EDR 도입 문의를 받을 때 가장 먼저 확인하는 것은 제품이 아니라 운영 체계입니다. 도입 전 점검할 세 가지를 정리했습니다.
1. 경보를 볼 사람이 있는가
EDR은 탐지 이후 사람의 판단을 요구합니다. 경보를 검토할 담당자와 대응 절차가 없다면, 탐지는 쌓이고 대응은 없는 상태가 됩니다. 전담 인력이 어렵다면 관제 연계나 운영 대행을 함께 설계해야 합니다.
2. 단말 현황이 파악되어 있는가
에이전트 배포는 단말 목록에서 시작합니다. 자산 관리가 되어 있지 않으면 배포율을 측정할 수 없고, 빠진 단말이 침해 경로가 됩니다. 도입 전 자산 목록 정비를 권장합니다.
3. 오탐 처리 기준이 있는가
도입 초기에는 정상 업무 프로그램이 탐지되는 오탐이 발생합니다. 예외 처리의 승인 기준과 기록 방식을 정해두지 않으면, 예외가 무분별하게 늘어나 탐지 공백이 생깁니다.
도입 검토 단계의 사전 진단이 필요하시다면 문의하기로 연락 주세요.