침해사고 대응: 탐지부터 복구까지의 IR 프로세스

지난 글에서 SIEM으로 공격을 탐지하는 관측 체계를 다뤘다. 그런데 경보가 울린 순간이 끝이 아니라 시작이다. “지금 우리 시스템이 침해당하고 있다”는 사실을 알았을 때, 무엇을 어떤 순서로 해야 하는가? 이 질문에 미리 답을 준비해 두는 것이 침해사고 대응(Incident Response, IR)이다. 사고는 가장 바쁜 날, 가장 중요한 사람이 자리를 비운 새벽에 터진다. 그 혼란 속에서 즉흥적으로 대응하면 반드시 실수한다.

사고 대응의 역설: 준비가 9할이다

침해사고 대응에서 가장 중요한 단계는 사고가 터진 뒤가 아니라 그 전에 있다. 불이 난 뒤에 소화기 위치를 찾고 대피로를 정하면 늦다. IR도 마찬가지다. 연락망, 권한, 백업, 로그, 플레이북이 평시에 준비되어 있지 않으면, 사고 당일의 모든 행동이 느리고 어설퍼진다.

가장 흔한 실수 두 가지를 먼저 짚자.

성급한 재부팅·삭제: 침해를 발견하자마자 서버를 끄거나 악성 파일을 지우면, 메모리에만 있던 증거와 공격 경로가 함께 사라진다. 원인을 모른 채 복구하면 같은 경로로 다시 뚫린다.
혼자 조용히 처리: 패닉에 빠진 담당자가 보고 없이 혼자 해결하려다 골든타임을 놓친다. IR은 팀 스포츠다.

사고 대응 6단계

NIST SP 800-61이 정의한 사고 대응 생애주기가 사실상의 표준이다. 준비 → 탐지·분석 → 격리 → 근절 → 복구 → 사후 검토의 6단계로, 마지막이 다시 처음으로 환류되는 순환 구조다.

침해사고 대응 6단계

1. 준비 (Preparation)

평시에 하는 모든 일이 여기 들어간다. IR 플랜 문서, 비상 연락망(에스컬레이션 경로 포함), 사고 대응에 필요한 권한의 사전 확보, 충분한 로깅과 검증된 백업, 시나리오별 플레이북, 그리고 정기 모의훈련. 특히 플레이북과 훈련이 중요하다. 종이 위의 계획은 실제로 돌려 보기 전까지는 환상이다.

2. 탐지·분석 (Detection & Analysis)

SIEM 경보, 사용자 신고, 외부 제보로 이상을 인지하고 “이것이 진짜 사고인가, 오탐인가”를 판정한다. 사고로 확정되면 범위(어떤 시스템·데이터가 영향받았나)와 심각도를 산정해 분류한다. 이 분류가 이후 모든 대응의 강도를 결정한다.

3. 격리 (Containment)

확산을 멈추는 단계다. 핵심은 두 가지 격리 전략의 균형이다.

단기 격리: 즉시 피해를 멈춘다 — 침해된 계정 정지, 세션·토큰 무효화, 의심 IP 차단, 감염 호스트 네트워크 분리.
장기 격리: 비즈니스를 유지하면서 조사를 위한 환경을 만든다.

이때 증거 보존을 절대 잊으면 안 된다. 감염된 시스템을 즉시 파괴하는 대신, 디스크·메모리 이미지를 확보하고 로그를 별도 보관한다. 이 증거는 근본 원인 분석과 (필요시) 법적 대응의 토대가 된다.

4. 근절 (Eradication)

원인을 제거한다. 악성코드와 백도어 제거, 악용된 취약점 패치, 침해 가능성이 있는 모든 자격증명 교체(공격자가 무엇을 훔쳤는지 100% 알 수 없으므로). 근본 원인을 제거하지 않은 복구는 재침해로 이어진다.

5. 복구 (Recovery)

시스템을 정상으로 되돌리고, 깨끗함을 검증한 뒤 서비스를 재개한다. 복구 직후가 가장 위험하다 — 공격자가 다시 시도하는지 평소보다 훨씬 집중적으로 모니터링한다.

6. 사후 검토 (Post-Incident Review)

가장 자주 생략되지만 가장 가치 있는 단계다. “무슨 일이 있었고, 왜 막지 못했고, 다음엔 무엇을 바꿀 것인가”를 정리하고, 그 교훈을 준비 단계의 개선으로 환류한다. 핵심은 비난 없는(blameless) 포스트모템이다. 누가 잘못했는가가 아니라 어떤 시스템·프로세스가 그 실수를 가능하게 했는가를 묻는다. 비난이 시작되면 사람들은 정보를 숨기고, 조직은 배우지 못한다.

사고 대응 팀의 역할

혼란의 순간에 “누가 무엇을 하는가”가 정해져 있지 않으면, 모두가 같은 일을 하거나 아무도 중요한 일을 안 한다. 역할을 미리 직책으로 정의해 둔다.

사고 대응 팀 역할

특히 사고 지휘관(Incident Commander) 의 존재가 중요하다. 지휘관은 직접 키보드를 잡고 디버깅하지 않는다. 한 발 물러나 전체를 조율하고, 우선순위를 정하고, 의사결정을 내린다. 가장 뛰어난 엔지니어가 문제에 코를 박고 있으면 누구도 전체 그림을 보지 못한다. 그리고 기록 담당(Scribe) 이 모든 조치와 시각을 실시간으로 남겨야 한다. 이 타임라인이 사후 검토와 법적 증빙의 토대가 된다.

통지 의무와 커뮤니케이션

기술적 대응만큼 중요한 것이 커뮤니케이션이다. 특히 개인정보가 유출됐다면 법적 통지 의무가 발생한다.

규제별 통지 시한 (대표 예시)
─────────────────────────────────────────
GDPR (EU)        : 인지 후 72시간 내 감독기관 통지
한국 개인정보보호법 : 인지 후 72시간 내 정보주체·기관 통지
                   (1천 명 이상 등 요건 시)
미국 (주별 상이)   : 주마다 통지 요건·시한 다름
PCI-DSS          : 카드 정보 침해 시 카드사·브랜드 통지

시한이 짧고 법적 책임이 따르므로, 법무·커뮤니케이션 담당이 IR 팀에 처음부터 포함돼야 한다. 외부 공지는 정확성과 신속성 사이의 균형이 필요하다 — 너무 빠르면 부정확하고, 너무 늦으면 신뢰를 잃는다.

사고 등급 분류 예시

모든 사고에 전사 비상을 거는 것은 비현실적이다. 심각도에 따라 대응 강도를 차등화한다.

# 사고 심각도 등급 (조직마다 조정)
SEV1:  # 즉시 전사 대응
  조건: 고객 데이터 유출 · 핵심 서비스 전면 중단
  대응: 지휘관 소집, 경영진 보고, 24시간 대응
SEV2:  # 보안팀 + 해당 팀
  조건: 제한적 침해 · 단일 시스템 손상
  대응: 업무 시간 우선 대응, 일일 보고
SEV3:  # 일반 처리
  조건: 잠재적 위협 · 정책 위반 · 격리된 이상
  대응: 백로그 우선순위로 처리

작게 시작하기

대기업 수준의 IR 조직이 없어도 핵심 골격은 갖출 수 있다.

1페이지 IR 플랜: 누구에게 연락하고, 누가 결정하고, 첫 1시간에 무엇을 하는지
연락망과 권한: 새벽에도 닿을 수 있는 비상 연락처, 긴급 권한 부여 절차
테이블탑 훈련: 분기에 한 번, 가상 시나리오로 30분 토론. 실제 시스템을 만지지 않고도 플랜의 구멍이 드러난다
검증된 백업: 복구 가능 여부를 실제로 테스트해 둔 백업

이렇게 보안 운영의 큰 그림 — 예방, 탐지, 대응 — 을 한 바퀴 돌았다. 마지막으로 이 모든 활동을 규율하는 외부의 틀이 있다. 다음 글에서는 GDPR, PCI-DSS, ISO 27001 같은 보안 컴플라이언스의 기초를 다룬다.

지난 글: 보안 모니터링과 SIEM: 공격을 탐지하는 관측 체계

다음 글: 보안 컴플라이언스 입문: GDPR·PCI-DSS·ISO 27001 기초

읽어주셔서 감사합니다. 😊