던트 대응의 목표는 조직이 잠재적인 침입에 대해 거의 또는 전혀 알지 못하는 상태에서(침입이 존재한다는 것 외에는) 완전한 해결을 완료하는 것입니다.

이 목표를 달성하는 과정은 크게 6단계로 나뉩니다:

1. 준비: 준비는 효과적인 사고 대응과 사이버 보안 사고의 비용 및 영향을 최소화하기 위한 핵심 요소입니다. 조직은 사고 대응에 대비하기 위해 사고 대응 팀을 구성하고 사고 대응 프로세스의 각 단계를 어떻게 처리해야 하는지를 설명하는 사고 대응 계획을 정의하고 테스트해야 합니다.
2. 탐지 & 분류: 인시던트 대응은 인시던트를 분류하여 사이버 보안 인시던트인지 확인하고, 격리 조치 전에 가능한 모든 증거를 수집 및 보존하며, 적절한 자원을 갖춘 팀이 구성되도록 올바른 분류 및 우선순위를 지정하는 것으로 시작됩니다.
3. 봉쇄: 보안팀은 이전 단계에서 수집한 정보를 사용하고 사이버 공격 기술에 관한 정보를 사용하여 봉쇄 계획을 수립할 수 있습니다. 봉쇄에는 하나 이상의 시스템 격리, 방화벽 규칙 또는 IDS 서명 적용, 엔드포인트 보호 제품에 해시 추가, 계정 비활성화 또는 전체 네트워크 격리가 포함될 수 있습니다. 사고로 인한 피해를 줄이고 네트워크나 시스템이 더 이상 손상되지 않도록 하는 것이 목표입니다.
4. 수정/제거: 이 시점에서 사고 대응팀은 완전한 조사를 수행했으며 발생한 상황을 완전히 이해했다고 생각합니다. 그런 다음 사고 대응자는 손상된 시스템에서 모든 감염 흔적을 제거하기 위해 노력합니다. 여기에는 멀웨어 삭제 및 지속성 메커니즘 제거 또는 클린 백업에서 영향을 받은 컴퓨터의 전체 삭제 및 복원이 포함될 수 있습니다.
5. 복구 시간: 제거 후 사고 대응팀은 멀웨어가 완전히 제거되었는지 확인하기 위해 감염된 시스템을 일정 기간 동안 스캔하거나 모니터링할 수 있습니다. 이 작업이 완료되면 컴퓨터는 나머지 회사 네트워크에서 격리된 격리를 해제하여 정상 작동으로 복원됩니다.
6. 교훈을 얻었습니다: 사이버 보안 사고는 무언가 잘못되어 발생하며, 사고 대응이 항상 완벽하게 이루어지는 것은 아니라는 점을 기억하는 것이 중요합니다. 인시던트가 해결된 후 인시던트 대응자 및 기타 이해관계자는 회고를 수행하여 향후 인시던트 발생 가능성을 줄이고 향후 인시던트 대응을 개선하기 위해 수정할 수 있는 인시던트 대응 계획의 보안 격차 및 단점을 파악해야 합니다.

사고 대응 프로세스 및 기술

인시던트 대응 전략의 몇 가지 핵심 요소는 다음과 같습니다:

• 인시던트 감소: 조직에서 발생하는 인시던트 수를 줄이는 보안 제어 기능을 확보하는 것은 모든 인시던트 대응 팀의 목표입니다. 인시던트는 항상 발생하기 때문에 계획된 대응과 함께 준비 및 테스트 제어를 통해 인시던트의 영향과 사이버 인시던트 수를 줄이는 데 도움이 될 것입니다.
• 인시던트 조사 기법: 조직이 보안 인시던트의 원인과 세부 사항을 더 빨리 파악할수록 더 빨리 격리하고 문제를 해결할 수 있습니다. 보안 인시던트 조사 프로세스를 정의하면 신속한 문제 해결을 지원하고 인시던트가 잘못 분류되거나 간과되지 않도록 하는 데 도움이 됩니다.
• 인시던트 대응 플레이북: 랜섬웨어 공격과 DDoS 공격은 매우 다른 위협이며 고유한 대응이 필요합니다. 조직은 주요 보안 사고 유형을 처리하기 위한 플레이북을 마련하여 사고 대응자가 혼란스러워하지 않고 사이버 공격이 발생했을 때 어떻게 해야 할지 파악할 수 있도록 해야 합니다.
• 인시던트 대응 기술 및 도구: 보안 분석가는 사고 탐지 및 대응 활동을 수행하기 위해 특정 도구와 기술에 액세스할 수 있어야 합니다. 이러한 프로세스를 정의하고 핵심 역량을 결정한 후, 조직은 기업의 사고 대응 활동을 지원하는 데 필요한 도구를 습득하고 사고 대응자를 교육할 수 있습니다.