엔드포인트 보호 구성

Cato의 EPP 솔루션에는 세 가지 유형의 EPP 엔진이 포함되어 있습니다: 엔드포인트의 파일을 검사하는 파일 보호, 엔드포인트에서 실행 중인 프로세스를 검사하는 행동 분석, 소프트웨어 취약점을 보호하는 Anti-Exploit. EPP 설정은 Cato 관리 애플리케이션에서 구성되며, 공격 표면 전체의 보안을 중앙에서 관리할 수 있는 방법을 제공합니다． 엔드포인트 보호 프로필에서 각 엔진의 보호 수준을 구성하여 잠재적 위협에 어떻게 대응할지를 정의할 수 있습니다． 엔드포인트 보호 정책을 사용하여 엔드포인트 보호 프로필을 최종 사용자나 엔드포인트에 적용할 수 있습니다．

정상 파일 또는 프로세스가 악성으로 식별되는 것을 방지하기 위해 파일 또는 프로세스를 허용 목록에 추가할 수 있으며, 추가적인 보호를 위해 특정 엔드포인트에서 필요에 따라 스캔을 실행할 수 있습니다.

알려진 및 알려지지 않은 멀웨어로부터 엔드포인트를 보호하기 위해, Cato의 EPP 솔루션은 완전한 보안 솔루션을 위해 세 가지 보호 계층을 제공합니다． 각 계층은 서로 다른 탐지 기술을 활용하여 다양한 종류의 공격을 식별하고 예방합니다．

EPP가 계정에서 엔드포인트를 보호하는 방법을 정의하려면, 각 엔진에 대한 보호 수준을 정의하기 위해 EPP 프로필을 사용하십시오． 그런 다음 EPP 정책의 규칙을 사용하여 프로필이 적용되는 엔드포인트의 범위를 정의합니다． 프로필은 특정 최종 사용자, 특정 엔드포인트 또는 둘 모두에 적용될 수 있습니다．

EPP 정책은 순서가 있는 규칙베이스입니다． 정책의 규칙은 순차적으로 파일과 프로세스에 적용되어 규칙이 일치하는지 확인합니다． 규칙베이스 상위의 규칙은 우선 순위가 높은데, 이는 아래의 규칙보다 먼저 적용되기 때문입니다． 예를 들어, 규칙 #1에 파일 보호 차단 응답이 있고 악성 파일이 식별된 엔드포인트에 적용된 경우 파일은 차단됩니다． 해당 파일에는 더 이상의 규칙이 적용되지 않습니다． 최종 기본 규칙은 모든 엔드포인트에 기본 프로필을 적용하며 편집할 수 없습니다.

엔드포인트 보호 프로필 정의

EPP 프로필은 파일 보호 및 행동 기반 탐지 엔진 보호 설정을 정의합니다. 귀하의 EPP 정책 요구 사항에 따라 다른 프로필을 정의할 수 있습니다．

엔드포인트 보호 프로필을 정의하려면：

1. 네비게이션 메뉴에서 보안 > 엔드포인트 보호을 클릭하십시오．

2. 프로필 탭을 클릭하십시오．

3. 새로 만들기를 클릭하십시오．

   새 엔드포인트 보호 프로필 생성 패널이 열립니다．

4. 프로필에 대한 설정을 정의하십시오．

5. 적용을 클릭한 다음 저장을 클릭하십시오．

엔드포인트 보호 정책 생성

소스와 프로필을 이용하여 EPP 정책에서 규칙을 정의합니다． 소스는 엔드포인트 ID를 기반으로 하는 최종 사용자 신원 또는 엔드포인트 장치가 될 수 있습니다． 또한 각 최종 사용자 또는 엔드포인트 (소스)에 적용되는 보호 수준 (프로필)을 설정할 수도 있습니다． 이는 환경 내 각 엔드포인트에서 각 EPP 엔진이 어떻게 사용되는지 사용자 정의할 수 있게 해줍니다．

엔드포인트 보호 정책을 생성하려면：

1. 네비게이션 메뉴에서 보안 > 엔드포인트 보호을 클릭하십시오．

2. 새로 만들기를 클릭하십시오．

   새 엔드포인트 보호 정책 규칙 생성 패널이 열립니다．

3. 이 규칙에 대한 이름, 설명, 소스, 및 프로필을 정의하십시오．

4. (선택 사항) 이벤트를 생성하고 알림 보내기를 구성하십시오

   알림에 대한 더 많은 정보는, 알림 섹션의 구독 그룹, 메일링 리스트 및 경고 통합에 대한 관련 기사를 참조하십시오．

5. 적용을 클릭하십시오．

6. EPP 정책의 각 규칙에 대해 2-5단계를 반복하십시오．

7. EPP 정책을 활성화하고 저장을 클릭하십시오．

   슬라이더 ( )는 EPP가 활성화되면 초록색, 비활성화되면 회색입니다.

때때로 EPP 엔진은 합법적인 비즈니스 프로세스를 악성으로 간주할 수 있습니다． 엔드포인트 보호가 합법적인 비즈니스 프로세스를 방해하지 않도록, 최종 사용자에게 또는 엔드포인트에서 객체를 허용할 수 있습니다. 이것은 스캔되거나 차단되거나 이동되지 않는다는 것을 의미합니다. 주문형 스캔의 경우, 무시 조치로 이벤트가 발생할 수 있습니다. 파일 스캔에 대한 이벤트는 생성되지 않습니다.

다음 객체는 최종 사용자, 엔드포인트, 또는 둘 다에게 실행이 허용될 수 있습니다:

파일 보호 스캔은 파일이 엔드포인트에 다운로드되거나 복사될 때뿐만 아니라 최종 사용자가 파일에 액세스하려 할 때도 실행됩니다． 또한 언제든지 요청 시 엔드포인트에서 파일 보호 스캔을 실행할 수 있습니다． 요청 시 파일 보호 스캔을 실행하면 최종 사용자가 액세스하기 전에 엔드포인트에 존재하는 악성 소프트웨어를 식별할 수 있습니다．

요청 시 스캔은 엔드포인트에 저장된 모든 파일의 SHA256 파일 해시를 알려진 악성 소프트웨어 서명 목록과 비교합니다． 악성 파일이 감지되면 EPP는 정책에 의해 정의된 작업을 따릅니다．

엔드포인트에 EPP 에이전트를 설치한 후, 정책 구성에 따라 악성 활동을 방지하는지 확인하기 위해 솔루션을 테스트할 수 있습니다．

EPP 엔진이 파일이나 프로세스를 스캔할 때, 그것은 알려진 악성 활동의 데이터베이스와 비교됩니다． 이 데이터베이스는 최신 위협에 대해 악성 탐지 엔진을 보호하기 위해 정기적으로 자동으로 업데이트됩니다．

데이터베이스 업데이트의 상태는 EPP 에이전트의 상태 탭에서 볼 수 있습니다．

데이터베이스 업데이트 빈도는 다음과 같습니다：

스캔이 필요하지 않은 알려진 합법적인 파일의 목록을 포함하는 데이터베이스는 매 4시간마다 업데이트됩니다．