보안 인시던트 준비

보안 인시던트에 효과적으로 대응할 수 있는 도구와 프로세스가 있는지 확인합니다.

이 기사에서

이 문서의 지침은 엔터프라이즈 소유자, 조직 소유자, 보안 관리자 및 보안 팀을 대상으로 합니다. 그러나 이 문서에서 참조하는 몇 가지 기능을 사용하도록 설정하려면 엔터프라이즈 소유자 역할이 있어야 합니다.

Introduction

보안 인시던트가 발생하는 경우 무슨 일이 발생했는지 조사하고, 영향 범위를 이해하며, 위협을 제어할 수 있는 능력은 올바른 도구와 프로세스를 이미 갖추는 것에 달려 있습니다. 이 문서에서는 팀이 신속하고 효과적으로 대응할 수 있도록 인시던트가 발생하기 전에 수행해야 하는 주요 작업을 함께 제공합니다.

중요한 도구 미리 설정

다음 조사 도구는 GitHub 엔터프라이즈를 설정할 경우 기본적으로 사용할 수 없습니다. 인시던트가 발생하기 전에 이러한 기능을 사용하도록 설정하는 것이 좋습니다.

이러한 제어는 인시던트 대응, 규정 준수 및 운영 투명성에 중요합니다. 이러한 작업이 없으면 팀은 조사 중에 특히 기록 데이터가 필요한 API 활동, Git 활동 및 장기 실행 인시던트에 대해 주요 가시성 격차를 가질 수 있습니다.

감사 로그 스트리밍

API 요청 이벤트를 포함한 엔터프라이즈 감사 로그를 SIEM(보안 정보 및 이벤트 관리) 시스템으로 스트리밍해야 합니다. 이렇게 하면 감사 로그 데이터(웹, Git 및 API 이벤트 포함)의 복사본을 대량의 데이터에서 복잡한 쿼리를 실행하고 기본 보존 기간을 초과하여 데이터를 유지할 수 있는 시스템에 보관합니다.

중요

감사 로그 스트리밍에는 활성화한 시점부터의 활동만 포함됩니다. 인시던트 중에 사용하도록 설정해도 이전 활동은 복구되지 않습니다.

감사 로그 웹 UI에 GitHub 일부 고부가가치 이벤트가 표시되지 않으며 로그를 외부로 내보내고 유지하지 않는 한 제한된 시간 동안만 로그를 사용할 수 있기 때문에 인시던트에서 매우 중요합니다.

액세스 방법 간에 이벤트 가용성 및 보존을 비교하려면 액세스 방법별로 제공되는 감사 로그 데이터를 참조하세요.

스트리밍된 로그를 사용하면 엔터프라이즈 및 조직 소유자는 활성 응답 중에 임시 데이터 수집에 의존하는 대신 사용자, 앱, 토큰 및 SSH 키의 활동을 독립적으로 조사할 수 있습니다.

감사 로그 스트리밍을 설정하려면 엔터프라이즈에 대한 감사 로그 스트리밍을 참조하세요.

스트림 API 요청 이벤트

기본적으로 감사 로그 스트림에는 API 요청 이벤트가 포함되지 않습니다. 손상된 토큰 또는 앱에 의한 무단 API 액세스 또는 데이터 반출을 검색하고 조사할 수 있도록 API 요청 스트리밍을 사용하도록 설정합니다.

API 요청의 감사 로그 스트리밍 사용 설정을 참조하세요.

IP 주소 표시

기본적으로 GitHub 엔터프라이즈 감사 로그에 원본 IP 주소가 표시되지 않습니다. 조사 중에 원본 IP는 행위자(사용자 또는 앱)의 활동이 신뢰할 수 있거나 익숙하지 않은 주소에서 왔는지 여부를 확인하는 데 도움이 됩니다.

GitHub Enterprise Cloud에서 엔터프라이즈는 IP 주소 공개를 활성화할 수 있습니다. 엔터프라이즈의 감사 로그에 IP 주소 표시을 참조하세요.

ID 공급자 로그 유지

귀사의 엔터프라이즈 또는 조직에서 SAML 또는 OIDC 인증을 사용하는 경우 IdP(ID 공급자) 로그에 대해 유사한 보존 전략을 채택하세요.

보존된 IdP 로그를 사용하면 인증 활동을 조사하고 더 긴 기간 동안 프로비전, 프로비전 해제 및 그룹 멤버 자격 변경을 검토할 수 있습니다. 이는 SCIM 프로비저닝을 사용하거나 몇 달 전의 활동을 조사해야 하는 경우에 특히 중요합니다.

도구, 제한 사항 및 일반적인 조사 영역 숙지

인시던트가 발생하기 전에 조사 중에 사용할 수 있는 도구와 표면을 검토하고 GitHub 각 도구의 기능 및 제한 사항을 이해합니다.

익숙해지십시오:

격리 전략에 익숙해지세요.

인시던트가 발생하기 전에 필요할 수 있는 즉각적인 봉쇄 작업을 검토합니다. 보안 및 운영 팀과 함께 이러한 작업을 미리 계획하면 신속하게 대응할 수 있으며 SIRP(보안 인시던트 대응 계획)에 명확한 지침을 포함할 수 있습니다.

익숙해지십시오:

  • GitHub에서 흔히 수행되는 격리 조치에는 자격 증명 취소, IP 허용 목록 활성화, 사용자 계정 중지 등 접근을 비활성화하는 다양한 조치가 포함됩니다. 위협 제어를 참조하세요.
  • 프로그래밍 방식으로 액세스할 GitHub수 있는 자격 증명의 각 유형에 대한 해지 옵션입니다. GitHub 자격 증명 형식 참조을(를) 참조하세요.
  • 엔터프라이즈의 GitHub Enterprise Cloud경우: SSO 잠금 및 모든 사용자 토큰 및 키 삭제와 같은 주요 인시던트에서 엔터프라이즈 소유자가 사용할 수 있는 대량 긴급 작업입니다. 엔터프라이즈의 보안 인시던트에 대응을(를) 참조하세요.

SIRP(보안 인시던트 대응 계획) 준비

엔터프라이즈에 대한 up-to-date SIRP(보안 인시던트 대응 계획)를 만들고 유지 관리합니다.

계획은 다음을 정의해야 합니다.

  • 역할 및 책임
  • 에스컬레이션 경로
  • 통신 프로토콜
  • 심각도 분류 조건
  • 일반적인 위협 유형에 대한 단계별 대응 절차

Copilot 는 팀의 요구 사항 및 리소스에 따라 이 계획을 작성하고 구체화하는 데 도움이 될 수 있습니다.

지침은 인시던트 대응이란?을 참조하세요.

다음 단계