보안사고 대응 플레이북 구축은(는) 무엇을 하나요?
사용 시기
- 보안사고 대응 프로그램을 처음 구축하거나 성숙시킬 때
- 새로운 공격 유형에 대한 절차를 문서화할 때
- SOAR 플랫폼(Cortex XSOAR, Splunk SOAR)에서 대응 워크플로우를 자동화할 때
- 문서화된 IR 절차를 요구하는 규정 준수 감사(SOC 2, PCI-DSS, HIPAA)를 준비할 때
- 특정 위협 시나리오에 대한 기존 IR 역량의 격차 분석을 수행할 때
일회성 임시 조사에는 사용하지 마십시오. 플레이북은 재사용 가능한 절차 문서이지, 사례별 보고서가 아닙니다.
사전 요구 사항
- 가능성과 영향을 기준으로 주요 사고 시나리오를 식별한 조직 위험 평가
- 조직 IR 표준으로 채택된 NIST SP 800-61r3 또는 SANS PICERL 프레임워크
- 업무 중요도 등급과 데이터 분류가 포함된 자산 인벤토리
- 역할을 정의한 RACI 차트: 사고 지휘관, SOC 분석가, 시스템 관리자, 법무, 커뮤니케이션
- 기존 탐지 역량 인벤토리(SIEM 규칙, EDR 탐지, IDS 시그니처)
- 자동화 플레이북 구축 시 SOAR 플랫폼 접근 권한
워크플로우
1단계: 사고 유형 선택 및 범위 정의
플레이북이 다룰 특정 시나리오를 정의합니다:
- 조직 위험 평가 및 과거 데이터를 기반으로 주요 사고 유형 식별
- 명확성을 위해 각 플레이북을 단일 사고 유형으로 범위 제한 (관련 없는 시나리오 결합 금지)
- 플레이북을 활성화하는 트리거 조건 정의
일반적인 플레이북 유형:
우선순위 플레이북 (먼저 구축):
1. 랜섬웨어 사고 대응
2. 피싱/자격 증명 유출
3. 비즈니스 이메일 침해
4. 악성코드 감염
5. 데이터 유출/탈취
6. DDoS 공격
7. 내부자 위협
8. 계정 탈취
9. 웹 애플리케이션 침해
10. 클라우드 인프라 침해
2단계: 플레이북 구조 정의
모든 플레이북은 일관된 구조를 따라야 합니다:
플레이북 템플릿
━━━━━━━━━━━━━━━━
1. 플레이북 메타데이터
- 이름, 버전, 소유자, 최종 검토일
- 트리거 조건
- 심각도 기준
2. RACI 매트릭스
- 각 단계에 대해 책임자, 담당자, 협의자, 정보 수신자 정의
3. 탐지 및 분류
- 사고 탐지 방법
- 초기 분류 체크리스트
- 심각도 분류 기준
4. 격리
- 단기 격리 조치
- 장기 격리 조치
- 증거 보존 요구 사항
5. 제거
- 근본 원인 식별
- 악성코드/위협 제거 단계
- 검증 절차
6. 복구
- 시스템 복원 단계
- 검증 기준
- 복구 후 모니터링 요구 사항
7. 사후 대응
- 교훈 회의 트리거
- 보고서 템플릿
- 탐지 개선 조치
8. 커뮤니케이션
- 내부 알림 매트릭스
- 외부 알림 요구 사항 (규제 기관, 고객, 법 집행 기관)
- 상태 업데이트 주기
9. 부록
- 도구별 절차
- 연락처 목록
- 증거 수집 체크리스트
3단계: 의사결정 트리 및 에스컬레이션 기준 작성
이진 결과를 가진 명확한 의사결정 포인트를 정의합니다:
탐지 경보 수신
├── 경보가 실제 양성인가요?
│ ├── 예 → 심각도 분류
│ │ ├── P1 (심각) → 사고 지휘관 호출, 즉시 격리 시작
│ │ ├── P2 (높음) → IR 리더 알림, 30분 내 조사 시작
│ │ ├── P3 (중간) → 4시간 내 조사 대기열
│ │ └── P4 (낮음) → 문서화 후 24시간 내 조사
│ └── 아니요 → 가양성으로 문서화, 탐지 규칙 조정
└── 확인 불가 → 2차 심층 분석을 위해 Tier 2로 에스컬레이션
에스컬레이션 트리거:
- 모든 P1 사고: IR 리더 및 CISO로 즉시 에스컬레이션
- 데이터 유출 확인됨: 법률 자문 및 개인정보 보호 책임자 통보
- 고객 데이터 관련: 고객 알림 프로세스 활성화
- 제3자 관련: 공급업체 보안 연락처 참여
- 법 집행 기관 필요: 최고 법무 책임자가 접촉 승인
4단계: 특정 기술 절차 정의
각 단계에 대해 일반적인 지침이 아닌 도구별 지침을 작성합니다:
격리 - CrowdStrike를 통한 엔드포인트 격리:
1. Falcon Console 열기 > Hosts > 영향받은 호스트명 검색
2. 호스트 클릭 > 호스트 세부 정보
3. 오른쪽 상단 "Contain Host" 버튼 클릭
4. 격리 확인 (호스트는 CrowdStrike 클라우드와만 통신)
5. 사고 티켓에 타임스탬프와 함께 격리 조치 기록
6. 격리 확인: 호스트에 "Contained" 상태 배지 표시
격리 - DNS에서 C2 도메인 차단:
1. DNS 서버에 SSH 접속: ssh [email protected]
2. 차단 영역에 추가: echo "zone evil.com { type master; file /etc/bind/db.sinkhole; };" >> /etc/bind/named.conf.local
3. DNS 리로드: rndc reload
4. 확인: dig @dns-primary evil.com (싱크홀 IP 10.0.0.99로 확인되어야 함)
5. 사고 티켓에 차단된 도메인 기록
5단계: SOAR 플랫폼과 통합
수동 플레이북 단계를 자동화된 워크플로우로 변환합니다:
- 각 플레이북 단계를 SOAR 작업(API 호출, 스크립트, 인간 의사결정 지점)에 매핑
- 자동화 경계 정의 (자동 실행 vs 분석가 승인 필요)
- 분류 단계를 위한 강화 자동화 구축
- 영향이 큰 작업에 승인 게이트가 있는 격리 자동화 생성
- 이해관계자 커뮤니케이션을 위한 알림 자동화 구성
6단계: 플레이북 테스트 및 유지 관리
훈련을 통해 플레이북을 검증하고 최신 상태로 유지합니다:
- IR 팀이 플레이북을 검토하는 탁상 훈련(tabletop exercise) 실시
- 테스트 환경에서 사고 유형을 시뮬레이션하는 실탄 훈련(live-fire exercise) 실시
- 플레이북을 사용한 실제 사고 후 검토 및 업데이트
- 연락처 목록, 도구 절차, 에스컬레이션 경로의 정확성을 위해 분기별 검토 예약
- 플레이북 메트릭 추적: 평균 격리 시간, 평균 해결 시간, 가양성 비율
주요 개념
| 용어 | 정의 |
|---|---|
| 플레이북 | 특정 사고 유형에 대응하기 위한 문서화된 반복 가능한 절차 집합 |
| 런북 | 플레이북보다 더 세분화된, 플레이북 내 특정 작업에 대한 단계별 기술 지침 |
| RACI 매트릭스 | 각 활동에 대해 책임자, 담당자, 협의자, 정보 수신자를 정의하는 책임 할당 차트 |
| 의사결정 트리 | 각 의사결정 지점에서 이진 조건에 기반한 대응 경로를 정의하는 플로우차트 기반 로직 |
| 에스컬레이션 기준 | 상위 수준 담당자 또는 외부 당사자에게 알림을 트리거하는 사전 정의된 조건 |
| SOAR 플레이북 | 플레이북 단계를 실행하는 SOAR(Security Orchestration, Automation, and Response) 플랫폼의 자동화 워크플로우 |
도구 및 시스템
- Cortex XSOAR: 시각적 플레이북 편집기, 700개 이상의 통합, 및 협업 War Room을 갖춘 SOAR 플랫폼
- Splunk SOAR: Splunk ES와 통합된 SOAR 플랫폼, 2,800개 이상의 자동화 작업이 있는 드래그 앤 드롭 플레이북 빌더
- TheHive: 플레이북 프레임워크 역할을 하는 사례 템플릿이 있는 오픈소스 사고 대응 플랫폼
- Confluence / GitLab Wiki: 버전 관리가 가능한 사람이 읽을 수 있는 플레이북 문서를 유지 관리하는 문서화 플랫폼
- Tines: 프로그래밍 없이 플레이북 워크플로우를 구축할 수 있는 코드 없는 보안 자동화 플랫폼
일반적인 시나리오
시나리오: 피싱 대응 플레이북 처음부터 구축
상황: 5명으로 구성된 SOC가 있는 조직에 문서화된 피싱 대응 절차가 없습니다. 분석가가 피싱 보고를 일관성 없이 처리하고 있습니다.
접근 방식:
- SOC 분석가와 인터뷰하여 현재 임시 프로세스 문서화
- 트리거 정의: 사용자가 abuse@ 사서함 또는 피싱 버튼을 통해 피싱 이메일 보고
- 분류 단계 작성: 이메일 헤더 추출, 발신자 평판 확인, 샌드박스에서 URL/첨부 파일 분석
- 격리 정의: 모든 사서함에서 이메일 격리, 발신자 도메인 차단, 자격 증명 입력 시 비밀번호 재설정
- SOAR 자동화 구축: 보고된 이메일에서 IOC 자동 추출, VirusTotal을 통해 강화, TheHive에 사례 생성
- 시뮬레이션된 피싱 이메일로 테스트하고 응답 시간 개선 측정
주의 사항:
- 특정 도구 인터페이스나 명령을 참조하지 않는 지나치게 일반적인 절차 작성
- 피싱 이메일을 수신한 사용자에게 알리는 커뮤니케이션 계획 포함 누락
- 피싱 보고가 본격적인 사고 조사가 되는 기준 정의 누락
- 플레이북 버전 관리 또는 정기 검토 주기 누락
출력 형식
사고 대응 플레이북
============================
플레이북 이름: 피싱 사고 대응
버전: 2.1
소유자: SOC 관리자
최종 검토일: 2025-11-01
다음 검토일: 2026-02-01
트리거: [email protected] 또는 피싱 버튼을 통해 보고된 피싱 이메일
RACI 매트릭스
활동 | SOC L1 | SOC L2 | IR 리더 | 법무 | 커뮤니케이션
초기 분류 | R | C | I | |
이메일 분석 | R | A | I | |
격리 | | R | A | I |
자격 증명 재설정 | | R | A | |
사용자 알림 | | C | A | | R
규제 기관 알림 | | | C | R | A
교훈 | C | C | R | I | I
절차 단계
[도구별 지침이 포함된 상세 단계]
의사결정 트리
[플로우차트 로직]
에스컬레이션 매트릭스
[조건 및 연락처]
메트릭스
목표 MTTA: 15분
목표 MTTC: 1시간
목표 MTTR: 4시간