[SOC] 사이버 위기 경보 단계 및 단계 별 대응 지원 체계

1️⃣ 사이버 위기 경보 단계

🔹1. 공공 및 민간의 사이버 위기 경보 단계

구분	공공	민간
	사이버위기경보(국가사이버안보센터)	인터넷침해사고경보(인터넷침해대응센터)
관심	웜ㆍ바이러스, 해킹기법 등에 의한 피해발생 가능성 증가 해외 사이버공격 피해확산, 국내유입 우려 정보유출 등 사이버공격 시도 탐지 국내외 정치ㆍ군사적 위기상황조성 등 사이버안보 위해 가능성 증가 상기 유형과 유사한 수준의 사이버위기	위기징후와 관련된 현상이 나타나고 있으나 그 활동수준이 낮아서 국가 위기로 발전할 가능성이 적은 상태 위험도가 높은 컴퓨터 바이러스 취약점 및 해킹 기법출현으로 피해 발생 가능성 증가 해외 사이버공격 피해가 확산되어 국내 유입 우려 일부기관에서 사고발생 국내ㆍ외 정치ㆍ군사적 위기상황 조성 등 사이버안보 위해 가능성 증가
주의	다수기관의 정보통신망 및 정보시스템 장애 발생 다수기관의 정보유출 등 침해사고 확산 가능성 증가 국내외 정치ㆍ군사적 위기발생 등 사이버안보 위해 가능성 고조 상기 유형과 유사한 수준의 사이버위기	위기징후의 활동이 비교적 활발하여 국가위기로 발전할 수 있는 일정 수준의 경향성이 나타나는 상태 일부 정보통신망 및 정보시스템 장애 다수기관으로 사고 확산 가능성 증가 국내ㆍ외 정치ㆍ군사적 위기발생 등 사이버안보 위해 가능성 고조
경계	복수 ISP망 또는 기간망에 피해 발생 대규모 피해 확산 가능성 증대 정보유출 등 대규모 침해사고 발생 복수분야에서 광범위한 피해가 발생하는 등 대규모 피해로 확대될 가능성이 높아 다수기관의 공조대응이 필요한 경우 상기 유형과 유사한 수준의 사이버위기	위기징후의 활동이 매우 활발하여 국가위기로의 발전할 가능성이 농후한 상태 복수 정보통신서비스제공자(ISP)망ㆍ기간통신망에 장애 또는 마비 다수기관에서 사고 발생했거나 대규모 피해로 확대될 가능성 증가
심각	전국적인 네트워크 및 정보시스템 사용 불가능 주요 핵심기반시설의 피해로 국민혼란 발생 정보유출 등 대규모 침해사고가 전국적으로 발생 국가적 차원의 평가와 조치가 필요하다고 판단되는 사고 발생	위기징후의 활동이 매우 활발하여 국가위기발생이 확실시 되는 상태 국가 차원의 주요 정보통신망 및 정보시스템 장애 또는 마비 전국적으로 사고가 발생했거나 피해범위가 대규모인 사고 발생

---

🔹2. 사이버 위기 경보 발령 업무 체계

• 국가·공공 분야는 국가정보원장 / 국방분야는 국방부장관 / 민간분야는 정보통신부장관이 사이버 위협 경보를 발령
• 국가차원에서의 효율적인 경보 업무를 수행하기 위해 관련정보를 경보발령 전에 상호 교환함
• 경계 또는 심각 경보를 발령하거나 경보 수준을 조정하는 경우에는 국가안전보장회의 사무처와 사전  협의

출처: 국가사이버안전메뉴얼

• 사이버위협 경보 발령 시 각급기관은 ``경보수준별 대응요령``을 수행
• 사고 발생 또는 징후를 발견한 경우 피해를 최소화하는 조치를 취한 뒤 국가정보원에 통보

---

🔹3. 사이버 위기 경보 단계 별 위기대응 지원체계

 

관심 단계 (위기징후 감시강화)

• 국가사이버안전센터의 보안권고문 등 보안조치 이행
• 이상 징후 탐지시 초동대처 후 국가사이버안전센터에 통보
• 사고발생 대비 긴급대응반 연락체계 확인
• 사이버공격 여부 감시 강화

주의 단계 (협조 체제 가동)

• ``관심`` 경보 조치 지속 수행
• 분야별 사이버안전 유관기관 및 보안업체와 공조체계 확인
• 각급기관은 긴급대응반 가동 준비 (필요시 소집)

경계 단계 (즉각대응 태세돌입)

• ``주의`` 경보 조치 지속 수행
• 국가사이버안전센터는 비상대응 체계 가동
• 각급기관은 긴급대응반 가동

심각 단계 (대응역량총동원)

• ``경계`` 경보 조치 지속 수행
• 국가차원의 즉각 대응 태세 돌입
• 범정부 합동조사 및 복구지원팀 가동

---

2️⃣ 경보 단계 별 위기 대응 상세 요령

🔹1. 관심 단계 대응요령

중앙행정기관, 소관분야 ``경보`` 전파 및 대응조치

• 중앙행정기관은 본부 및 산하기관에 대해 신속히 경보를 전파
• 각급기관은 이상징후 또는 사고 발생 시 즉시 초동 조치
• 중앙행정기관을 경유하여 국가사이버안전센터에 관련사항 통보

국가사이버안전센터의 보안 권고문 등 보호대책 이행

• 국가사이버안전센터에서 제공하는 보안권고문에 따라 보안대책 이행
• 보안권고문은 웜·바이러스, 보안취약점, 해킹기법 등 사이버위협 요소에 대한 특성과 적절한 대응방법을 제공함

요주의 웜·해킹 기법 및 보안 취약점 발표 시 모니터링 강화

• 새로운 보안취약점이 발표되거나 위험도가 높은 웜·해킹기법에 대한 피해 발생 가능성이 높은 상태이므로 지속적으로 모니터링하여 피해 발생 여부를 체크하고 위기 징후를 감시
• 해외에서 피해가 확산되는 경우 사이버위협의 국내 유입가능성이 높아지므로 이에 대한 철저한 감시

불필요한 서비스 차단

• 업무수행에 반드시 필요한 서비스를 제외한 일반적인 시스템 서비스에 대해서는 해당 프로세스의 실행을 중지시키거나 서비스 포트를 차단하여 취약점에 대한 위협을 최소화

라우터, 스위치, 침입차단시스템 차단 규칙 점검

• 라우터의 CAR(Committed Access Rate, ACL(Access Control List) 설정 내용과 스위치, 침입차단 시스템의 IP 주소 또는 포트번호에 대한 허용 및 찬단 규칙 확인
• 서비스 포트를 허용할 때는 서비스를 제공하는 특정 포트만을 허용하도록 설정하였는지 점검

---

🔹2. 주의 단계 대응요령

기관별 자체 '긴급대응반' 가동 준비

• 위기대처 및 사고대응을 위하여 평시에 '긴급대응반' 운영계획을 수립 유지
• 긴급대응반 운영에 대한 비상연락망의 인원 및 연락처를 점검하여 최신 내용으로 갱신
• 긴급대응반원을 비상소집

사고발생시 연락체계 점검

• 각급기관은 사이버위협 경보 발령시 업무 체계도에 따른 연락체계를 확인
• 각급기관은 기관 내에서 사용 중인 정보보호시스템, 네트워크 장비 등 시스템 및 프로그램을 제공한 업체 간의 연락체계 점검

공격대상 시스템, 서비스포트, 스캐닝 활동에 대한 감시 강화

• 악성코드, 취약점, 공격 도구 등에 대한 분석정보가 발표될 경우, 공격대상이 될 수 있는 시스탬, 서비스 포트번호 등을 예상
• 공격대상 시스템의 IP주소 또는 공격대상 서비스 포트번호의 차단 상태를 확인
• 침입차단시스템, 침입탐지시스템 등을 이용하여 공격대상 시스템, 서비스 포트번호 등에 대하여 모니터링 강화

웜·바이러스, 해킹 등 악성코드의 예상 유입경로 차단

• 악성코드의 유입경로가 이메일의 첨부물을 통한 것인지,웹 사이트의 이동코드를 통한 것인지, 특정한 소프트웨어의 배포를 통한 것이지를 판단
• 이메일이나 웹을 통해 악성코드에 감염될 경우, 침입차단시스템, 침입탐지시스템, 이메일 서버 및 클라이언트 프로그램, 웹 프록시 서버 등에 차단규칙을 추가
• 특정 소프트웨어 배포를 통해 악성코드에 감염될 경우, 해당 소프트웨어를 해지하고 추가적인 설치를 금지 

---

🔹3. 경계 단계 대응요령

국가사이버안전센터는 비상대응 체계 가동

• 국가사이버안전센터는 상황팀 및 분석·대응팀을 증편 운영하고, 전직원 교대 근무와 함께 대비계획을 점검

기관별 자체 긴급대응반 가동

• 피해가 예상되거나 피해상황 추이에 따라 긴급대응반을 투입
• 즉각적인 시스템 복구를 실시하고 피해확산 차단조치 수행

사이버안전 전문기구 전파사항 이행여부 재확인

• 사이버안전 전문기구, 정보통신 서비스 제공자(ISP), 백신업체에서 제공하는 사이버위협에 대한 대응요령을 모두 이행하고 있는지 재확인

서비스거부공격 발생시 차단규칙 재설정

• 서비스거부공격에 대한 이상 징후를 포착한 경우 정보보안담당자는 신속하게 라우터, 침입차단시스템 등의 차단규칙을 재설정하여 공격의 진행을 차단하여야 함

중요 자료 백업

• 중요 자료를 갖고 있는 서버 및 중요한 서버의 자료를 백업하여 네트워크와 단절된 안전한 곳에 보관

공격 IP·포트 등에 대한 모니터링과 시스템 취약점 점검 강화

• 악성코드, 취약점, 공격도구 등에 대한 분석정보에 따른 공격대상 시스템의 IP 주소 또는 공격대상 서비스 포트번호의 차단 상태를 수시 확인
• 침입차단시스템, 침입탐지시스템 등을 이용하여 취약점을 재점검하여 발견된 취약점을 제거

피해발생 가능성이 높은 네트워크 단절 검토

• 피해발생 가능성이 높은 네트워크를 대상으로 물리적인 케이블 분리 등의 단절 시행 여부를 검토
• 필요시 기관장의 승인하에 단절

---

🔹4. 심각 단계 대응요령

국가사이버안전센터는 비상대응 태세 돌입

• 국가사이버안전센터는 상황팀 및 분석·대응팀을 추가 증펴나혹, 전직원 비상근무 등 즉각 대응 태세에 돌입

민·관·군 합동조사팀과 복구지원팀의 임무수행 지원

• 합동조사팀은 사이버위협에 대한 철저한 원인 분석을 통해 피해규모 및 적절한 대응 방법 등을 제시
• 복구지원팀은 사이버위협에 대한 피해를 최소화하기 위해 임무를 수행
• 피해기관의 정보보보안담당자는 사고 관련 데이터 및 데이터백업/로그 관리 등 사고조사 및 복구에 필요한 자료 제공
• 각급기관 긴급대응반은 정부의 합동조사 및 복구지원팀 활동 지원 및 연락체계 유지

경보발령 공격대상 서비스 포트 차단

• 악성코드, 취약점, 공격도구 등에 대한 분석정보가 발표될 경우, 라우터·스위치 및 침입차단시스템의 차단규칙을 추가 설정하여 공격대상 서비스 포트를 차단

기관내 PC 사용 최소화 권고 

• 기관내 PC 사용을 최소화하여 만약에 발생할 수 있는 잠재적인 사고를 미연에 방지

피해발생 가능성이 높은 네트워크 단절

• 서비스거부공격 및 웜 발생을 확실하게 예상할 수 있거나 내부 시스템 및 네트워크에 대규모 피해 확산을 예상할 수 있는 경우, 기관장의 승인을 받고 물리적인 케이블 분리 등을 통해 피해대상 네트워크를 단절

---

🔗 레퍼런스

1. 국가사이버안보센터, 「사이버위기경보」, 국가사이버안센터 홈페이지(링크)
2. 한국인터넷진흥원, 「사이버 위기 경보단」, KISA 보호나라 홈페이지(링크)
3. 정보통신기반시설보호, 「사이버 위기경보 단계별 위기대응 지원」, 정보통신기반시설보호 홈페이지(링크)
4. 국가사이버안보센터, 「국가사이버안전메뉴얼」, 국립중앙도서관 홈페이지(링크)