두산디지털이노베이션이 엔드포인트(단말·서버) 탐지·대응(EDR)과 네트워크 탐지·대응(NDR)을 결합해 사이버 공격의 전체 흐름을 파악하는 통합 보안 체계의 필요성을 강조했다. 개별 보안 솔루션만으로는 공격자의 침투부터 내부 이동, 외부 통신, 데이터 유출까지 이어지는 공격 전 과정을 파악하는 데 한계가 있는 만큼 EDR과 NDR의 탐지 정보를 연계해야 한다는 설명이다.

11일 서울 강남구 코엑스에서 열린 '제20회 국제 시큐리티 콘퍼런스(ISEC 2026)'에서 류대원 두산디지털이노베이션 수석은 'XDR 생태계 구축 실전: 엔드포인트부터 네트워크, 오케스트레이션까지의 통합 전략'을 주제로 발표했다.

류 수석은 실제 침해사고 분석 사례를 통해 기존 백신이나 네트워크·메일 보안 솔루션에서 탐지하지 못한 공격 행위를 EDR과 NDR을 활용해 추가로 식별할 수 있다고 설명했다. 특히 보안 정보·이벤트 관리(SIEM)와 보안 오케스트레이션·자동화·대응(SOAR)을 연계해 분산된 보안 이벤트를 하나의 공격 흐름으로 연결하고 분석·대응 업무를 자동화하는 방향으로 보안 체계를 고도화해야 한다고 강조했다.

◆ 단말 내부는 EDR·이동 경로는 NDR…공격 전 과정 추적

EDR은 PC와 서버 등 엔드포인트 내부 공격을 식별해 프로세스 실행, 파일·레지스트리 변경, 악성 행위 등을 추적 한다. 반면 NDR은 시스템 간 이동 경로와 데이터 유출 범위를 가시화한다. 네트워크 패킷과 세션 등을 분석해 공격자의 시스템 간 이동, 외부 서버와의 통신, 데이터 유출 등을 파악한다.

류 수석은 "두 영역의 정보를 결합해야 공격자의 전체 침투 경로 흐름과 영향 범위를 종합적으로 규명할 수 있다"고 설명했다. 실제 공격은 최초 침투 이후 악성코드 실행과 권한 상승, 내부 시스템 간 측면이동, C2 통신, 터널링, 데이터 유출 등 여러 단계에 걸쳐 이뤄지기 때문이다.

이날 공개된 침해사고 사례에서도 공격자는 웹서버 취약점을 이용해 내부에 침투한 뒤 DB서버로 이동하고 관리자 권한을 확보한 것으로 분석됐다. 이후 자격증명 탈취와 랜섬웨어 파일 암호화, 리버스 RDP·프록시 터널링 등을 시도한 정황도 확인됐다.

특히 공격 과정에서는 악성 스크립트를 디스크에 파일 형태로 남기지 않고 메모리에서 직접 실행하는 '파일리스(Fileless)' 방식도 활용됐다. 정상적인 윈도우 프로세스와 파워쉘(PowerShell) 등을 이용하는 방식으로 기존 백신 등 단일 보안 체계에서는 탐지가 어려울 수 있다는 설명이다.

EDR은 이 과정에서 악성 EDR은 서버 내부에서 악성코드가 실행되거나 관리자 권한과 계정정보가 탈취되는 등의 공격 행위를 확인하고 일부 악성코드를 자동 차단했다. NDR을 활용한 추가 분석에서는 감염된 단말이 외부 공격자의 서버와 3초 간격으로 반복 통신하고 무작위로 생성된 여러 인터넷 주소에 지속적으로 접속을 시도한 정황도 확인됐다.

류 수석은 "EDR에서 확인한 단말 내부의 행위와 NDR에서 확보한 네트워크 이동·통신 정보를 연계하면 각각 흩어져 있던 보안 이벤트를 하나의 공격 흐름으로 연결할 수 있다"고 강조했다.

◆ 미탐지 공격까지 탐지…SIEM·SOAR 연계로 대응 자동화

류 수석은 EDR과 NDR의 통합 분석이 기존 보안 솔루션의 탐지 사각지대를 줄이는 데 효과적이라고 설명했다. 기존 APT 네트워크·메일 보안 솔루션이나 안티바이러스 제품에서 놓친 공격을 추가로 찾아내고 공격자의 침해 행위를 단계별로 추적할 수 있다는 것이다.

EDR의 머신러닝 기반 행위 분석을 활용하면 기존 백신이 탐지하지 못하는 새로운 공격 행위도 포착할 수 있다. 공격자가 사용하는 정상적인 윈도우 명령어 자체는 악성코드가 아니지만 공격 과정의 전후 맥락과 함께 분석하면 정찰 행위 등 이상 징후를 찾아낼 수 있다.

랜섬웨어 공격에 대해서도 엔드포인트의 악성 행위를 탐지·차단하는 데 그치지 않고 NDR을 통해 네트워크 전체의 움직임을 확인할 수 있다. 이를 통해 조직 내부 주요 데이터의 암호화나 정보 유출 등 2차 피해로 이어질 가능성을 줄일 수 있다는 설명이다.

류 수석은 향후 통합 보안 체계의 핵심으로 '오케스트레이션'을 제시했다. EDR과 NDR에서 각각 발생하는 이벤트를 SIEM·SOAR와 연동해 하나의 공격 흐름으로 연결하고 반복적인 보안 대응 업무를 자동화하는 방식이다. 이를 통해 보안 담당자의 분석 시간을 단축하고 사고 대응 효율을 높일 수 있다.

아울러 EDR 에이전트가 기존 정상 프로그램과 충돌하는 문제를 최소화하고 윈도우·맥OS·리눅스 등 다양한 운영체제를 지원하는 것도 실제 기업 환경에서 중요한 요소로 꼽았다.

류 수석은 "개별 보안 솔루션을 추가하는 데 그치지 않고 엔드포인트에서 발생한 행위와 네트워크에서 발생한 이동·통신을 연결해 공격의 전 과정을 가시화하는 것이 핵심이"이라며 "이를 기반으로 미탐지 공격에 대한 탐지 범위를 넓히고 SIEM·SOAR 연계를 통한 보안관제 업무 자동화까지 구현할 수 있다"고 강조했다.