A.8.17
시각 동기화
기술적 통제확인사항 5증적 6사례 6
통제 목적
범위 내 시스템과 네트워크 장비가 신뢰할 수 있는 공통 시간 기준을 사용하도록 관리하는 통제입니다. 승인된 시간 원천은 여러 개일 수 있으며 정확도, 가용성과 일관성을 함께 고려합니다. 로그의 시간대 표현과 시계 오차를 구분하여 기록하면 시스템 간 사건 순서와 상관관계를 더 정확하게 분석할 수 있습니다. 동기화 상태를 감시하고 필요한 오차 정보를 보존하여 사고 조사와 증거 해석을 지원합니다.
주요 확인사항
- 신뢰할 수 있는 기준 시각원(국가표준시 등 외부 신뢰원에 동기화된 내부 NTP 서버 등)이 지정되고 시각 동기화 정책이 수립되어 있는가?
- 서버, 장비, 단말, 애플리케이션과 클라우드가 승인된 공통 시간 기준을 사용하고, 로그에 UTC 또는 시간대 오프셋을 명확히 기록하는가?
- 동기화 상태를 모니터링하고, 시각 편차(drift)나 동기화 실패, 이상이 발생하면 이를 탐지하여 조치하고 있는가?
- 시각원이 위변조/스푸핑으로부터 보호되고 있는가(질의 허용 대상 제한, NTP 인증 등)?
- 로그에 일관되고 정확한 시각이 기록되어 시스템 간 상관분석에 활용할 수 있는가?
이행 지침
- 내부 시간 서버, 신뢰할 수 있는 외부 원천 또는 공급자 시간 서비스를 환경에 맞게 승인하고 배포 구조를 정합니다. 여러 원천을 사용할 때에는 기준과 허용 오차가 일관되는지 확인하며 단일 서버에 대한 의존을 평가합니다.
- UTC 또는 명시적인 시간대 오프셋으로 기록을 비교할 수 있도록 하고, 허용 시계 오차와 동기화 정책을 정합니다. 시간대 표기가 서로 다르다고 해서 곧 시계가 어긋난 것은 아니므로 분석 시 표현 변환과 실제 시계 오차 보정을 구분합니다.
- 서버, 네트워크/보안 장비, 단말과 가상머신은 환경에 맞는 시간 서비스를 사용하도록 구성합니다. 호스트 시계를 공유하는 컨테이너의 경우 각 컨테이너에 NTP를 강제하기보다 호스트 동기화와 애플리케이션 시간 표현을 확인합니다. 관리형 클라우드에서는 공급자 기능을 검증합니다.
- 시각원을 보호합니다: 장비가 질의할 수 있는 시각원을 제한하고, 지원되는 경우 인증된 NTP를 사용하며, 시각 서버를 보호된 구간에 배치하고 스푸핑 여부를 모니터링합니다.
- 동기화 상태(편차/오프셋 경보)를 지속 모니터링하고, 동기화가 어긋난 장비를 다시 동기화하며, 가용성 요구에 따라 시각원 이중화를 확보합니다.
- 로깅 구성요소가 시스템 시간을 올바르게 기록하는지 확인하고 SIEM에서 시간대와 확인된 시계 오차를 처리합니다. 원본 타임스탬프와 변환/보정 내역을 보존하여 분석 결과를 추적할 수 있게 합니다.
증적자료
- 시각 동기화 정책/표준(기준 시각원, 시간 기준, 동기화 주기, 허용 편차)
- NTP 구성도 및 시각 서버 설정값
- 서버/네트워크/보안장비/단말의 동기화 설정 캡처
- 동기화 상태 모니터링/경보 기록 및 편차 조치 이력
- 시스템 간 시각이 일치함을 보이는 로그 샘플
- 시각원 접근통제/인증 설정값
부적합 사례
- 시간대/오프셋 정보가 없거나 기준이 불명확하여 로그 시각을 신뢰성 있게 비교할 수 없는 경우
- 일부 장비(네트워크/보안장비, 노후 서버 등)가 동기화되지 않아 시각이 크게 벌어진 상태로 방치된 경우
- 내부 시각 서버 자체가 신뢰할 수 있는 외부 기준에 동기화되지 않았거나, 단일 시각 서버에 대한 의존을 평가하지 않아 그 서버가 멈추면 대체할 시각원이 없는 경우
- 동기화 상태를 모니터링하지 않아 편차/실패를 장기간 인지하지 못한 경우
- 장비나 내부 시각 서버가 임의의 외부 NTP를 제한이나 인증 없이 참조하도록 설정되어 시각원 스푸핑에 노출되는 경우
- 로그의 시각 정보가 부정확하여 침해사고 조사 및 증거로서의 효력이 약화된 경우