[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] ¿£µåÆ÷ÀÎÆ® ŽÁö ¹× ´ëÀÀ(EDR) Ç÷§ÆûÀ» ¾µ¸ð ¾ø´Â °ÍÀ¸·Î ¸¸µé ¼ö ÀÖ´Â »õ·Î¿î °ø°Ý ±â¹ýÀÌ ¹ß°ßµÆ´Ù. À©µµ Ä¿³Î¿¡¼ »ç¿ëÀÚ ¿äûÀ» ó¸®ÇÏ´Â ¿ä¼Ò Áß ÇϳªÀÎ NTDLLÀ» ÀÌ¿ëÇÏ´Â °ÍÀ¸·Î, ¿©±â¿¡ ¼º°øÇÏ¸é °ø°ÝÀÚµéÀº NTDLL¿¡¼ºÎÅÍ ¾î¶² ÇÔ¼öµµ ½ÇÇà½Ãų ¼ö ÀÖ°Ô µÇ°í, À̸¦ EDRÀº ¾Ë¾Æç ¼ö ¾ø´Ù°í ÇÑ´Ù. ÀÌ °ø°Ý ±â¹ý¿¡´Â ºí¶óÀεå»çÀ̵å(Blindside)¶ó´Â À̸§ÀÌ ºÙ¾úÀ¸¸ç, ¹ß°ßÀÚ´Â »çÀ̹ķ¹ÀÌÆ® ¿ÀÆæ½Ãºê ¸®¼Ä¡ ±×·ì(Cymulate Offensive Research Group)ÀÌ´Ù.
[À̹ÌÁö = utoimage]
ºí¶óÀεå»çÀ̵å´Â ÈÄÅ© µÇÁö ¾ÊÀº ÇÁ·Î¼¼½º¸¦ Çϳª »ý¼ºÇÑ´Ù. ÈÄÅ©(hook)´Â ÇÑ °³ÀÇ ¾ÖÇø®ÄÉÀ̼ÇÀÌ ´Ù¸¥ ¾ÖÇø®ÄÉÀ̼ÇÀ» ¸ð´ÏÅ͸µ ÇÒ ¼ö ÀÖµµ·Ï ÇÏ´Â °ÍÀ» ¸»ÇÑ´Ù. ÁÖ·Î EDR Ç÷§Æû¿¡¼ ¾ÖÇø®ÄÉÀ̼ǵéÀÇ ¼ö»óÇÑ ÇàÀ§¸¦ ã¾Æ³»±â À§ÇØ ¡®ÈÄÅ·¡¯ÇÑ´Ù. ÈÄÅ©µÇÁö ¾Ê´Â ÇÁ·Î¼¼½º¶õ, ÀÌ·± °¨½Ã¿¡ °É¸®Áö ¾Ê´Â ÇÁ·Î¼¼½º¸¦ ¸»ÇÑ´Ù. ¾Ç¼º ÇàÀ§¸¦ ÆľÇÇØ¾ß ÇÏ´Â EDR ¼Ö·ç¼ÇµéÀº ÀÌ ÈÄÅ©¿¡ Å©°Ô ÀÇÁ¸ÇÏ´Â °Ô º¸ÅëÀÌ´Ù. ºí¶óÀεå»çÀ̵尡 ÈÄÅ©°¡ µÇÁö ¾Ê´Â ÇÁ·Î¼¼½º¸¦ ¸¸µç´Ù´Â °ÍÀÌ EDR¿¡ Ä¡¸íÀûÀ¸·Î ÀÛ¿ëÇÒ ¼ö¹Û¿¡ ¾ø´Ù.
»çÀ̹ķ¹ÀÌÆ®ÀÇ ±â¼ú ºÐ¾ß Ã¥ÀÓÀÚÀÎ ¸¶ÀÌÅ© µå³ªÆú¸®(Mike DeNapoli)´Â ¡°ÈÄÅ©ÀÇ »ý¼ºÀ» Â÷´ÜÇÏ´Â °Ô ºí¶óÀεå»çÀÌµå ¿Ü¿¡µµ Á¸ÀçÇÏÁö¸¸, ±âÁ¸ ¹æ¹ýµéÀº OS¿Í ±íÀº °ü·ÃÀÌ ÀÖ´Ù¡±°í ¼³¸íÇÑ´Ù. ¡°ºí¶óÀεå»çÀ̵å´Â OS ÀÇÁ¸µµ°¡ ³ôÁö ¾Ê½À´Ï´Ù. Çϵå¿þ¾î¸¦ ¿î¿µÇÏ´Â ¹æ½ÄÀ¸·Î ±¸ÇöµÇ¸ç, µû¶ó¼ ´Ù¸¥ ÈÄÅ© Á¦°Å ±â¼úÀÌ ÅëÇÏÁö ¾ÊÀ» ¶§µµ ºí¶óÀεå»çÀ̵å´Â Àß ÀÛµ¿ÇÕ´Ï´Ù.¡±
µå³ªÆú¸®´Â ¡°Çϵå¿þ¾î°¡ ÀÛµ¿À» ¸ØÃß´Â ÁöÁ¡(breakpoint)À» È°¿ëÇÏ´Â °Ô ºí¶óÀεå»çÀ̵åÀÇ ºñ°á¡±À̶ó°í ¼³¸íÀ» Ãß°¡ÇÑ´Ù. ¡°¹°·Ð Çϵå¿þ¾î¸¦ ÀǵµÀûÀ¸·Î ¸¶ºñ½ÃÄÑ °ø°ÝÀÚµéÀÌ ¿øÇÏ´Â °á°ú¸¦ ¸¸µé¾î³»´Â ¼ö¹ý ¿ª½Ã »õ·Î¿ï °ÍÀº ¾ø½À´Ï´Ù. º¸¾È Àü¹®°¡³ª ÇØÄ¿µé ¸ðµÎ X86 ¾ÆÅ°ÅØó ³»¿¡¼ Çϵå¿þ¾î°¡ ºñÁ¤»óÀûÀ¸·Î ÀÛµ¿Çϵµ·Ï °Á¦ÇÏ¸é ¾î´À ¼ø°£ ¾Ç¼ºÀûÀÎ °á°ú¸¦ ²ø¾î³¾ ¼ö ÀÖ´Ù´Â °ÍÀ» ¾Ë°í ÀÖ½À´Ï´Ù. ÇÏÁö¸¸ ºí¶óÀεå»çÀ̵å´Â ±âÁ¸ ¹æ¹ýµé°ú Á¶±ÝÀº ´Ù¸¨´Ï´Ù. ±âÁ¸ ¹æ¹ýµéÀº ÇÁ·Î¼¼½ºÀÇ °¡»óȳª ½Ã½ºÅÛ È£Ãâ(syscall)À» ÁÖ·Î È°¿ëÇßÁö¸¸ ºí¶óÀεå»çÀ̵å´Â ¿©±â¿¡ ´õÇØ Æ¯Á¤ µð¹ö±ë ÇÁ·Î¼¼½º¸¦ ¾Ç¿ëÇÕ´Ï´Ù.¡±
»õ·Î¿î °ø°Ý ±â¼úÀÇ ÀÇÀÇ
µå³ªÆú¸®´Â ¡°»õ·Î¿î °ø°Ý ±â¹ýÀ» º¸¾È ¾÷°è°¡ ¸ÕÀú ¹ß°ßÇÔÀ¸·Î½á EDR º¥´õµéÀÌ °ø°ÝÀڵ麸´Ù ÇÑ ¹ß ´õ ¾Õ¼°¥ ¼ö ÀÖ´Ù¡±°í ¼³¸íÇÑ´Ù. ÇØÄ¿µéÀÌ ¸ð¸£´ø °ø°Ý ±â¹ý ȤÀº ¾ÆÁ÷ È°¿ëµÇÁö ¾Ê¾Ò´ø °ø°Ý ±â¹ýÀ» ±»ÀÌ º¸¾È ¾÷ü°¡ ¸ÕÀú °ø°³ÇÒ ÇÊ¿ä°¡ ÀÖ´À³Ä´Â Áú¹®¿¡ ´ëÇÑ ´äÀÌ´Ù. ¡°´õ ³ª¾Æ°¡ ÀÏ¹Ý »ç¿ëÀÚµéÀÇ º¸¾È ÀÎ½Ä Á¦°í¿¡µµ µµ¿òÀÌ µÇ´Â ¿¬±¸¶ó°í º¼ ¼ö ÀÖ½À´Ï´Ù. EDR ¼Ö·ç¼ÇÀ̶ó°í Çؼ ¸¸´ÉÀº ¾Æ´Ï¶ó´Â °É ¾Ë·ÁÁÖ´Â °ÍÀÌÁÒ.¡±
º¸¾È ¾÷ü ³Ý¿£¸®Ä¡(Netenrich)ÀÇ ¼ö¼® À§Çù ºÐ¼®°¡ÀÎ Á¸ ¹ãº£³Ø(John Bambenek)Àº ¡°½ÇÁúÀûÀ¸·Î È°¿ëµÇ±â¿¡ ÃæºÐÇÑ °ø°Ý ±â¹ýÀÌ º¸¾È ¾÷°è·ÎºÎÅÍ ¸ÕÀú ³ª¿Ô´Ù´Â °Ç ²Ï³ª ÁÁÀº ÀÏ¡±À̶ó°í °Åµç´Ù. ¡°ÀÌ·± ½ÄÀÇ ¿¬±¸°¡ °è¼Ó ÁøÇàµÇ°í º¸¾È ¾÷°è¿¡ ³Î¸® °øÀ¯µÊÀ¸·Î½á ¹Ì¸® ¹æ¾î¹ýÀ» ¿¬±¸ÇÏ°í ¹ßÀü½Ãų ¼ö ÀÖ½À´Ï´Ù. »õ·Î¿î °ø°Ý ±â¹ýÀ» ã¾Æ³»´Â ÀÌ·± È°µ¿Àº ƯÁ¤ Ç÷§ÆûÀ̳ª ¼Ö·ç¼ÇÀÌ ¾àÇÏ´Ù´Â °É °ø°³ÇÏ´Â °Ô ¾Æ´Ï¶ó, À§ÇèÇÑ ºÎºÐÀ» ¼±Á¦ÀûÀ¸·Î ã¾Æ ´õ ´Ü´ÜÇÏ°Ô ¸¸µå´Â µ¥¿¡ ¸ñÀûÀÌ ÀÖ½À´Ï´Ù. EDRÀº °ø°ÝÀÚµéÀÌ Ç×»ó ħÇØÇϱâ À§ÇØ ¿¬±¸ÇÏ´Â ´ë»óÀ̱⵵ ÇÏ°í¿ä.¡±
¹æ¾î·Â °ÈÇϱâ
µå³ªÆú¸®´Â ¡°À̹ø ¿¬±¸ °á°ú¸¦ ½ÃÀÛÀ¸·Î EDR Ç÷§ÆûµéÀÌ ³ª¾Æ°¥ ¹æÇâÀÌ Á¤ÇØÁö±â¸¦ Èñ¸ÁÇÑ´Ù¡±°í ¸»ÇÑ´Ù. ¡°±×°Ç ¹Ù·Î ÈÄÅ·¿¡ ´ëÇÑ ÀÇÁ¸µµ¸¦ ³·Ãß´Â °ÍÀÌ°ÚÁÒ. Â÷¼¼´ë EDR ¼Ö·ç¼ÇµéÀº ´Ù¸¥ ¹æ¹ýÀ¸·Î ¼ö»óÇÑ ÇàÀ§µéÀ» ŽÁöÇÒ ¼ö Àֱ⸦ ¹Ù¶ø´Ï´Ù. ±×°Ô EDRÀÌ ´õ °·ÂÇØÁö´Â ¹æ¹ýÀ̱⵵ ÇÕ´Ï´Ù. ÀÌ¹Ì ½ÃÀå¿¡ ÈÄÅ· ¿Ü ´Ù¸¥ ±â¼úÀ» ½á¼ ¸ð´ÏÅ͸µ ÇÏ´Â ¼Ö·ç¼ÇµéÀÌ ½ÃÀå¿¡ Á¸ÀçÇÏ°í Àֱ⵵ ÇÏÁÒ. ÈÄÅ·À» ´ú È°¿ëÇÏ°íÀÚ ÇÏ´Â È帧ÀÌ Çü¼ºµÆ´Ù°íµµ º¼ ¼ö ÀÖ½À´Ï´Ù.¡±
¹ãº£³ØÀº ¡°EDR·Î¸¸ º¸¾ÈÀ» ´Ù ÇÏ·Á´Â Á¶Á÷µéÀÌ ÀÖ´Ù¡±¸ç ¡°±×·± »ý°¢À» ÇÑ ¹øÂë ÀǽÉÇØ º¸°Ô ÇÑ´Ù¸é, ±×°Í¸¸À¸·Îµµ À̹ø ¿¬±¸ÀÇ ÀÇÀÇ´Â ÃæºÐÇÏ´Ù¡±°í ¸»ÇÑ´Ù. ¡°»ç½Ç ±× ¾î¶² º¸¾È ¼Ö·ç¼Çµµ ±×°Í µü Çϳª¸¸À¸·Î º¸¾ÈÀ» ¿Ï¼º½Ãų ¼ö´Â ¾ø½À´Ï´Ù. ±×°É ÀÎÁö½ÃÅ°´Â °Ô Áö±ÝÀº °¡Àå Áß¿äÇÑ °Í Áß Çϳª°¡ ¾Æ´Ò±î »ý°¢ÇÕ´Ï´Ù. º¸¾ÈÀº º¸´Ù ¸¹Àº ±â¼úÀ» º¹ÇÕÀûÀ¸·Î È°¿ëÇÒ¼ö·Ï °ÈµÈ´Ù´Â °É ÀÌÇØÇϱ⸸ Çصµ º¸¾ÈÀº ÇÑÃþ ´õ °ÈµÉ ¼ö ÀÖ½À´Ï´Ù.¡±
3ÁÙ ¿ä¾à
1. EDRÀ» ¹«·ÂȽÃÅ°´Â »õ·Î¿î °ø°Ý ±â¹ý ¹ß°ßµÊ.
2. ÀÌ ±â¹ýÀÇ À̸§Àº ºí¶óÀεå»çÀ̵å·Î, ÈÄÅ· ÇÁ·Î¼¼½º¿¡ ´ëÇÑ EDR ¼Ö·ç¼ÇµéÀÇ ÀÇÁ¸µµ¸¦ ³ë¸° °Í.
3. EDR ¼Ö·ç¼ÇµéÀÇ ÈÄÅ· ÀÇÁ¸µµ ³·Ãß°í, ¸ÖƼ·¹ÀÌ¾î º¸¾È¿¡ ´ëÇÑ ÀÎÁöµµ¸¸ ³ô¿©µµ ¿¬±¸ ÀÇÀÇ ÃæºÐ.
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>