목차

[[TOC]]

IR 플레이북

이 저장소에는 회사 SOC의 모든 침해 대응 플레이북과 워크플로가 포함되어 있습니다.

각 폴더에는 NIST - 800.61 r2에 따라 6개 섹션으로 구성된 플레이북이 포함되어 있습니다.

1- 준비

이 섹션에는 다음 정보가 포함되어야 합니다.

• 모든 자산 목록
  • 서버
  • 엔드포인트 (+중요한 것)
  • 네트워크
  • 애플리케이션
  • 직원
  • 보안 제품
• 기준선
• 의사소통 계획
• 어떤 보안 이벤트
• 임계값
• 보안 도구 접근 방법
  • 접근 권한 프로비저닝 방법
• 플레이북 생성
• 모의훈련 계획
  • 테이블탑
  • 실습

2- 탐지 및 분석

이 섹션에는 다음 정보가 포함되어야 합니다.

• 정보 수집
• 데이터 분석
• 탐지 규칙 구축
• 근본 원인 분석
• 공격의 깊이와 범위
  • 관리자 권한
  • 영향을 받은 시스템
• 사용된 기법
• 침해 지표 / 공격 지표
  • 전술, 기법 및 절차 (TTP)
  • IP 주소
  • 이메일 주소
  • 파일 해시
  • 명령줄
  • 등

3- 격리, 근절 및 복구

이 섹션에는 다음 정보가 포함되어야 합니다.

• 영향을 받은 시스템 격리
• 위협 진입점 패치
• 사전 정의된 임계값
  • 고객용
  • 내부 시스템용
  • 에스컬레이션용
• 사전 승인된 조치
  • 고객별
  • 환경별
    • Prod
    • QA
    • 인터넷 노출
• 모든 영향을 받은 시스템에서 위협 제거 방법
• 시스템 운영 재개
• 재구축 및 서비스 재개

4- 사고 후 활동

• 교훈
• 새로운 탐지 규칙
• 새로운 보안 강화
• 새로운 패치 관리
• 등

디렉터리 구조

고객

이 폴더에는 고객과 관련된 모든 정보가 포함되어 있습니다. 예를 들어:

• 연락처
  • 이름
  • 전화번호
  • 이메일
• 에스컬레이션 지점
  • 업무 시간
  • 비업무 시간
• 계정 관리자
• 사전 승인된 조치 및 임계값
• 전면 중단/부분 중단 일정

제품

이 폴더에는 사고 대응 중 사용하는 다양한 "상용" 제품에 대한 정보가 포함되어 있습니다. 예를 들어:

• JIRA
• Remedy
• Service-Now
• ArcSight
• Elastic Stack
• RSA NetWitness
• Splunk
• AMP
• CrowdStrike
• McAfee
• Microsoft ATP
• Symantec
• Firepower
• Fortigate
• 등

IRP-*

이들은 플레이북 자체를 포함하는 개별 폴더입니다. 각 디렉터리 안에는 이를 확인해야 하는 감사자와 고객을 위해 PDF 버전이 제공(자동 생성)되는 PDF 폴더가 있어야 합니다.

새 플레이북 생성

폴더 및 파일

새 플레이북을 생성하려면:

• 새 폴더를 생성합니다. 예: IRP-DDoS
• 새 폴더 안에 README.md라는 파일을 생성합니다.
• IRP-TEMPLATE.md의 내용을 붙여넣습니다.
• 문서 전체에서 -NAME- 문자열을 플레이북 이름(예: DDoS)으로 바꿉니다.
• 섹션을 편집합니다.

워크플로

워크플로를 생성하려면

• 새 폴더 안에 Workflows라는 폴더를 생성합니다.
• Draw.io에서 WORKFLOW-TEMPLATE.drawio 파일을 엽니다.
• 모든 탭을 완료할 때까지 로컬에 저장합니다.
• 모든 탭/단계가 완료되면 새 Workflows 폴더에 복사본을 업로드합니다.
• Draw.io의 File -> Export as -> PNG 기능을 사용하여 각 다이어그램 단계를 별도로 저장합니다.
  • Include a copy of the diagram 체크를 해제했는지 확인합니다.
  • Export를 클릭합니다.
  • 로컬에 저장합니다.
• 각 .PNG 파일을 새 Workflows 폴더에 업로드합니다.