간략한 기록
2015을 되돌아보면 보안 산업이 EDR(엔드포인트 탐지 및 대응) 제품으로 넘쳤다는 사실에 대해 이의를 제기하기 어렵습니다. 모든 컨퍼런스에서 후원자 현장을 둘러보거나 모든 벤더 웹 사이트에서 백서 및 마케팅 피치를 샘플링하면 “실시간”으로 “기업 규모”에서 “예방, 탐지 및 대응”이라는 동일한 주장이 반복되는 것을 볼 수 있습니다. “이상 탐지”, “위협 인텔리전스” 및 “APT”에 대한 의무적인 언급을 던져 올바른 조치를 취합니다.
너무 많은 조직이 벤더를 하향 선택하고 평가하는 데 어려움을 겪는 것은 당연한 일입니다. 제안 요청은 모호하거나 과장된 응답을 생성합니다. 단계적 침입 시나리오가 있는 데모 및 소규모 개념 증명 실험실은 모든 제품을 효과적으로 보이게 할 수 있습니다. 모든 엔터프라이즈 솔루션과 마찬가지로 EDR 도구는 시간이 지남에 따라 실제 강점과 약점을 필연적으로 보여주며, 실제 복잡하고 지저분한 네트워크에 완전히 배포된 경우에만 표시됩니다.
Tanium에서 저의 역할은 진정한 벤더 중립적 관점을 주장하는 것을 불가능하게 할 수 있습니다. 그러나 보안 평가, 사고 대응 조사 및 복구 노력을 수행하는 컨설턴트로서 10년 이상 근무한 저는 실무자로서 나에게 가장 중요했을 기준을 염두에 두고 지속적으로 노력합니다.
여기서는 EDR 솔루션의 효율성에 영향을 미치는 세 가지 기본 속성, 즉 EDR 솔루션이 제공하는 데이터의 범위, 성능 및 확장성과 유연성에 초점을 맞추고자 합니다.
솔루션이 제공하는 데이터 범위는 무엇입니까?
엔드포인트 제품이 검색, 분석 또는 수집할 수 있는 데이터의 범위와 적시성은 해당 기능의 절대적인 핵심을 나타냅니다. 거의 모든 EDR 제품이 이제 “기업 전체 검색”을 제공한다고 주장하지만 중요한 질문은 “어떤 정보입니까?”입니다. 많은 솔루션은 확장성 또는 성능을 강화하기 위해 데이터 범위를 상당히 절충합니다. Google이 사용자가 30 일 내에 인덱싱한 사이트의 콘텐츠만 검색하도록 허용한 경우, 또는 반대로 인기 있는 웹 페이지에 대한 제목 태그 전반에서 무제한 검색 기간을 제공한 경우라고 상상해 보십시오.
엔드포인트 데이터는 대략 두 개의 도메인, 즉 과거 및 현재 상태로 나눌 수 있습니다. 두 가지 모두 왜 중요합니까? 파일 I/O, 네트워크 연결, 프로세스 실행, 로그온 이벤트 또는 레지스트리 변경과 같은 엔드포인트 원격 측정을 지속적으로 기록하는 제품이 사고 감지 및 대응에 점점 더 인기를 얻고 있습니다. 이전에 Tanium Trace를 시작하는 동안 블로그를 했듯이 이 기능은 리드를 분류하거나, 경고를 생성하거나, 시스템을 조사하는 데 필요한 노력을 가속화하고 단순화할 수 있습니다. 포렌식 증거의 격차로 인해 손실될 수 있는 아티팩트를 보존하고 강화하며, 단기간의 이벤트를 식별하고 유지하는 데 필요한 데이터 검색 주기를 줄입니다.
그러나 과거 데이터의 슬라이딩 창에만 의존하는 것은 특히 대규모로 헌팅할 때 상당한 제한이 발생합니다. 이러한 솔루션은 보존된 데이터의 기간과 경고 및 분석에 사용할 수 있는 데이터의 범위를 모두 제한합니다. 기록되지 않으면 찾을 수 없습니다.
이렇게 좁은 범위의 정보를 보완하기 위해 효과적인 사고 감지 및 대응을 위해서는 모든 시스템의 현재 상태 데이터에 대한 온디맨드 액세스도 필요합니다. 즉, 현재 발생하는 휘발성 아티팩트를 검색하거나 수집할 수 있습니다. 조사에서 접한 사례는 무수히 많습니다. 손상된 로컬 관리자 계정은 현재 어디에 로그인되어 있습니까? 현재 메모리에 악성 DLL이 로드된 시스템은 무엇입니까?
현재 상태 데이터에는 또한 최근에 변경되지 않았거나 과거 보존의 범위를 벗어나는 잠재적인 아티팩트가 포함되지만 사고 범위 조정에는 중요할 수 있습니다. 환경 전체에서 이름 또는 해시, 1년 동안 터치되지 않은 레지스트리 값 또는 WMI 저장소의 데이터와 유사한 보다 에소테릭한 포렌식 아티팩트로 “휴식 중”인 모든 유형의 파일을 검색해야 할 필요성을 고려합니다. 시스템이 이미 손상된 후 솔루션을 설치해야 하는 경우 어떻게 합니까? 제한된 범위의 데이터를 다루는 작업은 불가피하게 사각지대와 조사 데드 엔드로 이어집니다.
솔루션의 성능과 확장성은 무엇입니까?
거의 모든 EDR 벤더는 엔드포인트의 “수만 개”로 확장되는 “실시간” 속도의 일부 변형을 약속합니다. 실제로, 특히 평가 프로세스가 소규모 테스트 랩으로 제한되는 경우, 스마트한 핸드웨이빙으로 제품의 실제 성능과 확장성 한계를 숨기는 것은 매우 쉽습니다. 조직은 EDR 제품이 사용 사례를 충족할 수 있을 만큼 충분히 잘 작동할 수 있도록 어떻게 보장할 수 있습니까? 핵심은 속도와 규모를 평가하기 위해 보다 전체적인 접근 방식을 취하는 것입니다.
먼저 솔루션이 제공하는 상호작용 모드를 고려합니다. 수동 워크플로에는 임시 검색(“이 해시가 어디에 있습니까?”), 탐지 및 경고(“IOC 적중 또는 규칙이 트리거되었습니까?”), 이상 분석을 위한 데이터 수집(“모든 자동 실행 획득, 발생 빈도별 스택”)이 포함됩니다. 능동적인 업무 프로세스에는 격리를 시행하거나, 프로세스를 중단하거나, 멀웨어를 제거하거나, 구성 취약성을 수정하는 등 시스템 변경이 수반됩니다.
그런 다음 이러한 각 상호작용 모드에 사용할 수 있는 데이터 범위를 오버레이합니다. 여기에는 과거 활동이 포함됩니까? 현재 활동? 잠재 파일 또는 기타 아티팩트가 유휴 상태입니까? 마지막으로, 이러한 각 기준 세트에 따라 솔루션의 성능과 확장성을 평가합니다. 일부 솔루션은 과거 데이터 세트에 대한 전사적 액세스를 제공할 수 있지만 현재 또는 잠재 데이터를 규모에 따라(또는 그 반대) 쉽게 처리할 수 없습니다. 쿼리 또는 작업은 일부 작업의 경우 몇 초, 다른 작업의 경우 몇 시간이 걸립니까?
또한 조직은 원하는 수준의 성능과 규모로 솔루션을 운영하기 위해 발생하는 인프라 설치 공간 및 비용을 평가해야 합니다. 수평으로 확장되는 온프레미스 솔루션의 경우 유지 보수 비용이 증가하고 시간이 지남에 따라 효율성이 감소합니다. 서버가 많을수록 장애 지점이 많아지고 환경이 증가함에 따라 리소스 활용도를 재설계하고 균형을 맞춰야 합니다.
반면 클라우드 기반 솔루션은 인터넷을 통해 전송되는 데이터의 양을 관리해야 합니다. 이를 통해 클라이언트 측 필터링 및 트리거 메커니즘에 의존하게 되며, 이는 주문형 또는 소급적으로 사용 가능한 엔드포인트 데이터의 범위를 축소할 수 있습니다. 조직의 사용 사례에 따라 이러한 허용은 허용되지 않을 수 있습니다.
플랫폼이 얼마나 유연합니까?
이미 IR은 광범위한 엔드포인트 데이터에 대한 빠르고 확장 가능한 액세스가 필요하다는 점을 강조했습니다. 모든 EDR 도구는 프로세스 활동, 파일 시스템 메타데이터, 네트워크 연결, 계정 활동, Windows 레지스트리와 같은 OS별 아티팩트 등과 같은 “핵심” 포렌식 증거로 작업할 수 있습니다. 그러나 공격자 기법이 빠르게 진화함에 따라 새로운 운영 체제 업데이트, 애플리케이션 또는 연구자 발견으로 인해 도입된 증거의 소스도 빠르게 진화합니다. EDR 솔루션의 유연성은 이러한 새로운 결과를 얼마나 빨리 통합할 수 있는지에 직접적인 영향을 미칩니다.
제품을 비교할 때 많은 조직에서는 단순히 기능 목록을 요청합니다. 과거에 제품이 어떻게 업데이트되었는지, 그리고 성숙을 지속할 준비가 되었는지 이해하기 위해 한 단계 더 나아가는 것이 좋습니다. 여기에는 다음 평가가 포함될 수 있습니다.
- 개발 속도를 평가하기 위해 지난 한 해 동안 제품의 변경 로그를 검토하도록 요청합니다. 어떤 유형의 새로운 기능이 추가되었으며 , 얼마나 빨리 추가되었습니까?
- 소프트웨어가 어떻게 설계되는지, 새로운 데이터 소스를 쉽게 통합하거나 새로운 방식으로 엔드포인트와 상호 작용하는 데 도움이 되는지 고려하십시오. 고객은 얼마나 많은 통제권을 가지고 있습니까? 벤더 제공 에이전트 업데이트가 필요한 것은 무엇입니까?
- 사용자 커뮤니티의 상태는 어떻습니까? 다른 고객이 \"기존\" 기능을 넘어서는 기능을 공유합니까?
마지막으로, 제품이 “EDR”의 “응답” 부분을 얼마나 철저하게 다루는지 고려합니다. 프로세스를 중단하거나 네트워크에서 기계를 격리하는 것과 같은 전술적 복구 기능은 이 공간의 대부분의 도구에서 일반적입니다(그러나 이러한 작업을 조정하는 능력이나 규모는 다를 수 있음). 그러나 솔루션이 실제로 시스템을 보호하고, 다른 예방 제어를 보완하며, 엔드포인트 공격 표면을 줄일 수 있는지 여부 도 중요합니다. 이 영역의 주요 기능에는 네트워크를 통해 실행 또는 통신할 수 있는 것에 대한 제어 강화, 보안 구성 설정 평가 및 강화, OS 및 타사 애플리케이션에 대한 패치 수준 유지가 포함됩니다. 간단히 말해서, EDR 솔루션이 공격을 신속하게 탐지하고 대응하는 데에만 도움이 된다면, 실제로 조직을 더 탄력적으로 만들지는 못합니다. 이는 재침해 주기를 벗어나는 데 도움이 되지 않습니다.
엔터프라이즈 소프트웨어를 테스트, 구매 및 통합하는 것은 결코 쉬운 일이 아닙니다. 또한 기대에 부응하지 못한 제품을 립 앤 교체하는 작업이 반복될 때마다 상당한 운영 위험과 비용이 발생합니다. EDR 솔루션을 고려할 때, 이 블로그 게시물에 요약된 몇 가지 사항이 귀사에서 귀사의 요구에 가장 적합한 제품을 식별하기 위한 올바른 평가 기준을 형성하는 데 도움이 될 수 있기를 바랍니다.
Ryan Kazanciyan, 최고 보안 아키텍트
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
