시그니처로 안 잡히는 파일과
평소와 다른 계정 움직임을 봅니다
의심 파일은 외부망과 끊긴 샌드박스에서 실제로 실행해 보고 프로세스 생성, 파일·레지스트리 변경, 네트워크 접속을 기록합니다. 사용자와 서버, 서비스 계정, AI 에이전트는 각자의 UEBA 기준선과 비교해 벗어난 정도를 항목별 점수로 냅니다. 차단은 직접 하지 않고 연동한 EDR이나 게이트웨이에 맡깁니다.
2027 정식 출시 목표Genox 플랫폼으로 운영하는 서비스입니다. 지금은 PoC와 얼리 액세스 상담을 받고 있습니다. 얼리 액세스 안내
의심 파일은
샌드박스에서 먼저 터뜨려 봅니다
메일 첨부파일, 새로 들어온 패키지, 출처를 모르는 스크립트를 외부망과 끊긴 VM에서 실행합니다.
섀도 복사본 삭제나 대량 암호화 같은 행위와 접속한 도메인을 시간 순서대로 남기고, 실행 중에 떨어진 파일에는 YARA 룰을 돌립니다.
- 프로세스 트리와 파일·레지스트리·네트워크 이벤트 기록
- 시간과 난수를 고정해 다시 돌려도 같은 결과
- VM 탐지, sleep 지연 같은 회피 기법 우회 (전부 막지는 못합니다)
섀도 복사본 삭제+3.1s
엔트로피 7.9+6.4s
등록 3일 된 도메인+7.0s
재부팅 후에도 실행되도록 설정+7.2s
평소와 얼마나 다른지
항목별로 나눠 보여 드립니다
로그인 시간대, 다운로드 양, 접근한 저장소, 업로드 대상 도메인마다 기준선을 따로 학습합니다. 경보에는 어느 항목이 얼마나 벗어났는지가 붙어 있어 분석가가 왜 걸렸는지 바로 압니다. 기준선이 안정되려면 데이터가 어느 정도 쌓여야 해서, 도입 초기에는 오탐이 많은 편입니다.
- 사용자·서버·서비스 계정마다 따로 기준선
- Okta·Entra ID 로그인 기록과 EDR 텔레메트리 사용
- 휴가나 부서 이동, 결산 기간 같은 예외는 직접 등록
AI 에이전트의 툴 호출도
같은 방식으로 봅니다
에이전트가 어떤 툴을 얼마나 자주, 어디로 부르는지 쌓아 기준선을 만듭니다.
프롬프트 인젝션에 걸린 에이전트가 갑자기 외부 주소로 메일을 보내거나 DB를 연달아 조회하면 바로 표시됩니다.
- MCP 서버와 API 게이트웨이의 툴 호출 로그 수집
- 외부 발송, 대량 조회, 권한 밖 툴 호출 탐지
- 차단은 연동한 MCP 게이트웨이가 실행
평소 범위오늘
평소 범위오늘
이탈 점수 0.9414:22
평소의 12배14:22
핵심 기능
격리 샌드박스
Windows·Linux 실행 파일, Office 문서, PDF, PowerShell·셸 스크립트
UEBA
계정마다 다른 근무 패턴을 기준선으로
에이전트 행위 분석
툴 호출 순서와 빈도가 평소와 다를 때 표시
네트워크 행위
일정한 주기의 C2 비컨, DGA 도메인, SMB·RDP 내부 확산 시도
재현 가능한 실행
같은 파일은 다시 돌려도 같은 기록
산출물 격리
샌드박스에서 나온 파일은 분석 망 밖으로 나가지 않습니다
동작 방식
수집
의심 파일, EDR 텔레메트리, IdP·프록시 로그
격리 실행
샌드박스에서 실행하고 행위 기록
기준선 비교
항목별 이탈 정도 계산
분류
행위를 ATT&CK 기법으로 분류하고 근거 기록
전달
결과를 Threat Correlator로 전송
연동할 수 있는 도구 (API · Syslog)
배포 옵션
| 방식 | 설명 | 추천 |
|---|---|---|
| 온프레미스 · 폐쇄망 | 고객 데이터센터에 설치합니다. 탐지 규칙과 모델 업데이트도 오프라인 패키지로 반입해서 외부 연결 없이 돌아갑니다. | 금융 · 공공 · 국방 |
| 전용 클라우드 | 국내 리전에 고객 한 곳만 쓰는 환경을 따로 만듭니다. 다른 고객과 노드를 같이 쓰지 않습니다. | 엔터프라이즈 · 의료 |
| 매니지드 | 설치와 운영은 Genox 관제센터가 맡고, 고객은 판정 확인과 조치 승인만 하시면 됩니다 (MDR). | 중견 · 중소기업 |
| MSSP 파트너 | 보안관제 기업이 고객사마다 테넌트를 나눠 직접 운영합니다. | 보안 전문기업 |
자주 묻는 질문
샌드박스 결과가 실행할 때마다 달라지지 않나요?
시간, 난수, 네트워크 응답을 고정해 놓고 실행하기 때문에 같은 파일은 같은 결과를 냅니다. 감사나 재검토 때 그대로 다시 돌려 볼 수 있습니다. 다만 외부 C2 서버의 응답을 받아야 다음 단계로 넘어가는 샘플은 격리 상태에서 행위가 다 드러나지 않을 수 있습니다.
직원 감시라는 우려는 없나요?
기준선에는 정책에서 허용한 메타데이터(접속 시각, 전송량, 접근 대상)만 씁니다. 어떤 항목을 분석할지, 얼마나 보관할지는 고객이 정합니다. 도입 전에 개인정보보호법상 고지 절차는 사내 법무·인사 담당과 함께 확인해 두시길 권합니다.
