NDR(Network Detection and Response)이란 네트워크 트래픽 자체 또는 그 메타데이터를 분석해 평소와 다른 통신을 찾아내고 대응하는 보안 방식입니다. 경계를 지키는 방화벽과 단말을 지키는 EDR 사이에서, 공격자가 내부 서버 사이를 조용히 옮겨 다니는 움직임은 네트워크에 흔적으로 남고 NDR은 그 흔적을 봅니다. 저희는 NetWitness 기술 파트너로서 NDR의 도입 컨설팅부터 구축, 기술지원, 운영까지 함께하고 있습니다.
핵심 요약
- 사고 조사를 해 보면 공격자는 이미 몇 주 전에 들어와 내부 서버 사이를 옮겨 다닌 경우가 많고, 그 움직임은 경계에서 막지 못했고 단말에서는 보이지 않았습니다.
- 방화벽은 경계를, EDR은 단말을, NDR은 네트워크를 봅니다.
- NDR은 개별 패킷의 악성 여부보다 내부 이동, 명령 제어, 유출 같은 행동을 찾습니다.
- 에이전트를 설치할 수 없는 프린터, IP 카메라, 공장 설비, 오래된 서버도 네트워크를 지나는 한 보입니다.
- NDR은 방화벽이나 EDR을 대체하지 않으며, 세 시야가 겹쳐야 한 장면이 됩니다.
방화벽, EDR, NDR은 무엇이 다른가
세 장비는 보는 자리가 다릅니다. 방화벽은 경계를 지킵니다. 밖에서 안으로, 안에서 밖으로 드나드는 연결을 규칙에 따라 허용하거나 막습니다. 일단 안으로 들어온 뒤의 움직임은 규칙의 대상이 아닙니다.
EDR(Endpoint Detection and Response)이란 노트북과 서버에 에이전트를 설치해 그 단말 안에서 벌어지는 일을 감시하고 대응하는 보안 방식입니다. 에이전트를 설치할 수 없는 장치, 즉 프린터, IP 카메라, 공장 설비, 오래된 서버는 보이지 않습니다.
NDR은 네트워크를 봅니다. 트래픽 자체 또는 그 메타데이터를 분석해 평소와 다른 통신을 찾아냅니다. 에이전트가 없어도, 장치가 무엇이든, 네트워크를 지나는 한 보입니다.
NDR은 무엇을 찾아내나
NDR이 주목하는 것은 개별 패킷의 악성 여부보다 행동입니다. 한 PC가 갑자기 내부의 여러 서버에 차례로 접속을 시도한다든지(내부 이동), 업무 시간이 아닌 때 외부의 낯선 주소로 꾸준히 작은 통신이 나간다든지(명령 제어), 평소 거의 없던 대용량 전송이 밖으로 나간다든지(유출) 하는 움직임입니다.
이런 행동은 한 장치만 봐서는 알기 어렵고, 네트워크 전체를 놓고 평소와 비교해야 드러납니다. 보안 장비를 갖춘 회사도 사고를 겪는 이유가 여기 있습니다. 경계에서는 막지 못했고 단말에서는 보이지 않았던 움직임이 네트워크에는 남아 있습니다.
NDR은 어떤 조직에 필요한가
에이전트를 설치할 수 없는 자산이 많거나, 사고를 증적으로 설명해야 하거나, 방화벽과 EDR 사이가 비어 있다고 느끼는 조직입니다.
- 지점이나 공장처럼 에이전트를 설치할 수 없는 자산이 많은 곳
- 사고가 났을 때 "언제부터, 어디까지"를 증적으로 설명해야 하는 곳
- 방화벽과 EDR은 갖췄지만 그 사이가 비어 있다고 느끼는 곳
NDR은 방화벽이나 EDR을 대체하지 않습니다. 세 시야가 겹쳐야 한 장면이 됩니다. 전산실 없는 소규모 사무실이라면 네트워크 전체를 분석하기에 앞서 연결된 장비부터 파악하는 ARP 인라인 방식이 먼저이고, 설비와 매장이 공격 표적이 된 사례는 프랑스 슈퍼마켓 냉장고 해킹 사건 글에서 정리했습니다.
페스트페이스는 NetWitness 기술 파트너로서 NDR의 도입 컨설팅부터 구축, 기술지원, 운영까지 함께하고 있으며, 네트워크 구축과 운영을 직접 해 온 팀이 맡는다는 점이 저희의 방식입니다. 자세한 내용은 엔터프라이즈 보안 페이지와 문의를 통해 안내드립니다.
자주 묻는 질문
Q. EDR이 있으면 NDR은 필요 없나요?
EDR은 에이전트를 설치한 단말 안의 일을 보고, NDR은 네트워크를 지나는 통신을 봅니다. 프린터, IP 카메라, 공장 설비, 오래된 서버처럼 에이전트를 설치할 수 없는 장치는 EDR에 보이지 않고, 여러 장치 사이를 옮겨 다니는 움직임은 한 단말만 봐서는 드러나지 않습니다. 둘은 대체 관계가 아니라 겹쳐야 하는 시야입니다.
Q. NDR을 쓰려면 모든 장치에 에이전트를 설치해야 하나요?
설치하지 않습니다. NDR은 네트워크 트래픽 자체 또는 그 메타데이터를 분석하므로, 장치가 무엇이든 네트워크를 지나는 통신이면 에이전트 없이 볼 수 있습니다. 이 점이 에이전트를 설치할 수 없는 자산이 많은 지점이나 공장에 NDR이 맞는 이유입니다.
Q. NDR이 방화벽을 대체할 수 있나요?
대체하지 않습니다. 방화벽은 경계를 드나드는 연결을 규칙으로 허용하거나 막는 역할이고, NDR은 일단 안으로 들어온 뒤 내부에서 벌어지는 평소와 다른 통신을 찾는 역할입니다. 방화벽, EDR, NDR의 세 시야가 겹쳐야 사고의 전체 장면을 볼 수 있습니다.
