보안 가시성 확보가 핵심, R사의 EDR 구축 성공기

개요

R사는 국내 최대 수준의 유통·서비스 네트워크를 바탕으로 다양한 신용카드 상품과 서비스를 제공하는 대표 금융사다. 금융 산업 특성상 강력한 보안 체계 구축이 필수적인 가운데, R사는 반복적으로 발생한 랜섬웨어 공격으로 인해 업무 중단과 대응 지연을 겪었다.

기존 다계층 보안 체계를 운영하고 있었지만, 정상 행위를 위장하거나 합법적인 도구를 악용하는 공격 방식이 증가하면서 단순 악성코드 탐지만으로는 한계가 드러났다. 이에 R사는 엔드포인트에서 발생하는 행위를 정밀하게 분석할 수 있는 보안 가시성 확보를 핵심 과제로 설정하고, AhnLab EDR 도입을 통해 알려지지 않은 위협까지 탐지·대응할 수 있는 기반을 마련했다.

[그림 1] AhnLab EDR의 핵심 가치와 기능 요약

솔루션 도입 배경

1. 알려진 위협 중심 대응의 한계

R사는 시그니처·정책 기반 보안만으로는 최신 랜섬웨어를 효과적으로 차단하기 어려웠다. 사용자 PC를 중심으로 감염이 반복되며 업무 중단이 발생했고, 유입 경로와 감염 원인을 분석할 수 있는 행위 기반 가시성 부족이 주요 문제로 확인됐다.

2. 업무 효율성을 유지하면서 고도화된 위협 대응 필요

랜섬웨어 공격이 지능화되면서 단순 차단을 넘어 미탐 위협 탐지, 공격 흐름 분석, 재발 방지 체계 구축에 대한 요구가 커졌다. 그러나 기존에 검토한 DRM, 문서 중앙화, 전통적 랜섬웨어 대응 솔루션은 업무 절차 복잡화, 제한적인 가시성, 분석 정보 부족 등의 한계로 보안과 업무 효율을 동시에 만족시키기 어려웠다.

3. 내부 사용자 행위 가시성 부족

랜섬웨어 공격은 사용자 행위와 공격자의 준비 단계가 결합돼 발생하지만, 기존 체계로는 접속 목적, 웹사이트 접근 이력, 피싱 노출 여부 등 기본적인 사용자 행위를 파악하기 어려웠다. 이로 인해 보안 정책 개선을 위한 객관적 근거 확보에도 한계가 있었고, 내부 거점 확보 위험이 지속됐다.

솔루션 구축 및 운영 현황

R사는 인터넷망과 내부 업무망을 분리한 환경을 운영하고 있으나, 업무 특성상 외부 정보 반입과 일부 시스템의 외부 연계가 불가피한 구조적 제약이 있었다. 이에 인터넷망과 업무망 전반에 AhnLab EDR을 적용해 엔드포인트 행위 기반 분석 체계를 구축했다.

AhnLab EDR은 랜섬웨어를 포함한 악성코드 행위뿐 아니라, 감염 전·후의 사용자 행위와 공격자의 초기 침투 시도까지 종합적으로 분석해 전체 공격 흐름을 가시화한다. R사는 이를 기반으로 인터넷망과 업무망 각각의 특성에 맞춰 비정상 접속, 사용자 행위, 내부·외부 간 유입·유출 이벤트 등을 상시 모니터링하며 보안 운영 체계를 강화하고 있다.

[그림 2] R사의 AhnLab EDR 도입 현황

도입 효과

1. 신속한 유입 경로 파악과 복구 체계 확보

AhnLab EDR 도입 이후, 기존 보안 솔루션에서 탐지하지 못한 경우에도 대량 파일 변경 등 의심 행위와 사용자 행위를 연계 분석해 랜섬웨어 유입 경로를 효과적으로 추적할 수 있게 됐다.

또한 C2 통신 정보 기반의 즉각적인 방화벽 차단과 스냅샷 복구 기능을 통해 감염 이전 시점으로 원격 복구가 가능해지며, 단말 정상화 시간과 업무 중단 시간을 크게 줄였다.

2. 내부 사용자 행위 가시성 및 보안 정책 고도화

AhnLab EDR은 악성코드 탐지를 넘어 내부 사용자 행위 전반에 대한 가시성을 제공한다. 이를 통해 비인가 SSH·RDP 접속 시도, 내부 시스템의 비정상 행위 패턴 등을 조기에 식별할 수 있었으며, 실제 공격으로 이어질 수 있는 징후에 대해 선제 대응이 가능해졌다.

R사는 이러한 분석 결과를 바탕으로 접근 정책과 업무 절차를 재정비하며, 단말과 사용자 행위를 아우르는 보안 운영 체계를 한층 고도화했다.

[그림 3] 악성 레지스트리 등록을 통한 공격 지속성 시도와 AhnLab EDR 대응

▶ R사 AhnLab EDR 도입 사례 PDF 다운로드