보안 분석가는 최근 인시던트의 일부로 사용된 공격 벡터가 잘 알려진 IoT 장치 익스플로잇이라는 것을 알게 되었습니다. 분석가는 초기 익스플로잇 시간을 식별하기 위해 로그를 검토해야 합니다. 분석가는 다음 로그 중 어떤 것을 먼저 검토해야 할까요?

방화벽 로그는 네트워크 경계에서 들어오고 나가는 트래픽을 기록하므로, 알려진 IoT 장치 익스플로잇과 관련된 초기 침입 시도를 식별하는 데 가장 적합합니다. 공격 벡터가 네트워크를 통해 들어왔을 가능성이 높으므로, 방화벽 로그는 공격이 처음 감지된 시간과 소스 IP 주소 등 중요한 정보를 제공할 수 있습니다. 엔드포인트 로그는 개별 장치 활동을 보여주지만, 초기 네트워크 침입보다는 감염 후 활동을 나타낼 가능성이 높습니다. 애플리케이션 로그는 특정 애플리케이션의 동작을 기록하며, 초기 익스플로잇보다는 애플리케이션 계층 공격에 더 관련성이 높습니다. NAC(네트워크 접근 제어) 로그는 장치가 네트워크에 연결될 때의 인증 및 권한 부여 정보를 제공하지만, 익스플로잇 자체의 초기 발생 시간을 직접적으로 보여주지는 않습니다.