사고 대응 & 취약점 관리: 이벤트에서 패치까지

 

 

“사고가 났다면, 바로 어떻게 대응하나요?” 심사관의 질문에 답하는 실전 가이드

 

 

1Ep. 공유 수석도 당황한 자동차 사이버보안 심사!?

2Ep. 자동차 사이버보안 인증, 처음이라면 반드시 알아야 할 21434 이야기

3Ep. TARA가 뭐야? 위협 분석은 무슨 일이고, 왜 이렇게 문서가 많아?!

4Ep. 사이버보안 계획서, 진짜 어떻게 써요?

5Ep. 사이버보안 감사, 심사관이 진짜로 보는 건 이것입니다

6Ep. 공급망 사이버보안: RASI 매트릭스와 CSIA 제대로 이해하기

7Ep. 검증·테스트 리포트 작성법: 펜테스트부터 퍼즈 테스트까지

 

 

📌 왜 사고 대응(Incident Response)과 취약점 관리가 중요한가?

• 사고(예: 해킹 시도, 이상 징후)는 언제든 발생할 수 있습니다.
• 심사관은 “문제가 생겼을 때 어떻게 신속·정확하게 대응했나?”를 가장 중요하게 봅니다.
• 취약점 관리(Vulnerability Management)는 “발견→평가→우선순위→패치→검증”의 사이클입니다.

 

📝 사고 대응 계획 (Incident Response Plan)

구성요소

항목	내용
범위(Scope)	감지 대상(로그, IDS 경보, 사용자 신고 등)
조직 체계(Team)	CSIRT(Computer Security Incident Response Team) 구성 및 역할
절차(Procedure)	1) 식별(ID) → 2) 분류(Classification) → 3) 대응(Action) → 4) 복구(Recovery) → 5) 교훈(Lessons Learned)
커뮤니케이션	내부 보고, 고객/공급망 통보, 법규·규제 당국 신고 요건
기록 및 증적	사고 티켓 번호, 조사 로그, 패치 이력, 회의록 등

 

실전 예시 (발췌)

사건 ID: IR-2025-001
발생 일시: 2025-05-12 14:35
감지 경로: IDS 경보 “Unexpected CAN message injection”
초기 대응:

1. CSIRT 소집 → 로그 수집 요청
2. 의심 ECUs 분리(차량 네트워크 격리)
   조치: 최신 펌웨어로 롤백 후 패치 테스트
   교훈: CAN 메시지 검증 강화 필요 → 보안 설계에 반영

 

🛠 취약점 관리 사이클 (Vulnerability Management)

단계별 프로세스

1. 탐지(Discovery)
   • 스캐닝(Scanning) 자동화(예: Nessus, OpenVAS)
   • 공개소식(Tac/CERT) 구독
2. 식별(Identification)
   • 취약점 ID: CVE(Common Vulnerabilities and Exposures) 번호 확인
   • 점수화: CVSS(Common Vulnerability Scoring System)
3. 평가(Assessment)
   • 영향도(Impact): 기밀성, 무결성, 가용성 영향도
   • 긴급도(Urgency): 공격 용이도, 서비스 중요도
4. 우선순위(Prioritization)
   • High, Medium, Low 등급 부여
   • SLA에 따라 패치·완화 조치 일정 수립
5. 대응(Action)
   • 패치(Patching): 공식 패치 적용
   • 완화(Mitigation): 방화벽 규칙, WAF 룰 추가 등
   • 감시(Monitoring): 추가 로깅, IPS 시그니처 업데이트
6. 검증(Verification)
   • 재스캔(Rescan) 및 재펜테스트(Re-PT) 수행
   • “취약점 미발견” 증빙 리포트 첨부
7. 보고(Reporting)
   • 취약점 관리 보고서: 발견 일자, 대응 일자, 담당자 기록

🔍 용어 해설

용어	설명
CSIRT	Computer Security Incident Response Team. 사고 대응 전담 조직.
CVE	Common Vulnerabilities and Exposures. 공개 취약점 ID.
CVSS	Common Vulnerability Scoring System. 취약점 심각도 점수 체계.
IDS / IPS	Intrusion Detection/Prevention System. 침입 탐지/방지 시스템.
WAF	Web Application Firewall. 웹 방화벽.
SLA	Service Level Agreement. 서비스 수준 협약(패치 완료 기한 등).
Tac/CERT	Threat Advisory Center / Computer Emergency Response Team. 위협 정보 공유 기관.

 

✅ 실무 꿀팁

• 자동화 필수: 스캐너→티켓 생성→담당자 자동 알림
• 정기 리뷰: 매월 취약점 현황 보고서 작성
• 교훈 문서화: Major Incident 후 ‘Lessons Learned’ 보고서 별도 보관
• 통제 연계: TARA 결과와 취약점 매핑 → 리스크 관리 일관성 확보
• 패치 정책: Critical 취약점은 48시간 내, High는 7일 내 대응

요약

1. Incident Response: 식별→분류→격리→해결→교훈
2. Vulnerability Management: 탐지→평가→우선순위→패치→검증→보고
3. 문서화 & 증빙이 심사 통과의 핵심