엔드포인트 보안은 현대 사이버 보안의 필수적인 부분으로 인식되고 있다.

서버, 워크로드, 엔드 유저 워크스테이션, 랩탑 및 기업 네트워크와 SaaS 애플리케이션에 접근하는 데 사용되는 기타 모든 디바이스를 보호하는 데 중점을 두는 만큼 엔드포인트 보안은 결국 첫 번째이자 마지막 방어선이다.

일반적으로 엔드포인트 보안은 멀웨어(malware) 및 비 멀웨어 기반 공격 방어(차세대 안티바이러스 - NGAV), 엔드포인트의 기본 보안 상태 및 취약성 모니터링 및 관리, 엔드포인트 호스트 기반 방화벽(HBFW) 관리, 공격 탐지 및 대응(엔드포인트 탐지 및 대응 - EDR) 등 시장 성숙도와 이해도가 높은 분야로 간주된다.

필자가 속해 있는 VM웨어의 카본 블랙(Carbon Black)의 경우, VM웨어 카본 블랙 클라우드를 통해 제공되고 있다.

사이버 공격은 보안 툴을 피해 계속해서 적응하고 진화하기 때문에 보안 툴과 프로세스도 이에 맞춰 진화해야 한다.

VM웨어 카본 블랙이 EDR을 확장된 탐지 및 대응(XDR)으로 발전시켜 고객과 파트너가 최신 위협에 사전 대응할 수 있도록 지속적으로 지원하는 이유다.

간단히 말해, XDR은 EDR이 자연스럽게 진화된 버전이라고 볼 수 있다.

XDR은 기존 EDR에서 제공하던 프로세스 관련 텔레메트리에 ID 및 네트워크와 같은 텔레메트리 유형을 추가한다.

추가 텔레메트리 유형은 신호 충실도를 높이고 의심스러운 활동을 탐지할 수 있는 추가 수단을 제공해 평균 탐지 및 대응 시간(MTTD/MTTR)을 단축한다.

EDR, 네트워크, ID 텔레메트리는 모두 XDR을 구성하는 동일한 축이지만, 그 중에서도 특히 ID가 중요한 이유는 결국 공격자보다 앞서 나가기 위해서는 누가, 어디서, 어떤 디바이스로 네트워크에 접속하는지를 명확하게 파악하는 것이 필수적이기 때문이다.

상당수의 공격이 새로운 사용자 계정 또는 신원 생성, 계정 탈취, 권한 상승을 수반한다는 현실을 고려할 때 사용자 인증 가시성은 꼭 필요하다.

이제 카본 블랙 클라우드는 로그온·로그오프, 로그인 실패, 계정 잠금, 권한 부여 등 광범위한 ID 인텔리전스 또는 사용자 인증 활동과 관련된 이벤트를 수집할 수 있다.

이 기능은 누가, 어떤 디바이스에서, 어디에서 네트워크에 접근하는지에 대한 중요한 인사이트를 제공한다.

이처럼 사용자 인증 가시성과 엔드포인트 보안을 결합하면 많은 이점을 얻을 수 있다.

첫번째로, 의심스러운 활동의 조기 탐지가 가능하다.

엔드포인트 보안 플랫폼은 사용자 인증을 모니터링하여 네트워크에서 의심스러운 로그인 시도나 비정상적인 활동을 감지할 수 있다.

이 정보를 사용해 보안 팀은 경보기를 작동시키고 심각한 피해가 발생하기 전에 잠재적인 위협을 초기에 조사하도록 유도할 수 있다.

두번째로, 사고 대응 개선이 가능하다.

사용자 인증 가시성은 보안 사고 발생 시 중요한 정보를 제공할 수도 있다. 

보안팀은 사고 발생 시 누가 당시에 로그인했는지 파악함으로써 문제의 잠재적 원인을 신속하게 파악해 사고의 영향을 억제하고 완화하기 위한 적절한 조치를 취할 수 있다.

세번째로, 컴플라이언스를 강화할 수 있다.

많은 컴플라이언스 규정에서 조직은 민감한 데이터 및 시스템에 대한 사용자 액세스를 추적하고 모니터링해야 한다.

사용자 인증 가시성은 조직이 이러한 요구 사항을 충족하고 컴플라이언스 미준수로 인한 과도한 벌금을 피하는 데 도움이 될 수 있다.

네번째로, 향상된 액세스 제어가 가능하다.

사용자 인증 가시성은 과도하거나 부적절한 액세스 권한을 가진 사용자를 식별하여 조직이 액세스 제어를 개선하는 데에도 도움이 될 수 있다.

이 정보는 액세스 정책을 조정하고 잠재적인 보안 침해를 방지하는 데 사용할 수 있다.

우리의 최우선 과제는 고객, 파트너, 그리고 이들이 보호하는 조직을 최신 사이버 위협으로부터 보호하는 것이다.

카본 블랙 클라우드에 ID 인텔리전스를 포함시킨 것은 VM웨어가 조직을 안전하게 보호할 수 있도록 지원하는 또 다른 방법이다.

<글 = 저스틴 팔크 VM웨어 카본 블랙 제품 관리 시니어 매니저>