침해사고 대응 체계와 절차 | 정보보안기사 필기

1. 이벤트와 사고

보안 이벤트는 로그인 실패·경보 등 관찰한 사건이다. 침해사고는 보안정책을 위반하거나 정보·시스템에 위해를 준 사건으로 판단한 것이다. 경보 하나가 곧 사고 확정은 아니지만 조사와 초기 보호조치를 미뤄서는 안 된다.

CSIRT·CERT 같은 대응 조직은 분석·복구 담당자뿐 아니라 업무 책임자, 경영진, 법무·개인정보 담당자와 협력한다. 보고 경로, 사고 선언·우선순위 기준, 격리·복구 승인 권한을 미리 정한다.

교재·기관마다 단계를 묶는 방식이 다르다. 위 표는 기능별 학습 흐름이다. NIST SP 800-61 Rev.3은 CSF 2.0과 연계한 전 조직 위험관리 관점이며, 과거 Rev.2의 네 단계 구성을 최신판의 그대로인 구조로 외우지 않는다.

발생·인지 시각, 영향받은 자산·계정, 관찰한 증상, 서비스 영향, 개인정보 관련 여부와 조치 내역을 기록한다. 확정 사실과 추정을 분리하고 새로운 증거에 따라 범위를 갱신한다.

우선순위는 영향·긴급성·확산 가능성·핵심 업무를 고려한다. 원인 분석이 끝나기 전이라도 피해 확산 방지가 필요할 수 있다. 법정 통지·신고 판단은 기술 복구와 별도로 진행한다.

감염 서버를 네트워크에서 분리하면 확산은 줄어도 내부 악성코드가 사라지는 것은 아니다. 불법 계정과 악성코드를 제거하고 악용된 취약점을 보완해야 한다. 이후 신뢰할 수 있는 환경으로 복구하고 무결성·업무 기능·추가 침해 여부를 확인한다.

전원 차단은 휘발성 증거를 잃게 할 수 있다. 피해 정도, 안전, 증거 확보 필요성을 고려해 결정하고 이유를 남긴다. 모든 경우에 “즉시 끈다” 또는 “절대 끄지 않는다”로 정하지 않는다.

원본과 수집본, 수집 시각·담당자·방법, 해시값, 인계와 접근 이력을 관리한다. 포렌식의 기본 원칙은 디지털 포렌식과 증거 보존의 기본에서 다룬다. 증거는 승인된 범위에서 보존하며, 해시가 맞는다는 이유만으로 수집의 적법성까지 자동 보장되지는 않는다.

복구 후에는 탐지 지연, 승인 지연, 연락 실패, 백업 결함을 검토해 정책·교육·통제를 개선한다. 대응 완료는 악성 파일 하나를 삭제하거나 보고서 하나를 작성했다는 뜻이 아니다.