엔드포인트 보안(Endpoint Security)란 무엇인가?

엔드포인트 보안의 정의

엔드포인트는 네트워크에 연결되는 끝단 기기이다. 사용자가 파일을 열고, 업무 시스템에 접속하고, 데이터를 주고받는 지점이기도 하다. PC와 노트북뿐 아니라 서버, 모바일 기기, POS 단말, VDI(Virtual Desktop Infrastructure), 일부 IoT·OT 기기도 엔드포인트에 포함된다.

엔드포인트 보안(Endpoint Security)은 이러한 기기에서 발생하는 위협을 예방, 탐지, 분석, 대응하는 보안 체계이다. 파일 실행, 프로세스 동작, 네트워크 연결, 사용자 행위, 악성코드 감염 징후를 확인하고 위험한 행위가 발견되면 차단하거나 조사할 수 있도록 돕는다.

과거에는 엔드포인트 보안을 백신 또는 안티바이러스(Antivirus)와 같은 의미로 보는 경우가 많았다. 알려진 악성 파일을 찾아내고 삭제하는 일이 중심이었기 때문이다. 지금은 범위가 더 넓어졌다. 공격자는 악성코드만 사용하지 않는다.

파워셸(PowerShell), WMI(Windows Management Instrumentation), 원격 데스크톱, 원격 관리 도구는 원래 시스템 관리와 업무 지원에 쓰이는 정상 기능이다. 하지만 공격자가 계정을 탈취해 이런 도구를 실행하면 겉으로는 정상 작업처럼 보일 수 있다. 이 경우 파일 검사만으로는 공격 흐름을 확인하기 어렵다.

엔드포인트 보안은 단순한 차단 도구가 아니다. 기기에서 실제로 어떤 일이 일어났는지 보여주는 관찰 지점이다. 보안팀은 이 정보를 바탕으로 감염 범위를 확인하고, 침해가 의심되는 기기를 격리하며, 같은 행위가 다른 기기에서도 발생했는지 추적한다.

엔드포인트가 공격의 출발점이 되는 이유

업무 환경이 바뀌면서 엔드포인트의 역할도 달라졌다. 사용자는 회사 노트북으로 이메일을 확인하고, 브라우저로 SaaS에 접속하며, VPN이나 ZTNA(Zero Trust Network Access)를 통해 내부 시스템에 들어간다. 재택근무, 클라우드 서비스, 협력사 접속, 모바일 업무가 함께 운영되면서 엔드포인트는 공격자가 노리기 쉬운 접점이 됐다.

공격자는 보안 장비를 직접 우회하기보다 사용자를 속여 악성 첨부 파일 실행이나 링크 접속을 유도할 수 있다. 브라우저에 저장된 인증 정보나 세션 토큰을 탈취하거나, 패치되지 않은 원격 접속 도구를 악용해 내부 시스템에 침입할 수도 있다.

Verizon 2025 Data Breach Investigations Report는 침해의 주요 초기 접근 경로로 자격 증명 악용과 취약점 악용을 제시한다. 특히 취약점 악용은 전년 대비 증가했으며, VPN·엣지 장비·원격 접속 환경이 주요 공격 표면으로 계속 활용되고 있다. 이는 엔드포인트 보안이 악성코드 탐지만으로 끝나서는 안 된다는 점을 보여준다. 보안팀은 계정 사용, 취약점, 원격 접속, 기기 행위를 함께 확인해야 공격 흐름을 더 정확히 파악할 수 있다.

엔드포인트 보안이 다루는 주요 위협

악성코드와 랜섬웨어

랜섬웨어는 엔드포인트 보안이 가장 직접적으로 마주하는 위협이다. 공격자는 먼저 한 대의 기기를 감염시킨 뒤 내부 공유 폴더, 백업 저장소, 파일 서버로 접근한다. 이후 파일 암호화와 정보 탈취를 함께 시도할 수 있다.

문제는 랜섬웨어 실행 시점에만 대응하면 늦을 수 있다는 점이다. 보안팀은 암호화 파일 자체보다 앞선 행위를 봐야 한다. 비정상적인 대량 파일 변경, 백업 삭제 명령, 계정 정보 수집, 원격 실행 도구 사용, 내부 이동 시도 같은 전조 행위를 봐야 한다. 감염이 의심되는 기기를 빠르게 격리하고, 같은 행위가 다른 기기에서도 반복됐는지 확인해야 피해 범위를 줄일 수 있다.

▶랜섬웨어 보안

피싱 이후의 침투

피싱은 메일 보안만의 문제가 아니다. 사용자가 첨부 파일을 실행하거나 가짜 로그인 페이지에 정보를 입력하면, 그다음 일은 엔드포인트와 계정 영역에서 벌어진다. 공격자는 사용자 기기에서 브라우저 저장 정보, 세션 토큰, 인증 앱 정보, 내부 시스템 접속 기록을 찾을 수 있다.

세션 토큰은 사용자가 로그인 상태를 유지하도록 돕는 값이다. 공격자가 이를 탈취하면 비밀번호를 몰라도 해당 사용자처럼 서비스에 접근할 수 있다. 그래서 엔드포인트 보안은 파일 검사에만 머물러서는 안 된다. 브라우저 동작, 인증 정보 접근, 의심스러운 프로세스 실행, 비정상 네트워크 연결까지 추적해야 한다.

취약점 악용과 권한 상승

패치되지 않은 운영체제, 브라우저, VPN 클라이언트, 원격 관리 도구는 공격자가 자주 확인하는 대상이다. 공격자는 취약점을 악용해 코드를 실행하고, 해당 기기에서 더 높은 권한을 얻으려 한다. 권한이 높아지면 보안 도구를 중지하거나 로그를 지우거나 다른 시스템으로 이동하기 쉬워진다.

엔드포인트 보안은 악성 파일 탐지뿐 아니라 기기의 패치 상태, 취약한 소프트웨어, 권한 상승 시도, 비정상 명령 실행을 함께 확인해야 한다. 취약점 관리와 행위 탐지가 분리돼 있으면 공격자가 실제로 어떤 기기에서 어떤 권한을 얻었는지 파악하기 어렵다.

정상 도구를 악용하는 공격

공격자는 PowerShell, WMI, 원격 데스크톱, PsExec, 관리용 스크립트 같은 정상 도구도 공격에 사용한다. 이 경우 파일 평판만으로 정상 작업인지 공격 행위인지 판단하기 어렵다.

관리자가 업무 시간에 서버 점검을 위해 PowerShell을 실행하는 것은 정상일 수 있다. 그러나 일반 사용자 PC에서 야간에 PowerShell이 실행되고, 외부 주소에서 스크립트를 내려받아 여러 내부 시스템에 접속한다면 상황이 다르다. 같은 도구라도 누가, 언제, 어디서, 어떤 명령을 실행했는지가 판단 기준이 된다.

엔드포인트 보안의 핵심 기능

예방

엔드포인트 보안의 기본 기능은 예방이다. 알려진 악성코드, 의심 파일, 악성 URL, 취약한 설정을 사전에 차단한다. 안티멀웨어, 행위 기반 차단, 애플리케이션 제어, 패치 관리, 디바이스 제어가 여기에 포함될 수 있다.

하지만 예방만으로 모든 공격을 막을 수는 없다. 공격자는 정상 도구를 쓰거나, 새로 만든 파일을 사용하거나, 계정 정보를 악용한다. 그래서 탐지와 대응 기능이 함께 필요하다.

탐지

탐지는 이미 발생한 의심 행위를 찾아내는 기능이다. 프로세스 생성, 파일 변경, 레지스트리 수정, 네트워크 연결, 권한 변경, 스크립트 실행 같은 이벤트를 수집하고 분석한다.

EDR(Endpoint Detection and Response)은 이 단계에서 중요한 역할을 한다. EDR은 엔드포인트의 행위를 기록하고, 의심스러운 흐름을 분석하며, 침해 범위를 추적할 수 있도록 돕는다.

대응

대응은 탐지 이후의 조치이다. 감염이 의심되는 기기를 네트워크에서 격리하고, 악성 파일을 삭제하고, 프로세스를 종료하고, 관련 IOC(Indicator of Compromise)를 다른 기기에 적용한다. 계정 탈취가 의심되면 비밀번호 초기화, 세션 만료, MFA(Multi-Factor Authentication) 재등록 같은 조치도 필요하다.

가시성

가시성도 중요하다. 보안팀이 관리되지 않는 노트북, 오래된 서버, 백신이 꺼진 PC, 패치가 밀린 단말을 모르면 우선순위를 정하기 어렵다. 특히 협력사 PC, 임시 업무용 단말, 개발·테스트 서버는 자산 목록에서 빠지기 쉽다. 엔드포인트 보안은 보호 기능만이 아니라 자산 식별과 상태 확인을 함께 요구한다.

EPP, EDR, XDR은 서로 어떻게 다른가?

EPP, EDR, XDR은 모두 엔드포인트 보안과 연결되지만 역할이 다르다.

구분	중심 역할	보안팀이 확인할 사항
EPP	알려진 위협 예방	파일이나 행위를 실행 전에 막을 수 있는가
EDR	엔드포인트 행위 탐지와 대응	감염 이후 어떤 일이 일어났고 어디까지 번졌는가
XDR	여러 보안 영역의 신호 연결 분석	엔드포인트, 네트워크, 이메일, 계정, 클라우드 신호가 하나의 공격 흐름인가

EPP(Endpoint Protection Platform)는 기본 방어선에 가깝다. 악성 파일 차단, 행위 기반 탐지, 정책 관리, 취약 설정 통제 등을 담당한다. 조직은 EPP를 통해 여러 엔드포인트의 기본 보호 상태를 일관되게 유지할 수 있다.

▶AhnLab EPP 제품 페이지 바로가기

EDR은 침해가 발생했거나 의심될 때 조사와 대응을 돕는다. 공격 흐름을 시간순으로 보고, 감염 기기를 격리하고, 유사 행위를 찾는다. 단순히 ‘악성 파일이 있었는가’가 아니라 ‘해당 파일이 실행된 뒤 어떤 일이 있었는가’를 확인하는 데 중점을 둔다.

▶AhnLab EDR 제품 페이지 바로가기

XDR(Extended Detection and Response)은 엔드포인트에서 한 걸음 더 나아간다. 공격은 엔드포인트에만 머물지 않는다. 피싱 메일에서 시작해 사용자 계정으로 SaaS에 접속하고, 클라우드 워크로드에 접근한 뒤 데이터를 빼낼 수 있다. XDR은 여러 보안 영역의 신호를 연결해 하나의 공격 흐름으로 볼 수 있게 한다.

▶AhnLab XDR 제품 페이지 바로가기

엔드포인트 보안과 네트워크 보안의 차이

엔드포인트 보안과 네트워크 보안은 서로를 대체하지 않는다. 두 영역은 같은 공격을 보더라도 확인하는 지점이 다르다.

네트워크 보안은 트래픽, 연결 흐름, 접근 제어를 중심으로 공격을 본다. 어떤 기기가 어떤 경로로 접속했는지, 비정상적인 통신이 있었는지, 차단해야 할 연결이 있는지를 확인한다.

엔드포인트 보안은 기기 안에서 일어난 실행 행위를 본다. 어떤 파일이 실행됐는지, 어떤 프로세스가 생성됐는지, 어떤 계정 정보가 사용됐는지, 로컬 파일이나 저장된 인증 정보에 접근했는지를 확인한다.

예를 들어 공격자가 내부 시스템으로 이동했다면 네트워크 보안은 이동 경로와 통신 대상을 보여줄 수 있다. 그러나 그 연결이 어떤 프로세스에서 시작됐는지, 사용자가 직접 실행한 파일인지, 탈취된 계정으로 실행된 명령인지는 엔드포인트에서 확인해야 한다.

엔드포인트 보안 운영 시 확인해야 할 기준

엔드포인트 보안을 도입하거나 점검할 때는 기능 목록만 비교해서는 충분하지 않다. 실제 운영에서는 어떤 알림을 누가 확인할지, 어떤 조건에서 격리나 계정 차단을 실행할지, 예외 단말은 어떻게 관리할지가 더 큰 문제가 된다.

먼저 보호 대상 자산을 정해야 한다. 임직원 PC만 볼 것인지, 서버와 VDI, 모바일, OT 단말까지 포함할 것인지에 따라 정책과 운영 방식이 달라진다. 보호 범위가 애매하면 관리되지 않는 단말이 생기고, 공격자는 이런 예외 단말을 통해 내부 시스템에 접근할 수 있다.

탐지 후 조치 기준도 필요하다. 악성 파일 차단, 네트워크 격리, 프로세스 종료, 계정 잠금, 포렌식 수집은 각각 업무 영향도가 다르다. 기준 없이 자동 격리를 적용하면 정상 업무가 중단될 수 있고, 모든 조치를 수동으로 검토하면 랜섬웨어 확산 속도를 따라가기 어렵다. 위험도와 업무 영향을 함께 고려해 자동 조치와 분석가 검토가 필요한 조치를 나눠야 한다.

계정 보안과의 연계도 중요하다. 엔드포인트에서 의심 행위가 발생했다면 해당 사용자의 SaaS 로그인, VPN 접속, 관리자 권한 변경, 비정상 위치 접근을 함께 봐야 한다. 제로 트러스트 관점에서도 기기 상태와 사용자 접근은 따로 볼 수 없다. 관리되지 않는 기기에서 정상 계정으로 접속하거나, 악성 행위가 감지된 기기에서 중요 시스템에 접근하려 한다면 접근 제한이나 추가 인증이 필요하다.

랜섬웨어 복구 준비도 함께 점검해야 한다. 엔드포인트 보안이 공격을 탐지해도 백업과 복구 절차가 준비돼 있지 않으면 업무 중단 시간이 길어진다. 백업이 실제로 복구 가능한지, 감염된 단말과 분리돼 있는지, 관리자 계정이 보호되고 있는지 확인해야 한다.

FAQ

안랩의 엔드포인트 보안

안랩은 EPP, EDR, XDR을 중심으로 엔드포인트 보호와 침해 대응, 보안 신호 연계 분석을 함께 지원한다. AhnLab EPP는 단일 에이전트와 단일 관리 콘솔 기반으로 여러 엔드포인트 보안 기능을 운영할 수 있도록 지원하며, 보안팀이 업무용 PC와 서버의 정책 적용, 위협 탐지, 대응 현황을 한곳에서 확인할 수 있게 한다.

엔드포인트 보안은 ZTNA, 계정 보안, XDR과도 연결된다. 사용자가 어떤 기기에서 접속했는지, 그 기기가 신뢰할 수 있는 상태인지, 의심 행위가 다른 보안 영역으로 이어지는지를 함께 봐야 하기 때문이다. 원격근무와 클라우드 사용이 늘어난 환경에서는 엔드포인트 신호를 접근 제어와 연계 분석 체계 안에서 함께 다루는 것이 중요하다.

Article

2026 엔드포인트 보안 프레임워크: ZTNA부터 XDR까지