XDR(확장형 탐지 및 대응)이란?

XDR의 정의

XDR(Extended Detection and Response)은 여러 보안 영역에서 발생한 데이터를 한곳으로 수집하고 연관성을 분석해 위협을 탐지, 조사, 대응하는 보안 기술이다.

EDR이 엔드포인트의 의심스러운 행위를 중심으로 탐지한다면, XDR은 탐지 범위를 엔드포인트 바깥까지 확장한다. 이메일, 네트워크, 서버, 클라우드 워크로드, ID, SaaS 애플리케이션 등에서 발생하는 이벤트를 함께 분석한다. 핵심은 데이터를 얼마나 많이 모으느냐가 아니라, 서로 다른 보안 솔루션에서 개별적으로 탐지된 이벤트가 실제로는 하나의 공격 흐름에 속해 있는지를 판별하는 데 있다.

예를 들어 한 사용자가 피싱 메일을 열었고, 이후 같은 계정으로 평소와 다른 위치에서 로그인이 발생했으며, 그 계정이 클라우드 저장소의 민감 파일에 접근했다고 가정해보자. 이메일 보안 솔루션은 의심 메일을, ID 보안 솔루션은 비정상 로그인을, 클라우드 보안 솔루션은 파일 접근 기록을 각각 개별적으로 탐지한다. 보안 담당자가 세 가지 알림을 따로 확인하면 이를 하나의 사건으로 인지하기 어렵다.

XDR은 이러한 개별 이벤트를 연관 분석해 단일 사건으로 식별한다. 그 결과 보안팀은 “알림이 3건 발생했다”가 아니라 “피싱으로 시작된 계정 탈취가 클라우드 데이터 접근으로 이어질 수 있다”는 공격 전체 맥락을 파악할 수 있다. 이 차이가 XDR의 핵심이다.

XDR이 필요한 배경

1. 공격 표면의 확장

오늘날의 기업 IT 환경은 온프레미스와 클라우드, SaaS 애플리케이션, 원격 접속이 혼재된 형태로 분산되었다. 사용자의 접속 위치와 업무 시스템의 위치도 더 이상 고정되어 있지 않다. 이 변화로 공격 표면은 더 이상 엔드포인트에만 머물지 않는다. 위협이 발생하거나 확산될 수 있는 지점이 여러 환경으로 넓어졌고, 이 때문에 보안팀은 특정 엔드포인트나 내부 네트워크만 보는 방식으로는 위협을 충분히 파악하기 어렵다. 여러 영역에서 발생한 이벤트를 함께 연결해야 공격의 전체 경로를 파악할 수 있다.

2. 솔루션 간의 단절로 인한 탐지 사각지대

개별 보안 솔루션은 각자 담당하는 영역 내에서만 위협을 탐지한다. 솔루션 간 연계 분석이 부족하면 하나의 공격이 여러 개의 무관한 이벤트처럼 보이고, 그 결과 보안팀은 공격의 시작점과 이동 경로를 파악하는 데 시간을 소요하게 된다. XDR은 분산된 이벤트를 하나의 공격 흐름으로 연결해 탐지 사각지대를 줄이고, MTTD(평균 탐지 시간)와 MTTR(평균 대응 시간)을 단축하는 데 목적이 있다.

3. 알림 과다로 인한 대응 지연

영역별로 도입한 솔루션이 늘어나면 보안팀이 확인해야 할 알림도 함께 증가한다. 문제는 이 알림 중 상당수가 중복 알림, 낮은 위험도의 이벤트, 오탐이라는 점이다. 이러한 알림이 과도하게 쌓이면 정작 중요한 위협이 일반 알림 사이에 묻혀 대응이 늦어질 수 있다. 이러한 한계를 보완하기 위해 XDR은 흩어진 알림과 이벤트를 하나의 공격 흐름 단위로 묶고, 위험도에 따라 우선순위를 부여한다. 이를 통해 보안팀은 우선 대응해야 할 위협을 더 빠르게 식별할 수 있다.

XDR의 주요 구성 요소

XDR은 여러 보안 영역의 데이터를 연결해 탐지, 분석, 대응까지 이어지도록 구성된다. 주요 구성 요소는 다음과 같다.

구성 요소	설명
데이터 수집	엔드포인트, 네트워크, 이메일, 클라우드, ID 등의 로그 및 이벤트 데이터 수집
데이터 정규화	서로 다른 형식의 로그와 이벤트를 분석 가능한 형태로 변환
상관 분석	관련 이벤트를 하나의 공격 흐름으로 연계 분석
위협 인텔리전스	공격 기법, 악성 IP, 도메인, 파일 정보 등을 탐지에 반영
행위 분석	정상적인 활동과 다른 이상 패턴 식별
우선순위화	심각도, 자산 중요도, 영향 범위 등을 기준으로 대응 우선순위 산정
대응 워크플로우	격리, 차단, 계정 조치, 티켓 생성 등 후속 대응 조치 지원

이 구성 요소들은 각각 따로 작동하기보다 하나의 탐지와 대응 흐름 안에서 연결된다. 데이터 수집 및 정규화를 거친 데이터는 상관분석을 통해 하나의 공격 흐름으로 연결되고, 위험도에 따라 우선순위가 산정돼 필요한 대응 조치로 이어진다.

XDR의 작동 방식

1. 여러 보안 영역에서 데이터 수집

XDR은 엔드포인트, 네트워크, 이메일, 클라우드, ID 등 다양한 보안 영역에서 발생하는 로그와 이벤트를 수집한다. 주요 수집 대상은 다음과 같다.

보안 영역 예시	수집 데이터 예시
엔드포인트	프로세스 실행, 파일 생성 및 변경, 악성 행위, 디바이스 상태
네트워크	비정상 통신, 내부 이동, 외부 C2 서버 연결 시도
이메일	피싱 메일, 악성 첨부 파일, 의심 URL
클라우드 및 워크로드	설정 변경, API 호출, 워크로드 활동, 데이터 접근 기록
ID 및 접근 관리	로그인 위치, 세션 사용 패턴, 권한 변경, 계정 이상 행위
SaaS 애플리케이션	사용자 활동, 앱 접근, 파일 공유, 비정상 데이터 접근

수집 범위가 넓을수록 공격자의 침투 경로를 더 정확하게 파악할 수 있다. 다만 데이터를 무조건 많이 모은다고 좋은 XDR이 되는 것은 아니다. 실제 탐지와 대응에 필요한 이벤트를 선별하고, 중복 데이터와 불필요한 알림을 줄이며, 공격과 관련 있는 흐름을 명확하게 보여줘야 한다.

2. 이벤트 상관 분석

XDR의 핵심은 상관 분석이다. 상관 분석이란 여러 보안 솔루션에서 개별적으로 발생한 이벤트를 하나의 사건으로 연결해 분석하는 과정이다.

예를 들어 다음과 같은 이벤트가 각 보안 영역에서 탐지됐다고 보자.

• 사용자가 의심스러운 이메일 링크를 클릭함
• 같은 사용자의 계정으로 해외 IP에서 로그인 시도가 발생함
• 해당 계정이 평소 접근하지 않던 클라우드 폴더를 열람함
• 엔드포인트에서 의심 프로세스가 실행됨

각 이벤트만 보면 위험도를 판단하기 어렵다. 하지만 시간 순서와 인과관계를 연결하면 피싱 메일 → 계정 침해 → 악성코드 실행 → 데이터 접근 시도로 이어지는 하나의 공격 체인일 수 있다. XDR은 이런 연계 분석을 통해 단편적인 알림들을 하나의 사건으로 묶어, 보안팀이 공격의 전체 흐름과 대응 우선순위를 빠르게 판단하도록 돕는다.

3. 위협 우선순위 판단

보안팀이 매일 받는 알림은 수백, 수천 건에 달한다. 모든 알림을 같은 수준으로 조사할 수는 없다. XDR은 여러 데이터를 종합해 위험도(Risk Score)를 판단하고, 우선적으로 대응해야 할 위협을 구분한다.

단순한 악성 파일 탐지보다 더 중요한 것은 공격 맥락(Context)이다. 탐지된 공격 자체의 심각도뿐 아니라, 영향받은 자산이 얼마나 중요한지, 어떤 사용자가 영향을 받았는지, 해당 계정에 어떤 권한이 있는지, 접근한 데이터가 민감한지, 동일한 공격 지표(IoC)가 다른 시스템에서도 발견되는지 등을 함께 봐야 한다. 이런 정보를 종합해야 해당 위협의 실제 위험도와 대응 우선순위를 판단할 수 있다.

4. 조사 및 대응 지원

XDR은 탐지에서 끝나지 않고 조사와 대응까지 이어진다. 여러 보안 영역에서 확인된 이벤트는 하나의 공격 흐름으로 연결돼 화면에 시각화된다. 보안팀은 각 솔루션의 로그를 시간 순서대로 일일이 대조하는 대신, 공격이 어디에서 시작됐고 어떤 시스템으로 이어졌는지 한눈에 파악할 수 있다.

공격 흐름을 확인한 뒤에는 대응 조치로 이어진다. 보안팀은 XDR을 통해 감염된 엔드포인트를 격리하거나, 의심 계정을 비활성화하거나, 악성 이메일을 삭제하거나, 차단 정책을 적용할 수 있다.

자동 대응 기능도 함께 활용할 수 있다. 다만 모든 대응을 자동화하는 것은 위험할 수 있다. 반복적이고 영향 범위가 낮은 조치는 자동화할 수 있지만, 계정 차단이나 서버 격리처럼 업무 영향이 큰 조치는 분석가의 검토가 필요하다.

Case Study

골프존 랜섬웨어 사례로 본 AhnLab XDR 활용 전략

Article

내부자 위협으로부터 기업을 보호하는 AhnLab XDR

FAQ