V3가 그려놓은 엔드포인트 보안의 ‘빅픽처’

안티바이러스 솔루션의 대명사이자 안랩의 대표 제품인 V3가 지난 6월 1일 탄생 30주년을 맞았다. 1988년 최초의 컴퓨터 바이러스인 ‘브레인’을 치료하기 위한 목적으로 배포된 V3는 이후 보안 위협의 변화에 맞춰 끊임없이 발전해왔다. 그 결과, V3는 다수의 해외 인증 기관에서 세계 최고 수준의 성능을 인정받고 있으며, 특히 최근에는 AV-TEST에서 올해 실시한 평가에서 전 세계 업체 중 유일하게 2회 연속으로 만점을 기록하는 쾌거를 이뤘다. 그리고 최근 백신(Anti-virus)을 넘어 차세대 엔드포인트 보안 솔루션으로 한발 더 내딛었다. 비단 보안 분야 종사자가 아니더라도 컴퓨터를 사용하고 있다면 누구나 알고 있는 V3. 그러나 많은 사람들이 아직 모르는 V3의 ‘핵심’을 지금 공개한다.

2018년은 V3가 탄생 30주년을 맞는 해이다. 그러나 안타깝게도 지금 ‘보안’이라는 무대의 주인공은 ‘백신’이 아니다. 최근 엔드포인트가 보안의 핵심 영역으로 재조명되고 있음에도 말이다. 현재 국내외 보안 분야의 최대 화두는 EDR이다. 바로 이 EDR 때문에 V3는 보안의 핵심 영역에서 그 어느 때 보다 더 ‘실력’을 발휘하고 있다.

EDR(Endpoint Detection and Response)이라는 기능 혹은 솔루션은 엔드포인트 영역의 지속적이며 연속적인 모니터링을 통해 위협과 관련된 정보를 수집, 분석함으로써 위협의 잠복 기간(Dwell Time)을 최소화하여 잠재적인 피해까지 방지하는 것을 목적으로 한다. 사실 EDR은 최근 등장한 개념은 아니다. EDR은 통상적으로 지난 2013년 글로벌 리서치 전문 기관인 가트너가 언급한 ETDR(Endpoint Threat Detection and Response)이 그 시작으로 받아들여진다.

AhnLab EDR도 마찬가지다. 제품의 출시가 2018년이었을 뿐, 엄밀히 말하면 안랩의 EDR은 V3 9.0 제품군의 출시를 앞두고 있던 지난 2012년부터 이미 시작됐다.

V3가 ‘MDP 엔진’과 ‘액티브 디펜스’로 그린 빅픽처, EDR

안랩은 지난 4월 엔드포인트 위협 탐지•대응 솔루션 AhnLab EDR을 출시했다. AhnLab EDR은 차세대 엔드포인트 보안 플랫폼 AhnLab EPP를 기반으로 V3와 연계돼 실제 엔드포인트의 운영체제(OS) 영역에서 발생하는 모든 행위 정보를 모니터링하고 수집, 분석한다. AhnLab EDR의 핵심 기술은 지난 2013년 새롭게 출시된 V3 제품군에 적용된 국내 최초의 행위 분석 엔진(MDP 엔진)과 액티브 디펜스(Active Defense) 기능에서 비롯됐다.

액티브 디펜스는 사전 방역의 일환으로, 고객의 보다 능동적인 위협 대응을 지원하기 위해 지난 2013년 새롭게 추가된 기능이다. 액티브 디펜스는 엔드포인트 시스템에서 동작 중인 프로세스, 최근 생성된 파일 등에 관한 정보를 제공한다. 또한 엔드포인트에 설치, 운영되는 프로그램에 대한 상세한 정보도 제공한다. 프로그램 버전, 관련 파일의 특성, 프로그램 의심 행위 이력, 다운로드 주소, 드롭퍼 주소, 평판 정보 등 알려지지 않은 신종 위협에 대한 정보를 제공해 보안 관리자가 허용 또는 차단을 판단함으로써 진단율과 사전 예방의 효과를 높이는 기능이다.

보안 관리자는 [그림 1]과 같이 액티브 디펜스가 제공하는 정보 중 ‘미확인’으로 표시된 프로세스 또는 파일을 확인하고 ‘파일 분석 보고서’를 통해 상세한 정보를 확인함으로써 해당 프로세스 또는 파일의 사용 여부에 대해 판단할 수 있다. 이것이 바로 2018년 AhnLab EDR의 근간이다.

[그림 1] V3의 액티브 디펜스 기능과 파일 분석 보고서

악성코드 대응 패러다임 변화의 상징, V3

V3가 EDR로 진화할 수 있었던 원동력은 V3의 과거부터 현재까지의 역사에서 찾을 수 있다. V3의 역사는 악성코드, 더 나아가 사이버 보안 위협 동향의 변화와 궤를 같이한다. 브레인 바이러스부터 예루살렘 바이러스, 미켈란젤로 바이러스를 거쳐 스파이웨어, 트로이목마(Trojan), 루트킷, 온라인 게임 핵, 최근 랜섬웨어까지 새로운 보안 위협이 나타날 때 마다 V3는 새로운 기술과 기능 개발로 이에 대응해왔다.

[그림 2] 보안 위협의 변화

V3로 대표되는 ‘백신(Anti-virus)’ 솔루션은 대략 7~8년전 불가결한 변화의 시기를 맞았다. 전통적인 악성코드 대응 패러다임은 우선 샘플(악성코드)을 확보하여 이를 분석한 후 시그니처를 제작, 백신 엔진에 적용하여 업데이트를 배포하는 방식이었다. 샘플 수집부터 엔진 배포까지 일련의 과정에서 일정 기간이 소요되고 그 기간 동안 일부에서 감염 피해가 발생할 수 있기 때문에 보안 업체들은 조금이라도 이 시간을 줄이고자 악성코드 샘플의 수집, 분석 기술을 개발하기 위해 노력했다.

그러나 공격자들 역시 새로운 기술을 개발하며 전통적인 방식의 백신의 탐지를 우회하는 신종 악성코드를 하루에도 수천, 수만 개씩 만들어내기 시작했다. 특히, 소프트웨어의 알려지지 않은 취약점을 이용하는 제로데이(zero-day) 공격이 급격히 증가했다. 하루가 다르게 악성코드의 종류와 동작 방식, 유포 방법이 점점 복잡해지고 지능화되자 분석가, 즉 사람의 힘으로 대응하기에는 중과부적의 상황에 이르렀다.

이에 보안 업체들은 클라우드 컴퓨팅 기반의 위협 수집 기술을 비롯해 행위 기반, 평판 기반, 또 분석가에 의한 수동 분석을 넘어 분석 시스템 자동화 등 다양한 기술을 개발, 도입하기 시작했다. 최근에는 인공지능(AI), 머신러닝 기술을 활용한 고도화된 분석 기술을 백신에 적용하고 있는 추세다.

V3의 핵심 기술과 인프라

10여년 전부터 악성코드의 수가 급증하는 움직임을 포착한 안랩은 지난 2010년 클라우드 컴퓨팅 기반의 위협 수집 및 분석 시스템인 ‘안랩 스마트 디펜스(AhnLab Smart Defense, 이하 ASD)’의 개발 및 구축을 완료했다. ASD를 통해 많게는 일일 평균 천 여개에 달하는 악성코드 샘플을 자동으로 수집, 자동 분석하는 한편, 이를 토대로 악성코드의 외형적 특징을 분류하여 지속적으로 데이터베이스(DB)를 축적했다. 그리고 새로운 V3 제품군을 출시한다.

안랩은 지난 2013년 개인용 V3 Lite 3.0에 이어 기업용 V3 인터넷 시큐리티 9.0(V3 Internet Security 9.0) 및 V3 엔드포인트 시큐리티 9.0(V3 Endpoint Security 9.0), V3 넷 포 윈도우 서버 9.0(V3 Net for Windows Server 9.0) 등 이른바 ‘뉴 V3(New V3)’ 제품군을 잇따라 선보였다.

ASD를 통해 수집, 축적된 악성코드 DB와 이를 통해 생성된 탐지 룰이 적용된 새로운 V3 제품군은 1개의 룰로 수십만 개의 악성코드를 즉각 진단할 수 있게 됐다. 뿐만 아니라 파일에 대한 평판 정보 조회를 통해 아직 시그니처가 생성되지 않은 알려지지 않은 위협까지 대응할 수 있게 됐다. 또한 안랩은 이보다 앞선 2012년, 악성코드의 동적 분석을 위해 네트워크, 파일, 레지스트리, 시스템, 프로세스 등 엔드포인트의 행위 정보를 수집, 의심 행위를 탐지 및 분석하는 행위 분석 엔진을 국내 최초로 개발, 새로운 V3 제품군에 적용했다. 이것이 바로 안랩의 다차원 분석 엔진 MDP(Multi-Dimensional Protection)이다.

[그림 3] 안랩 MDP 엔진 개념도

V3로 구체화된 안랩의 변화는 여기에서 그치지 않았다. ASD를 통해 지속적으로 수집, 축적된 위협 데이터는 국내 최대 규모의 DB와 네트워크를 통한 위협 인텔리전스(Threat Intelligence, TI)로, MDP 엔진은 머신러닝 기반의 다양한 분석 기술과 분석 자동화를 적용한 고도화된 행위분석 엔진으로 각각 발전한 것. 이들 기술의 연계는 다시 V3로 결실을 맺었다. 글로벌 인증 기관인 AV-TEST의 테스트에서 올해 전 세계 최초로 2회 연속 만점을 기록, 4회 연속 ‘최고 제품(Top Product)’으로 선정되는 영예를 누렸다.

V3 기반의 EDR, 엔드포인트에 ‘가시성’을 밝히다

V3가 액티브 디펜스와 MDP 엔진을 기반으로 엔드포인트단에서 실제 OS 기반의 모든 행위 정보를 수집, 탐지하고 상세한 정보를 제공하는 역할을 한다면, AhnLab EDR은 위협 이벤트 타임라인 분석을 통해 V3가 제공하는 정보들을 연계하여 공격의 흐름도와 공격의 단계별 정보를 제공한다. 공격의 흐름과 각 파일들의 관계를 [그림 4]와 같이 직관적인 트리 구조로 보여주고 대응 여부를 판단할 수 있는 상세한 정보를 제공한다. AhnLab EDR의 직관적인 위협 가시성을 통해 보안 관리자는 위협의 종류, 행위 및 공격 단계에 따라 적절한 대응 및 조치를 설정할 수 있다.

[그림 4] AhnLab EDR의 직관적이며 상세한 위협 가시성

AhnLab EDR의 위협 가시성은 보안 관리자가 쉽게 이해할 수 있는 정보를 제공하는데 초점을 맞췄다. EDR이라는 솔루션은 수많은 엔드포인트 시스템을 모니터링하고 정보를 수집하여 보여주는 역할을 한다. 그러나 넘치는 것은 부족한 것과 다를 바 없다는 과유불급(過猶不及)의 예처럼, EDR이 제공하는 수많은 정보가 오히려 시의적절한 대응을 결정하는데 어려움을 줄 수 있다. AhnLab EDR은 엔드포인트의 모든 행위 정보를 수집, 저장하고 위협의 유입 경로를 추적, 분석하여 구체적이면서도 명확한 정보를 일목요연하게 제공함으로써 보안 관리자의 신속하고 정확한 판단을 지원한다.

우리는 ‘소음(Noise)’과 ‘소리(Signal)’를 분명하게 구분할 수 있어야 한다. 별 다른 가치 없이 큰 소리에 불과한 소음은 난청과 같은 심각한 리스크를 불러올 수 있다. 보안 위협 대응도 마찬가지다. 효과적인 대응과 피해 예방을 위해 위협에 대한 제대로 된 이해를 제공할 수 있는 올바른 위협 가시성이 가장 중요하다.

대응의 변화: V3와 EDR의 연계

용어 자체가 의미하고 있는 것처럼 EDR은 가시성 기반의 위협 탐지(Detection)뿐만 아니라 대응(Response)이 중요한 축이다. 특히, 수많은 엔드포인트 시스템을 모니터링하고 위협 정보를 제공하는 EDR을 이용해 위협에 효과적으로 대응하려면 운영과 사용의 편의성이 담보되어야 한다.

AhnLab EDR은 도입이 쉽고 간편하며, 기존 환경에서 시스템 충돌 없이 안정적으로 운영할 수 있다. 기존에 V3를 이용 중인 고객사라면 차세대 엔드포인트 보안 플랫폼인 AhnLab EPP를 통해 라이선스를 추가하는 것만으로 즉시 EDR을 도입할 수 있다. 또한 V3에서 시작된 AhnLab EDR은 엔드포인트 영역을 모니터링하기 위해 추가로 커널드라이버를 설치할 필요가 없으며, 그에 따라 엔드포인트 성능 부담이 적다는 점이 다른 EDR 대비 강점으로 꼽힌다.

AhnLab EPP를 통해 다수의 안랩 엔드포인트 보안 제품을 단일 에이전트(One Agent), 단일 관리 콘솔(Single Management Console) 기반으로 손쉽게 연계하여 통합적인 위협 대응이 가능하다는 점도 AhnLab EDR의 매력이다. 기존의 개별 보안 솔루션 중심의 위협 대응에는 한계가 존재한다. 최신 보안 위협이 복잡다단한 양상을 보이는 만큼 이제 위협 대응 또한 플랫폼을 기반으로 다수의 보안 기능과 솔루션을 유기적으로 연계하여 대응하는 것이 필수다. 안랩이 V3와 EDR을 AhnLab EPP와 함께 제공하는 이유다.

한편 안랩은 올해 V3 탄생 30주년을 맞아 사용 편의성을 한층 강화하고, 현재 가장 심각한 위협인 랜섬웨어의 피해를 최소화하는 기능을 중심으로 UI를 전면 개편하는 등 또 다른 변화를 준비하고 있다. 최신 트렌드에 맞춰 또다시 새로워질 V3는 올해 개인용 V3 제품을 필두로 내년 기업용 제품까지 순차적으로 공개될 예정이다. ​