안녕하세요.
강준수입니다.
오늘은 EDR에 대해서 얘기해보겠습니다.
요즘은 EDR이라는 단어, 모르는 분들 없을거라고 생각이 되는데요.
먼저, 예전 기업 보안의 중심은 백신(Vaccine, AV)이었습니다.
백신이 뭐냐... 굳이 설명드리자면 악성코드를 탐지하고 차단하는 방식이 기본이었고,
실제로 한동안은 이 구조만으로도 어느 정도는 악성코드 대응이 가능했습니다.
하지만 최근 공격 방식은 완전히 달라졌거든요.
이제 공격자들은 단순한 악성코드 실행보다
1. 정상 프로세스를 악용하거나
2. 이미 존재하는 시스템 도구를 활용하는 방식으로 움직입니다.
즉, “악성 파일 하나를 잡으면 끝나는 시대”가 아니라는 의미입니다.
이 흐름 속에서 중요해진 것이 바로 EDR(Endpoint Detection & Response)입니다.
제가 이전 글에서도 언급한 적이 있지만 패턴화된 악성코드는 이제 정말 대부분 백신에서 잘 탐지해냅니다.
그래서 어떻게 보면 공격자들도 점점 업그레이드 될 수 밖에 없죠...
그런 상황입니다.
그럼 EDR은 기존 백신과 무엇이 다른가요?
기존 백신은 기본적으로 “이미 알려진 악성코드”를 탐지하는 구조에 가깝습니다.
말씀드렸지만요.
어쨌든 파일 시그니처나 패턴을 기반으로 탐지하기 때문에,
기존에 분석된 위협에는 강합니다. 그냥 하는 말이 아니라 이제는 정말 잘 잡습니다.
하지만 최근 공격은 이 방식을 우회하는 경우가 많습니다.
예를 들어 공격자가 악성코드를 파일 형태로 두지 않고 메모리에서만 실행하거나,
PowerShell 같은 정상 도구를 악용하는 경우 기존 백신은 탐지가 어려울 수 있습니다.
정상적인 도구니깐요. 당연합니다.
반면 EDR은
단순 파일이 아니라 “행위”를 봅니다.
즉,
- 어떤 프로세스가 실행됐는지
- 어떤 명령이 수행됐는지
- 어떤 파일 접근이 발생했는지
- 외부 통신은 어디로 갔는지
이런 흐름 전체를 추적합니다.
이와 관련해서 센티넬원 이라는 회사의 글을 하나 첨부드립니다.
https://www.sentinelone.com/ko/cybersecurity-101/endpoint-security/endpoint-protection-services/
왜 최근 공격에서 더 중요해졌을까하면요...
최근 랜섬웨어나 내부 침투 공격은 한 번에 끝나지 않습니다.
보통 이런 흐름으로 진행됩니다.
- 초기 침투
- 계정 탈취
- 내부 이동(Lateral Movement)
- 권한 상승
- 데이터 접근 및 암호화
즉, 공격자는 내부에 들어온 뒤 조용히 움직이면서 권한을 확대합니다.
문제는 이 과정에서 사용되는 도구들이 생각보다 “정상적”이라는 점입니다.
예를 들어:
- PowerShell
- PsExec
- 원격 데스크톱(RDP)
- WMI
원래 관리자도 사용하는 정상 기능들입니다.
그래서 단순 악성코드 탐지만으로는 놓치는 경우가 많습니다.
실제로 많이 나오는 공격 방식이 뭐가 있냐면요,
대표적인 것이 Living off the Land(LOLBins) 계열 공격입니다.
이건 공격자가 별도 악성코드 대신 운영체제에 원래 존재하는 도구를 이용하는 방식입니다.
즉, 보안 입장에서는 “정상 행동처럼 보이는 공격”이 됩니다.
이런 경우 EDR은 단순 파일이 아니라 행위 흐름 자체를 분석해서 이상 징후를 탐지합니다.
예를 들어:
- 일반적이지 않은 PowerShell 실행
- 비정상적인 프로세스 체인
- 새벽 시간대 관리자 권한 상승
- 대량 파일 접근 및 암호화 시도
이런 패턴을 기반으로 탐지하는 구조입니다.
그래서 EDR은 ‘탐지 이후’가 중요합니다.
EDR에서 중요한 건 단순 탐지가 아닙니다.
이름 그대로 Detection & Response 그렇다면, 즉, 탐지 이후 대응까지 포함됩니다.
예를 들어 의심 행위가 발생하면:
- 단말 격리(Isolation)
- 프로세스 종료
- 네트워크 차단
- 포렌식 로그 수집
이런 대응이 함께 이루어질 수 있죠.
현실적으로 왜 기업들이 도입하는가 생각해봤습니다..
최근 기업들이 EDR을 도입하는 이유는 단순합니다.
“이미 침투당할 수 있다는 걸 전제로 대응하기 때문”입니다.
예전에는 외부 침입을 막는 데 집중했다면,
지금은 “들어온 뒤 어떻게 움직이는가”
까지 추적해야 하는 시대가 됐습니다.
특히 재택근무, 클라우드, BYOD 환경이 늘어나면서
보안 경계 자체가 흐려졌기 때문에 엔드포인트 가시성이 더 중요해졌습니다.
하지만 EDR도 만능은 아닙니다.
많은 사람들이 EDR을 “설치하면 끝”이라고 생각하지만 현실은 다릅니다.
EDR은 로그와 이벤트를 굉장히 많이 생성합니다.
그래서 운영 과정에서는 다음 문제가 항상 따라옵니다.
- 오탐(False Positive)
- 과도한 알림(Alert Fatigue)
- 정책 튜닝 문제
- 분석 인력 부족
즉, 단순 도입보다 운영과 분석 체계가 훨씬 중요합니다.
또, 추가적으로 보자면 보안 업계에서는 EDR 만으로는 부족하다는 흐름도 강해지고 있습니다.
SIEM/NDR/XDR 같이 사용하는거죠.
엔드포인트 단위의 탐지만으로는 전체 네트워크 흐름이나 계정 기반 공격까지 완전히 보기 어렵기 때문이라고 합니다.
이것도 충분히 이해가 되는 이야기고요.
관련한 글 링크도 같이 두겠습니다.
https://stellarcyber.ai/ko/building-the-right-foundation-for-the-future-soc/
결론은 뭐냐면..
최근 공격은 더 이상 단순하지 않습니다. 정말입니다.
공격자는 정상 도구를 이용하고, 내부에서 조용히 움직이며, 최대한 탐지를 피하려고 합니다.
그래서 이제 보안은 “악성코드를 막는 것”을 넘어서
행위를 추적하고 대응하는 구조로 바뀌고 있습니다.
그리고 그 중심에 있는 것이 바로 EDR입니다.
결국 앞으로 중요한 건 단순 차단이 아니라
“내부에서 무슨 일이 벌어지고 있는지 볼 수 있는가”
이 능력이 될 가능성이 높습니다.
그런데 정말 필요하고, 도입하고 싶지만 그럴수 없는 경우가 있거든요.
.
.
.
바로 "예산 부족" 입니다.
돈만 있으면 벌써 다 도입했죠..
이제는 정말 기업에서 정보보호 예산 늘려줘야 될 때 라고 생각이 되네요.
사고터지면 그제서야 하는 척 하려고 하는 기업(의 경영진)들... 이제는 정말 바뀌어야 할 것 같습니다.
오늘은 여기까지 마치겠습니다.
'이슈' 카테고리의 다른 글
| 사람들이 점점 구글 검색을 안 하는 이유 (0) | 2026.05.11 |
|---|---|
| “AI도 해킹됩니다”… 프롬프트 인젝션 공격, 왜 위험할까 (0) | 2026.04.29 |
| 같은 AI 써도 왜 결과가 다를까… 잘 쓰는 사람 vs 못 쓰는 사람 차이 (0) | 2026.04.26 |
| 이 설정 하나로 계정 지킵니다 (0) | 2026.04.18 |
| 최초 해킹이 시도되는 곳, 바로 이겁니다. (0) | 2026.04.15 |