원격 측정과 탐지
EDR이 수집하는 정보 알아보기
원격 측정과 탐지은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 2번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
원격 측정 데이터란 무엇인가요
원격 측정 데이터는 EDR 에이전트가 엔드포인트에서 수집하는 데이터입니다.
이는 기기에서 발생하는 일에 대한 원시 기록이며, 모든 탐지의 기반입니다.
프로세스 활동
EDR은 시작되는 모든 프로세스와 함께 프로세스를 실행한 사용자와 사용된 명령줄을 기록합니다.
Telemetry sample:
parent: winword.exe
child: powershell.exe
args: -enc ZQBjAGgAbwA...파일 및 레지스트리 변경
에이전트는 파일 시스템과 윈도우의 레지스트리를 감시합니다.
- 새로 생성되거나 수정된 파일
- 빠르게 암호화되는 파일(랜섬웨어 징후)
- 지속성 확보에 사용되는 레지스트리 키
네트워크 연결
EDR은 어떤 프로세스가 어디에 연결하는지 기록합니다.
알려진 악성 서버에 연결하거나 비정상적으로 많은 데이터를 업로드하면 데이터 탈취 또는 명령 및 제어 트래픽을 알아낼 수 있습니다.
사용자 및 로그인 활동
원격 측정 데이터에는 로그인 기록과 계정 사용 정보가 포함됩니다.
- 이상한 시간대의 로그인
- 다수의 로그인 실패 시도
- 일반 사용자가 갑자기 관리자 권한을 사용하는 경우
이러한 현상은 계정이 탈취되었음을 암시합니다.
서명 기반 탐지
탐지 방법 중 하나는 파일 해시나 알려진 악성 도메인과 같이 악성 코드의 알려진 서명과 활동을 대조합니다.
이미 목록화된 위협을 탐지할 때 빠르고 안정적입니다.
행동 기반 탐지
행동 기반 탐지는 고정된 서명 대신 행동 패턴을 살펴봅니다.
예를 들어 워드 문서가 PowerShell을 실행하고 PowerShell이 파일을 다운로드한다면, 그 파일이 완전히 새로 만들어진 파일이어도 의심스럽습니다.
탐지 규칙
많은 EDR 플랫폼은 의심스러운 동작을 설명하는 데 규칙을 사용합니다.
널리 사용되는 개방형 형식으로 시그마가 있으며, 이를 사용하면 팀이 특정 공급업체에 종속되지 않는 방식으로 탐지 로직을 공유할 수 있습니다.
title: Office app spawns shell
detection:
selection:
ParentImage: winword.exe
Image: powershell.exe
condition: selectionMITRE ATTACK에 매핑하기
MITRE ATTACK 프레임워크는 공격자의 기법을 분류해 정리합니다.
EDR 경고는 흔히 ATTACK 기법에 매핑되므로, 분석가는 자신이 보고 있는 공격의 단계를 파악할 수 있습니다.
오탐 줄이기
모든 경고가 실제 위협은 아닙니다. 오탐은 무해한 동작이 위협으로 표시된 것입니다.
팀은 규칙을 조정하고 예외를 만들어 분석가가 정말 중요한 경고에 집중하도록 합니다.
위협 헌팅
저장된 텔레메트리를 활용하면 위협 헌팅을 수행할 수 있습니다. 분석가는 숨은 공격자를 선제적으로 찾습니다.
자동화된 경고가 놓쳤을 수 있는 미묘한 징후를 찾기 위해 과거 데이터를 조회합니다.
빠른 확인
텔레메트리와 탐지에 대한 지식을 확인해 보세요.
복습
EDR은 다음과 같은 텔레메트리를 수집합니다.
- 프로세스, 파일, 레지스트리, 네트워크 및 로그온 이벤트
시그니처 기반 방식과 행동 기반 방식으로 위협을 탐지하고, 이를 MITRE ATTACK에 매핑하며, 선제적인 위협 헌팅을 지원합니다.
자주 묻는 질문
“원격 측정과 탐지” 강의는 무료인가요?
네 — “원격 측정과 탐지” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
“원격 측정과 탐지”에서 뭘 배우나요?
EDR이 수집하는 정보 알아보기 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.
Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?
사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 2번째 강의입니다.
“원격 측정과 탐지” 강의는 얼마나 걸리나요?
대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.
이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?
네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.
이 강의의 모든 강의
- EDR이란 무엇인가
- 원격 측정과 탐지
- 대응 조치
- EDR과 백신 비교