EMSISOFT 엔드포인트 위협 탐지 및 대응 EDR

엠시소프트 EDR을 통해 말웨어 공격의 근원을 추적할 수 있는 심층 위협 통찰력 제공

• 작업영역의 모든 장치에서 주문형 스캐너, 파일 보호, 웹 보호, 동작 차단 및 안티랜섬웨어가 단일 패널에 나열
• 검색 및 필터링 기능을 사용하여 네트워크에서 특정 공격을 신속하게 찾을 수 있음
• 추가 분석을 위해 작업영역의 특정 사용자에게 멀웨어 사례를 할당
• MD5, SHA1 및 SHA256 해시를 포함한 위협 세부 정보
• 흐름 그래프로 표시되는 경고를 발생시킨 프로세스 실행 체인

엠시소프트 EDR 동작

• 엔드포인트 데이터 수집
  

  원격 측정 데이터(예: 프로세스 활동, 파일 변경, 레지스트리 활동, 네트워크 활동 등)는 일반적으로 각 엔드포인트에 배포된 소프트웨어 에이전트를 통해 환경의 엔드포인트에서 수집됩니다. 그런 다음 이 데이터를 중앙 집중식 플랫폼으로 전송하여 정리하고 분석할 수 있습니다. 중앙 집중식 플랫폼은 일반적으로 클라우드 기반이지만, 특정 산업에서는 규정 준수 요구 사항이 사내 구현을 사용해야 할 수도 있습니다.

  
  
• 데이터분석
  

  머신러닝 기술은 엔드포인트에서 수집된 원시 데이터를 분석하고 해석하는 데 도움이 됩니다. 많은 EDR 솔루션은 이 데이터를 사용하여 정상적인 사용자 동작이 어떻게 보이는지 "학습"할 수 있으며, 이는 엔드포인트 불규칙성을 강조하기 위해 사용될 수 있습니다. 또한 보안 담당자는 EDR 도구를 사용하여 위협의 '언제', '어디', '어떻게', '누구'를 식별하기 위해 데이터를 드릴다운하여 사고의 근본 원인을 찾을 수 있습니다.

  
  
• MITRE ATT&CK
  

  많은 EDR 도구는 실제 관찰을 기반으로 한 적 전술 및 기술의 글로벌 액세스 가능한 지식 기반인 MITRE ATT&CK 프레임워크를 사용하여 잠재적으로 유해한 사건을 분류합니다. 이 정보를 통해 보안 분석가는 실제 공격의 방법과 이유에 대한 귀중한 통찰력을 얻을 수 있으며, 이를 통해 조직의 보안 태세의 격차를 파악하고 강화할 수 있습니다.

  
  
• 자동 대응
  

  EDR 도구가 의심스럽다고 간주하는 모든 이벤트 또는 활동은 보안 담당자가 조사할 수 있도록 자동으로 경고를 생성합니다. 일부 EDR 도구는 경고를 발생시킬 뿐만 아니라, 기본 위협을 자동으로 제거하거나 포함하는 자동화된 규칙 기반 응답 기능을 사용하여 결정된 심각도에 따라 직접 작업을 수행할 수 있습니다. 보다 정교한 공격을 해결하기 위해서는 여전히 인간의 개입이 필요한 경우가 많지만, 자동 대응은 조직이 사고 대응 시간을 최소화하는 데 매우 중요합니다.

  
  
• 데이터 보존
  

  보안 담당자는 사건 대응 프로세스 중에 과거 데이터를 검토하여 공격이 발생한 방법을 확인할 수 있습니다. EDR 도구를 통해 얻은 통찰력은 조직이 향후 공격에 대비한 보안을 강화하는 데 매우 유용할 수 있습니다. 클라우드 기반 EDR 도구는 장치 완전 파괴가 수반되는 최악의 시나리오에서도 관리자가 클라우드에 저장된 이벤트 기록을 사용하여 공격자가 보안 시스템을 비활성화할 수 있는 마지막 순간까지 이어지는 일련의 이벤트를 분석할 수 있습니다. 클라우드 기반 EDR 데이터는 별도의 기기 입력이 필요한 이중 인증으로 보안돼 공격자가 접근할 수 없도록 합니다.

  
  
• 암호화된 파일 복원을 위한 롤백 기능 탑재 (엔터프라이즈 & 서버용)
  

  엔터프라이즈 및 서버용 라이선스 제품은 클라우드 중앙관리용으로 사용시 랜섬웨어 감염으로 부터 파일 암호화된 데이터를 복원하기 위한 파일 단위 파일 복구 기능 (암호화 전 상태로 돌려놓는 롤백 기능)을 제공합니다.

  
  

EMSISOFT 스마트 위협 심각도 분류를 통한 사고 개요(Incidents)

• Malicious (악성)
• Likely Malicious (유사 악성)
• Suspicious (의심)
• Notable (주목)
• Unwanted (원치 않는)

멀웨어 실행시 프로세스 트리 탐색 및 레지스트리 변경 내역

확장된 MITRE ATT&CK 멀웨어 동작 패턴

EDR 가용성

EMSISOFT Syslog 또는 SIEM서버와 통합 지원