보안 경보는 판단의 시작이지 생각의 끝이 아닙니다. 너무 늦으면 문제가 지속되고 성급하면 서비스 자체를 방해할 수 있습니다. 대응 설계는 증거와 서비스 중요도에 맞아야 합니다.
이 글은 Sara Shield의 제안 대응 패턴입니다. 자동 조치의 실제 활성화 여부는 각 배포 사양에서 확인해야 합니다.
관찰과 해석을 분리하세요
로그인 실패가 증가했다고 가정합니다. 기록된 사건은 직접 관찰이고, 사용자 실수·설정 오류·적대 행위 중 무엇인지는 분석입니다. 가능성 있는 결론을 입증된 사실로 대신하면 안 됩니다.
경보마다 시간 범위, 관련 서비스, 검토 가능한 증거를 둘 것을 권합니다. 담당자는 경보 이름에만 기대지 않고 결론을 다시 살펴볼 수 있습니다.
대응에는 구체적인 권한이 필요합니다
어떤 경우에는 알림으로 충분하고 다른 경우에는 임시 접근 제한이 필요할 수 있습니다. 환경의 승인 정책에 따라야 하며 보고 열람 권한이 설정 변경까지 허용하는 것은 아닙니다.
NIST는 최소 권한을 작업에 필요한 정도로 권한을 제한하는 것으로 정의합니다. Shield에는 모든 변경을 허용하는 대신 대응별로 적절한 도구와 권한을 주는 방식을 제안합니다. 1
대응 결과도 확인해야 합니다
사건 영향을 줄이는 임시 조치 후에는 위협 신호가 줄었는지, 핵심 서비스가 정상인지, 임시 제한을 언제 재검토할지 확인해야 합니다. 그렇지 않으면 대응이 잊힌 설정이 될 수 있습니다.
설정 변경으로 조사에 필요한 증거를 지워서는 안 됩니다. 제한된 접근 아래 보관할 정보와 검토 책임자를 대응 계획에 정해야 합니다.
Sara Shield의 통제된 대응은 사건·결정·조치·결과의 관계가 명확하다는 뜻입니다. 속도는 중요하지만 비례성과 검토 가능성이 없는 속도만으로는 방어에 충분하지 않습니다.
