Threat Response Lifecycle
침해 한 건이 막히기까지,
네 단계가 자동으로 움직입니다
01Detect
탐지 — 로그를 모으고 규칙을 조정합니다
방화벽, 서버, 클라우드와 단말 로그를 SIEM에 연결합니다. 고객 환경의 정상 행위를 먼저 확인하고 탐지 규칙과 위협 인텔리전스를 운영합니다.
- 로그 소스별 수집 상태 점검
- 탐지 규칙 변경 이력 관리
- 행위 기반 이상 징후 분석
02Analyze
분석 — 오탐을 걸러내고 진짜 위협만 남깁니다
자동 분류를 거친 이벤트를 분석가가 원본 로그와 자산 정보를 함께 보며 확인합니다. 통보 기준과 담당자 연락망은 관제 개시 전에 합의합니다.
- 이벤트 심각도 분류
- 원본 로그·자산 맥락 확인
- 통보·에스컬레이션 절차
03Block
차단 — 확산 전에 격리합니다
사전에 승인한 플레이북에 따라 방화벽, EDR, NAC의 차단 또는 단말 격리를 요청합니다. 자동 조치 범위와 사람의 승인 단계는 자산 중요도별로 나눕니다.
- 승인형·자동형 플레이북
- 감염 단말 원격 격리
- 차단 내역과 해제 절차 기록
04Recover
복구 — 사고 이후까지 책임집니다
침해사고 대응 범위에 따라 증거를 보존하고 영향 자산과 최초 침투 경로를 조사합니다. 재발 방지 대책과 신고에 필요한 사실관계 정리를 지원합니다.
- 증거 보존 · 디지털 포렌식
- 영향 범위와 침투 경로 조사
- 사고 보고·재발 방지 계획
