요약

  • RFC 3067은 관찰 가능한 이벤트, 이를 뒷받침하는 증거, 인시던트 분류, 실제 피해, 잠재적 영향, 신뢰도를 하나의 결론으로 뭉뚱그리지 않고 별개의 필드로 유지하는 공통 인시던트 객체를 요구했다.
  • 이 객체는 경보에서 조사, 종결, 아카이브까지 발전하도록 설계되었으며, 요소별 접근 제한, 증거 보관 경위, 그리고 이전 CSIRT가 취한 조치가 다음 운영자를 위해 보존되어야 했다.

스키마에 앞서 있던 인수인계의 이론

2001년 2월에 발행된 RFC 3067은 인터넷 표준을 규정한 문서가 아니었다. 이 문서는 IODEF(Incident 주체 Description and Exchange Format, 인시던트 객체 기술 및 교환 형식)에 대한 TERENA의 상위 수준 요구사항을 기록했다. 그 동기는 운영상의 것이었다. 컴퓨터 공격은 국경과 언어, 문화, 이해관계 집단을 넘어 확산되는 반면, 대응팀들은 경보, 조사, 통계, 사후 인시던트 지식을 교환해야 했다.

제안된 공통 객체는 단순한 기계용 봉투가 아니었다. 사람이 생성하고 승인하도록 의도되었고, 평범한 도구로 읽을 수 있으며, 인시던트 처리 시스템이 처리할 수 있어야 했다. 침입 탐지 메시지가 이야기를 시작할 수는 있지만, 인시던트 기술은 그보다 상위 수준에 놓였다. 여러 팀이 시간에 걸쳐 학습하고, 결정하고, 수행한 내용을 함께 운반해야 했다.

그래서 요구사항은 어휘 정의에서 출발했다. 이벤트(event)는 대상을 변경하려는 목적을 가진, 관찰 가능한 발생 또는 행위였다. 증거(evidence)는 이벤트에 관한 결론을 증명하거나 뒷받침하는 정보였다. 인시던트(incident)는 보안 위반을 수반하는 사안이었다. 피해(damage)는 시스템이나 서비스에 대한 실제 결과를 기술했다. 영향(impact)은 사용자 커뮤니티에 미치는 결과를 다루었다. 신뢰도(confidence)는 보고 정보를 얼마나 강하게 신뢰해야 하는지를 표현했다.

이들은 데이터베이스의 서로 다른 열에 배치된 동의어가 아니었다. 서로 다른 현실의 층위였다.

경보는 결론을 소유하지 않았다

10초 만에 세 번의 로그인 실패는 경보를 발생시킬 수 있다. 그 관찰만으로 공격자, 성공한 침해, 피해, 커뮤니티 영향이 증명되지는 않는다. 통계적 탐지기는 확률을 부여할 수 있고, CSIRT는 자체 정책에 따라 이벤트를 상향 보고할 수 있으며, 다른 팀은 이를 분산 캠페인과 연관 지을 수 있다. 공통 객체는 가장 이른 신호를 최종 판정으로 고쳐 쓰지 않으면서 각 단계를 함께 운반해야 했다.

따라서 RFC 3067은 신뢰도를 요구했으며, 특히 자동화 시스템이 확률을 추정하는 경우에 그렇게 했다. 공격이 인식된 경우에는 표준화된 목록에서, 참조할 것이 없는 경우에는 책임 있는 팀 구성원의 경험에서 잠재적 영향을 가져올 수 있도록 허용했다. 알려지지 않은 공격 유형은 공통 용어가 마련될 때까지 임시적인 구현 고유 이름을 사용할 수 있었다.

구조와 자유 서술의 이 결합은 불확실성을 숨기는 대신 드러내도록 했다. 통제된 용어는 집계를 지원했고, 서술은 아직 안정되지 않은 부분을 보존했다. 임시 값은 이벤트가 이미 이해되었다고 가정해도 좋다는 허가가 아니라, 분류 체계의 미해결 경계에 대한 증거였다.

인시던트 기술은 또한 성장하도록 되어 있었다. 처리 초기에는 세부 사항이 희박할 수 있다. 조사와 복구 과정에서 공격 기술, 증거, 행위자, 대상, 결과, 조치가 추가된다. 기록은 이전 CSIRT가 수행한 내용을 보존해야 다음 팀이 남은 작업을 파악할 수 있었다.

이 객체는 얼어 붙은 경보가 아니라 변화하는 소철 문서, 즉 계속 갱신되는 기록이었다.

모든 구획이 서로 다른 열람자를 가질 수 있었다

인시던트 공유는 협조를 약속하지만 동시에 정보 노출의 위협도 되었다. 이 요구사항은 같은 객체 안에 비밀번호, 개인 또는 조직 식별자, 포렌식 자료가 들어갈 수 있음을 예상했다. 그리고 보고서 전체에 하나의 분류 배너를 붙이는 대신, 모든 요소에 접근 제한 속성을 두도록 요구했다.

이 입도가 중요했다. 수신 팀은 공격 유형과 영향받은 네트워크는 볼 수 있지만 피해자의 신원이나 봉인된 증거 파일은 볼 수 없을 수 있다. 통계에는 운영 세부 사항을 제거한 채 집계된 영향만 남을 수 있다. 증거는 보관 경위와 권한이 보고서의 나머지 부분과 다르기 때문에 외부에서 참조될 수 있었다.

암호화는 유용했지만 만능 해답으로는 불충분했다. 메시지는 권한 있는 시스템이 복호화한 뒤 권한 없는 사람이나 하류 워크플로우에 의해 오용될 수 있다. 제한 표시는 이후 처리를 위한 정책 문맥으로 함께 이동해야 했다.

이 문서는 통신 보안을 로컬 정책의 관할로 두었고, 교환이 통상적으로 운영자 또는 CSIRT 관리자의 승인을 받을 것으로 기대했다. 기계 판독 가능성은 사람의 인수인계를 보조했을 뿐, 그 자체로 승인을 부여하지 않았다.

증거에는 보관 경위의 역사가 필요했다

RFC 3067은 증거를 단순한 첨부 파일 이상으로 다루었다. 시스템 덤프, 로그, 커널 통계, 캐시, 메모리, 임시 파일을 가능한 증거원으로 명시하고, 무결성 관리를 요구하며, 필요한 곳에서의 암호화를 권고하고, 문서화된 보관 경위(체인 오브 커스터디)를 요구하며, 현지 법률에 우선권을 두었다.

이는 수신 CSIRT가 단순히 바이트 이상을 필요로 한다는 뜻이었다. 누가, 언제, 어떤 조건에서 수집했는지, 어떻게 보존되었는지, 전송이 자료를 변경했는지 알아야 했다. RFC 3227은 이후 휘발성 순서, 변경 최소화, 절차 문서화 같은 운영 원칙을 정교화했다. 그러나 어느 문서도 법원, 고용주, 외국 당국이 그 결과를 수용할 것을 보장할 수는 없었다. 형식은 보관 경위의 사실을 운반할 수 있었지만, 법적 권위는 여전히 현지에 있었다.

시간 역시 비슷한 경계를 지녔다. RFC 3067은 인시던트 수명 전반에 걸친 단계 기록을 요구했고, 관리자가 보고서를 정규화하고 상호 연관시킬 수 있도록 UTC 오프셋이 붙은 현지 시각을 요구했다. 정규화된 타임스탬프는 분산된 활동을 연결하는 데 도움이 될 수 있었다. 그러나 그것이 잘못된 시계, 알 수 없는 수집 지연, 잘못된 인과 추론을 바로잡을 수는 없었다.

후속 표준은 이 헌법적 한계를 유지했다

RFC 5070은 결국 2007년 XML 기반의 IODEF 데이터 모델을 표준화했다. 이 문서는 해당 모델을 최적의 저장 또는 아카이브 표현이 아니라 전송 형식으로 명시적으로 기술했고, "인시던트"의 보편적 정의를 강제하지 않았다. RFC 7970은 2016년에 그 버전을 더 넓은 2세대 모델로 대체했다.

이 후속 문서들은 RFC 3067이 요구사항을 제공한 자리에 구체적인 스키마를 공급했다. 그러나 이들이 원래의 권한 분배를 폐지하지는 않았다. 스키마는 필드와 관계를 정의할 수 있었다. 보고서 작성자는 무엇을 주장할지 통제했다. 공유하는 조직은 공개 범위를 통제했다. 수신 팀은 자체 관할 집단, 정책, 법률의 틀 안에서 해석과 조치를 통제했다. 증거 보관 경위는 이후의 주장을 제약했다. 영향을 받는 사람과 서비스가 결과를 감당했다.

Lu Heng의 현실 층위 관점은 이 역사적 가치를 명확하게 해준다. 공유 객체는 등록, 관찰, 추론, 결정, 결과를 하나로 붕괴시키지 않으면서도 여러 주장을 기관 간에 판독 가능하게 만들 수 있다. 실행 중인 코드는 문서를 검증하고, 라우팅하고, 렌더링할 수 있다. 그러나 그것이 인시던트 분류가 올바르다는 것, 대응이 성공했다는 것을 증명하지는 못한다.

RFC 3067은 단 하나의 판정을 만들어내려 하지 않았다. 서로 다른 팀이 책임 있는 이견을 유지하면서도, 그 이견이 의존하는 증거와 권한, 신뢰도, 조치 이력을 잃지 않고 토론할 수 있을 만큼 강한 기록을 요구한 것이다.

출처