네트워크의 중요한 1차 사이버 보안 방어선인 엔드포인트 보안은 사이버 공격으로부터 최종 사용자는 물론 데스크탑, 노트북, 모바일 디바이스, 서버  등의 엔드포인트 디바이스를 보호합니다. 또한 엔드포인트 보안은 엔드포인트 디바이스를 사용하여 네트워크의 중요한 데이터 및 기타 자산에 대한 사이버 공격을 시도하려는 공격자로부터 네트워크를 보호합니다.

엔드포인트는 사이버 공격의 주요 엔터프라이즈 네트워크 진입점으로 남아 있습니다. 여러 연구에 따르면 성공한 사이버 공격의 90%와 성공한 데이터 침해의 70%가 엔드포인트 디바이스에서 발생한 것으로 추정됩니다. 2021년 IBM Security® 데이터 유출 비용 보고서에 따르면 데이터 유출로 인해 발생한 기업의 평균 비용은 USD 4.24M이었습니다.

오늘날 기업은 그 어느 때보다 다양하고 많은 엔드포인트를 보호해야 합니다. BYOD(Bring Your Own Device) 정책, 원격 근무 증가, 그리고 IoT 디바이스, 고객용 디바이스 및 네트워크 연결 제품의 급증으로 인해 해커가 악용할 수 있는 엔드포인트와 보안 팀이 보호해야 하는 취약성이 크게 증가했습니다.

최초의 엔드포인트 보안 소프트웨어인 바이러스 백신 소프트웨어는 알려진 형태의 멀웨어(트로이 목마, 웜, 애드웨어 등)로부터 엔드포인트를 보호합니다.

기존의 바이러스 백신 소프트웨어는 멀웨어 서명(알려진 바이러스 또는 멀웨어에 특징적인 바이트 문자열)을 기준으로 엔드포인트 디바이스의 파일을 검사했습니다.  바이러스가 발견되면 소프트웨어는 사용자 또는 관리자에게 알림을 보내고 바이러스를 격리 및 제거한 후 감염된 파일을 복구하는 도구를 제공했습니다.

흔히 차세대 안티바이러스(NGAV)라고 하는 오늘날의 바이러스 백신 소프트웨어는 서명을 남기지 않는 멀웨어를 포함하여 새로운 유형의 멀웨어를 식별하고 해결할 수 있습니다. 예를 들어 NGAV는 파일리스 멀웨어, 즉 메모리에 상주하고 악성 스크립트를 정상적인 애플리케이션에 삽입하는 멀웨어를 감지할 수 있습니다. 또한 NGAV는 의심스러운 활동 패턴을 알려진 바이러스의 패턴과 비교하는 휴리스틱과 파일에서 바이러스 또는 멀웨어 감염 징후를 스캔하는 무결성 스캔을 사용하여 의심스러운 활동을 식별할 수 있습니다.

바이러스 백신 소프트웨어만으로도 몇 가지 엔드포인트를 보호하기에는 충분할 수 있습니다. 하지만 그 이상은 일반적으로 엔터프라이즈 보호 플랫폼, 즉 EPP가 필요합니다. EPP는 NGAV를 다음과 같은 다른 엔드포인트 보안 솔루션과 결합합니다.

• 웹 제어: 웹 필터라고도 하는 이 소프트웨어는 웹사이트나 사용자가 다운로드하는 파일에 숨겨진 악성 코드로부터 사용자와 조직을 보호합니다. 또한 웹 제어 소프트웨어에는 사용자가 방문할 수 있는 사이트를 보안 팀이 제어할 수 있는 화이트리스팅 및 블랙리스팅 기능이 포함되어 있습니다.
• 데이터 분류 및 데이터 손실 방지: 민감한 데이터가 온프레미스나 클라우드 등 어디에 있든 문서화하고 해당 데이터에 대한 무단 액세스 또는 공개를 방지합니다.
• 통합 방화벽: 네트워크 안팎에서 무단 트래픽을 방지하여 네트워크 보안을 강화하는 하드웨어 또는 소프트웨어입니다.
• 이메일 게이트웨이: 수신 이메일을 스캔하여 피싱 및 소셜 엔지니어링 공격을 차단하는 소프트웨어입니다.
• 애플리케이션 제어: 보안 팀은 이 기술을 사용하여 디바이스에서의 애플리케이션 설치 및 사용을 모니터링하고 제어할 수 있으며 안전하지 않거나 승인되지 않은 앱의 사용 및 실행을 차단할 수 있습니다.

EPP는 보안 팀 또는 시스템 관리자가 모든 엔드포인트에 대한 보안을 모니터링하고 관리할 수 있는 중앙 관리 콘솔에 이러한 엔드포인트 솔루션을 통합합니다. 예를 들어 EPP는 각 엔드포인트에 적절한 보안 도구를 할당하고 필요에 따라 해당 도구를 업데이트 또는 패치하며 기업 보안 정책을 관리할 수 있습니다.

EPP는 온프레미스 또는 클라우드 기반일 수 있습니다. 그러나 EPP 카테고리를 최초로 정의한 업계 분석 전문기업인 Gartner (ibm.com 외부 링크)에 따르면 '바람직한 EPP 솔루션은 주로 클라우드 관리형이므로 활동 데이터를 지속적으로 모니터링 수집할 수 있을 뿐만 아니라 엔드포인트가 사내 네트워크에 있든 사무실 외부에 있든 관계없이 원격에서 수정 조치를 취할 수 있습니다'.

EPP는 알려진 위협 또는 알려진 방식으로 동작하는 위협을 차단하는 데 초점을 맞춥니다. 엔드포인트 감지 대응(EDR)이라고 하는 또 다른 엔드포인트 보안 솔루션은 보안 팀이 예방적 엔드포인트 보안 도구에 몰래 잠입하는 위협에 대응할 수 있게 해 줍니다. 

EDR 솔루션은 각 디바이스에 들어오는 파일과 애플리케이션을 지속적으로 모니터링하여 멀웨어, 랜섬웨어 또는 지능형 위협을 나타내는 의심스럽거나 악의적 활동을 찾습니다. 또한 보안 데이터의 세부정보와 원격 측정 데이터를 지속적으로 수집하여 실시간 분석, 근본 원인 조사, 위협 추적 등에 사용할 수 있는 데이터 레이크에 저장합니다.

EDR에는 고급 분석, 행동 분석, 인공 지능(AI) 및 머신 러닝, 자동화 기능, 지능형 경고, 조사 및 수정 기능이 포함되어 있으며, 이를 통해 보안 팀은 다음을 수행할 수 있습니다.

• 보안 침해 지표(IOC) 및 기타 엔드포인트 보안 데이터와 위협 인텔리전스 피드의 연관성을 파악하여 실시간으로 지능형 위협을 탐지합니다.
• 근본 원인을 격리하고 위협 조사를 가속화하는 데 도움이 되는 상황별 데이터와 함께 의심스러운 활동 또는 실제 위협에 대한 알림을 실시간으로 수신합니다. 
• 정적 분석(악성 또는 감염 의심 코드 분석) 또는 동적 분석(격리된 감염 의심 코드 실행)을 수행합니다.
• 엔드포인트 동작의 임계값을 설정하고 임계값 초과 시 경고를 생성합니다.
• 위협이 해결될 때까지 피해를 줄이기 위해 개별 디바이스의 연결을 끊고 격리하거나 프로세스를 차단하는 등의 대응을 자동화합니다.
• 다른 엔드포인트 디바이스가 동일한 사이버 공격의 영향을 받고 있는지 확인합니다.

더욱 발전된 형태의 최신 EPP에는 일부 EDR 기능이 포함되어 있지만 예방 및 대응을 포함하여 엔드포인트를 완벽하게 보호하려는 기업은 두 기술을 모두 사용해야 합니다.

확장형 감지 및 대응, 즉 XDR은 EDR 위협 감지 및 대응 모델을 인프라의 모든 영역 또는 계층으로까지 확장하여 엔드포인트 디바이스뿐만 아니라 애플리케이션, 데이터베이스 및 스토리지, 네트워크, 클라우드 워크로드를 보호합니다. SaaS(Software-as-a-Service) 오퍼링인 XDR은 온프레미스 및 클라우드 리소스를 보호합니다. 일부 XDR 플랫폼은 단일 공급업체 또는 클라우드 서비스 제공업체의 보안 제품을 통합하지만 조직이 직접 선호하는 보안 솔루션을 추가하고 통합하는 것이 가장 좋습니다.