IR 계정 및 도구 모음 준비

성숙한 AWS 조직은 별도의 보안 또는 사고 대응 계정을 만듭니다. 이 계정은 운영 환경과 격리되므로, 워크로드를 침해한 공격자가 조사 도구나 증거에 접근할 수 없습니다.

이 계정에는 포렌식 리소스, 중앙 집중식 로그, 이벤트가 시작될 때 대응 담당자가 맡는 역할이 보관됩니다.

침해가 발생한 계정에 로그와 도구가 함께 있었다면 공격자가 흔적을 감추기 위해 이를 삭제할 수 있습니다.

별도의 로그 보관 계정과 함께 사용하는 경우가 많은 격리된 IR 계정은 프로덕션 환경이 완전히 침해된 상황에서도 증거와 대응 기능을 공격자가 접근할 수 없는 곳에 보관합니다.

사고가 발생하기 전에 대응 담당자가 사용할 IAM 역할을 정의하십시오. 계정 간 역할을 사용하면 IR 계정에서 침해된 계정으로 들어가 디스크의 스냅샷을 만들거나 보안 그룹을 변경할 수 있습니다.

이러한 역할에는 권한 범위를 엄격히 제한하고, 상세한 로그를 남기며, 알림을 설정하십시오. 그러면 높은 권한의 접근을 즉시 사용할 수 있으면서도 몰래 악용되는 일은 막을 수 있습니다.

IR 계정에 즉시 사용할 수 있는 도구를 준비하십시오. 여기에는 보안이 강화된 포렌식 AMI, 볼륨을 읽기 전용으로 수집하고 연결하는 스크립트, 일반적인 격리 단계를 수행하는 자동화 문서가 포함됩니다.

이 도구를 미리 구축해 두면 대응 담당자는 시간이 촉박한 상황에서 도구를 조립하는 대신 조사에 집중할 수 있습니다.

CloudTrail, VPC 흐름 로그, Config 기록을 IR 계정 또는 로그 보관 계정으로 집계하십시오.

중앙 집중화를 사용하면 조사 담당자가 Athena로 조회할 신뢰할 수 있는 단일 위치가 생기며, 개별 계정이 삭제되더라도 감사 추적 기록이 보존됩니다. 이는 모든 AWS 조사의 핵심 기반입니다.

수집한 증거를 규정 준수 모드의 객체 잠금이 설정된 S3 버킷에 저장하십시오. 그러면 관리자조차 정해진 보존 기간 동안 증거를 삭제하거나 덮어쓸 수 없습니다.

이를 통해 정당성을 입증할 수 있는 증거 보관 연속성을 보장하고, 공격자와 실수로 인한 손실로부터 증거를 보호할 수 있습니다.

격리와 수집을 수행하는 EventBridge 규칙, Lambda 함수, SSM 자동화 문서를 미리 배포하십시오.

GuardDuty 탐지 결과가 들어오면 자동화가 몇 초 만에 리소스를 격리할 수 있습니다. 이를 미리 구축하고 테스트해 두었는지가 신속하고 능숙한 대응과 허둥대는 대응을 가릅니다.

대역 외 통신 수단을 준비하십시오. 공격자가 환경 내부에 있다면 모니터링되고 있을 수 있는 내부 이메일이나 채팅을 신뢰할 수 없습니다.

별도의 채널, 최신 연락처 목록, 에스컬레이션 경로를 준비해 두십시오. 누구에게 어떤 방법으로 연락해야 하는지 정확히 아는 것도 도구 모음의 일부입니다.

테스트하지 않은 IR 계정은 잘못된 자신감을 줍니다. 계정 간 역할 수임, 증거 수집, 자동화를 처음부터 끝까지 실행하는 모의 훈련을 진행하십시오.

테스트를 통해 권한 만료, 작동하지 않는 스크립트, 부족한 부분을 비용이 적게 드는 시점에 발견할 수 있습니다. 실제 공격자가 문제를 강제로 드러내기 훨씬 전이어야 합니다.

대응 담당자도 최소 권한 원칙을 따라야 합니다. IR 역할에는 조사와 격리에 필요한 작업만 정확히 허용하고, 그 이상은 허용하지 마십시오.

더 광범위한 권한을 가진 긴급 접근 역할을 마련할 수는 있지만, 평소에는 비활성 상태로 두고, 사용 시 알림을 생성하며, 사용 후 검토하십시오. 항상 켜져 있는 강력한 접근 권한 자체가 위험 요소입니다.

IR 계정을 방치하면 점차 낡아갑니다. 권한은 만료되고, AMI는 오래되며, 자동화는 실제 환경과 어긋납니다.

이 계정을 살아 있는 인프라로 취급하십시오. 코드로 관리하고, 포렌식 AMI에 패치를 적용하며, 자격 증명을 교체하고, 계정 간 신뢰 관계를 정기적으로 검토해야 사고가 선언되는 순간 도구 모음이 실제로 준비되어 있게 됩니다.

전용 계정을 사용하는 이유는 무엇일까요?

사전 프로비저닝된 계정 간 역할, 포렌식 도구 모음, 프로덕션 침해 이후에도 유지되는 중앙 집중식 로깅을 갖춘 전용 격리 IR 계정을 준비하십시오. 증거는 객체 잠금 버킷에 저장하여 변경할 수 없는 보관 연속성을 확보하고, 격리 자동화를 미리 배포하며, 대역 외 통신 경로를 준비해 두십시오. 대응 담당자에게도 최소 권한을 적용하고, 정기적인 모의 훈련을 통해 전체 설정이 작동하는지 입증하십시오.