백신
포스팅 뷰21
백신(안티바이러스)이란 무엇일까요?
- 정의 — PC·서버에 들어온 파일과 프로그램을 검사해 악성코드를 찾아내고 치료·격리하는 보안 소프트웨어입니다.
- 핵심 — 알려진 악성코드의 '지문'과 대조하는 시그니처 방식이 기본이고, 여기에 휴리스틱·행위 기반·머신러닝 탐지가 더해집니다.
- 한계 — 알려지지 않은 신종과 파일을 남기지 않는 공격에는 약해, EDR 같은 행위 기반 대응이 함께 필요합니다.
백신이란 단말에 침입한 악성코드를 탐지·치료·격리해 감염을 막는 보안 프로그램(안티바이러스)을 말합니다.
백신이란?
백신(Antivirus, 안티바이러스)은 컴퓨터에 들어온 파일·프로그램·메모리를 검사해 바이러스·웜·트로이목마·랜섬웨어 같은 악성코드를 찾아내고, 치료하거나 격리·삭제하는 보안 소프트웨어입니다. 가장 오래되고 가장 널리 쓰이는 보안 수단이며, 지금도 거의 모든 단말 보안의 첫 번째 방어선으로 깔립니다.
이름이 의학 용어인 이유가 있습니다. 영어권에서는 보통 '안티바이러스'라고 부르지만, 국내에서 '백신'이라는 표현이 굳어진 것은 1988년 6월 국내 최초의 바이러스 치료 프로그램 'V1'에서 비롯됐습니다. 당시 의과대학 박사과정에 있던 개발자가 프로그램에 '백신'이라는 이름을 붙였고, 이 명칭이 그대로 업계 용어로 자리 잡았습니다.전자신문
백신은 크게 두 가지 방식으로 일합니다. 파일이 만들어지거나 실행될 때 즉시 검사하는 실시간 감시, 그리고 디스크 전체를 훑는 정기 검사입니다. 실시간 감시가 실제 방어의 대부분을 담당하기 때문에, 이 기능을 끄면 백신을 설치하지 않은 것과 크게 다르지 않습니다.
백신의 탐지 방식 4가지
"백신은 어떻게 악성코드인지 아는가"에 답하는 부분입니다. 현대 백신은 아래 네 가지를 함께 씁니다.
여기서 시그니처는 '이미 발견된' 악성코드만 담고 있다는 점이 중요합니다. 새 악성코드가 세상에 나오고, 보안업체가 그것을 확보해 분석하고, 시그니처를 배포하고, 사용자 PC가 그 업데이트를 받기까지 시간 간격이 존재합니다. 이 틈이 바로 신종 공격이 통하는 구간이고, 그래서 3·4번 방식이 발전해 왔습니다. 이렇게 머신러닝·행위 분석을 앞세운 제품군을 차세대 백신(NGAV)이라고 부릅니다.IBM
백신이 놓치는 것
백신은 필수지만 전부는 아닙니다. 구조적으로 약한 지점이 분명합니다.
- 알려지지 않은 신종 — 시그니처가 배포되기 전의 공격, 특히 취약점을 노린 공격은 그대로 통과할 수 있습니다.
- 파일 없는 공격 — 악성 파일을 디스크에 남기지 않고 메모리에서만 동작하거나, PowerShell·매크로 같은 정상 도구를 악용하는 공격은 '검사할 파일'이 없습니다.
- 침입 이후의 추적 — 백신은 '막았다/못 막았다'를 알려주지만, 공격자가 그다음 무엇을 했고 어디까지 퍼졌는지는 보여주지 않습니다.
- 정상 권한을 가진 유출 — 직원이 정상 파일을 USB·메일·클라우드로 내보내는 행위는 악성코드가 아니므로 백신의 대상이 아닙니다.
앞의 세 가지는 EDR이, 마지막 하나는 정보유출방지(DLP)가 담당하는 영역입니다.
백신 vs EDR vs XDR
세 가지는 대체 관계가 아니라 보는 범위가 점점 넓어지는 순서입니다. 백신이 '파일'을, EDR이 '단말의 행위'를, XDR이 '단말을 넘어선 전체 흐름'을 봅니다.
| 구분 | 백신(안티바이러스) | EDR | XDR |
|---|---|---|---|
| 목적 | 악성코드 차단·치료 | 침입 이후 탐지·추적·대응 | 여러 영역을 묶은 통합 탐지·대응 |
| 보는 대상 | 파일·프로그램 | 단말의 프로세스·행위 전체 | 단말 + 네트워크·메일·클라우드 |
| 강한 위협 | 알려진 악성코드 | 신종·파일리스·내부 확산 | 경로가 여러 단계인 복합 공격 |
| 운영 부담 | 낮음(설치·자동 업데이트 중심) | 경보를 판단·조치할 인력 필요 | 가장 큼(통합 운영 역량 필요) |
| 한 줄 정리 | 들어오는 것을 막는다 | 들어온 것을 찾아낸다 | 어디까지 퍼졌는지 잇는다 |
순서를 정한다면 백신은 예외 없이 먼저입니다. 값이 가장 싸고 운영이 가장 쉬운데 걸러내는 양이 압도적이기 때문입니다. EDR·XDR은 그 위에 얹는 층으로 보는 것이 맞습니다.
백신, 이렇게 쓰세요
개인 이용자
- 공식 경로로만 설치 — "무료 백신"을 검색해 내려받은 프로그램이 오히려 PUP이나 가짜 백신인 경우가 많습니다. 제조사 공식 사이트나 앱스토어를 이용하세요.
- 자동 업데이트를 켜 둘 것 — 시그니처가 오래된 백신은 사실상 절반만 작동하는 상태입니다.
- 실시간 감시를 끄지 말 것 — 게임·프로그램 설치 때 잠시 끄고 그대로 잊는 것이 가장 흔한 감염 경로입니다.
- 한 대에 백신은 하나만 — 두 개 이상 설치하면 서로를 위협으로 오인하거나 충돌해 성능·안정성이 함께 나빠집니다.
- 운영체제·브라우저도 최신으로 — 백신은 취약점 자체를 없애 주지 않습니다. 보안 업데이트가 짝을 이뤄야 합니다.
기업·기관
백신이 '들어오는 악성코드'를 막는다면, 오피스키퍼는 '나가는 정상 파일'을 통제합니다. USB·메일·클라우드·출력 등 반출 경로를 정보유출방지로 막고, 매체 제어와 PC 사용이력 관리로 단말에서 무슨 일이 있었는지 남깁니다. 백신이 다루지 않는 축을 같은 엔드포인트에서 함께 지키는 셈입니다.
자주 묻는 질문
Q. 왜 '안티바이러스'가 아니고 '백신'이라고 부르나요?
A. 국내에서만 쓰는 표현입니다. 1988년 국내 최초의 바이러스 치료 프로그램 'V1'에 개발자가 '백신'이라는 이름을 붙인 것이 그대로 업계 용어로 굳었습니다. 해외 자료를 찾을 때는 antivirus로 검색해야 합니다.
Q. 운영체제에 기본으로 들어 있는 백신만 써도 되나요?
A. 개인 사용 수준에서는 기본 내장 백신도 상당한 수준까지 올라왔고, 아무것도 안 쓰는 것보다는 훨씬 낫습니다. 다만 기업은 중앙 관리·정책 배포·설치 현황 파악·감사 근거가 필요하기 때문에, 관리 콘솔을 갖춘 기업용 제품을 쓰는 것이 일반적입니다.
Q. 백신을 두 개 설치하면 더 안전한가요?
A. 아닙니다. 두 백신이 서로의 실시간 감시 동작을 위협으로 오인하거나 같은 파일을 붙잡고 충돌해, 시스템이 느려지거나 오히려 둘 다 제대로 작동하지 않을 수 있습니다. 한 대에는 하나만 두는 것이 원칙입니다.
Q. 백신을 쓰는데도 랜섬웨어에 걸리는 이유는 뭔가요?
A. 대부분 시그니처에 아직 없는 신종·변종이거나, 파일을 남기지 않고 정상 도구를 악용한 공격이거나, 사용자가 경고를 무시하고 직접 실행한 경우입니다. 그래서 백신만으로 끝내지 않고 행위 기반 탐지(EDR)와 백업을 함께 갖춰야 합니다.
Q. 백신과 EDR 중 무엇을 먼저 도입해야 하나요?
A. 백신이 먼저입니다. 비용·운영 부담이 가장 낮은데 걸러내는 위협의 양이 가장 많습니다. EDR은 백신이 놓치는 신종·파일리스와 침입 이후 추적을 메우는 다음 층이고, 경보를 판단할 인력이나 관제 서비스가 함께 준비돼야 값을 합니다.
Q. 백신이 정상 파일을 악성으로 잡습니다. 어떻게 해야 하나요?
A. 휴리스틱·행위 기반 탐지를 쓰는 만큼 오탐은 불가피합니다. 임의로 검사 예외를 늘리기보다 제조사에 오탐 신고를 해 엔진에서 바로잡는 것이 정석이며, 부득이하게 예외를 등록했다면 사유와 기한을 기록해 방치되지 않게 관리해야 합니다.
들어오는 악성코드는 백신으로, 나가는 정보는 오피스키퍼로 막으세요.
제품소개서 신청하기