보안 문제 의심 시 범위 기반 검토 준비

무엇인가

유용한 첫 기록은 관찰된 사실, 보고된 우려, 가정, 답하지 못한 질문을 구분합니다. 우려가 언제 시작되었는지, 누가 보고했는지, 어떤 시스템이 영향을 받았을 수 있는지, 현재 비즈니스 영향, 이미 취한 조치, 관련 증거의 소유자가 누구인지 기록할 수 있습니다. 승인된 로그, 경보, 메시지, 타임스탬프, 스크린샷, 계정 이벤트, 시스템 기록이 관련될 수 있지만, 수집과 공유는 소유권, 민감도, 적법한 권한을 존중해야 합니다. 조율 없이 시스템을 삭제, 재구축, 초기화 또는 변경하면 이후 검토에 영향을 줄 수 있습니다. 이것은 차분하고 잘 기록된 대응을 위한 일반적인 준비 안내입니다.

누구를 위한 것인가?

이 가이드는 다음과 같은 팀을 위한 것입니다.

• 우려가 보고된 후 제한된 정보를 증거로 취급하지 않으면서 내부의 첫 시각을 정리해야 하는 팀
• 증거, 비즈니스 영향, 다음 단계 조율을 위해 인시던트 담당자와 의사 결정자를 지정할 수 있는 팀
• 일반적인 범위 기반 검토를 지속적 모니터링, 디지털 증거 분석, 법률 자문, 보험사·규제 기관 통지, 법 집행 기관 연락 또는 긴급 서비스와 구분해야 하는 팀
• 전문 지원을 구하기 전에 승인된, 민감하지 않은 요약을 준비하려는 팀

무엇을 명확히 하는 데 도움이 되는지

차분하게 작성한 준비 기록은 다음 사항을 명확히 할 수 있습니다.

• 무엇이 관찰되었는지, 언제 발견되었는지, 누가 보고했는지, 어떤 시스템이 관련될 수 있는지, 무엇이 아직 가정에 불과한지
• 어떤 승인된 로그, 경보, 메시지, 타임스탬프, 스크린샷, 계정 이벤트, 기록이 관련될 수 있는지
• 어떤 운영상 영향과 긴급한 결정 질문이 있으며, 이미 어떤 조치를 취했는지
• 다음으로 필요한 것이 Incident Recovery Sprint, Threat Hunting, 기존 긴급 대응 절차, 디지털 증거 분석, 법률 자문, 통지 또는 다른 전문 경로 중 무엇에 가까운지

포함된 내용

• 내부 소유권, 관찰된 사실, 승인된 증거, 영향 질문, 이미 취한 조치, 공유 권한을 위한 일반 준비 체계
• 범위 기반 복구 검토, 위협 헌팅, 모니터링/MDR, 디지털 증거 분석, 법률 자문, 보험사/규제 기관 통지, 법 집행, 긴급 대응 간의 알기 쉬운 구분
• 맥락을 보존하고 이후 검토에 영향을 줄 수 있는 불필요한 변경을 피하기 위한 안내
• 우려 사항과 가용한 승인 증거를 설명하기 위한, 민감 정보가 없는 요청 형식

포함되지 않은 것

• 제한된 정보에 근거한 침해 진단, 실시간 대응, 봉쇄, 복구, 귀속 판단, 증거 능력 또는 SLA
• 악성코드 제거 단계, 회피 조언, 보복 조치 또는 무단 접근 안내
• 법률, 규제, 보험, 법 집행 또는 긴급 대응에 관한 자문
• 모든 우려에 같은 서비스가 필요하다거나, 일반적인 범위 기반 작업이 긴급한 안전 지원이나 긴급 지원을 대체한다는 주장

선택해야 할 때

조직이 외부 도움을 선택하기 전에 자체 질문을 정리해야 할 때 이 가이드를 읽으십시오. 비정상적인 접근, 웹사이트 문제 의심, 예상치 못한 계정 이벤트, 우려스러운 경보, 또는 고객이나 공급업체의 보고 이후에 유용합니다. 이것은 귀사의 긴급 절차와 함께 활용하는 준비 가이드입니다. 사람이 위험에 처해 있거나, 중요한 서비스가 안전하지 않거나, 조직에 즉각적인 실시간 대응이 필요하다면 기존 긴급 채널이나 자격을 갖춘 제공업체를 이용하십시오. 덜 긴급한 우려라면 신중하게 작성한 요약이 범위 논의를 더 효과적으로 만들 수 있습니다.

우리의 접근 방식

체계적인 기록에서 시작하십시오. 내부 담당자를 지정하고, 관찰 사항의 시각과 출처를 기록하고, 시스템과 비즈니스 영향을 파악하고, 이미 취한 조치를 나열하십시오. 누가 어떤 증거를 적법하게 공유할 수 있는지 확인하십시오. 사실과 불확실성을 구분하고, 조율 없이 단지 “정리”하기 위해 파괴적이거나 광범위한 변경을 하지 마십시오. 그러면 이후 검토에서 승인된 자료를 맥락 속에서 평가할 수 있습니다. 목표는 적절한 사람들이 고객 주도의 결정, 기술 검토 또는 전문가 에스컬레이션을 위한 안정적인 출발점을 갖게 하는 것입니다. 가능하면 초기 요약에는 민감한 정보를 담지 말고, 이후 검토에서 더 자세한 내용이 필요할 때에만 합의된 보안 채널을 사용하십시오. 좋은 요약은 막혀 있는 비즈니스 결정과 예상 시점을 밝히되, 원인이나 책임에 대한 추측은 피합니다. 그러면 검토를 맡을 수 있는 측이 광범위한 접근이나 민감한 자료의 불필요한 전달을 유도하지 않고도 경계를 설명할 수 있는 충분한 맥락을 얻게 됩니다. 준비 기록은 또한 당장의 운영상 질문과 장기적인 개선 작업을 구분해야 합니다. 팀은 누가 고객과 소통할지, 중요한 서비스를 일시 중지해야 하는지, 공급업체에 연락해야 하는지 결정해야 할 수 있으며, 이는 이 가이드의 결론이 아니라 비즈니스 결정입니다. 이를 기술적 불확실성과 함께 기록하면 외부 검토가 안전하게 책임질 수 없는 사안을 결정하도록 요청받는 일을 막을 수 있습니다. 적절한 경우 조직의 보험사, 법률 자문가, 규제 기관, 공급업체 또는 긴급 대응 제공업체의 연락처를 기록하되, 통지나 에스컬레이션이 필요하다고 가정하지는 마십시오. 그러한 결정은 일반 가이드의 범위를 벗어난 사실과 의무에 달려 있습니다. 우려가 고객 정보, 공유 인프라, 규제 대상 활동 또는 공급업체 관계와 관련된다면, 자료를 공유하기 전에 경계를 명확히 하십시오. 목적은 담당자가 무엇을 검토할 수 있고 무엇을 다른 자격 있는 당사자가 다루어야 하는지 설명할 수 있게 하는 것입니다. 이렇게 하면 요청이 증거와 당면한 결정에 비례하는 수준으로 유지됩니다. 또한 검토 팀이 일반적인 범위 설정, 전문가 승인 또는 다른 제공업체 중 무엇이 적절한지 설명할 수 있는 더 명확한 근거를 갖게 됩니다.

자주 묻는 질문

관련 기사