중소기업 EDR(엔드포인트 탐지 및 대응) 선정과 SIEM 통합 제안

작년에 순이구의 한 의료기기 기업의 MLPS 2.0(중국 등급보호제도) 재심사를 도와주다가, 그들이 도입한 어느 해외 EDR 제품의 체험 기간이 끝난 뒤 매년 갱신 비용으로 28만 위안을 내야 한다는 사실을 알게 됐습니다. 사장님이 이게 값어치가 있느냐고 물으셔서, 저는 우선 로그를 SIEM에 연동해 실제 상황을 보자고 했습니다. 그런데 매주 경보가 수백 건씩 쏟아져 운영 인력 두 명이 도저히 다 볼 수 없었고, 결국 솔루션을 교체했습니다. 이 일을 계기로 깨달은 것은, 중소기업이 EDR을 고를 때 가장 큰 함정은 기술력이 아니라 선정 단계에서 우리가 실제로 쓸 수 있는 기능이 얼마나 되는지 따져보지 않는다는 점입니다.

이 글은 특정 제품을 띄우거나 깎아내리지 않고, 실무 관점에서 CrowdStrike, SentinelOne, 360 EDR 세 제품의 차이와 기존 SIEM과의 연동 방법을 이야기합니다.

세 제품을 써보니 실제 격차는 어디에 있나

CrowdStrike부터 보겠습니다. 클라우드 네이티브 아키텍처에 Agent가 매우 가벼워, 실측 메모리 점유율이 7-12MB로 엔드포인트에서는 거의 체감되지 않습니다. 위협 인텔리전스 역량은 확실히 업계 최상위권이라, 작년에 한 고객이 신종 랜섬웨어 변종에 감염됐을 때 Falcon 플랫폼이 두 시간 만에 IoC 지표를 내놓았습니다. 단점도 명확합니다. 중소기업에는 가격이 부담스럽고, 중국 내 노드 지연이 간간이 높으며, 중국어 인터페이스가 다소 거칠어 경보 규칙을 직접 조정해야 합니다.

SentinelOne은 최근 몇 년간 기세가 매우 좋습니다. 제가 접한 몇몇 고객은 자동 대응 능력이 CrowdStrike보다 더 직관적이라고 평가했습니다. rollback, kill process 같은 작업을 몇 번 클릭으로 끝낼 수 있습니다. EDR+XDR을 묶어 판매하고 로그를 Splunk, Elastic으로 바로 전송해 통합 비용이 낮습니다. 가격은 CrowdStrike보다 대략 30% 저렴하지만, 중국어 기술 지원 대응이 느린 편이라 복잡한 문제는 사실상 커뮤니티에 의존해야 합니다.

360 EDR은 국내 정부·기업 고객이 많고, 가장 큰 장점은 현지화입니다. 데이터가 국외로 나가지 않아 규정 준수 요건이 있는 고객에게는 필수 조건입니다. 작년에 업데이트된 RASP 기능이 엔드포인트 보호에 통합되어 방어 깊이가 앞의 두 제품보다 세밀합니다. 하지만 솔직히 말해 위협 인텔리전스 품질은 국제 벤더와 뚜렷한 격차가 있습니다. 공격자 프로파일 라이브러리 업데이트 주기가 CrowdStrike의 TI보다 대략 2-3일 늦습니다. 또한 Splunk, ELK와의 연동에는 맞춤 개발이 필요하고 간혹 호환성 문제가 생깁니다.

로그를 SIEM에 연동할 때, 교과서에 없는 함정

많은 영업 담당자가 “저희는 SIEM 연동을 기본 지원합니다”라고 말하지만, 실제로 EDR 로그를 Splunk나 ELK에 연동해 보면 경보 형식이 제각각이고, 타임스탬프에 시간대 문제가 있으며, 이벤트 중복 제거 로직이 SIEM 쪽과 충돌합니다. 제가 겪은 가장 황당한 사례는 한 고객의 SentinelOne 로그에서 동일한 프로세스 시작 이벤트가 서로 다른 유형의 로그 세 개로 쪼개져 있어, SIEM 쪽 연관 분석이 완전히 엉망이 된 것입니다.

권장하는 방법은 경량 방안으로 먼저 검증하는 것입니다. 이미 Microsoft Sentinel(Azure 네이티브 SIEM)을 도입했다면 세 EDR 모두 네이티브 Connector가 있어 30분이면 연동됩니다. Splunk ES를 쓴다면 우선 HEC로 TCP를 태우고, 로그량이 많으면 버퍼 큐를 두는 것을 권합니다.

1. EDR 쪽에서 켤 로그 유형 확인 — 전부 켜는 것은 권장하지 않으며 Process Execution, Network Connection, File Write 세 가지를 우선 켭니다
2. SIEM 쪽에서 필드 매핑을 구성하고 timestamp와 hostname 정규화를 중점 처리
3. 경보 임계값 설정 — Windows Defender 수준의 스마트 임계값을 참고하고 원제조사 템플릿을 그대로 쓰지 마십시오
4. 2주간 운영한 뒤 오탐 데이터를 근거로 규칙을 재조정 — 이 단계가 시간이 가장 많이 들지만 가장 중요합니다

아직 SIEM을 도입하지 않았다면, 기본 로그 수집 기능이 내장된 저희 sTrust 제로 트러스트 솔루션을 검토해 보십시오. 나중에 SIEM으로 확장할 때 처음부터 다시 만들 필요가 없습니다.

가격과 기능의 균형점, 원시적이지만 쓸 만한 방법

저에게는 원시적이지만 효과적인 방법이 하나 있습니다. 도입 전에 벤더에게 72시간 실제 대항 테스트를 요청하는 것입니다. 최근 반년간 실제로 차단한 피싱 샘플과 악성 Hash를 보내 샌드박스에서 전량 탐지되는지 확인합니다. 이 테스트는 비용이 거의 들지 않지만, PPT만 화려하고 실전에서 무너지는 제품을 걸러낼 수 있습니다.

비용 산정에는 참고 구간이 있습니다. 100명 규모 기업 기준으로 CrowdStrike Falcon Complete는 대략 연 18-22만 위안, SentinelOne Singularity Complete는 약 연 14-18만 위안, 360 EDR 정부·기업용 버전은 도입 규모에 따라 대략 연 8-12만 위안입니다. 규정 준수와 등급보호 심사만 목적이라면 360으로 충분하고, 랜섬웨어를 실전에서 막아야 한다면 SentinelOne에 더해 이메일 보안 게이트웨이를 함께 구성하는 것을 권합니다.

마지막으로 한 가지 당부드립니다. EDR은 사놓고 운영을 붙이지 않으면 사지 않은 것과 같습니다. 저는 큰돈을 들여 도입하고도 Agent는 켜져 있는데 경보를 보는 사람이 없고 규칙은 갱신되지 않는 기업을 너무 많이 봤습니다. 그런 상태라면 사지 않는 편이 낫습니다. 도입 전에 운영 인력 비용을 분명히 계산해 두십시오. 그렇지 않으면 갱신 시점에 이게 정말 쓸모가 있는지 의문이 들게 됩니다.