서론: 침해사고 대응의 중요성

아무리 철저한 보안 체계를 갖추고 있어도 침해사고는 발생할 수 있습니다. 중요한 것은 사고가 발생했을 때 얼마나 빠르고 효과적으로 대응하느냐입니다. 잘 준비된 침해사고 대응 프로세스는 피해를 최소화하고, 빠른 복구를 가능하게 하며, 향후 유사한 사고를 예방하는 데 핵심적인 역할을 합니다.

이번 마지막 10편에서는 침해사고 대응의 전체 프로세스, 사고 대응팀 구성, 디지털 포렌식 기법, 증거 수집과 분석 방법, 그리고 보안 전문가로서의 커리어 가이드까지 종합적으로 다루겠습니다.

1. 침해사고 대응 프로세스

1.1 NIST 침해사고 대응 프레임워크

NIST(National Institute of Standards and Technology)에서 제시한 침해사고 대응 프레임워크는 6단계로 구성됩니다.

  • 1단계: 준비 (Preparation)
    • 사고 대응 계획 수립 및 정기적 검토
    • 대응팀 구성 및 역할 정의
    • 필요 도구 및 리소스 확보
    • 정기적인 훈련 및 모의 훈련 실시
  • 2단계: 탐지 및 분석 (Detection & Analysis)
    • 보안 이벤트 모니터링 및 알림
    • 사고 여부 확인 및 분류
    • 영향 범위 및 심각도 평가
    • 관련 증거 수집 시작
  • 3단계: 억제 (Containment)
    • 단기 억제: 즉각적인 피해 확산 방지
    • 장기 억제: 시스템 격리 및 보안 강화
    • 증거 보존을 위한 시스템 백업
  • 4단계: 제거 (Eradication)
    • 악성코드 및 백도어 제거
    • 침해 원인 제거
    • 취약점 패치 및 보안 강화
  • 5단계: 복구 (Recovery)
    • 시스템 정상 운영 복귀
    • 모니터링 강화
    • 추가 공격 여부 확인
  • 6단계: 교훈 (Lessons Learned)
    • 사고 분석 및 문서화
    • 개선점 도출
    • 프로세스 및 도구 업데이트

1.2 사고 분류 및 우선순위

심각도 설명 대응 시간 예시
긴급 (Critical) 비즈니스 중단, 대규모 데이터 유출 즉시 (1시간 이내) 랜섬웨어 감염, APT 공격
높음 (High) 중요 시스템 침해, 민감 데이터 노출 4시간 이내 서버 루트 권한 탈취
중간 (Medium) 제한적 시스템 침해, 악성코드 탐지 24시간 이내 단일 워크스테이션 감염
낮음 (Low) 정책 위반, 의심스러운 활동 72시간 이내 무단 소프트웨어 설치

2. 사고 대응팀 구성 (CSIRT/CERT)

2.1 CSIRT와 CERT의 차이

  • CERT (Computer Emergency Response Team): 카네기멜론 대학교의 등록 상표로, 주로 국가 또는 대규모 조직 수준의 사이버 보안 대응팀을 지칭
  • CSIRT (Computer Security Incident Response Team): 일반적인 용어로, 조직 내부의 보안 사고 대응팀을 의미

2.2 사고 대응팀 역할 구성

  • 팀장 (Incident Commander)
    • 전체 대응 활동 지휘
    • 의사결정 및 자원 배분
    • 경영진 및 외부 기관 커뮤니케이션
  • 기술 리드 (Technical Lead)
    • 기술적 분석 및 대응 지휘
    • 포렌식 분석 감독
    • 기술적 권고사항 제시
  • 포렌식 분석가 (Forensic Analyst)
    • 증거 수집 및 보존
    • 디지털 포렌식 분석
    • 타임라인 재구성
  • 위협 분석가 (Threat Analyst)
    • 공격자 TTP 분석
    • 위협 인텔리전스 활용
    • IOC 식별 및 공유
  • 시스템/네트워크 관리자
    • 억제 및 복구 작업 수행
    • 로그 및 증거 수집 지원
    • 시스템 백업 및 복원
  • 커뮤니케이션 담당
    • 내부 직원 안내
    • 고객/파트너 커뮤니케이션
    • 미디어 대응 (필요시)

2.3 사고 대응 플레이북

# 랜섬웨어 사고 대응 플레이북 예시
playbook:
  name: "Ransomware Incident Response"
  version: "1.0"
  severity: "Critical"

  initial_response:
    - action: "네트워크 격리"
      description: "감염된 시스템을 네트워크에서 즉시 분리"
      owner: "Network Admin"
      time_limit: "15분"

    - action: "확산 범위 파악"
      description: "영향받은 시스템 및 데이터 범위 식별"
      owner: "Security Analyst"
      time_limit: "1시간"

    - action: "증거 보존"
      description: "메모리 덤프, 디스크 이미지 확보"
      owner: "Forensic Analyst"
      time_limit: "2시간"

  containment:
    - action: "추가 감염 방지"
      steps:
        - "방화벽에서 C2 서버 IP 차단"
        - "이메일 첨부파일 IOC 차단"
        - "EDR에서 관련 해시 차단"

  eradication:
    - action: "악성코드 제거"
      steps:
        - "감염된 시스템 재설치 (권장)"
        - "백업에서 데이터 복원"
        - "복원 전 백업 무결성 확인"

  recovery:
    - action: "시스템 복구"
      steps:
        - "클린 시스템으로 재구축"
        - "최신 보안 패치 적용"
        - "강화된 모니터링 설정"

  post_incident:
    - "사고 보고서 작성"
    - "감염 경로 분석"
    - "보안 정책 개선"
    - "직원 보안 인식 교육"

3. 증거 수집과 보존

3.1 증거 수집 원칙

디지털 증거 수집 시 반드시 지켜야 할 원칙들입니다.

  • 휘발성 순서 (Order of Volatility): 가장 휘발성이 높은 데이터부터 수집
    1. 레지스터, 캐시
    2. 메모리 (RAM)
    3. 네트워크 상태
    4. 실행 중인 프로세스
    5. 디스크
    6. 원격 로그/모니터링 데이터
    7. 물리적 구성, 네트워크 토폴로지
    8. 아카이브 미디어
  • 증거 무결성: 원본 증거 변경 최소화, 해시값으로 무결성 검증
  • 연계 보관 (Chain of Custody): 증거 이동/접근 기록 유지

3.2 실시간 증거 수집

# 시스템 정보 수집
date > incident_$(hostname)_$(date +%Y%m%d_%H%M%S).txt
hostname >> incident_report.txt
uname -a >> incident_report.txt
uptime >> incident_report.txt

# 네트워크 연결 상태
netstat -antp > netstat_output.txt
ss -antp > ss_output.txt

# 실행 중인 프로세스
ps auxwww > process_list.txt
pstree -p > process_tree.txt

# 열린 파일
lsof > open_files.txt

# 로그인한 사용자
who > logged_users.txt
w > user_activity.txt
last > login_history.txt

# 메모리 정보
cat /proc/meminfo > meminfo.txt
free -m > memory_usage.txt

3.3 디스크 이미징

# dd를 사용한 디스크 이미징
# 원본 디스크: /dev/sda
# 대상: evidence.dd

# 해시값 생성과 함께 이미징
dd if=/dev/sda bs=4M conv=sync,noerror status=progress | tee evidence.dd | sha256sum > evidence.sha256

# dc3dd 사용 (포렌식 전용 도구)
dc3dd if=/dev/sda of=evidence.dd hash=sha256 log=imaging.log

# FTK Imager CLI (Windows)
# ftkimager.exe \\.\PhysicalDrive0 evidence --e01 --compress 6 --verify

# 이미지 무결성 검증
sha256sum evidence.dd
# 원본과 비교하여 일치 확인

4. 디지털 포렌식 기초

4.1 포렌식 분석 환경 구축

# SIFT Workstation 설치 (Ubuntu 기반)
# SANS에서 제공하는 포렌식 분석용 가상 머신

# 또는 개별 도구 설치
# Autopsy (GUI 기반 포렌식 도구)
sudo apt install autopsy

# Sleuth Kit (명령줄 포렌식 도구)
sudo apt install sleuthkit

# Volatility (메모리 포렌식)
pip install volatility3

# 주요 포렌식 도구 목록
# - Autopsy: 디스크 이미지 분석
# - Volatility: 메모리 분석
# - Wireshark: 네트워크 패킷 분석
# - YARA: 악성코드 패턴 탐지
# - Plaso/log2timeline: 타임라인 분석

4.2 파일 시스템 분석

# 디스크 이미지 마운트
sudo mkdir /mnt/evidence
sudo mount -o ro,loop,noexec evidence.dd /mnt/evidence

# 삭제된 파일 복구 (Sleuth Kit)
fls -r -d evidence.dd > deleted_files.txt
icat evidence.dd [inode] > recovered_file

# 파일 타임스탬프 분석
# M: 수정 시간, A: 접근 시간, C: 변경 시간, B: 생성 시간
stat /mnt/evidence/suspicious_file

# 최근 수정된 파일 찾기
find /mnt/evidence -type f -mtime -7 -ls > recent_modified.txt

# 숨김 파일 및 디렉토리
find /mnt/evidence -name ".*" -ls > hidden_files.txt

# SUID/SGID 파일 (권한 상승 가능)
find /mnt/evidence -perm /6000 -ls > suid_files.txt

5. 메모리 포렌식

5.1 메모리 덤프 수집

# Linux 메모리 덤프
# LiME (Linux Memory Extractor) 사용
sudo insmod lime.ko "path=/tmp/memory.lime format=lime"

# 또는 /dev/mem 사용 (제한적)
sudo dd if=/dev/mem of=memory.dump bs=1M

# Windows 메모리 덤프
# WinPmem 사용
# winpmem_mini_x64.exe memory.raw

# DumpIt 사용 (더블클릭으로 실행)
# DumpIt.exe

5.2 Volatility를 활용한 메모리 분석

# Volatility 3 기본 사용법
# 프로파일 자동 감지
vol -f memory.dump windows.info

# 프로세스 목록
vol -f memory.dump windows.pslist
vol -f memory.dump windows.pstree

# 숨겨진 프로세스 탐지
vol -f memory.dump windows.psscan

# 네트워크 연결
vol -f memory.dump windows.netstat
vol -f memory.dump windows.netscan

# DLL 목록
vol -f memory.dump windows.dlllist --pid [PID]

# 명령 실행 기록
vol -f memory.dump windows.cmdline
vol -f memory.dump windows.consoles

# 레지스트리 분석
vol -f memory.dump windows.registry.hivelist
vol -f memory.dump windows.registry.printkey --key "Software\Microsoft\Windows\CurrentVersion\Run"

# 악성코드 탐지
vol -f memory.dump windows.malfind
vol -f memory.dump windows.vadinfo --pid [PID]

# 프로세스 덤프
vol -f memory.dump windows.memmap --pid [PID] --dump

5.3 메모리 분석으로 찾을 수 있는 것들

  • 실행 중이던 프로세스 및 스레드
  • 네트워크 연결 정보 (원격 IP, 포트)
  • 로드된 모듈 및 DLL
  • 복호화된 문자열 및 비밀번호
  • 암호화되지 않은 악성코드
  • 사용자 입력 기록
  • 레지스트리 데이터
  • 클립보드 내용

6. 네트워크 포렌식

6.1 패킷 캡처 및 분석

# tcpdump로 패킷 캡처
sudo tcpdump -i eth0 -w capture.pcap

# 특정 호스트 관련 트래픽만 캡처
sudo tcpdump -i eth0 host 192.168.1.100 -w suspicious_traffic.pcap

# 특정 포트 트래픽
sudo tcpdump -i eth0 port 443 -w https_traffic.pcap

# tshark로 분석 (Wireshark CLI)
# HTTP 요청 추출
tshark -r capture.pcap -Y "http.request" -T fields -e ip.src -e http.host -e http.request.uri

# DNS 쿼리 추출
tshark -r capture.pcap -Y "dns.flags.response == 0" -T fields -e ip.src -e dns.qry.name

# 파일 추출
tshark -r capture.pcap --export-objects http,./exported_files/

# 통계 정보
tshark -r capture.pcap -z conv,ip
tshark -r capture.pcap -z endpoints,tcp

6.2 네트워크 아티팩트 분석

# Zeek (구 Bro)로 네트워크 로그 생성
zeek -r capture.pcap

# 생성되는 로그 파일들:
# conn.log - 모든 연결 기록
# dns.log - DNS 쿼리/응답
# http.log - HTTP 트래픽
# ssl.log - SSL/TLS 연결
# files.log - 전송된 파일

# 의심스러운 연결 분석
# 비정상적으로 큰 데이터 전송
cat conn.log | zeek-cut id.orig_h id.resp_h orig_bytes resp_bytes | sort -t$'\t' -k3 -rn | head

# 비표준 포트의 HTTP 트래픽
cat http.log | zeek-cut id.resp_p | sort | uniq -c | sort -rn

# DNS 터널링 탐지 (긴 서브도메인)
cat dns.log | zeek-cut query | awk 'length > 50' | sort | uniq -c | sort -rn

7. 타임라인 분석

7.1 Plaso/log2timeline 사용

# 디스크 이미지에서 타임라인 추출
log2timeline.py --storage-file timeline.plaso evidence.dd

# 또는 마운트된 디렉토리에서
log2timeline.py --storage-file timeline.plaso /mnt/evidence

# 타임라인을 CSV로 변환
psort.py -o l2tcsv -w timeline.csv timeline.plaso

# 특정 시간대 필터링
psort.py -o l2tcsv -w filtered_timeline.csv timeline.plaso "date > '2026-01-15 00:00:00' AND date < '2026-01-22 23:59:59'"

# 특정 파서만 사용
log2timeline.py --parsers "winevtx,prefetch,chrome_history" timeline.plaso /mnt/evidence

7.2 타임라인 분석 포인트

  • 최초 침해 시점: 첫 번째 악성 활동이 발생한 시간
  • 횡적 이동: 공격자가 다른 시스템으로 이동한 시점
  • 데이터 접근: 민감한 파일에 접근한 시간
  • 데이터 유출: 외부로 데이터가 전송된 시점
  • 지속성 확보: 백도어 설치, 계정 생성 시점
# Windows 이벤트 로그 타임라인 분석 포인트
# 로그온 이벤트: 4624, 4625
# 프로세스 생성: 4688
# 서비스 설치: 7045
# 예약 작업: 4698
# 방화벽 규칙 변경: 2004, 2005

# PowerShell 활동
# 4103: Module Logging
# 4104: Script Block Logging
# 4105, 4106: Start/Stop Command

8. 침해 지표 (IOC) 활용

8.1 IOC 유형

  • 네트워크 기반 IOC
    • IP 주소 (C2 서버, 악성 인프라)
    • 도메인 이름
    • URL 패턴
    • SSL 인증서 해시
  • 호스트 기반 IOC
    • 파일 해시 (MD5, SHA1, SHA256)
    • 파일 경로 및 이름
    • 레지스트리 키
    • 뮤텍스 이름
    • 프로세스 이름
  • 행위 기반 IOC
    • 특정 API 호출 패턴
    • 명령줄 인자
    • 네트워크 행위 패턴

8.2 YARA 규칙 작성

// 악성코드 탐지를 위한 YARA 규칙 예시
rule Suspicious_PowerShell_Download {
    meta:
        description = "PowerShell을 사용한 의심스러운 다운로드 탐지"
        author = "Security Team"
        date = "2026-01-22"
        severity = "high"

    strings:
        $ps1 = "powershell" nocase
        $ps2 = "pwsh" nocase
        $download1 = "DownloadString" nocase
        $download2 = "DownloadFile" nocase
        $download3 = "Invoke-WebRequest" nocase
        $download4 = "wget" nocase
        $download5 = "curl" nocase
        $encoded = "-enc" nocase
        $bypass = "-ExecutionPolicy Bypass" nocase

    condition:
        ($ps1 or $ps2) and
        (any of ($download*) or $encoded or $bypass)
}

rule Webshell_Generic {
    meta:
        description = "일반적인 웹쉘 탐지"

    strings:
        $php_eval = /eval\s*\(\s*\$_(GET|POST|REQUEST)/
        $php_exec = /exec\s*\(\s*\$_(GET|POST|REQUEST)/
        $php_system = /system\s*\(\s*\$_(GET|POST|REQUEST)/
        $php_passthru = /passthru\s*\(\s*\$_(GET|POST|REQUEST)/
        $asp_exec = "Execute(" nocase
        $asp_eval = "Eval(" nocase

    condition:
        any of them
}

8.3 IOC 공유 및 활용

// STIX 2.1 형식의 IOC 예시
{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4cbf-938f-98ee46b3cd3f",
  "created": "2026-01-22T12:00:00.000Z",
  "modified": "2026-01-22T12:00:00.000Z",
  "name": "Malicious IP - C2 Server",
  "description": "랜섬웨어 C2 서버로 확인된 IP 주소",
  "indicator_types": ["malicious-activity"],
  "pattern": "[ipv4-addr:value = '192.168.1.100']",
  "pattern_type": "stix",
  "valid_from": "2026-01-22T00:00:00Z",
  "kill_chain_phases": [
    {
      "kill_chain_name": "lockheed-martin-cyber-kill-chain",
      "phase_name": "command-and-control"
    }
  ]
}

9. 사후 보고서 작성

9.1 사고 보고서 구성

  1. 요약 (Executive Summary)
    • 사고 개요
    • 영향 범위
    • 주요 발견 사항
    • 권고 사항
  2. 사고 개요
    • 탐지 일시 및 방법
    • 사고 유형 및 심각도
    • 영향받은 시스템/데이터
  3. 타임라인
    • 공격 타임라인
    • 대응 타임라인
  4. 기술적 분석
    • 공격 벡터
    • 사용된 도구/악성코드
    • 공격자 TTP
    • IOC 목록
  5. 영향 평가
    • 비즈니스 영향
    • 데이터 유출 범위
    • 재정적 영향
  6. 대응 활동
    • 억제 조치
    • 제거 작업
    • 복구 과정
  7. 교훈 및 권고 사항
    • 근본 원인
    • 개선 권고
    • 단기/중기/장기 조치
  8. 부록
    • 상세 IOC
    • 로그 샘플
    • 스크린샷

10. 보안 커리어 가이드

10.1 보안 분야 커리어 경로

  • 보안 운영 (Security Operations)
    • SOC 분석가 (Level 1, 2, 3)
    • 보안 엔지니어
    • SIEM 관리자
  • 침해사고 대응 (Incident Response)
    • 침해사고 대응 분석가
    • 디지털 포렌식 분석가
    • 악성코드 분석가
  • 공격 보안 (Offensive Security)
    • 침투 테스터
    • 레드팀 전문가
    • 취약점 연구원
  • 보안 아키텍처
    • 보안 아키텍트
    • 클라우드 보안 아키텍트
    • 애플리케이션 보안 전문가
  • 거버넌스 및 컴플라이언스
    • 보안 컨설턴트
    • GRC 전문가
    • 개인정보보호 전문가
  • 관리 및 리더십
    • 보안 팀장
    • CISO (Chief Information Security Officer)

10.2 추천 자격증

수준 자격증 분야
입문 CompTIA Security+ 기초 보안
입문 정보보안기사 국내 공인
중급 CEH (Certified Ethical Hacker) 침투 테스트
중급 GCIH (GIAC Certified Incident Handler) 사고 대응
중급 GCFE (GIAC Certified Forensic Examiner) 포렌식
고급 OSCP (Offensive Security Certified Professional) 침투 테스트
고급 CISSP (Certified Information Systems Security Professional) 종합 보안
전문가 GREM (GIAC Reverse Engineering Malware) 악성코드 분석
전문가 OSEE (Offensive Security Exploitation Expert) 익스플로잇 개발

10.3 실력 향상을 위한 리소스

  • 실습 플랫폼
    • TryHackMe - 초급~중급 실습
    • HackTheBox - 중급~고급 실습
    • CyberDefenders - 블루팀 실습
    • LetsDefend - SOC 분석가 실습
  • CTF (Capture The Flag)
    • CTFtime.org - CTF 대회 일정
    • picoCTF - 입문자용 CTF
    • OverTheWire - 워게임
  • 학습 자료
    • SANS Reading Room - 백서
    • MITRE ATT&CK - 공격 기법 프레임워크
    • OWASP - 웹 보안
  • 커뮤니티
    • Reddit r/netsec, r/AskNetsec
    • Twitter/X 보안 커뮤니티
    • 국내 보안 컨퍼런스 (CODEGATE, POC, Zer0Con)

시리즈 마무리

"네트워크 보안 기초부터 실전까지" 10편의 시리즈를 마무리합니다. 이 시리즈를 통해 다룬 내용을 정리하면:

  1. 1편: 네트워크 기초와 OSI 7계층
  2. 2편: TCP/IP 프로토콜과 취약점
  3. 3편: 방화벽 원리와 구성
  4. 4편: IDS/IPS 시스템
  5. 5편: VPN과 암호화 통신
  6. 6편: 웹 보안과 OWASP Top 10
  7. 7편: 취약점 분석과 패치 관리
  8. 8편: 악성코드 분석과 대응
  9. 9편: 보안 모니터링과 로그 분석
  10. 10편: 침해사고 대응과 디지털 포렌식

보안은 끊임없이 변화하는 분야입니다. 새로운 위협이 등장하고, 새로운 방어 기술이 개발됩니다. 이 시리즈에서 배운 기초 지식을 바탕으로 지속적인 학습과 실습을 통해 전문성을 키워나가시기 바랍니다.

"보안은 제품이 아니라 프로세스다." - Bruce Schneier

기술적인 도구와 지식도 중요하지만, 궁극적으로 보안은 사람, 프로세스, 기술의 조화로 완성됩니다. 조직의 보안 문화를 구축하고, 지속적으로 개선해 나가는 것이 진정한 보안 전문가의 역할입니다.

시리즈를 읽어주셔서 감사합니다. 질문이나 피드백이 있으시면 언제든 연락주세요. 앞으로도 실용적이고 깊이 있는 보안 콘텐츠로 찾아뵙겠습니다.