웹 요청·응답
대상 URL, 헤더·본문과 응답에 나타난 공격 의심 근거를 확인합니다.
START WITH EVIDENCE
“웹 공격이 실제 서버 침해로 이어졌습니까?”
WAF 경보만 확인하면 서버 내부에서 어떤 일이 일어났는지 남을 수 있습니다. 대상 자산과 발생 시각을 기준으로 후속 행위를 함께 조사합니다.
EDR 행위 탐지 · 웹셸 실행
웹 프로세스의 자식 프로세스, 파일 생성·변경, 명령 실행 흔적을 ATT&CK 기법 관점에서 확인합니다.
변경과 영향 범위
계정, 자동 실행, 외부 연결 등 추가 흔적을 지원 범위에서 조사합니다.
CONNECTED RESPONSE
관측에서 판단, 대응과 보고까지.
원천 요청 확인
요청과 응답에서 공격 의심 근거를 확인하고 자산·URL·시각 정보를 정리합니다.
마이터 어택 기반 호스트 탐지
EDR 이벤트에서 웹셸(T1505.003) 관련 파일·실행 흔적을 탐지·분석하고 관련 명령과 외부 연결을 확인합니다.
증거와 미확인 사항 구분
연관된 흔적을 통해 침해 여부를 검토하고 추가 확인이 필요한 부분을 남깁니다.
대응과 관제 보고
허용된 차단·격리와 조사 범위를 확인한 뒤 조치·승인 이력을 보고합니다.
위 흐름은 대응 방식을 설명하는 시나리오이며 실제 고객 사건·시험 결과가 아닙니다. 설치·수집 구성, 권한과 지원 기능에 따라 확인 및 실행 범위가 달라집니다.
PLURA-XDR + SOC
각 기능의 정보를,
하나의 대응에 연결합니다.
웹과 호스트의 연결
PLURA-WAF·EDR·SIEM의 정보를 연관 분석합니다.
포렌식 증거 확인
파일과 시스템 변경 흔적을 조사 결과에 연결합니다.
관제 검토와 보고
확인된 사실과 잔여 위험, 후속 권고를 고객과 공유합니다.
PLURA-XDR + SOC보고 구성 예시
무슨 일이 있었고,
어떻게 대응했는지.
경보 목록을 넘어, 의사결정에 필요한 결과로.
판단 근거관련 로그와 확인한 공격 흔적
영향 범위대상 자산·계정과 미확인 항목
대응 이력정책·승인·실행 결과와 담당자
후속 권고설정 개선과 재점검할 사항
실제 고객 보고서가 아닌 제공 항목의 설명용 예시입니다.
CHECK THE BOUNDARIES
결과를 해석할 때 확인하세요.
웹 공격 탐지 경보가 발생하면 침해가 확정된 것인가요?
아닙니다. 공격 시도와 실제 서버 실행, 확인된 침해는 구분합니다. 호스트 이벤트와 파일 변경 등 후속 증거를 확인해야 합니다.
어떤 환경에서 이 흐름을 확인할 수 있나요?
웹 요청·응답 수집 구성과 지원 호스트 에이전트, 감사 정책 및 포렌식 기능이 필요합니다. 수집하지 않은 데이터는 확인 결과로 제시하지 않습니다.
우리 환경의 웹 해킹·웹셸 대응,
어디까지 연결할 수 있을까요?
보호 대상, 확보 가능한 데이터와 대응 권한을 함께 검토합니다.