EDR(엔드포인트 탐지 및 대응)은 단말 장치(엔드포인트)에서 발생하는 보안 위협을 실시간으로 탐지, 분석하고 대응하는 보안 솔루션입니다. 전통적인 안티바이러스(AV)와 달리, 행위 기반 분석 및 위협 헌팅 기능을 제공하여 알려지지 않은 위협(제로데이 공격, APT 공격 등)도 탐지할 수 있습니다.
EDR의 주요 기능
실시간 모니터링 및 로그 수집
엔드포인트(PC, 서버, 모바일 장치 등)에서 발생하는 활동을 지속적으로 모니터링하고 로그를 수집합니다.
행위 기반 탐지 및 위협 헌팅
전통적인 시그니처 기반 탐지가 아닌, 행동 분석(Behavior Analysis) 및 AI 기반 탐지를 통해 이상 징후를 감지합니다.
보안 전문가가 직접 위협을 사전 탐색하는 위협 헌팅(Threat Hunting) 기능을 제공합니다.
자동화된 대응 및 격리
악성코드 감염 또는 의심스러운 행위가 탐지되면, 자동으로 네트워크 차단, 프로세스 종료, 격리 조치 등을 수행합니다.
포렌식 및 사고 분석
공격이 발생한 경로, 진행 과정, 영향도를 상세히 분석하여 사고 대응 및 보안 정책 개선에 활용할 수 있습니다.
EDR과 기존 보안 솔루션의 차이점
보안 솔루션
주요 기능
한계점
안티바이러스(AV)
시그니처 기반 악성코드 탐지 및 차단
알려지지 않은 공격(제로데이, APT)에 취약
SIEM(Security Information and Event Management)
로그 분석 및 위협 정보 제공
실시간 탐지 및 자동 대응 기능 부족
EDR
엔드포인트 단에서 실시간 탐지, 분석, 대응
네트워크 레벨의 공격 탐지는 어려움
대표적인 EDR 솔루션
CrowdStrike Falcon
Microsoft Defender for Endpoint
SentinelOne
Trend Micro Apex One
Symantec Endpoint Security
EDR vs XDR vs MDR 차이점
솔루션
설명
EDR
엔드포인트(PC, 서버 등) 보안 위협 탐지 및 대응
XDR (Extended Detection and Response)
EDR + 네트워크, 이메일, 클라우드 등 다양한 보안 솔루션을 통합하여 위협 대응
MDR (Managed Detection and Response)
보안 전문가가 운영하는 매니지드 서비스 기반 위협 대응
EDR 도입 시 고려할 점
클라우드 기반 vs 온프레미스: 클라우드 EDR이 운영이 간편하지만, 규제 문제로 온프레미스가 필요한 경우도 있음
AI/ML 기반 탐지 기능: 기존 패턴 매칭 방식보다 행위 기반 탐지 기능이 우수한 제품 선택
자동화 대응 수준: 공격 탐지 시 자동으로 네트워크 차단 및 격리가 가능한지 확인
SIEM/SOAR 연동: 기존 보안 시스템(SIEM, SOAR 등)과의 연동성을 고려
NAC vs. EDR 차이점
비교 항목
NAC (Network Access Control)
EDR (Endpoint Detection and Response)
보호 대상
네트워크 전체 (유무선 장치, IoT 포함)
엔드포인트 (PC, 서버, 모바일 등)
주요 목적
네트워크 접근 제어 및 정책 적용
엔드포인트의 위협 탐지 및 대응
보안 방식
사전 예방 – 네트워크에 접속하려는 장치의 신원 및 보안 상태 확인 후 접근 허용/차단
사후 대응 – 엔드포인트에서 발생하는 이상 행위를 탐지하고 대응
탐지 방법
사용자 및 장치 인증, 보안 정책 적용, 비인가 장치 격리
행위 기반 분석, 위협 헌팅, 실시간 모니터링
차단/격리 방식
네트워크 레벨에서 장치 접속 차단 또는 VLAN 격리
엔드포인트에서 악성 프로세스 종료, 파일 격리, 네트워크 차단
위협 탐지
네트워크 접근 시 보안 상태 점검
엔드포인트에서 실행되는 악성 행위 탐지
주요 기술
802.1X 인증, RADIUS, DHCP 스누핑, MAC 주소 필터링 등
AI 기반 탐지, 머신러닝, 포렌식 분석, 자동화된 대응
대표 솔루션
Cisco ISE, Aruba ClearPass, Fortinet FortiNAC
CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne
NAC과 EDR은 어떻게 함께 사용될 수 있을까?
NAC을 통해 비인가 장치 및 보안이 취약한 엔드포인트가 네트워크에 접속하는 것을 차단
EDR을 활용해 네트워크에 접속한 장치의 보안 상태를 지속적으로 모니터링하고 위협 발생 시 즉각 대응
NAC과 EDR을 연계하여, EDR에서 위협을 탐지하면 NAC이 자동으로 해당 장치를 네트워크에서 격리
즉, NAC은 사전 접근 통제(Prevention), EDR은 실시간 탐지 및 대응(Response) 역할을 수행하며, 보안 수준을 강화하려면 두 가지를 함께 도입하는 것이 이상적입니다.
