A.8.7
악성코드 방어
기술적 통제확인사항 5증적 5사례 5
통제 목적
악성코드(바이러스, 웜, 랜섬웨어, 트로이목마 등)로부터 정보와 정보처리시설을 보호하기 위한 통제입니다. 기술적 방어수단(백신/EDR, 필터링 등)과 사용자 인식제고를 함께 적용하여 악성코드 유입을 예방하고, 감염을 탐지하며, 감염 시 신속히 복구할 수 있도록 요구합니다.
주요 확인사항
- 서버, 단말, 모바일 기기 등 대상 자산에 악성코드 방어 솔루션을 설치해 운영하고, 엔진/시그니처를 최신 상태로 유지하고 있는가?
- 자산 유형과 지원 기능에 맞는 탐지/대응(실시간 감시, 적절한 검사, 격리 등)을 운영하고 적용 불가 시 보완통제를 검증하는가?
- 허가되지 않은 소프트웨어/스크립트 실행을 통제하고(예: 허용목록, 첨부파일/웹 필터링), 외부 매체 및 다운로드 경로에 대한 검사를 수행하는가?
- 악성코드 예방을 위한 사용자 인식제고 교육을 수행하고, 감염 발견 시 신고/대응 절차를 마련하고 있는가?
- 악성코드 탐지/차단 현황을 로그로 기록하고 주기적으로 검토하며, 중대한 감염은 사고대응 절차로 연계하는가?
이행 지침
- 대상 자산(서버/PC/모바일/가상화/컨테이너 등)별로 적합한 방어수단을 선정하고, 중앙에서 정책과 업데이트 상태를 관리합니다.
- 자산에 맞춰 시그니처/행위 기반 탐지, 허용 목록, 격리 등을 조합합니다. 전체 검사는 지원 여부와 성능/안전 영향을 평가하여 주기를 정하고, 모바일/컨테이너/OT 등 agent나 검사를 지원하지 않는 환경에는 검증된 대체 보호를 적용합니다.
- 이메일 첨부/URL, 웹 다운로드, 이동식 매체 등 주요 유입 경로에 대한 검사와 필터링을 적용합니다.
- 최종 사용자가 임의로 방어 솔루션을 비활성화하거나 예외를 설정하지 못하도록 권한을 통제합니다.
- 신종/변종 대응을 위해 위협 인텔리전스(A.5.7)와 기술적 취약점 관리(A.8.8)를 연계하고, 백업(A.8.13)으로 랜섬웨어 복구 능력을 확보합니다.
- 감염 발생 시 격리/차단/증거보존/복구의 대응 절차를 사전에 정의하고 훈련합니다.
증적자료
- 백신/EDR 등 방어 솔루션 설치 현황 및 정책 설정 화면
- 엔진/시그니처 업데이트 이력, 전체검사 수행 기록
- 악성코드 탐지/치료/격리 로그 및 검토 기록
- 사용자 대상 악성코드 예방 교육/공지 자료
- 감염 사고 대응 절차서 및 대응 기록
부적합 사례
- 일부 자산의 악성코드 보호가 누락되거나 예외 처리되었으나 위험 평가와 대체 보호가 없는 경우
- 방어 솔루션은 설치되어 있으나 엔진/시그니처가 장기간 갱신되지 않아 신종 악성코드를 탐지하지 못하는 경우
- 승인된 보호 계획에서 요구한 실시간 감시 또는 검사가 비활성화되었거나 수행되지 않았고 보완통제도 없는 경우
- 악성코드 탐지 로그를 수집만 하고 검토하지 않아 반복 감염/확산을 인지하지 못한 경우
- 권한 관리가 방치되어 사용자가 방어 솔루션을 임의로 중지할 수 있는 경우