위협을 즉시 차단하는 방법: Stellar Cyber의 NDR 최신 대응 기능 설명
오늘날의 현대 사회에서 SOC속도가 중요합니다. 위협은 빠르게 진화하고 공격자는 더욱 빠르게 움직이며, 보안팀은 피해가 발생하기 전에 이를 탐지하고 대응할 수 있어야 합니다. 전통적인 방식은... 네트워크 감지 및 응답 (NDR) Stellar Cyber는 의심스러운 행동을 식별하는 데 중점을 두고 있으며, 한 단계 더 나아가 고객이 값비싼 추가 모듈이나 라이선스 없이 단일 플랫폼에서 이를 감지할 뿐만 아니라 네트워크 수준에서 직접 조치를 취할 수 있는 기능을 제공합니다.
이를 가능하게 하는 강력한 기능 중 하나는 다음과 같습니다. TCP 재설정, 진행 중인 악성 네트워크 세션을 즉시 중단하고 향후 악성 세션이 생성되는 것을 방지하는 가볍지만 매우 효과적인 방법입니다. 큰 비용 부담 없이 더 빠른 대응과 위험 감소를 원하는 조직을 위해 Stellar Cyber의 최신 NDR 대응 기능을 제공합니다. TCP 재설정 상당한 영향을 미칩니다.
TCP RESET이란 무엇이고 왜 중요한가요?
TCP/IP 네트워킹에서 TCP 리셋은 연결을 즉시 종료하는 데 사용되는 제어 플래그입니다. TCP 리셋 패킷이 활성 세션에 삽입되면 두 엔드포인트 간의 통신이 정상적인 TCP 종료를 기다리지 않고 즉시 중단됩니다. TCP 리셋은 TCP 연결의 초기 3-웨이 핸드셰이킹 중에 새로운 연결이 설정되는 것을 방지할 수도 있습니다.
보안 운영에서 이 간단한 조치는 엄청난 가치를 지닙니다. 악의적인 행위자가 다음과 같은 경우:
- 데이터 유출
- 명령 및 제어(C2) 세션 실행
- 내부 자산 스캐닝
- 애플리케이션이나 장치의 취약점을 악용하려고 시도
- 무차별 대입 인증 서비스
즉각적인 TCP 재설정을 통해 방어자는 복잡하거나 무거운 네트워크 제어에 의존하지 않고도 손상이 발생하기 전에 연결을 끊거나 향후 연결이 설정되는 것을 방지할 수 있습니다.
Stellar Cyber가 TCP RESET을 구현하는 방법
스텔라 사이버 NDR 플랫폼은 네트워크 트래픽을 실시간으로 모니터링하고 위협 탐지 모델과 동작을 연관시킵니다. 악성 또는 의심스러운 세션이 식별되면 플랫폼은 TCP 재설정 신호를 발생시켜 문제가 있는 흐름을 차단할 수 있습니다.
이 기능은 추가 하드웨어나 기존 인프라 변경 없이 실시간으로 TCP 연결을 확인할 수 있는 센서에서 수행됩니다. 탐지 워크플로에 완벽하게 통합되어 조직의 전반적인 대응 역량을 강화합니다.
이를 통해 Stellar Cyber는 위협을 감지하자마자 악성 연결을 차단할 수 있습니다.
TCP 연결을 신속하게 종료하면 피해가 줄어드는 몇 가지 경우는 다음과 같습니다.
-
높은 신뢰도 서명을 사용한 악용 시도 예:
Stellar Cyber가 알려진 원격 코드 실행 익스플로잇과 일치하는 HTTP 요청 등 프로토콜 익스플로잇에 대한 명확한 IDS/IPS 시그니처를 감지하는 경우, 연결을 종료하면 익스플로잇 페이로드나 코드 실행 스테이징이 전달되지 않습니다. -
확인된 명령 및 제어(C2) 콜백 예:
Stellar Cyber가 알려진 악성 IP 주소나 도메인 이름 또는 C2 서버로 입증된 대상에 대한 작고 정기적인 비콘을 감지하는 경우, TCP 연결이 설정되지 않도록 방지하여 공격자의 제어 채널을 방해합니다. -
DLP 매칭을 통한 TCP를 통한 활성 데이터 유출 예:
민감한 데이터가 외부 호스트로 전송되는 파일 전송 시 데이터 손실 방지(DLP) 규칙에 따라 일치하는 경우, TCP 연결을 즉시 종료하면 데이터 손실이 제한됩니다.
Stellar Cyber 고객을 위한 주요 혜택
1. 내장형 - 볼트로 고정되지 않음
Stellar Cyber는 NDR 기능을 완벽하게 자체적으로 제공합니다. Open XDR 이 플랫폼은 별도의 고비용 NDR 제품이 필요 없도록 해줍니다. SOC 분석가는 추가 도구, 추가 라이선스, 통합 오버헤드 없이 통합 워크플로의 일부로 고급 네트워크 탐지 및 대응 기능을 이용할 수 있습니다.
2. 즉각적인 TCP 재설정 중단이 차이를 만드는 곳
인라인 TCP 리셋은 제어와 타이밍이 가장 중요한 순간에 정밀한 차단을 제공합니다. 보안 팀은 다음과 같은 여러 중요한 상황에서 방어 태세를 강화하기 위해 인라인 TCP 리셋을 활용합니다.
-
데이터 유출
예방 공격자가 랜섬웨어 공격이나 표적형 스파이 활동 중에 민감한 데이터를 이동하려고 시도할 때, 1초가 중요합니다. TCP 재설정은 세션을 중간에 끊어 데이터가 경계를 벗어나기 전에 전송을 즉시 중단합니다. -
명령 및 제어(C2) 방해
최신 위협은 실행, 페이로드 전달, 그리고 측면 이동을 위해 상호작용형 C2 채널에 의존합니다. TCP 리셋은 이러한 연결을 끊음으로써 공격자의 실시간 작전을 차단하고 방어자에게 유리한 위치를 제공합니다. -
내부 정찰 봉쇄
스캐닝이나 열거와 같은 초기 단계의 활동은 조용히 중단될 수 있습니다. TCP 리셋은 회피 행위를 유발하지 않으면서 적의 가시성을 제한하여 분석가가 위협을 확대하지 않고도 모니터링할 수 있도록 합니다. -
인증 무차별 대입 제한
대량 로그인 시도는 크리덴셜 스터핑 또는 무차별 대입 공격을 나타냅니다. TCP Reset은 정적 속도 제한에 의존하는 대신, 악의적인 세션을 실시간으로 동적으로 종료합니다. -
제로데이 익스플로잇 방어
패치가 출시되기 전에도 악용 시도는 비정상적인 페이로드나 스캐닝 행위를 통해 드러납니다. TCP 리셋을 통해 방어자는 악성 세션을 즉시 중단시켜 시그니처가 아닌 행위에 기반하여 조치를 취할 수 있습니다. -
내부 위협 완화
합법적인 사용자나 손상된 계정이 의심스러운 행동을 시작하면(파일 전송, 제한 구역 탐색 또는 비정상적인 액세스 패턴) 인라인 차단을 통해 정상적인 작업에 영향을 주지 않고 빠르고 집중적인 봉쇄가 가능합니다.
3. 네트워크 영향 없는 가벼운 대응
4. 가속 SOC 응답성 및 효율성 향상
- 높은 신뢰도의 알림에 대해 자동으로 재설정을 트리거합니다.
- 분석가 주도 조사 중 수동 재설정 실행
- 플레이북과 응답 앱에 작업을 통합합니다.
5. 기존 보안 제어 강화
- 공격자가 EDR을 회피하더라도 TCP 재설정은 여전히 활성 세션을 종료합니다.
- 방화벽이 동작 이상을 감지하지 못하는 경우에도 Stellar Cyber의 NDR 분석을 통해 연결을 중지할 수 있습니다.
6. 사고 억제를 위한 강력한 도구
- 전체 호스트를 격리하지 않고 의심스러운 세션이나 애플리케이션을 중지합니다.
- 증거를 수집하는 동안 공격자의 움직임을 제한하세요
- 사업 운영을 방해하지 않고 실시간 위협을 억제합니다.
"TCP 재설정은 시작에 불과합니다. Stellar Cyber는 복잡성을 추가하지 않고도 방어자가 네트워크 트래픽을 정밀하게 제어할 수 있도록 하는 인라인 대응 기능을 지속적으로 확장하고 있습니다. 에이전트리스 방식의 고속 대응 기능이 더욱 강화될 것으로 기대해 주십시오." SOC 팀이 사후 대응이 아닌 기계적인 속도로 행동해야 한다."
"NDR이 Stellar Cyber에 기본적으로 내장되어 있기 때문에 TCP RESET 응답 기능을 신속하게 구현할 수 있었습니다." XDR 퓨처 테크놀로지스의 CTO인 에어튼 코엘료는 "플랫폼을 사용해 본 결과, EDR이 없는 환경에서 진행 중인 데이터 유출 시도가 즉시 차단되고 명령 및 제어(C2) 세션이 차단되는 것을 확인했습니다. 이를 통해 엔드포인트에 에이전트를 설치하지 않고도 네트워크 계층에서 고도화된 위협과 제로데이 위협을 직접 차단할 수 있었으며, 전용 NDR 도구를 사용하는 것보다 훨씬 저렴한 비용으로 이를 달성할 수 있었습니다. 이는 EDR이 없는 OT/ICS와 같은 중요 환경에서 위협을 신속하게 차단할 수 있는 솔루션을 제공하는 놀라운 기능입니다."라고 말했습니다.
결론: 위협을 즉시 중단시키는 기계 속도 대응
- 위험 감소
- 응답 시간 개선
- 높이다 SOC 효율성
- 업무를 방해하지 않고 사고를 억제합니다.
