이미 안티바이러스를 쓰고 있어도 EDR은 쓸모가 있습니다. 둘은 역할이 다르기 때문입니다. EDR이 무엇을, 어떻게 보호하는지 살펴봅니다(공격 절차는 다루지 않습니다).
기존 안티바이러스와의 차이
| 측면 | 기존 안티바이러스 | EDR |
|---|---|---|
| 탐지 근거 | 알려진 시그니처 / IOC(해시) | 행위 / IOA(활동의 사슬) |
| 우회 저항 | 파일리스·도구 악용에 약함 | 행위로 잡아내기 쉬움 |
| 사후 조사 | 제한적 | 무슨 일이 있었는지 추적할 타임라인 |
| 대응 | 대개 제거 | 격리, 조사, 복구 지원 |
EDR, XDR, MDR, SIEM의 차이
제품 설명에서 이 용어들이 자주 나란히 나옵니다. 하는 일과 보는 범위로 나누면 다음과 같습니다.
| 용어 | 하는 일 | 보는 범위 |
|---|---|---|
| 안티바이러스(EPP) | 알려진 악성 파일을 대조해 실행 전에 막는다 | 엔드포인트 |
| EDR | 엔드포인트 활동을 기록하고, 의심스러운 사슬을 탐지하며, 격리와 조사를 돕는다 | 엔드포인트 |
| XDR | EDR의 발상을 메일, 클라우드, 네트워크, 계정으로 넓히고 연결한다 | 엔드포인트를 포함한 여러 영역 |
| MDR | 외부 전문 팀이 탐지와 대응을 대신 해 주는 서비스 | 계약에서 정한 범위 |
| SIEM | 여러 기기와 서비스의 로그를 모아 검색, 상관 분석, 보관한다 | 조직 전체의 로그 |
EDR과 XDR은 제품의 종류, MDR은 운영 방식, SIEM은 로그를 모아 두는 곳이라고 생각하면 정리하기 쉽습니다.
어떻게 보호하는가(메커니즘)
시그니처 대조(알려진 악성 차단)와 행위 탐지(IOA로 알아채기)는 대립하지 않습니다. 둘 다 갖추는 것이 현실적이며, EDR은 후자를 깊게 합니다.
소규모 팀의 현실적인 접근
먼저 기본을 갖추기
OS 내장 보호 사용
로그를 보존하고 IOA의 관점으로 보기
규모가 커지면 EDR을 검토
실제 사례: 공개된 사례와 공개된 정책
- 오사카급성기·종합의료센터(2022년): 조사위원회 보고서는 전자의무기록 시스템 전체로 피해가 확산된 이유 중 하나로, 그 시스템의 주요 서버에 안티바이러스가 설치되어 있지 않았다는 점을 듭니다. 설치되지 않은 기기에서는 탐지가 작동하지 않습니다. EDR이든 안티바이러스든, 먼저 빠진 기기가 없는지가 문제입니다
- 미국 연방정부: 2021년 10월 8일 관리예산처(OMB)는 행정명령 14028에 따라 연방 기관에 EDR 도입을 지시하는 메모 M-22-01을 발행했습니다. 메모는 EDR을 엔드포인트 데이터의 실시간 지속 모니터링·수집과 규칙 기반의 자동 대응·분석을 결합한 것으로 설명합니다
자신의 환경에서 확인하는 방법
개인과 작은 사무실이라면 눈앞의 PC부터 시작합니다.
- 'Windows 보안'에서 '바이러스 및 위협 방지'를 열고 실시간 보호가 켜져 있는지 확인합니다
- 관리자 권한으로 PowerShell을 열고
Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated를 실행합니다.RealTimeProtectionEnabled와BehaviorMonitorEnabled(행위 모니터링)가True인지, 시그니처 업데이트 날짜가 최근인지 확인합니다 AMRunningMode가Normal이면 Defender가 주 안티바이러스로 동작 중입니다.Passive라면 다른 회사 제품이 주 안티바이러스이므로, 그 제품이 켜져 있고 최신인지 확인합니다
PC에 내장된 Microsoft Defender 바이러스 백신은 그 한 대를 보호합니다. 여러 기기의 활동을 한곳에 기록하고 원격으로 격리할 수 있는 관리형 EDR과는 다릅니다.
조직에서 EDR을 쓰고 있다면 세 가지를 확인합니다.
- 자산 목록과 EDR 콘솔의 기기 수를 비교해, 설치되지 않은 기기가 없는지 봅니다. 서버와 협력업체가 쓰는 접속 기기는 빠지기 쉽습니다
- 누가 언제 알림을 확인하는지, 야간과 주말에 기기 격리를 누가 판단하는지 정합니다
- 일반 사용자 계정으로 자기 기기의 EDR을 끌 수 없는지 확인합니다
이 사이트의 관점: 제품 이름이 아니라 '기록·탐지·대응' 상태
EDR은 강력하지만, 이 사이트는 'EDR이 있다'를 '안전하다'로 취급하지 않습니다. 탐지는 사고가 시작된 이후의 이야기이고, 첫 번째 목표는 시작과 확산을 허용하지 않는 설계(최소 권한, 패치, MFA, 평문 비밀 금지)입니다. 그 위에, 일부 공격은 늘 빠져나가므로 규모에 맞게 행위를 기록·탐지·대응할 수 있는 상태를 유지하세요. 개인에게는 'Defender + 로그 + IOA 사고방식'으로 충분한 경우가 많고, 조직에는 관리형 EDR이 선택지입니다. 중요한 것은 제품 이름이 아니라 예방(막기)과 탐지(알아채기)를 둘 다 갖추고 있는가입니다.
출처(1차 자료)
- 미국 관리예산처(OMB), "M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response"(2021년 10월 8일) — whitehouse.gov(EDR의 설명과 연방 기관에 대한 지시)
- Microsoft Learn, "Get-MpComputerStatus" — learn.microsoft.com(Defender 상태를 확인하는 명령)
- Microsoft Learn, "Endpoint detection and response in block mode" — learn.microsoft.com(Defender의 능동·수동 모드)
- 오사카급성기·종합의료센터 정보보안 사고 조사위원회 보고서(2023년 3월 28일 공개) — gh.opho.jp
다음으로 읽기
- 사례: 오사카급성기·종합의료센터 랜섬웨어 공격(2022년) · 캡콤 랜섬웨어 공격(2020년)
- 용어집: C2란 · IOA(Indicator of Attack)란 · IOC란 · 랜섬웨어란 · 악성코드란