침해사고 분석 문제는 로그를 보고 무슨 일이 벌어졌는지 읽어내는 능력을 묻습니다. 정답이 한 줄로 끝나지 않고 근거와 조치를 함께 적어야 하는 경우가 많습니다. 이번 8문제는 대응 절차부터 로그 판독, 도구까지 골고루 담았습니다.
이 문제들은 학습용으로 직접 만든 예상문제이며 실제 시험과 다를 수 있습니다. 최신 출제 범위와 일정은 KISA 등 공식 공지를 확인하세요. 정답과 해설은 접혀 있으니, 먼저 스스로 답을 적어 본 뒤 눌러서 확인하세요.
이 글의 구성
- 대응 절차와 증거 수집(문제 1, 4)
- 로그 판독: 웹쉘, SSH, 네트워크(문제 2, 3, 5)
- 공격 유형별 대응: DDoS, 랜섬웨어, Sysmon(문제 6~8)
문제 1. 침해사고 대응 절차
SANS가 정리한 침해사고 대응 6단계를 순서대로 쓰고, 각 단계를 한 줄로 설명하시오.
정답 및 해설 보기
정답 준비 → 식별 → 봉쇄 → 근절 → 복구 → 교훈(사후 검토)
준비는 정책·도구·연락 체계를 갖추는 단계, 식별은 사고 여부와 범위를 판단하는 단계, 봉쇄는 확산 차단(격리), 근절은 악성코드·계정·취약점 제거, 복구는 정상 서비스 재개와 모니터링, 교훈은 보고서 작성과 재발 방지입니다. NIST는 이를 준비, 탐지·분석, 봉쇄·근절·복구, 사후 활동의 4단계로 나눕니다.
문제 2. 웹쉘 접근 로그 판독
아래 웹 서버 로그에서 의심되는 행위와 근거, 즉시 조치 두 가지를 쓰시오.
198.51.100.23 - - [19/Oct/2026:02:11:40 +0900] "POST /upload/img/a.php HTTP/1.1" 200 312 198.51.100.23 - - [19/Oct/2026:02:12:03 +0900] "GET /upload/img/a.php?cmd=id HTTP/1.1" 200 54
정답 및 해설 보기
정답 웹쉘 업로드 및 실행 의심. 근거: 이미지용 업로드 디렉터리에 php 파일이 있고, cmd 파라미터로 시스템 명령(id)을 실행하는 요청이 같은 IP에서 이어졌다. 조치: ① 해당 파일 격리·보존 후 삭제, 접근 IP 차단 ② 업로드 취약점 점검과 침해 범위(추가 파일, 계정, 외부 통신) 조사
삭제 전에 증거로 보존하고 해시를 남겨야 합니다. 같은 시간대의 다른 요청과 관리자 계정 변경 여부도 확인하는 것이 좋습니다.
문제 3. SSH 무차별 대입 로그
auth.log에 아래와 같은 기록이 짧은 시간에 수백 건 나타난 뒤 성공 로그가 한 줄 남았다. 의심되는 공격과 대응 방안 세 가지를 쓰시오.
Failed password for root from 203.0.113.9 port 40422 ssh2 ... Accepted password for root from 203.0.113.9 port 40510 ssh2
정답 및 해설 보기
정답 SSH 무차별 대입(Brute Force) 공격 후 root 계정 탈취. 대응: ① sshd_config 에서 PermitRootLogin no, PasswordAuthentication no 로 설정하고 키 기반 인증 사용 ② fail2ban 등으로 반복 실패 IP 차단 ③ 접속 허용 IP 제한과 기본 포트·다중 인증 적용
성공 로그 이후의 행동(새 계정, cron 등록, 외부 다운로드)을 확인해 이미 탈취되었는지 판단해야 합니다.
문제 4. 휘발성 증거 수집 순서
다음을 휘발성이 높은 순서대로 나열하시오. 디스크 데이터, 메모리, 네트워크 연결 상태, 실행 중인 프로세스, 로그·백업 매체
정답 및 해설 보기
정답 메모리 → 네트워크 연결 상태 → 실행 중인 프로세스 → 디스크 데이터 → 로그·백업 매체
RFC 3227의 증거 수집 지침은 휘발성이 높은 것부터 수집하라고 권고합니다. 리눅스에서는 ss -antp, ps -ef, lsof 등으로 현재 상태를 기록하고, 전원은 함부로 끄지 않습니다. 정확히는 CPU 레지스터와 캐시가 가장 휘발성이 높지만 보통 실무에서는 메모리부터 확보합니다.
문제 5. C2 비콘 트래픽
한 내부 PC가 60초마다 같은 외부 IP의 443번 포트로 소량의 데이터를 보내고 있다. 의심되는 상황과 확인·조치 방법을 쓰시오.
정답 및 해설 보기
정답 악성코드가 명령제어(C2) 서버와 주기적으로 통신하는 비콘 행위 의심. 확인: 해당 IP의 평판 조회, 프로세스와 네트워크 연결 매핑, DNS 질의 기록 확인. 조치: PC 네트워크 격리, 메모리·디스크 증거 확보 후 악성코드 분석, 동일 IP로 통신하는 다른 PC 탐색
정상 서비스도 주기 통신을 하지만 일정한 간격, 일정한 크기, 낯선 목적지는 의심 요소입니다. 443 포트는 암호화되어 내용을 볼 수 없으므로 통신 패턴으로 판단합니다.
문제 6. DDoS 유형과 대응
SYN Flood, UDP Flood, HTTP GET Flood, DNS 증폭 공격이 각각 어느 계층을 노리는지 쓰고 대응책을 한 가지씩 쓰시오.
정답 및 해설 보기
정답 SYN Flood(4계층): SYN Cookie. UDP Flood(4계층): 불필요한 UDP 차단과 임계치 기반 차단. HTTP GET Flood(7계층): WAF·CDN과 요청 속도 제한. DNS 증폭(반사 공격): 재귀 질의 제한(오픈 리졸버 차단), 출발지 주소 위조 방지(ingress 필터링)
증폭 공격은 위조한 출발지(피해자 IP)로 작은 요청을 보내 큰 응답이 피해자에게 향하게 하는 방식입니다. 대규모 공격은 ISP나 DDoS 대응 서비스와 연계해야 막을 수 있습니다.
문제 7. 랜섬웨어 대응
랜섬웨어 감염이 의심될 때 즉시 취할 조치 두 가지와 사전 예방책 세 가지를 쓰시오.
정답 및 해설 보기
정답 즉시 조치: ① 감염 PC 네트워크 격리(랜선·Wi-Fi 차단, 전원은 증거 보존을 고려) ② 공유 폴더·백업 서버로의 확산 차단과 초기 감염 경로 조사. 예방: 오프라인·분리된 백업(3-2-1 원칙), 운영체제·소프트웨어 최신 패치, 이메일 첨부와 매크로 통제, 최소 권한 적용
3-2-1 백업은 사본 3개를 서로 다른 매체 2종에 두고 1개는 외부(오프라인)에 보관하는 원칙입니다. 몸값 지급은 복구를 보장하지 않으므로 권장되지 않습니다.
문제 8. Sysmon 이벤트 해석
다음 Sysmon·PowerShell 이벤트 ID의 의미를 쓰시오. Sysmon 1, Sysmon 3, Sysmon 11, PowerShell 4104
정답 및 해설 보기
정답 Sysmon 1 프로세스 생성, Sysmon 3 네트워크 연결, Sysmon 11 파일 생성, PowerShell 4104 스크립트 블록 로깅
윈도 기본 로그만으로는 부족한 프로세스 실행 관계와 명령줄 인자를 Sysmon이 남겨 줍니다. 예를 들어 워드 프로세스가 powershell을 자식 프로세스로 실행하면 매크로 악성코드를 의심할 수 있습니다. 4104는 난독화된 스크립트를 실행 시점의 평문으로 기록해 분석에 도움이 됩니다.
공부 팁 3가지
- 로그 문제는 “무슨 공격인가 → 근거 한 줄 → 조치 두 가지” 틀을 만들어 답안을 쓰는 연습을 하세요.
- 사고 대응 절차의 단계 이름을 외운 뒤, 각 문제가 어느 단계의 질문인지 스스로 분류해 보세요.
- 증거는 먼저 보존하고 나중에 지운다는 원칙을 기억하세요. 조치 문제에서 삭제부터 쓰면 감점될 수 있습니다.
면책: 이 글의 문제는 학습용으로 직접 만든 예상문제이며 실제 시험과 다를 수 있습니다. 시험 범위, 일정, 합격 기준은 KISA 등 공식 공지를 확인하세요.