[2026 EDR·NDR·XDR 솔루션 리포트] 국가 사이버보안 기본지침 개정과 만나 보안 체계를 업그레이드하다

탐지와 대응의 골든타임 확보해 조직의 연속성 지켜내는 EDR·NDR·XDR
[설문조사] 국가 사이버보안 기본지침 개정안, 38.3% ‘개정 소식만 들어봤고, 세부 내용은 잘 몰라’
EDR·NDR·XDR 솔루션 집중분석: 쿼드마이너, Trellix(아이티언), 넷위트니스, 이글루코퍼레이션, ESET, 안랩, 쿼리시스템즈

[보안뉴스 원병철 기자] 2026년 5월 1일 국가정보원이 각급 기관의 사이버보안 기본 업무를 규정한 정부 IT 보안의 최상위 실무 기준서 ‘국가 사이버보안 기본지침’이 개정 및 공포됐다. 이번 지침은 기존 망 분리에서 N2SF로의 패러다임 전환으로 잘 알려졌지만, 내부적으로는 EDR, NDR, XDR 등 ‘탐지 및 대응’(Detection & Response) 체계의 도입과 관제 연동 의무화가 실무 포인트로 꼽혔다. 차세대 보안 솔루션으로 꼽혔지만, 비용이나 연동 등의 문제로 쉽게 선택받지 못했던 탐지 및 대응 솔루션들이 드디어 날개를 달 때가 됐다.

국가 사이버보안 기본지침은 대한민국 공공 및 국가기관의 사이버보안 패러다임을 바꾸는 대전환점을 마련했다. 기존의 획일적인 경계선 중심 차단 방식(망 분리)에서 벗어나, 데이터 중요도 기반의 통제 체계로 전환해 클라우드와 생성형 AI 등 신기술을 활용할 수 있도록 한 것이 핵심이다.

보다 강력해진 국가 사이버보안 기본지침
2026년 5월 1일자로 일부 개정된 이번 지침은 기존 ‘국가 정보보안 기본지침’에서 ‘국가 사이버보안 기본지침’으로 명칭이 변경됐다. 국가정보원장이 정하는 각급기관 사이버보안 기본업무를 규정하는 것 (제1조)이 지침의 목적이며, 각급기관에는 △국가기관 △지방자치단체 △교육청 및 그 소속기관 △공공기관 △국·공립학교 △군기관이 포함된다.

개정된 내용 중 주요 내용을 살펴보면 크게 다섯 가지를 꼽을 수 있다. 첫 번째는 바로 ‘국가 망 보안체계’(N2SF)의 법제화와 일률적 망 분리 규정의 폐지다. 기존 제2절 정보통신망 보안 제40조였던 ‘내부망·인터넷망 분리’ 항목이 삭제됨으로써 공공기관의 업무망과 인터넷망을 무조건 나누도록 했던 일률적 망 분리 규정이 사라지게 됐다.

대신 제39조의2에서 정보를 ‘기밀(C)·민감(S)·공개(O)’의 3개 등급으로 분류해 등급에 따라 차등적으로 보안 통제를 적용하게 했다. 등급에 맞춰 도메인과 시스템은 구분해야 하며, 보안 통제 가이드라인을 준수하면 민감(S) 등급 정보도 외부 민간 클라우드와 생성형 AI 환경에서 처리할 수 있게 허용됐다.

두 번째는 생성형 AI 보안 규정과 우주 사이버보안 관리 기준 신설이다. 제72조의2에서 각급기관의 장은 인공지능 시스템을 구축·운용하고자 할 경우 보안대책을 수립·시행해야 한다고 했으며, 국정원이 배포한 ‘AI 보안 가이드북’ 등 AI 보안 관련 가이드라인을 활용하도록 했다.

세 번째는 보안 예산을 각 기관 정보화 예산의 최소 15%를 사이버보안 예산으로 편성하도록 했으며, 보안 인력 또한 전체 정보화 업무 담당 인력 대비 최소 10% 이상을 전담 사이버보안 인력으로 확보하도록 했다(제5조③).

네 번째는 사용자 중심의 인증과 관제를 강화했다. 제52조 및 제52조의2에서는 제76조의2에 따라 구축·운영하는 통합인증체계는 국정원장이 안전성을 검증한 제품을 도입하거나, AML, OAuth, OIDC 등 국제 표준을 준수하는 통합인증체계를 도입하고, 원격 근무자 및 정보시스템 관리자에 대해 다중인증(MFA) 적용을 의무화했다.

다섯 번째는 민간 IT·보안 기업으로의 협조 의무 확대다. 신설된 제4조에 따르면 국정원장으로부터 사이버보안 직무 수행과 관련해 △사실의 조회·확인 △자료의 제출 등 협조 및 지원 요청을 받은 국가기관, 정보화사업 수주 용역업체, 각급기관 IT·정보보호 시스템 공급업체, 클라우드 제공자, 전기통신 사업자, 정보통신서비스 제공자는 요청에 따라야 한다.

▲국내외 대표 EDR·NDR·XDR 제품·솔루션 [출처: 각 사 제공, 정리: 보안뉴스]

개정된 지침에서 주목한 보안 솔루션 ‘EDR·NDR·XDR’
여기까지의 다섯 가지 주요 내용은 잘 알려진 사실이다. 하지만 좀 더 자세하게 이번 개정 지침을 살펴보면, 사이버보안 솔루션, 특히 앞서 설명한 탐지 및 대응 솔루션에 대한 조항을 찾아볼 수 있다.

이는 기존의 경계선 차단의 망 분리 중심에서 N2SF로 변화하며 데이터 중심 보안으로 보안 패러다임이 변화했기 때문이다. 즉, 망 분리 정책으로도 침입을 100% 막을 수 없기에, 내부망으로 들어온 위협을 실시간으로 추적하고 대응하는 위협 탐지 솔루션들의 역할을 지침에 구체적으로 명시한 것이다.

먼저 ‘엔드포인트 탐지 및 대응’(EDR: Endpoint Detection & Response)은 제131조(보안관제센터 설치·운영)에서 언급하고 있다. 131조⑤-5에서 ‘각 기관 도입 EDR(단말 위협탐지 제품)을 보안관제 체계와 연동’하라고 명시한 것이다. 즉, 각급기관이 도입한 EDR을 국가·공공기관의 보안관제 체계와 직접 연동하라고 한 것으로, 이 항목이 EDR의 설치를 강제하지는 않았지만, 단말 내부에서 발생하는 악성 행위, 파일리스(Fileless) 공격, 권한 남용 등의 로그와 탐지 결과를 보안관제센터가 실시간으로 수집하고 분석하려면 EDR이 필요하기 때문에, 결국 EDR 중심의 단말 보안 체계가 자리 잡으면서 필수 제품으로 될 가능성이 높다.

‘네트워크 탐지 및 대응’(NDR: Network Detection & Response)은 N2SF의 도입으로 클라우드 활용과 외부 연결(인터넷, SaaS 등)이 확대되면서 네트워크에서의 가시성 확보 요구에 따라 도입이 요구되고 있다. 특히 온프레미스와 클라우드, 내부 도메인 간 이동하는 동적 트래픽에서의 이상징후와 측면 이동(Lateral Movement)을 감지하기 위해서는 NDR의 필요성이 절대적이라 할 수 있다.

‘확장 탐지 및 대응’(XDR: eXtended Detection and Response)은 단일 솔루션 점검을 넘어 여러 보안 영역의 탐지 규칙과 결과를 상관분석할 수 있는 관제 인프라를 요구하는 이번 지침에 꼭 필요한 솔루션이다. 제131조⑤-2에서 언급한 ‘보안관제센터로부터 사이버공격·위협을 탐지하기 위한 탐지규칙 수신 및 이를 활용해 탐지한 결과의 회신’을 위해서는 XDR이 필요하기 때문이다.

▲국내외 기업의 EDR·NDR·XDR 제품·솔루션 구축 사례 [출처: 각 사 제공, 정리: 보안뉴스]

EDR·NDR·XDR 업계 “공공기관을 중심으로 관련 수요 구체화될 것”
이번 국가 사이버보안 기본지침의 개정에 대해 보안 업계에서는 어떻게 생각하고 있을까?

EDR과 관련해 안랩은 “국내 EDR 시장은 개별 솔루션 도입을 넘어 보안관제 체계와 연계해 통합적인 위협 탐지 대응체계를 구현하는 방향으로 발전하고 있다”면서, “특히 이번 지침에서 EDR과 보안관제 체계의 연동을 명시함에 따라 공공기관을 중심으로 관련 수요가 더욱 구체화될 것”이라고 예상했다.

특히 현장에서는 단순히 개별 보안 솔루션을 추가 도입하는 것을 넘어, 다양한 영역에서 수집한 보안 데이터를 어떻게 통합 분석하고 실제 대응에 활용할 것인지에 대한 관심이 높아지고 있다는 것이 업계의 분석이다. SaaS와 클라우드 활용이 확대되면서 보호해야 할 자산과 데이터가 여러 환경에 분산되고 있어, 엔드포인트와 네트워크, 서버, 클라우드, 계정 등에서 발생하는 정보를 종합적으로 분석하고 대응 우선순위를 판단할 수 있는 체계가 중요해지고 있다는 설명이다.

지니언스도 “개정된 지침에서 NDR을 콕 찝은 것은 고도화된 사이버공격이 경계망을 우회해 이와 연결된 엔드포인트를 직접 겨냥하는 추세 때문”이라면서, “보안관제의 무게 중심을 네트워크에서 엔드포인트로 전환해 최종 단말에서 일어나는 이상행위를 실시간으로 추적하고 방어하기 위해 지침이 개정된 것으로 보이며, 그 핵심 수단으로 EDR 연동이 강조된 것”이라고 밝혔다.

또한 넷위트니스는 NDR에 대해 “아직까지 온프레미스 기반으로 NDR을 사용하는 고객들이 많지만, 최근 클라우드 망으로의 도입 확장 사례도 점차 늘어나고 있다”면서, “특히 2026년 상반기에 많은 고객사들이 클라우드 망으로의 확장과 SASE 트래픽 분석에 대한 요청과 문의가 많았다”고 설명했다.

엔피코어도 “국내 EDR 시장은 이번 지침을 기점으로 ‘검토 단계’에서 ‘도입 단계’로의 전환이 뚜렷하게 이뤄졌다”면서, “특히 기관 내 보안관제 체계와 EDR 연동이 의무화되면서 공공기관을 중심으로 단순히 EDR을 설치하는 수준이 아닌, 관제와 연동해 실제로 운영할 수 있는지를 묻는 곳이 늘었다”고 답변했다. “NDR 역시 N2SF에 따른 암호화 트래픽 가시성 확보와 상시 네트워크 모니터링이 규정되면서 관심이 빠르게 높아지고 있습니다. 특히 에이전트를 설치할 수 없는 단말과 클라우드 워크로드가 늘어날수록 네트워크 구간의 탐지 공백을 메울 현실적인 수단으로 주목받고 있습니다.”

XDR에 대해 안랩은 “XDR 역시 엔드포인트, 네트워크, 클라우드, 계정 등 여러 영역의 데이터를 통합 분석해 조직의 위험과 대응 우선순위를 판단하는 플랫폼으로 주목받고 있다”면서, “고객들은 개별 제품의 탐지 성능뿐 아니라 기존 SOC 및 보안 솔루션과의 연동성, 대량 이벤트의 분석 효율성, 실제 대응까지 연결할 수 있는지를 중요하게 검토하고 있다”고 설명했다.

최근에는 고객으로부터 공공·금융·기업 등 다양한 분야에서 고도화된 위협 탐지와 보안 운영 효율화에 대한 요구가 이어지고 있으며, EDR을 단독으로 도입하기보다 EPP, XDR, 위협 인텔리전스, SOAR 및 MDR 서비스까지 연계해 탐지부터 분석, 대응까지 이어지는 체계를 구축하려는 움직임이 나타나고 있다.

이글루코퍼레이션은 “변화된 지침은 기존 ‘경계 방어’에서 ‘위협 모니터링 및 통합 대응’으로 보안 패러다임을 전환하는 명확한 신호”라고 판단했다. “클라우드와 SaaS 도입으로 보호해야 할 환경이 복잡해지면서, 현장 보안 담당자들의 가장 큰 고민은 내부자 위협을 어떻게 신속히 식별할 것인가입니다. 지침에 따른 EDR 연동 의무화는 단말 가시성을 중앙 단위로 통합하려는 조치이며, 현장에서는 이를 시작으로 네트워크 흐름(NDR)과 전체적으로 분석 및 대응하는 XDR 체계로 나아가야 한다는 필요성에 공감하고 있습니다.”

늘어난 비용과 인력 부족, 기존 투자와의 중복 등 넘어야 할 산 존재
물론 상황이 장밋빛인 것만은 아니다. 엔드포인트를 보호하는 EDR과 네트워크를 모니터링하는 NDR, 그리고 모든 영역을 하나의 플랫폼으로 묶어 대응하는 XDR은 하나로 조합하면 큰 시너지 효과를 낼 것으로 보이지만, 실상은 장애 요소가 많다. 방향성에는 공감하지만 모두 도입하는 것은 문제가 많다는 거다.

우선 예산 부족이 가장 문제다. EDR과 NDR, XDR을 모두 도입하기엔 투자 비용이 너무 커서 상황과 필요에 따라 나눠 도입하는 경우가 대부분이다. 게다가 이 솔루션들을 모두 운용할 만한 전문 운영 인력을 확보하는 것도 문제다. 솔루션이 늘어날수록 관리해야 할 콘솔과 알림도 늘어나는 데, 이를 감당할 인력이 부족하다는 지적이다. 세 번째는 기존 투자와의 중복이다. 이미 도입해 운용하고 있는 방화벽과 IPS, SIEM과 SOAR 등의 장비들과 활용 영역이 겹친다고 판단해 도입을 미루는 경우가 많다.

세부적으로 보면, EDR의 경우 공공과 금융을 중심으로 확산기에 진입했고, 지침 개정 이후 공공분야의 발주가 늘고 있다. 다만 단말의 성능 저하와 인력 부재, 라이선스 비용 부담이 걸림돌로 작용하고 있다. NDR은 대규모 트래픽을 다루는 대형 기관과 기업을 중심으로 초기 시장이 이뤄졌으며, 에이전트 설치가 불가능한 단말과 서버, IoT 영역의 가시성 확보 등이 도입 목적으로 꼽힌다. 역시나 비용 문제와 인력 문제, 그리고 기존 방화벽과 IPS와의 교차 문제가 지적됐다. XDR은 관심은 가장 많지만 도입은 이제 시작 단계로 보이며, NDR과 마찬가지로 이미 투자한 이기종 보안 솔루션과의 통합이 도입을 방해하는 문제로 꼽힌다.

다만 업계에서는 이러한 흐름도 분명히 바뀌고 있다고 말한다. 이번 지침의 개정으로 도입 명분이 뒷받침되기 시작했고, 단일 플랫폼의 제품을 도입해 관리 및 비용을 아낄 방법을 찾는 사용자들도 늘고 있다. 또한 생성형 AI나 MDR 서비스를 이용해 인력 문제를 해결하려는 방향도 있다.

실제로 보안 솔루션 기업은 사용자의 보안 운용 효율성을 제고하기 위해 보안 전용 AI 모듈 출시로 기존에 도입한 솔루션을 효과적으로 활용할 수 있도록 지원하고 있으며, MDR 서비스 역시 단순한 경보 전달을 넘어 위협 분석과 격리와 초동 대응, 사고 원인 분석과 보고서 작성까지 포함하는 방향으로 확대되고 있다.

EDR·NDR·XDR 솔루션 사용자 설문조사
그렇다면 현재 EDR·NDR·XDR 솔루션에 대한 보안 전문가들의 생각은 어떨까? 본지는 보안 전문가들의 생각을 듣기 위해 2026년 7월 16일부터 7월 20일까지 5일간 약10만여명의 보안 전문가들에게 설문조사를 실시했다. 이번 설문조사에는 공공(15%)과 민간(85%)의 보안전문가 1072명이 답했다.

먼저 이번 ‘국가 사이버보안 기본지침 개정안의 세부 요구사항’(EDR-SOC 연동, N2SF 도입, 클라우드 관제 등)에 대해 얼마나 파악하고 있는지를 물어봤다. 응답자의 38.3%는 ‘개정 소식만 들어보았고, 세부 내용은 잘 모른다’고 답했다. 28.9%는 ‘개정 사실은 알고 있으나, 우리 기관/기업에 어떻게 적용할지 검토 단계이다’고 답했다. 17.8%는 ‘매우 잘 알고 있으며, 구체적인 이행 계획을 수립중이다’라고 답했으며, 15.0%는 ‘이번에 처음 알았다’를 선택했다. 설문 응답자의 53.3%는 개정안에대해 자세하게 몰랐다는 것을 알 수 있다.

이어 이번 개정 지침 중 응답자의 조직에서 이행하기에 ‘가장 난이도가 높고 까다롭다’고 느끼는 항목은 무엇인지를 물어봤다. 복수로 응답을 받은 이번 질문에서 응답자의 54.2%는 ‘국가 망 보안체계(N2SF) 도입에 따른 암호화 트래픽 가시성 확보 및 상시 모니터링’을 꼽았다. 또한 37.4%는 ‘엔드포인트 탐지 및 대응(EDR) 솔루션과 내부 보안관제(SOC) 플랫폼 간의 실시간 연동’을 선택했으며, 24.3%는 ‘보안 예산(15% 이상) 및 인력(10% 이상) 의무 비율 충족’을 꼽았다. 이어 19.6%는 ‘클라우드 환경 내 통합 보안관제 체계 구축’을, 11.2%는 ‘다중인증(MFA) 도입 의무화 대응’을 각각 선택했다.

그렇다면 현재 ‘EDR 도입과 SOC 연동은 얼마나 됐을까?’ 응답자의 31.8%는 ‘EDR은 도입했으나, SOC와의 실시간 연동(격리, 대응 API 연계)은 추가 구축이 필요하다’고 답했다. 또한 25.2%는 ‘도입을 검토 중이나 예산/인력 부족으로 구체적인 일정을 잡지 못했다’고 밝혔다. ‘올해 내 도입 및 연동을 목표로 예산을 확보해 진행 중이다’고 답한 응답자는 16.8%였으며, ‘이미 도입을 완료했으며, 내부 SOC 연동까지 완벽히 마쳤다’고 답한 응답자는 14.1%였다. 다만 12.1%는 ‘도입 계획이 없다’를 선택했다.

N2SF에 대응하기 위한 ‘암호화 트래픽 가시성 확보 및 상시 네트워크 모니터링(NDR 등)’은 어떻게 할 계획인지도 물어봤다. 하지만 응답자의 35.5%는 ‘구체적인 대응 방안을 아직 수립하지 못함’이라고 답했고, 15.9%는 ‘기존 관제 범위 내에서 수동 대응(추가 솔루션 도입 계획 없음)’한다고 답해 대응 방안 마련이 시급함을 보여줬다. 이어 27.1%는 ‘트래픽 복호화(SSL 가시성) 장비 추가 도입을 통한 모니터링 강화’를, 21.5%는 ‘기존 네트워크 보안 장비 업그레이드 및 NDR 전용 솔루션 신규 도입(예정)’을 선택해 대응하고 있음을 알렸다.

또한 클라우드 및 온프레미스 통합 관제를 실현하기 위해 차세대 보안 플랫폼인 ‘XDR’ 도입을 고민하고 있는지도 물어봤다. 응답자의 절반가량인 44.9%는 ‘관심은 있으나 예산 규모가 커서 당장은 어렵고, 장기 과제로 검토 중이다’라고 답했으며, 19.6%는 ‘통합 관제의 효율성을 위해 적극적으로 도입을 검토/추진 중이다’라고 답했다. 다만 18.7%는 ‘XDR 솔루션의 구체적인 효과나 정의에 대해 아직 잘 모르겠다’를 선택했으며, 16.8%는 ‘기존 SIEM/SOAR 솔루션으로 대체가 가능하다고 판단해 도입 계획이 없다’를 골랐다.

그렇다면, 새로운 지침 준수와 통합 보안 모델(EDR/NDR/XDR) 구축을 진행할 때, 가장 크게 겪는 현실적인 어려움은 뭐가 있을까?

가장 많은 응답자(37.4%)들은 ‘구축 및 라이선스 도입 예산 부족’을 꼽았으며, 24.3%는 ‘복잡한 이기종 솔루션 간의 연동 기술 지원 미비’를 들었다. 또한 15.0%는 ‘대량의 보안 로그를 분석하고 실시간대응할 전문 인력 부족’을, 14.0%는 ‘운용 인력 부족’을 지적했다. 한편 7.5%는 ‘클라우드 등 신규 인프라에 대한 보안 정책 수립의 어려움’을 선택했다.

EDR·NDR·XDR, 대한민국 공공분야의 보안체계를 한 단계 높이다
최근 사이버 위협은 고도화되고 빠르며, 영역을 가리지 않고 우리를 위협하고 있다. 따라서 보안 강화 역시 단일 영역을 넘어 엔드포인트부터 네트워크까지, 전반에 걸쳐 이뤄져야 하며, 부족한 부분을 채워주는 방식으로 진행돼야 한다.

업계에서는 EDR·NDR·XDR 도입과 관련해 기관의 정보 흐름과 자산, 업무 특성을 분석하고, 주요 위협 시나리오를 중심으로 필요한 통제를 설계하는 접근이 현실적이라고 조언한다. 이후 가시성 확보와 상관분석, 대응 자동화와 증적 관리의 범위를 단계적으로 확대해야 한다는 설명이다. 최근 공격은 특정 시스템 하나만을 대상으로 하지 않고 엔드포인트, 네트워크, 클라우드, 계정 등을 복합적으로 활용하는 형태로 이루어지고 있다. 따라서 각각의 영역에서 수집된 정보가 분산돼 있다면 전체 공격 흐름을 파악하기 어렵다.

안랩은 “EDR은 엔드포인트 가시성을 제공하고, NDR은 네트워크 영역의 이상징후를 식별하며, XDR은 이러한 정보를 통합 분석해 보다 빠른 탐지와 대응을 지원한다”라고 설명하면서, “특히 N2SF 환경에서는 다양한 업무망과 클라우드 자산이 공존하게 되므로 개별 보안 장비 중심 접근보다 통합 가시성과 상관분석 역량이 중요해질 것으로 예상된다”고 강조했다.

비용 문제 역시 최근 정부의 지원사업을 잘 찾아보면 도움을 받을 방법이 있다. △중소기업 기술보호 바우처 △제조데이터 촉진 규제 해결 및 스마트공장 구축사업 △지역 중소기업 정보보호 고도화 지원사업 등 보안강화 지원방안도 마련돼 있다.

보안 기업들 역시 구축형 외에 클라우드 구독형 모델을 통해 비용 부담을 줄이기 위해 노력하고 있다. 다만 대규모 로그나 트래픽을 수집하는 탐지 및 대응 솔루션의 특성상 다른 솔루션보다 비용을 낮추기는 쉽지 않다.

이번 지침을 통해 EDR·NDR·XDR을 도입하려는 움직임은 단순한 규제 대응을 넘어 대한민국 공공분야의 보안 체계가 한 단계 올라서는 계기가 될 것으로 보인다. N2SF와 제로트러스트는 침해를 전제로 얼마나 빨리 확인하고, 대응하느냐의 문제이며, 이는 솔루션 도입을 넘어 운영이 뒷받침돼야 하기 때문이다.

▲쿼드마이너 Network Blackbox v5.0 [출처: 쿼드마이너]

[EDR·NDR·XDR 솔루션 집중분석-1] 쿼드마이너
쿼드마이너, 맥락 데이터 플랫폼으로 AI Native 시대 자율 보안운영 실현
보안 가시성 상태 정보에 3대 맥락 데이터를 결합해 조사 과정 없는 즉각적 자율 대응 지원

AI를 활용한 공격이 빠르게 고도화되면서 기존 시그니처 및 로그 중심의 보안운영만으로는 알려지지 않은 위협과 Living off the Land(LoL) 공격에 효과적으로 대응하기 어려워지고 있다.

이른바 ‘미토스 쇼크’가 보여주듯 취약점 탐지부터 공격까지 자동화되는 자율형 위협이 현실화되면서, 패치·탐지 중심의 기존 대응 체계로는 기계 속도의 위협을 따라잡을 수 없어 AI 기반 자율형 보안운영이 필수 과제로 부상했다.

그러나 보안 탐지 이벤트나 시스템 로그와 같은 상태 정보만으로는 추정적 가시성만 제공할 뿐, 사람이나 AI가 위협을 확정 판정하기까지 수작업 조사 과정이 반복돼 실시간 대응력 저하를 초래하는 만큼, 자율 보안운영을 실현하려면 상태 정보를 넘어선 맥락 데이터가 필수적으로 요구된다.

쿼드마이너는 이러한 변화에 맞춰 ‘맥락 데이터 중심, AI 기반 보안 옵저버빌리티’로의 기술 및 플랫폼 사업 전환을 본격화하며, Network Blackbox v5.0을 통해 원본 트래픽과 행위 데이터를 기반으로 자율 보안운영에 필수적인 맥락 데이터를 제공하는 차세대 맥락 데이터 플랫폼을 선보이고 있다.

맥락 데이터 중심 AI 기반 보안 옵저버빌리티로 신속한 위협 확정 판정 지원
기존 보안 시스템은 탐지 이벤트와 시스템 로그 등 상태 정보 중심의 분석에 머물러 추정적 가시성만 제공할 뿐, 공격의 전체 흐름과 실제 영향을 확정하기까지 사람이 별도의 수작업 조사 과정을 거쳐야 하는 한계가 있었다. 쿼드마이너의 Network Blackbox v5.0은 풀 패킷 캡처(Full Packet Capture)를 기반으로 원본 트랜잭션 데이터, 행위 기준선 데이터, 탐지 설명성(XAI) 데이터라는 3대 맥락 데이터를 함께 분석해 ‘누가, 언제, 무엇을, 어떻게’ 발생했는지 위협의 맥락을 종합적으로 제공한다. 이를 통해 상태 정보에 맥락 데이터를 결합함으로써 AI는 오탐을 줄이고 별도 조사 없이 신뢰성 높은 확정 판단을 수행하며, 보안 담당자는 확정적인 증적을 기반으로 신속하게 대응할 수 있다.

실증에서 자체 기술 내재화까지, 신제품 로드맵 구체화
쿼드마이너는 AI for SOC, Agentic SOC, Autonomous SOC 트렌드에 맞춰, 기존 풀 패킷 캡처 기반 역량을 ‘맥락 데이터 중심, AI 기반 보안 옵저버빌리티’로 확장하며 자율 보안운영에 필수적인 맥락 데이터 플랫폼으로의 기술·플랫폼 사업 전환을 추진하고 있다.

이 전환의 핵심인 Network Blackbox는 기존 상태 정보에 3대 맥락 데이터를 결합해 사람이든 AI 시스템이든 별도의 조사 과정을 생략하고 즉각적인 자율 대응이 가능하도록 지원하며, AI 기반 이상 탐지와 위협 헌팅, 원본 콘텐츠 분석, 위협 인텔리전스 연계, 자동 대응까지 하나의 워크플로우로 제공한다.

쿼드마이너는 먼저 Elastic Stack과 LLM 기반 통합 맥락 분석의 결합을 통해 맥락 데이터 기반 자율 보안운영의 효용을 실증하고, 이렇게 검증된 기술을 자체 기술로 내재화해 완성하는 신제품 출시 로드맵까지 구체화하고 있다. 이를 통해 보안 분석 시간을 단축하고 운영 효율성과 대응 정확성을 동시에 높이는, 자율 보안운영 시대의 핵심 인프라인 맥락 데이터 플랫폼으로 자리매김하고 있다.

[EDR·NDR·XDR 솔루션 집중분석-2] Trellix
네트워크 보안의 새로운 표준을 제시하다
Trellix NDR이 제시하는 네트워크 보안의 미래

오늘날 보안 위협은 더 이상 특정 지점에서 단발적으로 발생하지 않는다. 공격자는 사내망과 클라우드, 원격 접속 환경을 오가며 은밀하게 이동하고, 그 과정에서 정상 트래픽에 숨어 흔적을 감춘다. 기업의 운영 환경이 점점 더 긴밀하게 연결됨에 따라, 보안팀은 특히 OT-IT 경계를 포함해 비즈니스에 가장 큰 위험을 초래하는 위협에 선제적으로 대응할 수 있는 더 높은 수준의 가시성과 맥락(Context), 통제력을 갖춰야 한다.

복잡해진 공격 표면, 이제는 네트워크 흐름 전체를 이해해야 할 때
이러한 환경에서 보안은 위협이 생성·이동·확산되는 네트워크 흐름을 사전에 예측하고, 식별하며, 보호할 수 있어야 한다. 단순한 시그니처 기반 콘텐츠 필터링이나 침입 탐지(IDS/IPS) 기능을 넘어, Trellix 네트워크 탐지 및 대응(NDR)은 네트워크 패킷 심층 분석(DPI)과 사용자·디바이스·애플리케이션의 맥락(Context)을 통합 분석함으로써 변종 악성코드와 은폐된 공격까지 정교하게 포착한다.

Trellix NDR, 오늘날의 네트워크 보안 과제에 답하다
1. 에이전트리스 자산 가시성으로 보안의 출발점을 다시 세우다
보안의 출발점은 기업 전반에 걸쳐 무엇이 연결되어 있는지를 파악하는 것이다. Trellix NDR은 에이전트 설치 없이 네트워크 트래픽을 미러링해 인프라에 연결되는 모든 단말의 종류와 통신 관계를 폭넓게 시각화한다. 관리 대상 자산은 물론, 상대적으로 놓치기 쉬운 비관리 자산과 일시적으로 접속한 단말까지 파악할 수 있어 자산 가시성의 공백을 최소화한다.

2. 감염 이후의 내부 활동(Post-Exploitation)까지 정밀하게 탐지
최근 공격은 최초 침투 그 자체보다, 침투 이후 내부망에서 얼마나 깊이 이동하느냐에 따라 피해 규모가 달라진다. Trellix NDR은 사내망, 인터넷, 클라우드 구간을 포함해 거점 확보 이후 발생하는 권한 상승, 계정 탈취, 내부 이동 등 모든 동서(East-West) 및 남북(North-South) 트래픽 흐름을 모니터링하고 정밀하게 추적한다. 이를 통해 보안팀은 공격자의 행위에 대한 더 풍부한 맥락을 확보, 위협이 환경 전반으로 더 확산되기 전에 탐지하고 차단할 수 있다.

3. 공격 경로 탐색(Attack Path Discovery)으로 ‘가능한 침해 시나리오’를 먼저 본다
Trellix NDR의 강점은 사후 대응에만 머물지 않는다는 점이다. ‘공격 경로 탐색’(APD: Attack Path Discovery) 기능은 공격자가 내부망에 침투했을 때 핵심 자산에 도달할 수 있는 잠재적 이동 경로를 사전에 예측하고 시각화한다. 실시간 네트워크 토폴로지 분석 데이터와 자산 취약점 정보(Tenable 등 3rd party 연동)를 결합해, 개별적으로는 낮은 위험으로 보이던 취약점들이 어떻게 결합되어 실제 공격 가능한 경로로 이어질 수 있는지를 모델링한다. 이를 통해 보안 담당자는 단순한 CVSS 점수가 아니라, 실제 비즈니스 영향도와 공격 현실성을 기준으로 대응 우선순위를 정할 수 있다.

Trellix Wise와 Trellix Hyperautomation, 운영 효율까지 고려한 NDR의 진화
보안 운영의 현실은 ‘탐지 이후’에 발생하는 수작업 부담에 있다. 알림을 식별하고 해석하며 우선순위를 정하고 대응하는 과정이 복잡하고 시간이 많이 소요되면, SOC의 피로도는 빠르게 높아지고 신호가 약한(low-signal) 위협을 놓칠 위험도 커진다.

Trellix NDR은 Trellix Wise와 Trellix Hyperautomation을 통해 알림을 요약하고, 조사 우선순위를 정하며, 탐지부터 대응까지 더 빠르게 이어질 수 있도록 권장 조치를 제시함으로써 이러한 운영 부담을 줄여준다. 알림 처리 프로세스를 지능적으로 자동화함으로써 SOC의 효율성과 운영 지속 가능성이 크게 향상된다. 실제로 Trellix NDR은 100건의 경고당 8시간의 SOC 업무 시간을 절약할 수 있다.

네트워크 보안의 관점, ‘점’이 아니라 ‘흐름’으로 전환할 때
기업의 민감 자산과 비즈니스 프로세스는 더 이상 폐쇄된 내부 서버에만 머물지 않는다. 오늘날 데이터와 워크로드는 온프레미스 인프라, 클라우드 환경, 생성형 AI 기반 업무 환경을 넘나들며 끊임없이 이동하고 있으며, 위협 환경 역시 이와 함께 움직인다. 보안 전략도 이에 맞춰 진화해야 한다. 개별 장비나 단일 이벤트 중심의 대응에서 벗어나, 위협이 지나가는 경로 전체와 그 확산 가능성을 읽는 방향으로 나아가야 한다.

이러한 전환은 사이버 회복탄력성(Cyber Resilience)이라는 더 큰 과제를 반영한다. 이는 위협이 어디에서 시작되고 어디에 머무르는지를 파악하는 것을 넘어, 비즈니스 연속성과 대응 준비 태세를 어떻게 확보할 것인가의 문제다. Trellix NDR은 바로 이러한 시대적 요구에 맞춰 설계된 솔루션으로, 인텔리전스 기반의 사이버 회복탄력성을 제공하고 확장된 공격 표면 시대의 네트워크 보안 관점을 재정의하며, 위협이 침해로 이어지기 전에 행동할 수 있도록 기업에 필요한 가시성과 맥락을 제공한다.

결국 오늘날의 네트워크 보안은 “무엇이 들어왔는가”를 묻는 수준을 넘어, “어디로 이동할 수 있는가”와 “어떤 흐름으로 확산되는가”까지 함께 살펴야 한다. Trellix NDR은 공격자가 실제로 악용하기 전에 잠재적인 내부 이동 경로를 사전에 매핑하는 공격 경로 탐색(APD)을 통해 보안 사각지대를 줄이고, AI 기반의 Trellix Wise와 Trellix Hyperautomation을 통한 자동화된 탐지·대응 역량으로 복잡한 보안 운영을 단순화한다. 사각지대를 제거하고, 실시간으로 내부 이동을 차단하며, SOC의 대응 역량을 확장함으로써 Trellix NDR은 진화하는 위협 환경에 맞서 현대 SOC가 선제적 방어 태세를 갖추도록 지원한다.

[EDR·NDR·XDR 솔루션 집중분석-3] 넷위트니스
넷위트니스 NDR, 기업들이 네트워크 공격으로 인한 실제 피해를 입기 전 사전 대응 방안으로 활용
넷위트니스 NDR, 네트워크 전반 위협에 대한 실시간 가시성을 제공하는 전 세계 대표 NDR 솔루션

2019년, 가트너(Gartner)는 ‘보안관제 가시성의 3요소’(SOC Visibility Triad)라는 개념을 제시하며 로그, 네트워크, 엔드포인트 영역 전체를 아우르는 보안 강화의 필요성을 강조했고, 2020년 3월 가트너 리서치 가이드에 공식 포함했다. 이는 XDR(eXtended Detection & Response), 즉, 단일 영역이 아니라 기업 인프라 전반 영역에서 보안 강화의 중요성을 강조하는 방향으로 발전하게 되었다.

보안 패러다임의 변화와 NDR의 필요성
XDR의 대두와 함께, 다수의 기업들은 로그 영역에서의 보안 강화를 위하여 SIEM을 도입했고, 엔드포인트 영역에서의 보안 강화를 위해 EDR을 도입했으며, 이제 네트워크 영역에서의 보안 강화를 위해 NDR(Network Detection & Response) 솔루션을 도입하고 있거나 적극적으로 도입을 검토하고 있다.

그렇다면 NDR 솔루션은 왜 필요한 것일까? 과학기술정보통신부와 한국인터넷진흥원(KISA)이 발표한 통계에 따르면, 2025년 한 해 동안 국내에서 신고된 사이버 침해사고는 총 2383건으로 역대 최다 기록을 경신했다. 사이버 공격 대응에 대한 중요성이 대두됨에 따라, 전통적인 시그니처 기반의 차단 솔루션뿐만 아니라 SIEM, EDR 등 XDR의 구성요소가 되는 솔루션들이 순차적으로 도입하고 있음에도 불구하고, 오히려 2024년 1887건 대비 약 26.3%가 증가한 것이다.

전세계 해커 및 APT 그룹이 공격을 위한 다양한 채널을 활용하는 과정에서 기업의 네트워크 영역은 주요 공격 Target이 되어왔고, ‘알려지지 않은’(Unknown) 고도화된 공격으로 기존 기업이 도입한 다양한 네트워크 영역의 보안 솔루션들을 우회하거나 변종해, 기업 인프라에 성공적으로 침투하고 있는 것이 현실이다. NDR 솔루션은 보안팀에 이러한 네트워크 영역에서의 ‘알려지지 않은’ 공격에 대한 가시성을 제공해 사이버 보안을 강화하는 역할을 한다. 즉, NDR 솔루션은 기업 입장에서 국내뿐 아니라 전 세계 해커그룹들의 침투 시도, 그리고 이미 침투에 성공해 사내 시스템들을 점령 시도하려는 ‘알려지지 않은’ 사이버 공격을 조기에, 그리고 사전에 탐지하고 대응하여 기업의 비즈니스에 피해를 입히지 않도록 예방 조치하는 데 기여해야 한다는 것이다.

넷위트니스 NDR의 핵심 경쟁력, ‘증거 기반’의 실시간 위협 탐지 기술
전 세계 발 최신의 ‘알려지지 않은’ 공격으로 인한 기업의 피해를 예방하거나 최소화하기 위해서는, 전반적인 기업 인프라에 대한 실시간 가시성 확보 및 공격 경로에 대한 근원적인 파악이 필요하다.

넷위트니스 NDR(NetWitness NDR)은 기업의 네트워크 인프라에 대한 전반적인 보안 가시성을 제공하고 실시간 이상 /침해행위를 탐지 및 대응하는 솔루션이다. 넷위트니스 NDR은 미국 국토안보부 산하 국가 사이버 안전 센터에서 개발한 후 상용화된 네트워크 포렌식(Network Forensic) 기반의 NDR 솔루션으로서, 전 세계에서 가장 보안에 민감한 기업 및 기관에서 사용 중인 가장 검증된 솔루션이다.

미국 국가 사이버 안전을 위해 개발된 제품인 만큼 전 세계 정보기관 및 기구와의 협력을 통해 국내외 발 최신의 정교한 사이버 공격에 대응하는 데 초점을 두고 있으며, 증거 기반으로 사이버 공격 및 위협 행위에 대한 실시간 탐지, 실시간 대응 기능을 제공한다. 때문에 미국 및 주요 동맹국 정부, 국방, 국제기구, 정보기관, 방산기업, 글로벌 대기업 및 금융기관에서 널리 사용되고 있으며, 국내에서도 다수의 대기업 및 주요 공공기관, 금융기관에서 폭넓게 활용 중이다.

넷위트니스 NDR은 실시간으로 모든 네트워크 트래픽을 수집하기에, 증거 기반으로 네트워크상 모든 사이버 공격 행위에 대한 가시성을 확보하고 공격 경로를 확인 및 재현할 수 있으며 정탐 및 오탐에 대한 명확한 판단 근거를 제공한다. 모든 네트워크 원본 트래픽에서 수집 시점에 실시간으로 메타데이터를 추출하고 정교한 인덱싱(indexing)으로 즉각적으로 위협/침해/비정상 정보를 세분해 보안 담당자에게 제공하기에, 실시간으로 공격 및 이상행위에 대한 탐지 및 실시간 대응을 할 수 있는 것이다. 이에 악성코드가 최초 감염되는 경로와 네트워크에 대한 행위 및 흔적 역시 넷위트니스 NDR이 수집한 원본 데이터에 기록되고 위협/침해/비정상 행위로서 실시간 탐지될 수 있다는 것이다.

각 기업 및 기관의 보안 담당자들은 넷위트니스 NDR이 제공하는 위협 탐지 룰(rule) 및 시나리오, 커스텀 룰(rule) 및 시나리오, 고객사가 보유한 기존 위협 인텔리전스 정보(Threat Intelligence) 및 넷위트니스 NDR이 제공하는 최신 위협 인텔리전스 정보 등을 다양하게 활용하거나 위협 헌팅을 하면서 국내외 정교한 사이버 공격을 대비하고 있다. 특히 넷위트니스 NDR은 전세계 굴지의 다양한 기관 및 기업들과의 공조를 통하여 가장 최신의 위협 정보를 한국 고객에게도 제공하고 있다.

덕분에 다수의 한국 기업 및 기관들이 글로벌 APT(Advanced Persistent Threat) 그룹의 공격에 대해 피해를 입기 전에 빠르게 위협 탐지 및 대응 조치를 통하여 피해를 예방하고 있다. 사이버 공격을 지시한 C&C 통신 행위 역시 NetWitness에서 기본 제공, 혹은 추가로 제공하는 C&C 정보의 rule 및 시나리오, 콘텐츠에서 탐지 가능한 것이다. 넷위트니스 NDR은 지난 2012년 국내에 처음 도입된 이래로, 한국에서도 꾸준하게 다수의 기업이 확장 구매하고 애용하는 가장 검증된, 가장 신뢰받는 네트워크 포렌식 솔루션, NDR 솔루션으로 자리매김하고 있다. 여기에 보안 운영 효율성을 제고하기 위한 보안 전용 AI 모듈을 출시해, 각 기업이 기존 도입한 넷위트니스 NDR을 더욱 효과적이고 편리하게 활용할 수 있도록 지원하고자 한다.

넷위트니스 NDR은 전 세계에서 끊임없이 진화하는 사이버 공격을 실시간으로 조기에 탐지하고, 공격의 경로와 근본 원인을 분석하여 기업 및 기관의 네트워크 보안 수준을 강화하는 데 핵심적인 역할을 수행하고 있으며, 앞으로도 변화하는 위협 환경에 효과적으로 대응할 것이다.

왜 넷위트니스 NDR(NetWitness NDR)인가?
1) 독보적 탐지 역량 : 국내외를 망라하는 고도화된 최신 사이버 공격 및 이상 행위를 실시간으로 탐지
2) 증거 기반의 위협 근본 원인 및 공격 경로 분석 : 온프레미스, 가상화, 클라우드를 아우르는 하이브리드 환경에서 수집한 트래픽을 기반으로 공격의 근본 원인을 명확히 증명
3) 검증된 신뢰도 : 글로벌 금융기관, 미국 정부 및 동맹국, 국내 주요 대기업 등 보안에 가장 민감한 조직이 선택한 솔루션
4) 선제적 예방 : 공격자가 기업 인프라에 피해를 입히기 전, 위협의 징후를 사전 탐지해 비즈니스 연속성을 보장

2012년 국내 도입 이후 꾸준히 신뢰를 쌓아온 넷위트니스 NDR은, 최근 보안 운영 효율성을 극대화하는 보안 전용 AI 모듈까지 탑재했다.

넷위트니스 NDR은 지금 이 순간에도 진화하는 전 세계의 위협으로부터 기업 및 기관들의 네트워크 보안 수준을 제고하는 데 기여하고 있다.

[EDR·NDR·XDR 솔루션 집중분석-4] 이글루코퍼레이션
다중 AI 에이전트 기반 에이전틱 SOC 구현 박차
이글루코퍼레이션, 하이브리드 XDR 플랫폼 ‘SPiDER ExD’로 차세대 보안 운영 환경 제시

이글루코퍼레이션은 온프레미스와 클라우드 하이브리드 환경의 가시성을 확보하는 인공지능 기반 하이브리드 확장형 탐지·대응(AI-driven Hybrid XDR) 플랫폼 ‘스파이더 이엑스디’(SPiDER ExD)를 통해 차세대 보안 운영 환경을 제시한다. 이는 AI 기술 발전으로 AI를 활용한 위협이 날로 증가함에 따라, 통합적인 방어 체계가 요구되는 새로운 위협 지형에 대응하기 위함이다.

하이브리드 환경 통합 가시성 확보 및 AI 기반 자동화 대응 플랫폼 ‘SPiDER ExD’
SPiDER ExD는 온프레미스와 클라우드가 통합된 하이브리드 환경에서 사용자, 계정, 자산에 대한 가시성을 제공하는 XDR 플랫폼이다. 복잡한 하이브리드 환경에서도 조직 거버넌스를 충족하는 보안 체계를 구축한다. 통합 사용자 인터페이스(UI)를 바탕으로 일원화된 탐지, 분석, 자동화 대응 프로세스를 수행한다. 또한, 이글루코퍼레이션 고유의 AI 모델을 기반으로 위협 대응의 우선순위를 분류하고, 지능형 위협에 자동 대응해 보안 담당자의 분석 부담을 줄임으로써 조직 전반의 보안 수준 상향평준화를 지원한다. 이기종 솔루션 및 서비스와의 유기적인 연계를 통해 포괄적인 보안 운영 워크플로우를 구축한다. 이를 토대로 데이터 수집을 다각화하고 위협 데이터 간 연관 관계를 분석해 자동 대응 기능을 구현하며, 각 조직의 보안 환경과 위협 변화에 맞춰 기능을 적시에 확장해 효율성을 극대화한다. SPiDER ExD는 2025년 12월 조달청 ‘우수조달물품’으로 공식 지정되며 기술력과 품질 경쟁력을 입증받았다.

인간과 AI가 협업하는 ‘에이전틱 SOC’ 구현 통해 ‘자율형 SOC’ 고도화
이글루코퍼레이션은 SPiDER ExD를 핵심 솔루션으로 삼아 보안 운영의 최고 성숙 단계인 자율형 보안운영센터(Autonomous SOC) 구현에 집중하고 있다. 자율형 SOC를 구현할 방법론이자 아키텍처로 인간과 AI가 유기적으로 협업하는 ‘에이전틱 SOC(Agentic SOC)’ 전략을 제시한다. 에이전틱 SOC의 핵심 엔진인 ‘에이전틱 AI(Agentic AI)’ 시스템 환경에서는 탐지, 분석, 대응 실무를 담당하는 다중 AI 에이전트(Multi-Agent)가 워크플로우를 기반으로 상황을 파악하고 계획을 세운다. 이후 외부 보안 도구와 시스템을 동작시키는 조치까지 직접 실행한다. 이글루코퍼레이션은 보안 특화 AI 에이전트와의 연계를 통해 에이전틱 AI 기술 엔진을 가동하고, 에이전틱 SOC 운영 경로를 거쳐 최종 목표인 자율형 SOC를 완성함으로써 차세대 보안 운영을 현실화한다.

▲ESET XDR [출처: ESET]

[EDR·NDR·XDR 솔루션 집중분석-5] ESET
CC인증 획득, XDR 역량으로 공공 보안 수요 대응
ESET Endpoint Security for Windows v12

지난 5월 1일 국가정보원이 개정·공포한 ‘국가 사이버보안 기본 지침’에 따라 공공 및 주요 기관의 보안 환경에 큰 변화가 예고되고 있다. 기관 내 SOC(보안관제센터)와 EDR 연동 의무화, 클라우드 환경 내에서의 통합 관제 구축 등이 핵심으로 떠오르면서 사이버 복원력을 높이기 위한 EDR을 비롯한 탐지·대응 솔루션의 중요성이 더욱 커지고 있다. 이러한 가운데 글로벌 사이버 보안 선도 기업 ESET(이셋)이 자사 엔드포인트 보안 솔루션에 대해 국제공통평가기준(Common Criteria) 인증을 획득하며, 엄격한 규제를 준수해야 하는 공공 및 주요 인프라 기관을 위한 최적의 대안으로 주목받고 있다.

국제 표준 CC인증 획득, 정부 및 주요 인프라에 요구되는 강력한 신뢰성 입증
ESET Endpoint Security for Windows v12는 최근 소프트웨어 애플리케이션용 보호 프로파일(PP)을 기반으로 CC인증(ISO/IEC 15408)을 획득했다. CC인증은 정부, 주요 인프라, 의료, 금융 등 고도로 규제되는 부문에서 운영되는 기관에게 필수적인 글로벌 IT 보안 평가 표준이다. 이번 인증을 통해 ESET은 까다로운 보안 기준을 요구하는 국내외 공공기관 및 주요 인프라 경쟁 입찰에서 강력한 입지를 확보하게 되었다. 특히 독립적이고 투명한 제3자 테스트를 거쳐 보안 아키텍처의 견고함을 검증 받았기 때문에 도입 기관은 별도의 중복 평가 없이 안심하고 솔루션을 채택할 수 있다.

개정 지침의 보안관제 요구사항 대응 지원: SOC 연동 및 유연한 클라우드 통합 관제
ESET의 XDR 지원 핵심 모듈인 ‘ESET Inspect’는 개정된 사이버보안 기본 지침의 요구사항을 충족할 수 있는 강력한 기능과 유연성을 제공한다.

·SOC 연동 및 호환성: 기관 내 SOC 및 기존 보안 인프라와의 연동은 필수적이다. ESET Inspect는 퍼블릭 REST API를 지원해 SIEM, SOAR, 티켓팅 도구 등 다양한 보안관제 도구와 탐지 및 교정 데이터를 원활하게 연동하고 내보낼 수 있다.
·클라우드 환경 통합 관제: 기관의 환경에 맞춰 자체 온프레미스 서버는 물론 클라우드 기반 설치 등 유연한 배포 옵션을 제공해 클라우드 환경을 포함한 보안 인프라 전반의 가시성과 통합 관제를 강화할 수 있다.
·단일 콘솔 기반의 OpenXDR 진화: ESET은 빅데이터 처리와 매끄러운 보안 데이터 관리가 가능한 최신 아키텍처 기반의 OpenXDR로 진화하고 있다. 기존 ESET Inspect와 ESET PROTECT 클라우드 콘솔을 통합해 단일 플랫폼에서 인시던트 생성, 침해 지표 조회·상관분석, 위협 조사 및 근본 원인 분석을 통합적으로 수행할 수 있다.

글로벌 평가 기관이 인정한 탁월한 위협 탐지력과 실전 대응 능력
보안 솔루션은 고도화된 위협을 탐지하고, 보안 팀이 이를 효과적으로 조사할 수 있는 충분한 가시성을 제공해야 한다. ESET PROTECT Elite는 AV-Comparatives의 ‘2026 EDR 위협 탐지 검증 테스트’(EDR Detection Validation Test)에서 인증을 획득했다. 탐지 전용 모드로 진행된 이번 테스트에서 ESET PROTECT Elite는 14단계 공격 시나리오의 여러 단계에 걸쳐 경고와 원격 측정 데이터를 통한 탐지 가시성을 제공했으며, 위협 헌팅과 조사에 활용할 수 있는 정보를 제공했다. 또한 정상적인 관리 활동을 기반으로 진행된 신호 대 잡음 테스트 5개 중 4개 시나리오에서 검증을 통과했다.

진화하는 위협과 규제에 대응하는 최적의 사이버 방어선
CC인증을 획득한 ESET Endpoint Security v12와 독립 테스트를 통해 평가받은 ESET의 탐지·대응 기술은 공공기관과 관련 기업이 개정 지침에 맞춰 탐지·대응 체계를 강화하는 데 활용할 수 있는 방안을 제시한다.

ESET XDR은 중요 자산 보호와 보안 운영의 가시성 및 복원력 향상을 지원할 수 있다.

▲AhnLab AI PLUS [출처: 안랩]

[EDR·NDR·XDR 솔루션 집중분석-6] 안랩
안랩, 사람과 AI가 함께 판단해 실행하는 Agentic AI 보안 플랫폼 ‘AhnLab AI PLUS’
AI 기반 공격, AI를 활용한 보안으로 대응하자

최근 AI 기술을 공격자들도 적극적으로 활용하면서 공격의 규모와 속도가 크게 확대됐다. 이 과정에서 최종적인 피해가 발생하는 지점은 대부분 기업 내부의 엔드포인트다. 따라서 실제 피해가 발생하는 엔드포인트를 중심으로 AI 기술을 활용한 통합 대응 체계를 구축하는 것이 핵심 과제로 부상하고 있다.

공격 흐름을 탐지의 핵심 ‘AhnLab EDR’
AhnLab EDR은 파일, 프로세스, 네트워크, 레지스트리 등 단말에서 발생하는 모든 행위를 수집·분석·기록해 사고 발생 시 공격 경로와 행위를 추적한다. AhnLab EDR을 활용해 엔드포인트 행위를 지속적으로 수집하고 분석하면 공격자가 내부 시스템에 침투해 공격을 수행하는 것을 탐지해 대응할 수 있다.

특히, AhnLab EDR은 안랩의 AI 기술이 적용돼 있어 악성 행위에 대한 뛰어난 탐지 기술력을 갖추고 있다. 사용자 입장에서는 최근 대두되고 있는 AI 활용 공격에 대해 AI 기반 탐지 & 대응을 바탕으로 효과적인 보안 역량을 확보할 수 있다. 더 나아가 안랩은 AhnLab EDR에 에이전틱 AI(Agentic AI)를 적용해 AI가 위협을 탐지, 분석, 대응할 수 있는 기술도 준비하고 있다.

통합 위협 대응을 위한 플랫폼 ‘AhnLab XDR’
AhnLab EDR은 여러 보안 도메인의 데이터를 통합해 분석하는 AhnLab XDR(Extended Detection & Response)과 연동해 시너지를 낸다.

AhnLab XDR은 엔드포인트, 네트워크, 클라우드 등 다양한 보안 데이터를 통합 분석해 공격의 전체 맥락을 파악한다. 서로 다른 보안 솔루션에서 발생하는 이벤트를 단일 플랫폼에서 분석함으로써 공격의 전후 맥락을 보다 정확하게 파악할 수 있다.

또한 AI 기반 분석을 통해 위협의 위험도를 평가하고 리스크 점수(Risk Score)를 기반으로 대응 우선순위를 제시한다. AI 어시스턴트 기능도 함께 제공해 위협 맥락 파악과 대응 방안 수립을 지원한다. 이를 통해 보안 담당자는 수많은 이벤트 가운데 실제로 중요한 위협을 우선적으로 식별하고 대응할 수 있다.

AhnLab AI PLUS, 안랩 AI 보안의 중심
AhnLab AI PLUS는 안랩이 30년간 축적한 위협 분석 데이터, 침해사고 대응 경험 등 방대한 보안 정보를 기반으로 안랩만의 차별화된 AI 보안 역량을 제공하는 에이전틱 AI 보안 플랫폼이다. AhnLab AI PLUS는 △AI 에이전트 기반 지능형 보안 탐지·분석 강화 △다양한 제품·서비스 적용으로 AI 기반 운영 확장 △자체 수집 데이터 기반 학습 체계로 고도화된 AI 서비스 제공 등을 목적으로 한다. 이를 통해, 자사 제품 및 서비스 전반의 AI 기반 지능화를 이뤄가고 있다.

[EDR·NDR·XDR 솔루션 집중분석-7] 쿼리시스템즈
네트워크·로그·패킷 데이터와 Agentic AI를 결합한 제로데이 및 내부정보 유출 위협 탐지 플랫폼
NDR·SIEM·SOAR·AI Assistant가 통합된 차세대 XDR 솔루션 ‘QTIE’

디지털 전환과 클라우드 환경의 확산으로 기업과 기관의 정보기술 환경이 빠르게 복잡해지고 있다. 업무 시스템은 온프레미스와 클라우드, 외부 서비스에 분산되고 있으며, 원격근무와 협업 도구 사용이 일상화되면서 보안 담당자가 관리해야 할 공격 표면도 지속적으로 확대되고 있다. 이에 따라 개별 보안 장비나 단일 탐지 기술만으로는 고도화된 사이버 위협을 효과적으로 식별하고 대응하기 어려운 상황이다.

특히 보안 패치나 탐지 시그니처가 마련되기 전에 취약점을 악용하는 제로데이 공격은 기존 보안 체계가 해결해야 할 대표적인 과제로 꼽힌다. 알려진 악성코드, 인터넷주소, 도메인, 파일 해시 등을 기반으로 하는 전통적인 탐지 방식은 이미 확인된 위협에는 효과적이지만, 처음 등장한 공격이나 정상적인 업무 행위로 위장한 복합 공격을 식별하는 데에는 한계가 있다.

이러한 환경에서는 특정 이벤트 하나의 악성 여부만 판단하는 방식에서 벗어나 네트워크 통신, 시스템 로그, 사용자 행위, 계정 변화, 파일 이동, 외부 위협 정보 등을 종합적으로 분석해야 한다. 또한 탐지된 위협을 신속하게 조사하고 실제 대응 조치까지 연결할 수 있는 통합 보안 운영체계가 필요하다.

쿼리시스템즈의 차세대 XDR 솔루션 ‘QTIE’는 이러한 요구에 대응하기 위해 NDR(Network Detection and Response), SIEM(Security Information and Event Management), SOAR(Security Orchestration, Automation and Response), AI Assistant를 하나의 플랫폼에 통합한 지능형 탐지·대응 체계를 제공한다. QTIE는 네트워크 패킷과 대규모 로그, 탐지 이벤트, 외부 위협 정보를 연계 분석하고, 분석 결과를 자동화된 대응 절차로 연결함으로써 제로데이 공격과 복합 위협에 대한 가시성을 높이는 것을 목표로 한다.

네트워크 이상행위에서 제로데이 위협의 단서를 찾다
제로데이 공격은 기존에 알려진 공격 패턴이나 시그니처와 일치하지 않을 가능성이 높다. 그러나 공격이 실제 시스템에서 실행되는 과정에서는 비정상적인 외부 통신, 내부 시스템 간 확산, 평소와 다른 프로토콜 사용, 비정상 계정 접근, 대량의 데이터 전송 등 일정한 행위상의 흔적이 나타날 수 있다.

QTIE의 NDR 기능은 네트워크에서 오가는 패킷과 통신 흐름을 분석해 이러한 이상행위를 식별한다. 단순히 알려진 악성 패턴을 대조하는 데 그치지 않고, 정상적인 네트워크 이용 행태와 다른 통신을 탐색함으로써 기존 보안장비가 발견하지 못한 공격의 단서를 확보할 수 있다.

NDR에서 발견된 이상 징후는 SIEM에 수집된 방화벽, 서버, 애플리케이션, 인증 시스템, 엔드포인트 및 각종 보안장비의 로그와 결합된다. 예를 들어 특정 서버에서 평소와 다른 외부 통신이 발생한 시점에 관리자 권한 변경, 비정상 로그인, 새로운 프로세스 실행, 대용량 파일 전송이 연속적으로 나타났다면, 각각의 이벤트를 별도로 판단하는 것보다 하나의 공격 시나리오로 연결해 분석하는 것이 효과적이다.

QTIE는 서로 다른 보안 데이터를 시간, 사용자, 자산, 통신 대상, 행위 유형 등의 기준으로 연계해 위협의 전체 흐름을 파악하도록 지원한다. 이를 통해 단편적인 경보를 사건 중심으로 재구성하고, 실제 조사가 필요한 위협의 우선순위를 보다 정확하게 판단할 수 있다.

SIEM 분석과 SOAR 대응을 하나의 운영 흐름으로 연결
QTIE의 SIEM 기능은 다양한 시스템과 보안 장비에서 생성되는 로그를 통합 수집하고, NDR에서 탐지한 네트워크 이상행위와 외부 위협 인텔리전스를 함께 분석한다. 알려진 악성 인터넷주소나 파일 정보뿐만 아니라 사용자 계정, 시스템 권한, 파일 접근, 네트워크 통신 등 내부 환경에서 발생한 변화를 종합적으로 평가함으로써 단순한 경보 나열이 아닌 맥락 중심의 분석을 지원한다. 분석된 위협은 SOAR 기능을 통해 대응 단계로 이어진다.

사전에 정의된 플레이북에 따라 외부 평판 정보 조회, 추가 로그 수집, 담당자 통보, 의심스러운 인터넷주소 차단, 계정 통제, 네트워크 격리 등의 절차를 자동 또는 승인 기반으로 수행할 수 있다.

이러한 자동화는 보안 담당자를 대체하기 위한 것이 아니라 반복적이고 시간이 많이 소요되는 초기 조사와 대응 업무를 줄이기 위한 수단이다. 명확한 기준이 마련된 반복 업무는 자동화하고, 업무에 영향을 미칠 수 있는 중요 조치는 담당자의 승인을 거치도록 구성함으로써 보안 인력이 보다 정교한 분석과 정책 수립에 집중할 수 있다.

Agentic AI 기반의 전문 도메인 에이전트 구현
QTIE AI Assistant의 차별점은 단순한 자연어 질의응답이나 검색 결과 요약을 넘어, 에이전틱 AI(Agentic AI) 구조가 구현돼 있다는 점이다. 에이전틱 AI는 사용자의 요청을 세부 작업으로 구분하고, 필요한 데이터와 분석 기능을 선택한 뒤, 각 단계를 순차적으로 수행하도록 설계된 인공지능 구조다.

AI Assistant는 로그 정규화, 자연어 기반 검색, NDR 룰 생성, 이벤트 로그 분석, 탐지 로그 분석, 보고서 생성, PCAP 분석 등 각 보안 업무를 담당하는 전문 도메인 에이전트로 구성된다. 각 에이전트는 독립적인 전문 기능을 수행하면서도 동일한 통합 플랫폼의 데이터를 공유하기 때문에 하나의 보안 이벤트를 여러 관점에서 연속적으로 분석할 수 있다. 특히 내부정보 유출 분석을 위한 별도 도메인 에이전트를 개발해 상관분석이나 룰 기반 탐지하기 어려운 다양한 형태의 내부정보 유출 행위를 탐지, 분석할 수 있다.

예를 들어 사용자가 특정 업무 목적과 수신자를 기재해 DRM 해제를 결재받았더라도, 실제 반출 과정에서는 승인 내용과 다른 행위가 발생할 수 있다. 승인된 수신자가 아닌 다른 사람에게 이메일을 발송하거나, 결재 당시 신청한 방식과 다른 경로로 파일을 반출하거나, 신청자와 다른 사용자가 실제 전송을 수행하는 경우 등이 이에 해당한다.각 행위를 개별적으로 살펴보면 정상적인 업무처럼 보일 수 있다. DRM 해제가 정식으로 승인됐고, 이메일 발송이나 파일 이동도 사용자의 권한 범위 안에서 이뤄졌다면 단일 보안장비는 이를 위협으로 판단하기 어렵다. 그러나 결재 내용, 실제 파일 반출 행위, 수신자, 사용자 계정, 사용 단말, 전송 경로와 발생 시간을 함께 비교하면 승인된 업무와 실제 행동 사이의 불일치를 확인할 수 있다.

QTIE의 내부정보 유출 분석 도메인 에이전트는 SIEM에 수집된 DRM, 이메일, 인증, 파일 반출, 사용자 행위 관련 로그를 연계해 이러한 불일치를 분석한다. 단순히 특정 조건에 해당하는 이벤트를 탐지하는 것이 아니라 승인된 업무 목적과 실제 행위 사이에 어떠한 차이가 있는지를 맥락적으로 판단하는 방식이다.

이는 수신자, 파일, 사용자, 전송 방식, 시간, 승인 여부 등 복잡한 조건과 다양한 예외를 사전에 모두 정의해야 했던 기존 상관분석 방식의 한계를 보완할 수 있다. 분석 결과는 위험 점수뿐 아니라 승인 내용과 실제 행위가 어떻게 달랐는지, 관련 사용자와 단말은 무엇인지, 파일이 어떠한 경로로 이동했는지 등의 근거와 함께 제공될 수 있다.

필요한 경우 SOAR 플레이북과 연계해 담당자 통보, 추가 로그 수집, 사용자 확인, 계정 통제 또는 전송 경로 차단 등의 후속 절차도 수행할 수 있다. 다만 계정 차단이나 업무 시스템 격리처럼 운영에 영향을 줄 수 있는 조치는 조직의 보안정책에 따라 담당자의 검토와 승인을 거치도록 구성하는 것이 바람직하다.

통합 플랫폼으로 완성하는 지능형 탐지·대응 체계
QTIE가 제시하는 차세대 XDR의 핵심은 NDR, SIEM, SOAR와 AI Assistant를 개별적으로 제공하는 데 있지 않다. 네트워크에서 위협의 단서를 발견하고, 다양한 로그를 통해 공격의 맥락을 확인하며, 전문 도메인 에이전트가 데이터와 패킷을 분석하고, SOAR가 검증된 절차에 따라 대응을 수행하는 하나의 통합된 운영 흐름에 의미가 있다.

NDR이 네트워크 이상 징후를 발견하면 SIEM이 관련 로그와 사용자 행위를 연결하고, Agentic AI 기반 도메인 에이전트가 이벤트의 의미와 위험도를 분석한다. 이후 SOAR는 분석 결과에 따라 사전에 정의된 대응 절차를 실행하거나 담당자의 승인을 요청한다.

이러한 구조는 알려지지 않은 외부 공격에 대해서는 네트워크와 시스템에서 나타나는 행위의 변화를 중심으로 접근하고, 내부정보 유출에 대해서는 승인된 업무 내용과 실제 사용자 행동 사이의 불일치를 중심으로 분석할 수 있도록 한다.

사이버 공격의 속도와 복잡성이 지속적으로 높아지는 상황에서 보안관제의 경쟁력은 얼마나 많은 경보를 생성하느냐보다, 위협을 얼마나 빠르고 정확하게 이해해 실제 대응으로 연결하느냐에 달려 있다.

NDR, SIEM, SOAR와 Agentic AI 기반 AI Assistant를 통합한 QTIE는 분산된 보안 데이터를 실행 가능한 정보로 전환하고, 제로데이 공격과 내부정보 유출 등 기존 방식으로 식별하기 어려웠던 위협을 조기에 발견하기 위한 지능형 보안 운영 플랫폼으로 역할을 확대해 나갈 것으로 기대된다.

[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다