Course Certificate for Incident Response and Digital Forensics (3)

Incident Response: Preparation

Setting policies

• 정책 : 사고 대응 계획을 수립하는 데 사용되는 프레임워크
• 임원진은 아래와 같은 정책을 만듦
  • Team roles and responsibilities
  • Incident classifications
  • Communication plans
  • Investigation procedures
  • Respnose strategies
  • Review and improvement processes
  • Training and awareness details

1. Roles and responsibilities 각 정책 유형을 알아보자

• Supports fast coordinated responses by team members 팀 구성원의 신속하고 조율된 대응을 지원
• Assign team members to specific tasks 모든 사람은 사고 발생 시 자신이 맡을 일을 알고 있음
• Designating communication leads
• Identifying stakeholders 이 정책에는 팀 구성원 지정, 커뮤니케이션 책임자 지정, 이해관계자 식별 등이 포함됨

2. Incident classification policies 사고 분류 정책

• Minimal - Moderate - Servere

• Incident 1 - Incident 1 - Incident 1

• Establishes incidents and categorizes them based on their severity and impact 심각도 및 영향을 기준으로 사고를 분류하는 기준을 설정하게 됨

• Prioritizes responses based on incident classification 이런 정책은 팀이 대응의 우선 순위를 지정하여 가장 중요한 상황에 먼저 집중하는 데 도움이 됨

3. The communication plan 커뮤니케이션 계획

• Describes internal and external communication processes 내부 및 외부 커뮤니케이션 프로세스를 간결하고 철저하게 설명
• Creates specific teams with skilled personnel
• Specifies who to notify 커뮤니케이션 계획에는 내부 직원, 경영진, 지정된 이해 관계자, 규제 당국, 필요한 경우 SNS 또는 뉴스 사이트를 포함하여 통보할 개인 또는 단체가 명시
• Specifies the communication methods 통신 계획에는 이메일, 전화 통화 및 등기 우편과 같은 알림 및 업데이트를 위한 통신 방법도 명시

4. Investigation procedures 조사 절차

• Outlines the required steps for collecting and analyzing evidence 증거 수집, 분석 및 문서화를 포함하여 사건 조사에 필요한 단계를 설명하는 정책

5. Response strategies 대응 전략

• Contains predefined action plans 사전 정의된 실행 계획을 통해 효과적인 대응 지원
• Specifies implementation containment, eradication, and recovery strategies 계획에는 팀이 격리, 근절 및 복구 전략을 구현하는 방법 명시

6. Reviews and improvement processes 검토 및 개선 프로세스

• Used to identify and document lessons learned 조직에서 배운 내용을 식별하고 문서화하는 데 사용하는 공식 프로세스

7. Training and awareness policies 교육 및 인식 제고 정책

• Specifies how often training will happen 교육 실시 빈도가 명시
• Identifies who will attend 누가 해당 교육에 참석할 것인지 식별
• Describes how the organization will deliver that training 조직에서 교육을 어떻게 제공할 것인지가 명시

8. Incident response plans 사고 대응 계획

• Documents policies that form the framework 문서화된 정책이 결합되어 조직의 사고 대응 계획 프레임워크를 구성
• Outlines how the company will handle security incidents 조직이 보안 사고를 효과적으로 처리하는 방법에 대해 상세하게 설명
• Includes incident response teams (IRT) staffed with dedicated, skilled personnel 조직은 대응 노력을 개선하기 위해 대응 계획을 구현하는 숙력된 인력으로 구성된 전담 IR팀 (IRT)를 구성해야 함

9. Key incident response elements 효과적인 사고 대응 계획

1. Define the organization's incident response mission 계획은 사명을 명확하게 정의하며, 그 사명은 조직의 목표와 일치해야 함
2. Set specific strategies and objectives 이 계획은 사고 발생 시 팀의 조치를 안내하는 구체적인 전략과 목표를 설정
3. Has senior management commitment 계획에는 필요한 자원을 확보하기 위해 최선을 다하는 고위 경영진의 지원이 포함
4. Include defined procedures and protocols 이 계획에는 사고에 대응하기 위한 정의된 절차와 프로토콜이 포함
5. Emphasize communication within the incident response team 이 계획은 긴급 상황 시 협업을 위한 사고 대응 팀 내 커뮤니케이션을 강조
6. Provide methods for measuring incident response effectiveness 이 계획은 사고 대응 효과를 측정하여 준비 상태를 평가하고 개선 영역을 식별하는 방법을 제공
7. Include strategies for enhancing incident response capabilities 계획에는 사고 대응 역량을 강화하기 위한 전략이 포함

• Known as playbooks 대규모 조직에서는 플레이북이라고 불리는 사용자 지정 사고 대응 계획을 만듦
• Created to optimize incident response strategies and tactics 다양한 비즈니스 부문에 맞게 조직의 사고 대응 전략과 전술을 최적화할 수 있음

Provide incident response training

• Prepares team members 구성원이 보안 사고에 효과적으로 대처할 수 있도록 준비
• 교육을 통해 직원은 사고 발생 시 자신의 특정 역할과 책임을 이해하여 신속하고 체계적인 대응이 가능해짐
• Consists of 구성 :
  • Theoretical knowledge 이론
  • Practical exercise 실습
  • Regular drills
  • Silmulations
• Builds team confidence
• Keeps the team aware of the latest challenges
  • 예를 들어 구성원은 일반적인 보안 위협, 사고 발생 시 취해야 할 조치, 대응에 필요한 도구를 사용하는 방법 등을 배움
  • 정기적인 훈련과 시뮬레이션은 IR 교육의 중요한 부분
  • 이러한 연습은 실제 시나리오를 모방하여 참여자가 압박 속에서도 기술을 연습하고 의사 결정을 개선할 수 있도록 도와줌
• 목표
  • 팀원들 사이에 신뢰를 쌓아 사건이 발생했을 때 신속하고 효과적으로 조치를 취할 수 있도록 하는 것
• 보안 위협의 환경이 끊임없이 변화함에 따라 지속적인 교육과 자료에 대한 업데이트도 필요함
• 조직은 실용적인 사고 대응 교육에 투자함으로써 보안 문제를 해결할 준비가 된 충분한 정보를 갖춘 팀을 구성할 수 있게 됨

Tools, technologies, and practices

• 스마트폰 : 네트워크 장애 시 원활한 커뮤니케이션이 가능
• Incident reporting systems 사고 보고 시스템 구축 : 의심되는 문제를 효율적으로 문서화하고 escalation
• Issue-tracking system 문제 추적 시스템 구축 : 진행 상황 및 우선 순위 작업을 모니터링하는 문제 추적 시스템 구현
• Encryption software 암호화 소프트웨어 사용 : 사고 발생 시 민감한 데이터 보호 가능
• Secure storage space 보안 저장 공간 할당 : 수집된 물리적 증거를 보호하는 데 매우 중요
• Forensic workstations 제공 : 조직에서 Threat Intelligence를 수집하고 관련 데이터를 분석하는 동시에 운영 유지 가능
• 추가 리소스에는
  • 현장 문서화를 위한 휴대용 프린터
  • 네트워크 트래픽 분석을 위한 패킷 스니퍼, 프로토콜 분석기
  • 사고 조사 및 예방을 위한 디지털 포렌식 소프트웨어 및 증거 수집 도구가 포함됨