사고 대응은 모든 준비가 잘 된 조직의 정보 보안 관리 프로세스에서 중요한 구성 요소가 되었습니다. 효과적인 사고 대응을 수행하려면 리소스와 계획이 필요하며, 법적으로 타당한 증거 보존은 간과하기 가장 쉬운 부분 중 하나입니다. 사고 대응자는 활성 위협 억제에 집중하고 있으며, 실시간 사고의 빠르고 변화하는 특성으로 인해 누군가 그것이 중요하다는 것을 깨닫기 전에 증거를 파괴하거나 오염시키기 쉽습니다.
이 블로그는 증거 보존과 증거 무결성을 보호하는 사고 처리 단계, 먼저 보존해야 할 항목, 그리고 디지털 증거를 사후 분석, 보험 청구 또는 형사 조사에 사용 가능하도록 유지하는 방법을 다룹니다.
증거 보존이 중요한 이유는 무엇입니까?
보안 사고 중에 중요한 전자 증거를 보존하는 것은 전체 사고 개요를 파악하고 추가 조사 및 위협 억제/제거의 기초를 확립하기 위해 필수적입니다. 증거 보존은 성공적인 사고 분석에 매우 중요하며, 모든 잠재적으로 관련된 데이터가 캡처되고 조사 전반에 걸쳐 손상되지 않은 상태로 유지되도록 엄격한 데이터 보존 표준에 따라 달라집니다.
사이버 공격을 탐지한 후 대부분의 사고 대응자는 가능한 한 빨리 이를 억제하고 복구할 준비가 되어 있습니다. 대응자는 여전히 증거 수집을 서두르지 않도록 주의해야 합니다. 서두르면 공격자의 방법론이나 침해 경로를 파악할 수 있는 증거 가치가 있는 항목을 파괴하거나 손상시킬 수 있습니다. 이러한 증거 항목이 확립된 규정 및/또는 모범 사례에 따라 적절하게 수집되면 법 집행 기관이 범죄를 기소하는 데 추가적으로 도움이 될 수 있습니다. 이것이 모든 사고에서 증거 보존이 첫 번째 우선순위여야 하는 이유입니다.
NIST 사고 대응 단계 및 증거 보존이 적용되는 위치
NIST SP 800-61은 사고 대응을 4가지 단계로 구성하며, 증거 보존은 모든 단계에 영향을 미칩니다.
- 준비: 사고 발생 중이 아닌 발생 전에 포렌식 도구, 저장소 및 증거 보관 절차를 준비해 두세요.
- 탐지 및 분석: 사고를 처음 드러낸 알림, 로그 및 시스템 상태를 캡처하세요. 이 단계에서 어떤 증거가 범위에 포함되는지도 결정합니다.
- 억제, 제거 및 복구: 증거를 파괴하지 않으면서 위협을 억제하세요. 이는 모든 사고 대응팀(IRT)이 실시간으로 관리해야 하는 실질적인 긴장 관계입니다.
- 사후 활동: 보고서를 작성하고, 교훈을 문서화하며, 증거 기록을 공식적으로 종료하세요.
이 생명 주기 내에서 NIST SP 800-86은 디지털 포렌식 프로세스를 구체적으로 정의합니다: 수집, 검사, 분석 및 보고. 수집 중에 증거를 식별, 레이블 지정, 기록 및 수집하면서 무결성을 적극적으로 보존하는데, 이것이 우리가 초점을 맞추고 있는 단계입니다.
주로 IRT는 사고 또는 유사한 성격의 사고에 대비해야 하므로 빠르게 상황을 인식하고 영향을 받은 자산에 대한 포렌식 분석을 즉시 시작할 수 있습니다. 다음 단계는 손상을 억제하고 최소화한 다음 영향을 받은 데이터 및 시스템을 최대한 복구하는 것입니다.
사고 후 조직은 상세한 설명과 유사한 사고를 방지하기 위한 제안된 솔루션이 포함된 사후 보고서를 작성해야 합니다. IRT가 영향을 받은 환경에 도달하는 즉시 디지털 증거를 올바르게 인식하는 것이 위험이 복합되는 것을 방지합니다.
디지털 증거 인식 기준
단일 출처 또는 여러 출처에서 디지털 증거를 수집하든 주요 증거를 보존하기 위해 법적으로 타당한 방법이 필요합니다. 이렇게 하면 사고의 명확한 그림을 확립하고 효과적인 대응을 지원합니다.
디지털 환경 평가
가장 많은 오탐을 생성하는 알림을 평가하고 파싱 규칙을 최적화하여 오탐을 줄이세요. 불필요하게 광범위한 알람을 조정할 수 있으면 SIEM, Syslog 또는 기타 피드에서 매일 검토해야 하는 알림의 수를 크게 줄일 수 있습니다. 관련 알림을 더 정확하게 분석하면 분석가의 알림 피로도뿐만 아니라 네트워크의 악성 활동 체류 시간도 크게 줄일 수 있으며, 이는 더 빠르게 식별되고 복구됩니다.
증거 확보
앞서 언급했듯이, 증거를 수집하는 담당자의 근본적인 책임은 수집 과정에서 증거가 오염되지 않도록 조치를 취하는 것입니다. 수집 요구 사항, 포렌식 모범 사례 또는 바이러스/악성코드 격리를 위해 시스템/네트워크를 종료해야 할 수 있습니다. 또한 진행하기 전에 증거를 보존하고 백업을 수행해야 할 수 있습니다. 백업에는 나중에 소송이 발생할 경우 조사관을 지원하기 위해 사건과 관련된 증거 가치가 있는 특정 항목의 사본도 포함될 수 있습니다. 각 증거는 손상이나 변조로부터 보호되어야 하며, 레이블이 지정되어야 하고 적절한 증거 보관 체인이 유지되어야 합니다.
이 단계가 완료되면 IRT는 공격이나 데이터 유출로부터 영향을 받은 모든 시스템과 컴퓨터를 격리, 제거 및 복구하는 프로세스를 계속할 수 있습니다. 법 집행 기관이 추가로 개입하거나 요청하는 경우, IRT는 압수되는 항목의 사본과 수행된 모든 활동의 상세한 로그 또는 기록을 이전할 준비가 되어 있어야 합니다.
컴퓨터, 장치 및 미디어 준비
포렌식 실험실에 도착하면 모든 증거와 장비를 적절히 검사하여 운송 중에 변조가 발생하지 않았는지 확인해야 합니다. 모든 증거는 안전 보관 및 상세 검사를 위해 증거 보존 실험실에 배치됩니다. 이 절차가 완료된 후 수색 및 압수 증거 로그와 배송 명세서도 실험실에 보관됩니다.
최종 참고 사항
따라서 증거 보존의 중요성은 사이버 보안 관련 사건 중 어떤 사건에서든 중요하며, 향후 사용 및 분석을 위해 디지털 증거를 최적으로 처리하기 위해 IRT와 포렌식 검사관 간의 협업이 필요합니다.
Sumo Logic과 같은 SIEM 솔루션은 조직이 사건에 더 빠르고 효과적으로 대응하도록 도울 수 있습니다.
조직에 어떻게 도움이 될 수 있는지 확인해 보세요. 데모를 신청하세요.
