위협 이벤트 이해

​

위협 이벤트 정보

Endpoint Detection and Response(EDR)는 기기에서 악성코드 또는 잠재적으로 원치 않는 프로그램(PUP)을 식별하면 위협 이벤트를 생성합니다. 각 위협 이벤트에는 위협 이름, 분류, 관련 프로세스, 탐지 날짜 및 현재 상태와 같은 세부 정보가 포함됩니다. EDR이 있는 Blueprints에 연결된 기기의 모든 위협 이벤트는 Detections 페이지에서 찾을 수 있습니다. 또한 이러한 이벤트는 개별 기기 레코드에서도 볼 수 있습니다.

​

작동 방식

위협 이벤트는 Iru Endpoint EDR이 관리 대상 기기에서 잠재적인 보안 위험을 식별하면 자동으로 생성됩니다. 시스템은 위협 이벤트를 위협 중심 테이블 보기로 구성하며, 파일 탐지는 파일 해시별로, 행위 기반 탐지는 탐지 규칙별로 이벤트를 그룹화합니다. 이 구조를 통해 Mac 기기 전반에 걸친 위협의 영향을 쉽게 평가할 수 있습니다. 그룹화된 각 이벤트에는 위협에 대한 자세한 인사이트를 제공하는 사이드 패널이 포함되어 있어 보안 팀이 탐지된 위협의 범위와 심각도를 빠르게 파악할 수 있습니다.

​

이벤트 정보 이해

위협 중심 테이블 보기의 각 위협 이벤트는 정보 보안 팀의 위협 조사를 지원하는 필수 정보를 제공합니다.

• Threat ID: 탐지된 위협의 SHA-256 해시 값을 표시합니다
• Process: 위협을 일으킨 가장 최근에 탐지된 프로세스를 표시합니다
• Classification: 위협 이벤트의 분류 카테고리를 나타냅니다
• Detection Date: EDR이 위협을 식별한 날짜를 기록합니다
• 기기: 위협 이벤트의 영향을 받는 Mac 기기의 총 수를 나열합니다
• Threat Status: 그룹화된 위협 이벤트에 대한 모든 기기의 Detected, Remediated 및 Released 수

​

탐지 심각도 수준 이해

Iru Endpoint EDR에는 정보 보안 팀이 탐지된 위협의 중요도를 빠르게 평가할 수 있도록 심각도 점수가 포함되어 있습니다. 각 탐지 이벤트에는 Critical, High, Medium, Low, Informational의 다섯 가지 심각도 수준 중 하나가 할당됩니다. 탐지 테이블에는 각 탐지에 해당하는 심각도 수준을 표시하는 Severity 열이 포함되어 있습니다. 파일 탐지와 행위 기반 탐지 모두 심각도를 기준으로 정렬하고 필터링할 수 있습니다. Detections 페이지에는 심각도 수준별로 구성된 탐지를 시각적으로 분류하여 보여 주는 Detections By Severity 원형 차트도 있습니다.

​

위협 분류 이해

Iru Endpoint EDR은 파일 탐지의 경우 위협을 네 가지 카테고리(악성코드, 잠재적으로 원치 않는 프로그램(PUP), 무해, 알 수 없음)로, 행위 기반 탐지의 경우 두 가지 카테고리(악성, 의심)로 분류합니다.

​

파일 탐지 분류

• Malware: 기기, 개인 또는 조직에 해를 끼치도록 설계된 악성 소프트웨어를 의미합니다
• Potentially Unwanted Program (PUP): 기기에서 원치 않을 수 있는 애플리케이션입니다. PUP는 종종 시스템 리소스를 많이 사용하여 성능에 영향을 주고, 원치 않는 광고를 표시하며, 개인 정보를 수집합니다. 악성코드와 달리 PUP는 해를 끼치려는 의도가 없으며 일반적으로 번들 패키지에 포함되어 다른 소프트웨어와 함께 의도치 않게 설치됩니다
• Benign: 처음에는 악성으로 플래그가 지정되었지만 추가 분석 후 악성이 아닌 것으로 판단된 파일에 대한 분류입니다. 무해한 위협 이벤트가 발생하는 경우 탐지 또는 격리 당시 해당 항목이 EDR Library Item 차단 목록에 있었기 때문일 수 있습니다
• Unknown: Iru Endpoint EDR이 사용 가능한 데이터를 기반으로 악성 또는 무해로 확실하게 분류할 수 없는 파일에 대한 카테고리입니다. 더 많은 정보가 제공되거나 파일이 다시 분석되면 분류가 변경될 수 있습니다.

​

행위 기반 탐지 분류

• Malicious: 해를 끼치려는 의도가 있는 행위 활동을 나타내는 분류
• Suspicious: 즉시 해를 나타내지는 않지만 추가 조사가 필요한 행위 활동을 나타내는 분류

​

위협 상태 이해

모든 위협 이벤트에는 연결된 상태가 있습니다. 위협 이벤트가 가질 수 있는 다양한 상태는 다음과 같습니다.

​

파일 탐지 상태

• Quarantined: Protect 보안 태세에서 자동으로 격리된 탐지된 위협(macOS)
• Not Quarantined: Detect 보안 태세에서 격리되지 않은 탐지된 위협
• Released: 처음에는 격리되었지만 나중에 해제되어 원래 위치로 복원된 위협(macOS)
• Resolved: 마지막으로 탐지된 파일 경로에 더 이상 존재하지 않으며 에이전트에 의해 격리되지 않은 탐지된 위협

​

행위 기반 탐지 상태

• Detected: 악성 행위 활동이 식별되었지만 차단되지 않음(Detect 보안 태세)
• Blocked: 악성 행위 활동이 식별되고 차단됨(Protect 보안 태세)
• Informational: 의심스러운 행위 활동이 탐지되어 가시성을 위해 플래그가 지정됨

​

탐지 보기

​

위협 이벤트 필터링

시각화 및 해결을 쉽게 하기 위해 파일 탐지와 행위 기반 탐지 모두에 대해 상태를 기준으로 위협 이벤트를 필터링할 수 있습니다.

​

사이드 패널

위협 중심 테이블 보기에는 그룹화된 각 이벤트에 대한 사이드 패널이 있으며, 위협 이벤트 행을 선택하여 열면 해당 위협에 대한 자세한 정보에 액세스할 수 있습니다. 파일 탐지의 경우 사이드 패널에는 다음이 포함됩니다.

• 위협과 연결된 최신 파일 이름
• 모든 기기에 걸친 그룹화된 위협 이벤트의 모든 위협 상태(Detected, Remediated 및 Released)에 대한 전체 보기
• 모든 기기에 걸친 최초 및 마지막 탐지 날짜
• 위협과 관련하여 발견된 모든 고유 파일 경로에 대한 인사이트

행위 기반 탐지의 경우 사이드 패널에는 다음이 포함됩니다.

• 그룹화된 이벤트와 연결된 최신 프로세스 이름
• 모든 기기에 걸친 모든 위협 상태(Detected, Remediated 및 Released)에 대한 전체 보기
• 악성 또는 의심스러운 활동에 대한 설명
• 행위 활동과 연결된 악성코드 계열
• 추가 컨텍스트를 제공하는 정보 태그
• 모든 기기에 걸친 최초 및 마지막 탐지 날짜

​

기기 카드

사이드 패널의 기기 카드는 악성 파일이 발견된 기기를 나타냅니다. 사이드 패널에서 활성 보안 인시던트 중에 기기를 네트워크에서 격리하는 기기 격리와 같은 대응 작업도 수행할 수 있습니다. 파일 탐지의 경우 이러한 카드에는 다음과 같은 정보가 표시됩니다.

• 디바이스 이름
• 일련번호
• Blueprint 및 Library Item
• 맬웨어 및 PUP 대응 모드
• 조치 가능한 이벤트
• 위협 이벤트 세부 정보:
  • Threat Status - 기기에서 위협의 현재 상태.
  • 경로 - 위협이 탐지된 파일 경로.
  • 사용자 - 위협이 탐지되었을 때 프로세스와 연결된 사용자.
  • Detection Date - EDR이 위협을 식별한 날짜.
  • Quarantine Date - EDR이 위협을 격리한 날짜.
  • Resolved Date - 웹 앱에서 위협이 해결됨으로 표시된 날짜.
  • Release Date - 기기에서 위협이 격리 해제된 날짜.
  • Application Bundle Path - 애플리케이션 번들의 경로.

행위 기반 탐지의 경우 이러한 카드에는 다음과 같은 정보가 표시됩니다.

• 디바이스 이름
• 일련번호
• Blueprint 및 Library Item
• 악성 행위 탐지 보안 태세 모드 정보
• 위협 이벤트 세부 정보:
  • Threat Status - 기기에서 위협의 현재 상태.
  • Detection date - EDR이 위협을 식별한 날짜.
  • Rule version - 현재 규칙 버전
  • 상위 및 대상 프로세스 정보:
    • 상위 및 대상 프로세스 이름
    • 상위 및 대상 프로세스 ID
    • 프로세스 소유자
    • 상위 및 대상 프로세스의 이미지 경로
    • 상위 및 대상 프로세스의 명령줄 인수
    • 상위 및 대상 프로세스의 SHA-256 해시

​

사이드 패널에서 위협 이벤트 보기

​

파일 탐지의 경우

​

행위 기반 탐지의 경우

​

위협 상태 다시 확인

Malware 또는 PUP 보안 태세 모드가 Detect로 설정된 경우, 사이드 패널에서 위협의 상태를 수동으로 확인하여 해당 파일 경로에 아직 존재하는지 확인할 수 있습니다. 위협이 더 이상 존재하지 않으면 상태가 ‘Not quarantined’에서 ‘Resolved’로 업데이트됩니다. 위협이 아직 존재하면 상태는 변경되지 않습니다.

​

위협 이벤트 해제

조직에서 사용하는 보안 도구나 애플리케이션과 같이 실수로 격리된 특정 파일이나 애플리케이션에 대해 정보 보안 팀이 위협 이벤트를 해제해야 하는 경우가 있을 수 있습니다. 위협 이벤트를 해제하면 해당 항목이 연결된 EDR Library Item의 허용 목록에 추가됩니다.

​

VirusTotal 검색 수행

VirusTotal은 파일과 URL을 분석합니다. 위협 이벤트에서 Iru Endpoint 웹 앱을 벗어나지 않고 VirusTotal에서 해시를 검색할 수 있습니다.

​

위협 이벤트를 CSV로 내보내기

Iru Endpoint API를 사용하는 것 외에도 정보 보안 및 IT 팀은 관리 콘솔에서 직접 위협 이벤트 목록을 내보낼 수 있습니다. 위협 중심 보기의 내보내기 아이콘은 현재 필터 설정을 적용하고 각 위협 이벤트에 대한 자세한 정보가 별도의 열에 포함된 CSV 파일을 생성합니다. 이 기능은 기본 Detections 모듈 보기와 기기 레코드의 Detections 탭 모두에서 사용할 수 있습니다.

​

고려 사항

• 위협 분류: 적절한 위협 평가를 위해 파일 탐지 분류(malware, PUP, benign, unknown)와 행위 기반 탐지 분류(malicious, suspicious)의 차이를 이해하십시오
• 상태 관리: 정확한 보안 상태를 유지하고 적절한 해결 추적을 보장하기 위해 위협 상태를 정기적으로 검토하고 업데이트하십시오
• 심각도 우선순위 지정: 심각도 수준(Critical, High, Medium, Low, Informational)을 사용하여 위협 대응 노력의 우선순위를 지정하고 리소스를 효과적으로 할당하십시오
• 보안 태세 구성: macOS에서는 보안 요구 사항에 따라 EDR Library Items가 적절한 보안 태세 모드(Detect 대 Protect)로 구성되어 있는지 확인하십시오. Windows EDR은 파일 탐지에 Detect 모드를 사용합니다.
• 위협 조사: 파일 경로, 사용자 컨텍스트 및 탐지 타임라인을 확인하려면 사이드 패널과 기기 카드를 사용하십시오
• 오탐 관리: 실수로 격리될 수 있는 정상적인 애플리케이션을 적절한 문서화와 함께 위협 해제 프로세스를 사용하여 해제할 준비를 하십시오
• 외부 검증: VirusTotal 통합을 사용하여 위협 인텔리전스를 교차 확인하고 위협 분류를 검증하십시오
• 데이터 내보내기: 위협 분석, 보고 및 다른 보안 도구와의 통합을 위해 CSV 내보내기를 사용하십시오
• 일괄 작업: 여러 기기에 걸쳐 광범위한 위협을 처리할 때는 일괄 기기 격리 기능을 포함한 일괄 작업을 사용하여 효율적으로 위협을 관리하는 것을 고려하십시오
• 정기 모니터링: 보안 인시던트에 대한 적시 대응과 적절한 분류를 보장하기 위해 위협 이벤트에 대한 정기 검토 프로세스를 수립하십시오