침해사고대응 플레이북 (Incident Response Playbook)
한 줄 정의: 특정 유형의 보안 침해사고가 발생했을 때 담당자가 따라야 할 대응 절차와 역할을 미리 정의해 둔 표준 지침서입니다.
쉽게 풀면
플레이북은 화재가 발생했을 때 소방관이 매뉴얼대로 움직이는 것과 비슷합니다. 랜섬웨어 감염, 계정 탈취, 디도스 공격 등 사고 유형별로 누가 무엇을 언제 해야 하는지 순서대로 적어 놓은 문서입니다. 사고가 터진 뒤 허둥대지 않고, 미리 정해진 절차대로 신속하게 대응하기 위해 만듭니다. 실제 스포츠 경기의 작전 지시서와 비슷한 개념이라 보면 이해가 쉽습니다.
왜 중요한가
정보보안학에서는 사고 대응 속도가 피해 규모를 좌우하기 때문에, 표준화된 플레이북이 있는지 여부가 조직의 대응 역량을 가늠하는 지표로 다뤄집니다. 플레이북은 대응 시간을 줄이고 담당자 간 판단 편차를 줄이는 효과가 있어 관련 연구가 활발합니다.
논문에서는 이렇게 쓰입니다
"제안된 프레임워크는 침해사고 유형을 자동 분류하고 그에 맞는 침해사고대응 플레이북을 추천하는 기능을 포함한다."
사고 종류를 자동으로 파악해 알맞은 대응 절차를 추천해 준다는 뜻입니다.
"기존 플레이북의 절차를 SOAR 플랫폼과 연동하여 초기 대응 단계를 자동화하였다."
대응 절차를 자동화 도구와 연결해 사람 개입 없이도 초동 대응이 이루어지게 했다는 의미입니다.
조금 더 깊게 보면
플레이북은 일반적으로 탐지, 분류, 봉쇄, 제거, 복구, 사후 검토의 단계로 구성되며, 사고 유형별로 세부 절차가 달라집니다. 최근에는 SOAR(보안 오케스트레이션 자동화 대응) 시스템과 결합해 플레이북의 일부 절차를 자동 실행하는 방향으로 발전하고 있습니다.
주의할 점
플레이북은 정형화된 사고 유형을 전제로 하므로, 예상치 못한 새로운 유형의 공격에는 그대로 적용하기 어려워 정기적인 갱신과 훈련이 필요합니다.