경고와 확정된 사고는 다를 수 있습니다

탐지 도구는 정해진 패턴이나 정상과 다른 움직임을 보고 경고를 만듭니다. 실제 공격일 수 있지만 정상 업무의 변화나 공유 주소 때문에 비슷하게 보일 수도 있습니다.

경고를 무시하는 것과 확인되지 않은 침해를 단정하는 것 사이에서 관찰 근거를 확인하는 과정이 필요합니다.

누가 언제 무엇을 했는지 연결합니다

장비와 계정, 발생 시각과 관찰한 동작을 정리합니다. 관련 로그인과 실행 및 통신 기록을 연결하면 경고 하나만 볼 때보다 실제 범위를 판단하기 쉽습니다.

시스템의 시간 차이와 수집 누락도 확인해야 합니다. 파일 해시가 일치해도 정상 사용 도구와 악성 사용의 맥락이 다를 수 있습니다.

문제가 의심된다고 모든 자료를 삭제하거나 장비를 무조건 초기화하면 조사와 복구 근거가 사라질 수 있습니다. 승인된 담당자와 격리 및 보존 범위를 판단합니다.

정상 업무를 멈출 수 있는 계정 잠금과 통신 차단에는 실행 조건과 결과 확인 및 복구 경로가 필요합니다.

확인된 경고 문구와 시각 및 영향받은 업무를 전달하되 인증 코드와 고객 원본 자료를 공개하지 않습니다. 실제 침해 여부와 미확인 범위는 조사 결과에 따라 갱신합니다.

관련 기술자료에서 확인과 보존 및 대응의 연결 기준을, 용어사전에서 IoC와 SIEM 및 포렌식의 역할을 확인할 수 있습니다.