AI 기반
엔드포인트 탐지 및 대응
단일 경량 센서와 공격자 인텔리전스로 멀웨어 없는 공격까지 탐지하고, Charlotte AI가 탐지 분류부터 대응까지 자동화합니다
배경 및 필요성
엔드포인트 위협의 진화와 기존 방어의 한계
멀웨어를 남기지 않는 공격 앞에서 무력화되는 시그니처 기반 방어
현실
CrowdStrike 2026 글로벌 위협 보고서에 따르면 2025년에 탐지된 공격의 82%에는 멀웨어가 없었습니다. 공격자는 PowerShell 등 정상 도구를 악용하는 LotL(Living off the Land) 방식과 자격 증명 탈취로 침투하며, eCrime 공격자의 평균 브레이크아웃 타임(최초 침투 후 내부로 확산하기까지 걸린 시간)은 29분, AI를 활용한 공격자의 공격은 89% 증가했습니다.
엔드포인트 보안의 핵심 과제
파일 기반 시그니처로는 탐지 자체가 어렵고, 탐지되더라도 29분 안에 분류·조사·대응을 끝내지 못하면 공격은 이미 다음 시스템으로 이동한 뒤입니다.
대표 문제 사례
- • 멀웨어 없는 공격과 정상 도구 악용(LotL)을 시그니처로 탐지 불가
- • 탐지 이벤트만 남고 원격 측정 데이터가 없어 침해 경로 규명 불가
- • 알림은 쌓이는데 분류·조사가 수작업이라 평균 대응 시간(MTTR)이 지연
멀웨어 없는 공격의 탐지 한계
파일 기반 시그니처 방어의 구조적 한계
정상 도구 악용(LotL)과 메모리 기반 익스플로잇은 디스크에 흔적을 남기지 않아 해시·패턴 매칭으로는 판정할 수 없습니다.
측면 이동과 도메인 간 공격
엔드포인트 단위 방어로는 확산 범위 파악 불가
자격 증명을 탈취한 공격자는 정상 계정으로 이동합니다. 엔드포인트·아이덴티티·클라우드가 분리된 도구로는 경로를 이어 볼 수 없습니다.
수작업 분류에 묶인 보안 운영
알림 과부하로 놓치는 실제 위협
탐지 분류와 조사가 사람 손에 남아 있으면 평균 29분인 브레이크아웃 타임을 따라갈 수 없고, 중요한 알림이 대응 여력 부족으로 후순위가 됩니다.
CrowdStrike Falcon EDR 기반 통합 방어
단일 경량 센서 · 공격 지표(IOA) 기반 탐지 · 에이전트식 AI 대응
Falcon Prevent (NGAV)
같은 센서에서 동작하는 차세대 백신 계층. 머신러닝으로 사전 실행을 차단해 EDR이 다뤄야 할 사건 수를 줄입니다.
Falcon Adversary Intelligence
자체 보유한 200개 이상의 공격자 프로파일이 탐지 결과에 자동 연결되어 위협의 우선순위를 판단하게 합니다.
Falcon Fusion SOAR
노코드 워크플로우 자동화. EDR 탐지에 이어질 알림과 대응 액션을 정의해 반복 조치를 자동 수행합니다.
Falcon Insight (EDR) · 플랫폼의 중심
단일 경량 센서가 수집한 고충실도 원격 측정 데이터가 CrowdStrike Falcon 플랫폼의 공통 데이터 기반이 됩니다.
차단(NGAV)도, 노출 관리도, 아이덴티티·클라우드 보안도 모두 이 데이터 위에서 동작하기 때문에
모듈을 추가해도 새 센서를 배포할 필요가 없고, 조사와 대응은 언제나 하나의 콘솔에서 이어집니다.
사고 이전 시점까지 되짚는 상시 기록
알림이나 탐지와 관련이 없는 이벤트도 지속적으로 수집합니다. 그래서 사고 발생 이후에도 그 시점으로 되돌아가 명령줄 인수, 파일 쓰기, DNS 요청, IP 연결을 타임라인으로 확인할 수 있습니다.
수집된 원시 데이터는 구조화된 쿼리로 검색할 수 있고, 엔드포인트가 오프라인 상태여도 결과를 조회할 수 있습니다.
Charlotte AI
에이전트식 SOC의 두뇌
생성형 및 에이전트식 AI가 탐지를 분류하고 오탐을 걸러내며, 사고를 조사해 결과를 요약하고 대응까지 자동화합니다. 엘리트 분석가의 판단을 학습하며, 고객 사례에서는 평균 대응 시간(MTTR)이 3배 단축되었습니다.
Charlotte AI AgentWorks에서는 코드 없이 자연어로 보안 에이전트를 만들고 테스트·배포할 수 있으며, 모든 응답은 추적 가능하고 조치는 사용자 승인 기반으로 수행됩니다. (AI 거버넌스 ISO 42001 인증)
Falcon EDR 주요 기능
탐지부터 조사, 대응까지 하나의 콘솔에서
상시 원격 측정 수집
알림과 무관한 원시 이벤트까지 지속 수집. 커널 모드에서 동작해 가볍게 상세 로그를 확보
공격 지표(IOA) 기반 탐지
MITRE ATT&CK에 매핑된 행위 기반 탐지로 멀웨어 없는 공격과 정상 도구 악용(LotL)까지 판정
Charlotte AI 탐지 분류
에이전트식 AI가 탐지를 분류하고 오탐을 걸러내 분석가에게 필요한 알림만 남깁니다
프로세스 트리 · 타임라인
악성·정상 프로세스 관계를 트리로 제시하고 공격 관련 원격 측정 데이터와 IOC를 시간순으로 연관
사고 자동 생성 · 측면 이동 가시화
연관 행위를 묶어 사고(Incident)를 자동 생성하고 전파 범위를 그래프로 제시해 근본 원인을 식별
위협 수색 (Threat Hunting)
사전 정의 쿼리와 스케줄링을 제공하며 클라우드에 수집된 데이터를 검색하므로 엔드포인트에 부하가 없음
실시간 대응 (RTR)
원격 접속으로 프로세스 종료, 파일 수집, 커널·프로세스 메모리 덤프 수집을 수행
호스트 네트워크 격리
커널 레벨 격리가 재부팅 후에도 유지되며 조사용 IP는 예외로 허용해 대응 채널 확보
도메인 간 공격 차단
Falcon Next-Gen SIEM과 연계해 엔드포인트를 넘어 아이덴티티·클라우드까지 가시성을 확장
같은 센서로 확장되는 Falcon 모듈
EDR이 수집한 원격 측정 데이터를 그대로 활용하므로 필요한 시점에 켜기만 하면 됩니다
Falcon Prevent
차세대 백신(NGAV) · 머신러닝 기반 사전 차단
Falcon Exposure Management
노출 관리 · 취약점과 자산을 악용 위험 기준으로 우선순위화
Falcon Next-Gen Identity Security
아이덴티티 위협 탐지 및 조건부 접근 제어
Falcon Cloud Security
코드에서 클라우드까지 워크로드·설정 위험 가시화
Falcon Data Security
웹·USB·생성형 AI 도구로의 민감 데이터 유출 통제
Falcon Adversary Intelligence
공격자 인텔리전스 · 다크웹 모니터링과 자동 분석
Falcon Next-Gen SIEM
도메인 간 상관 분석 · 타사 데이터 수집 및 조사
Charlotte AI AgentWorks
자연어로 보안 에이전트를 구축·배포하는 노코드 환경
CrowdStrike 차별점
기존 백신·EDR 대비 구조적인 기술 우위
EDR을 개척한 공격자 기반 접근
무엇을 실행했는지가 아니라 공격자가 무엇을 하려 하는지를 봅니다. MITRE ATT&CK에 매핑된 공격 지표(IOA)로 판정하기 때문에 2025년 MITRE ATT&CK 기업 평가에서 100% 탐지율·100% 보호율·0% 오탐지율을 기록했으며, 2026년 Gartner Magic Quadrant 엔드포인트 보호 플랫폼 부문에서 7년 연속 리더로 선정되었습니다.
자체 보유 공격자 인텔리전스
타사 피드를 중계하지 않고 CrowdStrike가 직접 운영하는 인텔리전스입니다. 200개 이상의 공격자 프로파일과 킬체인 정보가 탐지 결과에 자동으로 연결되어 "누가, 무엇을 노리고" 들어왔는지까지 판단할 수 있습니다.
Charlotte AI 기반 에이전트식 SOC
탐지 분류·조사·요약·대응을 에이전트식 AI가 수행합니다. AgentWorks로 자체 보안 에이전트를 만들 수 있고, ISO 42001 기반 거버넌스로 모든 조치가 추적·승인 체계 안에서 이뤄집니다.
단일 경량 센서 · 클라우드 네이티브
EDR 도입에 별도 관리 서버나 데이터센터가 필요하지 않습니다. 설치와 자동 업데이트에 재부팅이 없고, 모듈을 추가해도 센서는 하나이며, 대역폭이 제한된 거점과 사외 근무 엔드포인트에서도 동일한 보호 수준을 유지합니다.
적용 시나리오
환경별로 우선순위가 다른 요구를 하나의 EDR로
랜섬웨어 침해 규명과 즉시 격리
환경 및 과제
내부망 엔드포인트와 업무 서버가 혼재하고, 랜섬웨어 감염 시 서비스 중단이 곧바로 고객 피해로 이어지는 환경. 차단 여부보다 "어디로 들어와 어디까지 갔는가"를 즉시 답할 수 있어야 하며, 그 과정이 감사 증빙으로 남아야 합니다.
적용 효과
- ✓ 상시 수집된 원격 측정 데이터로 최초 침투 지점과 실행 경로를 타임라인으로 재구성
- ✓ 측면 이동 그래프로 확산 범위를 확인하고 영향받은 엔드포인트를 일괄 식별
- ✓ 감염 의심 엔드포인트를 커널 레벨에서 즉시 격리하고 조사용 IP만 예외 허용
- ✓ Charlotte AI 탐지 분류로 알림 과부하를 줄이고 실제 위협에 인력 집중
분산된 엔드포인트까지 이어지는 EDR 커버리지
환경 및 과제
여러 국가의 사업장과 사외 근무 엔드포인트가 혼재하고, 일부 거점은 대역폭이 제한적입니다. 거점마다 관리 서버를 두기 어렵고, 사고가 발생해도 본사 보안팀이 현장 데이터를 확보할 방법이 마땅치 않습니다.
적용 효과
- ✓ 거점별 관리 서버 없이 클라우드 콘솔에서 전 사업장 엔드포인트를 동일하게 수집·조사
- ✓ 사내 네트워크 밖 엔드포인트도 동일한 탐지 정책과 대응 권한 유지
- ✓ 실시간 대응(RTR)으로 현장 방문 없이 포렌식 데이터 확보
- ✓ Falcon Exposure Management로 센서 미설치 호스트와 취약점을 함께 식별
CrowdStrike Falcon으로
보안 사고를 방지하세요
멀웨어 없는 공격까지 탐지하는 EDR과 Charlotte AI 기반 자동 대응을
기술 검증(PoC)으로 직접 확인해 보세요