EDR이란 무엇인가

엔드포인트는 네트워크에 연결되는 모든 기기를 의미합니다. 노트북, 데스크톱, 서버, 휴대전화 등이 이에 해당합니다.

엔드포인트는 사용자가 작업하는 곳이며 공격자가 처음 침투하는 지점인 경우가 많습니다.

EDR은 엔드포인트 탐지 및 대응을 의미합니다.

EDR은 엔드포인트를 지속적으로 모니터링하여 의심스러운 활동을 탐지하고 팀이 위협에 대응하도록 지원하는 소프트웨어입니다.

EDR은 각 엔드포인트에 설치되는 에이전트라는 작은 프로그램을 통해 작동합니다.

에이전트는 프로세스, 파일, 네트워크 연결을 감시한 다음 중앙 플랫폼으로 데이터를 보냅니다.

한 번만 수행하는 검사와 달리 EDR은 활동을 항상 기록합니다.

이러한 지속적인 가시성을 통해 분석가는 공격 전, 공격 중, 공격 후에 정확히 무슨 일이 일어났는지 확인할 수 있습니다.

기존 도구는 알려진 악성 파일을 찾습니다. EDR은 행동도 감시합니다.

• 명령 셸을 실행하는 문서
• 짧은 시간에 많은 파일을 읽으려는 프로세스
• 비정상적인 외부 연결

EDR은 행동에 초점을 맞추기 때문에 이전에 발견된 적이 없는 공격도 경고할 수 있습니다.

이를 통해 검사할 명확한 파일을 남기지 않는 제로데이 위협과 파일리스 악성 코드에 대응할 수 있습니다.

무언가 잘못된 것처럼 보이면 EDR이 경보를 발생시킵니다.

그런 다음 분석가는 기록된 시간 순서를 사용해 그것이 실제 위협인지 오탐 경보인지 조사합니다.

EDR은 탐지만 하는 것이 아니라 대응도 지원합니다.

• 감염된 기기를 네트워크에서 격리하기
• 악성 프로세스를 종료하기
• 유해한 파일을 격리하기

이렇게 하면 공격이 확산되는 것을 막을 수 있습니다.

모든 엔드포인트 데이터는 중앙 관리 화면으로 흘러 들어갑니다.

보안 팀은 하나의 관리 화면에서 수천 대의 기기에 발생한 경보를 확인하고 각 기기에 직접 접근하지 않고도 대응할 수 있습니다.

보안 운영 센터(SOC)는 위협을 감시하는 팀입니다.

EDR은 이 팀의 핵심 도구 중 하나로, 더 빠르고 정확한 결정을 내리는 데 필요한 경보와 증거를 제공합니다.

다음과 같은 관련 용어를 들어 보셨을 수 있습니다.

• EDR - 엔드포인트에 집중합니다
• XDR - 이메일, 네트워크, 클라우드 전반으로 범위를 확장합니다
• MDR - 외부 전문가가 운영하는 관리형 서비스입니다

EDR 기본 개념에 대한 이해도를 시험해 보세요.

EDR은 다음을 제공합니다.

• 각 엔드포인트에 설치되는 가벼운 에이전트
• 지속적이고 행동에 기반한 탐지
• 중앙 관리 화면에서 조사하고 대응할 수 있는 도구

EDR은 현대적인 엔드포인트 방어와 SOC의 핵심 구성 요소입니다.