문제#

Mattermost 인스턴스에 접근한 후, Mattermost를 사용하여 보안 인시던트 처리를 위한 워크플로를 설정하고 싶을 수 있습니다. 자체 Mattermost 인스턴스를 배포하는 방법에 대해 더 알아보려면 배포 섹션 을 방문하세요.

솔루션#

이 가이드에서는 음성 통화 및 화면 공유 기능을 갖춘 협업 플레이북 과 채널 을 사용하여 제품 보안 인시던트 룸을 설정하는 과정을 안내합니다.

1. 워크스페이스 설정#

Cloud 고객의 경우, 별도의 기술적 설정 없이 모든 기능이 즉시 작동합니다. 워크스페이스에 팀원을 초대하기만 하면 다음 섹션으로 넘어갈 수 있습니다. 셀프 호스팅 배포의 경우, 음성 통화 및 화면 공유를 구성하려면 통화 구성 문서 를 참조하세요.

2. 플레이북 설정#

워크스페이스 와 팀원 준비가 끝났으니, 다음 단계는 인시던트 처리를 위한 플레이북을 생성하는 것입니다. 이 레시피에서는 Mattermost Product Security 팀이 사용하는 플레이북 템플릿을 조정한 버전을 사용하며, 여기에서 다운로드 할 수 있습니다.

위 템플릿을 다운로드한 후, Mattermost 워크스페이스 에 연결하세요. 그런 다음 제품 메뉴를 열고 플레이북 을 선택합니다.

다음으로 플레이북 메뉴를 열고 가져오기 를 선택한 다음, 다운로드한 파일로 이동합니다.

파일을 가져오면 Security Vulnerability Playbook 이라는 새 플레이북이 생성됩니다. 점 세 개를 선택하여 플레이북을 편집하세요.

사용 사례에 맞게 작업이나 액션을 수정하세요. 이 시나리오에서는 기본적으로 플레이북 소유자 역할을 Alice에게 할당하고, 액션 탭에서 다른 세 명의 팀원이 자동으로 추가되도록 설정했습니다. 이 값을 여러분의 보안 팀 구성원으로 변경하는 것을 권장합니다.

저장 을 선택합니다. 그런 다음 실행 을 누르세요.

여러분의 환경에 맞는 시나리오로 제목을 설정하고 실행 시작 을 선택하면 새 채널이 생성되고 미리 정의한 대로 팀원이 초대됩니다.

3. 음성 채팅 및 화면 공유를 위한 통화 사용#

Mattermost Enterprise 및 Professional 고객은 실행 채널 헤더에서 통화 시작 을 선택하여 채널 통화를 시작할 수 있습니다. 이 통화는 인시던트 채널의 참여자만 참여할 수 있습니다.

Mattermost 왼쪽 하단 모서리에서 확장 아이콘을 선택하면 통화를 위한 별도의 팝업 창이 열리며, 발표를 시작할 수 있는 추가 옵션이 제공됩니다.

Mattermost Team Edition에서는 1:1 통화만 지원됩니다. 다른 인시던트 대응자와 다이렉트 메시지를 열고 위와 동일한 단계를 따르세요.

플레이북은 이슈의 유효성을 확인하는 분류(Triage) 단계로 시작하여, (가능한 경우) 악용 여부에 대한 조사(Investigation) 로 이어지고, 이슈에 대한 적극적인 해결(Remediation) 로 이어집니다. 이슈가 완화된 후에는 인시던트가 종결(Resolution) 단계로 넘어가 인시던트 사후 분석과 함께 마무리될 수 있습니다.

플레이북을 실행하는 동안, 더 쉬운 보고를 위해 메시지와 같은 주요 이벤트를 타임라인에 추가할 수 있습니다. 이렇게 하려면 메시지 위에 마우스를 올렸을 때 앱 아이콘을 선택하세요.

인시던트 개요에 표시될 짧은 요약을 작성하면, 연결된 메시지로 바로 이동할 수 있는 기능도 제공됩니다.

타임라인은 대응자와 관리자 모두를 위해 현재 및 과거 이벤트 중 가장 중요한 이벤트에 대한 개요를 제공하는 훌륭한 기능입니다.

여기서 공유한 프로세스와 플레이북은 여러분의 고유한 환경을 위한 출발점일 뿐입니다. 플레이북을 커스터마이징 하고 새로운 인시던트에 대해 자동으로 알림을 받도록 추가 통합을 구성 하면 대응 시간을 더욱 단축할 수 있습니다. SIEM 솔루션 및 HackerOne과 같은 플랫폼과의 추가 통합은 향후 몇 달 안에 출시될 예정입니다.