Ch6. 보안 운영 — 사고 대응과 재해 복구

사고 대응 (Incident Response)

사고 대응 절차 (PICERL)

1. 준비(Preparation): 정책, 도구, 팀 훈련
2. 식별(Identification): 사고 탐지 및 범위 파악
3. 봉쇄(Containment): 피해 확산 방지
4. 근절(Eradication): 위협 요소 제거
5. 복구(Recovery): 시스템 정상화
6. 사후 검토(Lessons Learned): 개선점 도출

---

디지털 포렌식

디지털 증거 수집·분석·보존.

증거 무결성: 수집 즉시 해시(MD5/SHA-256)로 지문 생성. 증거 변조 감지.

증거 보관 체인(Chain of Custody): 증거 취급자, 시간, 상태를 연속 문서화.

증거 유형:

• 휘발성 데이터: RAM, 네트워크 연결, 실행 중 프로세스 → 먼저 수집
• 비휘발성 데이터: 하드드라이브, 로그 → 나중 수집

---

SIEM (보안 정보 이벤트 관리)

보안 로그와 이벤트를 중앙 수집·분석·상관관계 분석.

기능:

• 다양한 소스(방화벽, IDS, OS, DB)의 로그 통합
• 실시간 이상 탐지
• 보안 알람 발생
• 규정 준수 보고서 생성

SIEM 제품: Splunk, IBM QRadar, Microsoft Sentinel

---

비즈니스 연속성 계획 (BCP)와 재해 복구 (DRP)

BCP: 재해 상황에서도 비즈니스 기능을 유지하는 계획

DRP: IT 시스템·인프라를 복구하는 계획

핵심 지표

RPO (Recovery Point Objective): 허용 가능한 최대 데이터 손실 시간

RPO = 4시간 → 최소 4시간마다 백업 필요

RTO (Recovery Time Objective): 허용 가능한 최대 시스템 복구 시간

RTO = 2시간 → 2시간 안에 시스템 정상화 필요

복구 전략

전략	비용	RTO
콜드 사이트	낮음	수일~수주
웜 사이트	중간	수시간~수일
핫 사이트	높음	수분~수시간
클라우드 DR	유연	분 단위 가능

---

핵심 개념 카드

사고 대응 절차 ★★★★★ : 준비→식별→봉쇄→근절→복구→사후검토(PICERL). 봉쇄=확산 방지 최우선.

RPO vs RTO ★★★★★ : RPO=데이터 손실 허용 범위(백업 주기 결정), RTO=복구 시간 허용 범위(DR 전략 결정).

핫/웜/콜드 사이트 ★★★★☆ : 핫=즉시 전환(비쌈), 웜=수시간 전환, 콜드=수일 전환(저렴). RPO/RTO에 맞게 선택.

---

실전 퀴즈

Q1. 랜섬웨어가 탐지되었다. 사고 대응에서 가장 먼저 취해야 할 행동은?

봉쇄(Containment)입니다. 즉각적으로 감염된 시스템을 네트워크에서 격리해 랜섬웨어가 다른 시스템으로 횡이동(Lateral Movement)하는 것을 막아야 합니다. 포렌식 증거 수집도 중요하지만, 확산 방지가 먼저입니다.

Q2. RPO=1시간, RTO=4시간인 시스템의 백업 및 복구 전략은?

RPO=1시간이므로 매 1시간마다 백업(또는 연속 복제)이 필요합니다. RTO=4시간이므로 복구는 4시간 안에 완료해야 합니다. 이를 충족하려면 웜 사이트 또는 클라우드 DR이 적합합니다. 콜드 사이트는 수일이 걸려 RTO를 충족하지 못합니다.