한국어
메뉴

사이버 공격과 방어의 실무

어떤 조직에서 일어난 인시던트 4건에 대해 발생부터 탐지까지의 시간과 탐지부터 봉쇄까지의 시간은 건 1이 10시간과 4시간, 건 2가 30시간과 2시간, 건 3이 2시간과 6시간, 건 4가 6시간과 4시간이었다. 발생부터 탐지까지의 평균 시간(MTTD)과 탐지부터 봉쇄까지의 평균 시간(MTTC)의 조합으로 올바른 것은?

  1. AMTTD는 4시간, MTTC는 12시간
  2. BMTTD는 8시간, MTTC는 4시간
  3. CMTTD는 12시간, MTTC는 4시간
정답과 해설 보기

정답: C. MTTD는 12시간, MTTC는 4시간

MTTD는 발생부터 탐지까지의 시간의 평균이므로 (10 + 30 + 2 + 6) ÷ 4 = 48 ÷ 4 = 12시간입니다. MTTC는 탐지부터 봉쇄까지의 시간의 평균으로, (4 + 2 + 6 + 4) ÷ 4 = 16 ÷ 4 = 4시간입니다. 이 예에서는 건 2의 탐지 지연이 평균을 크게 끌어올리고 있으며, 탐지까지의 시간의 중앙값(8시간)과의 차이는 탐지에 시간이 걸린 사례가 소수 있음을 보여 줍니다. 탐지까지의 시간이 길수록 공격자가 내부에서 활동할 수 있는 시간이 길어지므로, 로그 감시나 EDR로 MTTD를 줄이는 것이 피해를 작게 하는 데 중요합니다.

이 분야 연습하기 분야로 돌아가기

사이버 공격과 방어의 실무의 다른 문제

  1. 랜섬웨어 피해에 대해 1회 피해액(SLE)을 4000만 엔, 연간 발생 횟수(ARO)를 0.5회로 추정했다. 대책 A는 연간 비용이 600만 엔이며 발생 횟수를 연 0.2회로 낮춘다. 대책 B는 연간 비용이 300만 엔이며 발생 횟수는 바뀌지 않지만 복구를 앞당겨 1회 피해액을 2400만 엔으로 낮춘다. 연간 예상 손실액(ALE) = SLE × ARO, ROSI = (ALE 감소액 − 대책의 연간 비용) ÷ 대책의 연간 비용으로 할 때, ROSI가 큰 쪽의 대책과 그 값의 조합으로 올바른 것은?
  2. 어떤 IDS는 하루에 100만 건의 접속을 조사한다. 그중 실제 공격은 100건이다. 이 IDS는 공격의 99%를 탐지하고, 공격이 아닌 접속의 0.1%를 잘못 공격으로 판정한다. IDS가 낸 경고 중 실제로 공격인 것의 비율에 가장 가까운 것은?
  3. 어떤 SOC에서는 SIEM이 하루에 1440건의 경고를 내고, 경고는 하루 동안 균등하게 발생한다. SOAR의 자동 처리로 75%의 경고가 분석가의 확인 없이 처리되고, 나머지 경고에는 1건당 평균 10분의 분석가 작업이 필요하다. 분석가는 쉬지 않고 작업할 수 있는 것으로 할 때, 경고를 발생 속도에 뒤처지지 않고 처리하기 위해 항상 배치해야 하는 분석가의 최소 인원수는?
  4. 록히드 마틴사가 2011년에 제시한 사이버 킬 체인은 표적형 공격의 흐름을 7개 단계로 나눈다. 단계의 순서로 올바른 것은?
  5. MITRE ATT&CK는 실제 공격에서 관측된 수법을, 공격자의 목적을 나타내는 '전술(Tactics)'과 그 목적을 달성하는 구체적인 방법을 나타내는 '기법(Techniques)'으로 나누어 정리한 지식 베이스이다. 관측된 행동과 그것이 해당하는 전술의 조합으로 올바른 것은?