10 · Incident Response
사고는 일어난다 — 그다음이 중요하다
침해를 완전히 막을 수 없다면, 남는 질문은 하나입니다. "사고가 났을 때 얼마나 빠르고 체계적으로 대응하는가."
왜 "대응 계획"이 미리 필요한가
사고가 실제로 터진 순간에 절차를 처음 고민하면 대부분 늦습니다. 침해 사고 대응은 탐지 → 격리 → 복구 → 사후 분석으로 이어지는 흐름을 사고가 나기 전에 미리 정의해두고, 누가 무엇을 언제 결정할지까지 합의해두는 것에서 시작합니다.
탐지(Detection)
09편에서 다룬 모니터링·탐지 체계가 여기서 실전에 투입됩니다. 이상 징후를 얼마나 빨리 "사고"로 확정하느냐가 이후 모든 단계의 골든타임을 결정합니다. 오탐과 실제 사고를 빠르게 구분할 수 있는 명확한 기준을 미리 세워두는 것이 중요합니다.
격리(Containment)
사고로 확인되면 가장 먼저 할 일은 피해가 더 번지지 않도록 막는 것입니다. 감염된 서버를 네트워크에서 분리하거나, 탈취된 것으로 의심되는 계정을 즉시 잠그는 조치가 여기 해당합니다. 완전한 원인 파악보다 "출혈을 멈추는 것"이 이 단계의 우선순위입니다.
복구(Recovery)
위협을 제거한 뒤 시스템을 정상 상태로 되돌리는 단계입니다. 단순히 서비스를 다시 켜는 것이 아니라, 공격자가 사용한 경로가 확실히 막혔는지 확인한 뒤 복구해야 같은 방식으로 재침해당하는 것을 막을 수 있습니다.
포렌식(Forensics)과 사후 분석
사고가 마무리된 뒤에는 "어떻게 들어왔고, 무엇에 접근했고, 왜 더 일찍 못 잡았는가"를 규명하는 포렌식 분석이 이어집니다. 이 분석 결과는 법적/규제 대응 자료가 되기도 하지만, 무엇보다 같은 유형의 사고가 재발하지 않도록 보안 체계를 고쳐나가는 가장 직접적인 근거가 됩니다.