침해사고 대응

01무엇이고, 어떤 일을 하나

• 경보를 실제 사고 여부·영향·범위로 구체화한다.
• 증거를 보존하면서 확산 억제와 원인 제거를 수행한다.
• 복구 검증·보고·재발 방지까지 대응 결과를 이어간다.

02어떤 순서로 동작하나

1. 초기 분석

   탐지 규칙과 원본, 자산·사용자·시간을 연결해 정상 작업·오탐·차단된 시도·침해 가능성을 구분한다.

2. 제한·획득 결정

   확산 위험과 휘발성 자료의 가치를 평가하여 격리·메모리 획득·기타 보존의 순서와 영향을 기록한다.

3. 증거 보존

   원본·작업 사본을 나누고 해시·도구·담당자·전달 이력으로 Chain of Custody를 유지한다.

4. 타임라인 분석

   프로세스·연결·파일·로그를 교차 검증하여 관찰된 행위와 진입·확산 가설을 연결한다.

5. 원인 제거·복구

   침해 원인과 신뢰가 깨진 범위를 처리하고 검증된 상태에서 서비스를 복구한다.

6. 재발·효과 확인

   복구 후 기능·탐지·재침해 여부를 확인하고 영향·조치·잔여 위험·개선 과제를 보고한다.

03먼저 알아둘 용어와 구성요소

Triage

초기 자료를 바탕으로 중요도와 조사 순서를 정하는 작업.

Containment

피해 확대를 줄이기 위한 범위 제한·격리.

Chain of Custody

누가 언제 어떤 증거를 획득·이동·보관했는지 남기는 이력.

Recovery

서비스를 복원하고 침해 경로가 제거되었는지 검증하는 단계.

침해 지표

공격이나 침해 가능성을 조사하는 파일·주소·행위 등의 단서.

Eradication

확인된 원인과 악성 지속 수단을 제거하는 단계.

04예제로 따라가기

• 첫 기록: 호스트 A의 원문은 2026-01-01 09:00:01+09:00이며 오차 범위가 ±2초라고 가정한다.
• UTC 변환: A의 표시값은 00:00:01Z가 된다. 가능한 실제 시각 범위는 전날 23:59:59Z부터 00:00:03Z다.
• 두 번째 기록: 호스트 B는 00:00:02Z이고 오차 범위가 ±1초라면 가능한 구간은 00:00:01Z~00:00:03Z다.
• 겹침 판정: 두 구간이 겹치므로 표시값이 1초 빠른 A가 반드시 먼저 발생했다고 확정할 수 없다.
• 보강 증거: 같은 요청의 송수신·응답 관계 또는 신뢰할 수 있는 연속 번호가 있으면 순서를 더 좁힐 수 있다. 보고서에는 시간만으로 미확정인 부분을 유지한다.

05혼동하기 쉬운 점과 확인 기준

• 획득 대상: 전체 메모리 이미지·프로세스 덤프·복구 파일이 같은 자료인지 확인한다. 서로 다른 범위의 결과를 누락으로 단정하지 않는다.
• 도구 문맥: 운영체제 빌드·심볼·프로파일·플러그인 조건을 기록한다. 구조 해석이 틀리면 그럴듯한 필드도 잘못 표시될 수 있다.
• 잔존 흔적: 스캔으로 찾은 과거 객체와 현재 연결된 객체 목록을 구분한다. 메모리에 구조가 남았다는 사실과 현재 실행 중이라는 주장은 다르다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.