Endpoint Detection and Response의 약자. PC나 서버 등의 단말(엔드포인트)에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하고, 수상한 행위를 탐지하여 조사와 대응(단말 격리, 프로세스 중지 등)을 지원하는 보안 제품. 알려진 악성코드 파일을 식별하는 기존의 백신 소프트웨어와 달리, 침입을 완전히는 막을 수 없다는 전제 아래 침입 후의 활동을 찾아내는 것을 목적으로 한다.
일본어 명칭: EDR(Endpoint Detection and Response)
EDR(엔드포인트 탐지 및 대응)은(는) 사이버 공격과 방어의 실무, 정보 보안 기초 등 2개 분야의 연습 문제 7개에 나와요.
분야: 사이버 공격과 방어의 실무
프로세스의 시작과 부모 자식 관계, 명령의 인수, 파일이나 설정의 변경, 네트워크 연결, 로그온 등을 단말에 설치한 에이전트가 기록하여 관리 서버로 보냅니다. 이를 통해 '메일 첨부 파일에서 스크립트가 시작되어 외부와 통신했다' 같은 일련의 흐름을 나중에 추적할 수 있습니다.
알려진 공격 수법에 맞는 규칙, 행위 분석, 위협 인텔리전스와의 대조 등으로 탐지합니다. 탐지한 후에는 원격으로 단말을 네트워크에서 격리하기, 프로세스 중지하기, 파일 격리하기 같은 대응을 관리 화면에서 할 수 있으므로, SOC의 분석가가 피해 확산을 빠르게 억제할 수 있습니다.
단말뿐만 아니라 메일, 네트워크, 클라우드, ID의 정보까지 함께 분석하는 제품은 XDR(Extended Detection and Response)이라고 불립니다. 또한 EDR의 감시와 분석을 외부 전문 사업자에게 맡기는 서비스는 MDR(Managed Detection and Response)이라고 불리며, 24시간 체제를 자체적으로 갖출 수 없는 조직에서 사용되고 있습니다.
정답: A. 단말의 프로세스 시작이나 통신 등의 행위를 계속 기록하여 수상한 움직임을 탐지하고, 단말 격리 등의 대응을 지원한다
기존의 백신 소프트웨어는 주로 파일을 알려진 악성코드의 특징과 대조하여 침입을 입구에서 막는 것을 목적으로 합니다. EDR은 침입을 완전히는 막을 수 없다는 전제 아래, 단말에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하여 수상한 행위를 탐지합니다. 기록을 거슬러 올라가 침입 경로나 영향 범위를 조사하거나, 원격으로 단말을 네트워크에서 격리하거나, 수상한 프로세스를 멈출 수 있는 것이 특징입니다. 현재는 백신 기능과 EDR을 하나의 제품으로 제공하는 것도 많습니다.
역할이 다르므로 대부분의 경우 둘 다 사용합니다. 백신 소프트웨어(EPP)는 알려진 악성코드를 입구에서 막고, EDR은 빠져나간 공격을 찾아내어 대응합니다. 현재는 하나의 제품으로 두 기능을 모두 제공하는 것도 많습니다.
EDR은 경고와 기록을 내는 도구이므로, 그것을 보고 판단하여 대응하는 사람과 절차가 필요합니다. 경고를 확인하는 체제가 없으면 탐지되더라도 대응이 늦어집니다. 자체 체제가 어려운 경우에는 MDR 같은 외부 서비스를 사용합니다.
EDR은 침입을 완전히는 막을 수 없다는 전제 아래, 단말에서 일어난 프로세스 시작, 파일이나 설정의 변경, 네트워크 통신 등을 계속 기록하여 수상한 행위를 탐지합니다.
기존의 백신 소프트웨어와 비교한 EDR(Endpoint Detection and Response)의 특징으…예를 들어 불필요한 서비스를 중지하여 공격받는 면을 줄이기, 권한을 최소로 하기, 네트워크를 분할하기, 단말의 수상한 움직임을 탐지하여 대응하는 구조(EDR 등)를 사용하기, 개발사가 제시하는 회피책을 적용하기 같은 방법이 있습니다.
제로데이 공격에 대한 설명으로 올바른 것은?다만 공격자는 간격에 흔들림(지터)을 더하거나 정규 클라우드 서비스를 중계에 사용하여 탐지를 피하려 하므로, 통신 기록과 EDR로 수집한 단말 정보를 조합하여 조사합니다.
사내 네트워크의 통신 기록을 조사했더니 다음과 같은 통신이 발견되었다. 악성코드가 외부 지령 서버(C2 서…그래서 EDR이나 OS의 로그(PowerShell 스크립트 기록이나 프로세스 시작 기록 등)로 명령의 인수와 부모 자식 관계를 수집하고, '문서 파일을 연 애플리케이션에서 PowerShell이 시작되었다', '인코딩된 긴 명령이 실행되었다' 같은 평소 업무와 다른 사용 방식을 단서로 탐지합니다.
침입한 공격자가 독자적인 악성코드를 되도록 사용하지 않고, PowerShell이나 WMI, 표준 원격 관리…SIEM(Security Information and Event Management)은 방화벽, 서버, EDR, 클라우드 등의 로그를 한곳에 모아 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 경고로 제시합니다.
보안 감시 체제에서 사용되는 SIEM, SOAR, SOC의 역할의 조합으로 올바른 것은?제로데이 공격(Zero-day Attack) 인수(Argument) SIEM(보안 정보 및 이벤트 관리) 보안 관제 센터(Security Operations Center) 공급망 공격(Supply Chain Attack) 중앙값(Median) 디지털 포렌식(Digital Forensics) 사이버 킬 체인(Cyber Kill Chain) 인시던트 대응 제로 트러스트