AWS의 사고 대응 수명 주기

보안 사고란 AWS 리소스 또는 데이터의 기밀성, 무결성, 가용성을 침해할 수 있는 모든 이벤트를 의미합니다. 유출된 액세스 키, 악성 코드에 감염된 인스턴스, 노출된 S3 버킷 등이 그 예입니다.

사고 대응(IR)은 이러한 이벤트를 대비하고, 탐지하고, 복구하기 위한 체계적인 프로세스입니다. AWS에서는 클라우드가 온프레미스 팀이라면 꿈꾸기만 할 속도와 자동화 기능을 제공합니다.

AWS는 사고 대응을 크게 세 단계로 구분하며, 각 단계는 이전 단계를 기반으로 합니다.

• 준비 — 문제가 발생하기 전에 담당자, 프로세스, 도구를 마련합니다.
• 운영 — 진행 중인 이벤트에서 탐지, 분석, 억제, 제거, 복구를 수행합니다.
• 사고 후 — 발생한 일을 바탕으로 배우고 개선합니다.

이 단계는 시험에서 알아야 하는 전통적인 NIST 수명 주기와 밀접하게 대응합니다.

준비는 압박이 시작되기 전에 통제할 수 있는 유일한 단계이므로 가장 중요합니다. 여기에는 실행 지침서 작성, 대응 담당자에게 사전에 적절한 IAM 역할 부여, 모든 곳에서 로깅 활성화, 모의 훈련을 통한 연습이 포함됩니다.

준비된 팀은 몇 분 안에 사고를 억제할 수 있습니다. 즉흥적으로 대응하는 팀은 누가 행동할 권한이 있는지 결정하는 데 귀중한 시간을 잃습니다.

탐지는 원시 신호를 확인된 사고로 전환합니다. Amazon GuardDuty, AWS Security Hub, CloudTrail과 같은 서비스가 의심스러운 활동을 드러냅니다.

분석은 핵심 질문에 답합니다. 영향을 받은 리소스는 무엇인지, 공격자는 어떻게 침입했는지, 피해 범위는 어느 정도인지 확인합니다. Amazon Detective를 사용하면 단일 결과에서 전체 상황으로 피벗할 수 있습니다.

억제는 증거를 훼손하지 않으면서 피해 확산을 막습니다. 제한적인 보안 그룹을 사용해 EC2(Elastic Compute Cloud) 인스턴스를 격리하거나, 침해된 역할 세션을 취소하거나, 액세스 키를 비활성화할 수 있습니다.

목표는 포렌식에 필요한 상태를 보존하면서 피해를 제한하는 것입니다. 지나치게 공격적으로 대응하면 조사에 필요한 단서 자체가 사라질 수 있습니다.

제거는 공격자와 근본 원인을 없애는 단계입니다. 취약점을 패치하고 백도어를 삭제하며 노출된 모든 비밀 정보를 교체합니다.

복구는 정상적인 운영을 되돌리는 단계입니다. 신뢰할 수 있는 이미지로 깨끗한 인스턴스를 다시 만들고, 백업에서 데이터를 복원하며, 시스템을 운영 환경에 다시 연결하기 전에 위협이 완전히 사라졌는지 확인합니다.

상황이 진정되면 비난 없이 사후 분석을 진행합니다. 타임라인, 잘 작동한 부분, 실패한 부분, 구체적인 개선 사항을 문서화합니다.

운영 절차서를 업데이트하고, 더 일찍 사고를 감지했을 탐지 제어를 추가하며, 수작업으로 처리한 단계를 자동화합니다. 모든 사고는 다음 대응을 더 빠르고 침착하게 만들 수 있는 기회입니다.

클라우드는 IR의 방식을 바꿉니다. API를 사용하면 한 번의 호출로 디스크를 스냅샷하고, 보안 그룹을 변경하거나, 역할을 격리하는 작업을 몇 초 만에 수행할 수 있습니다. 코드형 인프라를 사용하면 필요할 때 깨끗한 환경을 다시 만들 수 있습니다.

따라서 복구보다 재배포를 우선할 수 있습니다. 침해된 인스턴스를 새 인스턴스로 교체하는 편이 이를 정리하는 것보다 대개 빠르고 안전합니다.

책임을 명확히 정하면 혼란을 막을 수 있습니다. 누가 사고를 선언하고, 누가 관계자와 소통하며, 누가 실제로 시스템을 조작할지 정하십시오.

대응 담당자가 사용할 IAM 역할을 미리 만들어 액세스를 준비하고 감사 가능하게 하십시오. 공동 책임 모델은 여전히 적용됩니다. AWS는 클라우드를 보호하지만, 귀하의 계정에서 발생하는 이벤트에 대응하는 일은 귀하의 책임입니다.

첫 번째 실제 사고가 생애 첫 사고 대응이 되기를 바라지는 않을 것입니다. 훈련의 날은 팀이 운영 절차서를 처음부터 끝까지 연습하는 모의 이벤트입니다.

이때는 위험이 낮으므로 누락된 권한, 오래된 연락처 목록, 테스트되지 않은 자동화 같은 문제를 발견할 수 있습니다. 정기적인 리허설은 문서로 작성된 계획을 몸에 밴 대응 능력으로 바꿉니다.

어떤 서비스를 어느 단계에서 사용할지 연결해 두면 필요한 도구를 바로 찾을 수 있습니다.

• 탐지: GuardDuty, Security Hub, CloudWatch 경보
• 분석: Detective, CloudTrail, Athena
• 억제: 보안 그룹, IAM, AWS 시스템 관리자
• 복구: 백업, AMI(Amazon Machine Images), CloudFormation

수명 주기에 대한 이해도를 테스트해 보십시오.

AWS의 사고 대응은 준비, 탐지 및 분석, 억제, 제거, 복구, 사고 후 검토의 단계로 진행됩니다. 준비는 완전히 통제할 수 있는 단계이며, 훈련의 날을 통해 대비 상태를 유지할 수 있습니다. 클라우드에서는 API를 사용해 몇 초 만에 위협을 억제하고 환경을 다시 만들 수 있으므로, 복구보다 재배포를 우선할 수 있습니다. 증거가 보존되도록 신중하게 억제한 다음 근본 원인을 제거하고 신뢰할 수 있는 출처에서 복구하십시오.