디지털 포렌식 및 인시던트 대응(DFIR)은 두 가지 사이버 보안 분야를 결합하여 사이버 범죄자에 대한 증거를 보존하면서 위협 대응을 간소화합니다.
DFIR은 두 가지 개별 사이버 보안 분야를 통합합니다. 주로 사이버 범죄 소송을 위한 디지털 증거를 수집하기 위한 사이버 위협 조사인 디지털 포렌식, 그리고 진행 중인 사이버 공격을 탐지하고 완화하는 인시던트 대응이 있습니다. 이 두 분야를 결합하면 보안팀은 위협을 더 빠르게 차단하는 동시에 긴급한 위협 완화 작업으로 인해 손실될 수 있는 증거를 보존할 수 있습니다.
최신 데이터 유출 비용 보고서를 통해 데이터 유출 위험을 더 잘 관리할 수 있는 인사이트를 확보하세요.
X-Force Threat Intelligence Index 등록하기
디지털 포렌식은 멀웨어 파일 및 악성 스크립트와 같은 위협 행위자가 남긴 흔적인 디지털 증거를 수집, 분석 및 보존하여 사이버 보안 인시던트를 조사하고 재구성합니다. 이러한 재구성을 통해 조사관은 공격의 근본 원인을 정확히 찾아내고 범인을 식별할 수 있습니다.
디지털 포렌식 조사는 증거가 수집되고 처리되는 과정을 추적하기 위해 엄격한 증거 보관 또는 공식 절차를 따릅니다. 증거 보관을 통해 수사관은 증거가 변조되지 않았음을 증명할 수 있습니다. 결과적으로 디지털 포렌식 조사의 증거는 법원 사건, 보험 청구 및 규제 감사와 같은 공식적인 목적으로 사용될 수 있습니다.
국립 표준 기술 연구소(NIST)(ibm.com 외부 링크)에서는 디지털 포렌식 조사를 위한 네 가지 단계를 다음과 같이 설명합니다.
침해가 발생한 후 포렌식 조사관은 운영 체제, 사용자 계정, 모바일 디바이스 및 위협 행위자가 액세스했을 수 있는 기타 하드웨어 및 소프트웨어 자산에서 데이터를 수집합니다. 포렌식 데이터의 일반적인 소스는 다음과 같습니다.
- 파일 시스템 포렌식: 엔드포인트에 저장된 파일 및 폴더에서 발견된 데이터입니다.
- 메모리 포렌식: 디바이스의 RAM(랜덤 액세스 메모리)에서 발견된 데이터입니다.
- 네트워크 포렌식: 웹 브라우징 및 장치 간 통신과 같은 네트워크 활동을 조사하여 찾은 데이터입니다.
- 애플리케이션 포렌식: 앱 및 기타 소프트웨어의 로그에서 발견된 데이터입니다.
증거의 무결성을 유지하기 위해 조사관은 데이터를 처리하기 전에 데이터를 복사합니다. 원본이 변조될 수 없도록 보호하고 나머지 조사는 사본을 사용하여 수행됩니다.
조사관은 피싱 이메일, 변경된 파일, 의심스러운 연결 등 사이버 범죄 활동의 징후를 찾기 위해 데이터를 샅샅이 뒤집니다.
조사관은 포렌식 기술을 사용하여 디지털 증거를 처리하고, 상호 연관성을 파악하고, 인사이트를 추출합니다. 조사관은 또한 독점 및 오픈 소스 위협 인텔리전스 피드를 참조하여 조사 결과를 특정 위협 행위자와 연결할 수도 있습니다.
조사관은 보안 이벤트 중에 발생한 상황을 설명하고 가능한 경우 용의자 또는 범인을 식별하는 보고서를 작성합니다. 보고서에는 향후 공격을 막기 위한 권장 사항이 포함될 수 있습니다. 이 정보는 법 집행 기관, 보험사, 규제 기관 및 기타 당국과 공유될 수 있습니다.
인시던트 대응은 보안 침해를 탐지하고 대응하는 데 중점을 둡니다. 인시던트 대응의 목표는 공격이 발생하기 전에 예방하고 발생하는 공격으로 인한 비용과 비즈니스 중단을 최소화하는 것입니다.
인시던트 대응 노력은 인시던트 대응 팀이 사이버 위협에 대처하는 방법을 설명하는 인시던트 대응 계획(IRP)에 따라 진행됩니다. 인시던트 대응 프로세스에는 다음과 같은 6가지 표준 단계가 있습니다.
- 준비: 준비는 위험을 평가하고, 취약성을 식별 및 수정하고(취약성 관리), 다양한 사이버 위협에 대한 IRP 초안을 작성하는 지속적인 프로세스입니다.
- 탐지 및 분석: 인시던트 대응 담당자는 네트워크에서 의심스러운 활동을 모니터링합니다. 데이터를 분석하고, 오탐을 걸러내며, 경고를 분류합니다.
- 견제: 침해가 감지되면 인시던트 대응 팀은 위협이 네트워크를 통해 확산되는 것을 막기 위한 조치를 취합니다.
- 근절: 위협이 억제되면 인시던트 대응 담당자가 랜섬웨어 파일을 파괴하거나 위협 행위자를 장치에서 부팅하는 등 네트워크에서 위협을 제거합니다.
- 복구: 인시던트 대응 담당자가 위협의 모든 흔적을 제거한 후에는 손상된 시스템을 정상 작동 상태로 복원합니다.
- 인시던트 후 검토: 인시던트 대응 담당자는 침해 상황을 검토하여 침해 상황을 파악하고 향후 위협에 대비합니다.
디지털 포렌식과 인시던트 대응이 별도로 수행되면 서로 간섭을 일으킬 수 있습니다. 인시던트 대응자는 네트워크에서 위협을 제거하는 동안 증거를 변경하거나 파기할 수 있으며 포렌식 조사관은 증거를 검색하는 동안 위협 해결이 지연될 수 있습니다. 팀 간에 정보가 원활하게 전달되지 않아 모든 사람의 업무 효율이 떨어질 수 있습니다.
DFIR은 이 두 분야를 한 팀이 수행하는 단일 프로세스로 통합합니다. 이를 통해 다음과 같은 두 가지 중요한 이점을 얻을 수 있습니다.
포렌식 데이터 수집은 위협 완화 작업과 함께 이루어집니다. DFIR 프로세스 중에 인시던트 대응자는 포렌식 기술을 사용하여 위협을 억제하고 근절하는 동시에 디지털 증거를 수집하고 보존합니다. 이를 통해 관리 연속성을 준수하고 인시던트 대응 노력으로 인해 귀중한 증거가 변경되거나 파괴되지 않도록 할 수 있습니다.
인시던트 후 검토에는 디지털 증거 검토가 포함됩니다. DFIR은 디지털 증거를 사용하여 보안 인시던트를 심층적으로 조사합니다. DFIR 팀은 인시던트를 처음부터 끝까지 재구성하기 위해 수집한 증거를 검토하고 분석합니다. DFIR 프로세스는 무슨 일이 일어났는지, 어떻게 발생했는지, 전체 피해 규모 및 향후 유사한 공격을 피할 수 있는 방법을 자세히 설명하는 보고서로 끝이 납니다.
그 결과 다음과 같은 이점이 있습니다.
- 보다 효과적인 위협 방지. DFIR 팀은 기존 인시던트 대응 팀보다 더 철저하게 인시던트를 조사합니다. DFIR 조사는 보안 팀이 사이버 위협을 더 잘 이해하고, 보다 효과적인 인시던트 대응 플레이북을 만들고, 더 많은 공격이 발생하기 전에 차단하는 데 도움이 될 수 있습니다. 또한 DFIR 조사는 알려지지 않은 활성 위협의 증거를 발견하여 위협 헌팅을 간소화하는 데 도움이 될 수 있습니다.
- 위협 해결 중에 증거가 거의 또는 전혀 손실되지 않습니다. 표준 인시던트 대응 프로세스에서 인시던트 대응 담당자는 위협을 억제하기 위해 서두르는 과정에서 실수를 범할 수 있습니다. 예를 들어 대응자가 위협의 확산을 막기 위해 감염된 디바이스를 종료하면 디바이스의 RAM에 남아 있는 모든 증거가 손실됩니다. 디지털 포렌식과 인시던트 대응에 대한 교육을 받은 DFIR 팀은 사건을 해결하면서 증거를 보존하는 데 능숙합니다.
- 향상된 소송 지원. DFIR 팀은 수사의뢰 절차를 따르므로 DFIR 조사 결과를 사법 기관과 공유하여 사이버 범죄자를 기소하는 데 사용할 수 있습니다. DFIR 조사는 보험 청구 및 위반 후 규제 감사도 지원할 수 있습니다.
- 더 빠르고 강력한 위협 복구. 포렌식 조사는 표준 인시던트 대응 조사보다 더 강력하기 때문에 DFIR 팀은 간과할 수 있는 숨겨진 멀웨어나 시스템 손상을 발견할 수 있습니다. 이를 통해 보안 팀은 위협을 근절하고 공격으로부터 보다 철저하게 복구할 수 있습니다.
일부 회사에서는 CERT(컴퓨터 비상 대응 팀)라고도 하는 사내 CSIRT(컴퓨터 보안 인시던트 대응 팀)가 DFIR을 처리합니다. CSIRT 회원에는 CISO(최고정보보안책임자), SOC(보안 운영 센터) 및 IT 직원, 경영진 및 회사 전체의 기타 이해관계자가 포함될 수 있습니다.
많은 기업이 자체적으로 DFIR을 수행할 수 있는 리소스가 부족합니다. 이 경우 리테이너에서 작동하는 타사 DFIR 서비스를 고용할 수 있습니다.
사내 및 타사 DFIR 전문가 모두 동일한 DFIR 도구를 사용하여 위협을 탐지, 조사 및 해결합니다. 여기에는 다음이 포함됩니다.
보안 정보 및 이벤트 관리(SIEM): SIEM은 네트워크의 보안 도구 및 기타 장치에서 보안 이벤트 데이터를 수집하고 상관 관계를 지정합니다.
보안 오케스트레이션, 자동화 및 대응(SOAR): SOAR를 통해 DFIR 팀은 보안 데이터를 수집 및 분석하고, 인시던트 대응 워크플로를 정의하고, 반복적이거나 낮은 수준의 보안 작업을 자동화할 수 있습니다.
엔드포인트 탐지 및 대응(EDR): EDR은 엔드포인트 보안 도구를 통합하고 실시간 분석 및 AI 기반 자동화를 사용하여 안티바이러스 소프트웨어 및 기타 기존 엔드포인트 보안 기술을 빠져나가는 사이버 위협으로부터 조직을 보호합니다.
확장 탐지 및 대응(XDR)은 보안 도구를 통합하고 사용자, 엔드포인트, 이메일, 애플리케이션, 네트워크, 클라우드 워크로드 및 데이터 등 모든 보안 계층에 걸쳐 보안 운영을 통합하는 개방형 사이버 보안 아키텍처입니다. XDR은 도구 간의 가시성 격차를 제거함으로써 보안 팀이 위협을 더 빠르고 효율적으로 탐지하고 해결하여 이로 인한 피해를 제한할 수 있도록 지원합니다.
오케스트레이션된 인시던트 대응으로 가는 길은 사람들의 역량을 강화하고, 일관되고 반복 가능한 프로세스를 개발하고, 기술을 활용하여 실행하는 것에서 시작됩니다. 이 가이드에서는 강력한 인시던트 대응 기능을 구축하기 위한 주요 단계를 간략하게 설명합니다.
공식적인 인시던트 대응 계획을 통해 사이버 보안 팀은 사이버 공격이나 보안 침해로 인한 피해를 제한하거나 예방할 수 있습니다.
보안 정보 및 이벤트 관리(SIEM)는 실시간 모니터링과 이벤트 분석 기능을 제공할 뿐 아니라, 규정 준수 또는 감사 목적으로 보안 데이터를 추적하고 로깅합니다.
위협 인텔리전스는 조직을 표적으로 하는 사이버 위협을 예방하고 이에 대응하기 위한 상세하고 실행 가능한 위협 정보입니다.
랜섬웨어는 몸값을 지불할 때까지 피해자의 디바이스와 데이터를 인질로 잡습니다. 랜섬웨어의 작동 방식, 최근 몇 년 동안 랜섬웨어가 확산된 이유, 조직이 랜섬웨어를 방어하는 방법을 알아보세요.