NetWitness NDR
네트워크를 지나는 모든 트래픽을 원본 그대로 저장하고, 실시간으로 위협을 탐지하며, 증거까지 확인합니다.
제품 개요
NetWitness는 1997년 미국 국토안보부의 사이버 보안 과제로 출발한 네트워크 위협 탐지 전문 기업입니다. NetWitness NDR은 네트워크 트래픽 원본(Full-Packet)을 전수 저장하면서 동시에 메타데이터를 추출하고, AI와 시나리오 기반으로 위협을 실시간 탐지하는 네트워크 탐지·대응 플랫폼입니다.
공격자는 보안 장비를 우회하거나 로그를 지울 수 있지만, 네트워크를 지나지 않을 수는 없습니다. 방화벽·SIEM·EDR을 대체하지 않고, 이들이 보지 못하는 영역을 채웁니다. 디지털아이텍은 NetWitness SILVER 파트너로서 PoC 설계부터 구축, 탐지 정책 이관, 운영자 교육, 기술지원까지 수행합니다. 공급 범위와 구성은 문의 시 안내해 드립니다.
미러링 트래픽으로 동작해 업무 시스템에 영향을 주지 않습니다
수집 대상
- 인터넷 게이트웨이 구간
- 내부망 · 서버팜 구간
- 에이전트 설치가 어려운 IoT · 설비
- 암호화(TLS) 트래픽 메타데이터
NetWitness NDR
- Decoder — 원본 저장과 파싱
- Concentrator — 메타데이터 인덱싱
- ESA — AI · 시나리오 기반 탐지
- NW Server — 경보 · 조사 · 보고
연계 · 활용
- SIEM · SOAR 연동 (Syslog · REST API)
- 샌드박스 연동
- MITRE ATT&CK 매핑
- PCAP · 파일 추출, 포렌식 증적
로그와 경보만으로는 부족한 이유
로그에 남지 않는 공격
SIEM과 보안 장비는 기록된 로그만 봅니다. 로그에 남지 않거나 공격자가 지운 흔적은 찾을 수 없습니다.
판단이 어려운 경보
경보가 울려도 실제 공격인지, 무엇이 유출됐는지는 원본 데이터가 없으면 확인하는 데 오래 걸립니다.
네트워크에 남는 흔적
침입, 내부 확산, 정보 유출의 모든 단계는 네트워크를 지납니다. 원본을 저장하면 지울 수 없는 증거가 됩니다.
기존 보안 체계를 대체하지 않고 보완합니다
단말 내부의 행위는 EDR, 네트워크는 NDR로 나누어 볼 때 사각지대가 줄어듭니다.
기존 보안 체계의 한계
- 방화벽·IPS — 알려진 공격은 차단하지만 우회 공격은 통과
- SIEM — 로그에 없는 행위는 볼 수 없고, 로그는 삭제될 수 있음
- EDR — 에이전트를 설치할 수 없는 장비(IoT·설비)는 사각지대
NetWitness NDR이 채우는 영역
- 네트워크를 지나는 모든 트래픽 원본을 확인
- 에이전트 없이 미러링 트래픽으로 동작
- 우회·미탐 공격 탐지와 지울 수 없는 증거 확보
- EDR과 함께 쓰면 단말과 네트워크를 함께 커버
주요 탐지 기능
경보가 발생하지 않은 트래픽도 메타데이터로 남아 있어 언제든 조사와 대응을 시작할 수 있습니다.
내부 확산 탐지
감염된 내부 시스템에서 다른 시스템으로 번지는 Lateral Movement와 계정 탈취, 원격 명령 수행을 탐지합니다.
비정상 프로토콜·세션
비표준 프로토콜, 주기적 비콘 통신, 단방향 통신, 대용량 전송 같은 이상 세션을 찾아냅니다.
비정상 DNS·HTTP
DNS 터널링이 의심되는 긴 쿼리, 필수 헤더가 빠진 HTTP 요청, 의심스러운 User-Agent를 탐지합니다.
위장 파일 탐지
확장자 위장, 숨겨진 파일, 다중 확장자, 비정형 실행 파일 등 위장된 파일을 식별합니다.
암호화 트래픽 가시성
TLS 버전과 Cipher Suite, JA3/JA3S/JA4 지문, 인증서 정보로 복호화 없이도 특이점을 파악합니다.
위협 인텔리전스 (FirstWatch)
전담 연구팀이 수집한 공격 그룹 정보와 탐지 규칙이 플랫폼에 자동 반영됩니다.
하나의 플랫폼, 여섯 가지 활용
모든 활용이 같은 수집 데이터 위에서 동작해 용도별로 장비를 늘릴 필요가 없습니다.
실시간 위협 관제
네트워크 전 구간의 이상 행위를 실시간 경보로 확인하고, 연관 경보를 하나의 사건으로 묶어 우선순위대로 대응합니다.
침해사고 조사
최초 침입 지점부터 내부 확산, 유출 내역까지 전 과정을 재구성합니다.
위협 헌팅
탐지 규칙에 없는 위협을 분석가가 메타데이터 검색과 드릴다운으로 능동적으로 찾습니다.
정보 유출 모니터링
생성형 AI 서비스, 웹메일, FTP 등 유출 경로를 상시 확인합니다.
기존 시스템 연계
SIEM, SOAR, 샌드박스와 Syslog·REST API·SDK로 연동해 분석 체계를 고도화합니다.
포렌식 증적 관리
트래픽 원본 보존으로 사고 조사, 감사, 법적 대응에 쓸 수 있는 증거를 확보합니다.
AI 분석가가 경보 분류와 조사를 돕습니다
NetWitness 플랫폼에 통합되는 Agentic AI 기반 가상 분석가입니다. (향후 버전 제공 예정)
경보 분류·분석 자동화
발생한 사건과 경보를 실시간으로 분류하고 조사·분석 작업을 자동으로 수행합니다. 최종 판단과 통제는 분석가가 유지합니다.
효과경보 과부하와 인력 부족 문제를 줄이고, 분석가는 검증된 위협에 집중할 수 있습니다.
온프레미스 AI와 유연한 연동
온프레미스 환경에서 동작하며 REST API, SDK로 플랫폼과 3rd Party 보안 솔루션에 통합됩니다.
효과대응 시간을 단축하면서 데이터를 외부로 내보내지 않는 구성이 가능합니다.
이런 경우에 적합합니다
- 방화벽·SIEM·EDR을 갖췄지만 우회 공격과 내부 확산을 확인할 방법이 부족한 조직
- 침해사고 발생 시 무엇이 유출됐는지 원본 증거로 확인해야 하는 금융·공공·방산 조직
- 에이전트를 설치할 수 없는 장비가 많아 네트워크 단에서 가시성이 필요한 조직
- 생성형 AI 서비스 등 새로운 경로의 정보 유출을 모니터링해야 하는 조직
디지털아이텍이 제공하는 것
PoC 설계
핵심 구간 1곳에 약 1개월간 설치해 실제 트래픽으로 탐지 효과를 검증
설계·구축
수집 구간과 저장 용량 산정, 장비 구성 설계, 설치
탐지 정책 이관
기존 탐지 정책 이관과 환경에 맞춘 시나리오 구성, SIEM 등 연동
교육·기술지원
운영자 교육과 구축 이후 기술지원
도입 진행 과정
- 01현황 진단네트워크 구간과 보안 체계 파악
- 02PoC 검증핵심 구간에서 약 1개월 검증
- 03핵심 구간 도입인터넷 게이트웨이 등 우선 구축
- 04단계적 확대내부망 등으로 수집 구간 확장
- 05교육·기술지원운영자 교육과 기술지원
NetWitness NDR 도입을 검토 중이신가요?
환경을 알려 주시면 담당 엔지니어가 구성과 일정을 안내해 드립니다.