침해 사고 첫 한 시간: 초기 증거 보존이 전부를 가른다

가장 흔한 실수는 "빨리 복구하는 것"

침해가 확인되면 현장의 첫 반응은 대개 재부팅, 재설치, 포맷입니다. 서비스를 살려야 한다는 압박 때문입니다. 그런데 이 행동이 침입 경로와 피해 범위를 판단할 근거를 함께 지웁니다.

결과적으로 같은 경로로 재침해되거나, 어디까지 유출됐는지 끝내 설명하지 못하는 상황이 생깁니다. 규제 신고 의무가 있는 조직이라면 이건 기술 문제가 아니라 법적 문제가 됩니다.

휘발성이 높은 것부터

증거는 사라지는 속도가 다릅니다. 빨리 사라지는 것부터 확보합니다.

특히 메모리는 전원을 내리는 순간 끝입니다. 악성코드가 디스크에 파일을 남기지 않는 경우가 많아, 메모리를 놓치면 분석 자체가 어려워집니다.

첫 한 시간에 할 일

1. 끄지 말고 격리한다

전원을 내리는 대신 네트워크에서 분리합니다. 스위치 포트 차단, VLAN 격리, 보안 그룹 규칙 변경 등 환경에 맞는 방법을 미리 정해 두세요.

2. 시각을 기록한다

모든 조치에 시각을 남깁니다. 누가, 언제, 무엇을 했는지가 없으면 나중에 공격자의 행위와 대응자의 행위를 구분할 수 없습니다. 시스템 시간과 실제 시간의 차이(시간 오프셋)도 함께 기록합니다.

3. 계정과 세션을 정리한다

비밀번호 변경만으로는 부족합니다. 탈취된 세션 토큰, 발급된 API 키, 등록된 MFA 디바이스, 생성된 서비스 계정을 함께 확인하고 무효화합니다.

4. 로그 보존 기간을 즉시 연장한다

클라우드와 SaaS 로그는 기본 보존 기간이 짧은 경우가 많습니다. 사고 인지 즉시 보존 기간을 늘리거나 별도 위치로 내보내기를 겁니다. 조사가 길어지면 그 사이에 만료됩니다.

평시에 준비해야 할 것

사고 당일에 준비할 수 있는 것은 없습니다. 미리 정해 둬야 하는 항목입니다.

• 격리 절차: 시스템별로 네트워크를 끊는 구체적 방법
• 수집 도구: 메모리 덤프 도구를 사전 배포하고 실행 권한 확인
• 보관 위치: 증거를 옮길 별도 스토리지와 접근 통제
• 연락 체계: 내부 보고선, 외부 전문 기관, 규제 신고 담당
• 로그 범위: 어떤 로그를 얼마나 보관하는지 현황 파악

외부 맥락이 조사 시간을 줄인다

확보한 지표(IP, 도메인, 파일 해시)를 놓고 처음부터 분석을 시작하면 오래 걸립니다. 해당 지표가 이미 알려진 공격 그룹이나 캠페인과 연결되어 있다면, 공격자가 다음에 무엇을 하는지를 기준으로 조사 범위를 좁힐 수 있습니다.

같은 그룹이 통상 어떤 지속성 기법을 쓰는지 알면, 어디를 먼저 확인해야 할지가 정해집니다. 이것이 사고 대응에서 위협 인텔리전스가 실제로 쓰이는 지점입니다.

정리

첫 한 시간의 원칙은 단순합니다. 끄지 말고, 기록하고, 사라질 것부터 챙긴다. 복구는 그다음입니다.