2025년 한 해, 우리나라는 전 산업군을 막론하고 그 어느 때보다 치명적인 침해사고를 경험했습니다. 고도화된 신규 공격 기법은 조직의 핵심 자산인 '서버'를 집중적으로 공격했으며, 이로 인해 고객의 개인정보나 회사 기밀정보와 같은 중요 데이터 탈취라는 뼈아픈 결과를 초래했습니다.
이러한 위협에 대응하기 위해 2025년 하반기부터 공공, 금융, 기업 등 모든 분야에서 서버 대상 EDR(Endpoint Detection and Response) 도입이 필수 과제로 부상했습니다. 본 FAQ는 수많은 현장 미팅을 통해 도출된 담당자분들의 공통적인 고민과 질문을 바탕으로, 서버 EDR 도입의 명쾌한 해답을 제시합니다.
2025년 침해사고 이후 서버 대상 EDR 도입 또는 확대를 희망하는
고객사 담당자들로부터 가장 많이 받은 질문 8가지
많은 담당자분들께서 "이미 서버에 백신이 설치되어 있는데 EDR까지 필요한가?"라는 질문을 합니다. 결론부터 말씀드리면, 백신(AV)과 EDR은 역할이 다르며 서로를 대체하는 관계가 아니라 상호 보완하는 관계입니다.
백신은 알려진 악성코드의 시그니처나 평판 정보를 기반으로 악성 파일을 탐지하고 차단하는 데 강점을 가지고 있습니다. 반면 최근 서버를 노리는 공격은 정상 계정 탈취, PowerShell·Bash 스크립트 실행, 메모리 기반(Fileless) 공격, Living off the Land(LoTL) 기법 등 정상 프로세스를 악용하는 방식이 대부분입니다. 이러한 공격은 파일이 생성되지 않거나 정상 프로그램을 이용하기 때문에 백신만으로는 탐지하기 어려운 경우가 많습니다.
EDR은 이러한 한계를 보완하기 위해 프로세스 실행, 파일 생성, 네트워크 연결, 계정 활동 등 다양한 행위를 지속적으로 모니터링하고, 개별 이벤트가 아닌 공격의 전체 흐름과 행위 패턴을 분석하여 알려지지 않은 공격까지 탐지하고 대응합니다.
그렇다면 EDR을 도입하면 기존 백신은 제거해도 될까요?
최근에는 백신 기능과 EDR 기능을 하나의 에이전트로 통합 제공하는 제품이 늘어나고 있습니다. 이러한 제품을 도입하면 별도의 서버 백신을 추가로 운영하지 않아도 되므로, 제품 단일화를 통해 운영 복잡성을 줄이고 에이전트 관리, 정책 운영, 라이선스 관리까지 일원화할 수 있다는 장점이 있습니다.
반면, EDR에 백신 기능이 포함되어 있지 않은 경우에는 기존 백신과 EDR을 각각 운영해야 하므로, 에이전트 관리와 정책 운영이 이원화될 수 있습니다.
Genian Insights E는 행위 기반 EDR 기능뿐만 아니라 서버 백신 기능까지 함께 제공하여 하나의 에이전트로 서버를 보호할 수 있습니다. 이를 통해 운영 부담을 줄이는 것은 물론, 백신 탐지 결과와 EDR 행위 분석 결과를 하나의 관리 콘솔에서 통합적으로 확인하고 대응할 수 있어 보다 효율적인 서버 보안 운영이 가능합니다.
실제로 서버 EDR 도입을 검토하는 담당자분들이 가장 많이 하시는 질문인 것 같습니다. 특히 웹 서버, DB 서버, ERP와 같이 24시간 운영되어야 하는 서버는 더더욱 작은 성능 저하가 서비스 품질에 영향을 줄 수 있기 때문에 매우 중요한 고려사항입니다.
결론부터 말씀드리면, Genian Insights E는 고객사의 운영 환경을 고려해 매우 경량화되어 있으며, 정상적인 운영 환경에서는 서비스 성능에 미치는 영향이 매우 제한적입니다.
예를 들어 Linux 환경에서는 eBPF(Extended Berkeley Packet Filter)와 같은 최신 커널 기술을 활용하는 형태로 개발이 되어있는데, eBPF는 커널 내부에서 필요한 이벤트만 효율적으로 수집할 수 있어, 기존 방식보다 낮은 오버헤드로 프로세스 실행, 파일 접근, 네트워크 연결 등의 보안 이벤트를 모니터링할 수 있습니다. 이 때문에 서버 운영에 필요한 가시성은 확보하면서도 성능 저하는 최소화할 수 있습니다.
또한 고객사의 운영 환경에 맞게 성능을 조정할 수 있는 다양한 기능을 제공합니다.
특정 프로세스 또는 디렉토리 예외 처리
이를 통해 서비스 특성에 맞춰 성능과 보안 수준의 균형을 유지할 수 있습니다.
물론 모든 보안 솔루션은 일정 수준의 시스템 자원을 사용합니다. 따라서 중요한 것은 '부하가 전혀 없느냐'가 아니라, 서비스 운영에 영향을 주지 않는 수준으로 최적화되어 있는지입니다. 실제로 서버 EDR 도입 시에는 PoC를 통해 CPU, 메모리, 디스크 I/O 등의 리소스 사용량을 함께 측정하고 검증하는 것이 일반적이며, 이를 통해 운영 환경에 적합한 정책을 적용한 후 본격적인 도입을 진행합니다.
EDR 솔루션을 도입하려는 담당자는 글로벌 벤더부터 국내 전문 보안기업까지 다양한 제품에 대한 선택지를 가지고 있습니다. 그렇다면 기업은 어떤 기준으로 제품을 선택해야 할까요?
결론부터 말씀드리면 '국산이냐, 외산이냐'보다 우리 조직의 운영 환경에 얼마나 적합한지'가 더 중요합니다.
외산 EDR은 오랜 기간 축적된 글로벌 위협 인텔리전스(TI)와 다양한 보안 기능, 그리고 해외 고객을 기반으로 한 풍부한 운영 경험을 갖추고 있다는 장점이 있습니다. 해외에서 먼저 등장하는 공격 기법이나 글로벌 위협 정보를 빠르게 반영한다는 점도 강점으로 꼽힙니다.
반면 국산 EDR은 국내 기업의 IT 환경과 운영 방식에 최적화되어 있다는 점에서 차별화됩니다. 국내 고객과 긴밀하게 소통하며 기능을 개선하기 때문에 실제 운영 편의성과 기술 지원 측면에서 높은 만족도를 제공하는 경우가 많습니다.
대표적으로 다음과 같은 부분에서 차이를 체감할 수 있습니다.
국내 보안 장비(SIEM, XDR, NAC 등)와의 연동 편의성
특히 서버 EDR은 도입보다 운영 기간이 훨씬 긴 제품입니다. 탐지 정책을 지속적으로 조정하고, 장애 발생 시 신속하게 대응하며, 운영 환경 변화에 맞춰 기능을 개선해야 하기 때문에 기술 지원 체계와 유지보수 역량 역시 매우 중요한 평가 요소입니다.
또한 최근에는 국산 EDR도 AI 기반 분석, 위협 인텔리전스, 행위 기반 탐지, 자동 대응 등 글로벌 수준의 기능을 제공하는 제품들이 등장하면서, 기능적인 격차는 점차 줄어들고 있습니다. 따라서 제품을 비교할 때는 단순히 브랜드 인지도나 해외 점유율만 보기보다 탐지 성능, 운영 편의성, 기술 지원, 기존 보안 인프라와의 연동성까지 종합적으로 검토하는 것이 바람직합니다.
일반 사용자 PC와 달리 서버는 조직의 핵심 서비스를 제공하는 시스템입니다. 웹 서버, DB 서버, ERP 서버와 같이 24시간 운영되는 서버는 하나의 프로세스가 중단되는 것 만으로도 서비스 장애나 업무 중단으로 이어질 수 있습니다.
이 때문에 서버 EDR은 단말기와 동일한 방식으로 자동 대응 정책을 적용하기보다는, '탐지 중심(Detection First)'으로 운영하는 조직이 많습니다.
예를 들어 단말기에서는 랜섬웨어가 탐지되면 악성 프로세스를 즉시 종료하거나 단말을 자동으로 네트워크에서 격리하는 정책을 적용하는 경우가 많습니다. 반면 서버에서는 정상 프로세스와 유사한 형태로 동작하는 업무 프로세스가 많기 때문에, 과/오탐이나 정책 설정 오류로 인해 중요한 서비스를 중단시킬 가능성까지 함께 고려해야 합니다.
따라서 대부분의 서버 운영 환경에서는 먼저 위협을 탐지하고, 보안 담당자가 공격 여부와 영향을 확인한 뒤 대응을 수행하는 운영 방식을 선택합니다.
EDR은 위협이 탐지되면 다음과 같은 정보를 함께 제공합니다.
동일 IOC가 존재하는 다른 서버 및 단말
관리자는 이러한 정보를 기반으로 실제 침해 여부를 빠르게 판단한 후 필요한 대응을 수행할 수 있습니다.
필요한 경우에는 EDR에서 제공하는 대응 기능을 통해
네트워크 격리
등의 조치를 즉시 수행할 수도 있습니다. 다만 이러한 대응은 자동 실행하기보다는 관리자의 승인 또는 운영 절차를 거쳐 수행하는 것이 일반적입니다.
즉, 서버 EDR의 핵심은 무조건 자동으로 차단하는 것이 아니라, 서비스 안정성을 유지하면서도 신속하게 위협을 탐지하고 필요한 시점에 정확하게 대응할 수 있도록 지원하는 것입니다. 서버 보안에서는 탐지 정확성과 운영 안정성의 균형이 무엇보다 중요하기 때문입니다.
최근 대부분의 서버 EDR은 행위 기반 탐지, 위협 분석, 대응 기능 등 기본적인 기능은 대동소이합니다. 하지만 실제 운영에서는 기능의 개수보다 운영 환경에 얼마나 적합한 제품인지가 더욱 중요합니다.
서버는 한 번 도입하면 수년간 운영되는 경우가 많으며, 서비스 중단 없이 지속적으로 관리되어야 합니다. 따라서 단순히 탐지 성능만 비교하기보다 실제 운영 환경에서 안정적으로 사용할 수 있는지를 종합적으로 검토해야 합니다.
특히 다음과 같은 항목은 반드시 확인하는 것이 좋습니다.
서버 보안은 장애 대응 속도가 매우 중요합니다. 제품 기능뿐 아니라 기술 지원 체계, 업데이트 주기, 고객 요구사항 반영 속도 등도 함께 검토해야 합니다.
무엇보다 중요한 것은 실제 운영 환경에서 직접 검증해 보는 것입니다. 제품 소개 자료나 기능 목록만으로는 성능 영향이나 운영 편의성을 정확히 판단하기 어렵기 때문에, 대부분의 기업은 PoC(Proof of Concept, 개념 검증)를 통해 실제 서버에 에이전트를 설치하고 CPU·메모리 사용량, 탐지 정확도, 운영 편의성 등을 충분히 검증한 후 도입 여부를 결정합니다.
또한 PoC에서는 정상 업무에 영향을 주지 않는지뿐만 아니라, 실제 공격 시나리오를 수행하여 탐지 성능과 대응 절차까지 함께 검증하는 것이 바람직합니다.
많은 담당자분들이 서버 EDR 도입을 검토하면서 "구축 기간이 오래 걸리지 않을까?", "기존 서비스를 중단해야 하는 것은 아닐까?"라는 점을 가장 많이 걱정합니다.
결론부터 말씀드리면, Genian Insights E는 기존 서버 환경을 변경하거나 서비스를 중단하지 않고 에이전트를 설치하는 방식으로 구축됩니다.(재부팅도 필요가 없습니다!!)
일반적인 구축 절차는 다음과 같습니다.
구축 기간은 대상 서버 수와 운영 환경에 따라 달라질 수 있지만, 수십 대 규모의 서버는 수일 내 구축이 가능한 경우가 많으며, 수백~수천 대 규모의 환경에서도 단계적으로 구축을 진행하기 때문에 서비스 운영에 큰 영향을 주지 않습니다. 당연히 규모가 큰 환경일수록 단계적으로 확대 적용하는 방식을 권장합니다.
또한 최근에는 원격 배포 도구, 운영체제별 패키지 관리 기능 등을 지원하는 제품이 많아져 구축 시간과 운영 부담도 지속적으로 줄어들고 있습니다.
서버 EDR을 검토하는 고객들이 자주 묻는 질문 중 하나가 "하루에 얼마나 많은 데이터가 수집되나요?"입니다. 이는 서버의 저장 공간과 네트워크 대역폭을 계획하는 데 중요한 요소이기 때문입니다.
결론부터 말씀드리면, 수집되는 데이터량은 서버의 역할과 운영 환경에 따라 달라집니다. 예를 들어 웹 서버, DB 서버, WAS 서버, 파일 서버는 생성되는 이벤트의 종류와 양이 서로 다르며, 실행되는 프로세스와 사용자 활동에 따라서도 차이가 발생합니다.
또한 EDR의 탐지 정책, 이벤트 수집 범위, 로그 보관 정책 등에 따라서도 데이터량은 달라질 수 있습니다.
일반적인 업무 환경에서는 서버 1대당 하루 평균 약 70MB 수준의 데이터가 수집되는 것으로 산정하고 있습니다. 물론 이벤트가 많이 발생하는 서버는 이보다 많을 수 있고, 반대로 역할이 단순한 서버는 더 적은 데이터가 수집될 수도 있습니다.
최근 서버 EDR은 모든 이벤트를 무조건 전송하는 방식이 아니라,
정책 기반 이벤트 필터링
등을 통해 불필요한 데이터 전송을 최소화하고 있습니다. 따라서 예상보다 적은 데이터량으로도 충분한 위협 가시성을 확보할 수 있습니다.
실제 도입 시에는 대상 서버의 역할과 수량을 기준으로 예상 데이터량을 산정한 후, 저장 공간과 네트워크 사용량을 함께 검토하여 운영 환경에 맞는 정책을 구성하여 제안드립니다.
지니언스 ES기술부에서 국내외 고객을 대상으로 Genian EDR 기반의 보안 컨설팅 및 기술 지원을 수행하고 있습니다.