리뷰 | 센티넬 원 , 에이전트 방식 엔드 포인트 보호 의 정수 - CIO Korea 
 엔드 포인트 보호 는 엔드 포인트 자체 에 있 는 서명 기반 바이러스 백신 프로그램 으로 시작 됐 다 . 이후 시간 이 흐르 며 엔드 포인트 의 보호 기술 은 행동 분석 을 포함 하 고 머신 러닝 과 인공지능 을 사용 해 위협 을 탐지 하 는 등 상당 한 수준 으로 발전 했 다 . 심지어 이러 한 작업 의 ‘ 브레인 ’ 은 네트워크 더 깊 은 곳 으로 이전 했 음 에 도 말 이 다 . 실제로 오늘날 많 은 엔드 포인트 보호 프로그램 이 더 는 엔드 포인트 에 있 지 않 다 . 위협 요소 가 내부망 침투 를 시도 해 응답 을 요청 할 때 만 엔드 포인트 에 신호 를 보낸다 . 
 반면 센티넬 원 ( SentinelOne ) 의 접근 법 은 조금 다르 다 . 고급 탐지 및 대응 기능 을 갖춘 강력 한 에이전트 를 엔드 포인트 에 배치 해 최 전선 에서 위협 을 차단 한다 . 모든 에이전트 는 완전히 독립 적 이 며 , 보호 하 는 엔드 포인트 가 코어 네트워크 에서 연결 이 끊겼 거나 연결 이 전혀 없 는 경우 에 도 작동 한다 . 독립 적 으로 실행 하 는 것 외 에 도 , 각 에이전트 는 발생 한 공격 , 또는 공격 시도 에 대한 상세 한 포렌식 데이터 수집 역할 을 한다 . 
 이 들 에이전트 는 유사 한 위협 및 활동 중 인 공격 시도 를 알리 기 위해 중앙 관리 콘솔 로 리포트 한다 . 이 정보 와 보안 담당자 가 수행 한 모든 작업 은 다른 모든 에이전트 로 전송 되 며 나중 에 다른 에이전트 가 유사 한 위협 을 발견 할 때 어떻게 처리 할지 도 안내 한다 . 
 센티넬 원 이 배포 한 에이전트 는 윈도우 7 또는 윈도우 XP 레거시 에이전트 를 비롯 해 여러 플랫폼 에서 사용 할 수 있 다 . 또한 대부분 버전 의 윈도우 서버 와 리눅스 에서 도 구동 이 가능 하 며 , OS X 엘 캐피 탄 같 은 맥 시스템 의 여러 제품군 에서 도 연동 된다 . 에이전트 는 클라이언트 시스템 에서 수 백 MB 정도 의 공간 을 차지 하 며 , 평균 CPU 사용 률 은 1 % 미만 이 다 . 또한 VDI 환경 또는 클라우드 인 스턴스 에 도 배포 할 수 있 다 . 
 센티넬 원 의 가격 은 프로그램 이 보호 하 는 엔드 포인트 수 를 기준 으로 책정 한 연간 요금 이 다 . 센티넬 원 은 로컬 로 설치 및 관리 하 거나 , 심지어 무선 연결 네트워크 에 설치 하 거나 클라우드 를 통해 관리 할 수 도 있 다 . 또한 필요 에 따라 기존 보안 팀 을 지원 하 거나 센티넬 원 을 서비스 의 일부 로 모니터링 하 고 관리 할 수 있 는 SaaS 옵션 도 제공 한다 . 
 센티넬 원 테 스팅 
 에이전트 가 설치 되 면 관리자 는 환경 및 보안 허용 오차 에 따라 에이전트 를 구성 해야 하 며 , 모든 작업 은 관리 콘솔 에서 수행 한다 . 에이전트 정책 은 충돌 을 방지 하 기 위해 계층 에 기반 한다 . 
 예 를 들 어 , 이번 리뷰 에서 는 시카고 지사 에서 일 하 는 직원 을 위한 하나 의 규칙 집합 을 만들 고 소프트웨어 개발 에 종사 하 는 사람 은 더 엄격 한 정책 을 만들 어 테스트 하 기 로 했 다 . 개발 정책 을 시카고 지사 규칙 보다 위 에 두 면 시카고 에서 일 하 는 모든 개발자 가 더 엄격 한 규제 를 받 게 될 것 이 다 . 반대 로 시카고 지사 규칙 을 개발 정책 보다 위 에 두 면 개발자 에게 더 관대 한 규칙 이 적용 된다 . 어쨌든 , 이러 한 설정 은 그림자 규칙 이나 내부 충돌 을 예방 해 줬 다 . 
 센티넬 원 에이전트 가 보호 하 는 시스템 을 테스트 하 기 위해 먼저 네트워크 와 에이전트 의 연결 을 끊 은 다음 정교 한 악 성 코드 를 사용 해 공격 했 다 . 센티넬 원 의 에이전트 는 파일 의 실행 을 차단 하 고 시스템 에서 해당 파일 의 모든 인 스턴스 를 지웠 다 . 클라이언트 가 다시 연결 되 자마자 , 에이전트 는 파일 이 무엇 을 하 려고 하 는지 , 그리고 거기 에 대해 어떻게 대응 했 는지 에 대한 완전 한 포렌식 기록 을 중앙 콘솔 에 보 고 했 다 . 사용자 는 원할 경우 네트워크 의 다른 모든 에이전트 에게 그 계획 이 전달 되 도록 할 수 있 다 . 
 이번 리뷰 에서 악성 코드 는 엑셀 스프레드시트 위반 파일 이 었 다 . 센티넬 원 은 네트워크 엔드 포인트 에 같 은 스프레드시트 의 다른 인 스턴스 5 건 이 있 음 을 경고 했 다 . 아직 열 지 않 았 으므로 악성 코드 에 대한 정확 한 정보 는 파악 할 수 없 었 지만 , 최소한 악 성 코드 가 있 다는 것 은 인지 한 것 이 다 . 중앙 콘솔 에서 해당 에이전트 에게 파일 을 삭제 하 도록 명령 한 후 이러 한 악 성 코드 가 다시 나타날 경우 다른 모든 에이전트 도 같 은 작업 을 수행 하 도록 지시 했 다 . 
 다음 테스트 에서 는 에이전트 중 하나 를 대응 모드 에서 모니터링 모드 로 전환 했 다 . 이렇게 하 면 랜섬 웨어 가 엔드 포인트 를 완전히 장악 하 고 암호 화 하 는 것 을 허용 하 게 된다 . 여기 서 는 테스트 이 므로 우리 는 랜섬 웨어 노트 가 여기저기 서 튀 어 나오 고 , 모든 파일 이 이상 하 게 변해 가 는 ' 소름 돋 는 ' 장면 을 계속 지켜 봤 다 . 일반 적 인 경우 라면 이미 시스템 이 완전히 파괴 되 기 때문 에 완전히 지우 고 , 오프사이트 백업 을 다시 불러와야 하 겠 지만 , 센티넬 원 에게 는 이 정도 랜섬 웨어 는 사소 한 문제 에 불과 했 다 . 
 센티넬 원 에이전트 는 무단 변경 이 불 가능 하 다 . 따라서 악의 적 인 프로그램 이 이 를 덮어쓰 거나 수정 할 수 없 다 . 또한 센티넬 원 은 엔드 포인트 내 에서 중요 한 영역 을 보호 한다 . 악 성 코드 가 마이크 로 소프트 볼륨 섀도우 카피 데이터 와 서비스 를 지우 려고 시도 했 지만 , 센티넬 원 이 이 를 차단 했 다 . 
 우리 는 관리 콘솔 을 통해 악성 코드 알림 에 적절 하 게 대응 할 수 있 었 다 . 모든 에이전트 에게 시스템 을 복원 하 고 모든 파일 을 잠금 전 상태 로 돌려 놓 으라는 명령 을 내린 것 이 다 . 재 부팅 을 통해서 만 없앨 수 있 는 랜섬 노트 를 제외 하 면 , 랜섬 웨어 공격 이 없 었 던 일 인 것 처럼 말끔 하 게 이전 상태 로 돌아갈 수 있 었 다 . 심지어 이것 은 센티넬 원 이 탐지 ( 모니터링 ) 모드 에 있 었 기 때문 에 이 정도 까지 공격 이 진행 될 수 있 었 던 것 이 고 , 대응 모드 로 실행 되 었 다면 여기 까지 오 지 도 못했 을 것 이 다 . 
 또한 , 센티넬 원 은 엔드 포인트 에 대한 강력 한 악 성 코드 방지 및 감염 된 시스템 을 정상 상태 로 롤백 하 는 기능 외 에 도 공격 에 대한 세세 한 포렌식 기록 을 제공 한다 . 이러 한 자료 는 사이버 보안 팀 이 공격자 의 툴 과 전술 , 타깃 을 파악 하 는 데 도움 을 줄 것 이 다 . 
 센티넬 원 은 엔드 포인트 에 강력 하 고 , 안 전하 며 , 독립 적 인 에이전트 를 배치 하 기 때문 에 갈수록 정교 해 지 는 공격 에 대해 커다란 이점 을 갖 는다 . 그리고 이러 한 에이전트 는 독립 적 으로 행동 할 수 있 기 때문 에 공격 에 즉각 적 으로 대응 할 수 있 고 , 추후 분석 을 위해 관련 정보 를 보안 팀 과 공유 할 수 도 있 다 . 센티넬 원 의 에이전트 는 고작 수 백 MB 의 스토리지 공간 과 1 % CPU 만 을 활용 해 위협 요소 가 핵심 네트워크 에 도달 하 기 전 에 이 를 차단 함 으로써 엔드 포인트 에 꼭 필요 한 보호 기능 을 제공 한다 . ciokr @ idg . co . kr 
 보안 / 센티넬 원 / 엔드 포인트