경고의 의미와 관찰 범위를 확인합니다

어떤 장비와 계정에서 언제 무엇을 관찰했는지 확인합니다. 탐지 규칙, 지표의 출처와 수집 지연 및 시간 차이를 기록하고 정상 변경이나 공유 자원에 의한 오탐 가능성도 검토합니다.

IoC 일치는 조사 근거가 될 수 있지만 단일 값으로 침해와 행위자를 모두 확정하지 않습니다. 실제 실행과 연결 및 권한 변화 등 서로 다른 근거를 연결해 판단합니다.

원본과 분석 사본의 관계를 남깁니다

승인된 범위에서 자료를 수집하고 식별 정보, 시각과 담당자 및 전달 이력을 기록합니다. 파일 해시는 변경 확인에 도움이 되지만 보관 경위 전체를 대신하지 않습니다.

휘발성 자료와 저장 자료는 수집 조건이 다릅니다. 원인을 모르고 초기화하거나 로그를 정리하면 필요한 근거가 사라질 수 있어 대응과 보존의 영향을 함께 판단합니다.

계정 회수와 장비 격리 및 차단은 피해 제한에 도움이 되지만 정상 업무에 영향을 줄 수 있습니다. 담당자, 승인 권한과 중단 및 복구 조건을 정하고 실행 결과를 확인합니다.

SOAR 자동화도 입력의 신뢰와 실행 권한 및 예외를 검증해야 합니다. NIST SP 800-61 Rev. 3처럼 대응을 준비 및 위험 관리와 연결해 운영해야 합니다.

침해 경로와 영향 범위의 확인 수준을 기록하고 필요한 통제를 보완합니다. 정상 업무와 계정 및 데이터의 상태를 확인해 복구 완료의 기준을 정합니다.

확정된 사실과 추정 및 미확인을 보고서에서 구분합니다. 고객 자료와 비밀값은 공개 증거에서 제외하고 수집 누락이나 검증하지 못한 구간을 숨기지 않습니다.