사고 후 검토와 교훈

NIST Incident Response 수명 주기의 마지막 단계는 교훈 검토를 중심으로 하는 Incident 후 활동입니다. 이 단계를 생략하는 조직은 통계적으로 동일한 유형의 Incident를 다시 겪을 가능성이 더 높습니다. 교훈 도출 과정은 조직의 지식을 축적하고, Incident에 기여한 시스템적 약점을 식별하며, 통제, 프로세스 및 교육에 대한 구체적인 개선을 이끕니다. 이러한 피드백 순환이 없으면 Incident Response 비용은 높게 유지되고 공격자 체류 시간도 길게 유지됩니다.

Incident 후 검토(PIR)는 사후 분석 또는 사후 조치 보고서라고도 하며, Incident가 완전히 종료된 후 진행하는 구조화된 회의 및 문서화 절차입니다. PIR은 기억이 생생한 1~2주 이내에 진행해야 합니다. 주요 입력 자료에는 Incident Timeline, 수집한 모든 증거, 수행한 조치와 그 결과, 커뮤니케이션 기록, 최초 Incident 보고서가 포함됩니다. PIR에는 모든 이해관계자, 즉 보안 분석가, 시스템 소유자, 관리자, 법무팀 및 커뮤니케이션 팀이 참여해야 합니다.

가장 효과적인 사후 분석은 비난 없이 진행됩니다. 즉, 개별 팀원의 잘못을 찾기보다 시스템적 실패와 프로세스 개선에 초점을 맞춥니다. 사람들이 비난을 두려워하면 정보를 숨기거나 자신의 역할을 축소하여 불완전한 결과를 낳습니다. 비난 없는 접근 방식에서는 팀원들이 당시 자신이 알고 있던 정보를 바탕으로 합리적인 결정을 내렸다고 가정합니다. 초점은 개인이 아니라 시스템, 프로세스 및 도구에 맞춥니다. 사이트 신뢰성 엔지니어링에서 차용한 이 철학은 더욱 정확하고 실행 가능한 결과를 만들어 냅니다.

근본 원인 분석(RCA)은 Incident의 가장 깊은 근본 원인을 식별합니다. 단순히 즉각적인 기술적 트리거만 찾는 것이 아닙니다. 5 Whys 기법은 '왜?'라고 반복해서 질문하여 Incident를 시스템의 근본 원인까지 추적하는 방법입니다. 예를 들어 보겠습니다. 왜 데이터가 유출되었습니까? 악성 코드가 Running 중이었기 때문입니다. 왜 악성 코드가 Detection되지 않았습니까? AV 시그니처가 업데이트되지 않았기 때문입니다. 왜 업데이트되지 않았습니까? Patch 적용이 자동화되지 않았기 때문입니다. 왜 그렇습니까? IT에 Patch 적용 정책을 Enforce하는 체계가 없었기 때문입니다. 근본 원인은 '패치되지 않은 시스템'이 아니라 Patch 관리 정책의 부재입니다.

Incident 후 검토를 통해 주요 보안 Metrics를 산출합니다. MTTD(평균 Detection 시간)는 Incident가 시작된 시점부터 보안 팀이 이를 발견한 시점까지의 평균 시간을 측정합니다. MTTD가 낮을수록 Detection이 빠르며 공격자가 피해를 일으킬 시간이 줄어듭니다. MTTR(평균 Response/Recovery 시간)은 Detection 시점부터 완전한 Recovery까지 걸리는 시간을 측정합니다. Incident 전반에서 이러한 Metrics를 추적하면 보안 투자가 시간이 지나면서 Detection 및 Response 속도를 개선하고 있는지 확인할 수 있습니다.

PIR은 Incident의 경과, 결과 및 개선 권고 사항을 기록하는 공식 문서인 사후 조치 보고서(AAR)를 작성합니다. 보고서에는 경영진을 위한 비기술적 요약, Incident Timeline, 근본 원인 분석, 영향 평가(시스템, 데이터, 재무 및 평판), 효과가 있었던 부분, 개선 영역, 담당자와 기한이 지정된 우선순위별 조치 항목 목록이 포함됩니다. AAR은 많은 관할권에서 변호사와 의뢰인 간 비밀 유지 특권의 보호를 받는 기밀 문서입니다.

PIR 결과는 구체적인 개선으로 이어져야 합니다. Incident를 통해 랜섬웨어 플레이북에 클라우드 백업 검증 단계가 없다는 사실이 드러났다면, 플레이북을 다시 사용하기 전에 해당 단계를 추가해야 합니다. 정책의 공백이 공격을 가능하게 했다면(예: MFA requirement가 없음), 정책을 업데이트하고 Enforce 여부를 확인해야 합니다. 업데이트된 플레이북과 정책은 버전을 관리하고 모든 CSIRT 구성원에게 배포해야 하며, 개선 사항이 실제로 정착되도록 교육과 모의 훈련에도 반영해야 합니다.

모든 인시던트는 새로운 탐지 규칙으로 발전시켜야 할 공격자 행동 패턴을 드러냅니다. 공격자가 측면 이동에 특정 PowerShell 명령을 사용했다면, 이후에는 SIEM 규칙이 이러한 패턴을 탐지해 경고하도록 해야 합니다. 특정 명령 및 제어 도메인에 접속했다면 해당 도메인을 위협 인텔리전스 차단 목록과 SIEM 감시 목록에 추가해야 합니다. 인시던트 이후의 탐지 엔지니어링은 각 인시던트를 지속적인 방어 개선으로 전환합니다. 이 순환 과정을 따르면 조사한 인시던트가 거듭될수록 보안 태세가 향상됩니다.

보안 팀은 기술적인 인시던트 조사 결과를 최고 경영진이 이해할 수 있는 비즈니스 용어로 바꾸어 전달해야 합니다. 경영진은 비즈니스 영향(손실된 데이터, 규제상 노출, 매출 영향, 평판 위험), 비기술적 언어로 설명한 근본 원인, 재발 방지를 위해 필요한 투자, 현재 보안 프로그램의 효과를 이해해야 합니다. 보안 도구나 인력에 대한 예산을 권고하는 PIR 조사 결과는 기술 사양보다 비즈니스 위험의 관점에서 설명할 때 승인될 가능성이 더 높습니다.

인시던트 이후 활동에는 규제 기관에 대한 통지가 정확하게, 그리고 요구된 기한 내에 완료되었는지 확인하는 일이 포함됩니다. 일부 규정에서는 침해 이후 평가 보고서를 규제 기관에 제출하도록 요구합니다. 법적 보존 명령에 따라 인시던트 증거를 장기간 보존해야 할 수도 있습니다. 인시던트가 소송의 대상인 경우 AAR이 증거개시의 대상이 될 수 있으므로, 배포하기 전에 법률 자문을 받아야 합니다. 일부 조직은 조사 결과를 증거개시로부터 보호하기 위해 특별히 변호사와 의뢰인 간 비밀유지 특권의 적용을 받도록 PIR을 수행합니다.

PIR 조치 항목은 단순히 담당자를 지정하는 데 그치지 않고 실제 완료까지 추적해야 합니다. 각 조치 항목에는 구체적인 담당자(‘보안 팀’과 같은 표현이 아님), 측정 가능한 성공 기준, 기한, 추적 수단(티켓 관리 시스템이나 프로젝트 관리 도구)이 필요합니다. 담당자가 지정되었지만 추적되지 않는 조치 항목은 동일한 취약점이 여러 인시던트에 걸쳐 계속 남아 있게 만듭니다. 월간 보안 운영 검토에는 모든 항목이 완료될 때까지 PIR 조치 항목의 상태를 다루는 고정 안건이 포함되어야 합니다.

이 레슨에서 배운 CompTIA Security+ (SY0-701) 개념을 얼마나 이해했는지 확인해 보세요.

이 레슨에서는 다음을 배웠습니다. 비난 없는 사후 검토는 체계적 장애에 초점을 맞춰 더 정확한 조사 결과와 더 폭넓은 팀 참여를 이끌어 냅니다. MTTD와 MTTR은 보안 투자가 탐지 및 대응 속도를 향상시키고 있는지 보여 주는 핵심 지표입니다. 또한 PIR 조치 항목은 조사 결과가 실제 보안 개선으로 이어지도록 완료까지 추적해야 합니다. 다음에서는 디지털 포렌식에서 변동성 순서와 증거 수집을 살펴보겠습니다.