실기 · 침해사고 분석·대응

정의① 사고 전 준비 ② 사고 탐지 ③ 초기 대응 ④ 대응 전략 체계화 ⑤ 사고 조사(데이터 수집·분석) ⑥ 보고서 작성 ⑦ 해결(복구 및 재발방지)

정의증거 보존을 최우선으로 하며, 함부로 재부팅하거나 전원을 내리지 않는다. 휘발성 데이터를 먼저 수집한 뒤 격리한다

정의레지스터·캐시 → 메모리(RAM) → 네트워크 연결 상태·ARP 캐시 → 실행 중 프로세스 → 임시파일 → 디스크 → 원격 로그 → 백업 매체 (휘발성이 큰 것부터)

정의수집한 증거의 해시값(MD5/SHA-256)을 산출해 원본과 사본이 동일함을 증명. 분석 전후 해시가 같아야 증거능력 인정

정의정당성(적법 절차) · 재현성(같은 결과 재현) · 신속성 · 연계보관성(Chain of Custody) · 무결성

정의증거 수집·이동·보관·분석·법정 제출의 전 과정에서 담당자·시간·장소를 문서화해 관리 연속성을 증명하는 것

정의원본 디스크를 비트 단위로 복제해 사본으로 분석. 원본은 쓰기방지장치(Write Blocker)를 걸어 보존. 도구는 dd, EnCase, FTK Imager

정의Volatility — 프로세스 목록, 네트워크 연결, DLL 인젝션, 은닉 프로세스, 패스워드 해시 추출

정의로그·파일 삭제, 타임스탬프 변조(타임스톰핑), 암호화, 스테가노그래피, ADS 은닉, 디스크 와이핑

정의할당된 클러스터 중 실제 데이터가 쓰이지 않은 잔여 공간. 삭제된 데이터의 흔적이 남아 복구·은닉에 이용

정의파일시스템 메타데이터 없이 파일 시그니처(헤더·푸터)를 기준으로 원본 파일을 복원하는 기법

정의JPEG=FF D8 FF · PNG=89 50 4E 47 · GIF=47 49 46 38 · PDF=25 50 44 46 · ZIP/DOCX=50 4B 03 04 · EXE=4D 5A(MZ)

정의Modified(내용 수정) · Accessed(접근) · Created(생성) · Entry Modified(MFT 엔트리 변경). 시간 역전이 보이면 타임스톰핑 의심

정의① UID 0 계정 추가 여부 ② /etc/passwd·shadow 변경 시각 ③ 신규 SUID 파일 ④ cron 등록 스크립트 ⑤ 열린 포트(netstat -antp) ⑥ ~/.bash_history ⑦ /tmp 실행파일 ⑧ 로그 삭제 흔적

정의① 이벤트 4720(계정 생성)·4625(실패 다발)·1102(로그 삭제) ② Run 레지스트리 자동실행 ③ 예약 작업(schtasks) ④ 신규 서비스(sc query) ⑤ netstat -ano 외부 연결 ⑥ Prefetch·Amcache 실행 흔적

정의접속IP - - [날짜] "메소드 URL 프로토콜" 상태코드 응답크기 "리퍼러" "User-Agent"

정의200=성공(공격 성공 가능성) · 401/403=인증·권한 거부 · 404 다발=디렉토리 브루트포싱·스캔 · 500=서버 오류 유발(인젝션 시도 흔적)

정의union select, or 1=1, ' or, --, /*, information_schema, sleep(, benchmark( 등 (URL 인코딩 %27 %20 형태도 확인)

정의../ , ..%2f , %2e%2e%2f , ....// , /etc/passwd

정의업로드 디렉토리(/upload, /files)의 .jsp·.php 파일에 POST 요청, cmd=·exec=·eval= 파라미터, 동일 IP가 특정 스크립트만 반복 호출

정의awk '{print $1}' access_log | sort | uniq -c | sort -rn | head -10

정의grep -i "union select" access_log 또는 awk '$9==404' access_log | wc -l

정의① 출발지 IP 집계(반복 시도) ② 차단·오류 급증 시점(공격 개시 시각) ③ 비정상 시간대 접속 ④ 아웃바운드 이상 트래픽(정보유출·C&C)

정의방화벽·IPS 로그, 웹서버 access/error log, 시스템 인증 로그(secure), DB 감사로그, 프록시·DNS 로그, 백신·EDR 로그

정의① 정찰(Reconnaissance) ② 무기화(Weaponization) ③ 유포(Delivery) ④ 취약점 익스플로잇(Exploitation) ⑤ 설치(Installation) ⑥ 명령·제어(C2) ⑦ 목적 실행(Actions on Objectives)

정의실제 공격자의 전술(Tactics)과 기법(Techniques)을 체계화한 프레임워크. 탐지 룰 설계와 공백 분석에 활용

정의침해 지표. 악성 IP·도메인·URL, 파일 해시, 레지스트리 키, 뮤텍스 등 침해 여부를 판단하는 근거

정의일정 주기의 비콘(Beaconing) 트래픽, 미상 도메인에 대한 반복 DNS 질의, DGA 도메인, 비표준 포트의 지속 연결, 대용량 아웃바운드 전송

정의웹 서버에 업로드되어 HTTP 요청으로 명령을 실행하는 악성 스크립트(jsp/php/asp). 파일 업로드 취약점을 통해 설치되며 지속적 원격 제어 통로가 된다

정의① 감염 시스템 즉시 네트워크 분리 ② 전원은 유지(메모리 증거 보존) ③ 백업 매체 분리 확인 ④ 감염 범위·최초 유입 경로 파악 ⑤ 복구는 백업에서, 금전 지불은 지양

정의개인정보 유출 인지 시 72시간 이내에 정보주체 통지 및 개인정보보호위원회·KISA 신고 (일정 규모 이상)

정의KISA 인터넷침해대응센터(보호나라, 국번없이 118), 개인정보 관련은 개인정보보호위원회·개인정보침해신고센터

정의RTO=목표 복구 시간(언제까지 복구할 것인가) · RPO=목표 복구 시점(어느 시점 데이터까지 복구할 것인가)

정의BCP=업무 연속성 계획(전체 업무 지속) · DRP=재해 복구 계획(IT 시스템 복구). BIA(업무영향분석)로 우선순위 산정

정의Mirror Site(실시간 이중화, 즉시) · Hot Site(수시간 내) · Warm Site(수일) · Cold Site(공간만 확보, 수주)

정의침해사고 발생 시 피해 확산을 막고 원인을 규명하며 재발을 방지하기 위한 단계별 대응 체계

원리① 사고 전 준비 — 대응 조직·절차 수립, 백업, 로그 확보 체계 ② 사고 탐지 — 관제·신고를 통한 인지 ③ 초기 대응 — 증거 보존 하에 네트워크 격리, 피해 범위 파악 ④ 대응 전략 체계화 — 법적·업무적 판단 포함 ⑤ 사고 조사 — 데이터 수집·분석으로 침입 경로와 시점 규명 ⑥ 보고서 작성 ⑦ 해결 — 복구 및 재발방지 대책 적용

영향절차 없이 임의 재부팅·포맷 시 증거가 소실되어 원인 규명과 법적 대응이 불가능해진다

대응① 초기 대응 시 전원을 내리지 말고 휘발성 데이터부터 수집 ② 증거는 이미징 후 사본으로 분석하고 해시로 무결성 증명 ③ 연계보관성 문서화 ④ 복구 후 동일 취약점 제거 및 모니터링 강화

정의전자적 증거를 법적 효력이 인정되도록 수집·보존·분석·제출하는 일련의 절차와 기술

원리① 원본 디스크에 쓰기방지장치를 걸고 비트 단위로 이미징 ② 원본과 사본의 해시값을 비교해 무결성 증명 ③ 사본을 대상으로 파일 복구·타임라인 분석·로그 상관분석 수행 ④ 전 과정을 문서화

영향절차를 위반하면 증거능력이 부정되어 법적 대응이 무력화된다

대응① 5대 원칙(정당성·재현성·신속성·연계보관성·무결성) 준수 ② 휘발성 순서에 따라 메모리부터 수집 ③ 분석은 반드시 사본으로 ④ 담당자·시각·이동 경로를 모두 기록

정의웹서버 접근 로그를 분석해 공격 유형과 성공 여부, 침입 시점을 규명하는 활동

원리① 로그 필드 구조(IP, 시각, 메소드·URL, 상태코드, 크기, 리퍼러, User-Agent) 파악 ② 출발지 IP별 요청 수를 집계해 이상 IP 식별 ③ 상태코드 분포로 스캔(404 다발)·인젝션 시도(500) 판별 ④ URL 파라미터에서 공격 문자열 추출 ⑤ 시계열로 정렬해 침입 타임라인 구성

영향공격 성공 여부(200 응답)와 유출 규모(응답 크기)를 판단하는 핵심 근거

대응① 로그 원격 서버 전송 및 무결성 보호 ② WAF로 공격 패턴 차단 ③ 탐지된 취약점 즉시 패치 ④ 웹셸 존재 여부 전수 점검

명령awk '{print $1}' access_log | sort | uniq -c | sort -rn | head -10

정의웹 서버에 업로드되어 HTTP 요청만으로 시스템 명령을 실행할 수 있게 하는 악성 스크립트와 그 대응

원리① 파일 업로드 취약점으로 jsp·php·asp 스크립트 업로드 ② 확장자 검증 우회(이중 확장자, 널바이트, MIME 위조) ③ 업로드된 경로에 HTTP 요청을 보내 명령 실행 ④ 지속적 원격 제어 및 내부 확산 거점으로 사용

영향웹 권한으로 임의 명령 실행, 데이터 유출, 내부망 침투의 교두보

대응① 업로드 파일 확장자 화이트리스트 검증 ② 업로드 디렉토리에서 스크립트 실행 권한 제거 ③ 업로드 경로를 웹 루트 외부로 분리하고 파일명 난수화 ④ 웹셸 점검 도구(휘슬 등)로 정기 검사 ⑤ 파일 무결성 모니터링

정의감염 단말이 공격자의 명령·제어 서버와 주고받는 통신을 식별해 내부 감염을 찾아내는 분석

원리① 악성코드가 일정 주기로 C2에 접속을 시도(Beaconing) ② DGA로 생성된 무작위 도메인에 반복 질의 ③ HTTPS·DNS 터널링으로 정상 트래픽에 은닉 ④ 명령 수신 후 정보를 외부로 전송

영향탐지 실패 시 장기간 정보 유출과 내부 확산이 지속된다

대응① 아웃바운드 트래픽 통제 및 프록시 강제 경유 ② 주기성 있는 접속 패턴 상관분석(SIEM) ③ 위협 인텔리전스 IoC 기반 차단 ④ 미상 도메인·비표준 포트 연결 차단 ⑤ 감염 단말 즉시 격리 후 포렌식

정의파일 암호화를 통한 금전 요구 공격이 발생했을 때의 초기 대응과 복구 절차

원리① 메일 첨부·취약점·SMB로 유입 ② 문서·DB 암호화 ③ 볼륨 섀도 복사본 삭제 ④ 네트워크 공유·백업 서버까지 확산

영향업무 전면 중단, 백업 미분리 시 영구 데이터 손실

대응① 감염 시스템 즉시 네트워크 분리(전원은 유지해 메모리 증거 보존) ② 백업 매체가 분리 보관되어 있는지 확인 ③ 최초 유입 경로와 확산 범위 파악 ④ 오프라인 백업에서 복구, 금전 지불 지양 ⑤ 동일 취약점 패치 및 SMB 등 불필요 서비스 차단 ⑥ KISA 신고

정의침해가 의심되는 시스템에서 공격자의 침입·권한상승·지속성 확보 흔적을 찾아내는 분석 절차

원리① 계정 — UID 0 계정 추가, passwd·shadow 변경 시각 ② 권한 — 신규 SUID 파일 ③ 지속성 — cron 등록, 자동실행 레지스트리, 신규 서비스·예약작업 ④ 네트워크 — 미상 외부 연결(netstat -antp) ⑤ 실행 흔적 — bash_history, Prefetch ⑥ 은폐 — 로그 삭제 흔적, 타임스탬프 역전

영향흔적을 놓치면 재침입이 반복된다

대응① 무결성 검사 도구 기준선과 비교 ② 신뢰 가능한 매체의 명령어로 점검(루트킷 대비) ③ 원격 로그 서버 로그와 대조 ④ 백도어 제거 후 계정·키 전면 재발급 ⑤ 근본적으로는 재설치 권고

명령find / -perm -4000 -type f 2>/dev/null · netstat -antp · last / lastb

정의재해나 침해로 업무가 중단되었을 때 정해진 시간 내에 핵심 업무를 재개하기 위한 계획 체계

원리① BIA(업무영향분석)로 핵심 업무와 중단 허용 시간 산정 ② RTO(목표 복구 시간)와 RPO(목표 복구 시점) 결정 ③ 복구 전략과 대체 사이트 선정 ④ 계획 수립 후 정기 훈련·시험으로 검증

영향계획 부재 시 복구 지연과 데이터 손실이 확대된다

대응① 우선순위에 따라 Mirror·Hot·Warm·Cold Site 선택 ② 백업은 3-2-1 원칙(사본 3, 매체 2, 사외 1) ③ 복구 절차 문서화 및 담당자 지정 ④ 최소 연 1회 모의훈련 ⑤ 훈련 결과를 계획에 반영

🚨 침해사고 분석·대응