일반적인 이벤트를 위한 런북 구축

운영 절차서는 특정 유형의 사고가 발생했을 때 팀이 따르는 단계별 안내서입니다. 스트레스를 받으면 사람들은 단계를 잊고 확인 절차를 건너뜁니다. 좋은 운영 절차서는 추측에 의존할 필요를 없앱니다.

운영 절차서는 전문가의 지식을 반복 가능한 절차로 바꾸어, 당번인 누구나 실행할 수 있게 합니다. 그 결과 대응이 일관되고 빠르며 감사 가능해집니다.

두 용어는 겹치는 부분이 있지만, 다음과 같이 구분하면 유용합니다.

• 대응 지침서는 상위 수준의 전략입니다. 특정 유형의 사고에 대한 의사 결정 흐름과 참여자를 정의합니다.
• 운영 절차서는 이를 실행하기 위한 상세하고 대개 기술적인 작업 순서입니다.

대응 지침서는 무엇을 할지 결정하고, 운영 절차서는 정확히 어떻게 할지 설명합니다.

완성도 높은 운영 절차서에는 명확한 트리거, 사전 요구 사항, 순서가 정해진 단계, 예상 결과, 롤백 지침이 포함됩니다.

어떤 API를 호출하고, 어떤 콘솔 화면을 사용하며, 어떤 역할을 맡을지 등 수행할 AWS 작업을 정확히 명시하고, 각 단계에서 성공한 상태가 무엇인지 설명합니다. 몇 분이 중요한 상황에서는 모호함이 가장 큰 적입니다.

하나의 거대한 문서 대신 일반적인 시나리오마다 운영 절차서를 만드십시오.

• 공개 저장소에 노출된 액세스 키
• 침해된 EC2 인스턴스
• 공개적으로 노출된 S3 버킷
• 새로운 리전에서 발생한 비정상적인 API 호출

특정 상황에 맞춘 운영 절차서는 모든 상황을 한데 담은 방대한 문서보다 따라 하기 쉽고 빠릅니다.

유출된 키에 대한 운영 절차서는 다음과 같이 작성할 수 있습니다. GuardDuty 탐지를 확인하고, 키 소유자를 식별하며, 키를 비활성화하고, 해당 키로 수행된 작업을 CloudTrail에서 검토한 뒤, 영향을 받은 비밀 정보를 교체하고 관계자에게 알립니다.

각 단계는 정확한 도구를 참조하고, 다음 단계로 넘어가기 전에 확인 절차를 포함합니다.

운영 절차서는 사람이 따르는 문서로 시작합니다. 절차가 성숙해지면 AWS 시스템 관리자 자동화 문서나 Lambda 함수를 사용해 안전하고 반복 가능한 단계를 자동화하십시오.

이는 하나의 연속선상에 있습니다. 판단이 필요한 부분은 사람이 맡고, 기계가 기계적인 단계를 매번 안정적이고 동일하게 처리하도록 하십시오.

AWS 시스템 관리자(SSM) 자동화 운영 절차서는 리소스 전반에서 작업을 수행하는 관리형 문서입니다. AWS는 미리 만들어진 운영 절차서를 수십 개 제공하며, 사용자 지정 문서도 작성할 수 있습니다.

인스턴스를 중지하고 구성을 변경하거나 승인과 함께 여러 단계를 연결할 수 있으므로, 문서로 작성된 절차를 실행 가능하고 감사 가능한 자동화로 바꿀 수 있습니다.

오래된 운영 절차서는 위험합니다. 더 이상 존재하지 않는 리소스를 삭제하도록 대응 담당자를 안내하거나, 이름이 변경된 역할을 맡도록 할 수 있기 때문입니다.

운영 절차서를 버전 관리에 저장하고, 모든 사고와 아키텍처 변경 후에 검토하십시오. 또한 훈련의 날에 유효성을 확인하여 오류가 실제 이벤트 중이 아니라 연습 중에 드러나게 하십시오.

대응 담당자가 단계를 수행할 수 없다면 운영 절차서는 쓸모가 없습니다. 각 운영 절차서에 필요한 IAM 역할과 권한을 미리 정의하십시오.

권한이 상승되어 있지만 평소에는 사용하지 않고, 상세히 기록하며, 사용 시 경보를 보내는 전용 비상 액세스 역할을 사용하십시오. 그러면 "IR 역할 맡기" 단계가 실제로 필요한 순간에 작동합니다.

기술적 작업은 전체 업무의 절반에 불과합니다. 운영 절차서에는 사고 지휘자, 법무 담당자, 경영진, 필요한 경우 고객에게 누구에게 어떻게, 언제 알릴지 포함해야 합니다.

억제 작업이 긴박하게 진행되는 동안 알림을 잊지 않도록 소통 계획을 운영 절차서에 포함하십시오. 명확하고 시기적절한 업데이트는 신뢰를 쌓고 공황을 줄입니다.

각 운영 절차서는 명시적인 확인 단계와 승인으로 마무리하십시오. 억제 후에는 위협이 완전히 사라졌고, 리소스가 정상 상태이며, 사고를 종결할 수 있는지 확인합니다.

문서화된 승인은 절반만 완료된 대응을 완료된 것으로 간주하는 일을 막으며, 확인 기록은 사고 후 검토에 직접 활용됩니다.

가장 적절한 설명을 고르십시오.

운영 절차서는 전문가의 대응 지식을 당번인 누구나 따를 수 있는 반복 가능하고 순서가 정해진 단계로 바꿉니다. 일반적인 이벤트마다 하나씩 만들고, 트리거·작업·확인·소통을 포함하며, 정확한 AWS 도구와 역할을 참조하십시오. 각 운영 절차서에 필요한 IAM 액세스를 미리 만들고, 기계적인 단계를 SSM Automation 또는 Lambda로 발전시키며, 모든 내용을 버전 관리하고 연습하여 오래된 상태로 방치되지 않게 하십시오.