침입은 조건이 이어질 때 커진다
가상의 온라인 서점에서 회계 담당자에게 거래명세서를 확인해 달라는 메일이 도착합니다. 익숙한 업체 이름이 보이고, 오늘 안에 처리해야 결제가 끝난다고 쓰여 있습니다. 담당자는 서둘러 로그인 화면을 엽니다. 이 순간 아직 데이터베이스가 파괴된 것은 아닙니다. 그러나 누군가가 계정의 비밀을 얻고, …
APTATT&CK공격 표면사회공학
INFORMATION SECURITY · CONCEPT
113개 발걸음을 개념으로 찾습니다
핵심 개념
방향과 키워드로 필요한 발걸음을 골라 원문 설명에 바로 연결합니다.
공격을 어떻게 알아채고 멈추는가
14개 발걸음 · 1–12 표시
악성코드는 이름보다 행동으로 구분한다
직원 컴퓨터에서 알 수 없는 프로그램을 발견했다고 해 봅시다. 화면에 광고를 띄우는지, 파일을 암호화하는지, 다른 컴퓨터로 퍼지는지에 따라 먼저 막아야 할 피해가 달라집니다. 악성코드는 악의적인 기능을 수행하도록 만든 코드의 넓은 이름입니다. 하나의 파일만 뜻하지 않으며, 여러 구성요소가 나누어…
C2랜섬웨어루트킷봇넷
의심스러운 파일은 안전하게 관찰한다
의심 파일을 발견했을 때 가장 먼저 할 일은 더블클릭이 아닙니다. 누가 어디서 발견했는지, 어떤 경로로 전달되었는지, 이미 실행되었는지부터 기록합니다. 분석 대상은 복사해 통제된 환경에서 다루고 원래의 자료와 취급 이력을 보존합니다. 분석 컴퓨터를 업무망에 그대로 연결하면 조사하려던 파일이 실제…
YARA동적 분석샌드박스정적 분석
단말에서 예방·탐지·대응을 나눈다
직원의 컴퓨터는 문서를 읽는 곳이면서 계정의 세션이 유지되고 여러 서비스로 접속하는 출발점입니다. 서버가 안전하더라도 이 단말이 장악되면 정상 사용자의 권한으로 접근이 이루어질 수 있습니다. 단말 보호가 파일 하나를 검사하는 기능에서 실행 이후의 행동을 추적하는 기능으로 넓어진 이유를 여기서 이…
Anti-APTEDREPPXDR
기록은 남기기로 결정한 일만 말한다
서버에서 파일이 사라졌는데 누가 삭제했는지 알 수 없다고 해 봅시다. 접근 기록을 열어 보니 로그인 성공만 있고 파일 삭제는 남아 있지 않습니다. 컴퓨터가 어떤 일을 수행했다는 사실과 그 일을 나중에 설명할 수 있다는 사실은 다릅니다. 로그는 발생한 모든 일을 자동으로 복제한 일기장이 아닙니다.…
감사 로그로그 수준요청 식별자
로그를 잃지 않고 같은 시간으로 모은다
중요한 사건을 기록하도록 설정했어도 그 기록이 조사할 때 남아 있지 않으면 도움이 되지 않습니다. 저장 공간이 차서 덮어썼거나, 네트워크 단절 중 수집이 멈췄거나, 공격자가 원본 장비의 기록을 지웠을 수 있습니다. 로그 관리는 생성, 전송, 저장, 검색, 보존, 폐기를 하나의 흐름으로 설계하는 …
UTC정규화중앙 로그 수집
흩어진 기록으로 사건의 시간선을 만든다
새로운 주소에서 성공한 로그인 하나만 보고 침입을 확정할 수는 없습니다. 직원이 출장을 갔거나 회선이 바뀌었을 수 있습니다. 그렇다고 성공한 로그인이므로 넘겨도 되는 것은 아닙니다. 정상 계정을 도용한 공격은 바로 그 성공 기록으로 남습니다. 분석자는 여러 가설을 세우고, 각 가설을 지지하거나 …
상관분석시간선추적의 한계
탐지 결과를 네 가지 경우로 읽는다
탐지 규칙이 ‘수상하다’고 알렸다는 것은 검토할 이유가 생겼다는 뜻입니다. 이미 알려진 공격 특징과 일치하는지 보는 방식과, 평소의 행동에서 크게 벗어났는지 보는 방식은 서로 다른 단서를 줍니다. 알려진 특징을 찾는 탐지는 설명하기 쉽고 특정 공격에 강할 수 있지만 변형이나 새로운 행동을 놓칠 …
거짓 양성거짓 음성재현율정밀도
관제는 경보를 책임 있는 판단으로 바꾼다
자정에 경보가 발생했는데 누가 확인할지 정해져 있지 않다면 탐지 시간은 짧아도 대응은 시작되지 않습니다. 보안관제는 기록을 지켜보는 화면의 이름이 아니라, 의심 행동을 확인하고 필요한 사람에게 전달하며 사건이 해결될 때까지 추적하는 업무입니다. 이를 수행하는 조직이나 운영 중심을 SOC라고 부릅…
SIEMSOARSOC위협 헌팅
사고를 선언하고 확산을 제한한다
자료 내보내기 기록이 확인되고 계정 소유자가 그 행위를 부인했습니다. 아직 외부 반출 여부는 조사 중입니다. 이때 대응을 시작하려면 모든 사실이 확정될 때까지 기다려야 할까요? 그렇지 않습니다. 확인된 영향과 합리적인 의심을 바탕으로 임시 조치를 할 수 있습니다. 다만 ‘왜 이 조치를 선택했고 …
봉쇄사고 선언
증거는 내용과 취급 이력을 함께 지킨다
공격 경로를 설명하려고 파일을 열어 보았는데 마지막 접근 시각이 바뀌었습니다. 단말의 전원을 껐더니 실행 중이던 프로세스와 연결 정보가 사라졌습니다. 조사 행위는 조사 대상에 영향을 줄 수 있습니다. 디지털 포렌식은 디지털 자료를 식별·수집·조사·분석하면서 무결성과 취급 이력을 유지해, 관찰과 …
디지털 포렌식쓰기 방지연계보관휘발성 자료
원인을 없애고 정상 복귀를 입증한다
감염 단말을 격리해 경보가 멈췄습니다. 이제 사건이 끝났다고 말할 수 있을까요? 격리는 진행 중인 피해를 제한하지만, 공격자가 들어온 조건을 모두 없앴다는 뜻은 아닙니다. 다른 장비의 발판, 도용된 계정, 외부에 남은 토큰, 잘못된 권한이 그대로 있으면 격리를 해제한 뒤 같은 일이 반복될 수 있…
복구 검증사후 검토원인 제거
《정보보안의 원리》 완성본의 원문을 재배치한 학습 자료입니다. 기사 필기·실기 전 범위 요약 또는 기출·CBT로 표시하지 않습니다.
© K-BOOKS · 무료 웹 열람용 콘텐츠입니다. 무단 복제·저장·인쇄·재배포를 제한합니다.