EDR(Endpoint Detection and Response, 엔드포인트 탐지·대응)

1. 개요

정의: EDR(Endpoint Detection and Response)은 PC·서버·노트북·모바일 등 엔드포인트(단말)에서 발생하는 프로세스 생성·파일 변경·레지스트리 조작·네트워크 연결 같은 저수준 행위를 상시 수집·기록하고, 이를 행위 기반으로 분석하여 알려지지 않은 위협까지 탐지한 뒤 격리·차단·롤백 등 대응을 단말에서 직접 수행하는 엔드포인트 보안 체계를 말한다.

EDR이 등장한 배경은 시그니처 기반 안티바이러스(AV)의 구조적 한계에서 출발한다. 전통적 백신은 이미 알려진 악성코드의 해시·패턴(시그니처)과 일치하는 파일을 차단하는 "알려진 악(惡)의 블랙리스트" 방식이었다. 그러나 공격자는 코드를 조금만 변형(변종·다형성)해도 시그니처를 우회할 수 있고, 아예 파일을 디스크에 남기지 않는 파일리스(Fileless) 공격이나 정상 도구를 악용하는 LotL(Living off the Land) 기법을 쓰면 백신은 탐지할 대상 자체를 찾지 못한다. 즉 "무엇을 막을지 미리 알아야 막을 수 있다"는 전제가 무너진 것이다.

또 하나의 배경은 침해의 은밀성과 지속성이다. 오늘날의 표적 공격(APT)은 침투에 성공한 뒤 곧바로 피해를 일으키지 않고, 수 주에서 수개월간 잠복(Dwell Time)하며 권한을 상승시키고 내부망을 횡적으로 이동한다. 이 과정에서 발생하는 개별 행위(예: 오피스 문서가 파워셸을 실행)는 하나하나 보면 정상 업무와 구분하기 어려울 만큼 미약하다. 결국 "차단"만으로는 부족하고, 단말에서 벌어지는 모든 행위를 지속적으로 기록(비행기 블랙박스처럼)하고, 사후에라도 공격의 전개를 재구성할 수 있어야 한다는 요구가 EDR을 탄생시켰다.

이러한 요구는 "경계 보안의 종말"이라는 거시 흐름과도 맞닿아 있다. 재택근무·클라우드·BYOD 확산으로 보호해야 할 단말이 방화벽 안쪽을 벗어나 사방에 흩어지면서, 네트워크 경계에서의 차단만으로는 더 이상 조직을 지킬 수 없게 되었다. 결국 보안의 최종 통제점이 "경계"에서 "각 단말 그 자체"로 이동했고, 그 단말에서 벌어지는 일을 보고 대응하는 EDR의 전략적 중요성이 급격히 커졌다.

EDR의 본질적 특징은 네 가지로 요약된다. 첫째, 가시성(Visibility) — 단말 내부에서 일어나는 행위를 빠짐없이 기록해 "보이지 않던 것을 보이게" 만든다. 둘째, 행위 기반 탐지(Behavior-based) — 파일의 정체(무엇인가)가 아니라 행위의 맥락(무엇을 하는가)으로 위협을 판단하므로 미지의 위협에 강하다. 셋째, 대응·복구(Response) — 탐지에 그치지 않고 단말 격리·프로세스 종료·변경 롤백까지 수행한다. 넷째, 조사·헌팅(Investigation) — 축적된 데이터를 소급 조회해 근본원인(Root Cause)을 추적하고 숨은 침해를 능동적으로 찾는다. 이 네 축이 "탐지 후 차단"에 머물던 백신과 EDR을 근본적으로 구분한다.

EDR이라는 용어 자체는 2013년 가트너의 애널리스트가 "엔드포인트 위협 탐지·대응(ETDR)"으로 처음 제시한 뒤 EDR로 정착했는데, 이는 당시 백신만으로는 표적 공격을 막지 못한다는 업계의 공통 인식을 반영한 것이었다. 이후 랜섬웨어의 대규모 피해와 공급망 공격의 확산을 거치며 EDR은 선택이 아닌 필수 통제로 자리 잡았고, 오늘날 많은 보안 규제·인증(예: 금융권 보안 가이드, 주요정보통신기반시설 보호)에서 단말 상시 모니터링·대응 역량을 사실상 요구하는 수준에 이르렀다.

정리하면 EDR은 백신을 대체하는 또 하나의 제품이 아니라, "예방(Prevention) 중심"에서 "침해는 결국 일어난다는 가정 아래 탐지·대응(Detection & Response) 중심"으로 보안 패러다임이 이동한 결과물이다. 이는 제로 트러스트의 "침해 가정(Assume Breach)" 원칙과 맥을 같이한다.

2. EDR 전체 구조와 구성요소

EDR은 단말마다 설치된 경량 에이전트가 행위 데이터를 수집해 중앙 분석 플랫폼으로 전송하고, 플랫폼이 이를 분석·탐지한 뒤 대응 명령을 다시 단말로 내려보내는 클라이언트-서버 구조를 갖는다. 아래 개념도는 수집에서 대응까지의 전체 구조를 나타낸다.

flowchart TB
  subgraph EP["엔드포인트(단말)"]
    AG["EDR 에이전트(센서)"]
    COL["행위 수집(프로세스/파일/레지스트리/네트워크)"]
    ENF["대응 집행(격리/종료/롤백)"]
  end
  subgraph SRV["EDR 분석 플랫폼(서버/클라우드)"]
    ING["수집·정규화"]
    STORE[("행위 데이터 저장소")]
    DET["탐지 엔진(규칙+행위+ML)"]
    TI["위협 인텔리전스(IOC/IOA)"]
    CON["콘솔·조사·헌팅 UI"]
  end
  COL --> AG --> ING
  ING --> STORE --> DET
  TI --> DET
  DET --> CON
  CON --> ENF
  DET --> ENF

이 구조에서 데이터는 단말에서 플랫폼으로 올라가고, 분석 결과에 따른 대응 명령은 플랫폼에서 단말로 내려온다. 위협 인텔리전스는 외부에서 유입되어 탐지 규칙을 지속 갱신하고, 조사 결과는 다시 탐지 규칙으로 환류된다. 각 구성요소를 구체적으로 살펴보면 다음과 같다.

가. 엔드포인트 에이전트(센서). EDR의 출발점으로, 각 단말에 설치되어 커널·사용자 영역에서 일어나는 행위를 실시간으로 포착한다. 핵심 원리는 "저수준 텔레메트리의 연속 수집"이다. 프로세스의 생성과 부모-자식 관계, 파일의 생성·수정·삭제, 레지스트리 변경, DLL 로딩, 네트워크 연결 목적지 등을 끊김 없이 기록한다. 에이전트는 단말 성능에 부담을 주지 않도록 경량으로 설계되어야 하며, 동시에 공격자가 가장 먼저 노리는 무력화(Tampering) 시도로부터 자신을 보호하는 자기방어(Self-protection) 기능을 갖춰야 한다. 실제로 많은 랜섬웨어가 암호화 전에 보안 에이전트를 먼저 종료하려 시도하므로, 에이전트의 변조 방지는 탐지력만큼 중요하다. 또한 네트워크 단절 시에도 로컬에서 탐지·대응을 지속할 수 있는 오프라인 동작 능력이 요구된다.

최근에는 차단 중심의 EPP와 탐지·대응 중심의 EDR을 하나의 에이전트로 통합한 단일 센서가 보편화되고 있다. 이는 두 벌의 에이전트가 커널 자원을 다투며 충돌·성능저하를 일으키던 문제를 해소하고, "예방에서 대응까지"를 한 콘솔에서 운영하도록 만든 흐름이다. 다만 하나의 에이전트에 기능이 집중될수록 그 에이전트의 가용성·자기방어가 단일 실패점(SPOF)이 되므로, 통합 설계에서는 오히려 에이전트의 견고성이 더 중요해진다는 역설이 생긴다.

나. 수집·정규화와 행위 데이터 저장소. 수천수만 대 단말에서 올라오는 방대한 이벤트는 공통 스키마로 정규화되어 중앙 저장소(온프레미스 또는 클라우드)에 적재된다. 여기서 중요한 설계 원리는 "기록의 보존"이다. 침해는 발생 몇 주 뒤에야 인지되는 경우가 많으므로, 과거 행위를 소급 조회(Retrospective Search)할 수 있도록 충분한 기간(통상 30일수개월) 데이터를 보존해야 한다. 그러나 전수 보존은 저장·질의 비용을 폭증시키므로, 보안 가치가 높은 이벤트는 장기 보존하고 저가치 이벤트는 요약·표본화하는 데이터 수명주기 설계가 실무의 핵심 과제다. 클라우드형 EDR은 이 저장·분석 부담을 벤더 인프라로 넘겨 운영 편의를 높이는 대신, 단말 행위 데이터가 외부로 나간다는 데이터 주권 이슈를 수반한다.

저장소 설계에서 또 하나 고려할 지점은 질의 성능과 비용의 계층화다. 최근 30일 데이터는 실시간 탐지와 빠른 조사를 위해 고속 저장소(Hot)에, 그 이전 데이터는 위협 헌팅·사고조사용으로 저비용 저장소(Cold)에 두는 이원화가 일반적이다. 침해 조사에 필요한 최소 보존기간은 규제·업종에 따라 다르지만, 평균 잠복기간이 수개월에 이르는 현실을 감안하면 적어도 수개월분의 조회 가능성을 확보하는 것이 탐지 공백을 줄이는 길이다.

다. 탐지 엔진. EDR의 심장부로, 세 가지 방식을 결합한다. 첫째는 IOC(Indicator of Compromise, 침해지표) 매칭으로, 알려진 악성 해시·IP·도메인과 대조하는 사후·확정적 탐지다. 둘째는 IOA(Indicator of Attack, 공격지표) 기반 행위 탐지로, "어떤 파일인가"가 아니라 "권한상승 후 자격증명에 접근하고 횡적 이동을 시도한다"는 공격의 의도·행위 사슬을 본다. 셋째는 머신러닝·이상탐지로, 단말의 평소 기준선에서 벗어난 비정상 행위를 통계적으로 포착한다. IOC는 알려진 위협에 정확하지만 미지의 위협에 무력하고, IOA·ML은 신종을 잡되 오탐(False Positive)이 상대적으로 많다. 그래서 실무에서는 세 방식을 가중 결합해 "확정 위협은 자동 차단, 의심 행위는 위험도 점수화 후 분석가 검토"로 분기시킨다. 특히 IOA 방식은 MITRE ATT&CK 프레임워크의 전술·기법에 매핑되어, 탐지된 행위가 공격 생애주기의 어느 단계인지를 분석가에게 직관적으로 제시한다.

행위 탐지의 난제는 "정상 업무와의 구분"이다. 시스템 관리자가 파워셸로 스크립트를 돌리는 것과 공격자가 파워셸로 자격증명을 긁어가는 것은 도구가 같아 구문만으로는 구별되지 않는다. 그래서 IOA 방식은 단일 행위가 아니라 행위의 맥락과 순서(누가·언제·어떤 부모 프로세스에서·무엇을 이어서 했는가)를 본다. 이 맥락 결합이 오탐을 줄이는 핵심 기전이지만, 완벽하지 않으므로 환경별 정상 행위를 허용목록(Allowlist)·예외규칙으로 학습시키는 초기 튜닝 기간이 반드시 필요하다.

라. 콘솔·조사·대응. 분석가는 중앙 콘솔에서 경보를 사건 단위로 보고, 프로세스 트리(인과 그래프)를 따라 "무엇이 최초 진입점이었고 어떻게 확산되었는가"를 추적한다. 대응 수단으로는 ① 단말을 네트워크에서 즉시 분리하되 조사 연결만 유지하는 네트워크 격리(Isolation), ② 악성 프로세스 강제 종료, ③ 악성 파일 격리·삭제, ④ 레지스트리·파일 변경을 되돌리는 롤백(Rollback), ⑤ 원격 셸을 통한 수동 조사가 있다. 대응 자동화 수준은 조직 성숙도에 맞춰 반자동(권고)에서 완전자동(정책 기반 즉시 격리)으로 점진 확대하는 것이 안전하다.

대응 정책은 위험도 등급에 따라 계층화하는 것이 바람직하다. 예컨대 위험도 90점 이상의 확정적 침해는 무인 자동 격리, 60~90점의 의심 사건은 분석가 승인 후 격리, 60점 미만은 관찰·모니터링으로 남기는 3단계 게이트를 두면, 자동화의 속도와 오작동 시 업무중단 위험을 동시에 관리할 수 있다. 특히 서버·기간계 단말처럼 격리가 곧 서비스 중단으로 이어지는 자산은 자동 대응보다 승인 게이트를 두는 보수적 정책이 안전하다.

3. 탐지·대응 프로세스(운영 흐름)

EDR의 가치는 "단말의 미약한 신호를 얼마나 빨리 침해로 결론짓고, 얼마나 빠르게 봉쇄·복구하는가"에서 나온다. 아래는 초기 침투부터 대응·복구까지의 처리 흐름이다.

sequenceDiagram
  participant A as 공격자
  participant AG as EDR 에이전트
  participant X as EDR 플랫폼
  participant S as 분석가
  A->>AG: 악성 문서 실행(초기 침투)
  AG->>X: 프로세스/파일 행위 텔레메트리 전송
  A->>AG: 자격증명 탈취·권한상승 시도
  AG->>X: 비정상 행위 사슬 전송
  X->>X: IOA 행위분석·ATT&CK 매핑·위험도 산정
  X->>S: 사건(타임라인·프로세스 트리·근본원인) 제시
  S->>X: 대응 승인(또는 자동 정책)
  X->>AG: 단말 격리·프로세스 종료·변경 롤백
  X->>S: 대응 결과·복구 가이드 피드백

운영 흐름은 통상 탐지(Detect) → 분류·우선순위화(Triage) → 조사(Investigate) → 봉쇄·대응(Respond) → 복구·개선(Recover)의 순환으로 정리된다. 탐지 단계에서 에이전트가 포착한 행위가 탐지 규칙·행위분석에 걸리면 플랫폼은 관련 이벤트를 묶어 위험도를 산정한다. 분류 단계에서는 하루 수천 건의 저수준 이벤트가 수십 건의 유의미한 경보로 압축되어 분석가의 인지 부하를 낮춘다.

분류·우선순위화의 품질은 운영 성패를 가르는 첫 관문이다. 위험도 산정이 부정확하면 진짜 침해가 저위험으로 묻혀 미탐이 되거나, 반대로 사소한 이벤트가 고위험으로 올라와 분석가가 거짓 경보에 시달린다. 그래서 자산 중요도(왕관 보석, Crown Jewels), 행위의 ATT&CK 단계, 위협 인텔리전스 신뢰도를 결합해 위험 점수를 산정하고, 조직이 수용 가능한 하루 처리량에 맞춰 경보 임계치를 조정하는 운영 규율이 필요하다.

조사 단계에서 EDR의 강점은 프로세스 트리와 소급 조회다. 분석가는 "이 악성 프로세스를 누가(어느 부모 프로세스가) 실행시켰고, 그것이 또 무엇을 생성했는가"를 인과 그래프로 따라가며 최초 진입점을 특정한다. 나아가 "이 악성 해시가 지난 한 달간 조직 내 다른 단말에서도 실행된 적이 있는가"를 저장소에 소급 질의해 피해 범위를 즉시 파악할 수 있다. 백신이 "지금 이 순간의 차단"에 머무는 데 비해, EDR은 "과거·현재·미래를 관통하는 시간축 조사"를 제공한다는 점이 결정적 차별점이다.

구체 사례 — 파일리스 랜섬웨어의 조기 차단. 어느 금융사의 사례를 가정하자. 직원이 위장 송장 메일의 첨부 문서를 열자 매크로가 실행되며(초기 침투) 디스크에 악성 파일을 남기지 않고 메모리에서 파워셸 스크립트를 구동한다. 시그니처 백신은 검사할 파일이 없어 이를 놓친다. 그러나 EDR 에이전트는 "워드 프로세스가 파워셸을 자식으로 생성하고, 그 파워셸이 인코딩된 명령으로 외부에 접속한다"는 비정상 부모-자식 관계와 행위 사슬을 IOA로 포착한다. 단독으로는 저위험이지만, 몇 분 뒤 동일 단말에서 다수 파일의 급속한 확장자 변경(암호화 징후)과 섀도 카피 삭제 시도가 이어지자 플랫폼은 이를 ATT&CK의 "초기 접근 → 실행 → 영향(암호화)" 사슬로 묶어 고위험 사건으로 승격하고, 대량 암호화가 완성되기 전에 해당 단말을 자동 격리한다. 사후에는 롤백 기능으로 암호화된 파일 일부를 복원한다. 파일 중심 백신이라면 전 과정을 놓쳤을 공격을, 행위 중심 EDR이 조기에 차단한 것이다.

복구·개선 단계는 운영 성숙의 척도다. 사건 종결 후에는 동일 기법의 재현을 막도록 탐지 규칙을 보강하고, 미탐·오탐의 원인을 사후분석(Post-mortem)해 행위 규칙과 기준선에 환류한다. 핵심 지표로 평균 탐지시간(MTTD)과 평균 대응시간(MTTR), 오탐률을 지속 추적하며, 개선 없는 방치는 규칙 노후화와 탐지력 저하로 이어지므로 위협 인텔리전스 갱신을 정례화해야 한다. 능동 방어 관점에서는 경보를 수동적으로 기다리는 것을 넘어 "특정 기법이 우리 환경에 이미 잠복해 있지 않은가"라는 가설을 세우고 저장소를 뒤지는 위협 헌팅(Threat Hunting)을 상시 수행하는 것이 성숙한 운영의 특징이다.

4. 비교 — 안티바이러스(AV)·EDR·XDR·MDR

EDR을 둘러싼 개념들은 자주 혼동되므로 경계를 명확히 할 필요가 있다. 이 구분은 단순 용어 정리가 아니라 조직이 "무엇을, 어느 범위까지, 누가 운영하며 보호할 것인가"를 결정하는 전략적 선택과 직결된다.

구분	안티바이러스(AV/EPP)	EDR	XDR	MDR
탐지 방식	시그니처(알려진 위협)	행위 기반(미지 포함)	교차 도메인 상관분석	EDR/XDR + 전문 운영
보호 범위	단말(파일 차단)	단말(행위·대응)	단말+네트워크+클라우드+ID	범위는 기반 기술에 종속
핵심 가치	예방(차단)	가시성·탐지·대응·조사	통합·사건화	운영 위탁(24/7)
운영 주체	자동(최소 개입)	조직 SOC/보안팀	조직 SOC	외부 전문 서비스
한계	변종·파일리스에 취약	단말 도메인에 국한	통합·튜닝 복잡	데이터 주권·책임소재

안티바이러스(또는 차단 중심의 EPP, Endpoint Protection Platform)는 "알려진 악성코드의 실행을 사전 차단"하는 예방에 특화되어 있어 가볍고 자동적이지만, 변종·파일리스·정상도구 악용에는 근본적으로 취약하다. EDR은 여기에 "행위 기록과 사후 조사·대응"을 더해 미지의 위협과 침해 후 전개를 다루지만, 어디까지나 단말 도메인에 국한된다는 한계가 있다. 공격이 네트워크·이메일·클라우드·아이덴티티를 넘나들 때 단말 바깥의 맥락은 EDR 혼자 볼 수 없다.

이 한계를 넓힌 것이 XDR로, EDR의 단말 가시성을 네트워크·이메일·클라우드·아이덴티티 등 여러 도메인으로 확장해 교차 상관분석한다. 즉 EDR은 XDR을 구성하는 핵심 센서이자 하위 집합이며, XDR은 EDR의 "확장판"으로 이해하는 것이 정확하다. 한편 MDR(Managed Detection and Response)은 기술 범주가 아니라 운영 모델로, 자체 SOC를 갖추기 어려운 조직이 EDR·XDR 기술을 24/7 전문 운영과 묶어 서비스로 위탁 소비하는 방식이다. 따라서 "AV→EDR→XDR"은 탐지 범위·깊이의 확장 축이고, "자체 운영↔MDR"은 운영 주체의 선택 축으로, 두 축은 직교한다. 실무에서는 "EDR 제품을 MDR로 위탁 운영"하는 조합처럼 두 축을 교차해 선택한다.

선택의 실무 지침은 조직 규모·인력·자산 중요도에 따라 달라진다. 단말 중심의 소규모 조직은 EPP+EDR로 충분할 수 있고, 멀티 클라우드·대규모 환경은 XDR의 교차 가시성이 필요하며, 보안 전담 인력이 부족한 조직은 어느 기술을 쓰든 MDR 위탁을 함께 검토하는 것이 현실적이다.

유의할 점은 이 네 개념이 경쟁 관계가 아니라 대체로 중첩·포함 관계라는 것이다. 성숙한 보안 조직은 EPP의 예방 기능과 EDR의 탐지·대응을 단일 에이전트로 운영하면서, 이를 XDR 플랫폼의 핵심 센서로 편입하고, 운영 인력이 부족한 시간대(야간·주말)만 MDR로 보완하는 식으로 네 가지를 함께 조합한다. 따라서 "무엇을 살 것인가"보다 "현재 역량에서 어느 축을 먼저 강화할 것인가"라는 로드맵 관점으로 접근하는 것이 바람직하다.

5. 심화 — 최신 동향과 실무 적용

가. 생성형 AI와 자율 대응의 결합. 최근 EDR 플랫폼은 생성형 AI 기반 "보안 코파일럿"을 탑재해, 복잡한 사건을 자연어로 요약하고 조사 질의에 응답하며 다음 조치를 권고하는 방향으로 진화하고 있다. 분석가가 "이 단말의 최초 침투 경로를 알려줘"라고 물으면 프로세스 트리를 요약해 제시하는 식으로, 초급 분석가의 진입장벽을 낮춘다. 다만 LLM의 환각(Hallucination) 위험이 있어 최종 봉쇄 결정에는 사람의 검증이 필요하다는 것이 실무 합의다.

실제로 글로벌 보안 벤더들은 자사 EDR에 생성형 AI를 결합해 평균 조사 시간을 큰 폭으로 단축했다고 보고하며, 자연어로 위협을 질의·헌팅하는 인터페이스를 전면에 내세우고 있다. 이는 숙련 분석가에 대한 과도한 의존을 완화하고, 반복적 1차 분류를 자동화해 인력을 고부가 조사·헌팅에 재배치하는 운영 혁신으로 이어진다. 다만 자동 생성된 결론을 맹신하지 않도록 근거(원시 텔레메트리)를 함께 제시하고 검증 절차를 의무화하는 거버넌스가 병행되어야 한다.

나. 제로 트러스트·디바이스 신뢰의 통제점. 경계가 사라진 환경에서 단말의 보안 상태(EDR 설치·정상 동작 여부, 위협 탐지 여부)는 제로 트러스트 접근통제의 핵심 판단 신호가 된다. 예컨대 EDR이 단말에서 침해 징후를 발견하면 IAM·SASE와 연계해 해당 단말의 리소스 접근 세션을 즉시 차단하는 "실시간 신뢰 재평가"가 가능해진다. EDR이 단순 보안 도구를 넘어 제로 트러스트 아키텍처의 실행 엔진으로 자리매김하는 흐름이다.

다. EDR 무력화 공격(EDR Killer)과 방어 강화. 공격자들이 취약한 드라이버를 악용해 EDR 에이전트를 강제 종료하는 BYOVD(Bring Your Own Vulnerable Driver) 등 "EDR 킬러" 기법을 적극 활용하면서, 에이전트의 자기방어·변조탐지와 클라우드 기반 상시 가시성(에이전트가 꺼지면 그 자체를 이상으로 탐지)의 중요성이 커지고 있다. 이는 "탐지 도구 자체가 공격 표적이 된다"는 보안의 재귀적 과제를 보여준다.

라. OT/IoT·모바일로의 확장. 전통적 PC·서버를 넘어 운영기술(OT)·산업제어시스템, 모바일, 컨테이너 등으로 보호 대상이 넓어지면서, 에이전트 설치가 어려운 환경을 위한 경량·에이전트리스 접근과 네트워크 기반 가시성(NDR)과의 결합이 활발하다. 특히 가동 중단이 치명적인 OT 환경에서는 에이전트의 성능 부하와 오작동 위험이 더 민감하므로, 수동적 관찰(패시브 모니터링) 위주로 운영하고 자동 격리는 극히 제한적으로 적용하는 보수적 설계가 통용된다.

마. 도입 절차(실무 관점). EDR 도입은 "제품 설치"가 아니라 운영 체계 전환이므로 단계적 접근이 요구된다. 통상 ① 단말 자산 인벤토리 수립과 미관리 단말(Shadow IT) 식별 → ② 파일럿 그룹에 에이전트 배포·성능 영향 검증 → ③ 전사 배포와 기준선 학습·허용목록 튜닝(통상 1~3개월) → ④ 대응 플레이북 정의와 단계적 자동화 확대 → ⑤ 위협 헌팅·지표(MTTD/MTTR) 기반 지속 개선의 순서를 밟는다. 초기에 모든 단말을 한꺼번에 완전자동 대응으로 전환하려다 오탐으로 인한 정상 업무 격리가 속출해 실패하는 사례가 흔하므로, 탐지·관찰 모드로 먼저 신뢰를 확보한 뒤 자동 대응을 점증적으로 켜는 전략이 안전하다. 예상 출제 방향으로는 "EDR과 AV/XDR의 비교", "파일리스·APT 대응에서 EDR의 역할", "제로 트러스트와 EDR 연계"가 유력하며, 답안은 개념도 → 구조·프로세스 → 비교 → 기술사 관점 고려사항의 흐름으로 전개하면 완결성을 확보할 수 있다.

6. 고려사항 및 시사점(기술사 관점)

첫째, 예방-탐지-대응의 다층 방어로 설계해야 한다. EDR은 백신을 대체하는 것이 아니라 보완한다. 차단 중심 EPP로 알려진 위협을 값싸게 걸러내고, EDR로 미지·은밀한 위협을 탐지·대응하는 2선 방어를 구성하는 것이 비용·효과 면에서 합리적이다. "침해는 결국 일어난다"는 가정 아래 예방 실패 이후의 탐지·대응 역량을 함께 갖추는 것이 핵심이다.

둘째, 성능 부하와 자기방어의 균형이 필요하다. 에이전트가 모든 행위를 수집하면 단말 성능에 부담을 주고, 수집 범위를 줄이면 탐지 사각지대가 생긴다. 업무 영향(CPU·메모리)과 탐지 커버리지의 트레이드오프를 자산 중요도에 맞춰 조정하고, 공격자의 최우선 표적인 에이전트 무력화에 대비한 변조 방지·상시 가용성 확보를 설계 요구사항으로 명시해야 한다.

셋째, 오탐·운영 부하와 인력 역량을 고려해야 한다. EDR은 강력하지만 쏟아지는 경보를 분류·조사할 분석 인력과 플레이북이 없으면 "값비싼 경보 발생기"로 전락한다. 자산 중요도에 따른 차등 탐지 정책, 초기 기준선 확립 기간(Baselining)을 두어 정밀도를 끌어올리고, 자체 SOC 운영이 어렵다면 MDR 위탁 소싱을 병행 검토해야 한다.

넷째, 데이터 주권·프라이버시와 조화해야 한다. EDR은 단말의 상세 행위·파일·네트워크 활동을 광범위하게 수집하므로, 클라우드형 도입 시 데이터가 국외로 이전되는지, 개인정보보호법상 최소수집·목적제한·보존기간 원칙에 부합하는지를 검토해야 한다. 특히 임직원 단말의 상시 모니터링은 근로자 감시 논란을 부를 수 있어 사전 고지·목적 한정 등 절차적 정당성 확보가 필요하다.

다섯째, 위협 인텔리전스·ATT&CK 기반의 지속 개선이 요구된다. 탐지 규칙은 방치하면 노후화한다. MITRE ATT&CK 기법 커버리지를 주기적으로 점검해 탐지 공백을 메우고, 최신 위협 인텔리전스(IOC/IOA)를 상시 반영하며, MTTD·MTTR·오탐률 같은 운영 지표로 성과를 측정·관리하는 성숙도 관점이 중요하다.

여섯째, XDR·제로 트러스트로의 확장 경로를 염두에 두어야 한다. EDR 단독으로는 단말 바깥의 교차 도메인 공격을 놓치므로, 장기적으로 네트워크·클라우드·아이덴티티 신호와 결합하는 XDR, 그리고 실시간 신뢰 재평가를 수행하는 제로 트러스트 아키텍처의 실행 엔진으로 EDR을 발전시키는 로드맵을 설계하는 것이 바람직하다. 도입 성과는 도구 기능이 아니라 침해 탐지·대응 역량의 실질적 향상으로 평가해야 한다.

일곱째, 사고대응 체계·법적 증거능력과의 연계가 필요하다. EDR이 수집·보존하는 단말 행위 기록은 침해사고 조사에서 사실상의 디지털 포렌식 증거로 기능한다. 따라서 로그의 무결성(위변조 방지)·시간 동기화(NTP)·접근통제를 갖추어 증거능력을 확보하고, 조직의 침해사고 대응 절차(CSIRT)·관계기관 신고 의무와 연계한 플레이북을 사전에 정의해 두어야 실제 사고 시 신속·일관된 대응이 가능하다. 이는 EDR을 단순 탐지 도구가 아니라 사고대응·거버넌스 체계의 일부로 위치시키는 기술사 관점의 통합적 접근이다.

참고자료

MITRE ATT&CK, https://attack.mitre.org/
NIST SP 800-61, "Computer Security Incident Handling Guide", https://csrc.nist.gov/
Gartner, "Market Guide for Endpoint Detection and Response Solutions", https://www.gartner.com/

한 줄 요약: EDR은 단말의 저수준 행위를 상시 기록·분석해 시그니처 백신이 놓치는 파일리스·APT 같은 미지의 위협을 행위 기반으로 탐지하고 격리·롤백 등 대응과 소급 조사·헌팅까지 수행하는 엔드포인트 보안 체계로, 예방-탐지-대응의 다층 방어, 성능·자기방어 균형, 오탐·인력 역량, 데이터 주권·프라이버시, ATT&CK 기반 지속 개선, XDR·제로 트러스트 확장이 도입의 핵심 고려사항이다.