Quiz: Air-Gapped Investigation and Export

폐쇄망 현장에 처음 들어간 엔지니어가 조사를 시작할 때 가장 먼저 할 일은?

• 평소 쓰던 진단 도구를 반입 신청해 두고 도착할 때까지 기본 조사를 한다
• 밖에 있는 동료에게 오류 메시지를 전달해 검색을 대신 부탁한다
• 가장 최근에 배포된 버전의 릴리스 노트부터 확인한다
• 이 안에서 쓸 수 있는 도구와 읽을 수 있는 기록의 목록을 먼저 만든다

인터넷이 안 된다는 사실을 보고서에 적을 때 가장 쓸모 있는 형태는?

• '외부 통신이 제한된 환경임' 이라고 환경 설명에 한 줄 적는다
• '인터넷이 안 되는 것으로 보임' 이라고 관찰 결과에 적는다
• 'curl 이 종료 코드 28로 실패, pip 설치는 종료 코드 1로 실패' 처럼 실행 결과를 적는다
• '보안 정책상 외부 통신 불가' 라고 정책 근거를 적는다

오류 코드의 의미를 검색할 수 없는 환경에서 원인을 좁히는 가장 실질적인 방법은?

• 오류 코드 문자열을 소스 코드에서 찾아 그 조건을 읽는다
• 서로 다른 두 기록을 시간축에 나란히 놓고 사건 시작과의 간격을 본다
• 같은 코드가 나온 다른 시스템의 로그를 모아 비교한다
• 재현 시나리오를 만들어 운영 환경에서 다시 발생시켜 본다

반출용 요약을 만들 때 원본을 열어 민감한 부분을 지워 나가는 방식이 위험한 이유는?

• 원본 파일이 손상되어 나중에 재조사가 불가능해지기 때문에
• 지우는 작업 자체가 감사 로그에 남아 반출 심사에서 문제가 되기 때문에
• 지우다 만 것이 반드시 하나 남는데 이미 처리했다고 생각하는 문서를 사람은 검사하듯 읽지 못하기 때문에
• 지운 자리가 비어 보여 받는 쪽이 정보가 누락됐다고 오해하기 때문에

요약본을 금지 토큰 목록으로 대조할 때 grep 에 -F 를 붙여야 하는 이유는?

• -F 가 없으면 목록의 점 같은 문자가 정규식으로 해석돼 엉뚱한 곳이 걸리거나 반대로 놓치기 때문에
• -F 가 없으면 대소문자를 구분하지 않아 오탐이 늘기 때문에
• -F 가 없으면 목록 파일을 한 줄씩 읽지 않고 통째로 하나의 패턴으로 보기 때문에
• -F 가 없으면 NUL 이 섞인 바이너리에서 검색이 조용히 중단되기 때문에

반출 심사를 준비하며 금지 토큰 목록 파일을 만들었다. 이 파일을 어디에 두어야 하는가?

• 반출 디렉터리에 함께 두어 심사자가 대조 근거를 볼 수 있게 한다
• 반출 디렉터리 밖, 망 안에 남기고 신청서에는 대조 결과만 적는다
• 대조가 끝나면 즉시 삭제해 흔적을 남기지 않는다
• 요약본 안에 주석으로 넣어 한 파일로 관리한다