대응 조치

위협을 탐지하는 것은 전체 작업의 절반에 불과합니다. 대응은 공격을 중지하고 정리하기 위해 수행하는 조치입니다.

신속한 대응은 피해를 제한하고 확산을 막습니다.

격리(네트워크 봉쇄)는 감염된 엔드포인트를 네트워크에서 차단합니다.

해당 컴퓨터는 조사를 위해 EDR 콘솔과 계속 통신할 수 있지만, 악성 코드를 확산시키거나 데이터를 유출할 수는 없습니다.

분석가는 원격으로 유해한 프로세스를 중지할 수 있습니다.

프로세스를 종료하면 암호화나 데이터 탈취와 같은 공격자의 현재 활동이 중단되며, 더 심층적인 정리는 계속 진행됩니다.

격리는 의심스러운 파일을 안전하게 잠긴 위치로 옮깁니다.

이제 해당 파일은 실행될 수 없지만 증거로 보존되며, 안전한 파일로 판명되면 복원할 수 있습니다.

위협을 파악한 후 팀은 어디서나 해당 침해 지표를 차단합니다.

• 악성 파일 해시
• 악성 IP 주소와 도메인

이렇게 하면 다른 모든 엔드포인트를 한 번에 보호할 수 있습니다.

경고가 발생하면 일부 조치는 자동으로 실행될 수 있습니다.

예를 들어 랜섬웨어 동작이 탐지되는 즉시 엔드포인트가 스스로를 격리할 수 있으므로, 사람이 경고를 읽기도 전에 대응이 이루어집니다.

정리하기 전에 분석가는 원격으로 증거를 수집합니다.

• 실행 중인 프로세스 목록 수집
• 분석을 위해 의심스러운 파일 가져오기
• 엔드포인트에서 원격 셸 열기

이를 통해 공격 상황을 명확하게 파악할 수 있습니다.

위협 제거 조치는 위협을 없애고 위협이 만든 변경 사항을 되돌립니다.

• 악성 파일 삭제
• 지속성 항목 제거
• 유해한 구성 변경 사항 되돌리기

일부 EDR 도구는 랜섬웨어가 암호화한 파일을 복원하는 등 악성 코드가 만든 변경 사항을 되돌릴 수 있습니다.

변경 사항을 되돌릴 수 없으면 컴퓨터를 깨끗한 이미지로 다시 구축합니다.

대응은 더 넓은 주기의 일부입니다.

• 식별 위협 파악
• 봉쇄 위협 격리
• 제거 위협 제거 조치 수행
• 복구 시스템 복원
• 학습 사고에서 교훈 얻기

사고가 발생한 후 팀은 무슨 일이 있었는지 검토합니다.

공격자가 어떻게 침입했는지 기록하고 탐지 규칙과 정책을 업데이트하여 같은 공격이 다시 성공하지 못하도록 합니다.

대응 조치에 대한 이해도를 확인해 보세요.

EDR의 대응 조치는 다음과 같습니다.

• 호스트 격리, 프로세스 종료 및 파일 격리
• 침해 지표 차단 및 자동 봉쇄
• 위협 제거 조치, 변경 사항 되돌리기 및 교훈 기록

이 단계들은 식별, 봉쇄, 제거, 복구 주기를 따릅니다.