브라우저 보안 대 엔드포인트 보안: 현대 아키텍처에서 각각의 역할

브라우저 보안과 엔드포인트 보안은 서로 경쟁하는 계층이 아니라, 공격 체인의 서로 다른 지점에서 각기 다른 위협을 차단하는 상호 보완적인 제어 수단입니다. 해킹당한 업계 뉴스 사이트를 통해 전달된 제로데이 익스플로잇은 시그니처 기반 엔드포인트 안티바이러스를 완전히 우회하지만, remote browser isolation (RBI)는 악성 코드가 운영 체제에 도달하는 것 자체를 차단합니다. 반대로, 직원이 개인 USB 드라이브를 통해 트로이 목마가 심어진 설치 프로그램을 다운로드하는 경우, 엔드포인트 탐지 및 대응(EDR)은 페이로드가 시스템에 유입된 후 이를 차단하는 계층입니다. 이 두 계층 중 하나만을 고려하여 설계하는 보안 설계자는 공격자가 일상적으로 악용하는 예측 가능한 보안 허점을 남기게 됩니다.

브라우저 보안이 실제로 다루는 범위

브라우저 보안은 웹 브라우저 세션 내부, 주변 또는 상류에서 작동하는 제어 기능을 포괄합니다. 여기에는 remote browser isolation, 보안 웹 게이트웨이, 인라인 DLP, CASB 프록시 적용, URL 필터링, 그리고 브라우저 세션 내에서의 복사/붙여넣기, 업로드, 다운로드 및 인쇄에 대한 정책 기반 제한 등이 포함됩니다.

여기서 위협 모델은 바로 브라우저 세션 그 자체입니다. 다음과 같은 시나리오를 생각해 보십시오. 한 제조 기업의 조달 관리자가 자바스크립트 삽입 공격을 받아 해킹당한 부품 공급업체 포털을 방문합니다. 이는 전형적인 ‘워터홀(watering hole)’ 공격 사례입니다. 공격자가 이용하는 웹사이트는 대개 특정 산업 분야와 같이 특정 커뮤니티가 주로 방문하는 곳이며, 공통된 관심사를 바탕으로 사용자를 공격하는 것이 목표입니다. 이는 MITRE ATT&CK에서 T1189 항목 하의 ‘전략적 웹 침해(strategic web compromise)’로 분류되는 패턴입니다. 주입된 스크립트는 브라우저에서 악용 가능한 버전을 은밀하게 탐색하고, 발견될 경우 코드 실행을 수행합니다.

RBI가 적용되면, 이 전체 프로세스는 클라우드 내의 격리된 컨테이너에서 실행됩니다. 악성 자바스크립트는 실행되지만, 사용자의 실제 컴퓨터에서는 절대 실행되지 않으며, 일회용 세션 내에서 무해하게 렌더링됩니다. 엔드포인트는 페이로드를 전혀 감지하지 못합니다.

브라우저 보안은 세션 중 발생하는 데이터 유출 문제도 해결합니다. 관리 대상이 아닌 개인 노트북의 브라우저를 통해 Salesforce 대시보드를 열고, 기업 고객 목록을 선택한 뒤, 다른 탭에 있는 AI 챗봇에 해당 데이터를 붙여넣으려는 계약직 직원을 상상해 보세요. 브라우저 계층 DLP는 해당 클립보드 이벤트를 실시간으로 검사하여, 데이터가 기업 애플리케이션 밖으로 유출되기 전에 붙여넣기를 차단합니다.

이러한 유형의 브라우저 기반 초기 접근 방식은 특히 우려되는 바인데, 이는 41개의 알려진 위협 그룹과 악성코드 계열이 실제 환경에서 드라이브바이 감염(T1189)을 사용하는 것이 관찰되었기 때문이며, 이로 인해 MITRE ATT&CK에 등재된 초기 접근 방법 중 가장 널리 퍼진 방식 중 하나가 되었기 때문이다.

엔드포인트 보안이 실제로 다루는 범위

엔드포인트 보안에는 EDR, 차세대 안티바이러스(NGAV), 호스트 기반 방화벽, 기기 상태 평가, 디스크 암호화, 애플리케이션 제어, OS 수준 위협 탐지 등이 포함됩니다. 이러한 제어 기능은 콘텐츠가 이미 기기에 도달한 후에 작동하며, 엔드포인트에서 발생하는 프로세스, 파일, 레지스트리 변경 사항, 메모리 작업 및 네트워크 연결을 검사합니다.

MITRE ATT&CK 프레임워크는 실행 후 엔드포인트 공격 기법에 대한 포괄적인 목록을 제시합니다. 프로세스 주입(T1055)은 방어 회피 및 지속성과 함께 악성코드 분석에서 가장 빈번하게 관찰되는 기법 중 하나로 자리 잡고 있습니다. 또한, 안티바이러스 무력화, 로그 삭제, EDR 에이전트 종료 등에 사용되는 방어 체계 무력화(T1562)는 최근 몇 년간 지속적으로 가장 많이 관찰되는 기법 중 하나로 꼽히고 있습니다.

바로 이런 상황에서 엔드포인트 보안의 진가가 발휘됩니다. 한 은행의 재무 분석가가 동료가 공유한 파일 링크에서 겉보기에는 엑셀 템플릿으로 보이는 파일을 다운로드합니다. 하지만 이 파일에는 실제로 사용자의 임시 디렉터리에 DLL 파일을 심고 프로세스 주입을 시도하는 매크로가 포함되어 있습니다. 브라우저 입장에서는 이 다운로드를 차단할 이유가 없었습니다. 승인된 클라우드 스토리지 도메인에서 온 파일이었기 때문입니다. 하지만 EDR은 엑셀에서 생성된 의심스러운 자식 프로세스를 감지하고, 서명되지 않은 DLL을 표시하며, 페이로드가 지속성을 확보하기 전에 격리합니다.

엔드포인트 보안은 침해 후 발생하는 인증 정보 도용도 탐지합니다. MITRE ATT&CK의 ‘웹 브라우저의 인증 정보(T1555.003)’ 항목에 따르면, 공격자는 브라우저별 파일을 읽어 웹 브라우저에서 인증 정보를 탈취합니다. 웹 브라우저는 일반적으로 사용자 이름이나 비밀번호와 같은 인증 정보를 저장해 두어 사용자가 수동으로 입력할 필요가 없도록 합니다. 악성코드가 엔드포인트에 접근하면, 브라우저의 인증 정보 저장소를 직접 표적으로 삼습니다. EDR은 새벽 2시에 브라우저가 아닌 프로세스가 Chrome의 ‘Login Data’ SQLite 데이터베이스를 읽는 것을 감지하고 경보를 발령하는 계층입니다.

주요 차이점: 브라우저 보안 대 엔드포인트 보안

이 구분은 어느 쪽이 “더 낫다”는 문제가 아니라, 각 계층이 킬 체인에서 위협을 차단하는 지점, 어떤 텔레메트리 데이터를 생성하는지, 그리고 어떤 MITRE ATT&CK 기법을 완화할 수 있도록 배치되어 있는지에 관한 것입니다.

엔드포인트 보안이 놓친 부분을 브라우저 보안이 잡아낼 때

가장 대표적인 사례는 정상적인 웹사이트를 통해 유포되는 제로데이 공격입니다. 구글의 위협 인텔리전스 그룹(GTIG)은 2024년에 실제 환경에서 악용된 제로데이 취약점 75건을 추적했으며, 브라우저 기반 악용 사례는 2023년 17건에서 2024년 11건으로 감소했습니다(GTIG, 2025년 4월). 브라우저 제로데이 공격의 감소가 위험이 사라졌음을 의미하는 것은 아닙니다. 이는 공격자들이 더 선별적으로 행동하며, 브라우저 익스플로잇을 고가치 표적에만 집중하고 있음을 의미합니다.

특정 산업 분야의 규제 정보를 다루는 웹사이트를 변호사들이 정기적으로 방문하는 법률 서비스 회사를 상상해 보십시오. 공격자가 해당 사이트를 해킹하여, 아직 패치가 출시되지 않은 크로미움(Chromium) 렌더링 엔진의 취약점을 노리는 제로데이 익스플로잇을 주입합니다. 이 회사의 엔드포인트 안티바이러스(AV)에는 해당 악성코드의 시그니처가 없습니다. EDR(엔드포인트 탐지 및 대응)의 행동 분석 엔진이 결국 익스플로잇 이후의 활동을 탐지할 수는 있겠지만, 그 때는 이미 익스플로잇이 코드 실행에 성공하고 침투 기반을 마련하기 시작한 뒤일 것입니다.

브라우저 격리 기능을 통해 익스플로잇은 일시적인 컨테이너 내에서 실행되며, 엔드포인트는 악성 코드를 전혀 수신하지 않습니다. 페이지는 픽셀 스트림 형태로 렌더링됩니다. 변호사가 탭을 닫으면, 익스플로잇이 실행하려 했던 모든 내용과 함께 컨테이너도 파괴됩니다. 시그니처도 필요하지 않았고, 행동 기반 휴리스틱도 호출되지 않았으며, 공격은 아키텍처 수준에서 무력화되었습니다.

브라우저 보안은 엔드포인트 에이전트가 감지할 수 없는 데이터 유출 시나리오도 포착합니다. 마케팅 팀원이 내부 분석 앱에서 고객 세분화 스프레드시트를 복사하여 브라우저 탭에서 실행 중인 승인되지 않은 AI 도구에 붙여넣는 경우가 있습니다. 엔드포인트 DLP는 브라우저 탭 간 클립보드 이벤트를 파악할 수 없습니다. DLP가 secure web gateway 세션 내 콘텐츠를 검사하고, 데이터 분류에 따라 붙여넣기 작업을 차단합니다.

브라우저 보안이 놓친 부분을 엔드포인트 보안이 잡아낼 때

브라우저 보안 제어 기능은 웹 트래픽 채널로만 제한됩니다. 파일이 디스크에 기록되거나, USB 드라이브가 연결되거나, 브라우저가 아닌 다른 애플리케이션이 네트워크에 연결되는 경우에는 이러한 제어 기능이 적용되지 않습니다.

커뮤니티 저장소에서 개발자 도구를 다운로드하는 소프트웨어 엔지니어를 생각해 보자. 이 저장소는 합법적이고 널리 사용되고 있기 때문에 다운로드 과정은 SWG URL 필터링을 통과합니다. 설치가 완료되면, 이 도구는 T1055 프로세스 주입 기법을 사용하여 신뢰할 수 있는 시스템 프로세스에 스스로를 삽입하는 악성 DLL을 사이드로드합니다. 그런 다음 T1555.003을 실행하여 엔지니어의 브라우저 프로필에 저장된 인증 정보를 탈취하고, 합법적인 HTTPS 트래픽을 모방한 암호화된 C2 채널을 통해 이를 외부로 유출합니다.

다운로드 이후의 모든 단계는 브라우저 보안 시스템에서는 감지되지 않습니다. EDR은 서명되지 않은 DLL의 로드, 시스템 프로세스에 대한 비정상적인 메모리 쓰기, 그리고 일반적으로 네트워크 활동이 없는 프로세스에서 발생하는 비정상적인 외부 연결을 탐지하는 제어 기능입니다.

맨디언트(Mandiant)의 ‘M Trends 2025’ 보고서에 따르면, 2024년 침입 사례의 33%에서 익스플로잇이 가장 흔한 초기 감염 경로로 나타났으며, 도난당한 인증 정보가 16%를 차지하며 두 번째로 흔한 경로로 부상했다. 이러한 도난당한 인증 정보는 주로 엔드포인트에서 실행되는 정보 탈취형 악성코드에서 유래하는데, 이 악성코드는 브라우저 인증 정보 데이터베이스, 세션 쿠키, 자동 완성 데이터를 수집한다. 인증 정보 도난은 브라우저 세션이 아닌 OS/파일 시스템 수준에서 발생하기 때문에, 엔드포인트 보안은 정보 탈취형 악성코드에 대항하는 주요 방어선입니다.

엔드포인트 제어 기능은 기기 상태도 관리합니다. 노트북이 기업 리소스에 연결되도록 허용되기 전에, EDR 에이전트는 OS에 패치가 적용되었는지, 방화벽이 활성화되어 있는지, 그리고 알려진 취약점이 있는 소프트웨어가 실행 중이지 않은지 확인합니다. 브라우저 보안 기능만으로는 기본 운영 체제가 루트킷에 의해 침해되었는지 여부를 파악할 수 없습니다.

대부분의 기업이 두 가지 모두를 필요로 하는 이유 — 그리고 이를 NIST CSF 2.0에 매핑하는 방법

NIST CSF 2.0은 ‘거버넌스(Govern)’, ‘식별(Identify)’, ‘보호(Protect)’, ‘탐지(Detect)’, ‘대응(Respond)’, ‘복구(Recover)’라는 6가지 기능으로 구성되어 있으며, 이 기능들이 종합적으로 결합되어 사이버 보안 위험 관리를 위한 포괄적인 관점을 제공합니다. ‘보호(Protect)’ 기능만 해도 신원 관리, 인증, 접근 제어, 데이터 보안, 플랫폼 보안, 기술 인프라 복원력 등 22개의 하위 범주를 포함하고 있습니다.

단일 제품 범주로는 22개 하위 범주를 모두 아우를 수 없습니다. 브라우저 보안은 전송 중인 데이터 보안(PR.DS), SaaS 및 웹 애플리케이션에 대한 액세스 관리(PR.AA), 브라우저 기반 업무에 대한 플랫폼 보안(PR.PS)과 관련된 보호 결과를 다룹니다. 엔드포인트 보안은 운영 체제에 대한 플랫폼 보안, 호스트 기반 탐지를 위한 보호 기술, 로컬 자격 증명 저장소에 대한 신원 관리를 다룹니다.

실제로 제약 회사가 NIST CSF 2.0에 따라 CISO 통제 항목을 매핑할 경우, 브라우저 격리 및 SWG는 웹 콘텐츠 필터링과 전송 중 데이터 보호를 다루는 하위 범주에, EDR은 엔드포인트 위협 탐지 및 악성코드 방지를 다루는 하위 범주에 각각 할당될 것입니다. ‘보호(Protect)’ 기능은 핵심 자산을 보호하고, 위험을 최소화하며, 잠재적인 사이버 보안 사고에 대비하기 위한 조치를 마련하는 것을 의미하며, 체계적인 사각지대를 방지하기 위해서는 두 계층 모두를 갖추어야 합니다.

‘IBM 2024년 데이터 유출 비용 보고서’에 따르면, 2024년 전 세계 데이터 유출 사고의 평균 비용은 488만 달러에 달했다. 또한 같은 보고서에 따르면, 자격 증명이 도난당하거나 유출된 사고의 경우, 이를 파악하고 차단하는 데 292일이 소요되어 가장 오랜 시간이 걸린 것으로 나타났다. 브라우저 세션 DLP(피싱 페이지에 자격 증명을 붙여넣는 것을 방지)와 엔드포인트 EDR(브라우저 자격 증명 데이터베이스에 대한 정보 탈취자의 접근을 탐지)을 결합한 다층 아키텍처는 이 주요 공격 경로를 두 가지 방향에서 직접적으로 대응합니다.

의사결정 프레임워크: 계층 간 투자 배분

모든 조직이 두 계층 모두에서 동일한 수준의 심도 있는 접근을 필요로 하는 것은 아닙니다. 다음은 보안 아키텍트를 위한 실용적인 프레임워크입니다:

다음과 같은 경우에는 브라우저 보안에 대한 투자를 우선시해야 합니다:

근로자의 상당수는 원격 근무자이거나, 계약직이거나, 관리 대상이 아닌 기기를 사용하고 있어 엔드포인트 에이전트를 설치할 수 없는 경우가 많습니다. RBI와 리버스 프록시는 기기 제어 없이도 보안을 제공합니다.

SaaS 애플리케이션은 주요 작업 공간이며, 데이터 유출의 주된 위험 요인은 브라우저 기반 애플리케이션에서 발생하는 복사/붙여넣기, 다운로드 또는 스크린샷입니다.

해당 기관은 제3자가 민감한 애플리케이션에 접근할 수 있도록 허용해야 합니다. 외부 청구 파트너가 브라우저 세션을 통해 환자 기록에 접근할 수 있도록 허용하는 의료 시스템은 RBI를 사용하여 데이터가 파트너의 엔드포인트에 절대 노출되지 않도록 보장합니다.

이 위협 모델은 웹을 매개로 한 제로데이 공격과 피싱 공격을 최우선으로 다루고 있습니다. 가트너는 2028년까지 조직 4곳 중 1곳이 원격 액세스 및 엔드포인트 방어 분야의 구체적인 취약점을 해결하기 위해 최소 한 가지 이상의 보안 기업용 브라우저 기술을 도입할 것으로 전망합니다(가트너, 2025년 4월).

다음과 같은 경우에는 엔드포인트 보안 투자를 우선시해야 합니다:

직원들은 주로 관리 대상인 기업 소유 기기를 사용하며, 관리자는 이에 대한 완전한 가시성을 확보하고 있습니다.

위협 모델링 분석 결과, 브라우저 외부의 악성코드 유포 경로(USB, 이메일 클라이언트 첨부 파일, 공급망 소프트웨어 설치 프로그램 등)에서 높은 위험이 드러났다.

규정 준수 요건에는 기기 내 암호화, 호스트 방화벽 적용, 기기 상태 평가(PCI DSS 및 HIPAA 환경에서 흔히 요구됨)가 포함됩니다.

SOC는 사고 조사 및 위협 탐지를 위해 프로세스 트리, 메모리 아티팩트, 레지스트리 변경 내역 등 심층적인 포렌식 텔레메트리 데이터가 필요합니다.

다음과 같은 경우에는 통합에 투자하십시오:

두 계층 모두 존재하지만 서로 독립적으로 운영됩니다. SWG, RBI, CASB, DLP를 엔드포인트 텔레메트리 정보와 통합하는 SSE 플랫폼은 단일 정책 엔진을 구축합니다. SWG가 사용자가 새로 등록된 도메인을 방문하는 것을 감지하면, 해당 세션에 대해 RBI를 동시에 실행하고 엔드포인트 에이전트에 해당 사용자의 기기에 대한 행동 모니터링을 강화하도록 지시할 수 있습니다.

2024년에는 제로데이 공격의 44%가 기업용 제품을 표적으로 삼았으며(GTIG, 2025년 4월), 공격자들은 브라우저 기반의 초기 접근과 엔드포인트 수준의 후속 공격을 점점 더 연쇄적으로 수행하고 있습니다. 이러한 연쇄 공격을 탐지하려면 두 계층의 텔레메트리 데이터를 하나의 콘솔에서 상호 연관 지어 분석해야 합니다.

브라우저 계층과 엔드포인트 계층 텔레메트리가 어떻게 연동되는가

가장 위험한 공격은 이 두 계층에 걸쳐 발생합니다. MITRE ATT&CK의 ‘드라이브 바이 컴프로마이즈(Drive by Compromise)’ 탐지 지침은 이러한 통합 요건을 잘 보여줍니다. 이 지침은 비정상적인 브라우저 및 네트워크 행동(의심스러운 외부 리소스 조회 및 스크립트 삽입 패턴)에 대한 상호 연관된 증거를 먼저 확인한 뒤, 비정상적인 자식 프로세스, 메모리 변조 또는 프로세스 삽입, 그리고 엔드포인트에 예상치 못한 파일 생성 등의 징후를 파악해야 한다고 명시하고 있습니다.

브라우저 텔레메트리 데이터와 엔드포인트 텔레메트리 데이터가 서로 상관관계 없이 별도의 대시보드에 분리되어 있다면, 이러한 탐지 체인은 제대로 작동할 수 없습니다. 차세대 secure web gateway 첫 번째 신호를 secure web gateway . 즉, 사용자의 브라우저 세션이 새로 등록된 도메인에서 난독화된 자바스크립트 리소스를 가져왔습니다. 엔드포인트 에이전트가 두 번째 신호를 생성합니다. 몇 분 후, 브라우저 프로세스가 예기치 않은 자식 프로세스를 생성했고, 이 자식 프로세스가 임시 디렉터리에 파일을 작성했습니다. 이러한 신호들이 상호 연관되어 분석되면, 드라이브바이 공격이 진행 중임을 확인할 수 있습니다. 이 신호들이 서로 분리된 상태라면, 어느 하나만으로는 단순한 잡음으로 간주되어 무시될 수 있습니다.

바로 이 때문에 업계는 웹, 클라우드, 엔드포인트 정책을 통합한 통합 SSE 아키텍처로 수렴하고 있습니다. 보안 설계자가 브라우저 세션, SaaS API 연결, 관리형 엔드포인트 파일 전송 전반에 걸쳐 일관되게 적용되는 단일 DLP 정책을 작성할 수 있게 되면, 보안 사각지대가 획기적으로 줄어듭니다.