사이버 공격 등의 보안 인시던트가 일어났을 때 피해를 발견하여 확산을 막고, 원인을 제거하여 업무를 되돌리며, 교훈을 다음에 살리는 일련의 활동. 미국 NIST의 SP 800-61 제2판(2012년)에서는 준비, 탐지와 분석, 봉쇄·근절·복구, 사후 활동의 4단계로 제시되었고, 2025년의 제3판에서는 사이버 보안 프레임워크(CSF) 2.0에 맞춘 형태로 재정리되었다. 조직 안에서는 CSIRT가 중심이 되어 SOC, 시스템 담당자, 법무, 홍보, 경영자 등과 연계하여 진행한다.
일본어 명칭: インシデントレスポンス
인시던트 대응은(는) 사이버 공격과 방어의 실무 등 1개 분야의 연습 문제 1개에 나와요.
분야: 사이버 공격과 방어의 실무
대응의 속도는 인시던트가 일어나기 전의 준비로 크게 달라집니다. 연락 체제와 판단 권한, 절차서(플레이북), 로그 수집과 보존, 백업, 조사 도구, 외부 전문 사업자나 경찰 등의 연락처를 정해 두고, 탁상 훈련 등의 훈련으로 확인해 둡니다.
피해 확산을 막는 봉쇄에서는 단말을 네트워크에서 분리하기, 계정 정지하기, 통신 차단하기 같은 수단을 씁니다. 다만 바로 초기화하거나 전원을 끄면 침입 경로를 조사할 증거(메모리 내용이나 로그)가 사라져, 원인을 제거하지 못한 채 다시 침입당할 우려가 있습니다. 조사와 봉쇄의 순서를 상황에 따라 판단합니다.
대응이 끝나면 무엇이 일어났고, 무엇이 잘되었으며, 무엇이 부족했는지를 개인의 책임을 추궁하는 것이 아니라 구조를 개선하기 위해 돌아봅니다. 그 결과를 탐지 규칙, 절차서, 시스템 구성의 재검토로 연결하고, 탐지까지의 평균 시간 등의 지표로 개선을 확인합니다.
정답: B. 준비 → 탐지와 분석 → 봉쇄·근절·복구 → 사후 활동
SP 800-61 Rev. 2는 체제나 절차, 도구를 갖추는 '준비', 경고나 로그로부터 인시던트인지 판단하고 영향을 추정하는 '탐지와 분석', 피해 확산을 막고 원인을 제거하여 업무를 되돌리는 '봉쇄·근절·복구', 교훈을 정리하여 다음에 살리는 '사후 활동'의 4단계를 제시합니다. 탐지와 분석, 그리고 봉쇄·근절·복구 사이는 오가며, 사후 활동에서 얻은 교훈은 준비로 되돌려 탐지 규칙이나 절차를 개선합니다. 참고로 2025년 4월에 공개된 제3판(Rev. 3)에서는 NIST 사이버 보안 프레임워크(CSF) 2.0의 기능에 맞춘 형태로 재정리되었지만, 이 4단계의 사고방식은 현재도 널리 사용됩니다.
겹치는 부분은 있지만 같지는 않습니다. ITIL 등의 인시던트 관리는 장애를 포함한 서비스 중단으로부터 가능한 한 빨리 정상 상태로 되돌리는 것이 목적입니다. 보안 인시던트 대응에서는 공격자 배제, 증거 보전, 법령에 근거한 보고 등이 더해지므로, CSIRT가 중심이 되어 전용 절차로 진행합니다.
내더라도 복호화할 수 있다는 보장은 없으며, 훔친 데이터를 공개하지 않겠다는 약속이 지켜진다는 보장도 없습니다. 지불이 다음 공격의 자금이 되고, 상대에 따라서는 법령상의 문제가 되는 경우도 있습니다. 많은 공공 기관은 지불하지 않을 것을 권장하고 있으며, 네트워크에서 분리한 백업으로 복구하는 것을 전제로 준비합니다.
공급망 공격(Supply Chain Attack) 디지털 포렌식(Digital Forensics) 보안 관제 센터(Security Operations Center) 사이버 킬 체인(Cyber Kill Chain) 제로 트러스트 측면 이동(Lateral Movement) 침입 탐지 시스템(IDS) 침투 테스트(Penetration Testing) EDR(엔드포인트 탐지 및 대응) IoC(침해 지표)