<aside> 🎯
한줄 결론: CERT 인프라는 로그 저장소 하나가 아니라 Endpoint 기록, 중앙 수집, 탐지·상관분석, 위협 정보, 대응 자동화, 사건 관리와 증거 보존을 연결한 체계다.
</aside>
**CERT(Computer Emergency Response Team)**는 침해사고를 조사하고 대응하는 조직이다. 사고가 났을 때 서버에 접속해 현재 상태만 확인하면, 이미 종료된 명령이나 삭제된 파일을 놓칠 수 있다.
따라서 평소에 기록을 모으고, 여러 기록을 연결해 사건을 판단하고, 필요한 조치와 증거를 남길 수 있는 기반이 필요하다.
이 글은 근두운 프로젝트의 Wazuh·Falco·AWS 로그를 바탕으로 한 CERT 인프라 설계 보고서다. 도구를 많이 설치하는 것보다 하나의 사고를 처음부터 끝까지 설명할 수 있는 흐름을 만드는 데 목적이 있다.
CERT 인프라를 기능 중심으로 나누면 다음과 같습니다.
ps는 현재 실행 중인 프로세스를 보여주고, history는 모든 명령 실행을 완전하게 남기는 보안 기록이 아니다. 사고 전후를 조사하려면 아래 기록을 지속적으로 수집해야 한다.
| 알고 싶은 것 | 필요한 기록 | 대표 내용 |
|---|---|---|
| 누가 접속했나? | 로그인·인증 로그 | 사용자, 접속 시각, 성공·실패 |
| 어떤 명령이 실행됐나? | 프로세스 실행 기록 | 실행 파일, 명령, 부모 프로세스 |
| 어떤 파일이 바뀌었나? | 파일 변경 기록 | 파일 경로, 생성·수정·삭제 |
| 어디와 통신했나? | 네트워크 연결 기록 | 출발지·목적지 IP, 포트 |
| 어떤 AWS 권한을 썼나? | CloudTrail | Role, API 이름, 대상 리소스, 오류 |
같은 IP라는 이유만으로 같은 공격이라고 확정하지 않는다. WAF의 요청자 IP는 외부 사용자, CloudTrail의 출발지 IP는 EC2나 NAT 쪽 주소일 수 있다. ALB 뒤에 서버가 여러 대라면 애플리케이션 요청 ID와 대상 서버 기록이 있어야 더 정확히 연결할 수 있다.
내부 기록이 “무슨 행동이 있었나?”를 보여준다면 **Threat Intelligence(위협 정보)**는 그 IP·도메인·파일이 외부에서 어떻게 관찰됐는지 알려준다.
**IOC(공격 흔적)**는 비교 가능한 단서다. 대표적으로 IP, 도메인·URL, 파일 해시가 있다. 해시는 파일 내용을 바탕으로 만든 식별값이다.
예를 들어 내부 서버가 접속한 IP가 악성 활동과 관련됐다는 외부 정보가 있다면 조사 우선순위를 높일 수 있다. 그러나 공유 IP, 오래된 정보, 잘못된 분류도 있으므로 일치만으로 공격을 확정하지 않는다.
확인할 항목은 출처, 관찰 시점, 신뢰도, 유효기간, 내부 행동과의 관계다. 여러 정보원이 같은 원본을 복사한 경우 독립적인 증거 여러 개로 세지 않는다.
여러 곳의 위협 정보를 모아 중복을 정리하고 출처와 관계를 관리하는 도구가 **TIP(위협 정보 플랫폼)**이다.