단 하나의 기기도
공격의 통로가 되지 않도록

EDR 도입 전,
이것만 확인하세요

• Q. EDR 솔루션은 기존 백신과 함께 사용할 수 있나요? 백신과 EDR의 차이점은 무엇인가요?
  A. 네. EDR(엔드포인트 탐지 및 대응) 솔루션은 제품 간 호환성이 확보된 경우 기존 백신과 함께 운영할 수 있으며, 악성코드 예방뿐 아니라 위협 탐지와 사고 분석, 대응 기능을 보완하는 역할을 합니다.
  
  일반적인 백신은 악성코드 검사와 탐지, 차단 등 예방 중심의 보안 기능을 제공하여 PC와 서버를 보호합니다. 반면 EDR은 엔드포인트에서 발생하는 프로세스 실행, 파일 변경, 네트워크 연결 등의 활동을 수집하고 분석하여 의심스러운 행위를 탐지합니다.
  
  이를 통해 기존 백신이 탐지하지 못한 공격 징후를 확인하고, 보안 사고 발생 시 공격 경로와 영향을 받은 시스템을 분석하는 데 활용할 수 있습니다. 제품에 따라 악성 프로세스 종료, 의심 파일 격리, 감염 단말의 네트워크 격리 등 다양한 대응 기능을 제공할 수도 있습니다.
  
  다만 EDR 제품 자체에 차세대 백신(NGAV) 기능이 포함된 경우에는 기존 백신과 기능이 중복되거나 충돌할 가능성이 있습니다. 따라서 도입 전 현재 사용 중인 백신과 운영체제, EDR 제품의 호환성을 확인하고 기업의 보안 운영 환경에 적합한 구성 방식을 검토하는 것이 중요합니다.
• Q. EDR은 재택근무나 외부 네트워크에서 사용하는 업무용 PC도 보호할 수 있나요?
  A. 네. EDR 솔루션은 관리 대상 단말기에 보안 에이전트를 설치하고 필요한 통신 환경을 구성하면 사무실뿐 아니라 재택근무와 출장 등 외부 환경의 업무용 PC도 보호할 수 있습니다.
  
  EDR은 기업 네트워크에 연결된 PC와 서버뿐 아니라 외부에서 사용하는 노트북 등 다양한 엔드포인트의 보안 활동을 모니터링하는 데 활용됩니다. 제품에 따라 클라우드 기반 관리 시스템을 통해 사내망에 접속하지 않은 단말기의 보안 상태와 위협 탐지 정보를 확인할 수 있습니다.
  
  이를 통해 재택근무 중 발생하는 악성코드 실행과 의심스러운 프로세스 활동, 비정상적인 네트워크 연결 등을 탐지할 수 있습니다. 또한 지원되는 제품은 보안 위협 발생 시 관리자가 원격으로 악성 프로세스를 종료하거나 감염 단말기의 네트워크 연결을 제한하도록 구성할 수 있습니다.
  
  다만 단말기가 인터넷에 연결되지 않은 경우에는 탐지 정보 전송과 원격 명령 수행이 지연되거나 제한될 수 있습니다. 따라서 기업의 재택근무 환경과 단말기 운영체제, 네트워크 연결 방식을 고려하여 적합한 EDR 관리 정책과 원격 대응 체계를 구성하는 것이 중요합니다.
• Q. EDR 솔루션은 신종 랜섬웨어와 알려지지 않은 악성코드를 탐지하고 보안 사고의 원인까지 추적할 수 있나요?
  A. EDR 솔루션은 행위 기반 탐지와 엔드포인트 활동 분석을 통해 신종 랜섬웨어 및 알려지지 않은 악성코드의 의심스러운 행위를 탐지하고, 수집된 보안 로그를 활용하여 사고 원인을 분석할 수 있습니다.
  
  기존 악성코드 탐지는 알려진 위협 정보를 기반으로 이루어지는 경우가 많지만, 신종 공격은 기존 탐지 패턴을 우회하거나 정상적인 프로그램을 악용할 수 있습니다. EDR은 프로세스 실행과 파일 변경, 명령어 실행, 네트워크 통신 등 단말기에서 발생하는 다양한 활동을 분석하여 이상 징후를 탐지합니다.
  
  예를 들어 랜섬웨어의 비정상적인 파일 암호화 시도나 의심스러운 스크립트 실행, 악성 프로세스의 활동 등을 탐지하는 데 활용할 수 있습니다. 제품에 따라 공격에 사용된 파일과 프로세스의 실행 관계, 외부 통신 기록, 사용자 활동 등을 분석하여 공격 경로를 추적할 수도 있습니다.
  
  또한 사고 발생 시 수집된 엔드포인트 로그와 보안 이벤트를 활용하면 감염된 단말기와 피해 범위를 확인하고 후속 대응 방안을 수립하는 데 도움이 됩니다. 다만 모든 신종 공격을 완벽하게 탐지하거나 사고 전체를 복원할 수 있는 것은 아니므로 탐지 정책 최적화와 로그 관리, 지속적인 보안 모니터링을 함께 운영하는 것이 중요합니다.