컴퓨터 비상 대응팀

1. 개요

컴퓨터 비상 대응팀(CSIRT)은 컴퓨터 보안 사고에 대응하기 위해 조직된 팀을 의미한다. 1988년 카네기 멜론 대학교의 CERT 조정 센터(CERT-CC)에서 처음 사용된 용어이며, CERT는 CMU에 의해 상표로 등록되어 있다. CSIRT는 악성코드, 특히 컴퓨터 웜과 바이러스의 출현과 함께 중요성이 커졌으며, 기술 발전과 함께 조직 규모가 커져 정보 보안 운영 센터로 발전하기도 한다. CSIRT는 조직 내 CSIRT, 국가 CSIRT, 조정 센터, 분석 센터, 벤더 팀, 사고 대응 제공업체 등 다양한 유형으로 나뉘며, FIRST(Forum of Incident Response and Security Teams)와 같은 국제 협력 기구도 존재한다. 대한민국에서는 KrCERT/CC가 대표적인 CSIRT이며, 분야별 ISAC도 운영되고 있다.

2. 역사

카네기 멜론 대학교(CMU) CERT 조정 센터(CERT-CC)에서 1988년 "컴퓨터 비상 대응팀"이라는 명칭을 처음 사용한 이후, 컴퓨터 보안 사고에 대응하기 위한 조직들이 전 세계적으로 확산되었다. 특히 일본에서는 1996년 JPCERT/CC가 발족되었고, 2001년경부터 CSIRT 설치를 촉구하는 활동이 활발해졌다. 2002년에는 내각 관방 정보 보안 대책 추진실 내에 NIRT (National Incident Response Team, 국가 사고 대응팀)가 발족되었으며, 2007년에는 일본 시서트 협의회 (NCA)가 결성되었다.

2.1. CSIRT의 등장 배경

"컴퓨터 비상 대응팀"이라는 명칭은 1988년 카네기 멜론 대학교(CMU)의 CERT 조정 센터(CERT-CC)에서 처음 사용되었다. CERT라는 용어는 CMU에 의해 전 세계 여러 국가에서 상표 및 서비스 마크로 등록되어 있다. CMU는 컴퓨터 보안 사고 처리를 위한 일반적인 용어로 컴퓨터 보안 사고 대응팀(CSIRT)의 사용을 권장한다. CMU는 CSIRT의 활동을 수행하는 다양한 조직에 CERT 마크를 라이선스한다.

CERT와 CSIRT의 역사는 악성 코드, 특히 컴퓨터 웜과 컴퓨터 바이러스의 존재와 관련이 있다. 새로운 기술이 등장할 때마다, 그 오용은 오래 걸리지 않아 뒤따른다. IBM VNET의 첫 번째 웜은 은폐되었다. 그 직후, 1988년 11월 3일, 소위 모리스 웜이 인터넷의 상당 부분을 마비시키면서 인터넷을 강타했다. 이로 인해 미국 정부 계약에 따라 카네기 멜론 대학교에 최초의 컴퓨터 비상 대응팀이 구성되었다. 이후 수년간 정보 통신 기술의 대규모 성장에 따라, 일반적인 용어 'CSIRT'는 대부분의 대규모 조직 구조의 필수적인 부분을 나타낸다. 많은 조직에서 CSIRT는 정보 보안 운영 센터로 발전한다.

1988년 인터넷 상의 모리스 웜에 의한 사고 발생 시, 미국 카네기 멜론 대학교 내에 CERT/CC가 설치되었다. 이후, 세계 각지에 "CERT"를 포함한 팀이 설치되었다. 그러나, 카네기 멜론 대학교의 등록 상표와의 관계에서 다른 명칭이 요구되어, "CSIRT (computer security incident response team, 컴퓨터 보안 사고 대응팀)"가 널리 채용되게 되었다. CSIRT의 국제적인 연합체로서는 FIRST (Forum of Incident Response and Security Teams)가 있다.

일본에서는 1996년에 JPCERT/CC가 발족했다. 2001년경부터 국내에 보다 많은 CSIRT의 설치를 촉구하는 활동이 이루어지게 되었다. 2002년 4월에 내각 관방 정보 보안 대책 추진실 내에서 발족한 NIRT (National Incident Response Team, 국가 사고 대응팀)도 CSIRT 중 하나였다. 일본 국내의 연합체로서는 2007년에 발족한 일본 시서트 협의회 (NCA: Nippon CSIRT Association)가 있다.

2.2. 명칭의 변화: CERT에서 CSIRT로

카네기 멜론 대학교(CMU)의 CERT 조정 센터(CERT-CC)에서 1988년에 "컴퓨터 비상 대응팀"이라는 명칭을 처음 사용하였다. CMU는 CERT라는 용어를 전 세계 여러 국가에서 상표 및 서비스 마크로 등록했다. CMU는 컴퓨터 보안 사고 처리를 위한 일반적인 용어로 컴퓨터 보안 사고 대응팀(CSIRT)의 사용을 권장하며, CSIRT 활동을 수행하는 다양한 조직에 CERT 마크를 라이선스한다.

CERT와 CSIRT의 역사는 악성 코드, 특히 컴퓨터 웜과 컴퓨터 바이러스의 존재와 관련이 있다. 새로운 기술이 등장할 때마다 그 오용은 오래 걸리지 않아 뒤따랐다. IBM VNET의 첫 번째 웜은 은폐되었다. 그 직후, 1988년 11월 3일, 소위 모리스 웜이 인터넷의 상당 부분을 마비시키면서 인터넷을 강타했다. 이로 인해 미국 정부 계약에 따라 카네기 멜론 대학교에 최초의 컴퓨터 비상 대응팀이 구성되었다. 이후 수년간 정보 통신 기술의 대규모 성장에 따라, 일반적인 용어 'CSIRT'는 대부분의 대규모 조직 구조의 필수적인 부분을 나타낸다. 많은 조직에서 CSIRT는 정보 보안 운영 센터로 발전한다.

1988년 인터넷 상의 모리스 웜 사고 발생 시, 미국 카네기 멜론 대학교 내에 CERT/CC가 설치되었다. 이후, 세계 각지에 "CERT"를 포함한 팀이 설치되었다. 그러나 카네기 멜론 대학교의 등록 상표와의 관계에서 다른 명칭이 요구되어, "CSIRT (computer security incident response team, 컴퓨터 보안 사고 대응팀)"가 널리 채용되게 되었다. CSIRT의 국제적인 연합체로서는 FIRST (Forum of Incident Response and Security Teams)가 있다.

일본에서는 1996년에 JPCERT/CC가 발족했다. 2001년경부터 국내에 보다 많은 CSIRT 설치를 촉구하는 활동이 이루어졌다. 2002년 4월에 내각 관방 정보 보안 대책 추진실 내에서 발족한 NIRT (National Incident Response Team, 국가 사고 대응팀)도 CSIRT 중 하나였다. 일본 국내의 연합체로서는 2007년에 발족한 일본 시서트 협의회 (NCA: Nippon CSIRT Association)가 있다.

3. 유형

일반적으로 CSIRT로 통칭되는 조직은 실제 담당 업무에 따라 몇 가지 유형으로 나뉜다. 하나의 CSIRT가 여러 유형의 기능을 가지는 경우도 많지만, 일반적으로 다음과 같은 6가지 유형이 있다.

* 조직 내 CSIRT (Internal CSIRT): 자사 조직이나 고객과 관련된 인시던트에 대응한다.
* 국가 CSIRT (National CSIRT): 국가나 지역을 대표하는 형태로, 관련 인시던트에 대한 문의 창구로 활동한다. JPCERT/CC가 대표적인 예이다.
* 조정 센터 (Coordination Center): 협력 관계에 있는 다른 CSIRT와 정보 연계 및 조정을 수행한다. CERT/CC나 JPCERT/CC가 대표적인 예이다.
* 분석 센터 (Analysis Center): 인시던트의 경향 분석, 멀웨어 분석, 공격 흔적을 분석하고 필요에 따라 주의를 환기한다.
* 벤더 팀 (Vendor Team): 자사 제품의 취약점에 대응하여 패치를 만들거나 주의를 환기한다.
* 인시던트 대응 제공업체 (Incident Response Provider): 조직 내 CSIRT의 기능 일부를 유료로 위탁받는 서비스 제공업체. 소위 보안 벤더나 SOC (보안 관제 센터) 사업자이다.

3.1. 조직 내 CSIRT (Internal CSIRT)

조직 내 CSIRT는 자사 조직이나 고객과 관련된 인시던트에 대응한다. 일반적인 기업 내 CSIRT가 여기에 해당된다.

3.2. 국가 CSIRT (National CSIRT)

미국에서는 대부분의 CSIRT 조직들이 카네기 멜론 대학교의 CERT-CC와 협력하고 있다. CERT-CC는 미국 내 조직 운영의 중심 역할을 하며, 애플과 같은 회사들에게 주요 접촉 창구 역할을 한다.

3.3. 조정 센터 (Coordination Center)

협력 관계에 있는 다른 CSIRT와 정보 연계 및 조정을 수행한다. CERT/CC나 JPCERT/CC가 대표적인 예이다. 그룹 기업 간의 연계를 담당하는 CSIRT도 존재한다.

3.4. 분석 센터 (Analysis Center)

인시던트의 경향 분석, 멀웨어 분석, 공격 흔적을 분석하고 필요에 따라 주의를 환기한다.

3.5. 벤더 팀 (Vendor Team)

자사 제품의 취약점에 대응하여 패치를 만들거나 주의를 환기한다.

3.6. 침해사고 대응 서비스 제공업체 (Incident Response Provider)

조직 내 CSIRT의 기능 일부를 유료로 위탁받는 서비스 제공업체이다. 소위 보안 벤더나 SOC (보안 관제 센터) 사업자이다.

3.7. 국제 협력

FIRST는 컴퓨터 비상 대응팀(CSIRT)들의 국제적인 연합체이다.

👆

좌우로 밀어서 보기

📌 열 고정 해제

국제 협력 기관

로고	기관	설명	규모
	FIRST	사이버 보안 사고 대응팀의 글로벌 협회이다.	605개 회원 기관
	패킷 클리어링 하우스	"최후의 수단 CERT"로 전 세계를 포괄하며, 자체 전담 CERT의 지원을 아직 받지 못하는 국가와 지역을 지원한다. 1994년에 설립되었다.	직원 18명, 106개국 진출, 연간 예산 251

3.8. 지역별 협력

사고 대응 및 보안팀 포럼(FIRST)은 CSIRT들의 글로벌 연합체이다. 미국의 대부분의 CSIRT 조직들은 카네기 멜론 대학교의 CERT-CC와 협업하고 있다. CERT-CC는 미국 내 조직 운영의 중심 역할을 하며, 애플과 같은 회사들에게 주요 접촉 창구 역할을 한다.

유럽의 CSIRT들은 TERENA의 태스크포스인 TF-CSIRT에서 협업하고 있다. 유럽에 알려진 CSIRT들의 목록은 Trusted Introducer 웹사이트에서 찾을 수 있다. 아시아 태평양 지역의 CSIRT들은 아시아-태평양 컴퓨터 비상 대응팀(APCERT)에서 협업한다. 아시아 태평양 지역의 CSIRT 목록은 APCERT 웹사이트에서 확인할 수 있다.

각 국가별 CERT는 다음과 같다.

4. 대한민국의 CSIRT

주어진 원본 소스에는 '대한민국의 CSIRT'에 대한 내용이 직접적으로 언급되지 않았다. 따라서 해당 섹션에는 작성할 내용이 없다.