침해사고 대응 조직
IT위키
더 많은 작업
(CSIRT에서 넘어옴)
- CERT; Computer Emergency Response Team; CSIRT; Computer Security Incident Response Team
- 기업·기관의 관할 범위 안에서 발생하는 침해사고의 접수·분석·대응·복구를 전담하는 조직. 침해사고대응팀이라고도 한다.
1988년 모리스 웜 사태를 계기로 미국 카네기멜런 대학교에 CERT/CC 가 설치된 것이 시초다. 이후 각국과 각 조직이 같은 기능의 조직을 두게 되었고, 오늘날 CERT 는 고유명사가 아니라 침해사고 대응 조직 일반을 가리키는 말로 쓰인다.
- CERT : 가장 널리 쓰이는 이름. 원래는 CERT/CC 의 등록 상표에서 비롯했다.
- CSIRT : 상표 문제를 피하면서 같은 기능을 가리키는 중립적 명칭. 국제적으로는 이쪽이 더 정확한 용어로 취급된다.
- 국가 단위 : 국내에서는 한국인터넷진흥원이 KrCERT/CC 를 운영하며 민간 분야 침해사고를 접수·대응한다.
- 사고 대응(Reactive)
- 침해사고 신고 접수와 초동 분석
- 피해 범위 파악, 격리, 차단 등 봉쇄 조치
- 원인 분석과 증거 수집(디지털 포렌식)
- 절차는 침해사고 대응절차 문서 참조
- 복구 지원과 재발 방지 대책 수립
- 사전 예방(Proactive)
- 취약점 정보와 보안 권고문 배포
- 로그·트래픽 상시 모니터링(침입탐지시스템)
- 모의 훈련과 대응 절차 점검
- 임직원 보안 교육
- 품질 관리
- 보안 정책·구성 점검, 위험 평가, 감사 지원
- 역할이 아닌 것
- CERT 가 다루는 대상은 침해사고와 시스템의 취약점이다. 구성원 개개인을 조사하거나 감시하는 것은 CERT 의 역할이 아니다. 사고 분석 중 내부자의 책임 문제가 드러나면 인사·감사·법무 조직이나 수사기관에 넘긴다