CompTIA SY0-701: 사고 대응, 포렌식 및 평가 — 학습 가이드

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

다음의 일부입니다: CompTIA Security+ SY0-701 — 학습 가이드. 검증된 답안으로 연습하기: CompTIA 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.

보안 사고는 피할 수 없습니다. 사고 대응(incident response)이라는 규율은 혼란스럽고 파괴적인 이벤트를 피해를 제한하고, 증거를 보존하며, 운영을 복구하고, 지속적인 개선을 이끌어내는 구조화되고 문서화된 프로세스로 전환합니다. 포렌식(Forensics)은 근본 원인 분석(root-cause analysis)을 가능하게 하고 법적 절차를 방어할 수 있도록 하는 조사 방법론을 제공합니다. 취약점 관리(Vulnerability management)는 사고가 악용하는 약점을 체계적으로 찾아내고 해결함으로써 이러한 순환 고리를 완성합니다.

취약점 스캐닝과 CVSS 우선순위 지정

Nessus, Qualys, Rapid7 InsightVM과 같은 취약점 스캐너는 호스트를 열거하고, 서비스를 탐색하며, 발견된 사항을 CVE 데이터베이스와 대조하여 우선순위가 지정된 약점 목록을 생성합니다. 인증된 스캔(Authenticated scans) — 스캐너가 유효한 자격 증명으로 대상에 로그인하는 방식 — 은 외부에서 보이는 서비스만 평가할 수 있는 인증되지 않은 스캔(unauthenticated scans)보다 훨씬 더 완전한 결과를 생성합니다. 흔한 실패 사례는 인증되지 않은 스캔만 실행하고 스캐너가 내부를 들여다볼 수 없었을 뿐인데도 시스템이 ‘깨끗하다’고 결론 내리는 것입니다.

우선순위 지정은 현재 버전 3.1/4.0인 **CVSS(Common Vulnerability Scoring System)**를 기준으로 합니다. CVSS는 기본(Base) 메트릭(공격 벡터, 공격 복잡성, 필요한 권한, 사용자 상호 작용, 범위, 그리고 CIA 영향 3요소)에서 파생된 0.0–10.0점의 점수를 생성하며, 선택적으로 시간(Temporal) 및 환경(Environmental) 메트릭으로 구체화할 수 있습니다. 네트워크 공격 벡터를 가지며 인증이 필요 없는 CVSS 9.8 취약점(예: CVE-2021-44228 Log4Shell)은 긴급 패치가 필요하지만, 격리된 관리 호스트에서 로컬로 악용 가능한 5.4점 문제는 기다릴 수 있습니다. 정교한 프로그램은 이론적 심각도와 함께 실제 악용 가능성에 가중치를 두기 위해 CVSS를 EPSS(Exploit Prediction Scoring System) 및 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그로 보완합니다.

모의 침투 테스트와 교전 수칙

모의 침투 테스트(Penetration testing)는 단순히 스캔하는 것을 넘어 약점을 능동적으로 악용하여 그 영향을 입증합니다. 테스트 계약은 블랙박스(black-box)(사전 지식 없음), 화이트박스(white-box)(전체 문서 및 소스 코드 접근 권한 보유), 또는 그레이박스(gray-box)(부분적인 지식 보유, 종종 내부자나 권한을 탈취당한 사용자를 시뮬레이션)로 분류됩니다. **정적 애플리케이션 보안 테스트(SAST)**는 소스 코드를 실행하지 않고 분석하여 SQL 인젝션 싱크나 안전하지 않은 역직렬화 패턴과 같은 결함을 찾아냅니다. 반면 **동적 애플리케이션 보안 테스트(DAST)**는 실행 중인 애플리케이션을 대상으로 테스트하여 인증 우회 및 세션 처리 결함과 같은 런타임 문제를 식별합니다. 어느 한 가지 접근 방식만으로는 충분하지 않습니다. SAST는 런타임 및 환경 문제를 놓치고, DAST는 자신이 거치지 않는 코드 경로를 놓칩니다.

교전 수칙(Rules of Engagement, RoE) 문서는 범위(IP 범위, 도메인, 애플리케이션), 허용된 기술, 테스트 기간, 비상 연락처, 발견된 민감 데이터 처리 방식, 법적 승인 등을 정의하는 구속력 있는 결과물입니다. 서명된 RoE와 작업 명세서(statement of work)가 없으면 테스트 활동은 법적으로 범죄적 침입과 구별할 수 없습니다. RoE는 일반적으로 명시적으로 승인되지 않는 한 파괴적인 행위, 운영 환경에 대한 DoS 테스트, 사회 공학적 기법을 금지합니다.

사고 대응 수명 주기

NIST SP 800-61 수명 주기는 표준적인 구조를 제공합니다:

준비 사고 발생 전에 대응 역량을 구축합니다. CSIRT 구축, 역할과 책임 정의, 탐지 도구(SIEM, EDR, NDR) 배포, 런북(runbook) 유지 관리, 쓰기 방지 장치(write blocker) 및 이미징 드라이브가 포함된 점프킷(jump kit) 구비, 도상 훈련(tabletop exercise) 수행 등이 포함됩니다. 역할과 책임을 검토하는 것은 준비 활동이며, 위기 상황 중에 급조하는 것이 아닙니다.

식별 (탐지 및 분석) 이벤트가 실제로 사고인지 확인합니다. 분석가는 경보를 분류하고, 지표를 상호 연관시키며, 범위를 결정하고, 심각도를 분류합니다. 이 단계의 정확성은 경보 피로(alert fatigue)와 섣부른 확대 조치를 모두 방지합니다.

격리 피해를 제한합니다. 단기적 격리 조치로는 스위치 포트를 비활성화하거나 EDR 네트워크 격리를 적용하여 호스트를 분리할 수 있습니다. 장기적 격리 조치로는 조사가 진행되는 동안 영향을 받은 세그먼트를 재구축하는 것이 포함될 수 있습니다. 격리 결정은 증거 보존과 지속적인 피해 방지 사이에서 균형을 맞춰야 합니다. 예를 들어 전원 케이블을 뽑으면 휘발성 메모리는 파괴되지만 진행 중인 데이터 유출은 중단됩니다.

제거 공격자와 근본 원인을 제거합니다. 악성코드 삭제, 침해된 계정 비활성화, 악용된 취약점 패치, 노출되었을 수 있는 자격 증명 및 키 교체 등이 포함됩니다.

복구 시스템을 운영 환경으로 복구하고, 무결성을 검증하며, 재발을 모니터링하고, 서비스를 단계적으로 다시 온라인 상태로 전환합니다. 위협이 동일한 경로를 통해 즉시 재발할 수 없다는 확신이 설 때까지 복구는 완료된 것이 아닙니다.

교훈 사후 보고서, 업데이트된 런북, 통제 개선 사항을 도출합니다. 이 단계는 조직이 사고를 통해 지속적인 역량을 확보하는 과정이며, 이 단계를 건너뛰면 동일한 사고가 재발하게 됩니다.

디지털 포렌식: 보존, 수집 및 분석

포렌식 무결성은 증거의 무결성과 증거 능력을 보존하는 방식으로 수집되어야 한다는 원칙에 기반합니다. 보존은 사고가 의심되는 순간부터 시작됩니다. 여기에는 로그 동결, 자동 정리 중단, 데이터 관리자에 대한 법적 보존 조치(Legal Hold) 발령 등이 포함됩니다. 수집은 포렌식 이미지를 실제로 획득하는 단계로, 일반적으로 dd, FTK Imager, EnCase와 같은 도구를 사용하여 스토리지 미디어를 비트 단위로 복사하거나 WinPmem, LiME과 같은 도구를 사용하여 메모리를 캡처합니다. 모든 수집 데이터는 이미징 직후 계산된 암호화 해시(SHA-256)를 함께 보관해야 합니다.

# Create forensic image and compute hash simultaneously
dd if=/dev/sda bs=4M | tee disk.img | sha256sum > disk.img.sha256

# Verify integrity after transfer
sha256sum -c disk.img.sha256

증거 보관 연속성 문서는 증거를 처리한 모든 사람, 시기, 이유를 기록합니다. 증거 보관 연속성에 공백이 생기면 법적 절차에서 증거 능력을 잃게 되고 민사 소송을 약화시킬 수 있습니다. 휘발성 순서는 수집 순서를 결정합니다. CPU 레지스터와 캐시, RAM, 스왑, 디스크 순으로 수집하는데, 이는 전원이 차단되면 휘발성이 높은 데이터부터 먼저 손실되기 때문입니다.

분석 단계에서는 브라우저 기록, 프리패치 파일, 레지스트리 하이브(특히 NTUSER.DAT, SYSTEM, SOFTWARE), 이벤트 로그, $MFT 항목, 네트워크 캡처와 같은 아티팩트를 조사합니다. 타임라인 분석은 여러 소스의 이벤트를 상호 연관시켜 공격자의 활동을 재구성합니다. Autopsy, Volatility(메모리 분석용), Wireshark(네트워크 캡처 분석용)와 같은 도구는 포렌식 툴킷의 표준 도구입니다.

실제 시나리오: 내부자 위협에 대한 포렌식 조사

한 제약 회사의 DLP 시스템이 선임 연구원의 퇴사 전날, 해당 연구원의 워크스테이션에서 개인 클라우드 스토리지 계정으로 비정상적인 대량의 파일 전송이 발생한 것을 탐지했습니다. 보안팀은 워크스테이션이 재설치(reimage)되기 전에 디스크와 메모리를 모두 캡처하여 워크스테이션 이미지를 보존했습니다. $MFT에 대한 포렌식 분석 결과, 90분 동안 14,200개의 파일에 접근한 사실이 드러났으며, 이는 정상적인 업무 패턴과 일치하지 않았습니다. 브라우저 기록에는 개인 Dropbox 계정에 대한 인증 기록이 남아 있었습니다. USBSTOR 키에 대한 레지스트리 분석 결과, 3일 전에 USB 드라이브가 연결되었으며, 이 드라이브의 시리얼 번호는 회사 자산 목록에 등록되지 않은 것으로 밝혀졌습니다. 메모리 이미지에는 유출된 디렉터리와 일치하는 파일 목록의 조각이 포함되어 있었습니다. 검증된 해시가 포함된 디스크 이미지, 증거 보관 연속성 문서, 이를 뒷받침하는 메모리 아티팩트로 구성된 이 증거 패키지는 민사 소송을 제기하고 사법 기관에 의뢰하기에 충분했습니다.

← 보안 운영 · 모든 도메인 · 애플리케이션 및 웹 보안 →

이 문제 연습하기 → · ExamRoll.io에서 시간 제한 연습 →