인시던트 대응 계획을 어떻게 만드나요?

대부분의 조직이 인시던트 대응에 실패하는 이유는 도구가 부족해서가 아닙니다. 누가 무엇을 하는지 미리 합의하지 않았기 때문이고, 첫 번째 실제 인시던트가 대응이 아닌 회의가 되기 때문입니다.

플레이북이 아닌 단계부터 시작하세요

NIST SP 800-61은 네 가지 단계를 정의합니다: 준비, 탐지 및 분석, 격리/제거/복구, 인시던트 후 활동. 이 순서가 중요합니다. 팀들은 격리가 생산적으로 느껴져서 바로 격리로 뛰어들고 싶어 하지만, 준비 작업을 하지 않았다면 자신의 네트워크를 충분히 알지 못해 깔끔하게 격리할 수 없습니다.

준비는 실제로 최신인 자산 인벤토리를 의미합니다. 2022년의 스프레드시트가 아니라요. 로그 보관 기간을 아는 것을 의미합니다(만약 7일인데 공격자가 30일 동안 침입해 있었다면 이미 타임라인을 잃은 겁니다). 사전에 배치된 포렌식 도구를 의미합니다 — Velociraptor, KAPE, 또는 디스크 이미지를 위한 문서화된 tar/dd 프로시저 — 활성 인시던트 중에 누군가 손상된 호스트로 도구를 다운로드하지 않도록.

필요하기 전에 심각도 수준을 정의하세요

SEV1 (활성 데이터 유출, 랜섬웨어 실행, 도메인 관리자 손상)은 SEV3 (한 대의 비특권 워크스테이션의 격리된 악성코드)과 다른 대응이 필요합니다. 이를 행렬로 작성하세요: 영향도 vs. 범위 vs. 신뢰도. 각 심각도에 필요한 대응 시간과 에스컬레이션 경로를 할당하세요. SEV1의 인시던트 지휘관이 500달러 구매 발주를 모두 승인해야 하는 사람이라면, 자신의 긴급 프로세스에 병목을 만든 것입니다.

인시던트 지휘관 역할은 선택사항이 아닙니다

한 명이 인시던트를 지휘합니다. 기본적으로 가장 선임 엔지니어가 아니라 — 압박감 속에서 조율, 위임, 격리 판단을 최선으로 할 수 있는 사람. 이 사람은 대응 중에 반드시 키보드를 만질 필요가 없습니다. 타임라인을 추적하고, 법무 및 리더십과의 통신을 관리하고, 세그먼트를 격리하거나 시스템을 오프라인으로 전환할 때를 결정합니다.

이 역할 없이는 5명이 같은 상자에 SSH로 접속하고, 서로 이야기하지 않으며, 누군가가 "고쳐질지 보자"며 머신을 재부팅하기 전에 휘발성 메모리를 캡처하는 사람이 없습니다.

실제로 중요한 격리 판단

대부분의 인시던트에서 가장 어려운 결정은: 지금 격리할까, 아니면 범위를 이해하기 위해 좀 더 관찰할까요? 네트워크 접근을 너무 일찍 끊으면 아직 횡적 이동 중인 공격자를 깨우고 다음 움직임을 볼 기회를 파괴합니다. 너무 오래 기다리면 랜섬웨어가 공유를 암호화하는 것을 완료하게 합니다.

합리적인 중간 지점: 네트워크 세분화와 EDR 격리(CrowdStrike, Defender for Endpoint, SentinelOne 모두 지원)를 사용하여 호스트를 횡적 이동에서 차단하면서 메모리 캡처를 위해 전원을 켠 상태로 유지합니다. 완전한 종료는 최후의 수단이어야 합니다 — 휘발성 증거를 제거하고, 랜섬웨어의 경우 일부 페이로드에 내장된 안티포렌식 동작을 트리거할 수 있습니다.

이전이 아닌 도중에 후회할 로깅 간격

Windows Event Log 기본값으로는 충분하지 않습니다. SwiftOnSecurity의 또는 Olaf Hartong의 기준 설정 같은 적절한 설정으로 Sysmon을 배치하지 않으면 프로세스 트리를 조각에서 재구성해야 합니다. 네트워크 쪽에서는 NetFlow 또는 Zeek 로그가 대부분의 조직이 필요할 때까지 깨닫지 못하는 것보다 더 중요합니다