회사 PC에서 악성코드를 삭제했다는 알림이 떠도 조사가 끝난 것은 아니다. 어떤 프로그램이 악성 파일을 실행했는지, 같은 계정으로 다른 PC에도 접근했는지, 삭제 전에 무엇이 바뀌었는지가 남는다. 백신의 차단 결과만으로는 이 질문에 답하기 어려울 수 있다.
EDR(Endpoint Detection and Response)은 PC와 서버 같은 단말의 활동을 관찰하고, 의심 행위를 탐지한 뒤 조사와 대응으로 연결하는 보안 기술이다. 전통적인 백신이 악성코드 탐지·차단·제거에 무게를 둔다면, EDR은 실행 전후의 흔적을 연결해 침해 범위를 확인하고 대응하는 데 무게를 둔다. 다만 현대 백신에도 행위 분석이 있어 두 영역은 겹친다.
기준일: 2026년 10월 16일. 아래 제품 문서는 기능을 설명하기 위한 사례이며, 지원 범위는 제품·운영체제·계약에 따라 달라진다.
1. EDR은 단말의 사건을 시간과 관계로 연결
EDR의 기본 흐름은 활동 수집 → 분석과 탐지 → 조사 → 대응이다. 일반적으로 단말에 설치한 에이전트가 활동 정보를 모으고 중앙 분석 체계와 연동한다. 여기서 수집하는 텔레메트리는 장치의 상태와 활동을 분석에 활용할 수 있도록 기록한 데이터다.
- 활동 수집: 프로세스 실행, 파일 변경, 네트워크 연결, 로그인 등 지원되는 이벤트를 모은다.
- 분석과 탐지: 탐지 규칙, 위협 정보, 행위 분석 등을 활용해 의심스러운 활동을 찾는다.
- 조사: 실행 순서와 부모·자식 프로세스 관계를 살펴보고 다른 단말의 관련 흔적도 검색한다.
- 대응: 정책과 권한에 따라 프로세스 중지, 파일 격리, 단말 네트워크 격리 등의 조치를 수행한다.
IBM의 EDR 설명은 지속적인 데이터 수집과 분석, 조사·대응을 주요 기능으로 다룬다. 예를 들어 보안 담당자는 경고에 등장한 파일 이름만 보는 대신, 그 파일을 실행한 프로그램과 이어진 외부 통신을 함께 확인할 수 있다. IBM EDR 문서
수집이 지속된다는 말이 모든 활동을 빠짐없이 저장한다는 뜻은 아니다. Microsoft도 자사 EDR을 모든 단말 작업을 기록하는 감사·로깅 솔루션으로 보아서는 안 된다고 명시한다. 따라서 EDR 기록만으로 모든 행위를 복원할 수 있다고 가정하지 말고 필요한 운영체제 감사 로그 등을 별도로 설계해야 한다. Microsoft EDR 문서
2. 백신과의 차이는 탐지 기법보다 조사와 대응 범위
전통적인 백신은 알려진 악성코드의 특징인 시그니처와 휴리스틱 검사 등을 활용해 파일을 판별해 왔다. 그러나 현재 백신을 시그니처 검사만 하는 도구로 설명하면 부정확하다. Microsoft Defender Antivirus의 공식 문서도 머신러닝, 클라우드 보호, 행위와 프로세스 트리를 이용한 차단을 설명한다. 파일리스 공격 역시 EDR만 탐지할 수 있는 영역으로 단정할 수 없다. Microsoft 백신 문서
| 비교 항목 | 전통적인 백신 중심의 보호 | EDR 중심의 탐지·대응 |
|---|---|---|
| 주된 목적 | 악성코드 실행 방지와 제거 | 의심 활동 탐지, 침해 범위 조사와 대응 |
| 분석의 초점 | 파일과 실행 대상의 악성 여부 | 프로세스·계정·연결의 시간적 관계 |
| 대표적인 결과 | 차단·치료·파일 격리 결과 | 경고, 활동 이력, 관련 단말과 조사 근거 |
| 대응의 범위 | 주로 악성 대상 차단과 제거 | 지원 범위 내 프로세스 중지·단말 격리 등 |
| 운영의 핵심 | 보호 기능·업데이트·검사 상태 유지 | 센서 상태, 경고 분석, 대응 권한과 절차 관리 |
이 표는 기능의 무게중심을 비교한 것이며 제품마다 기능이 나뉜다는 뜻은 아니다. EPP(Endpoint Protection Platform)는 백신 등 단말 보호 기능을 묶은 플랫폼이고, EDR 기능을 함께 제공하는 제품도 있다. 구매할 때는 제품 이름보다 예방·수집·조사·대응 중 실제로 제공되는 범위를 확인해야 한다. IBM EDR 문서
3. 같은 의심 행위도 전후 맥락에 따라 판단이 달라짐
다음은 작동 원리를 설명하기 위한 가상 상황이다. 사용자가 문서를 연 뒤 문서 프로그램이 스크립트 실행 도구를 시작하고, 그 도구가 평소 접속하지 않던 외부 주소와 통신했다. 각각의 프로그램이 정상 도구여도 실행 관계와 통신 목적을 함께 살펴볼 필요가 있다.
EDR 조사에서는 문서 프로그램 → 스크립트 도구라는 부모·자식 프로세스 관계, 실행 계정, 명령줄, 통신 대상, 후속 파일 변경을 확인할 수 있다. 다만 어떤 항목을 볼 수 있는지는 센서와 설정에 달려 있다. 이후 다른 단말에도 같은 실행 흐름이 있었는지 검색하면 한 대의 문제인지 더 넓은 침해인지 판단하는 데 도움이 된다.
반대로 관리자가 배포한 정상 자동화 작업도 스크립트를 실행하고 외부 서비스에 접속할 수 있다. 그러므로 스크립트 실행 자체를 사고로 단정해서는 안 된다. 승인된 작업인지, 실행 경로와 계정이 맞는지, 예상된 목적지인지 대조해야 한다. 이처럼 경고의 의미를 업무 맥락과 대조하는 것은 실무적인 분석 과정이다.
4. 단말 격리는 감염 제거와 별개의 조치
파일 격리는 의심 파일의 실행·접근을 제한하는 조치이고, 단말 격리는 해당 장치의 네트워크 통신을 제한하는 조치다. 단말 격리는 다른 시스템으로의 확산을 억제하는 데 도움이 되지만 악성코드 제거, 유출 여부 확인, 계정 복구를 대신하지 않는다.
Microsoft의 단말 대응 문서는 네트워크 격리, 조사 자료 수집, 백신 검사 등의 조치를 구분한다. 지원되는 환경에서는 격리 중에도 보안 관리 서비스와의 통신을 유지하지만, VPN·프록시 구성에 따라 관리 연결에 문제가 생길 수 있다. 조치별 운영체제·구독 조건도 서로 다르다. Microsoft 대응 문서
운영 측면에서는 격리 요청과 실제 적용 완료도 구분해야 한다. 오프라인 장치에는 명령이 즉시 전달되지 않을 수 있다. 중요한 업무 서버라면 격리로 중단되는 서비스와 대체 수단을 미리 확인하고, 승인자·실행자·해제 조건을 정해야 한다. 감염 확산 위험과 업무 중단 영향을 함께 판단할 수 있어야 대응 기능이 실질적인 통제가 된다.
5. 도입 후에는 경고보다 운영 공백을 먼저 점검
EDR을 설치해도 에이전트가 멈추거나 서버가 관리 대상에서 빠지면 필요한 시점의 기록이 없을 수 있다. 도입 효과를 평가할 때는 탐지 건수만 세기보다 아래 항목을 확인하는 편이 실무에 유용하다.
- 자산과 센서 상태: 관리해야 할 PC·서버가 등록되어 있고 최근 이벤트가 들어오는지 확인한다.
- 조사 가능한 기간: 활동 데이터의 보관 기간, 검색 범위, 외부 반출·연동 조건을 계약과 함께 확인한다.
- 대응 책임: 야간 경고를 누가 검토하고 어떤 상황에서 격리할지 정한다. 인력이 부족하면 MDR 같은 외부 관리형 탐지·대응 서비스도 검토하되 실제 조치 권한을 확인한다.
- 업무 영향과 예외: 기존 백신·업무 프로그램과의 호환성, 자원 사용량, 예외 정책을 대표 단말에서 검증한다. 예외에는 담당자와 재검토 시점을 둔다.
- 기록 접근 통제: 사용자명·파일 경로·명령줄 등에 민감한 정보가 포함될 수 있으므로 조회 권한, 보관 정책, 조사 자료의 공유 범위를 정한다.
이 항목들은 모든 제품의 공통 기능을 보장하는 목록이 아니라 도입·운영을 위한 확인 기준이다. 소규모 조직은 제품 기능의 수보다 실제 경고를 처리할 담당자와 외부 지원 범위를 먼저 확보할 필요가 있다. 대규모 조직은 단말 그룹별 정책과 대응 권한을 나누고 기존 관제 업무와 중복되지 않게 연결하는 설계가 중요하다.
6. 선택 기준은 경고 이후 일의 종료 가능 여부
EDR을 도입한다는 이유로 기존 백신을 곧바로 제거해서는 안 된다. 통합 제품이 예방 기능까지 제공하는지, 별도 백신과 함께 쓸 때 지원되는 구성이 무엇인지 확인해야 한다. EDR의 조사·대응 기능은 패치, 최소 권한, 계정 보호, 백업을 대체하지도 않는다.
도입 검증에서는 허가된 시험 환경에서 의심 활동을 발생시키고 기록 수집 → 경고 검토 → 담당자 확인 → 필요한 격리 → 조치 완료 확인 → 해제까지 이어지는지 점검하자. 업무 영향이 큰 장치는 별도 승인 절차도 시험해야 한다. 이 과정에서 막히는 지점이 있다면 제품 설정뿐 아니라 조직의 책임과 절차도 함께 보완해야 한다.
백신과 EDR을 비교할 때 확인할 것은 기능 목록의 길이보다 사고가 의심된 순간부터 안전하게 업무를 재개할 때까지 확보할 수 있는 근거와 실행 능력이다.