MDR 솔루션의 개념 정의 및 관련 용어 정리

MDR에 시작

 

- AI학습 기반 악성코드를 감지하는 EDR에 여기서 사람이 실제 악성코드가 맞는지 확인해주는 결정을 해주는 역할을 수행함

ex: NAC 같은거, 파일 수정하고 패치하고 하기때문에 머신러닝 입장에서는 악성코드임, 하지만 실제로는 아님

 

EPP(Endpoint Protection Platform) -> IOC((Indicator of Compromise) -> NDR((Network Detection and Response))

-> EDR(Endpoint Detection and Response)

. EDR이 NDR보다 늦게 생긴 이유는 잡음이 너무 많아서 모든 파일을 탐지하는건 현실적으로 어려웠음 NDR부터 시작됨

 

해커는 RDP, FTP를 통해 침입을 많이 함

 

247 서비스 24시간 7일 365일 서비스 함

 

Cyber Defensse Platform (Blue Team)

- EPP, EDR, NDR, XDR, AI Sec. ID Sec

 

Offensive Security Platform(Red Team, CTEM, Continuous Threat Exposure Management)

- ASM, AEV, Red Teaming, DRP

 

Cyber Defense Platform (Blue Team : 방어)

블루팀은 해커의 공격을 막아내고, 내부 자산을 보호하며, 침해 발생 시 신속하게 대응하고 복구하는 '수비수' 역할을 합니다.

- EPP (Endpoint Protection Platform): 알려진 공격을 사전에 막아내는 튼튼한 '방패' (백신의 진화형).

- EDR (Endpoint Detection & Response): PC 내부의 이상 행위를 감시하고 차단하는 '지능형 CCTV 및 출동 경찰'.

- NDR (Network Detection & Response): 네트워크 트래픽 전체를 감시하여 내부 확산을 막는 '도로망감시 시스템'.

- XDR (Extended Detection & Response): EDR, NDR, 클라우드 등 모든 방어 데이터를 한곳에 모아 분석하는 '종합 상황실'.

- AI Sec (AI Security): 인간이 분석하기 힘든 방대한 보안 경고(Alert)와 미지의 공격 패턴을 머신러닝으로 분석하고 자동화하는 '인공지능 보안 두뇌'.

- ID Sec (Identity Security): 임직원의 계정, 비밀번호, 권한 등을 보호하는 '신원 보안'. (해커들이 RDP나 VPN을 뚫기 위해 가장 먼저 노리는 것이 계정 탈취이기 때문에 최근 가장 중요해진 방어 영역입니다.)

 

⚔️ Offensive Security Platform (Red Team : 공격 및 검증)

레드팀은 실제 해커와 똑같은 방식과 시각으로 우리 회사를 공격해 봄으로써, 블루팀(방어망)의 취약점을 찾아내고 훈련시키는 '모의 적군' 역할을 합니다.

- ASM (Attack Surface Management - 공격 표면 관리):

해커의 시선에서 인터넷에 노출된 우리 회사의 취약한 자산(방치된 서버, 열려있는 RDP 포트, 유출된 도메인 등)을 찾아내는 솔루션입니다. "도둑이 들어올 만한 개구멍이 어디 있는지" 먼저 찾아내어 막는 개념입니다.

- AEV (Automated Exploit Validation - 자동화된 취약점 검증):

취약점이 발견되었을 때, 이것이 단순한 이론상 약점인지 아니면 "실제로 해킹(Exploit)이 가능한지" 자동화된 도구로 직접 공격해 보며 검증하는 솔루션입니다.

- Red Teaming (레드팀 훈련):

보안 전문가(화이트해커)들이 사전에 알리지 않고 실제 범죄자처럼 모든 수단과 방법(이메일 피싱, 악성코드 유포, 취약점 공격 등)을 동원해 회사를 해킹해 보는 **'실전 모의 훈련'**입니다. 블루팀의 방어 및 대응 능력을 가장 확실하게 테스트할 수 있습니다.

- DRP (Digital Risk Protection - 디지털 위험 보호):

회사 내부망이 아니라 외부(다크웹, 딥웹, 해킹 포럼 등)에서 임직원의 계정 정보, 회사 기밀문서, 고객 데이터가 유출되어 거래되고 있는지, 또는 회사를 사칭한 피싱 사이트가 있는지 감시하는 **'외부 위협 정찰기'**입니다.

 

MDR의 보안 보고서는 80%는 자동화 되어 있음, 그런데 커스튬은 불가능함

 

관제 역할을 할려면 매니지드가 필요하기 때문에 다크모드(망분리, 온프레미스)의 경우 연동하지 않는게 낮다.

 

MDR의 서비스 범위

- 감지(Validation) -> 위협 탐지(Investigation Threat) -> Threat Containment -> Live Forensics

 

Dwell Time - 일반적인 공격자의 체류시간 (과거 평균 5일, 현재는 AI등장으로 빨라짐)

 

Threat Hunting Case

 

일반적인 명령어를 사용해서 공격하면 악성 행위 탐지가 쉽지 않음, 그걸 찾는게 헌팅임

 

플레이북(Playbook)**은 특정 보안 위협이 발생했을 때 시스템과 보안 담당자가 **어떤 순서로 어떻게 대응해야 하는지를 미리 정의해 놓은 '자동화된 대응 시나리오(표준 행동 지침서) 플레이북(Playbook)**은 특정 보안 위협이 발생했을 때 시스템과 보안 담당자가 **어떤 순서로 어떻게 대응해야 하는지를 미리 정의해 놓은 '자동화된 대응 시나리오(표준 행동 지침서)

[예시] '랜섬웨어 감염' 플레이북이 작동하는 과정:

1. 탐지: EDR이 A 직원의 PC에서 랜섬웨어 의심 행위를 포착합니다.

2. 자동 대응 (플레이북 가동):

 Step 1: 감염된 PC의 사내 네트워크를 즉시 차단(격리)합니다.

 Step 2: 의심되는 파일의 실행 프로세스를 강제로 정지시킵니다.

 Step 3: 방화벽에서 악성 IP의 접근을 전면 차단합니다.

 Step 4: MDR 관제 센터(보안 담당자)에 즉시 긴급 알람을 보냅니다.

3. 전문가 개입: 위협의 확산이 물리적으로 차단된 안전한 상태에서, 보안 전문가가 분석 및 포렌식을 진행합니다.

 

미탐은 항상 발생할 수 밖에 없음

그럴 경우 시그니처(악성코드의 고유한 디지털 지문)가 없어서 발생했다는게 전부임..

 

실제 EDR설치시 하루 50건 이상 보고가 발생할수도 있어, 실질적으로 대응 조직이 없으면 진행하면 안됨,

그걸 커버하기 위해 NDR이 필요함