사고 대응을 위한 보안 권장 사항

조직에서 보안 이벤트가 발생할 경우 사용자는 문제에 대응할 준비가 되어 있어야 합니다. 모든 사용자는 조직의 보안 대응 프로세스에 대한 기본적인 이해가 있어야 합니다. 성공적인 사고 대응 프로그램을 위해서는 계획, 교육 및 경험이 매우 중요합니다. 이상적으로는 잠재적인 보안 사고가 발생하기 전에 조직을 준비하는 것입니다. AWS Well-Architected Framework는 클라우드에서의 성공적인 사고 대응 프로그램에 필요한 세 가지 기반인 준비, 운영, 사고 후 활동을 식별합니다. 자세한 내용은 AWS Well-Architected 프레임워크의 AWS 사고 대응 측면을 참조하십시오.

이벤트에 대해 알리거나 이벤트에 자동으로 대응하는 보안 제어를 제외하고 사고 대응을 위해 설정할 수 있는 제어 기능은 제한적입니다. 강력한 사고 대응 태세는 주로 조직에서 사용하는 계획, 프로세스, 실행책, 플레이북 및 교육 프로그램을 통해 확립됩니다. 이 섹션의 제어 및 권장 사항을 사용하여 사고 대응 프로그램의 모범 사례를 구현할 수 있습니다. 사고 대응 및 구현 지침의 모범 사례에 대한 자세한 내용은 AWS Well-Architected Framework의 사고 대응을 참조하십시오.

사고 대응 계획을 정의하세요.

잘 정의된 사고 대응 계획 (IRP) 을 수립하십시오. 사고 대응 계획은 사고 대응 프로그램의 기초가 되도록 설계되었습니다. 이 계획은 각 조직의 요구 사항에 맞게 사용자 정의해야 합니다.

자세한 정보는 다음 자료를 참조하십시오.

• AWS 보안 사고 대응 가이드에서 사고 대응 계획을 개발하고 테스트하십시오.

• AWS Well-Architected 프레임워크에서 사고 관리 계획 개발

• AWS Well-Architected 프레임워크의 주요 인력 및 외부 리소스 파악

사고 대응 런북 및 플레이북을 만들고 유지 관리합니다.

사고 대응 프로세스를 준비하는 데 있어 중요한 부분은 플레이북을 개발하는 것입니다. 인시던트 대응 플레이북은 보안 이벤트 발생 시 사용자가 따르는 일련의 권장 단계를 제공합니다. 구조와 단계가 명확하면 대응이 간소화되고 인적 오류 가능성이 줄어듭니다.

자세한 정보는 다음 자료를 참조하십시오.

• AWS 보안 사고 대응 가이드의 플레이북 작성 대상

• AWS 인시던트 대응 플레이북 샘플: GitHub

• AWS Well-Architected 프레임워크에서 보안 사고 대응 플레이북 개발 및 테스트

이벤트 기반 보안 자동화 구현

보안 대응 자동화는 보안 이벤트에 자동으로 대응하거나 이를 해결하도록 설계된 사전 정의되고 프로그래밍된 조치입니다. 이러한 자동화는 보안 모범 사례를 구현하는 데 도움이 되는 탐지 또는 대응형 보안 제어 역할을 합니다. AWS 자동 응답 조치의 예로는 VPC 보안 그룹 수정, Amazon EC2 인스턴스 패치, 자격 증명 교체 등이 있습니다.

대부분 자동 응답을 지원합니다 AWS 서비스 . 예를 들어, 특정 지표에 대해 Amazon CloudWatch 경보를 구성하고 경보 상태가 변경될 때 경보가 작업을 시작할 수 있습니다. Amazon을 통해 Amazon EventBridge Inspector의 결과에 대한 자동 응답 및 문제 해결을 구성할 수도 있습니다. AWS Security Hub

자세한 내용은 아래 리소스를 참조하십시오.

• 보안 블로그에서 Amazon Inspector 보안 탐지 결과를 자동으로 수정하십시오. AWS

• 보안 AWS블로그에서 보안 대응 자동화를 시작해 보십시오. AWS

• AWS 솔루션 라이브러리의 자동 보안 대응 AWS켜기

• 설명서에서 Amazon CloudWatch 알람 사용 CloudWatch

• Security Hub 설명서의 자동 응답 및 수정

• Amazon Inspector 설명서에서 Amazon을 사용하여 Amazon EventBridge Inspector의 조사 결과에 대한 사용자 지정 응답 생성

운영 팀이 어떻게 협력해야 하는지 문서화하십시오. AWS Support

사용자의 AWS 계정경우 기본 연락처와 세 개의 대체 연락처를 정의할 수 있습니다. 각 조직 AWS 계정 또는 조직의 보안 연락처를 제공하는 것이 좋습니다.

AWS Support AWS 솔루션의 성공과 운영 상태를 지원할 수 있는 도구 및 전문 지식에 대한 액세스를 제공하는 다양한 플랜을 제공합니다. 또한 조직에서 AWS Support 계획 AWS Managed Services 대신 사용을 통해 혜택을 받을 수 있는지도 고려해 보십시오. AWS Managed Services (AMS) 는 모니터링, 사고 관리, 보안 지침, 패치 지원, AWS 워크로드 백업 등 AWS 인프라를 지속적으로 관리하여 보다 효율적이고 안전하게 운영할 수 있도록 지원합니다. AMS 지원 모델은 클라우드 운영 팀의 리소스가 제한된 조직에 더 적합할 수 있습니다. 이러한 모델과 플랜을 비교하여 조직의 사용 사례 및 클라우드 성숙도 수준에 가장 적합한 모델을 선택하는 것이 좋습니다.

자세한 정보는 다음 자료를 참조하십시오.

• AWS 보안 사고 AWS 대응 가이드에서 대응 팀 및 지원에 대해 알아보십시오.

• AWS 계정 관리 가이드에서 대체 연락처를 업데이트하십시오 AWS 계정.

• AWS 웹 사이트의 AWS Support 플랜 비교

• AWS 규범적 지침의 목표 비즈니스 성과 달성을 AWS Managed Services 위해 사용하는 전략

보안 이벤트에 대한 알림 구성

이상을 감지하는 것은 해당 이상을 제어하기 위해 구현된 조치만큼이나 중요합니다. 경보는 탐지 단계의 주요 구성 요소입니다. 관심 AWS 계정 활동을 기반으로 사고 대응 프로세스를 시작하는 알림을 생성합니다. 팀에서 조치를 취하는 데 필요한 관련 정보가 알림에 포함되도록 하세요.

자세한 정보는 다음 자료를 참조하십시오.

• AWS 보안 사고 대응 가이드에서의 탐지

• AWS Well-Architected 프레임워크에서 포렌식 기능 준비

• AWS Well-Architected 프레임워크에서 실행 가능한 보안 이벤트 구현