3-Planning a Security Incident Response

3.2 What is Threat Modeling

 

3.2.1.3

Stride

-Spoofing identity (id 스푸핑)

-Tampering with data (데이터 조작)

-Repudiation (거절?)

-Information disclosure (정보 노출)

-Denial of service (서비스 거부)

-Elevation of privilege (권한 상승)

 

3.2.2

NIST CSF에 정의된 5가지 핵심 기능 

-Identify

-Protect

-Detect

-Respond

-Recover

 

3.2.4.1

보안사고 대비

1. 위기 대비

2. 위기 상황 - 조직의 잠재적인 손상을 즉시 제한한다.

 

3.2.4.3

복구 준비, 복구 프로세스

-중요한 데이터에 대한 검증된 백업 및 복구 기능

-기술 문서/자동화 작성

-손상된 계정 복구절차??? 뭐라는거야

-워크스테이션과 서버 모두에 대해 손상된 호스크 복구 절차

-네트워크 분리 및 분리절차

 

 

---

3.3 Building a CSIRT

CSIRT(Computer Security Incident Response Team)

 

3.3.2.1 준비 작업

팀은 보안 사고에 대한 책임을 지는 그룹으로 구성. 팀 구성원은 의무를 명확하게 정의해야 한다. 

임무, 목표 결정

 

3.3.2.2 팀 작업

-시스템의 보안 위반 여부 모니터링(사건 상관관계 및 분석, 통합 위협 인텔리전스, 사용자 및 엔티티 동작 분석, 머신러닝 분석)

-중앙통신지점 역할

-보안사고를 문서화, 카탈로그화

-보안 인식 강화

-취약성 평가 및 침투 테스트

-공격자가 사용하는 새로운 전략에 대해 알아두기

-새 소프트웨어 패치 조사

-새로운 기술 분석 및 개발

-수사 능력 개발

-현재 시스템 및 절차를 지속적으로 업데이트

 

3.3.2.3

팀 준비-교육-모든 관련 통신 정보 수집-데이터에 대한 백업 및 복구 기능 검증-모든 비상 시스템 정보를 오프라인 위치에 배치-기술 문서/자동화 작성-네트워크 분리-모든 컴퓨팅 시스템에 대해 손상된 호스트 복구

 

3.3.2.4 팀 역할

CSIRT Team Leader

CSIRT Incident Lead

CSIRT Associate Members

CSIRT Lead from Legal

CSIRT communications lead 

IT Contact

Management

 

 

출처: Microsoft Learning Platform