사고 확산 차단·원인 제거·서비스 복구를 나누기

봉쇄(containment)는 사고가 더 퍼지거나 피해가 커지지 않도록 영향을 제한하는 활동이고, 제거(eradication)는 사고의 원인과 지속 효과를 없애는 활동입니다. 복구(recovery)는 영향을 받은 시스템이나 업무를 안전하게 정상 운영 상태로 되돌리고 확인하는 활동입니다.

NIST SP 800-61 Rev.3의 대응 구조에서 이들은 서로 다른 목적을 가집니다. 모든 사건에서 똑같은 순서나 한 번의 조치로 끝난다고 볼 수는 없습니다. 영향·증거보전·조직 권한을 고려하고, 복구 후에도 정상 동작과 재발 여부를 확인해야 합니다.

세 단계는 서로 다른 질문에 답합니다

사고 대응 중 격리, 악성코드 제거, 서비스 복구가 모두 시스템을 바꾸는 행동처럼 보여도 목적은 다릅니다. 봉쇄는 지금 진행 중이거나 더 확산될 수 있는 피해를 통제합니다. 네트워크 연결을 제한하거나 영향을 받은 계정을 일시 중지하는 조치가 사례가 될 수 있습니다. 제거는 공격자가 다시 접근하게 만드는 원인이나 악성 요소를 없애는 일입니다. 악성 파일 삭제뿐 아니라 취약한 진입 경로 보완, 노출된 자격 증명 교체, 지속성 흔적 조사 등이 포함될 수 있습니다. 복구는 신뢰할 수 있는 상태에서 서비스를 다시 제공하도록 구성·데이터·운영 절차를 복원하고 검증하는 단계입니다. NIST SP 800-61 Rev.3는 사고 완화의 활동으로 봉쇄와 제거를 구분하고, 복구 기능을 별도로 둡니다.

가상 악성코드 사건에서 행동의 목적을 추적합니다

한 부서의 워크스테이션에서 비정상 프로세스와 외부 연결이 관찰됐다고 합시다. 첫 조치로 네트워크 연결을 제한해 다른 시스템으로 번지는 위험을 낮춥니다. 이는 감염 흔적을 지운 것이 아니라 확산을 통제한 봉쇄입니다. 이때 증거와 시스템 상태를 보존할 필요가 있는지, 격리가 업무·안전·운영에 미칠 영향을 누가 승인하는지도 확인해야 합니다. 급히 전원을 끄거나 파일을 삭제하면 원인 분석에 필요한 단서가 사라질 수 있으므로 실제 대응은 조직의 증거 보전 절차와 담당자 지시에 따릅니다.

조사 결과 악성 파일이 특정 취약한 프로그램과 노출된 계정 정보를 통해 실행됐다는 근거가 나오면, 승인된 절차로 악성 구성요소를 제거하고 취약한 진입 경로를 보완하며 자격 증명을 교체합니다. 이것은 위협의 원인과 지속 효과를 없애는 제거입니다. 그다음 정리된 시스템을 신뢰할 수 있는 이미지나 백업에서 복원하고, 데이터 무결성·업무 기능·보안 설정을 시험한 뒤 운영망에 다시 연결합니다. 이 부분이 복구입니다. 격리 장비 한 대에서 악성 파일 하나를 지웠다고 모든 영향 자산의 원인이 제거되었거나 서비스가 복구된 것은 아닙니다.

각 조치에 목적과 검증 조건을 붙입니다

1. 현재 진행 중인 피해를 제한해야 하는 행동은 봉쇄로 분류합니다.
2. 공격 경로·악성 구성요소·노출 자격 증명처럼 재발 원인을 없애는 행동은 제거로 봅니다.
3. 서비스·데이터·운영 통제를 정상 상태로 되돌리는 행동은 복구로 봅니다.
4. 각 행동의 전후에 영향 범위, 증거 보존, 권한과 부작용을 기록합니다.
5. 복구 뒤 서비스 기능과 보안 통제, 재발 징후를 확인하고 필요한 감시를 지속합니다.

NIST SP 800-171의 세 번째 개정본(2024년 5월)에서 03.06.01 통제는 사고 대응 역량에 준비, 탐지 및 분석, 봉쇄, 제거, 복구가 포함된다고 설명합니다. 다만 이 표준은 CUI를 처리·저장·전송하는 비연방 시스템 구성요소 또는 그 보호 구성요소를 대상으로 합니다. 이 사례는 단계 개념을 보여 주는 참고이며 모든 민간 조직에 그 통제가 법적으로 적용된다고 말하지 않습니다. 2025년에 발행된 NIST SP 800-61의 세 번째 개정본 구조는 2012년 두 번째 개정본에 나온 과거 단계 그림과 구분해야 하며, 옛 도식을 그대로 옮겨 쓰지 않습니다.

격리만으로 해결했다고 하거나, 원인 제거 전에 복구하지 않습니다

첫 번째 흔한 실수는 통신을 차단했으니 사고가 끝났다고 생각하는 것입니다. 봉쇄는 피해를 제한하지만 이미 들어온 위협이나 다른 영향 자산을 없애지 않을 수 있습니다. 두 번째는 악성 파일 하나를 삭제한 뒤 곧바로 업무망에 연결하는 것입니다. 최초 진입 경로나 다른 지속성 요소가 남아 있다면 재감염될 수 있습니다. 세 번째는 백업 복원 자체를 복구 완료로 보는 것입니다. 백업 시점의 데이터와 설정이 신뢰 가능한지, 복원된 서비스가 의도대로 동작하는지, 보안 통제가 유지되는지 검증해야 합니다. 각 단계는 체크 표시 하나가 아니라 목적에 맞는 증거로 끝났는지 확인합니다.

행동을 보고 목적과 단계를 말해 봅니다

회상 연습: ① 영향을 받은 장비의 통신을 제한한다. ② 진입 취약점을 보완하고 노출된 비밀번호를 교체한다. ③ 검증된 이미지에서 서비스를 다시 올리고 기능과 보안 설정을 시험한다. 각각 봉쇄, 제거, 복구입니다. 이어서 ‘단계가 끝났다는 증거’를 말하세요. 확산이 통제됐는지, 원인과 지속 경로가 제거됐는지, 정상 운영과 보안이 확인됐는지가 답입니다. 실제 사건에서는 기술적 조치 순서가 상황과 조직 지휘·증거보전 요구에 따라 달라질 수 있으므로, 목적을 구분하되 무조건 같은 순서라고 외우지 마세요.