기능 목록
RoamSwitch가 무엇을 탐지하고 어떻게 차단하며 무엇을 제어하는지, 보호 대상별로 정리했습니다.
랜섬웨어 4
암호화 동작을 찾아 멈추고, 피해를 입기 전 상태로 되돌릴 수단을 제공합니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 대량 암호화 탐지 T1486 | 쓰기를 감시하다가 암호화된 내용의 파일이 단시간에 늘어나면 통신을 차단해 피해 확산을 막습니다. | 동작탐지 격리 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux |
| 미끼 파일을 이용한 탐지 T1486 | 중요한 폴더에 미끼 파일을 두고, 변조·삭제·암호화를 탐지해 알립니다. Mac에서는 통신 차단까지 자동으로 수행합니다. | 동작탐지 격리 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Linux Server |
| 피해 전 파일 복원 | 정기적으로 만든 스냅샷에서 피해 전 파일을 하나씩 꺼낼 수 있습니다. | 동작제어 기록 | 기본값켜짐 수동 대응 | 제품Mac Linux |
| 백업 최신성 진단 | 마지막 백업이 최신인지 진단하고, 오래되었으면 알립니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
자격 증명 탈취 5
비밀번호, 키, 토큰을 훔치는 동작을 읽히는 시점에 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 자격 증명 미끼 T1552.001 | 홈에 미끼 자격 증명(AWS·SSH 키·Docker 등)을 두고, 읽히는 순간 알립니다. 읽은 프로그램, 명령, 부모 프로세스를 알림에 함께 표시합니다. 실제 파일은 덮어쓰지 않습니다. | 동작탐지 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Linux Server |
| 자격 증명 파일 읽기 감시 T1552.001 | SSH 비밀 키, AWS·gcloud 자격 증명, 브라우저에 저장된 비밀번호, AI 에이전트의 로그인 정보 등을 예상 밖의 프로그램이 열면 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux |
| 브라우저 저장 정보 감시 T1555.003 | Chrome, Firefox 등에 저장된 비밀번호와 Cookie 파일을 브라우저 이외의 프로그램이 열면 알립니다. | 동작탐지 | 기본값선택 시 켜짐 알림만 | 제품Mac |
| API 키·비밀 키 탐지 T1204.004 | 텍스트, 파일, 폴더, 클립보드에서 API 키와 비밀 키를 찾아냅니다. 결과는 마스킹하여 표시합니다. | 동작감사 | 기본값켜짐 수동 대응 | 제품Mac Linux Linux Server |
| AI 에이전트 로그인 정보 진단 T1552.001 | Claude Code, Codex 등이 로그인 정보를 저장하는 파일의 권한과 소유자, 동기화 폴더나 git 관리 대상이 아닌지를 점검합니다. 내용은 읽지 않습니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac |
의심스러운 실행과 악성 코드 10
공격자가 실행하는 프로그램과 명령의 흐름을 찾아내고, 다운로드한 파일을 검사합니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 프로세스 실행 기록과 공격 수법 탐지 T1059.004 T1027 T1105 T1553.001 | 실행한 프로그램, 인수, 부모-자식 관계를 변조 감지 기능과 함께 기록합니다. 브라우저에서의 셸 실행, 다운로드 후 실행, 난독화된 실행, 격리 속성을 제거한 직후의 실행 같은 연쇄를 알립니다. 비밀 정보는 마스킹합니다. | 동작탐지 기록 | 기본값선택 시 켜짐 알림만 | 제품Mac Linux Linux Server |
| Sigma 규칙 가져오기 | 자체 Sigma 규칙(프로세스 생성)을 두면 실행 기록에 적용해 탐지에 추가합니다. 불러오지 못한 규칙은 이유와 함께 목록에 표시합니다. | 동작탐지 | 기본값선택 시 켜짐 알림만 | 제품Mac Linux Linux Server |
| 리버스 셸 탐지 T1059.004 | 셸이나 인터프리터의 입력과 출력이 외부 연결로 이어진 상태를 찾아 알립니다. 명령 형태의 탐지도 함께 수행합니다. | 동작탐지 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Linux Server |
| 다운로드 직후 악성 코드 검사 T1204.002 T1027 | 다운로드한 파일을 자동으로 검사하고, 발견한 것은 격리합니다. 격리한 파일은 복원하거나 완전히 삭제할 수 있습니다. | 동작탐지 차단 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 파일 내용 패턴 대조 | 다운로드한 파일의 내용을 알려진 패턴과 대조합니다. Linux에서는 파일이 기록되는 시점에도 수행합니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
| Apple 악성 코드 탐지와 연동 | XProtect가 실제로 악성 코드를 탐지한 순간 통신을 차단합니다. | 동작격리 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac |
| ClickFix 탐지 T1204.004 | 가짜 확인 화면으로 사용자 스스로 명령을 붙여넣게 하는 공격을 셸 기록과 클립보드에서 찾아냅니다. | 동작탐지 차단 | 기본값선택 시 켜짐 자동 대응 | 제품Mac Linux |
| 위험한 실행의 사전 차단 | 실행 시점에 위협을 판정하고, 진짜 위협은 실행을 거부합니다. | 동작차단 | 기본값켜짐 자동 대응 | 제품Linux |
| 커널 계층 침입 탐지와 자율 격리 T1562.006 | 리버스 셸, 권한 상승, 비정상 바이너리 실행을 커널 이벤트에서 포착합니다. 프로세스의 동결·종료와 호스트 격리를 수 밀리초 만에 수행합니다. | 동작탐지 격리 | 기본값켜짐 자동 대응 | 제품Linux Server |
| 웹 서버 워커의 비정상 종료 탐지 | nginx와 Apache의 워커가 단시간에 반복해서 비정상 종료한 것을 오류 로그에서 찾아 알립니다. | 동작탐지 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Server |
잠복과 변조 7
공격자가 재부팅 후에도 남아 있으려는 수법과 중요 파일의 변조를 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 자동 실행 등록 감시 T1543.001 T1543.002 T1053.003 T1546.004 | 새로운 자동 실행 등록이나 변경, 셸 시작 파일 등에 나타난 의심스러운 행을 알립니다. 리버스 셸이나 다운로드 후 그대로 실행하는 형태를 찾아냅니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Mac Linux |
| 중요 시스템 파일 변조 감시 T1098.004 T1548.003 | sudoers, PAM, sshd 설정, root의 authorized_keys 등 root만 수정할 수 있는 파일의 해시를 기록하고, 변경·추가·삭제를 알립니다. Server에서는 변경한 프로세스와 그 로그인 정보를 함께 표시합니다. | 동작탐지 기록 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Server |
| 락 파일 변조 감시 T1195.001 | 등록한 프로젝트의 package-lock.json 등을 기록하고, 사람이 변경을 확인할 때까지 계속 알립니다. | 동작탐지 | 기본값Pro에서 켜짐 알림만 | 제품Mac |
| SUID·SGID 변경 감시 T1548.001 | setuid·setgid 파일의 추가와 변경을 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux Server |
| 로그 삭제 감시 T1070.002 | 인증 로그 등이 비워지거나 잘려 나간 것을 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux Server |
| 커널 강화 T1055 | ptrace 제한, /tmp와 /dev/shm의 noexec, 비특권 사용자 네임스페이스 제한 등으로 권한 상승과 실행의 발판을 줄입니다. | 동작차단 | 기본값켜짐 | 제품Linux Linux Server |
| 권한 상승 경로가 되는 커널 모듈 점검 | Copy Fail, Dirty Frag 등 로컬 권한 상승의 경로가 된 모듈을 로드할 수 있는 상태인지 점검합니다. 사용하지 않는 모듈은 로드를 금지할 수 있습니다. | 동작감사 제어 | 기본값수동 실행 수동 대응 | 제품Linux Linux Server |
네트워크 방어 18
접속한 네트워크에 맞춰 방어를 전환하고, 의심스러운 연결과 포트 공개를 막습니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 접속 네트워크에 따른 보호 수준 전환 | 집, 직장, 공용 Wi-Fi 등을 자동으로 구분해 방화벽과 공유 서비스 설정을 전환합니다. 수동으로 덮어쓸 수도 있습니다. | 동작제어 차단 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 공유 서비스 자동 중지와 복원 | 신뢰할 수 없는 네트워크에서는 SSH, 화면 공유, 파일 공유 등을 중지하고, 안전한 네트워크로 돌아오면 원래 상태로 되돌립니다. | 동작제어 차단 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 외부 공개 포트 감사 | 외부에 열려 있는 포트를 찾아 위험한 서비스와 로컬 AI 추론 서버를 판별합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
| 알 수 없는 포트 공개의 자동 차단 T1562.004 | 이전에 보이지 않던 프로그램이 외부로 포트를 연 순간 차단합니다. 시그니처가 없어도 새로운 백도어에 효과가 있습니다. | 동작탐지 차단 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux |
| 개발 서버의 외부 공개 차단 | 모든 인터페이스에서 대기하는 개발 서버와 로컬 AI 서버를 외부 LAN에서 차단합니다. localhost에서는 계속 사용할 수 있습니다. | 동작차단 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux |
| 외부 포트 스캔 탐지와 차단 T1046 | 단시간에 많은 포트에 접속해 온 발신 측을 찾아 일정 시간 차단합니다. 게이트웨이, DNS, 자신의 주소는 차단하지 않습니다. | 동작탐지 차단 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux Linux Server |
| ARP 스푸핑 탐지와 자동 차단 T1557.002 | 게이트웨이 MAC 주소의 수상한 변화를 찾아 통신을 긴급 차단합니다. 신뢰할 수 없는 Wi-Fi에서는 게이트웨이의 ARP를 고정합니다. | 동작탐지 격리 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux |
| Wi-Fi 안전성 진단 | 암호화가 없는 Wi-Fi나 약한 암호화에 연결하면 경고합니다. 이전에 본 네트워크 이름과 비슷한 처음 보는 이름은 가짜 액세스 포인트로 경고합니다. | 동작탐지 감사 | 기본값켜짐 알림만 | 제품Mac Linux |
| 네트워크 설정 변화 감시 T1557.003 | 네트워크가 배포한 DNS 서버, 라우터, 프록시 자동 구성(PAC·WPAD)을 이전과 비교해 처음 보는 값이 나타나면 알립니다. 가짜 DHCP 서버를 찾는 단서가 됩니다. | 동작탐지 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux |
| DNS 위협 방어 | C2 서버나 피싱 사이트의 이름 확인을 DNS 단계에서 차단합니다. 신뢰할 수 있는 네트워크로 돌아오면 원래대로 돌아갑니다. | 동작차단 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 링크 보호 T1566.002 T1071.004 | 피싱이나 사기 사이트로의 연결을 통신 대상에서 찾아 차단하거나 경고합니다. DoH를 사용하는 브라우저에도 적용됩니다. | 동작탐지 차단 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| URL 안전성 진단 | 단축 URL 펼치기, 리디렉션 추적, 모양이 비슷한 문자와 가짜 브랜드 도메인, 위험한 도메인 판정을 기기 안에서 수행합니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| 신뢰할 수 없는 네트워크에서의 VPN과 킬 스위치 | 신뢰할 수 없는 네트워크에서 VPN을 자동으로 연결하고, 터널 밖으로의 유출을 차단합니다. WireGuard와 Tailscale 중에서 선택할 수 있습니다. | 동작제어 차단 | 기본값선택 시 켜짐 자동 대응 | 제품Mac Linux |
| Air-Gap(긴급 전면 차단) | 모든 외부 통신을 즉시 차단하고 해제 절차를 맨 앞에 표시합니다. 탐지에 따른 자동 차단에도 사용됩니다. | 동작격리 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| Air-Gap 중 Wi-Fi 중지 | Air-Gap으로 차단할 때 Wi-Fi 전파도 함께 끕니다. | 동작격리 | 기본값켜짐 자동 대응 | 제품Mac |
| 수신 기본 거부와 SSH 잠김 방지 | 수신을 기본으로 거부하되, 현재 연결 중인 관리용 SSH는 끊지 않습니다. | 동작차단 | 기본값켜짐 자동 대응 | 제품Linux Server |
| 악성 IP로의 외부 발신 통신 차단 | 알려진 악성·C2 IP로의 외부 발신 통신을 차단합니다. DNS를 필터링을 제공하는 업체로 향하게 하는 설정도 있습니다. | 동작차단 | 기본값켜짐 자동 대응 | 제품Linux Server |
| DNS 터널링 탐지 T1071.004 | DNS를 이용한 유출이나 C2의 징후를 찾아 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux Server |
웹과 메일 4
웹 사이트에 놓인 악성 코드와 웹 서버에 대한 공격을 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 웹 셸·악성 코드 탐지 T1505.003 | 공개 폴더에 기록된 파일에서 웹 셸과 난독화된 삽입 코드를 찾아냅니다. 심각한 것은 기본적으로 격리합니다. 공개 폴더는 Apache·nginx·Caddy 설정과 Docker 마운트에서 자동으로 찾습니다. | 동작탐지 차단 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux Server |
| 식별자 무차별 대입 탐지(웹 액세스 가드) | 액세스 로그에서 접수 번호나 주문 번호를 차례로 바꿔 가며 조회하는 움직임을 찾아냅니다. 다수의 IP로 나눈 공격도 대상입니다. 설정하면 해당 접속 출처를 차단할 수 있습니다. | 동작탐지 차단 | 기본값선택 시 켜짐 알림만 | 제품Linux Server |
| 웹 게이트 | nginx와 연계해 번호를 받는 위치만 위치별 조회 예산으로 보호합니다. IP를 계속 바꾸는 공격을 억제합니다. | 동작차단 | 기본값선택 시 켜짐 자동 대응 | 제품Linux Server |
| 파일 스캔 가드 | 메일 중계나 공유 폴더 등에 놓인 파일을 YARA와 ClamAV로 검사해 격리합니다. | 동작탐지 차단 | 기본값선택 시 켜짐 자동 대응 | 제품Linux Server |
SSH와 원격 접속 2
로그인 무차별 대입을 찾아 막고, 설정의 약점을 진단합니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| SSH 무차별 대입 탐지와 차단 T1110.001 | 단시간에 로그인에 실패한 접속 출처를 찾아 알리고, SSH 포트로의 새 연결을 차단합니다. 연결 중인 세션은 끊지 않으며, 게이트웨이와 자신의 주소는 차단하지 않습니다. | 동작탐지 차단 | 기본값Pro에서 켜짐 자동 대응 | 제품Mac Linux Linux Server |
| SSH와 sudo 설정 진단 T1548.003 | SSH 원격 로그인 설정과 비밀번호 없는 sudo를 진단하고 수정 방법을 제시합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
컨테이너와 서버 6
컨테이너의 위험한 실행과 서버 특유의 징후를 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 컨테이너 위험 실행 탐지 T1610 | 특권 모드나 docker.sock을 마운트한 컨테이너의 실행을 알립니다. 컨테이너 안의 실행도 감시합니다. | 동작탐지 | 기본값선택 시 켜짐 알림만 | 제품Mac Linux Server |
| Docker의 방화벽 우회 방지 | Docker가 기본 거부 규칙을 우회해 공개할 의도가 없던 포트를 여는 것을 막습니다. | 동작차단 | 기본값켜짐 자동 대응 | 제품Linux Server |
| 리소스 고갈과 크래시 탐지 | 네트워크에 공개한 서비스의 메모리가 계속 늘어나는 현상(누수나 DoS)과 반복되는 크래시를 찾아 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux Server |
| 클라우드 메타데이터 접속 감시 T1552.005 | root 이외의 프로그램이나 컨테이너가 169.254.169.254 등의 메타데이터 API에 접속하면 알립니다. SSRF의 마지막 단계를 포착합니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Linux Server |
| AI 에이전트 전용 계정 보호 | 에이전트를 전용 계정으로 실행할 때 외부 발신 통신을 허용 목록으로 제한하고, 미끼 자격 증명을 두며, 지시 파일의 변경을 root 소유의 기준선과 대조합니다. | 동작제어 탐지 | 기본값선택 시 켜짐 알림만 | 제품Linux Server |
| 봉쇄 대상에서 제외할 프로세스 지정 | 자동 봉쇄가 멈추지 않는 프로세스를 기본 목록에 더해 추가할 수 있습니다. 시스템 위치에 있는 실행 파일만 유효합니다. | 동작제어 | 기본값— | 제품Linux Server |
공급망 7
라이브러리와 개발 환경을 통한 침입을 도입 전과 도입 후에 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 패키지 알려진 취약점 대조 | 설치된 패키지와 프로젝트의 락 파일을 기기 안에 있는 취약점 데이터와 대조합니다. 통신은 하지 않습니다. 악용 확률(EPSS)이 있는 CVE는 높은 순으로 정렬합니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac Linux Linux Server |
| 취약점 수용 | 영향이 없는 CVE는 이유와 기한을 붙여 수용할 수 있습니다. 기한이 지나면 일반 탐지로 돌아갑니다. | 동작제어 기록 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| 설치 시 실행되는 코드 점검 T1195.001 | 설치 시 실행되는 스크립트를 목록으로 보여 줍니다. 확인을 마친 상태에서 스크립트가 추가·변경되거나 컴파일된 코드가 추가되면 알립니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| 의존성 가져오기 출처 검사 | pip의 extra-index-url이나 레지스트리를 고정하지 않은 npm 스코프 등 의존성 혼동 공격으로 이어질 수 있는 설정을 지적합니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac |
| 이름이 비슷한 패키지 판정 | 의존 패키지 이름이 유명 패키지와 지나치게 비슷하지 않은지를 편집 거리로 판정합니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| npm 패키지 서명 검증 | 설치된 패키지의 서명과 출처 증명을 npm 레지스트리에서 검증합니다. | 동작감사 | 기본값선택 시 켜짐 수동 대응 | 제품Mac Linux Server |
| 커널 취약점 대조 | 실행 중인 커널 버전을 알려진 취약점과 대조해 진단 결과에 표시합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Linux Linux Server |
AI 에이전트와 MCP 6
AI 에이전트의 설정과 AI에 전달하는 정보의 안전을 지킵니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| AI 에이전트 설정 감사 | 지시 파일, 스킬, 설정 파일을 점검합니다. 보이지 않는 문자, 지시 덮어쓰기, 다운로드 후 그대로 실행하는 기술, 비밀 파일의 외부 전송 등을 지적합니다. 승인한 상태에서 달라지면 알리고, 결과는 SARIF로도 내보낼 수 있습니다. | 동작감사 탐지 | 기본값수동 실행 알림만 | 제품Mac Linux Linux Server |
| MCP 설정 점검 | Claude Desktop, Claude Code, Cursor 등의 MCP 설정에 있는 자동 승인, 평문 http, 원라이너 실행, 특권 컨테이너 등 위험한 기술을 지적합니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Mac Linux |
| AI에 대한 지시 혼입 경고 | 패키지 스크립트, 로그, Wi-Fi 이름, 명령줄 등 외부에서 온 문자열에 AI에 대한 지시가 섞여 있으면 결과 끝에 경고합니다. 발견한 유형과 건수만 표시합니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
| AI 어시스턴트에서 상태를 조회하는 MCP 서버 | Claude 등에서 진단과 탐지 상태를 읽을 수 있습니다. 설정을 바꾸는 도구는 없습니다. 통신도 하지 않습니다. | 동작보고 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 탐지 범위 자체 점검 | ATT&CK 기법별로 탐지할 수 있는지, 보이지 않는 범위는 무엇인지, 담당 기능이 지금 동작 중인지를 목록으로 보여 줍니다. ATT&CK Navigator 레이어로도 내보낼 수 있습니다. | 동작보고 감사 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 로컬 AI 실행 기반 식별 | 공개된 포트가 Ollama, vLLM, LiteLLM 등 로컬 AI 실행 기반인지를 확신도와 함께 판정합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac Linux |
주변기기 3
USB와 Bluetooth를 이용한 침입을 연결 시점에 막습니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| USB 저장 장치 제어 T1091 | 허용하지 않은 USB 저장 장치는 읽기 전용으로 연결하거나 연결을 보류하고 확인합니다. 허용된 장치도 연결 직후에는 읽기 전용으로 두었다가 스캔 후 권한을 되돌립니다. | 동작차단 제어 | 기본값선택 시 켜짐 수동 대응 | 제품Mac Linux |
| BadUSB 방지 T1200 | 승인하지 않은 키보드나 개조한 USB 케이블의 입력을 승인할 때까지 차단합니다. 타건 간격의 이상도 보조 단서로 활용합니다. | 동작차단 | 기본값선택 시 켜짐 수동 대응 | 제품Mac Linux |
| Bluetooth 제어와 점검 | 신뢰할 수 없는 네트워크에서는 Bluetooth를 검색되지 않는 상태로 만듭니다. 페어링 전 기기를 허용하는 설정도 점검합니다. | 동작제어 감사 | 기본값선택 시 켜짐 자동 대응 | 제품Mac Linux |
진단과 취약점 5
설정의 약점과 실제로 도달할 수 있는 취약점을 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 보안 종합 진단 | 디스크 암호화, 방화벽, OS 업데이트, SSH, 공개 포트, 브라우저 보호 등 많은 항목을 진단하고 점수와 수정 방법을 제시합니다. 진단한 항목이 아직 남아 있는지 다시 확인할 수 있습니다. | 동작감사 보고 | 기본값켜짐 알림만 | 제품Mac Linux Linux Server |
| 실증형 취약점 진단 | 이 기기의 127.0.0.1에 한해 인증 없는 공개, CORS 설정 오류, 경로 탐색 등을 파괴 없이 확인합니다. 확인할 때마다 남는 것과 증거의 강도를 표시합니다. | 동작감사 | 기본값선택 시 켜짐 수동 대응 | 제품Mac Linux |
| LLMNR·NBNS 응답 진단 T1557.001 | 같은 네트워크의 누구나 응답할 수 있는 이름 확인에 이 기기가 참여하고 있지 않은지 점검합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Linux Linux Server |
| 권한 상승 경로 분석 | docker 그룹, SUID, 수정 가능한 서비스 실행 파일, 비밀번호 없는 sudo, cron, macOS의 개인정보 허용 등에서 root나 기밀 데이터에 이르는 경로를 그림과 목록으로 보여 줍니다. 수정했을 때의 경로를 가정해 분석할 수도 있습니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품PathScope |
| LAN 외부에서의 취약점 감사 | LAN에 둔 전용 노드에서 페어링한 기기의 공개 포트와 취약한 서비스를 파괴 없이 확인합니다. 호스트 자체 진단으로는 보이지 않는, 같은 LAN의 다른 기기에서 보이는 모습을 알 수 있습니다. | 동작감사 | 기본값수동 실행 수동 대응 | 제품Sensor |
로그 분석과 조사 22
로그와 LAN 정보에서 공격 시도를 근거와 함께 찾아냅니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 보안 로그 감사 | 로그에서 sudo 실패, SSH, Gatekeeper 차단, 인증 등을 집계합니다. 처음 나타난 로그 유형과 빈도의 급증을 이상으로 찾아냅니다. 비밀 정보는 마스킹합니다. | 동작탐지 감사 | 기본값Pro에서 켜짐 알림만 | 제품Mac Linux Linux Server |
| 액세스 로그 진단(AccessScope) | 웹 서버와 SSH 로그에서 공격 시도를 근거 행과 함께 찾아냅니다. 로그를 자동으로 찾고, 여러 로그에 걸친 연쇄와 평소와의 차이도 보여 줍니다. 읽지 못한 범위는 보고서에 표시합니다. | 동작탐지 보고 | 기본값수동 실행 | 제품AccessScope |
| 버튼 하나로 상황 확인(PersonalSOC) | SSH 인증, auditd, 웹, DNS, macOS 통합 로그와 MCP 설정, RoamSwitch의 탐지 이력을 읽기 전용으로 확인합니다. 대시보드와 IOC가 포함된 보고서로 정리합니다. | 동작보고 감사 | 기본값수동 실행 | 제품PersonalSOC |
| LLM 자율 조사(PersonalSOC·선택) | 활성화하면 LLM이 허용된 읽기 전용 도구만으로 조사하고 보고서를 작성합니다. 셸이나 파일은 전달하지 않습니다. LLM이 쓴 값 중 수집한 자료에 없는 것은 지어낸 내용일 가능성으로 표시합니다. | 동작보고 | 기본값선택 시 켜짐 | 제품PersonalSOC |
| 정기 실행(PersonalSOC·선택) | 사용자 권한으로 정기 실행을 등록하고, 지난번에 없던 탐지가 있을 때만 건수를 알립니다. | 동작보고 | 기본값선택 시 켜짐 알림만 | 제품PersonalSOC |
| 대책 지점과 수정안(PathScope) | 먼저 고치면 효과가 큰 지점을 우선순위와 함께 보여 주고, 수정 명령 예시와 ATT&CK 대응을 덧붙입니다. 명령은 자동으로 실행하지 않습니다. | 동작보고 | 기본값수동 실행 | 제품PathScope |
| 설치된 소프트웨어의 알려진 취약점 대조(PathScope) | 설치된 소프트웨어의 버전을 동봉된 알려진 취약점 데이터(CISA KEV 등)와 대조합니다. 공개된 공격 모듈이 있는 것은 그렇게 표시합니다. | 동작감사 | 기본값수동 실행 | 제품PathScope |
| 이력 비교와 지속 검사(PathScope) | 분석 결과를 기기 안에 이력으로 남기고 지난번과의 차이를 비교합니다. 경로가 늘어나면 종료 코드 1로 알리므로 정기 실행에도 쓸 수 있습니다. | 동작기록 보고 | 기본값수동 실행 | 제품PathScope |
| LLM 해설과 설정 해석(PathScope·선택) | 분석 결과의 해설과 sudoers·cron 같은 읽기 어려운 설정의 해석을 LLM에 맡길 수 있습니다. 비밀 키와 API 키의 값은 보내지 않습니다. 해설에 있는 값이 자료에 없으면 지어낸 내용일 가능성으로 표시합니다. | 동작보고 | 기본값선택 시 켜짐 | 제품PathScope |
| 확인할 건수 좁히기(AccessScope) | 자사 IP 등은 이유를 붙여 제외할 수 있고, 지난번 진단과 비교해 새로운 탐지만 알립니다. | 동작제어 | 기본값수동 실행 | 제품AccessScope |
| 결과 내보내기(AccessScope) | 보고서를 Markdown, JSON, SARIF, CSV로 내보낼 수 있습니다. 탐지한 IP의 차단 목록도 내보낼 수 있습니다. 내보내기만 하며, 차단은 하지 않습니다. | 동작보고 | 기본값수동 실행 | 제품AccessScope |
| LLM 분석(AccessScope·선택) | 활성화하면 요약과 근거 행을 LLM에 전달해 보고서를 작성하게 합니다. 비밀은 마스킹합니다. LLM이 쓴 값 중 전달한 자료에 없는 것은 지어낸 내용일 가능성으로 표시합니다. | 동작보고 | 기본값선택 시 켜짐 | 제품AccessScope |
| LAN의 의심스러운 통신 탐지(Sensor·수동 캡처) | 미러 포트 등을 이용한 수동 캡처로 알려진 악성 IP나 관리용 포트로의 연결, 봇넷화의 징후, DNS 터널링을 참고 정보로 보여 줍니다. 통신은 차단하지 않습니다. | 동작탐지 | 기본값선택 시 켜짐 알림만 | 제품Sensor |
| 정기 감사와 지난번과의 차이(Sensor) | 페어링된 기기를 정기적으로 감사하고, 새로운 탐지, 해소된 항목, 새로 열린 포트를 보여 줍니다. | 동작감사 보고 | 기본값선택 시 켜짐 알림만 | 제품Sensor |
| 감사 보고서와 알림(Sensor) | 감사 결과, 기기 대장, 작업 로그를 CSV, JSON, HTML로 내보낼 수 있습니다. 새 기기나 ARP 스푸핑 등을 Webhook과 syslog로 알릴 수 있습니다. 작업 로그는 변조 감지 기능이 있습니다. | 동작보고 기록 | 기본값선택 시 켜짐 알림만 | 제품Sensor |
| LAN 기기 대장과 ARP 감시 | LAN 상의 기기를 찾아 대장으로 만들고, 새 기기와 알려진 IP에 대한 MAC의 변화(ARP 스푸핑)를 알립니다. | 동작탐지 기록 | 기본값켜짐 알림만 | 제품Sensor |
| 불법 DHCP 서버·IPv6 라우터 탐지 | 무작위 MAC으로 탐색 패킷을 하나만 보내 응답한 DHCP 서버와 IPv6 라우터를 셉니다. 나중에 늘어난 서버나 정상과 다른 게이트웨이를 배포하는 서버를 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Sensor |
| 기기별 평소 동작 학습 | 기기별 통신 습관을 학습하고, 평소와 다른 동작을 알립니다. | 동작탐지 | 기본값켜짐 알림만 | 제품Sensor |
| 미도입 기기의 경량 감사 | 프린터나 카메라 등 페어링하지 않은 기기를 허용한 범위에 한해 연결 확인과 서비스 표시 읽기만으로 확인합니다. | 동작감사 | 기본값선택 시 켜짐 수동 대응 | 제품Sensor |
| 인시던트 타임라인 | 봉쇄와 탐지 기록을 하나의 시계열로 정리합니다. 프로세스 계보와 ATT&CK 태그도 함께 표시됩니다. | 동작보고 기록 | 기본값켜짐 | 제품Mac Linux |
| 연결된 USB 기기 목록 | 현재 연결되어 있는 외부 USB 기기를 목록으로 보여 줍니다. | 동작감사 | 기본값켜짐 | 제품Mac |
| 부팅 직후 보호(실험적) | 부팅 초기 단계부터 준비가 끝날 때까지 ARP와 DHCP 클라이언트 이외의 통신을 차단합니다. | 동작차단 | 기본값선택 시 켜짐 자동 대응 | 제품Linux Linux Server |
증거·알림·운영 14
탐지의 증거를 남기고, 필요한 사람에게 알리며, 운영에 통합합니다.
| 기능 | 하는 일 | 동작 | 기본값 | 제품 |
|---|---|---|---|---|
| 자체 감시와 자동 재시작 T1562.001 | RoamSwitch 자체가 비정상 종료하면 다시 시작하고 알립니다. | 동작제어 탐지 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 서명된 위협 데이터 자동 업데이트 | 위협 피드, 취약점 데이터, 규칙을 서명을 검증한 뒤 받습니다. 기기 정보는 보내지 않습니다. | 동작제어 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 원래대로 되돌리는 제거 | 삭제하기 전에 네트워크 설정을 원래대로 되돌리고, 미끼 파일과 추가한 설정을 제거합니다. | 동작제어 | 기본값수동 실행 수동 대응 | 제품Mac Linux Linux Server |
| 조직 차원의 중앙 관리(Fleet) | 기기를 조직에 등록하고 서명된 정책을 받아 적용합니다. 기기 쪽에서 등록과 정책의 상태를 확인할 수 있습니다. | 동작제어 보고 | 기본값선택 시 켜짐 | 제품Linux Linux Server |
| 정기 자율 순찰 | 백그라운드에서 정기적으로 종합 진단을 실행합니다. | 동작감사 | 기본값켜짐 알림만 | 제품Mac |
| 봉쇄 시 증거 자동 수집 | 봉쇄가 시작되면 그 시점의 증거를 자동으로 수집합니다. 각 파일의 SHA-256으로 무결성을 확인할 수 있습니다. | 동작기록 | 기본값켜짐 자동 대응 | 제품Mac Linux |
| 알림 이력 | 최근 알림을 원인 프로그램, 명령, 경로와 함께 확인할 수 있습니다. 원인을 특정하지 못했을 때는 그렇게 표시합니다. | 동작기록 보고 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 긴급 알림(Telegram·LINE·Webhook) | 중대한 탐지를 Telegram, LINE, Webhook으로 보냅니다. Slack, Discord, Teams는 수신 Webhook URL로 사용할 수 있습니다. | 동작보고 | 기본값선택 시 켜짐 알림만 | 제품Linux Server |
| 이벤트 전달(SIEM·syslog·Webhook) | 탐지와 알림을 지정한 syslog, JSON Lines 파일, 서명된 Webhook으로 전달합니다. 보내지 못한 분은 다시 보냅니다. | 동작보고 | 기본값선택 시 켜짐 | 제품Mac Linux Server |
| 변조 감지 기능이 있는 기록 | 실행 기록을 해시로 연결해 나중에 검증할 수 있게 합니다. 기록 중인 구간에도 일정 간격으로 체크포인트를 둡니다. | 동작기록 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 터미널에서 모든 기능 조작 | Server Edition의 모든 기능을 SSH 너머의 80x24 화면에서 키보드만으로 조작할 수 있습니다. 설정은 저장 전에 차이를 표시하고 백업을 만듭니다. | 동작제어 | 기본값켜짐 | 제품Linux Server |
| Sensor로부터 감사 받기 | Server Edition을 Sensor와 페어링해 LAN 외부로부터의 감사를 받을 수 있습니다. | 동작제어 감사 | 기본값선택 시 켜짐 수동 대응 | 제품Linux Server |
| 페어링과 폐기 | 일회용 코드로 기기와 Sensor가 서로를 신뢰하게 됩니다. 분실이나 도난 시에는 컬렉터에서 폐기하며, 그 Sensor는 스스로 멈춥니다. | 동작제어 | 기본값— 수동 대응 | 제품Sensor |
| 여러 거점 집계(컬렉터) | 여러 Sensor의 요약을 서명과 함께 모읍니다. 거점별 상황을 대시보드에서 보고 CSV로도 내보낼 수 있습니다. | 동작보고 | 기본값선택 시 켜짐 | 제품Sensor |
일치하는 기능이 없습니다
자동으로 막는 것과 알리기만 하는 것
탐지 후 자동으로 차단·격리하는 기능과 알림만 보내는 기능을 구분해 보여 줍니다.
자동으로 차단·격리 27
| 기능 | 동작 | 기본값 | 제품 |
|---|---|---|---|
| 대량 암호화 탐지 | 동작탐지 격리 | 기본값Pro에서 켜짐 | 제품Mac Linux |
| 다운로드 직후 악성 코드 검사 | 동작탐지 차단 | 기본값켜짐 | 제품Mac Linux |
| Apple 악성 코드 탐지와 연동 | 동작격리 | 기본값Pro에서 켜짐 | 제품Mac |
| ClickFix 탐지 | 동작탐지 차단 | 기본값선택 시 켜짐 | 제품Mac Linux |
| 위험한 실행의 사전 차단 | 동작차단 | 기본값켜짐 | 제품Linux |
| 커널 계층 침입 탐지와 자율 격리 | 동작탐지 격리 | 기본값켜짐 | 제품Linux Server |
| 접속 네트워크에 따른 보호 수준 전환 | 동작제어 차단 | 기본값켜짐 | 제품Mac Linux |
| 공유 서비스 자동 중지와 복원 | 동작제어 차단 | 기본값켜짐 | 제품Mac Linux |
| 알 수 없는 포트 공개의 자동 차단 | 동작탐지 차단 | 기본값Pro에서 켜짐 | 제품Mac Linux |
| 개발 서버의 외부 공개 차단 | 동작차단 | 기본값Pro에서 켜짐 | 제품Mac Linux |
| 외부 포트 스캔 탐지와 차단 | 동작탐지 차단 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| ARP 스푸핑 탐지와 자동 차단 | 동작탐지 격리 | 기본값Pro에서 켜짐 | 제품Mac Linux |
| DNS 위협 방어 | 동작차단 | 기본값켜짐 | 제품Mac Linux |
| 링크 보호 | 동작탐지 차단 | 기본값켜짐 | 제품Mac Linux |
| 신뢰할 수 없는 네트워크에서의 VPN과 킬 스위치 | 동작제어 차단 | 기본값선택 시 켜짐 | 제품Mac Linux |
| Air-Gap 중 Wi-Fi 중지 | 동작격리 | 기본값켜짐 | 제품Mac |
| 수신 기본 거부와 SSH 잠김 방지 | 동작차단 | 기본값켜짐 | 제품Linux Server |
| 악성 IP로의 외부 발신 통신 차단 | 동작차단 | 기본값켜짐 | 제품Linux Server |
| 웹 셸·악성 코드 탐지 | 동작탐지 차단 | 기본값Pro에서 켜짐 | 제품Mac Linux Server |
| 웹 게이트 | 동작차단 | 기본값선택 시 켜짐 | 제품Linux Server |
| 파일 스캔 가드 | 동작탐지 차단 | 기본값선택 시 켜짐 | 제품Linux Server |
| SSH 무차별 대입 탐지와 차단 | 동작탐지 차단 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| Docker의 방화벽 우회 방지 | 동작차단 | 기본값켜짐 | 제품Linux Server |
| Bluetooth 제어와 점검 | 동작제어 감사 | 기본값선택 시 켜짐 | 제품Mac Linux |
| 부팅 직후 보호(실험적) | 동작차단 | 기본값선택 시 켜짐 | 제품Linux Linux Server |
| 자체 감시와 자동 재시작 | 동작제어 탐지 | 기본값켜짐 | 제품Mac Linux |
| 봉쇄 시 증거 자동 수집 | 동작기록 | 기본값켜짐 | 제품Mac Linux |
알림만 42
| 기능 | 동작 | 기본값 | 제품 |
|---|---|---|---|
| 미끼 파일을 이용한 탐지 | 동작탐지 격리 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| 백업 최신성 진단 | 동작감사 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 자격 증명 미끼 | 동작탐지 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| 자격 증명 파일 읽기 감시 | 동작탐지 | 기본값켜짐 | 제품Linux |
| 브라우저 저장 정보 감시 | 동작탐지 | 기본값선택 시 켜짐 | 제품Mac |
| AI 에이전트 로그인 정보 진단 | 동작감사 | 기본값켜짐 | 제품Mac |
| 프로세스 실행 기록과 공격 수법 탐지 | 동작탐지 기록 | 기본값선택 시 켜짐 | 제품Mac Linux Linux Server |
| Sigma 규칙 가져오기 | 동작탐지 | 기본값선택 시 켜짐 | 제품Mac Linux Linux Server |
| 리버스 셸 탐지 | 동작탐지 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| 파일 내용 패턴 대조 | 동작탐지 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 웹 서버 워커의 비정상 종료 탐지 | 동작탐지 | 기본값Pro에서 켜짐 | 제품Mac Linux Server |
| 자동 실행 등록 감시 | 동작탐지 | 기본값켜짐 | 제품Mac Linux |
| 중요 시스템 파일 변조 감시 | 동작탐지 기록 | 기본값Pro에서 켜짐 | 제품Mac Linux Server |
| 락 파일 변조 감시 | 동작탐지 | 기본값Pro에서 켜짐 | 제품Mac |
| SUID·SGID 변경 감시 | 동작탐지 | 기본값켜짐 | 제품Linux Server |
| 로그 삭제 감시 | 동작탐지 | 기본값켜짐 | 제품Linux Server |
| 외부 공개 포트 감사 | 동작감사 | 기본값켜짐 | 제품Mac Linux Linux Server |
| Wi-Fi 안전성 진단 | 동작탐지 감사 | 기본값켜짐 | 제품Mac Linux |
| 네트워크 설정 변화 감시 | 동작탐지 | 기본값Pro에서 켜짐 | 제품Mac Linux |
| DNS 터널링 탐지 | 동작탐지 | 기본값켜짐 | 제품Linux Server |
| 식별자 무차별 대입 탐지(웹 액세스 가드) | 동작탐지 차단 | 기본값선택 시 켜짐 | 제품Linux Server |
| SSH와 sudo 설정 진단 | 동작감사 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 컨테이너 위험 실행 탐지 | 동작탐지 | 기본값선택 시 켜짐 | 제품Mac Linux Server |
| 리소스 고갈과 크래시 탐지 | 동작탐지 | 기본값켜짐 | 제품Linux Server |
| 클라우드 메타데이터 접속 감시 | 동작탐지 | 기본값켜짐 | 제품Linux Server |
| AI 에이전트 전용 계정 보호 | 동작제어 탐지 | 기본값선택 시 켜짐 | 제품Linux Server |
| 커널 취약점 대조 | 동작감사 | 기본값켜짐 | 제품Linux Linux Server |
| AI 에이전트 설정 감사 | 동작감사 탐지 | 기본값수동 실행 | 제품Mac Linux Linux Server |
| AI에 대한 지시 혼입 경고 | 동작탐지 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 로컬 AI 실행 기반 식별 | 동작감사 | 기본값켜짐 | 제품Mac Linux |
| 보안 종합 진단 | 동작감사 보고 | 기본값켜짐 | 제품Mac Linux Linux Server |
| LLMNR·NBNS 응답 진단 | 동작감사 | 기본값켜짐 | 제품Linux Linux Server |
| 보안 로그 감사 | 동작탐지 감사 | 기본값Pro에서 켜짐 | 제품Mac Linux Linux Server |
| 정기 실행(PersonalSOC·선택) | 동작보고 | 기본값선택 시 켜짐 | 제품PersonalSOC |
| LAN의 의심스러운 통신 탐지(Sensor·수동 캡처) | 동작탐지 | 기본값선택 시 켜짐 | 제품Sensor |
| 정기 감사와 지난번과의 차이(Sensor) | 동작감사 보고 | 기본값선택 시 켜짐 | 제품Sensor |
| 감사 보고서와 알림(Sensor) | 동작보고 기록 | 기본값선택 시 켜짐 | 제품Sensor |
| LAN 기기 대장과 ARP 감시 | 동작탐지 기록 | 기본값켜짐 | 제품Sensor |
| 불법 DHCP 서버·IPv6 라우터 탐지 | 동작탐지 | 기본값켜짐 | 제품Sensor |
| 기기별 평소 동작 학습 | 동작탐지 | 기본값켜짐 | 제품Sensor |
| 정기 자율 순찰 | 동작감사 | 기본값켜짐 | 제품Mac |
| 긴급 알림(Telegram·LINE·Webhook) | 동작보고 | 기본값선택 시 켜짐 | 제품Linux Server |
수동 대응 21
| 기능 | 동작 | 기본값 | 제품 |
|---|---|---|---|
| 피해 전 파일 복원 | 동작제어 기록 | 기본값켜짐 | 제품Mac Linux |
| API 키·비밀 키 탐지 | 동작감사 | 기본값켜짐 | 제품Mac Linux Linux Server |
| 권한 상승 경로가 되는 커널 모듈 점검 | 동작감사 제어 | 기본값수동 실행 | 제품Linux Linux Server |
| URL 안전성 진단 | 동작감사 | 기본값수동 실행 | 제품Mac Linux |
| Air-Gap(긴급 전면 차단) | 동작격리 | 기본값수동 실행 | 제품Mac Linux |
| 패키지 알려진 취약점 대조 | 동작감사 | 기본값수동 실행 | 제품Mac Linux Linux Server |
| 취약점 수용 | 동작제어 기록 | 기본값수동 실행 | 제품Mac Linux |
| 설치 시 실행되는 코드 점검 | 동작감사 | 기본값수동 실행 | 제품Mac Linux |
| 의존성 가져오기 출처 검사 | 동작감사 | 기본값수동 실행 | 제품Mac |
| 이름이 비슷한 패키지 판정 | 동작감사 | 기본값수동 실행 | 제품Mac Linux |
| npm 패키지 서명 검증 | 동작감사 | 기본값선택 시 켜짐 | 제품Mac Linux Server |
| MCP 설정 점검 | 동작감사 | 기본값수동 실행 | 제품Mac Linux |
| USB 저장 장치 제어 | 동작차단 제어 | 기본값선택 시 켜짐 | 제품Mac Linux |
| BadUSB 방지 | 동작차단 | 기본값선택 시 켜짐 | 제품Mac Linux |
| 실증형 취약점 진단 | 동작감사 | 기본값선택 시 켜짐 | 제품Mac Linux |
| 권한 상승 경로 분석 | 동작감사 | 기본값수동 실행 | 제품PathScope |
| LAN 외부에서의 취약점 감사 | 동작감사 | 기본값수동 실행 | 제품Sensor |
| 미도입 기기의 경량 감사 | 동작감사 | 기본값선택 시 켜짐 | 제품Sensor |
| 원래대로 되돌리는 제거 | 동작제어 | 기본값수동 실행 | 제품Mac Linux Linux Server |
| Sensor로부터 감사 받기 | 동작제어 감사 | 기본값선택 시 켜짐 | 제품Linux Server |
| 페어링과 폐기 | 동작제어 | 기본값— | 제품Sensor |
탐지하는 범위와 보지 못하는 범위 52
공격 기법(MITRE ATT&CK)별로 탐지 가능, 일부 탐지, 미탐지 여부를 보여 줍니다.
| 기법 | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | Linux일부 | Linux Server일부 |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | Mac일부 | Linux— | Linux Server— |
| T1036 Masquerading | Mac미탐지 | Linux미탐지 | Linux Server미탐지 |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | Linux일부 | Linux Server미탐지 |
| T1046 Network Service Discovery | Mac일부 | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | Linux일부 | Linux Server일부 |
| T1055 Process Injection | Mac미탐지 | Linux일부 | Linux Server일부 |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | Linux일부 | Linux Server일부 |
| T1059.002 Command and Scripting Interpreter: AppleScript | Mac일부 | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | Mac일부 | Linux일부 | Linux Server일부 |
| T1068 Exploitation for Privilege Escalation | Mac— | Linux일부 | Linux Server일부 |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | Mac미탐지 | Linux미탐지 | Linux Server일부 |
| T1070.003 Indicator Removal: Clear Command History | Mac미탐지 | Linux미탐지 | Linux Server미탐지 |
| T1070.004 Indicator Removal: File Deletion | Mac— | Linux일부 | Linux Server일부 |
| T1071.004 Application Layer Protocol: DNS | Mac— | Linux일부 | Linux Server일부 |
| T1091 Replication Through Removable Media | Mac일부 | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | Mac일부 | Linux일부 | Linux Server일부 |
| T1105 Ingress Tool Transfer | Mac— | Linux일부 | Linux Server일부 |
| T1110.001 Brute Force: Password Guessing | Mac탐지 | Linux일부 | Linux Server일부 |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | Mac일부 | Linux— | Linux Server— |
| T1200 Hardware Additions | Mac일부 | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | Mac일부 | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | Mac일부 | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | Mac일부 | Linux일부 | Linux Server일부 |
| T1490 Inhibit System Recovery | Mac일부 | Linux일부 | Linux Server일부 |
| T1505.003 Server Software Component: Web Shell | Mac일부 | Linux일부 | Linux Server일부 |
| T1543.001 Create or Modify System Process: Launch Agent | Mac탐지 | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | Linux일부 | Linux Server일부 |
| T1543.004 Create or Modify System Process: Launch Daemon | Mac탐지 | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | Mac일부 | Linux일부 | Linux Server일부 |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | Linux일부 | Linux Server미탐지 |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | Linux일부 | Linux Server미탐지 |
| T1547.015 Boot or Logon Autostart Execution: Login Items | Mac미탐지 | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | Linux미탐지 | Linux Server일부 |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | Mac일부 | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | Mac일부 | Linux일부 | Linux Server일부 |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | Linux미탐지 | Linux Server일부 |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | Mac일부 | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | Mac일부 | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | Mac일부 | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | Mac미탐지 | Linux일부 | Linux Server미탐지 |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | Mac일부 | Linux일부 | Linux Server미탐지 |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | Mac일부 | Linux일부 | Linux Server미탐지 |
| T1562.001 Impair Defenses: Disable or Modify Tools | Mac일부 | Linux일부 | Linux Server일부 |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | Mac미탐지 | Linux일부 | Linux Server미탐지 |
| T1562.006 Impair Defenses: Indicator Blocking | Mac미탐지 | Linux미탐지 | Linux Server일부 |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | Linux미탐지 | Linux Server미탐지 |
| T1566.002 Phishing: Spearphishing Link | Mac일부 | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | Mac미탐지 | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | Mac일부 | Linux일부 | Linux Server일부 |
| T1610 Deploy Container | Mac일부 | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | Linux일부 | Linux Server일부 |
"미탐지"는 해당 기법을 탐지하는 기능이 없다는 뜻입니다.