한국어
메뉴

백신 소프트웨어·EDR·XDR의 차이: 방지와 탐지·기록·대응·범위 비교

세 가지 모두 엔드포인트를 공격으로부터 지키지만, 목적과 범위가 다릅니다. 백신 소프트웨어(EPP, 엔드포인트 보호 플랫폼)는 알려진 악성코드의 패턴과 의심스러운 특징을 이용해 악성코드가 실행되기 전에 막는 것을 목표로 합니다. EDR은 침입을 완전히 막을 수는 없다는 전제에서 출발합니다. 엔드포인트의 프로세스, 파일, 네트워크 활동을 계속 기록하고, 의심스러운 동작을 찾아내며, 엔드포인트 격리 같은 조사와 대응을 돕습니다. XDR은 엔드포인트뿐 아니라 네트워크, 이메일, 클라우드 서비스, ID 인증의 기록까지 연관 분석해 조직 전체에서 공격의 흐름을 찾아냅니다. 대부분의 조직은 공격을 막는 구조와, 빠져나간 공격을 찾아 대응하는 구조를 조합합니다.

비교 항목백신 소프트웨어(EPP)EDRXDR
주된 목적악성코드를 실행 전에 찾아 막습니다(방지)침입 후의 의심스러운 활동을 찾아 조사하고 대응합니다(탐지와 대응)엔드포인트, 네트워크, 이메일, 클라우드 등에 걸친 공격을 한꺼번에 찾아 대응합니다
대상 범위엔드포인트의 파일과 실행하려는 프로그램엔드포인트의 활동: 프로세스 실행, 파일과 레지스트리 변경, 네트워크 연결, 로그온엔드포인트에 더해 네트워크, 이메일, 클라우드 서비스, ID 인증의 기록
주된 탐지 방식알려진 악성코드 패턴(시그니처)과의 대조. 많은 제품이 파일의 특징으로 의심스러운 정도도 판단합니다행동 규칙과 공격 기법 지식(ATT&CK 등)에 의한 탐지. IoC로 검색합니다여러 출처의 이벤트를 연관 분석해, 하나만으로는 약한 징후를 조합하는 탐지
기록하는 것주로 탐지 결과. 엔드포인트의 활동은 오래 보관하지 않는 경우가 많습니다엔드포인트의 활동을 계속 기록해 나중에 거슬러 올라가 조사할 수 있습니다여러 출처의 기록을 모아 한곳에 보관합니다
탐지 후 대응파일 삭제나 격리콘솔에서 원격으로 프로세스 종료, 엔드포인트의 네트워크 격리, 영향 범위 조사엔드포인트 격리에 더해 계정 비활성화나 이메일 삭제 같은 영역을 넘나드는 조치
미지의 공격에 대한 강점패턴에 없는 새 악성코드나 OS의 정상 기능을 악용하는 공격을 놓치기 쉽습니다파일리스 공격이나 정상 도구의 악용을 행동으로 찾아내기 쉽습니다이메일로 침입한 뒤 측면으로 퍼지는 것처럼 엔드포인트만으로는 보이지 않는 공격 흐름을 찾기 쉽습니다
운영 부담비교적 작습니다. 자동으로 막는 것이 기본입니다경보를 분류하고 조사할 사람이 필요합니다. SOC나 외부 감시 서비스와 함께 쓰는 경우가 많습니다범위가 넓어 연동 설정과 경보를 판단할 체제가 필요합니다
한계빠져나간 것이 엔드포인트 안에서 무엇을 했는지 알기 어렵습니다엔드포인트 밖(네트워크 기기, 클라우드, 관리되지 않는 단말)은 보이지 않습니다연동할 수 있는 범위가 제품마다 다릅니다. 기록을 모아도 그것을 판단하는 사람과 절차를 대신하지는 못합니다

수치는 대략적인 자릿수 기준이며, 공정 세대와 제품에 따라 달라져요.

상황별 선택 기준

백신 소프트웨어(EPP)
모든 엔드포인트에 설치하는 기본 대책. 사람의 판단을 기다리지 않고 많은 알려진 악성코드를 막습니다.
EDR
침입이 뚫고 들어올 수 있다고 보고 이를 일찍 찾아 피해를 줄이고 싶을 때. 인시던트 대응 조사에서 엔드포인트에서 무슨 일이 있었는지 거슬러 추적하는 데도 씁니다.
XDR
엔드포인트, 이메일, 클라우드 등을 각각 다른 콘솔로 감시하고 있어 공격의 흐름을 한곳에서 따라가고 싶을 때. SIEM과 역할이 겹치므로, 이미 가진 시스템과 어떻게 분담할지 정합니다.

자주 묻는 질문

EDR을 도입하면 백신 소프트웨어는 필요 없나요?

역할이 다르므로 대부분 둘 다 씁니다. 백신 소프트웨어는 알려진 악성코드를 실행 전에 자동으로 막는 데 강하고, EDR은 빠져나간 공격의 활동을 찾아 조사하고 대응하는 데 강합니다. 두 기능을 함께 제공하는 제품도 많습니다.

EDR에는 왜 사람의 대응이 필요한가요?

EDR의 경보에는 정상적인 관리 작업이나 업무 도구를 의심스럽다고 판단한 것도 섞여 있기 때문입니다. 정말 공격인지 판단하고, 영향 범위를 조사하고, 격리 같은 조치를 고르려면 담당자, SOC, 외부 감시 서비스의 운영이 필요합니다. 아무도 경보를 보지 않으면 기록만으로는 피해를 줄일 수 없습니다.

XDR과 SIEM은 무엇이 다른가요?

둘 다 여러 출처의 기록을 모아 연관 분석하지만, SIEM은 보통 많은 종류의 기기에서 로그를 폭넓게 수집·분석·보관하는 플랫폼으로 설명되고, XDR은 엔드포인트나 이메일 같은 정해진 출처를 깊이 통합해 탐지부터 대응까지 하나의 시스템에서 다루는 데 중점을 둡니다. 경계는 제품마다 다르므로, 무엇을 수집하고 대응을 어디까지 자동화할 수 있는지 확인합니다.

이해도 확인

기존의 백신 소프트웨어와 비교한 EDR(Endpoint Detection and Response)의 특징으로 올바른 것은?

  1. A단말의 프로세스 시작이나 통신 등의 행위를 계속 기록하여 수상한 움직임을 탐지하고, 단말 격리 등의 대응을 지원한다
  2. B알려진 악성코드 파일의 특징과 일치하는지만 조사하여 일치한 파일을 삭제하지만, 행위는 기록하지 않는다
  3. C단말이 아니라 네트워크 경계에 두고, 외부에서 오는 패킷을 IP 주소와 포트 번호를 바탕으로 차단한다
정답과 해설 보기

정답: A. 단말의 프로세스 시작이나 통신 등의 행위를 계속 기록하여 수상한 움직임을 탐지하고, 단말 격리 등의 대응을 지원한다

기존의 백신 소프트웨어는 주로 파일을 알려진 악성코드의 특징과 대조하여 침입을 입구에서 막는 것을 목적으로 합니다. EDR은 침입을 완전히는 막을 수 없다는 전제 아래, 단말에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하여 수상한 행위를 탐지합니다. 기록을 거슬러 올라가 침입 경로나 영향 범위를 조사하거나, 원격으로 단말을 네트워크에서 격리하거나, 수상한 프로세스를 멈출 수 있는 것이 특징입니다. 현재는 백신 기능과 EDR을 하나의 제품으로 제공하는 것도 많습니다.

침입한 공격자가 독자적인 악성코드를 되도록 사용하지 않고, PowerShell이나 WMI, 표준 원격 관리 기능 등 원래 OS에 들어 있는 정규 도구로 활동하는 수법을 '환경 기생형(Living off the Land)'이라고 한다. 이 수법에 대한 대책의 사고방식으로 가장 적절한 것은?

  1. A정규 도구의 실행 파일은 디지털 서명되어 있으므로, 서명을 확인하는 백신 소프트웨어를 설치하면 탐지할 수 있다
  2. B정규 도구를 사용한 공격은 탐지할 수 없으므로, 침입당한 후의 대책은 포기하고 입구 방어에만 투자한다
  3. C정규 도구가 누구에 의해, 어떤 인수로, 어떤 부모 프로세스에서 실행되었는지를 기록하여 평소와 다른 사용 방식을 탐지하고, 관리용 도구를 사용할 수 있는 사람이나 단말을 좁힌다
정답과 해설 보기

정답: C. 정규 도구가 누구에 의해, 어떤 인수로, 어떤 부모 프로세스에서 실행되었는지를 기록하여 평소와 다른 사용 방식을 탐지하고, 관리용 도구를 사용할 수 있는 사람이나 단말을 좁힌다

환경 기생형 공격에서는 사용되는 프로그램 자체가 정규 서명이 있는 것이므로, 파일의 특징으로 알려진 악성코드를 식별하는 방법으로는 탐지할 수 없습니다. 그래서 EDR이나 OS의 로그(PowerShell 스크립트 기록이나 프로세스 시작 기록 등)로 명령의 인수와 부모 자식 관계를 수집하고, '문서 파일을 연 애플리케이션에서 PowerShell이 시작되었다', '인코딩된 긴 명령이 실행되었다' 같은 평소 업무와 다른 사용 방식을 단서로 탐지합니다. 아울러 관리용 도구를 사용할 수 있는 사용자나 단말을 제한하고, 실행할 수 있는 애플리케이션을 허가한 것으로만 좁혀서 공격자가 쓸 수 있는 도구를 줄입니다.

보안 감시 체제에서 사용되는 SIEM, SOAR, SOC의 역할의 조합으로 올바른 것은?

  1. ASIEM은 단말의 행위를 기록하는 소프트웨어, SOAR는 통신을 암호화하는 장비, SOC는 취약점에 붙는 식별 번호이다
  2. BSIEM은 대응 절차를 자동으로 실행하는 구조, SOAR는 각 기기의 로그를 수집하여 분석하는 구조, SOC는 제품의 취약점에 대응하는 개발 팀이다
  3. CSIEM은 많은 기기의 로그를 수집하여 상관 분석하는 구조, SOAR는 대응 절차(플레이북)를 자동으로 실행하는 구조, SOC는 그것들을 사용하여 감시하는 조직이다
정답과 해설 보기

정답: C. SIEM은 많은 기기의 로그를 수집하여 상관 분석하는 구조, SOAR는 대응 절차(플레이북)를 자동으로 실행하는 구조, SOC는 그것들을 사용하여 감시하는 조직이다

SIEM(Security Information and Event Management)은 방화벽, 서버, EDR, 클라우드 등의 로그를 한곳에 모아 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 경고로 제시합니다. SOAR(Security Orchestration, Automation and Response)는 경고에 대해 정보 수집, 단말 격리, 계정 정지 같은 정해진 절차를 플레이북으로 자동 실행하여 분석가의 수고를 줄입니다. SOC(보안 관제 센터)는 이러한 구조를 사용하여 감시, 경고 분석, 인시던트인지 여부의 판정과 보고를 수행하는 조직으로, 24시간 체제를 갖추는 경우도 많습니다. SOC가 판정한 인시던트에 대한 대응은 CSIRT가 중심이 되어 진행하는 경우가 많습니다.

  1. 위협 탐지에서 사용되는 IoC(Indicator of Compromise)와 IoA(Indicator of Attack)에 대한 설명으로 올바른 것은?
  2. 제로데이 공격에 대한 설명으로 올바른 것은?

사이버 공격과 방어의 실무 문제 풀기

주요 용어 설명

EDR(엔드포인트 탐지 및 대응)
Endpoint Detection and Response의 약자. PC나 서버 등의 단말(엔드포인트)에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하고, 수상한 행위를 탐지하여 조사와 대응(단말 격리, 프로세스 중지 등)을 지원하는 보안 제품. 알려진 악성코드 파일을 식별하는 기존의 백신 소프트웨어와 달리, 침입을 완전히는 막을 수 없다는 전제 아래 침입 후의 활동을 찾아내는 것을 목적으로 한다.
SIEM(보안 정보 및 이벤트 관리)
Security Information and Event Management의 약자. 방화벽, 서버, EDR, 클라우드 서비스, 인증 기반 등의 로그를 한곳에 모아 형식과 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 탐지하여 경고로 제시하는 구조. 조사를 위한 로그 검색이나, 규정에서 요구하는 로그의 장기 보존에도 사용된다. SOC(보안 관제 센터)의 분석가가 감시에 사용하는 중심적인 도구 중 하나이다.
보안 관제 센터(Security Operations Center)
조직의 네트워크, 단말, 클라우드를 지속적으로 감시하고, SIEM이나 EDR의 경고를 분석하여 인시던트인지 여부를 판정하며, 대응할 담당자에게 보고하는 조직이나 거점. 줄여서 SOC라고 불린다(칩의 SoC와는 다른 말이다). 24시간 체제를 갖추는 경우가 많고, 자체적으로 갖지 않고 외부 사업자에게 위탁하는 조직도 많다. 판정한 인시던트에 대한 대응은 CSIRT와 연계하여 진행한다.
IoC(침해 지표)
Indicator of Compromise의 약자로, 시스템이 침해되었음을 나타내는 구체적인 흔적. 악성코드 파일의 해시값, C2 서버의 IP 주소나 도메인 이름, 특유의 파일 이름 등이 있다. 조직 사이나 위협 인텔리전스로 공유되며, 자기 조직의 로그나 단말과 대조하여 같은 공격을 받고 있지 않은지 조사하는 데 사용한다. 해시값이나 IP 주소는 공격자가 쉽게 바꿀 수 있으므로, 공격자의 행위에 주목하는 IoA(Indicator of Attack, 공격 지표)나 수법에 기반한 탐지와 조합한다.
인시던트 대응
사이버 공격 등의 보안 인시던트가 일어났을 때 피해를 발견하여 확산을 막고, 원인을 제거하여 업무를 되돌리며, 교훈을 다음에 살리는 일련의 활동. 미국 NIST의 SP 800-61 제2판(2012년)에서는 준비, 탐지와 분석, 봉쇄·근절·복구, 사후 활동의 4단계로 제시되었고, 2025년의 제3판에서는 사이버 보안 프레임워크(CSF) 2.0에 맞춘 형태로 재정리되었다. 조직 안에서는 CSIRT가 중심이 되어 SOC, 시스템 담당자, 법무, 홍보, 경영자 등과 연계하여 진행한다.
측면 이동(Lateral Movement)
조직의 네트워크에 침입한 공격자가 처음 탈취한 단말을 거점으로, 훔친 인증 정보나 정규 관리용 도구를 사용하여 다른 단말이나 서버로 차례로 침해를 넓히는 것. 수평 이동이라고도 불리며, 목적한 데이터나 관리자 권한을 가진 시스템에 다가가기 위해 수행된다. 단말마다 다른 관리자 비밀번호, 단말끼리의 불필요한 통신 차단(마이크로 세그먼테이션), 특권 계정의 관리, 인증 로그의 감시 등으로 막고 탐지한다.
MITRE ATT&CK
미국의 비영리 연구 조직 MITRE가 공개하는, 실제 공격에서 관측된 공격자 수법의 지식 베이스. 공격자의 목적을 나타내는 '전술(Tactics)'(초기 접근, 지속성, 권한 상승, 측면 이동, 유출 등)과, 그것을 달성하는 구체적인 방법을 나타내는 '기법(Techniques)'으로 나누어 정리하고, 기법에는 식별 번호를 붙이고 있다. 방어하는 쪽이 탐지나 대책이 어떤 수법을 커버하고 있는지 확인하거나, 위협 인텔리전스 보고서에서 수법을 공통의 말로 나타내는 데 사용한다.
제로데이 공격(Zero-day Attack)
소프트웨어의 취약점이 발견된 뒤 수정 프로그램(패치)이 제공되기까지의 사이에 그 취약점을 악용하여 이루어지는 공격. 패치로 막을 수 없으므로 다층적인 대책으로 피해를 억제한다.

관련 비교