태니엄, 엔드포인트 행동 기반 탐지 강화한 제품 재출시

태니엄(한국 대표 박영선)은 엔드포인트 행동 기반 탐지와 대응 기능을 강화한 ‘태니엄 시큐리티 오퍼레이션(Tanium Security Operations)’을 재출시했다고 28일 밝혔다.

태니엄은 공격자가 탈취한 계정과 정상적인 IT 관리 도구를 이용하면 기존 악성 파일 중심의 탐지만으로 공격을 구분하기 어려울 수 있다는 점을 이번 제품 개편의 배경으로 제시했다.

새로 추가한 ‘엔드포인트 드리프트(Endpoint Drift)’는 개별 엔드포인트의 평상시 행동을 학습한다. 이후 평소와 다른 행동을 보이는 시스템의 우선순위를 분석해 보안 담당자가 먼저 조사할 대상을 찾도록 지원한다.

‘인사이트 엔진(Insights Engine)’은 정상 프로세스 내부에 공격 코드를 삽입하는 행위 등을 탐지하는 기능이다. 기존 프로세스 인젝션 탐지 기능을 대체한다.

대응 기능도 확대했다. 특정 프로세스를 중지하거나 포렌식 증거를 수집하고 호스트를 격리하는 조치를 개별 시스템이나 여러 엔드포인트에 적용할 수 있다. ‘페더레이티드 보안운영센터(Federated SOC)’ 기능은 여러 보안팀이 하나의 플랫폼을 사용하면서 각 팀별로 다른 경보 억제 규칙과 자동 대응 정책을 설정하도록 지원한다.

AI 기능을 적용한 ‘태니엄 아틀라스(Tanium Atlas)’에서는 분석가가 자연어로 질문해 엔드포인트 정보를 조회하고 대응 작업으로 연결할 수 있다.

태니엄 시큐리티 오퍼레이션은 기존 보안정보·이벤트관리(SIEM), 엔드포인트 탐지·대응(EDR) 제품과 함께 사용할 수 있다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network