침해사고 대응팀이란?
사이버 침해사고 대응팀(Computer Emergency Response Team, CERT)은 정보통신망과 정보시스템을 겨냥한 해킹, 악성코드 유포, 서비스 거부 공격(DDoS), 랜섬웨어 등 각종 사이버위협에 실시간으로 대응하고 피해 확산을 차단하는 전문 보안 조직이다.
국가 및 기업에서 운영하는 CERT 팀
해외:Mandiant(구글),JPCERT(일본),AWS CIRT(아마존),CISA (미국)
국내에서도 KISA 등에서 CERT 업무를 수행하는 KrCERT/CC팀이 있다.
KrCERT/cc 침해대응팀이 수행하는 업무
1.인터넷침해대응센터 운영
인터넷침해사고 조기탐지, 분석, 경보를 통해 피해 확산 방지와 상시적인 정보공유 및 신속한 공동대응체계 운영을 통해 정보통신망의 신뢰성 확보를 위한 일을 맡는다.
- 국내외 정보를 실시간으로 수집 및 탐지
- 365일 네트워크 모니터링
- 해킹·바이러스 경보 발령
- 침해사고 예방을 위한 기술지원
- 전산망 보안 기술 지침 개발 및 보급
- 기술 세미나 지원
2.침해사고 분석 및 기술 지원
해킹 및 바이러스 동향을 파악하고 최신 기법을 연구·분석하여 침해사고에 대한 대응방안 수립과 기술을 지원한다.
해킹·바이러스 기법 및 대처방안 연구
비상상황 발생시 긴급대응 지원
바이러스 샘플 채취 및 관련 기술 개발
침해사고 상담 접수 및 처리
전산망 보안 침해 사고 진단 분석 지원
3.침해사고 대응 협력체계 구축
국제침해사고대응팀협의회(FIRST)등 국제기구 참여, 한국침해사고대응협의회(CONCERT)운영을 통해 국내외 전문기관과 정보교류 및 협력체계를 구축하고 있다.
FIRST 활동 참여
FIRST 제공 정보의 공유
사고 통계 및 분석 결과 배포
국내 유관 기관 협력
보안관제(SOC)팀 vs 침해사고 대응 팀(CERT) 차이점
보안관제팀은 24시간 실시간 모니터링 업무를 수행하여 이상 징후 실시간 탐지 및 위협 사전 차단을 목표로 한다
반면 CERT팀은 사고 발생 직후 및 후속조치로 피해 최소화 원인 규명, 시스템 복구 및 재발 방지 목표로 업무를 수행한다.
보안관제팀 수행 업무
• 24/365 실시간 이벤트/로그 모니터링
• SIEM, SOAR, IDS/IPS 장비 운용
• 탐지 룰(Rule) 관리 및 1/2차 분석
• 심각한 침해사고 판단 시 CERT로 이관
CERT팀 수행 업무
• 악성코드 정밀 분석 및 디지털 포렌식
• 공격 주체(APT) 추적 및 CTI 연계
• 사고 원인 규명 및 복구 지원
CERT팀은 평상시에는 보안관제 업무를 지원하기도 한다.
침해사고 대응 절차
한국인터넷진흥원에서(KISA)에서 제공하는 침해대응사고 절차는 7가지로 구성되어있다.
1. 사고 전 준비 과정
사고가 발생하기 전 침해사고 대응팀과 조직적인 대응을 준비하는 단계
침해사고는 시스템 및 네트워크 의 운영이 관리자의 통제 및 예측을 벗어난 상태에서 운영될때 발생 된다는 것을 고려할때,
- 사고대응자는 사건이 언제 어떤 방식으로 일어날지 알 수 없는 특성
- 외부의 사고 대응자는 사고가 일어나기전에는 시스템을 관리할 권한이 없다는 특성
위 특성으로 인해 침해사고 대응팀이 사고 현장에 도착해서 빠르고 정확하게 사고대응을 실시할 수 있도록, 관리자와 긴밀한 협조 관계와 각 직책별 행동방안을 구축하고 사고대응을 위한 기술개발, 도구의 준비, 네트워크와 시스템의 사전 조치 등을 취하여야 한다
2. 사고탐지과정
정보보호 및 네트워크 장비에 의한 이상 징후 탐지, 관리자에 의한 침해 사고의 식별단계
침해사고는 주로 공격자에 의한 비인가접속, 전산 자원의 오남용 및 불법적인 사용시도로 성공하였다고 의심될때 관리자에의해 인지된다.
사고탐지는 시스템 및 네트워크 사용자 또는 관리자에 의해 탐지되며, 침입탐지시스템, 방화벽과 같은 정보보호 장비들에 의해 세부 기록을 확인가능하다
침해사고 세부기록을 확인하여 초기 대응 점검표가 완전히 작성된 이후에 침해사고 대응팀이 활동을 시작하여야 정확하고 신속한 대응이 가능하다. 대응팀은 사고 관련자들과 면담을 하면서 초기 대응 점검표를 작성하게된다.
다음 사진은 금융보안원이 제공하는 침해 대응 점검표다.
3.초기대응과정
최적의 전략을 결정하고 관리자 승인을 휙득, 초기 조사 결과를 참고하여 소송이 필요한 사항인지를 결정하여 사고 조사 과정에 수사기관 공조 여부를 판단하는 단계다.
초기 대응은 침해사고 대응팀을 소집하고, 네트워크와 시스템의 정보들을 수집하며, 발생한 사건의 유형 식별과 영향 평가를 포함하며, 대응 전략을 세우는 것이 목적이다.
초기 대응의 첫 단계는 전산 관리팀의 전문가가 조치를 수행하고, 침해사고 대응팀이 도착한 이후에는 초기 조치 사항들을 인수인계하고,
이후의 조치는 침해사고 대응팀에 맡기거나 함께 공조를 하게 된다.
원활한 인수인계 및 조치사항 검토를 위해 각 단계에서 수행되는 모든 행동들은 문서화하여 기록을 유지하는 것이 중요하다.
초기 대응 이후에는 관련 데이터를 수집하게 되는데, 이 과정에서는 다음과 같은 작업들이 포함된다.
- 사건의 기술적인 내용을 통찰할 수 있는 시스템 관리자와 면담
- 사건 분석을 위한 정황을 제공해 줄 수 있는 인원들과의 면담
- 침입 탐지 로그와 데이터 식별을 위한 네트워크 기반 로그의 분석
- 공격 경로와 수단을 알아내기 위한 네트워크 구조와 접근 통제 리스트의 분석 등
4.대응 전략 체계화
최적의 전략을 결정하고 관리자 승인을 휙득, 초기 조사 결과를 참고하여 소송이 필요한 사항인지를 결정하여 사고 조사 과정에 수사기관 공조 여부를 판단하는 단계
대응전략은 침해 사고의 환경에 많은 영향을 받는다. 사고조사를 위해 얼마나 많은 자원이 필요한지,
증거의 완벽한 확보를 위해 저장 매체를 완전히 복사하는 포렌식이미징(Forensic Duplication) 작업이 필요한지,
형사소송 또는 민사소송을 할 필요가 있는지, 대응 전략에 다른 관점이 있는지를 결정해야 한다.
이러한 결정을 위해 다음의 요소들을 검토하여 대응 전략을 수립하도록 한다.
내부적인 요인
- 침해당한 컴퓨터가 얼마나 중요하고 위험한가?
- 침해당하거나 도난당한 정보가 얼마나 민감한 것인가?
- 사건이 외부에 알려졌는가?
- 직/간접적인 공격자는 누구인가?
- 공격자에 의해 침해된 비인가 접근의 수준은 어느 정도인가?
- 공격자의 수준은 어느 정도인가?
- 시스템과 사용자의 업무중단 시간은 어느 정도인가?
- 네트워크 및 시스템 다운시간과 이로 인한 운영상의 영향
- 사건 공개와 그에 따른 조직의 대외 이미지와 업무에 영향
- 지적 재산권의 도용과 잠재적인 경제적 영향 등
다음에 나오는 기준들은 사고 대응에서 수사기관에 신고하여 법적인 대응을 할 것인지 아닌지를 결정할 때, 고려되어야 할 사항들이다.
- 사고의 비용이나 피해정도가 범죄 전문가를 초빙할만한가?
- 사법이나 형사 조치가 조직이 원한 만큼 결과를 이끌어 낼 것인가?(상대로부터 피해를 복구하거나 손해배상을 받을 수 있나?)
- 사고 원인 분석은 타당한가?
효과적인 수사에 도움이 되는 적절한 문서와 정리된 보고서를 가지고 있는가? - 수사관이 효과적으로 행동할 수 있도록 준비될 수 있는가?
- 수사관들과 공조한 경험이 있거나 그 방법을 잘 알고 있는가?
- 사고 내용의 공개를 감수할 수 있는가?
- 데이터 수집 절차는 합법적인 행동이었는가?
- 법률 분쟁이 사업 수행에 어떻게 영향을 줄 것인가?
이렇게 대내외상황에 따른 대응 전략을 수립하여 다음과 같은 조치사항을 작성할 수 있다.
5.사고 조사
데이터 수집 및 분석을 통하여 수행, 언제, 누가, 어떻게 사고가 일어났는지, 피해 확산 및 사고 재발을 어떻게 방지할 것인지를 결정하는 단계
이를 위해 사건조사는 호스트기반과 네트워크기반 증거로 나누어 조사해야한다.
사고조사는 공격자에 의해서 일어난 사고를 수습하고 공격자를 색출 하는 것에 초점이 맞추어질 것이다.
조사의 핵심은 누가 어떤것에 손상을 입혔는가를 확인 하는 것이다.
따라서 누가, 무엇을, 언제, 어디서 그리고 어떤 정보가 사고와 관련된 것 인지를 확인하기 위해 사고조사과정은 데이터수집과 자료분석단계로 나뉜다.
5.사고 조사 - 데이터 수집 단계
데이터 수집은 사건 분석을 하는 동안 깊이 살펴 보아야 할 범행들과 단서들의 수집이다.
수집한 데이터는 결론을 내는데 필요한 기본정보들을 제공한다.
만약 가능한 모든 데이터를 수집 하지 않았다면 적절하게 사고를 해결 할 수 없고
또 사고가 어떻게 일어났는지 이해 할 수 없을 것이다.
따라서 어떤 수사를 하기 전에 접근가능한 데이터를 모두 수집해야만 한다.
데이터 수집시 봉착하는 어려움 또는 요구사항
법적소송을 염두해둔다면 증거가 무결성과 적법성을 유지 하도록 디지털 데이터를 수집 해야 한다.
엄청난 양의 데이터를 수집하고 보관해야 할 경우가 있다.
이런 요구사항들은 만족 시키면서 기술적인 데이터를 획득하고 사고 분석을 하려면 컴퓨터 포렌식 기술이 필요하다
5.사고 조사 - 데이터 분석 단계
데이터 분석은 모든 수집된 정보의 전체적 조사를 의미한다.
분석대상은 로그 파일, 시스템 설정 파일, 웹 브라우저 히스토리 파일, 이메일 메시지와 첨부파일, 설치된 어플리케이션, 그림파일 등을 포함한다. 소프트웨어 분석, 시간/날짜 스탬프 분석, 키워드 검색, 그외의 필요한 조사과정을 수행한다.
6.보고서 작성 단계
보고서 작성은 보고서를 읽게 되는 상급자 또는 소송 관련자들이 컴퓨터에 대한 기본지식이 부족한 경우가 많기 때문에, 누구나 알기 쉬운 형태로 작성되어야 한다.
데이터 획득, 보관, 분석 등의 과정을 6하원칙에 따라 명백하고 객관적으로 서술해야 한다.
사건의 세부 사항을 정확하게 기술하고, 의사 결정자가 이해하기 쉽게 설명되어야 하며,
재판 과정에서 발생하게 될 논쟁에 대응할 수 있도록 작성되어야 한다.
7.복구 및 해결 과정
복구 및 해결 과정은 현재 발생한 사고로 인해 제 2, 제 3의 피해를 막고 재발을 방지하기 위한 조치들이 이루어진다.
조직의 위험 우선순위 식별
사건의 조치에 필요한 근원적이고 조직적인 원인 파악
침해 컴퓨터의 복구
네트워크, 호스트에 대해 밝혀진 취약점에 대한 조치
시스템을 개선할 책임자 지명
시스템 개선이 이루어지고 있는지 추적
모든 복구 과정이나 대책의 유용성 검증
보안 정책 개선
