EDR은 네트워크의 모든 엔드포인트 디바이스에서 프로세스, 성능, 구성 변경, 네트워크 연결, 파일 및 데이터 다운로드 또는 전송, 최종 사용자 또는 디바이스 동작에 대한 데이터를 지속적으로 수집합니다. 데이터는 일반적으로 클라우드에서 호스팅되는 중앙 데이터베이스 또는 데이터 레이크에 저장됩니다. 

대부분의 EDR 보안 솔루션은 모든 엔드포인트 디바이스에 경량 데이터 수집 도구 또는 에이전트를 설치하여 이러한 데이터를 수집합니다. 일부는 엔드포인트 운영 체제의 기능에 의존할 수도 있습니다.

EDR은 고급 분석 및 머신 러닝 알고리즘을 사용하여 알려진 위협이나 의심스러운 활동을 나타내는 패턴을 실시간으로 식별합니다. 

일반적으로 EDR은 잠재적 공격 또는 침해와 일치하는 행동 또는 이벤트를 나타내는 침해 지표(IOC)와 알려진 사이버 위협 또는 사이버 범죄자와 관련된 행동 또는 이벤트를 나타내는 공격 지표(IOA)라는 두 가지 유형의 지표를 찾습니다. 

이러한 지표를 식별하기 위해 EDR은 자체 엔드포인트 데이터를 위협 인텔리전스 서비스의 데이터와 실시간으로 상호 연관시켜 새로운 사이버 위협이 사용하는 전술, 악용하는 엔드포인트 또는 IT 인프라 취약성 등 지속적으로 업데이트되는 최신 정보를 제공합니다. 위협 인텔리전스 서비스는 독점적(EDR 공급자가 운영), 타사 또는 커뮤니티 기반일 수 있습니다. 또한 많은 EDR 솔루션은 미국 정부가 기여하는 해커의 사이버 위협 전술 및 기술에 대한 무료 액세스 글로벌 지식 기반인 Mitre ATT&CK에 데이터를 매핑합니다.

EDR 분석 및 알고리즘은 또한 자체 조사를 수행하여 실시간 데이터를 기록 데이터 및 설정된 기준과 비교하여 의심스러운 활동, 비정상적인 최종 사용자 활동 및 사이버 보안 인시던트 또는 위협을 나타낼 수 있는 모든 것을 식별할 수 있습니다. 또한 '신호' 또는 합법적인 위협과 오탐의 '노이즈'를 구분할 수 있으므로 보안 분석가는 중요한 인시던트에 집중할 수 있습니다.

많은 기업이 엔드포인트뿐만 아니라 애플리케이션, 데이터베이스, 웹 브라우저, 네트워크 하드웨어 등 IT 인프라의 모든 계층에 걸쳐 보안 관련 정보를 수집하는 SIEM(보안 정보 및 이벤트 관리) 솔루션과 EDR을 통합합니다. SIEM 데이터는 위협을 식별하고, 우선순위를 지정하고, 조사하고, 수정하기 위한 추가 컨텍스트를 통해 EDR 분석을 강화할 수 있습니다.

EDR은 솔루션의 사용자 인터페이스(UI) 역할도 하는 중앙 관리 콘솔에 중요한 데이터와 분석 결과를 요약합니다. 보안 팀원은 콘솔에서 전사적으로 모든 엔드포인트 및 엔드포인트 보안 문제에 대한 완전한 가시성을 확보하고 모든 엔드포인트와 관련된 조사, 위협 대응 및 해결을 시작할 수 있습니다.

자동화는 EDR에서 '대응', 즉 신속한 대응을 가능하게 하는 요소입니다. 보안팀이 설정하거나 머신 러닝 알고리즘에 의해 시간이 지남에 따라 '학습'된 사전 정의된 규칙을 기반으로 EDR 솔루션은 자동으로 다음과 같은 작업을 수행할 수 있습니다.

• 보안 분석가에게 특정 위협 또는 의심스러운 활동 알림
• 심각도에 따라 경고 분류 또는 우선순위 지정
• 인시던트 또는 위협의 네트워크 중단 시점을 근본 원인까지 추적하는 '추적' 보고서 생성
• 엔드포인트 디바이스 연결을 끊거나 최종 사용자를 네트워크에서 로그오프
• 시스템 또는 엔드포인트 프로세스 중지
• 엔드포인트가 악성 또는 의심스러운 파일 또는 이메일 첨부 파일을 실행(폭발)하지 못하도록 방지
• 바이러스 백신 또는 악성코드 방지 소프트웨어를 트리거하여 네트워크의 다른 엔드포인트에서 동일한 위협이 있는지 검사

EDR은 위협 조사 및 해결 활동을 자동화할 수 있습니다(아래 참조). 또한 SOAR(보안 오케스트레이션, 자동화 및 대응) 시스템과 통합되어 다른 보안 도구가 포함된 보안 대응 플레이북(인시던트 대응 시퀀스)을 자동화할 수 있습니다.

이 모든 자동화를 통해 보안 팀은 인시던트와 위협에 더 빠르게 대응하여 네트워크에 미칠 수 있는 피해를 최소화할 수 있습니다. 또한 보안 팀이 현재 보유하고 있는 직원으로 최대한 효율적으로 작업할 수 있도록 지원합니다.

위협이 격리되면 EDR은 보안 분석가가 위협을 추가로 조사하는 데 사용할 수 있는 기능을 제공합니다. 예를 들어, 포렌식 분석은 보안 분석가가 위협의 근본 원인을 정확히 찾아내고, 영향을 받은 다양한 파일을 식별하고, 공격자가 네트워크에 진입 및 이동하여 인증 자격 증명에 액세스하거나 기타 악의적인 활동을 수행하도록 만든 취약성을 식별하는 데 도움이 됩니다.

이러한 정보를 바탕으로 분석가는 해결 도구를 사용하여 위협을 제거할 수 있습니다. 해결에는 다음이 포함될 수 있습니다.

• 악성 파일 삭제 및 엔드포인트에서 파일 삭제
  
• 손상된 구성, 레지스트리 설정, 데이터 및 애플리케이션 파일 복원
• 취약점 제거를 위한 업데이트 또는 패치 적용
• 재발 방지를 위한 탐지 규칙 업데이트

위협 헌팅(사이버 위협 헌팅이라고도 함)은 보안 분석가가 네트워크에서 아직 알려지지 않은 위협 또는 조직의 자동화된 사이버 보안 도구에 의해 아직 감지되거나 해결되지 않은 알려진 위협을 검색하는 사전 예방적 보안 활동입니다. 지능형 위협은 대규모 침해에 대비하여 시스템 정보와 사용자 자격 증명을 수집하면서 탐지되기까지 수개월 동안 잠복할 수 있다는 점을 기억하세요. 효과적이고 시기적절한 위협 헌팅은 이러한 위협을 탐지하고 해결하는 데 걸리는 시간을 단축하고 공격으로 인한 피해를 제한하거나 예방할 수 있습니다.

위협 헌터는 다양한 전술과 기술을 사용하며, 그 중 대부분은 EDR이 위협 탐지, 대응 및 수정에 사용하는 것과 동일한 데이터 소스, 분석 및 자동화 기능에 의존합니다. 예를 들어 위협 헌팅 분석가는 포렌식 분석 또는 특정 공격자의 방법을 설명하는 MITRE ATT&CK 데이터를 기반으로 특정 파일, 구성 변경 또는 기타 아티팩트를 검색할 수 있습니다.

위협 헌팅을 지원하기 위해 EDR은 UI 기반 또는 프로그래밍 방식을 통해 보안 분석가가 이러한 기능을 사용할 수 있도록 하여 임시 검색, 데이터 쿼리, 위협 인텔리전스와의 상관 관계 및 기타 조사를 수행할 수 있도록 합니다. 위협 헌팅을 위해 특별히 고안된 EDR 도구에는 간단한 스크립팅 언어(일반적인 작업 자동화용)에서 자연어 쿼리 도구에 이르기까지 모든 것이 포함됩니다.