EDR/XDR이란? 뜻·차이·주요 기능 정리

EDR과 XDR은 한국 보안팀의 기본 어휘가 되었지만, 벤더 자료와 RFP에서 자주 혼동됩니다. 그 결과로 과도한 구매, 과소 구매, 임원 보고에서의 잘못된 질문이 발생합니다. 이 용어집은 한국 구매자가 계약 전에 정리해야 할 핵심 개념을 다룹니다. EDR과 XDR의 정의, 안티바이러스·SIEM·SOAR와의 관계, MDR의 역할, 그리고 개인정보보호법·ISMS-P 환경에서의 의미를 짚어봅니다.

이 가이드의 구성

• EDR의 핵심 정의
• XDR이 EDR에 추가하는 가치
• 안티바이러스·EDR·XDR의 관계
• MDR과 SOC, '매니지드'의 실제 의미
• MITRE ATT&CK과 위협 분류 언어
• EDR/XDR과 SIEM·SOAR 연결
• 한국 조달에서 자주 보이는 용어
• EDR/XDR의 이점과 한계

EDR의 핵심 정의

EDR은 엔드포인트에 경량 에이전트를 설치해 프로세스·파일·네트워크·레지스트리 변화를 지속적으로 기록합니다. 알려진 공격 패턴이나 의심스러운 행위가 감지되면 알람을 발생시키고 분석가에게 호스트 격리, 프로세스 종료, 변경 롤백 같은 대응 도구를 제공합니다. 안티바이러스가 차단에 초점을 둔다면 EDR은 이미 발생한 행위를 탐지·조사·대응하는 데 무게중심을 둡니다.

XDR이 EDR에 추가하는 가치

XDR은 EDR의 범위를 이메일·ID·클라우드·네트워크 등 인접 도메인까지 확장합니다. 엔드포인트에서는 평범해 보이는 알람이 직전의 의심스러운 ID 로그인과 결합하면 다르게 보이는 경우를 잡아내는 것이 XDR의 가치입니다. 다만 SOC 인력이 다도메인 알람을 운영할 수 없으면 XDR의 광폭 정보는 부담이 됩니다. SOC 운영 가용성이 XDR 적용 폭을 결정합니다.

안티바이러스·EDR·XDR의 관계

안티바이러스는 알려진 멀웨어 차단의 기반선, EDR은 안티바이러스가 놓친 행위 기반 위협 탐지, XDR은 다도메인 상관 분석을 담당합니다. 셋은 대체가 아닌 보완 관계로, 최근 제품은 안티바이러스·EDR을 동일 에이전트에 통합해 운영을 단순화합니다. Microsoft Defender for Endpoint 에이전트가 안티바이러스 역할도 하는 것이 대표적인 사례입니다.

MDR과 SOC, '매니지드'의 실제 의미

MDR은 벤더 또는 파트너의 분석가가 고객의 EDR/XDR 플랫폼을 24/7로 감시·조사·대응하는 서비스입니다. 범위는 모니터링 전용, 격리 포함, 풀 DFIR까지 다양합니다. 사내 SOC가 작거나 24/7 체계가 없는 한국 기업에 MDR은 사고 발생 시 비용을 회수합니다. SOC는 알람을 수신·대응하는 팀과 운영 절차의 묶음으로, 사내·외주·하이브리드 형태를 자유롭게 구성합니다.

MITRE ATT&CK과 위협 분류 언어

MITRE ATT&CK은 실제 공격자 행위를 전술과 기술로 분류한 공개 프레임워크입니다. 벤더가 자사 제품을 ATT&CK 매핑으로 설명하면 한국 구매자는 동일 어휘로 비교할 수 있습니다. 자사 위협 모델과 가장 관련 깊은 전술(초기 침투, 자격 증명 탈취, 횡적 이동, 데이터 유출)이 어떤 기술로 구현되는지를 매핑해 PoC 시나리오에 반영하면 평가가 구체화됩니다.

EDR/XDR과 SIEM·SOAR 연결

SIEM은 다양한 소스의 로그를 통합해 컴플라이언스 보고와 광범위한 상관 분석을 제공합니다. SOAR는 도구 간 자동 워크플로(티켓팅·격리·인텔리전스 조회)를 담당합니다. EDR/XDR은 엔드포인트와 인접 도메인의 탐지·대응, SIEM은 전사 가시성, SOAR는 자동화 결합제로 역할이 분리됩니다. 작은 한국 기업은 EDR+MDR로 시작하고 SIEM·SOAR를 단계적으로 도입하는 모델이 일반적입니다.

한국 조달에서 자주 보이는 용어

RFP에 자주 등장하는 국내 용어로는 개인정보보호법·정보통신망법·ISMS-P·KISA 인증·금융보안원 가이드라인이 있습니다. EDR/XDR 벤더는 데이터 보관 위치, 국내 사업자등록, 한국어 기술지원, ISMS-P 통제 항목 매핑을 제시할 수 있어야 합니다. 벤더 측 용어는 EPP(엔드포인트 보호 플랫폼), CWPP(클라우드 워크로드 보호), CSPM(클라우드 보안 자세), ITDR(아이덴티티 위협 탐지·대응)이 자주 함께 등장합니다.

EDR/XDR의 이점과 한계

이점은 대응 속도입니다. 잘 튜닝된 EDR/XDR은 일주일짜리 포렌식 프로젝트를 당일 봉쇄로 바꿔 개인정보 통지 기한 준수와 데이터 유출 차단에 직접 기여합니다. 한계는 운영입니다. 튜닝하지 않으면 알람이 폭주하고, MDR 없이 24/7을 운영하면 야간 사고를 놓치며, 로그 보관 비용이 청구서에서 자주 누락됩니다. 한 번의 구매가 아니라 장기 운영 약속으로 받아들여야 합니다.

제품 자세히 보기

요약: 조달 회의에 가져가야 할 정리

EDR은 엔드포인트 전용 탐지·대응, XDR은 다도메인 확장, 안티바이러스는 하단 예방, SIEM은 전사 로그, SOAR는 자동화 결합제, MDR은 상단 매니지드 서비스입니다. MITRE ATT&CK은 공통 어휘를 제공합니다. 여기에 한국 컴플라이언스(개인정보보호법·ISMS-P·금융보안원)를 추가하면, 조달 회의의 4분의 1 정도는 사전에 끝낼 수 있습니다.