다섯 살도 알 수 있게 · 보안
사고 대응이 뭐예요?
사고 대응(Incident Response)을 도둑이 들었을 때 펴는 순서표 이야기로 풀어봤어요.
종이 울렸어요. 다들 우왕좌왕이에요.누가 문을 잠그죠? 누가 도둑을 쫓죠? 누구한테 말하죠?
순서 없이 움직이면 더 망가져요.일지를 지워버리고, 엉뚱한 문을 잠그고, 도둑은 아직 안에 있어요.
사고 대응은 미리 정해둔 순서표대로 움직이는 거예요.종이 울리면 순서표를 펴요. 누가 뭘 할지 이미 적혀 있어요.
확인고양이인지 도둑인지
가두기못 퍼지게 문부터
내보내기벌레와 도둑을 치워요
되돌리기여분 상자로
가두고, 내보내고, 되돌려요.먼저 퍼지지 않게 방을 잠가요. 그다음 벌레를 치우고 열쇠를 바꾸고, 여분 상자로 되돌려요. 일지는 절대 지우지 않아요.
끝나면 모여서 무슨 일이었는지 적어요.왜 들어왔는지, 왜 늦게 알았는지, 순서표에서 뭘 고칠지. 그리고 순서표는 연습을 안 하면 그냥 종이예요 — 가끔 가짜 종을 울려 봐요.
한 줄로
사고 대응 = 종이 울렸을 때 미리 정해둔 순서표대로 확인 → 가두기 → 내보내기 → 되돌리기 → 배우기.
Incident Response. 미국 NIST SP 800-61의 여섯 단계예요 — 준비, 탐지·분석, 격리, 제거, 복구, 교훈. 순서표는 플레이북, 가짜 종은 탁상 훈련.
어른들은 이렇게 불러요
- 플레이북
Playbook - 순서표. 사고 종류마다 한 장씩. 랜섬웨어용, 가짜 편지용, 잃어버린 노트북용.
- 탐지 · 분석
Detection & analysis - 고양이인지 도둑인지. 종이 울린 게 진짜인지 먼저 봐요. → 성의 경비실
- 격리
Containment - 문 잠가 못 퍼지게. 방 하나를 잃더라도 성 전체는 지켜요. → 방 문 잠그기
- 제거
Eradication - 벌레와 도둑 치우기. 열쇠도 바꿔요 — 도둑이 복사해 갔을 테니까. → 열쇠 모양 바꾸기
- 복구
Recovery - 여분 상자로 되돌리기. 되돌린 뒤에도 한동안 더 지켜봐요. → 멀리 둔 여분 상자
- 교훈
Lessons learned - 모여서 적기. 탓하는 자리가 아니라 순서표를 고치는 자리예요.
- 포렌식
Forensics - 일지 읽고 발자국 찾기. 그래서 일지를 지우면 안 돼요. → 성 곳곳의 한 줄 일지
- 탁상 훈련
Tabletop exercise - 가짜 종 울려 보기. 도둑 없이 순서표대로 움직여 보는 연습.
다음 이야기
종을 기다리지 않는 파수꾼 →