> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/4..md).

# 4. 운영 복구 및 알림

## 1. 개요

* 공격의 최종 단계인 랜섬웨어 실행 등 치명적인 위협이 탐지되었을 때, 단순 차단을 넘어 시스템을 자동으로 복구하고 증거를 확보하는 단계
* IaC (Infrastructure as Code) 기술을 활용하여 감염된 자산을 즉시 폐기 및 재생성함으로써 서비스 가용성을 확보하고, 격리된 환경에서 안전하게 포렌식을 수행할 수 있도록 지원
* 모든 대응 과정과 결과를 관리자에게 실시간으로 알림으로써 신속한 의사결정을 지원

***

## 2. 대응 및 알림 체계

| **대응 영역**                                                                   | **주요 활동 내용**                                                                                                                                | **Rule ID**                                                                |
| --------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------- |
| [(랜섬웨어 탐지) 인프라 자동 복구](/undefined/custom-rule-and-active-response/4./4.1.md) | <p>Forensic Isolation: 감염 서버 스냅샷 생성 후 격리 VPC에서 분석 환경 자동 구축</p><p></p><p>Operation Recovery : 감염 서버 즉시 폐기(Taint) 및 골든 이미지를 통한 깨끗한 서버 재생성</p> | <p><code>100011</code> <br><code>100012</code> <br><code>100013</code></p> |
| [보안 관제 알림 시스템](/undefined/custom-rule-and-active-response/4./4.2.md)        | <p>심각한 위협 발생 시 Slack 통해 보안 담당자에게 즉시 경보 발송<br></p><p>자동 복구 스크립트 실행 결과(성공/실패) 및 격리된 자산 정보 공유</p>                                              | `N/A`                                                                      |

<br>