PC와 서버의 백신은 윈도우즈 디펜더만으로 충분하다

By PLURA

🛡️ 전통적인 백신, 아직도 따로 필요할까요?

많은 기업과 개인은 여전히 전통적인 백신(Antivirus, AV) 을 사용하고 있습니다.
하지만 사이버 위협이 고도화된 지금, 질문은 조금 달라져야 합니다.

“백신이 필요한가?” 가 아니라
“기본 백신만으로 충분한가?” 입니다.

이 질문에 대한 답은 생각보다 명확합니다.

마이크로소프트의 윈도우즈 디펜더(Windows Defender) 는
이제 전통적인 AV가 맡아 오던 기본 악성코드 방어 역할을 상당 부분 대체할 수 있는 수준까지 올라왔습니다.
즉, 알려진 악성코드, 일반적인 바이러스, 기본적인 실시간 보호만 놓고 보면
굳이 별도의 고가 AV를 추가 구매해야 할 이유는 예전보다 많이 줄었습니다.

하지만 여기서 끝나지 않습니다.
문제는 APT 공격, 파일리스 공격, LOLBAS 악용, 비정상 프로세스 연쇄, 은밀한 외부 연결처럼
이제 공격이 더 이상 “악성 파일 하나”로만 드러나지 않는다는 점입니다.

그래서 필요한 질문은 이것입니다.

Windows Defender가 기본 보호를 맡는 것은 맞다.
그렇다면 고도화된 위협 대응은 누가 맡을 것인가?

이 지점에서 PLURA-EDR 같은 EDR이 필요해집니다.

PC와 서버의 백신

1. 왜 전통적인 백신(AV)만으로는 부족할까요?

전통적인 백신은 기본적으로 서명 기반 탐지에 강합니다.
이미 알려진 악성코드를 빠르게 찾아 차단하는 데는 여전히 유용합니다.

하지만 한계도 분명합니다.

  • 알려지지 않은 위협에 취약
    제로데이 공격, 새로운 변종, 스크립트 기반 공격은 서명만으로 대응하기 어렵습니다.
  • APT 공격 대응 한계
    은밀하게 오래 머무는 공격은 단일 악성 파일보다 행위 흐름으로 드러나는 경우가 많습니다.
  • 행위 기반 탐지 부족
    프로세스 실행, 명령줄 인자, 자식 프로세스, 외부 연결, 지속성 확보 시도 같은 맥락은 AV만으로 충분히 보기 어렵습니다.

⚠️ 전통적인 AV가 실패했던 대표 사례

  • 2017년 WannaCry 랜섬웨어
    알려지지 않은 취약점을 이용해 매우 빠르게 확산되었습니다.
    많은 환경에서 기존 AV는 확산 속도를 따라가지 못했습니다.
  • 2020년 SolarWinds 공급망 공격
    정상 공급망과 정상 소프트웨어 업데이트를 악용한 사례로,
    단순 서명 기반 보호만으로는 탐지와 대응이 매우 어려웠습니다.
  • 반복되는 제로데이와 변종 공격
    공격자는 더 이상 “전형적인 악성 파일”만 쓰지 않습니다.
    정상 도구, 스크립트, 메모리 실행, 권한 상승, 외부 연결 조합으로 움직입니다.

즉, AV의 문제는 “쓸모없다”가 아니라
현대 공격의 전체 흐름을 보기에는 시야가 좁다는 데 있습니다.

2. Windows Defender로 기본 보안은 충분합니다

이 지점에서 중요한 것은 불필요한 비용을 줄이는 것입니다.

Windows 환경에서는 Windows Defender가 이미 기본 AV 역할을 상당히 잘 수행합니다.

  • 무료 제공
  • 기본 실시간 보호
  • 악성코드 및 바이러스 차단
  • 운영체제와의 높은 통합성
  • 별도 상용 AV 대비 추가 도입 부담이 낮음

즉, 알려진 악성코드 방어와 기본 보호만 놓고 보면
이제는 굳이 “전통적인 AV를 별도로 또 구매해야 하는가?”를 다시 생각해 볼 시점입니다.

여기서 핵심은 과장된 “Defender 만능론”이 아닙니다.
오히려 더 현실적인 결론은 이것입니다.

기본 백신은 Windows Defender로 충분할 수 있다.
하지만 고도화된 위협 대응은 다른 계층이 필요하다.

즉, AV를 더 살 것인가가 아니라
EDR을 붙여야 하는가가 더 중요한 질문입니다.

3. 그래서 EDR이 필요합니다

EDR(Endpoint Detection and Response)은
단순히 악성 파일을 찾는 도구가 아니라,
엔드포인트에서 벌어지는 이상 행위를 맥락으로 분석하는 도구입니다.

즉, 질문이 달라집니다.

  • 이 파일이 악성인가?
  • 이 프로세스가 왜 실행됐는가?
  • 누가 실행했는가?
  • 직후 어떤 네트워크 연결이 있었는가?
  • 이후 지속성 확보나 권한 상승이 이어졌는가?

이런 흐름은 AV보다 EDR이 훨씬 잘 봅니다.

4. PLURA-EDR은 무엇을 다르게 보나

PLURA-EDR의 핵심은
“악성 파일을 하나 더 잘 잡는다”보다
정상처럼 보이는 행위 속에서 이상한 흐름을 더 빨리 찾아낸다는 데 있습니다.

🚨 예를 들어 이런 행위를 봅니다

1) 비정상 PowerShell 실행

  • powershell.exe가 비정상 인자로 실행됨
  • 인코딩된 명령이나 다운로드성 행위가 포함됨
  • 직후 외부 연결 또는 추가 스크립트 실행이 이어짐

이 경우 단순 PowerShell 사용이 아니라
스크립트 기반 침해 시도로 볼 수 있습니다.

2) LOLBAS 악용

  • rundll32.exe
  • mshta.exe
  • regsvr32.exe
  • certutil.exe

같은 정상 Windows 도구가
비정상 경로, 비정상 부모 프로세스, 비정상 명령행으로 실행된다면
이는 정상 업무보다 우회 실행 또는 침투 행위에 가깝습니다.

3) 프로세스 트리 이상

  • winword.exe → cmd.exe
  • wscript.exe → powershell.exe
  • 웹 서버 프로세스 → 자식 셸 실행

이런 체인은 파일명만 보면 정상일 수 있지만,
흐름으로 보면 공격 시나리오일 가능성이 큽니다.

4) 지속성 확보 시도

  • 예약 작업 등록
  • 레지스트리 Run 키 변경
  • 시작 프로그램 등록
  • 서비스 생성

이런 행위는 단일 이벤트보다
침해 후 장기 잠복 의도를 보여 주는 강한 신호입니다.

5) 파일 + 프로세스 + 네트워크의 결합

  • 의심 파일 생성
  • 직후 비정상 프로세스 실행
  • 이후 외부 IP 연결

이 조합은 AV가 놓칠 수 있어도,
EDR은 행위 흐름으로 볼 수 있습니다.

5. Windows Defender와 PLURA-EDR은 경쟁 관계가 아닙니다

이 글의 핵심은
“Defender가 나쁘다”가 아닙니다.

오히려 반대입니다.

Windows Defender는 기본 AV 역할을 맡고,
PLURA-EDR은 고도화된 위협 대응을 맡는 식으로
서로 역할이 나뉘는 것이 더 현실적입니다.

역할을 나누면 이렇게 됩니다

구분 Windows Defender PLURA-EDR
기본 악성코드 차단 강점 보조
알려진 위협 대응 강점 보조
행위 기반 탐지 제한적 핵심
프로세스 트리 분석 제한적 강점
LOLBAS / 파일리스 대응 제한적 강점
지속성/권한 상승 탐지 제한적 강점
실시간 대응 및 조사 제한적 핵심

핵심은 단순합니다.

Defender는 기본 방어의 출발점이고,
EDR은 현대 공격을 이해하고 대응하는 계층입니다.

6. 그리고 EDR은 XDR로 연결될 때 더 강해집니다

여기서 한 단계 더 중요한 점이 있습니다.
엔드포인트에서 수집한 정보는
그 자체로도 중요하지만,
웹·계정·네트워크·시스템 로그와 함께 볼 때 더 큰 의미를 가집니다.

즉,

  • 엔드포인트에서 PowerShell 이상 행위가 보이고
  • 같은 시간대 웹 서버에서 비정상 요청이 있었으며
  • 이후 외부 연결과 계정 사용 변화가 이어졌다면

이것은 단순 EDR 이벤트가 아니라
침해 사고 전체 흐름으로 해석되어야 합니다.

이 지점에서 PLURA-EDR은
PLURA-XDR과 연결될 때 더 강해집니다.

즉, EDR은 엔드포인트를 보고,
XDR은 엔드포인트를 포함한 전체 공격 흐름을 봅니다.

그래서 더 정확한 표현은 이것입니다.

Windows Defender + PLURA-EDR + PLURA-XDR
이 조합이 기본 보호부터 고도화된 탐지, 통합 대응까지 이어지는 현실적인 구조입니다.

7. 실무적으로 지금 점검해야 할 것

이 글을 읽고 있다면,
지금 당장 아래 질문부터 점검해 보는 것이 좋습니다.

✅ 1) Windows Defender 기본 설정은 충분히 켜져 있는가?

  • 실시간 보호
  • 클라우드 기반 보호
  • 샘플 자동 제출
  • 정기 업데이트

✅ 2) 엔드포인트에서 행위 기반 가시성이 있는가?

  • PowerShell 실행
  • LOLBAS 사용
  • 비정상 프로세스 트리
  • 지속성 확보 시도
  • 외부 연결

이런 이벤트를 단순 로그가 아니라
위협 신호로 볼 수 있어야 합니다.

✅ 3) 엔드포인트 이벤트가 다른 로그와 연결되는가?

  • 웹 로그
  • 계정 로그
  • 시스템 감사 로그
  • 네트워크 이벤트

이것이 연결되지 않으면
이벤트는 많아도 사고는 잘 보이지 않습니다.

✅ 4) 탐지만 하고 끝나는가, 아니면 대응까지 이어지는가?

  • 알림만 오는가
  • 격리와 차단이 가능한가
  • 조사 근거가 자동으로 남는가

이 질문에 답하지 못하면
보안 체계는 아직 반쪽일 가능성이 큽니다.

✍️ 결론: 기본 AV의 시대는 끝나지 않았지만, AV만의 시대는 끝났습니다

전통적인 AV는 여전히 필요합니다.
다만 이제는 그 역할이 기본 보호 계층으로 정리되고 있을 뿐입니다.

Windows 환경이라면
그 기본 보호는 Windows Defender로도 충분히 시작할 수 있습니다.

하지만 현대 공격은
더 이상 악성 파일 하나만으로 움직이지 않습니다.

  • 정상 도구를 악용하고
  • 스크립트로 실행되며
  • 프로세스 체인 속에 숨어들고
  • 외부 연결과 지속성 확보로 이어집니다

그래서 이제 필요한 것은
“백신을 하나 더 살까?”가 아니라
“이 행위를 누가 보고, 어떻게 대응할 것인가?” 입니다.

그 질문에 대한 현실적인 답이
바로 EDR입니다.
그리고 엔드포인트를 전체 위협 흐름 안에서 보려면
결국 XDR까지 연결되어야 합니다.

Windows Defender는 기본을 지키고,
PLURA-EDR은 이상 행위를 보고,
PLURA-XDR은 공격 흐름 전체를 이해합니다.

이것이 지금 엔드포인트 보안에서 더 현실적인 구조입니다.

📖 함께 읽기

Tags