사이버 공격과 방어의 실무
기존의 백신 소프트웨어와 비교한 EDR(Endpoint Detection and Response)의 특징으로 올바른 것은?
- A단말의 프로세스 시작이나 통신 등의 행위를 계속 기록하여 수상한 움직임을 탐지하고, 단말 격리 등의 대응을 지원한다
- B알려진 악성코드 파일의 특징과 일치하는지만 조사하여 일치한 파일을 삭제하지만, 행위는 기록하지 않는다
- C단말이 아니라 네트워크 경계에 두고, 외부에서 오는 패킷을 IP 주소와 포트 번호를 바탕으로 차단한다
정답과 해설 보기
정답: A. 단말의 프로세스 시작이나 통신 등의 행위를 계속 기록하여 수상한 움직임을 탐지하고, 단말 격리 등의 대응을 지원한다
기존의 백신 소프트웨어는 주로 파일을 알려진 악성코드의 특징과 대조하여 침입을 입구에서 막는 것을 목적으로 합니다. EDR은 침입을 완전히는 막을 수 없다는 전제 아래, 단말에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하여 수상한 행위를 탐지합니다. 기록을 거슬러 올라가 침입 경로나 영향 범위를 조사하거나, 원격으로 단말을 네트워크에서 격리하거나, 수상한 프로세스를 멈출 수 있는 것이 특징입니다. 현재는 백신 기능과 EDR을 하나의 제품으로 제공하는 것도 많습니다.