처리되지 않은
사고가 실제로 얼마나 큰 비용을 초래하는지.
2024년부터 2025년까지 다양한 산업과 지역의 내부 사고 대응 데이터 및 검증된 공개 보고서를 바탕으로 작성되었습니다.
당황하기 전에,
위기의 규모를 파악하세요.
네 가지 질문에 답해 보세요. 당사는 실시간 심각도 점수와 팀이 지금 당장 취해야 할 첫 네 가지 조치를 제시해 드립니다. 누군가 화가 나서 키보드를 두드리기 전에 말이죠.
▸ 첫 네 가지 조치
- 영향을 받은 호스트를 네트워크에서 격리하십시오. 전원을 끄지 마십시오.
- 최소 한 대의 호스트에서 메모리 및 볼륨 섀도 복사본을 보존하십시오.
- 지난 72시간 동안 사용된 자격 증명을 취소하고, 서비스 계정을 교체하십시오.
- 백업을 건드리기 전에 PWN•ALL과 대응 브리지를 개설하십시오.
네 단계.
하나의 브리지.
모든 인시던트는 단일하고 검증된 대응 브릿지를 통해 처리됩니다. 귀사의 팀, 당사의 DFIR 분석가, 공유 타임라인, 그리고 모든 단계의 기록이 포함됩니다.
차단
증거를 훼손하지 않는 네트워크 수준의 격리. 스위치에서 측면 이동을 차단하고, C2 통신을 차단하며, 관리자 권한 계정을 동결하고, 피벗 호스트의 메모리를 보존합니다.
범위
모든 암호화된 자산, 초기 침투 경로, 지속성, 데이터 유출 흔적에 대한 포렌식 선별 분석. 우리는 변종, 공격자의 TTP(전술·기술·절차), 체류 시간을 식별합니다.
복구
클린룸 재구축, 백업 무결성 검사, 내부 라이브러리를 활용한 복호화 도구 매칭, 그리고 키가 존재하는 경우 운영 데이터의 단계적 복호화.
보안 강화
근본 원인 해결, 신원 정보 정리, 미구축된 EDR/MFA 도입, 그리고 이사회, 보험사, 규제 당국이 실제로 읽을 수 있는 서면 보고서 작성.
모든 변종에는
취약한 틈이 있습니다. 저희가 찾아냅니다.
당사의 복호화 연구 라이브러리와 협상 정보는 매주 해결하는 실제 사례를 바탕으로 지속적으로 업데이트됩니다. 비용을 지불하지 않고 복구할 수 있는 방법이 있다면, 저희가 가장 먼저 찾아냅니다.
LockBit • BlackCat • Play
- 도메인 컨트롤러 및 Veeam 대상 지정
- vssadmin/WMI를 통한 섀도 복사본 삭제
- MEGA/Rclone을 통한 단계적 데이터 유출
- 해당되는 경우 부분 키 복구
Akira • Royal • Rhysida
- VMFS 계층에서 ESXi 중지 및 암호화
- 어플라이언스용 Linux ELF 랜섬웨어
- 데이터스토어 수준 볼륨 복구
- 하이퍼바이저 측 무결성 감사
Cl0p • Karakurt • RansomHub
- 순수 데이터 탈취, 암호화 없음
- 유출 사이트 모니터링 및 차단
- 법적 공개 조정
- 운영자 커뮤니케이션 관리
한 분석가가 이미
시계를 주시하고 있습니다.
전화를 거는 순간, 타임스탬프가 찍힌 조치 내역, 증거 보존 현황, 실시간 심각도 보드가 포함된 공유 브리지가 즉시 활성화됩니다. 보험사 및 법무팀은 읽기 전용으로 참여할 수 있습니다.
의문도, 침묵도 없습니다.
모든 PWN-ALL 사고는 규제 당국과 사이버 보험사가 이미 승인한 동일한 브리지 템플릿에서 처리됩니다. 저희가 보는 것을 고객님도 확인하실 수 있습니다. 모든 파괴적 조치는 고객님의 승인을 거쳐야만 실행됩니다. 고객님의 승인 없이는 어떤 정보도 암호화, 삭제 또는 비용이 지불되지 않습니다.
사태가 수습된 후, 귀하는 스크린샷으로 가득 찬 PDF 파일이 아닌, 증거 관리 보고서와 MITRE ATT&CK에 매핑된 타임라인, 그리고 30/60/90일 단위의 보안 강화 계획을 받아가게 됩니다.
사람들이
새벽 3시에 사람들이 묻는 질문들.
몸값을 지불해야 할까요?
거의 절대 올바른 첫 번째 조치가 아닙니다. 우리는 복구 옵션을 평가하는 동안 최후의 수단으로만 협상을 진행하며, 법적 및 제재 관련 승인을 받은 경우에만 협상을 진행합니다. 저희가 처리한 사례의 약 94%에서, 지불 없이도 전체 또는 부분 복구가 가능합니다.
브리지 연결까지 얼마나 걸리나요?
당사의 SLA는 첫 전화 접수 후 60분 이내에 귀사 팀과 공유하는 화상 회의에 분석가가 참여하는 것을 기준으로 합니다. 대개 첫 15분 이내에 확산 방지 지침을 시작하며, 동시에 피해 범위 파악 작업을 병행합니다.
이미 모든 장비를 껐습니다. 문제가 될까요?
이상적인 상황은 아닙니다. 휘발성 메모리에는 키, 주입된 프로세스, 공격자 활동 흔적이 저장되어 있기 때문입니다. 하지만 복구는 가능합니다. 저희가 연결될 때까지 어떤 시스템도 다시 부팅하지 마십시오. 콜드 트라이어지(cold-triage)를 위한 절차가 마련되어 있습니다.
저희 사이버 보험사와 협력하시나요?
네. PWN-ALL는 표준 IR 패널에 연동되도록 설계되었습니다. 저희는 보험사에 타임스탬프가 포함된 조치 내역, 비용 통제 현황, 그리고 대부분의 보험사가 수용하는 형식의 최종 보고서를 제공합니다.
데이터가 암호화되었을 뿐만 아니라 유출된 경우에는 어떻게 되나요?
우리는 데이터 유출 범위를 별도로 파악합니다: 무엇이, 어디서, 얼마나 오랫동안 유출되었는지. 그런 다음 정보 공개, 법적 대응, 그리고 — 필요한 경우 — 유출 사이트 모니터링 및 공격자와의 소통을 조정합니다.
다음 공격을 예방할 수 있나요?
그것은 4단계입니다. 근본 원인 해결, 신원 관리, EDR/MFA 도입, 지속적인 모니터링 — 그리고 경계 보안을 위한 VulnScan 및 ConnGuard와의 연동입니다.
월요일 아침까지
월요일 아침을 기다리지 마세요.
지연되는 매 시간마다 백업은 삭제되고, 증거는 소멸되며, 운영자는 더 깊은 곳으로 빠져듭니다. PWN-ALL는 평일, 주말, 공휴일 상관없이 대응합니다. 시간은 가차 없으며, 우리도 마찬가지입니다.
여전히 공격의 50%는 암호화로 끝납니다. 어느 쪽에 속할지 확인하기 위해 기다리지 마십시오.