백신을 점검하고 EDR로 넓혀 가는 엔드포인트 보안 선택법

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

직원 PC에 백신이 설치되어 있는데도 랜섬웨어와 계정 탈취가 걱정된다면 선택지는 두 갈래로 나뉩니다. 기존 백신의 정책과 운영을 강화할 것인지, 아니면 행위 탐지와 조사 기능을 갖춘 EDR 솔루션으로 범위를 넓힐 것인지 결정해야 합니다.

두 제품은 비슷한 보안 도구처럼 보이지만 담당하는 역할과 운영 부담이 다릅니다. 이번 비교에서는 ‘백신 대 EDR’이라는 단순 승부를 넘어, 기업이 현재 환경을 진단하고 필요한 기능을 순서대로 도입하는 방법을 살펴봅니다.

1. 먼저 백신이 막는 위협과 놓치는 행동을 구분합니다

알려진 악성코드 차단은 백신이 빠르고 경제적입니다

기업용 백신은 파일 시그니처, 평판 정보, 휴리스틱 검사 등을 이용해 악성 파일을 찾아 격리합니다. 중앙 관리 기능이 있는 제품이라면 검사 일정, 엔진 업데이트, USB 제어와 탐지 현황도 한 화면에서 관리할 수 있습니다. 단말 수가 적고 전담 보안 인력이 없는 조직에는 비용과 관리 난도가 비교적 낮다는 점이 큰 장점입니다.

반면 정상 프로그램을 악용하는 공격에서는 이야기가 달라집니다. 공격자가 PowerShell이나 명령 프롬프트를 이용하거나, 탈취한 계정으로 원격 관리 도구를 실행하면 악성 파일 하나만 검사해서는 전체 흐름을 파악하기 어렵습니다. 백신 경고가 없다는 사실이 곧 침해가 없다는 뜻은 아닙니다.

• 백신이 유리한 영역: 알려진 악성코드 차단, 정기 검사, 기본 웹 위협 방어, 적은 운영 인력
• 백신의 한계: 여러 정상 프로세스를 연결한 공격, 침투 이후 이동 경로, 과거 행위 추적
• 우선 확인할 항목: 엔진 업데이트 실패 단말, 검사 예외 폴더, 장기간 미접속 장비, 관리자 권한 사용자

EDR은 파일보다 사건의 앞뒤를 기록합니다

EDR은 프로세스 실행, 파일 생성, 레지스트리 변경, 네트워크 연결 같은 단말 행위를 수집하고 서로 연결합니다. 예를 들어 이메일 첨부 문서가 스크립트를 호출하고, 해당 스크립트가 외부 서버에 접속한 뒤 자격 증명 도구를 실행했다면 개별 파일이 아니라 일련의 공격 흐름으로 보여주는 방식입니다.

제품 이름부터 비교하기보다 최근 보안 사고를 재구성할 로그가 남아 있는지 먼저 점검하십시오. 기록이 없다면 담당자는 차단 여부뿐 아니라 피해 범위도 판단하기 어렵습니다.

정보기술이 데이터의 생성·처리·전달을 포괄한다는 IT 개념의 설명처럼, 엔드포인트 보안도 설치된 프로그램 하나가 아니라 데이터와 사용자 행동의 연결 관계로 봐야 합니다. 이 관점이 필요한 조직이라면 EDR의 가치가 커집니다.

2. 탐지 성능보다 경보를 처리할 사람과 시간을 계산합니다

백신은 단순하지만 EDR은 판단 업무를 요구합니다

백신은 악성 파일을 자동 격리하고 관리자에게 결과를 알리는 구조가 중심입니다. 오탐이 발생해도 파일 복원이나 예외 처리로 끝나는 경우가 많습니다. 이에 비해 EDR은 ‘의심스러운 명령 실행’이나 ‘평소와 다른 프로세스 연결’처럼 분석이 필요한 경보를 만들어 냅니다.

이 차이는 구매 이후에 선명해집니다. EDR이 하루 수십 건의 경보를 보내도 누가 중요도를 판단하고 단말 격리 여부를 결정할지 정해져 있지 않으면 대시보드만 복잡해집니다. 보안 담당자가 다른 인프라 업무까지 맡는 회사라면 제품 기능보다 경보 운영 모델을 먼저 설계해야 합니다.

직접 운영과 MDR 연계도 함께 비교합니다

내부에서 경보를 분석할 인력이 없다면 EDR에 관제 서비스를 결합한 MDR이 현실적인 대안이 될 수 있습니다. 다만 서비스 제공자가 경보를 통보만 하는지, 실제 단말 격리와 초동 분석까지 수행하는지 계약 범위를 구분해야 합니다. 야간과 휴일 대응 시간, 긴급 연락 방식, 월간 보고서의 깊이도 확인 대상입니다.

1. 한 달 동안 현재 백신의 탐지·오탐·업데이트 실패 건수를 수집합니다.
2. 경보 확인부터 사용자 연락까지 걸리는 평균 시간을 측정합니다.
3. 내부 대응이 어려운 시간대를 찾아 직접 운영과 MDR 비용을 견적 냅니다.
4. 동일한 모의 위협을 사용해 두 후보의 탐지 정보와 조사 시간을 비교합니다.

재택과 외부 근무가 보편화된 배경은 포스트 코로나 관련 설명에서도 확인할 수 있습니다. 사무실 밖 단말이 많다면 사내망 접속 여부와 무관하게 정책을 전달하고 격리할 수 있는지도 중요한 평가 기준입니다.

3. 전사 구매 전에 비용과 성능을 작은 구간에서 검증합니다

라이선스 가격만 비교하면 실제 비용을 놓칩니다

백신과 EDR의 견적은 단말 수, 서버 포함 여부, 보관 기간, 분석 기능, 기술지원 수준에 따라 달라집니다. 일부 제품은 백신 기능이 EDR 라이선스에 포함되지만, 다른 제품은 별도 모듈로 계산합니다. 따라서 ‘단말당 가격’만 나란히 놓기보다 3년 총소유비용으로 비교해야 합니다.

총소유비용에는 구축비와 라이선스 외에도 운영자 교육, 경보 튜닝, 로그 저장, 기존 백신 제거, 장애 대응 시간이 포함됩니다. EDR 에이전트가 업무용 PC의 메모리와 CPU를 얼마나 사용하는지도 비용입니다. 설계 프로그램이나 영상 편집 도구를 쓰는 단말에서는 몇 퍼센트의 성능 저하도 직원 체감으로 이어질 수 있습니다.

• 초기 비용: 라이선스, 구축 컨설팅, 정책 설계, 기존 에이전트 교체
• 반복 비용: 구독 갱신, 로그 보관, 관제 서비스, 관리자 교육
• 숨은 비용: 오탐 조사 시간, 업무 프로그램 충돌, 네트워크 트래픽, 예외 정책 관리
• 회피 가능한 손실: 사고 조사 단축, 감염 단말 확산 방지, 증적 확보 시간 절감

30~50대의 대표 단말로 PoC를 진행합니다

검증 대상은 최신 사무용 PC만 고르면 안 됩니다. 오래된 노트북, 개발자 장비, 임원 PC, 원격근무 단말, 회계 프로그램 사용 장비처럼 실제 환경을 대표하는 30~50대를 섞는 편이 좋습니다. 서버용 에이전트는 업무 영향이 크므로 사용자 PC와 분리해 검증합니다.

첫 주에는 탐지만 활성화해 정상 행위 기준을 모으고, 둘째 주에는 경보 규칙을 조정합니다. 이후 제한된 단말에서 프로세스 종료와 네트워크 격리를 시험하고 복구 절차까지 확인합니다. ‘탐지했다’는 결과보다 담당자가 원인을 이해하고 안전하게 대응할 수 있었는가를 점수화해야 제품 간 차이가 드러납니다.

1. 업무 프로그램 실행 시간과 CPU·메모리 사용량의 도입 전 기준선을 기록합니다.
2. 문서 매크로, 의심 스크립트, 비정상 원격 접속 등 승인된 시험 시나리오를 수행합니다.
3. 탐지까지 걸린 시간, 경보 설명의 명확성, 오탐 비율을 후보별로 기록합니다.
4. 단말 격리 후 업무 복구에 걸린 시간과 헬프데스크 문의량을 비교합니다.
5. 시험 종료 후 예외 정책과 삭제 도구가 정상 동작하는지 확인합니다.

PoC의 승자는 경보 수가 가장 많은 제품이 아닙니다. 실제 담당자가 중요한 경보를 빨리 골라내고, 업무 중단을 최소화하며 대응한 제품이 더 좋은 선택입니다.

4. 백신을 남길 단말과 EDR을 적용할 경계를 따로 그립니다

위험도에 따라 혼합 배치하면 과잉 투자를 줄일 수 있습니다

모든 단말에 동일한 보안 수준을 적용할 필요는 없습니다. 고객 개인정보, 소스 코드, 재무 자료를 취급하거나 관리자 권한을 가진 단말에는 EDR을 우선 배치하고, 제한된 업무만 수행하는 공용 단말에는 중앙 관리형 백신을 유지할 수 있습니다. 다만 두 제품을 동시에 설치할 때 실시간 검사 충돌이 생기지 않는지 제조사의 공식 호환 정책을 확인해야 합니다.

적용 순서는 위험과 대응 가능성을 함께 고려합니다. 첫 달에는 IT 관리자와 재무·인사 부서에 적용하고, 경보 처리 절차가 안정된 뒤 개발 조직과 일반 사무 단말로 넓히는 방식이 안전합니다. 각 확대 시점에는 사용자 문의량, 오탐률, 에이전트 성능, 미처리 경보 수를 기준으로 다음 배포 여부를 결정합니다.

• EDR 우선 대상: 도메인 관리자, 원격접속 사용자, 개발자, 경영진, 개인정보 취급자
• 백신 유지 후보: 단일 업무용 키오스크, 외부망이 차단된 장비, 교체가 임박한 저사양 PC
• 별도 검토 대상: 생산설비 PC, 의료·계측 장비, 지원이 종료된 운영체제, 상시 가동 서버

EDR만으로 해결되지 않는 예외도 남습니다

EDR은 단말에서 관찰되는 행위에 강하지만 이메일 보안, 방화벽, 계정 인증, 데이터 백업을 대신하지 않습니다. 공격자가 정상 계정으로 클라우드 저장소에 접속하거나, 관리 대상이 아닌 개인 기기에서 자료를 내려받는 상황은 엔드포인트 에이전트만으로 충분히 확인하기 어렵습니다. 다중 인증과 접근 권한 검토, 변경 불가능한 백업도 함께 운영해야 합니다.

또한 일부 생산설비와 특수 장비는 에이전트 설치 자체가 제조사 보증 조건을 위반하거나 실시간 제어에 영향을 줄 수 있습니다. 이런 장비에는 무리하게 EDR을 넣기보다 네트워크 분리, 허용 목록, 외부 저장장치 통제 같은 보완책이 적합합니다. 기술의 폭넓은 역할은 IT 용어 자료에서 참고할 수 있지만, 실제 보안 범위는 조직의 자산과 계약 조건을 기준으로 정해야 합니다.

마지막 경계는 사람과 권한입니다. EDR 운영 계정이 탈취되면 공격자가 탐지를 끄거나 단말 대응 기능을 악용할 수 있으므로 관리자 계정 분리, 다중 인증, 작업 승인과 감사 로그가 필요합니다. 백신과 EDR 중 무엇을 선택하더라도 지원 종료 운영체제, 관리되지 않는 개인 기기, 로그를 확인할 담당자가 없는 시간대까지 자동으로 해결되지는 않는다는 점은 솔직하게 예산과 적용 범위에 반영해야 합니다.

1. 에이전트를 설치할 수 없는 장비를 자산 목록에서 별도로 표시합니다.
2. EDR 관리자 권한을 정책 변경, 조사, 단말 격리 역할로 나눕니다.
3. 서비스 장애 시 사용할 비상 해제 코드와 승인자를 문서화합니다.
4. 분기마다 미관리 단말과 라이선스 누락 여부를 다시 대조합니다.