사고 응답 패턴

Well-Architected Trust에 대해 자세히 알아보기 → 보안 사고 대응

예방 조치에도 불구하고 보안 사고가 발생합니다. Trust 아키텍처는 감지 가능성, 신속한 응답, 법적 조사, 우수한 복구를 위해 설계해야 합니다. 이 페이지에서는 Trust 기둥의 사고 대응 섹션에서 사고 대응 패턴을 통합하여 감지 아키텍처, 응답 절차, 법률 검사 기능 및 사고 후 학습을 다룹니다.

패턴

찾을 위치	유사성
이벤트 모니터링	✅ SIEM 플랫폼에 라우팅하여 로그인 패턴, 대량 데이터 내보내기, 권한 변경, API 활동을 수집하는 이벤트 모니터링 활성화 - 네이티브 보존 제한을 초과하는 보존
트랜잭션 보안 정책	✅ 실시간 이벤트를 평가하는 정책을 구성하여 의심스러운 작업을 차단하거나 단계별 인증을 요구하거나 동작 기준선을 기반으로 알림을 트리거합니다.
설정 감사 내역	✅ 관리 구성 변경 사항 모니터링 - 180일 보존을 통해 승인되지 않은 수정 사항을 감지할 수 있습니다.
사용자 정의 응용 프로그램 로깅	✅ Apex 보안 관련 이벤트 로깅을 구현하여 인증 실패, 인가 거부, 의심스러운 입력 패턴을 캡처합니다.
상태 확인 모니터링	✅ 권한이 없는 변경 사항을 나타낼 수 있는 보안 기준선에서 구성 드리프트 자동 감지 구성
SIEM 통합	✅ 엔터프라이즈 보안 Telemetry 및 동작 분석과의 상관 관계를 위해 엔터프라이즈 SIEM 플랫폼에 이벤트 모니터링 로그 라우팅
경고 규칙	✅ 의심스러운 패턴(영업 시간 이외의 대량 액세스, 새로운 지역의 로그인, 빠른 권한 에스컬레이션)을 감지하는 동작 기준선을 사용하여 동작 기준선을 설계하여 거짓 양성을 최소화합니다.
행동 분석	✅ 일반적이지 않은 데이터 액세스 볼륨, 시간 외 관리 활동, API 소비 패턴에 대한 변칙 감지를 지원하는 동작 기준 설정
다중 채널 감지	✅ 이벤트 모니터링, 트랜잭션 보안, 설정 감사 내역, 사용자 정의 로깅, 여러 개의 독립적 인 감지 신호를 제공하는 상태 확인을 통해 감지를 구현합니다.
변경할 수 없는 로그 저장소	✅ 공격자가 관리 Salesforce 액세스 권한으로도 수정할 수 없는 변경할 수 없는 외부 저장소로 로그를 라우팅하여 포렌식 증거 무결성을 보장합니다.

안티 패턴

찾을 위치	불만 사항
기본 로그 보존만 해당	⚡️ 외부 보관 없이 기본 Salesforce 감사 추적 보존 창(이벤트 모니터링 기본 제한, 180일 설정 감사 내역)에만 의존하고 조사에 내역 분석이 필요한 경우 로그가 만료됨을 발견
행동 기준선 없음	⚡️ 변칙 감지에 대한 동작 기준선이 없어 보안 팀이 알림을 무시하도록 교육하는 과도한 거짓 양성 경고 생성
SIEM 통합 없음	⚡️ 엔터프라이즈 SIEM 통합 부족, 더 광범위한 압축 패턴을 드러내는 다른 시스템의 보안 Telemetry와의 상관 관계 기회 누락
수동 로그 검토	⚡️ 자동 경고가 아닌 정기적인 수동 로그 검토에 따라 발생한 사고가 발생한 후 몇 주 또는 몇 달 후에 발생하는 사고를 파악합니다.
트랜잭션 보안 정책 없음	⚡️ 실시간 트랜잭션 보안 정책이 없고, 발생하기 전에 의심스러운 작업을 차단할 수 있는 기능이 없으며,
불완전한 적용 범위	보안 관련 이벤트의 하위 집합만 모니터링(로그인하지만 데이터 액세스, 구성 변경 사항, 권한 수정 없음) 블라인드 스팟 생성
경고 피로	⚡️ 튜닝 없이 과도하게 잘못된 긍정적인 경고를 생성하고 팀을 교육하여 합법적인 보안 이벤트 등 알림을 무시합니다.

패턴

찾을 위치	유사성
격리 경계	✅ 중요 비즈니스 기능을 중단하지 않고 권한 집합 해지, IP 제한 변경 또는 세션 종료를 통해 손상된 구성 요소를 분리할 수 있도록 설계된 아키텍처
세션 관리	✅ 모든 활성 세션에서 강제 로그아웃 및 세션 무효화 등 손상된 계정에 대한 빠른 세션 종료 기능 구현
권한 취소	✅ 기준선 프로필이 아닌 권한 집합을 통해 권한을 부여하여 빠르게 취소합니다. 권한 집합 할당을 제거하면 프로필 또는 기타 할당이 독립적으로 동일한 권한을 부여하지 않을 경우 액세스가 취소됩니다.
IP 제한	✅ 다른 주소의 로그인이 즉시 거부되도록 특권 계정에 대한 프로필 수준 로그인 IP 범위를 구성하여 알려진 관리 위치와 신속하게 네트워크 수준 격리할 수 있습니다.
사용자 계정 동결	✅ 인증을 방지하는 계정 동결 절차를 구현하고 손상된 계정을 삭제하지 않고 조사를 위해 데이터를 유지합니다.
API 액세스 제어	✅ 손상된 통합 계정을 빠르게 격리할 수 있는 토큰 취소 기능을 사용하여 API 인증 설계
다중 조직 격리	✅ 가치가 큰 자산의 경우 운영 복잡성 증가로 중요한 구성 요소에 대한 가장 강력한 격리를 제공하는 멀티 조직 아키텍처를 평가합니다.
비상 휴식 절차	✅ 사용 후 감사 및 유효성 검사를 통해 비상 관리 액세스를 위한 문서화된 중단된 액세스 절차 유지

안티 패턴

찾을 위치	불만 사항
격리 경계 없음	⚡️ 모든 비즈니스 기능을 중단시키기 위해 완전한 시스템 종료가 필요한 아키텍처 격리 경계가 없음
과도하게 허용된 액세스	⚡️ 광범위한 모든 데이터 수정 권한 부여를 통해 여러 비즈니스 프로세스 중단 없이 세분화된 권한 취소 방지
공유 서비스 계정	⚡️ 여러 시스템에서 단일 공유 “API 사용자” 또는 “통합 사용자” 계정을 사용하여 모든 통합을 중단하지 않고 특정 통합이 손상되지 않도록 방지
IP 제한 없음	⚡️ 특권 계정에 대한 IP 허용 목록이 없고 계정이 손상된 경우 네트워크 수준 차단 기능이 부족합니다.
세션 관리 없음	⚡️ 비밀번호 재설정을 강제 로그아웃하는 유일한 방법으로 해야 하는 세션 종료 기능이 없으므로 중요한 응답 기간 동안 지연이 발생합니다.
비상 절차 없음	⚡️ 문서화된 중단 또는 비상 액세스 절차가 없고, 활성 사고 중에 압박을 받는 상태에서 중요한 결정을 즉흥화

패턴

찾을 위치	유사성
이벤트 모니터링 로그	✅ 포렌식 분석에 충분한 세부 사항이 포함된 사용자 작업, API 호출, 인증 이벤트, 데이터 액세스 패턴을 포함한 자세한 활동 로그 수집
필드 감사 내역	✅ 보존 일치 규제 요구 사항을 사용하여 제한된 필드 및 기밀 필드에 대한 데이터 변경 내역을 유지하는 필드 감사 내역 활성화(무기한 보존 지원, 규정에 대한 필수 기간 확인)
변경할 수 없는 저장소	✅ 공격자가 수정할 수 없는 변경할 수 없는 외부 저장소로 로그를 라우팅하여 조사 전반에 걸쳐 포렌식 증거 무결성을 보장합니다.
설정 감사 내역	✅ 관리 구성 변경 내역을 유지하여 권한이 없는 시스템 수정 사항을 조사하고 180일 보존
범위 평가	✅ 손상된 계정 권한을 기반으로 데이터 노출 범위를 빠르게 평가할 수 있는 권한 모델 및 데이터 액세스 제어 설계
상관 관계 변경	✅ 설정 감사 내역 구성 변경 사항과 이벤트 모니터링 활동 패턴 간의 상관 관계를 유지하여 공격자 기술 조사를 지원합니다.
데이터 액세스 로깅	✅ 제한된 데이터 및 기밀 데이터에 대한 모든 액세스 기록을 통해 압축 기간 동안 노출된 데이터를 조사할 수 있습니다.
통합 감사 내역	✅ 통합 시스템에 대한 API 인증, 인가, 데이터 교환 패턴을 수집하여 교차 시스템 압축을 조사할 수 있습니다.
증거 보존	✅ 사고가 조사될 때 포렌식 증거가 유지되고 사용 가능하도록 로그 및 감사 추적을 지속적으로 변경할 수 없는 외부 저장소로 라우팅합니다.

안티 패턴

찾을 위치	불만 사항
무시 가능한 로그 저장소	⚡️ 관리자 액세스 권한이 있는 공격자가 포렌식 증거를 삭제하거나 수정할 수 있는 Salesforce 내에만 로그 저장
로그 세부 사항 부족	⚡️ 조사에 충분한 세부 사항이 없는 상위 수준 이벤트 캡처(로그인 기록, IP 주소 제외, 데이터 액세스 기록, 특정 레코드 제외)
데이터 액세스 로깅 없음	⚡️ 위반 알림 시 데이터 노출 범위를 평가할 수 없는 제한된 데이터 및 기밀 데이터에 대한 자세한 액세스 로깅 부족
누락된 필드 감사 내역	⚡️ 민감한 필드에 대해 필드 감사 내역을 활성화하지 않음, 압축 중에 노출된 데이터 값을 확인할 수 없음
상관 관계 변경 없음	⚡️ 설정 감사 내역 구성 변경 사항 및 후속 이벤트 모니터링 활동 패턴 간 상관 관계 기능 없음
삭제된 감사 내역	⚡️ 배포 규제 집합의 규제 유지 최소값 이전에 감사 내역이 만료되도록 허용하여 규정 준수 위반 발생

패턴

찾을 위치	유사성
복구 시간 목표	✅ 재해 복구 시나리오뿐만 아니라 보안 사고 시나리오에 대한 복구 시간 목표(RTO) 및 복구 지점 목표(RPO) 정의 및 테스트
테스트된 복구 절차	✅ 손상된 계정, 대량 데이터 추출, 무단 배포, 권한 에스컬레이션, 분기별 테스트를 통한 패키지 저하에 대한 문서 복구 프로세스
백업 유효성 검사	✅ 백업 무결성을 정기적으로 확인하여 운영 실패뿐만 아니라 보안 사고 시 복원 기능이 작동하는지 확인합니다.
롤백 기능	✅ 무단 코드 배포 또는 악의적인 구성 변경에 대해 테스트된 롤백 절차를 사용하여 배포 파이프라인 설계
자격 증명 순환	✅ 손상된 통합 계정, API 사용자, 명명된 자격 증명에 대한 빠른 자격 증명 순환 절차 구현
권한 복원	✅ 사고 대응 중 과도하게 넓은 격리 작업 후 적절한 액세스를 복원하기 위한 문서화 절차
데이터 복원	✅ 재해 복구와 별도로 보안 사고로 인한 데이터 손상 또는 삭제를 해결하는 데이터 복구 기능 설계
서비스 연속성	✅ 조사 및 조치 중에 보안 사고 대응 절차가 중요한 비즈니스 기능의 연속성을 유지하도록 솔루션을 설계합니다.
복원 유효성 검사	✅ 반차별 복구 복구 절차를 테스트하여 복원된 시스템이 올바르게 작동하고 복원 후에 문제가 지속되지 않았는지 확인합니다.

안티 패턴

찾을 위치	불만 사항
테스트되지 않은 절차	⚡️ 실습을 통해 테스트되지 않은 문서화된 복구 절차가 있음, 실제 사고 중 절차가 불완전하거나 부정확한지 발견
보안 RTO/RPO 없음	⚡️ 다른 복구 절차가 필요한 보안 사고 시나리오를 고려하지 않고 재해 복구에 대한 복구 시간 목표만 정의
롤백 기능 없음	⚡️ 무단 코드 배포에 대한 배포 롤백 절차가 없으므로 악의적인 변경 사항을 제거하기 위해 전체 재개발이 필요합니다.
확인되지 않은 백업	⚡️ 백업 복원을 테스트하지 말고 사고 중에 백업이 손상되었거나 완료되지 않았음을 발견
자격 증명 순환 절차 없음	⚡️ 손상된 통합 계정에 대한 신속한 자격 증명 순환 절차가 없으므로 조사 중에 손상된 자격 증명이 활성 상태로 유지됩니다.
수동 복구 프로세스	⚡️ 사고 시 수동 복구 절차에 완전히 의존하여 속도가 중요한 경우 오류 및 지연이 발생합니다.
복원 테스트 없음	⚡️ 복구 후 복원된 시스템이 올바르게 작동하는지 확인하지 않아 잠재적으로 타락 또는 데이터 손상이 다시 발생할 수 있음

패턴

찾을 위치	유사성
손상된 사용자 계정 응답	✅ 문서 절차: 사용자 동결, 자격 증명 재설정 강제, 압축 기간에 대한 설정 감사 내역 및 데이터 액세스 로그 검토, 데이터 노출 범위 평가, 제한된 데이터 액세스 시 위반 알림 실행
대량 데이터 추출 응답	✅ 문서 절차: 세션 즉시 취소, 권한 제한, 영향받는 레코드 및 분류 수준 식별, 배포에 대한 규제 규정 집합 타임라인 내에서 규제 위반 알림 실행
승인되지 않은 코드 배포 응답	✅ 문서 절차: 즉시 롤백 배포, 손상된 자격 증명의 모든 변경 사항 감사, 인가 우회에 대한 파이프라인 보안 검토, 지속적인 백도어에 대해 배포된 코드 스캔
권한 에스컬레이션 응답	✅ 문서 절차: 에스컬레이션된 권한 즉시 취소, 향상된 액세스 권한으로 수행된 활동 감사, 에스컬레이션이 승인 제어를 우회하는 방법 조사, 보상 제어 구현
AppExchange 패키지 손상 응답	✅ 문서 절차: 패키지 권한 격리, 패키지별로 액세스된 데이터 평가, 패키지 교체 옵션 평가, 패키지 평가 기준에 대해 학습한 내용 문서화
감지 신호	✅ 각 시나리오를 감지하는 모니터링 구성: 손상된 계정의 로그인 변칙, 추출을 위한 보고서 내보내기 볼륨, 무단 코드에 대한 배포 모니터링, 에스컬레이션을 위한 권한 변경 모니터링
테이블 위 실습	✅ 팀 준비 및 절차 완전성을 검증하는 플랫폼별 시나리오에 대한 테스트 응답 절차를 테스트하는 테이블 상 연습 수행
응답 자동화	✅ 실시간 트랜잭션 보안 정책은 의심스러운 작업을 자동으로 차단하거나 단계별 인증을 요구하거나 신뢰도가 높은 감지 신호에 대해 응답자에게 알리므로 자동 제한을 제공하여 응답 시간을 단축합니다.

안티 패턴

찾을 위치	불만 사항
일반 응답 계획만 해당	⚡️ Salesforce별 지침 없이 일반 사고 대응 절차만 사용하고 활성 사고 중에 플랫폼별 작업을 즉흥화
감지 구성 없음	⚡️ 플랫폼별 시나리오를 감지하도록 모니터링이 구성되지 않은 경우(대량 내보내기, 권한 에스컬레이션, 무단 배포), 사용자 보고서 또는 감사를 통해 사고 발견
테이블톱 실습 없음	⚡️ 팀이 플랫폼별 응답 절차에 익숙한지 검증하고 실제 사고 시 Knowledge 공백을 발견하지 않음
자동화 없음	⚡️ 자동화된 차단을 위한 실시간 트랜잭션 보안 정책이 없는 모든 사고에 대한 완전 수동 응답으로 즉시 차단할 경우 손상을 줄일 수 있는 지연이 도입됩니다.
누락된 응답 플레이북	⚡️ 일반적인 시나리오(손상된 사용자 계정, 데이터 추출, 무단 코드 배포)에 대한 문서화된 응답 플레이북이 누락됨
위반 알림 절차 없음	⚡️ 규정 위반 알림 요구 사항에 대한 절차가 없고, 시간 제약이 좁은 경우 실제 사고 시 의무를 이해하는 데 어려움

패턴

찾을 위치	유사성
대역 외 커뮤니케이션	✅ 잠재적으로 손상된 시스템(전화 트리, 외부 Messaging 플랫폼)에 의존하지 않는 커뮤니케이션 채널을 구축하여 응답 조정
에스컬레이션 절차	✅ 연락처 정보 및 에스컬레이션 기준을 사용하여 초기 감지에서 경영진 알림까지의 에스컬레이션 경로 문서화
알림 템플릿	✅ 이해당사자, 고객, 규제 기관과 신속하게 커뮤니케이션할 수 있도록 일반적인 사고 유형에 대해 미리 작성된 알림 템플릿을 유지합니다.
이해당사자 식별	✅ 경영진, 법률, 규정 준수, 영향받는 사용자, 규제 기관 등 다양한 사고 유형에 대한 알림이 필요한 이해당사자 식별
규제 알림 타임라인	✅ 적시에 규정을 준수할 수 있는 절차를 통해 배포에 대한 규정에 대해 확인된 각 관할권의 규제 알림 요구 사항을 문서화합니다.
내부 조정	✅ 역할 및 책임을 지정하는 사고 조정 절차를 설계합니다(사고 대령, 기술 리더, 커뮤니케이션 리더, 법률 관계).
외부 조정	✅ Salesforce 지원, 외부 포렌식 검사자, 법률 고문, 적절한 법 집행을 위한 절차 수립
상태 통신	✅ 활성 사고 중에 정기적인 상태 통신 케이던스를 구현하여 조사 팀을 압도하지 않고 이해당사자에게 정보를 제공합니다.

안티 패턴

찾을 위치	불만 사항
대역 외 커뮤니케이션 없음	⚡️ 사고 조정을 위해 잠재적으로 손상된 이메일 또는 내부 메시지에 전적으로 의존하여 기본 채널이 손상되면 커뮤니케이션 기능이 손실됩니다.
명확하지 않은 에스컬레이션 경로	⚡️ 문서화된 에스컬레이션 절차가 없으므로 알림을 받는 사람 및 시기에 대한 지연과 혼동이 발생합니다.
알림 템플릿 없음	⚡️ 시간 부담으로 활성 사고 중 사고 알림을 프로비저닝하여 통신이 불완전하거나 잘못되었습니다.
누락된 이해당사자 목록	⚡️ 사전 식별된 이해당사자 목록이 없고 사고 중 중요한 당사자(법률, 규정 준수, 경영진)에게 통지되지 않은 것을 발견함
규제 타임라인 인지도 없음	⚡️ 사고 대응 중에 배포에 적용되는 규제 알림 타임라인을 알지 못하고, 만료된 기한 및 추가 규정 준수 위반 발생
모호한 역할	⚡️ 사고 대응 역할 및 책임이 명확하지 않아 제약 결정을 내릴 권한이 있는 사람에 대해 혼동을 야기합니다.
외부 조정 절차 없음	⚡️ 필요한 경우 Salesforce 지원, 포렌식 조사자 또는 법 집행에 참여하기 위한 관계 또는 절차가 설정되지 않음

패턴

찾을 위치	유사성
무죄 문화	✅ 개별 비난이 아닌 시스템 개선 사항에 사고 후 검토를 집중하여 영향을 염려하지 않고 조직 학습을 지원합니다.
사고 시간 표시 막대 문서	✅ 정확한 타임스탬프를 사용하여 초기 압축, 감지, 응답 작업, 해결을 포함한 사고 타임라인을 문서화
실패 분석 제어	✅ 사고를 방지하거나 감지하는 데 실패한 예방 및 감지 제어를 식별하고 아키텍처 개선 사항을 알립니다.
아키텍처 약점 문서	✅ 보안 변경 사항을 수집하는 아키텍처 의사 결정 레코드(ADR)에서 사고로 드러난 아키텍처 약점 문서화
수정 우선 순위 지정	✅ 위험 감소 가능성을 기반으로 한 치료 우선 순위 지정, 근본 원인 대신 증상 해결
강의 공유	✅ 조직의 다른 부분에서 유사한 사고를 방지하기 위해 팀 및 사업부 간에 학습된 사항 공유
감지 규칙 업데이트	✅ 조사 동안 관찰된 공격 기법을 기반으로 감지 규칙 및 동작 기준선 업데이트
응답 절차 세분화	✅ 실제 사고 대응 동안 작동한 항목 및 실패한 항목을 기반으로 사고 대응 절차 업데이트
메트릭 추적	✅ 감지할 평균 시간(MTTD), 응답할 평균 시간(MTTR), 시간 경과에 따른 영향 범위 추세를 추적하여 아키텍처 투자가 필요한 추세 파악
케이던스 검토	✅ 세부 사항이 최신 상태로 유지되고 개선을 위한 동력이 있는 상태에서 적시에 사고 후 검토 수행

안티 패턴

찾을 위치	불만 사항
검토 건너뛰기	⚡️ 사고 후 검토 건너뛰기, 학습된 내용이나 아키텍처 개선 사항을 수집하지 않고 직접 다음 사고로 이동
부인 문화	⚡️ 사고 후 검토를 시스템 개선이 아닌 개인의 비난에 집중하여 사고를 숨기고 조직 학습을 방지
아키텍처 문서 없음	ADR(아키텍처 결정 레코드)에서 사고 학습으로 인한 보안 아키텍처 변경 사항 문서화 실패
증상 처리	⚡️ 근본 원인(MFA 부족)를 수정하지 않고 사고 증상(암호 압축)만 해결하여 유사한 공격이 성공할 수 있습니다.
레슨 공유 없음	⚡️ 조직 전체에서 공유하는 대신 응답 팀 내에서 사고 학습을 유지하여 다른 사업부에서 유사한 사고가 발생할 수 있습니다.
감지 업데이트 없음	⚡️ 관찰된 공격 기법을 기반으로 감지 규칙 또는 동작 기준선을 업데이트하지 못하고 유사한 공격에 취약해 유지
메트릭 추적 없음	⚡️ 감지할 평균 시간(MTTD), 응답할 평균 시간(MTTR) 또는 범위 추세, 시스템적 약점을 식별하기 위한 누락된 기회 추적 안 함
지연된 검토	⚡️ 세부 사항이 잊혀지고 개선 동력이 손실된 경우 사고 해결 후 몇 달 후 사고 후 검토 수행
수정 후속 처리 안 함	⚡️ 사고 후 검토 동안 개선 사항을 식별하지만 구현에 실패하여 유사한 사고가 반복되도록 허용