NDR은 무엇인가｜네트워크 이상 통신 탐지·조사 방식

네트워크에서 이어지는 하나의 흐름

업무용 PC가 평소 접속하지 않던 내부 서버와 짧은 간격으로 통신한 뒤, 외부 주소로 많은 데이터를 보냈다고 가정해 보겠습니다. 방화벽에는 연결 허용 기록이 남고, 서버에는 정상 계정의 접속으로 보일 수 있습니다. 하지만 출발지와 목적지, 통신 시각, 전송량, 포트, 세션의 연속성을 함께 보면 평소와 다른 이동 경로가 드러날 수 있습니다.

NDR은 이처럼 네트워크에서 오가는 트래픽과 원격 측정 정보를 계속 분석해 의심스러운 통신을 찾고, 관련 자산과 세션을 조사하며, 대응으로 연결하는 보안 기술입니다. NDR은 Network Detection and Response의 약자입니다. 핵심은 개별 패킷 하나를 보는 데 그치지 않고, 조직 네트워크에서 통신이 어떻게 흘렀는지를 맥락으로 구성하는 데 있습니다.

NDR의 역할

NDR은 네트워크 장비와 관찰 지점에서 확보한 패킷, 플로우 기록, 연결 메타데이터 등을 바탕으로 정상적인 통신 패턴을 구성합니다. 이후 기준에서 벗어난 빈도, 방향, 전송량, 연결 대상 같은 변화를 분석해 보안 담당자가 살펴볼 경보를 만듭니다. Cisco의 공식 설명도 NDR이 기업 네트워크의 원시 트래픽을 지속적으로 감시·분석하고 정상 행동의 기준선을 만든 뒤, 그 범위를 벗어난 의심 패턴을 알린다고 정의합니다.

이 기술의 관찰 단위는 네트워크 통신입니다. 한 대의 장비에서 어떤 프로그램이 실행됐는지보다 어느 자산이 어느 주소와 언제 연결됐는지, 내부 구간을 가로질러 통신이 어떻게 이어졌는지, 평소 관계가 없던 두 장비 사이에 세션이 생겼는지가 중심 단서가 됩니다. 그래서 자산 정보와 주소 체계가 정확할수록 경보의 의미를 해석하기 쉬워집니다.

관찰하는 데이터

패킷은 통신 내용을 세밀하게 볼 수 있은 자료이고, 플로우는 출발지·목적지·포트·프로토콜·시간·전송량 같은 연결 요약을 담습니다. 메타데이터는 DNS 질의, TLS 연결 특성, 장비와 세션 정보처럼 분석에 필요한 맥락을 보완합니다. 실제 수집 항목과 보존 기간은 제품 구성, 네트워크 구조, 정책에 따라 달라집니다.

모든 패킷을 한곳으로 무조건 복사하는 방식만 있은 것은 아닙니다. 스위치나 라우터의 흐름 기록을 받거나, 물리·가상 네트워크의 미러링 기능을 통해 선택한 트래픽을 분석 지점으로 보내기도 합니다. Google Cloud도 VPC 패킷 미러링과 함께 NDR 서비스를 사용할 수 있다고 설명하며, NDR을 악성 네트워크 활동 탐지와 조사·포렌식, 원인 분석, 대응 유발에 쓰는 보안 솔루션으로 소개합니다.

수집 설계에서는 “어디를 보고 있는가”가 가장 중요합니다. 인터넷과 내부망 사이만 관찰하면 외부로 들어오고 나가는 흐름은 볼 수 있지만 내부 세그먼트 사이의 통신은 놓칠 수 있습니다. 반대로 일부 내부 구간만 보면 지점, 원격 사용자, 클라우드 워크로드의 경로가 분석 범위 밖에 남을 수 있습니다. 운영자는 장비 수보다 실제 관찰 가능한 경로를 기준으로 가시성을 정리해야 합니다.

남북 트래픽과 동서 트래픽

남북 트래픽은 조직 네트워크의 경계를 지나 들어오거나 나가는 통신을 가리킵니다. 외부 서비스 접속, 인터넷에서 공개 서버로 들어오는 요청, 내부 자산의 외부 전송 등이 대표적입니다. 동서 트래픽은 내부 자산과 세그먼트 사이를 이동하는 통신입니다. 사용자 PC에서 파일 서버로 가는 연결, 서버 사가 호출, 한 클라우드 워크로드에서 다른 워크로드로 가는 세션이 여기에 포함됩니다.

Cisco의 네트워크 트래픽 분석 설명은 NDR 계열 기술이 경계를 지나는 남북 통신뿐 아니라 네트워크 내부의 동서 통신도 분석한다고 안내합니다. 이 구분이 중요한 이유는 공격이 경계를 통과한 뒤 내부에서 다른 자산으로 이동할 수 있기 때문입니다. 외부 연결 하나만 보면 평범해 보이던 사건도, 짧은 시간 안에 여러 내부 서버로 이어진 세션을 함께 보면 조사 우선순위가 달라질 수 있습니다.

정상 기준과 이상 탐지

NDR의 정상 기준은 모든 통신을 하나의 평균으로 만드는 개념이 아닙니다. 자산의 역할, 통신 상대, 시간대, 빈도, 방향, 전송량처럼 반복되는 관계를 모델링하고, 평소 패턴에서 벗어난 변화를 찾은 방식에 가깝습니다. 백업 서버의 대용량 전송과 임직원 PC의 대용량 전송은 같은 수치라도 의미가 다를 수 있으므로 자산 맥락이 필요합니다.

분석에는 행동 모델링, 규칙, 위협 정보, 기계학습처럼 여러 기법이 함께 쓰일 수 있습니다. Cisco는 비서명 기반 분석과 정상 기준선을 NDR의 주요 특성으로 설명하고, Google Cloud도 NDR이 보통 기계학습 같은 비서명 기반 기술로 의심 활동을 찾는다고 안내합니다. 다만 분석 기법의 조합과 경보 조건은 제품마다 다르므로 특정 제품의 명칭이나 점수를 전체 NDR의 공통 규칙으로 해석해서는 안 됩니다.

이상은 곧 침해 확정이라는 뜻이 아닙니다. 신규 업무 시스템 개통, 대규모 업데이트, 백업 일정 변경, 장애 복구 작업도 평소와 다른 통신을 만들 수 있습니다. 경보를 검토할 때는 자산의 역할과 변경 작업, 사용자 또는 서비스 계정, 통신 전후의 다른 세션을 함께 확인해야 합니다. 정상 변경이라면 근거를 남기고 기준선과 정책을 조정하며, 의심이 이어진다면 범위를 넓혀 조사합니다.

경보에서 조사로

조사는 출발지와 목적지를 식별하는 것부터 시작합니다. 주소가 실제 어느 자산에 배정됐는지, 가상 장비가 재생성되면서 주소가 바뀌지 않았는지, NAT나 프록시 때문에 여러 사용자가 하나의 주소로 보이지 않는지를 확인합니다. 이어서 최초 관찰 시각, 마지막 관찰 시각, 세션 수, 전송량, 사용 포트와 프로토콜을 시간순으로 다룹니다.

다음 단계는 같은 흐름이 다른 자산에도 나타났는지 확인하는 일입니다. 의심 목적지와 통신한 내부 자산, 같은 출발지에서 접근한 다른 서버, 비슷한 시간대에 반복된 DNS 질의와 외부 연결을 찾아 범위를 좁힙니다. NDR이 제공하는 자산·사용자 맥락은 이때 유용하지만, 주소 할당 기록과 인증 기록을 함께 대조해야 실제 주체를 잘못 연결하는 일을 줄일 수 있습니다.

횡적 이동을 조사할 때는 한 연결만 떼어 보지 않습니다. 내부 자산 A에서 B로, 이어서 B에서 C로 세션이 생성됐다면 각 연결의 시각과 인증 주체, 사용 프로토콜을 연결해 봅니다. Cisco는 NDR이 악성 행동을 특정 IP 주소에 귀속하고 위협이 내부에서 어떻게 이동했는지 포렌식 분석을 지원한다고 설명합니다. 조사 결과는 단순 주소 목록보다 시간 순서와 근거가 남아야 다음 대응이 정확해집니다.

대응 연결

NDR의 대응은 제품이 직접 세션을 끊은 경우도 있고, 네트워크 제어 장비나 다른 운영 절차에 차단 요청을 전달하는 경우도 있습니다. 가능한 조치는 배치 구조와 연동 범위에 따라 달라지므로, 운영자는 탐지 화면에 보이는 버튼보다 실제 제어 경로와 승인 체계를 확인해야 합니다.

차단 전에는 목적지와 서비스 영향, 우회 경로, 관찰된 근거를 검토합니다. 공유 서비스의 주소를 잘못 차단하면 여러 업무가 동시에 중단될 수 있고, 동적으로 바뀌는 클라우드 주소를 고정 차단하면 예상하지 못한 대상에 영향을 줄 수 있습니다. 긴급 대응이 필요하다면 임시 차단의 만료 시각과 해제 조건, 검증 방법을 함께 정해 두는 편이 안전합니다.

조치 뒤에는 같은 통신이 실제로 멈췄는지, 다른 경로로 전환되지 않았는지 확인합니다. 경보 종료만으로 대응 완료를 판단하지 않고 새 세션, 재시도, 내부 다른 자산의 유사 연결을 다룹니다. 정상화 후에는 경보 근거, 승인자, 적용한 제어, 업무 영향, 해제 시각을 기록해 다음 조사와 정책 조정에 활용합니다.

운영 점검 항목

첫째, 수집 지점을 네트워크 도면과 맞춰 봅니다. 인터넷 경계, 데이터센터, 주요 내부 세그먼트, 지점, 원격 접속, 클라우드 경로 가운데 어느 구간의 남북·동서 통신을 관찰하는지 표시합니다. 미러링 설정이나 플로우 내보내기가 중단되면 장비가 정상처럼 보여도 분석 데이터가 비어 있을 수 있으므로 마지막 수신 시각과 데이터량을 함께 확인합니다.

둘째, 가시성 범위를 주기적으로 검토합니다. 암호화된 통신은 복호화 여부와 상관없이 연결 메타데이터를 활용할 수 있지만, 볼 수 있은 내용과 정확도는 수집 방식에 따라 달라집니다. 클라우드에서는 가상 네트워크, 리전, 프로젝트 또는 계정별로 미러링과 흐름 로그 범위가 나뉠 수 있습니다. 신규 시스템을 배치할 때 보안 관찰 경로도 함께 변경해야 공백을 줄일 수 있습니다.

셋째, 경보 근거를 보존합니다. 출발지·목적지 주소만 남기지 말고 자산명, 역할, 세션 시각, 전송량, 관련 DNS와 인증 기록, 변경 작업 여부를 함께 기록합니다. 정상 활동으로 판정한 경우에도 그 이유와 적용 기간을 남겨야 비슷한 경보가 반복될 때 무조건 억제하는 일을 피할 수 있습니다.

넷째, 대응 연결을 시험합니다. 차단 요청이 어느 장비와 담당자에게 전달되는지, 긴급 승인과 일반 승인 경로가 어떻게 다른지, 적용 뒤 확인할 통신 지표가 무엇인지 다룹니다. 모의 점검에서는 실제 업무 트래픽을 끊기보다 승인된 시험 주소와 제한된 규칙으로 전달·적용·검증·해제 절차가 이어지는지 확인합니다.

NDR의 적용 범위와 한계

NDR은 네트워크를 통과하며 관찰 지점에 도달한 통신을 중심으로 분석합니다. 같은 장비 안에서 끝나는 활동이나 수집 경로를 지나지 않은 세션은 네트워크 자료만으로 충분히 설명하기 어렵습니다. 주소가 자주 바뀌는 환경, 프록시와 NAT가 많은 구조, 짧게 생성되는 클라우드 자산에서는 자산·사용자 정보의 시간 동기화가 특히 중요합니다.

정상 기준도 운영 변화에 따라 달라집니다. 신규 서비스, 조직 개편, 대규모 원격근무, 백업 정책 변경은 통신 패턴을 바꿉니다. 기준선을 자동으로 학습한다는 표현이 운영 검토를 대신하지는 않습니다. 경보 추세와 자산 변경 이력을 함께 보며 분석 범위와 정책을 조정해야 합니다.

NDR의 성과는 경보 수가 아니라 조사에 필요한 시간과 근거의 품질로 평가하는 편이 적절합니다. 어떤 자산과 세션이 연관됐는지 빠르게 좁힐 수 있는지, 동서·남북 경로의 공백을 식별했는지, 차단과 해제 결과를 검증했는지가 운영 성숙도를 보여줍니다.

NDR은 패킷·플로우·메타데이터를 분석해 네트워크의 정상 흐름을 구성하고, 그 기준에서 벗어난 통신을 탐지해 조사와 대응으로 이어주는 기술입니다. 효과적으로 운영하려면 남북과 동서 트래픽의 수집 위치, 자산과 세션의 연결, 경보 근거, 차단 이후의 검증을 하나의 절차로 관리해야 합니다. 네트워크 도면과 수집 범위를 먼저 맞추고, 경보를 시간 순서의 통신 흐름으로 해석할 때 NDR의 가치를 가장 분명하게 활용할 수 있습니다.