기업의 고민에 AhnLab EDR이 답하다

기업 및 기관의 보안 담당자들이 엔드포인트 보안 솔루션 운영 및 관리와 관련해 자주 질문하는 내용이다. 엔드포인트는 기업 및 기관의 중요 정보가 생성, 저장, 이동하는 영역인 동시에 운영체제, 소프트웨어 취약점뿐만 아니라 ‘사용자’라는 취약점이 존재하는 영역이다. 또 지능형 위협(Advanced Persistent Threat), 랜섬웨어 등 지난 수년 간 다양한 신종 보안 위협을 경험하면서 결국 모든 것은 ‘취약점’과 ‘악성코드’로 귀결된다는 결론을 얻었다.

현재 많은 기업 및 기관이 다양한 엔드포인트 보안 솔루션을 운영하고 있다. 그러나 이들 솔루션은 보안의 범위와 역할이 각기 다르다. 예를 들어, V3와 같은 백신(Anti-virus) 프로그램은 엔드포인트에 유입돼 피해를 입힐 수 있는 악성코드를 탐지하여 삭제하는 것이 주목적이다. NAC(Network Access Control)이나 매체제어(Device Control) 솔루션은 각각 보안 정책에 따라 단말 시스템을 네트워크로부터 차단하거나 USB 등의 매체가 단말에 연결되는 것을 방지하는 역할을 수행한다. 이 밖에도 조직의 비즈니스 성격에 따라 여러 가지 규제 준수를 위해 다양한 보안 솔루션이 도입, 운영된다.

이들 솔루션은 모두 각각의 목적과 역할에 따른 기능을 정상적으로 수행하고 그 결과를 보안 관리자에게 보여준다. 각각에 요구되는 보안 기능을 충실히 수행하는 솔루션으로, 다시 말해 보안 관리자가 원하는 만큼 적극적인 대응을 하기 위한 솔루션은 아니라는 의미다. 이러한 배경에서 엔드포인트 영역 전반에 걸친 모니터링과 위협 정보 수집, 대응 관점의 보안이 주목받기에 이르렀다. 이와 관련해 안랩은 최근 엔드포인트 위협 탐지•대응 솔루션 AhnLab EDR을 출시했다. 

‘EDR’은 무엇을 하는 솔루션인가?

엔드포인트 위협 탐지•대응 솔루션 EDR(Endpoint Detection and Response)은 기존 보안 솔루션과 달리 특정한 기능을 수행하기 위한 목적보다는 엔드포인트에서 발생하는 다양한 이벤트와 보안 위협에 대해 가시성을 제공함으로써 보안 관리자가 어떻게 대응하는 것이 좋을지 신속하게 의사 결정을 하고 능동적으로 조치할 수 있게 하는 것이 핵심이다.

글로벌 IT전문 리서치 기관 가트너(Gartner)는 EDR에 대해 “엔드포인트 보안을 위한 추가 도구(tool)로, 안티바이러스 등 기존 보안 솔루션과의 연계를 통해 시너지 효과를 발휘한다”고 설명한다. 기존 보안 솔루션들 사이의 빈 공간(gap)을 최소화함으로써 고도화되는 보안 위협에 대한 조직의 ‘위협 대응력(resilience)’을 향상시키는 것이 EDR의 역할이라 할 수 있다. 또한 EDR이 제 몫을 다하기 위해서는 다양한 엔드포인트 환경에 대한 이해와 그에 따른 보안 위협 대응 역량과 기술을 갖춰야 한다는 의미이기도 하다. 이것이 안랩 EDR 출시에 이목이 집중되는 이유다.

안랩 EDR은 지난 30년 간 축적된 안랩의 악성코드 분석 기술과 엔드포인트 보안 대응 경험이 집약된 차세대 엔드포인트 보안 솔루션이다. 지속적인 모니터링을 기반으로 실제 엔드포인트 영역에서 발생하는 모든 위협 정보를 수집해 위협 가시성 기반의 진일보한 위협 대응을 제공한다.

AhnLab EDR, 무엇이 다른가

안랩 EDR의 목적을 한 마디로 정의한다면 “엔드포인트 보안 위협 가시성 확보를 통한 적극적인 위협 대응”으로 요약할 수 있다.

‘엔드포인트 보안 위협 가시성을 제공한다’는 표현은 폭넓게 해석될 수 있다. 안랩 EDR은 V3에 적용된 국내 최초의 독자적인 행위 기반 분석 엔진인 MDP 엔진을 통해 엔드포인트의 실제 운영체제 기반의 모든 행위 정보를 탐지, 수집, 저장, 분석한다. 이와 함께 엔드포인트 위협 이벤트의 타임라인 분석을 통해 위협의 유입 경로, 종류, 목표(target), 행위, 내부 확산 여부 등에 대한 상세한 정보를 제공한다.

또한 [그림 1]과 같은 연관 관계 다이어그램을 제공해 탐지된 악성코드나 의심스러운 행위를 하는 파일 및 프로세스를 기준으로 보안 침해 탐지 및 조사를 수행할 수 있게 한다. 보안 관리자는 안랩 EDR이 제공하는 연관 관계 다이어그램을 통해 현재 엔드포인트에서 발생한 위협뿐만 아니라 관련 파일, 레지스트리, 프로세스, 네트워크 연결 등에 대한 연관 관계를 한 눈에 확인 할 수 있다. 

[그림 1]과 같이 엔드포인트에서 발생한 위협의 연관 관계를 다이어그램으로 보여주기 때문에 보안 관리자는 해당 위협이 언제, 어디서, 어떻게 유입되었는지 파악할 수 있다. 기존의 엔드포인트 보안 환경에서 보안 관리자는 어떤 악성코드가 탐지되었는지 결과만 볼 수 있었다. 그러나 안랩 EDR을 통해 엔드포인트 보안 위협에 대한 상세한 가시성을 확보함으로써 위협과 관계된 것을 한눈에 볼 수 있으며, 그에 따른 대응을 신속하게 결정할 수 있을 뿐만 아니라 보다 적극적인 대응이 가능하다.

엔드포인트 보안 플랫폼 기반의 EDR 운영을 통한 신속한 위협 대응

안랩 EDR은 차세대 엔드포인트 보안 플랫폼인 안랩 EPP(AhnLab EPP, Endpoint Protection Platform)를 기반으로 손쉽게 구축 및 운영할 수 있다.

위협 대응 의사결정 시 보안 관리자는 EDR을 통해 수집한 해당 위협과 관계가 있는 파일, 레지스트리, 프로세스, 네트워크 정보 등을 안랩에 전달해 상세 분석을 요청할 수도 있다. [그림 2]와 같이 웹 브라우저를 통해 EDR 관리 서버인 안랩 EPP에 접속해 분석이 필요한 파일에 대해 직접 파일 수집 명령을 내려 엔드포인트 단말에 위치한 대상 파일을 운영자 PC로 내려 받을 수 있다.

 

이전에는 보안 관리자가 엔드포인트에 있는 파일을 수집할 때 원격 접속을 하거나 해당 시스템이 위치한 곳까지 물리적으로 이동하여 USB 또는 이메일을 통해 옮겨야 했다. 그러나 보안 관리자가 웹 기반의 EPP 관리 서버에 접속할 수 있는 환경이라면 언제, 어디서든 쉽고 빠르게 의심 파일에 대한 수집 및 분석 진행이 가능하다.

안랩 EDR의 관리 서버인 안랩 EPP는 엔드포인트의 파일을 수집하여 분석을 하는 동안 의심스러운 프로세스에 대한 종료 기능도 제공한다. 예를 들어, 정상으로 판정된 파일임에도 불구하고 취약점에 의해 악성코드를 반복적으로 다운받고 있다면 해당 취약점의 보안 패치를 적용하기 전까지는 해당 파일의 프로세스를 강제로 종료해야만 한다. 이 경우, 안랩 EPP 관리 콘솔을 통해 손쉽게 원격지 엔드포인트에 있는 프로세스를 종료할 수 있다. 

어떤 엔드포인트 시스템에서 의심 파일에 대한 수집, 프로세스 종료 등의 작업을 수행하고 있을 때 동시에 새로운 악성코드에 감염되어 위험한 행위가 백그라운드에서 수행되고 있을 수도 있다. 이와 관련해 안랩 EDR은 의심 시스템에 대한 네트워크 완전 차단 기능을 제공한다. 안랩 EPP 서버와의 통신을 제외한 모든 네트워크 연결을 차단해 안전하게 격리된 환경을 구성함으로써 이후 다양한 대응 조치를 수행할 수 있다. 또한 추가적인 보안 침해 여부를 조사하기 위해 해당 시스템의 아티팩트(Artifact)를 수집하는 기능도 제공한다.

[그림 4] 네트워크 완전 차단 가능

또한 안랩 EDR은 [그림 5]와 같이 다양한 행위 정보 수집 기능을 제공해 잠재적인 위협 대응에 기여한다. 특히, 외부 기관으로부터 실제 침해사고에 활용된 파일 정보(파일이름, 해쉬 값 등), 네트워크 정보를 공유 받는 경우에는 안랩 EDR을 통해 조직 내부에 해당 파일과 동일한 파일을 갖고 있거나 관련 네트워크에 접근한 엔드포인트 시스템이 있는지 검색할 수 있다.

V3를 EDR 에이전트로… 관리 부담은 줄이고 효과는 극대화

적게는 수십에서 많게는 수백, 수천 대의 시스템으로 구성된 엔드포인트에서 발생하는 수많은 위협 행위를 모니터링하고 정보를 수집하기 위해서는 에이전트가 필요하다. 그러나 이미 다수의 보안 솔루션이 엔드포인트에 설치되어 있는 상황에서 에이전트를 추가 설치하는 것은 엔드포인트 시스템의 성능 저하 문제나 기존 애플리케이션과의 충돌을 야기할 우려가 있다. 또 다수의 보안 솔루션 운영과 관련된 다수의 관리 콘솔이 존재하는 상황에서 관리 콘솔을 추가로 구성하는 것도 보안 관리자에게는 상당한 부담이다. 실제로 여러 외산 EDR 솔루션이 국내 시장에 진출했지만 이러한 이유로 고객 확보에 어려움을 겪고 있다.

안랩은 지난 2년여 간 다양한 고객의 피드백을 수집, 별도의 에이전트를 설치하는 방식이 아닌 기존 V3를 활용하는 방식으로 개발했다. 즉, V3가 안랩 EDR 에이전트가 되는 셈이다. 기존에 V3 제품을 이용 중인 고객사에서는 엔드포인트 시스템의 성능 저하나 안정성에 대한 부담 없이 손쉽게 EDR을 구축, 운영할 수 있다.

다수의 글로벌 인증 기관에서 세계 수준의 성능을 인정받고 있는 V3는 악성코드가 엔드포인트에 침입하거나 악성 행위가 발생하는 순간 이를 탐지하고 차단하는 ‘실시간 감시’ 기능을 제공하고 있다. 실시간 감시를 수행하기 위해 V3는 이미 엔드포인트 상의 다양한 위협 경로에 대해 모니터링을 수행하고 있다. 이처럼 V3가 모니터링하고 있는 데이터를 기반으로 안랩 EDR은 엔드포인트의 위협 정보를 수집•저장하고 분석한다.

플랫폼 기반의 EDR 운영으로 더 강력한 위협 대응

대부분의 EDR 솔루션은 엔드포인트의 다양한 위협과 관련된 파일을 비롯해 레지스트리, 프로세스, 네트워크 연결 등 수많은 행위 정보를 모니터링하고 수집하여 관리 서버에 저장한다. 이렇게 저장된 상당한 양의 데이터를 유의미한 ‘정보’로 제공하기 위해 여러가지 기술을 이용한 분석 작업이 수행된다. 문제는 다수의 엔드포인트에서 발생하는 수많은 데이터를 저장하고 분석하기에는 기존의 관계형 데이터베이스 기반의 매니지먼트 시스템(RDBMS)으로는 한계가 있다는 점이다. EDR 에이전트가 위협과 관련된 행위 정보를 수집하여 전달하더라도 기존의 일반적인 관리 서버가 이를 받아서 저장하고 시의적절하게 분석할 수 없다면 아무 의미가 없다. 

바로 이러한 이유로 안랩은 EDR에서 수집된 많은 데이터를 효율적으로 저장•분석하기 위해 데이터를 병렬 분산 처리할 수 있는 빅데이터 기반의 플랫폼을 개발, 안랩 EDR과 함께 출시했다.

새롭게 출시된 엔드포인트 보안 플랫폼 안랩 EPP는 단순히 EDR만을 위한 관리 솔루션은 아니다. 안랩 EPP는 EDR은 물론, V3 제품, 안랩 패치 매니지먼트(AhnLab Patch Management), 안랩 프라이버시 매니지먼트(AhnLab Privacy Management), 안랩 내PC지키미 등 다양한 안랩의 엔드포인트 보안 솔루션을 단일 관리 콘솔을 통해 효율적으로 운영할 수 있는 플랫폼이다. 다수의 엔드포인트 보안 솔루션의 연계를 통해 유연한 보안 관리와 더욱 강력한 위협 대응을 제공한다.

안랩 EDR과 안랩 EPP는 고객에 의해 만들어졌다고 해도 과언이 아니다. 지금까지 안랩과 함께 엔드포인트 보안 체계를 마련, 운영해 온 수많은 고객들의 의견과 고민에서 시작된 솔루션들이기 때문이다. EDR, EPP 출시로 엔드포인트에 대한 지속적인 모니터링을 수행하고 위협 정보를 수집•저장하여 분석할 수 있는 환경이 마련되었기 때문에 안랩은 앞으로 더욱 고객의 요구사항을 수렴하고 반영함으로써 더욱 진일보한 위협 대응을 제공할 예정이다.​