🚨 사고 대응(IR) 프로세스 — 보안 사고 발생 후 6단계 대응
보안 사고는 “발생하느냐”보다
“발생했을 때 얼마나 잘 대응하느냐”가 더 중요합니다.
그래서 모든 보안 조직은
사고 대응(Incident Response, IR) 프로세스를 기준으로 움직입니다.
1️⃣ 사고 대응(IR)이란?
IR(Incident Response)은
보안 사고 발생 시 피해를 최소화하고,
원인을 분석하고, 재발을 방지하기 위한 표준 대응 절차입니다.
👉 즉,
탐지 → 대응 → 복구 → 개선의 전 과정입니다.
2️⃣ 사고 대응 6단계 개요 (NIST 기반)
보안 사고 대응은 일반적으로 다음 6단계로 진행됩니다.
- 준비 (Preparation)
- 식별 (Identification)
- 차단 (Containment)
- 제거 (Eradication)
- 복구 (Recovery)
- 사후 분석 (Lessons Learned)
3️⃣ 1단계: 준비 (Preparation)
사고 대응은 사고가 나기 전에 이미 시작됩니다.
주요 준비 사항
- IR 매뉴얼 및 대응 절차 문서화
- 책임자 및 연락 체계 정리
- 로그 보존 정책 수립
- 백업 및 복구 전략 마련
- 모의훈련(Tabletop Exercise) 실시
👉 준비가 없으면 사고 발생 시 우왕좌왕하게 됩니다.
4️⃣ 2단계: 식별 (Identification)
보안 이벤트가 실제 사고인지 판단하는 단계입니다.
확인 포인트
- SIEM / EDR / XDR 알림
- 비정상 로그인, 데이터 유출 징후
- 악성 파일 실행 여부
- 내부 확산(Lateral Movement) 여부
👉 이 단계에서 가장 중요한 건
오탐(False Positive)과 실제 사고(True Positive) 구분입니다.
5️⃣ 3단계: 차단 (Containment)
사고가 확인되면 피해 확산을 즉시 차단합니다.
단기 차단
- 감염된 단말 네트워크 격리
- 의심 계정 잠금
- 악성 통신 차단
장기 차단
- 네트워크 세그멘테이션 강화
- 임시 보안 정책 적용
👉 “완전 제거”보다 확산 방지가 우선입니다.
6️⃣ 4단계: 제거 (Eradication)
공격의 근본 원인을 제거하는 단계입니다.
수행 작업
- 악성코드 삭제
- 취약 계정 비활성화
- 취약점 패치
- 백도어 제거
👉 이 단계가 불완전하면 재감염 위험이 큽니다.
7️⃣ 5단계: 복구 (Recovery)
정상 서비스 상태로 안전하게 복구합니다.
복구 시 주의점
- 백업 복구 전 악성코드 완전 제거 확인
- 단계적 서비스 재개
- 재감염 여부 지속 모니터링
👉 “빨리 복구”보다 “안전한 복구”가 중요합니다.
8️⃣ 6단계: 사후 분석 (Lessons Learned)
사고 대응에서 가장 중요한 단계입니다.
분석 내용
- 침투 경로 분석
- 탐지 실패 원인
- 대응 과정 문제점
- 개선 사항 도출
결과물
- IR 보고서 작성
- 탐지 룰 개선
- 보안 정책 강화
- 교육 및 훈련 반영
9️⃣ IR에서 자주 발생하는 실수
❌ 증거 수집 없이 바로 조치
❌ 책임 소재부터 따지는 대응
❌ 로그 미보존
❌ 백업만 믿고 원인 분석 생략
🧠 정리
- 사고 대응은 기술 문제가 아니라 프로세스 문제
- 준비가 되어 있지 않으면 대응은 실패한다
- IR의 목표는 복구가 아니라 재발 방지
열심히 살기