글로벌 칼럼 | XDR 솔루션에서 확인해야 할 5가지

필자는 약 18개월 전에 XDR(eXtended Detection and Response)이라는 용어에 대해 처음으로 언급했다. 이후 모든 보안 공급업체(주요 보안 업체와 중소보안업체 모두 마찬가지)가 XDR 대세에 합류해 이 개념을 수용했다. 
 

엔드포인트에서 내부로 XDR에 접근한 공급업체도 있고, 네트워크에서 외부로 접근한 업체도 있다. XDR의 전제는 보안이 일련의 포인트 제품에서 기업 전반의 위협 가시성을 위한 단일 플랫폼으로 전환된다는 것이므로 두 가지 접근 방법 모두 유효하다. 위협을 더 빠르게 탐지하고 신속하게 대응해 피해 반경을 억제하기 위해 다양한 집행 지점(enforcement point)에서 데이터가 수집된 다음 분석된다.

EDR(Endpoint Detection and Response)과 같은 전통적인 보안 도구는 위협을 찾기는 하지만 그 위협이 어디에서 비롯되는지는 파악하지 못해 시정 조치를 취할 수 없는 경우가 많다. 대부분의 탐지 및 대응 도구가 EDR에서 'D'에는 효과적이지만 'R'에는 떨어지는 이유다. XDR은 이 문제를 해결한다.

XDR 솔루션의 5가지 주요 기능

XDR은 모든 보안 계층을 관통한다. XDR에 출사표를 던진 공급업체가 많은 이유가 여기에 있다. 선택할 수 있는 보안 공급업체의 수가 어지러울 만큼 많고 진정한 XDR 솔루션과 이름만 XDR인 솔루션이 혼재된 상황이다. 솔루션을 판단할 때 다음과 같은 XDR의 5가지 핵심 기준을 고려하면 도움이 될 것이다.

1. 보안 범위 전반에 대한 가시성
XDR의 'X'는 'eXtended'를 의미한다. 따라서 XDR 도구는 기본적으로 넓은 가시성(Visibility)을 가져야 하지만, 어느 한 공급업체가 위협 환경의 모든 지점에서 보안 제품을 보유하고 있을 것이라는 기대는 비현실적이다. 

하지만 XDR 공급업체라면 최소한 엔드포인트와 클라우드, 네트워크를 제공한 다음 이메일 및 애플리케이션별 데이터와 같은 영역에 대한 서드파티 데이터 피드를 흡수해야 한다. 이상적인 형태는 XDR 공급업체가 이 3가지 축을 소유하는 것이지만 파트너십을 통해 기능을 조달하는 것도 가능하다. 여러 시스템에 걸쳐 대응을 연계하기가 어려울 수 있지만 가능한 일이다.

2. 머신러닝 기반 분석(Machine learning-based analytics)
보안 시스템은 방대한 양이 데이터를 생성한다. 워낙 많은 양이라서 최고의 포렌식 전문가라 해도 수동으로 분석하기는 불가능하다. 머신러닝(Machine Learning, ML) 알고리즘은 침해를 나타낼 수 있는 아주 작은 이상 현상도 포착할 수 있다. 그 필요성에도 불구하고 일부 보안 전문가는 시야를 머신에 내주기를 주저한다. 

그러나 머신러닝은 대규모 XDR을 현실적으로 구현하는 유일한 방법이다. 의료 산업을 예로 들면 몇 년 전에 의사들은 ML 시스템이 MRI를 본다는 데 대해 불편함을 느꼈지만 곧 ML 덕분에 데이터를 살펴보는 시간을 줄이고 환자를 보는 시간을 더 늘릴 수 있음을 알게 됐다. 보안과 XDR의 관계도 마찬가지다.

3. 자동화된 대응(Automated response)
ML 기반 분석과 마찬가지로 자동화를 사용해 보안 사고에 대응하기 위해서는 신뢰의 도약이 필요하다. 위협 대응을 자동화하는 것이 위험하다고 생각하는 사람도 있지만 사실은 수동 프로세스로 인해 대응 속도가 늦어지고, 침해가 현재 진행 중인 경우 지연으로 인해 기업이 수백만 달러의 손실을 입을 수 있다. 

효과적인 중간 단계는 XDR 시스템이 변화를 권장하면 보안 팀이 이 변화를 검증, 실행하는 것이다. 테슬라의 자율 운전 방식과 비슷하다. 운전자는 스티어링 휠 가까이에 손을 유지해야 하지만 조작은 차량이 한다.

4. 대응 조율(Coordinate responses)
네트워크 엔드포인트와 클라우드 간에 대응 조율이 되지 않는 것은 사이버보안이 생겨난 이래, 보안 팀의 아킬레스건이었다. 네트워크 쪽에서 위협을 탐지하고 제거할 수 있지만 이를 엔드포인트 팀에게 알리지 않고, 결과적으로 일부 악성코드가 사내에 창궐하는 경우가 발생한다. 

XDR은 보안 팀이 네트워크, 클라우드, 엔드포인트 위협을 하나의 대시보드에서 제거할 수 있게 해주는 통합 대응 시스템을 요구한다. 이렇게 되면 빠른 대응을 실현하고 위협의 영향력을 억제, 통제할 수 있다.

5. 간소한 워크플로우
보안 분야에는 '복잡성이 적'이라는 말이 있는데, XDR에 있어서는 확실히 맞는 말이다. 현재의 사일로화된 보안 도구는 끝이 없어 보이는 경보를 생성한다. 이 경보에는 잡음이 너무 많아 활용하기가 어렵다. 

지난 10년 동안 발생한 대대적인 침해 사고의 상당수에서 보안 업체는 모두 사고를 탐지했다고 주장하지만 정작 보안 팀은 대응을 하지 않았다는 사실만 봐도 이는 증명된 사실이다. 경보가 과도하게 많은 경우 경보가 없는 것과 마찬가지다. XDR 시스템은 완전한 그림을 간편한 조사 방식과 함께 제공해서 다양한 소스에서 근본 원인, 이벤트 시퀀스, 위협 세부 정보를 손쉽게 찾을 수 있도록 해야 한다.

XDR 구축을 고려하는 기업이 마지막으로 생각할 점은 다음과 같다. 강력한 솔루션은 많지만 솔루션의 효과는 전적으로 솔루션을 사용하는 팀에 의해 좌우된다는 것이다. 성공적인 XDR 전략을 위해서는 클라우드, 엔드포인트, 네트워크와 같은 다양한 보안 그룹 간의 사일로를 허물어야 한다. XDR 구축은 CISO로부터 하향식으로 진행되면서 각 보안 그룹이 각자의 사일로를 넘어 협력할 것을 의무화해야 한다. XDR은 2년 전 처음 이 용어가 고안된 이후 많은 발전을 이뤘다. 사람과 프로세스도 이에 맞춰 발전해야 한다. editor@itworld.co.kr