파일 보안은 40년 가까이 한 가지 질문을 반복해왔다 — "이 파일이 악성인가?" 시그니처 기반 AV에서 출발해 샌드박스, 머신러닝 기반 탐지, EDR까지 — 모든 기법이 이 질문에 더 정확한 답을 내기 위한 경쟁이었다. 2026년 현재, 이 질문 자체에 구조적 한계가 드러나고 있다. 제로데이는 원리적으로 답할 수 없고, 회피 기법은 답을 왜곡하며, 공격자는 알려지지 않은 변종을 끝없이 생성한다. CDR(Content Disarm and Reconstruction)은 질문의 패러다임을 바꿨다. "악성 여부를 판단하지 않는 대신 모든 파일의 실행 요소를 구조적으로 제거한다." 판정을 포기함으로써 역설적으로 더 강력한 보장을 제공한다. 이 글은 CDR의 정식 정의, 리버스엔지니어링 분석과의 차이, 기존 보안의 한계, 그리고 공공·금융·엔터프라이즈에서 어떻게 적용되는지를 공식 자료와 공개 출처에 근거해 정리한다.
SecuLetter Ensecure v2 (2025.12)[1]
DISARM Solution Intro (2025.06)[2]
Ensecure v2 — National #1[1]
Certified by KISA[1]
1 탐지 패러다임은 어디서 깨지는가
"이 파일이 악성인가"라는 질문은 단순해 보이지만 실제로는 매우 어려운 문제다. 공격자가 이 질문을 구조적으로 공략할 수 있기 때문이다. 2020년대 들어 보안 업계가 목격한 세 가지 균열을 먼저 정리한다.
균열 1 — 제로데이는 원리적으로 답할 수 없다
시그니처 기반 탐지는 "알려진 악성"을 전제로 한다. 악성 샘플이 확보되어야 시그니처를 추출하고 배포할 수 있다. 문제는 제로데이 — 아직 알려지지 않은 취약점을 악용한 공격이다. 시그니처 DB에 없는 공격은 원리적으로 탐지 불가능하다. IBM X-Force Threat Intelligence Index[3]는 정보 탈취형 악성코드 이메일이 전년 대비 84% 증가했다고 보고한다. 변종이 시그니처 DB 업데이트보다 빠르게 생산되는 환경이 정착됐다.
균열 2 — 샌드박스는 실행 전제에 의존한다
샌드박스는 파일을 가상 환경에서 실제 실행해 행위를 관찰한다. 알려지지 않은 위협도 "행위 기반"으로 포착할 수 있다는 것이 장점이다. 그러나 공격자는 이 전제를 정확히 공략한다. 가상환경 감지 · 시간차 실행 · 사용자 상호작용 조건 · 도메인 조건 · 파일리스 기법 등 샌드박스 회피 기법이 공개되어 있으며 MITRE ATT&CK의 T1497 범주로 분류된다[4]. 가상환경에서만 양성 행위를 수행하고 실제 사용자 환경에서는 악성 행위를 실행하는 방식이다.
균열 3 — EDR·EPP는 엔드포인트 실행 중심이다
EDR(Endpoint Detection and Response)과 EPP(Endpoint Protection Platform)는 엔드포인트에서 실행되는 프로세스 중심이다. 프로세스가 메모리에 올라온 이후의 이상 행동을 포착하지만, 비실행형 문서 파일이 반입되는 시점은 커버 대상이 아니다. HWP · PDF · DOCX 같은 비실행형 파일의 내부 구조 — 매크로 · OLE · DDE · 임베디드 스크립트 — 는 EDR의 분석 영역 밖이다.
- 시그니처 기반 — 알려진 위협만 잡는다. 제로데이는 원리적으로 0%.
- 샌드박스 — 실행 전제에 의존. 회피 기법 공개로 정확도 하락.
- EDR·EPP — 엔드포인트 프로세스 중심. 비실행형 파일 반입 시점은 커버 밖.
세 균열의 공통점은 "알려진 것을 안다"는 전제다. 공격자가 이 전제를 뒤엎는 한 탐지 패러다임은 구조적으로 약점을 가진다. CDR은 이 전제 자체를 건너뛰는 접근을 제시한다.
2 CDR의 정식 정의 — Gartner가 규정한 보안 카테고리
CDR(Content Disarm and Reconstruction)은 Gartner가 정식 카테고리로 분류한 파일 보안 기법이다. Gartner는 Market Guide for Content Disarm and Reconstruction을 정기 발간하며, 2025년 기준 전 세계 40여 개의 CDR 벤더를 인정하고 있다[1]. Gartner의 정의를 요약하면 이렇다 — "파일을 수신한 뒤, 실행 가능한 콘텐츠(매크로, 스크립트, 임베디드 객체 등)를 제거하고 원본의 구조와 가독성을 보존한 깨끗한 버전으로 재조립하여 전달하는 보안 기법."
이 정의에서 가장 놓치기 쉬운 지점은 "판정한다는 말이 없다"는 것이다. 전통적 보안이 "이 파일이 악성인가"를 푸는 반면, CDR은 그 질문 자체를 건너뛴다. 모든 파일을 잠재적 위험으로 가정하고 구조 수준에서 위험 요소를 제거한다. 결과적으로 알려진 위협이든 알려지지 않은 위협이든 같은 원리로 차단된다.
왜 "판정 없음"이 가능한가 — 구조적 분리 가능성
CDR이 유효한 이유는 문서 파일의 구조적 특성 때문이다. 파일 내부에 콘텐츠(읽기용 정보)와 실행 요소(매크로 · 스크립트 · 객체)가 분리되어 있다. 실행 요소를 제거해도 콘텐츠는 그대로 남는다. 전자신문의 2022년 보안 칼럼은 이를 이렇게 설명한다 — "CDR은 이메일, 망연계, 웹 등을 통해 유입되는 모든 문서의 액티브 콘텐츠를 사전에 제거하고 파일을 재조합해서 안전한 파일로 만드는 기술"[5]. 핵심은 "모든 문서 · 사전 제거 · 재조합"이라는 세 요소다.
CDR은 "악성인지 판단하는" 기술이 아니라 "악성이든 아니든 위험 요소를 원천 제거하는" 기술이다. 탐지(Detection)가 아니라 처리(Disarm)다. 판단하지 않음으로써 알려지지 않은 위협에도 강하다.
3 리버스엔지니어링 분석 — 다른 층위의 기법
CDR과 자주 묶여 언급되는 것이 리버스엔지니어링 기반 파일 분석이다. 두 기법은 이름이 비슷해 혼동되지만 역할이 다르다. 이 구분을 놓치면 도입 검토 시 비교 기준이 틀어진다.
리버스엔지니어링은 파일을 실행하지 않고 바이너리 수준에서 구조를 분해·분석한다. 목적은 무해화가 아니라 탐지와 이해다. 샌드박스가 "파일을 가상 환경에서 실행해 행위를 관찰"하는 동적 분석이라면, 리버스엔지니어링은 정적 분석이다. MITRE ATT&CK에서는 이를 "Static File Analysis" 범주로 분류하며, 파일 포맷 파서와 디컴파일러를 주요 구성 요소로 본다.
시큐레터의 MARS 엔진
시큐레터의 MARS(Malware Analysis Reverse-engineering System)는 리버스엔지니어링 기반 분석 엔진이다. 파일을 실행하지 않고 어셈블리 수준에서 분해해 명령어 시퀀스를 검증한다. 샌드박스가 "실행해서 관찰한다"면 MARS는 "해부해서 이해한다". 실행 기반 회피 기법이 구조적으로 무효화되는 것이 핵심 차이다.
| 구분 | 리버스엔지니어링 분석 (MARS) | CDR (SLCDR) |
|---|---|---|
| 목적 | 파일 구조 이해 → 위협 탐지 | 위험 요소 제거 → 안전한 파일 재조립 |
| 출력물 | 분석 결과 (탐지 여부, 위협 정보, IoC) | 안전한 파일 + 감사 로그 |
| 실행 여부 | 실행하지 않음 (정적) | 실행하지 않음 (구조 조작) |
| 대안 기법 | 시그니처 · 샌드박스 (동적) | (없음 — 무해화의 대안은 차단뿐) |
| 판정 여부 | 한다 (탐지 기반) | 안 한다 (처리 기반) |
| 제로데이 대응 | 구조 이상 징후 포착 가능 | 구조 기반 제거로 위협 종류 무관 |
| 감사 근거 | 상세 분석 로그 | 처리 이력 · 전후 해시 |
| N2SF 연관 영역 | 악성코드 대응 | 반입·반출 통제 |
두 기법은 함께 사용될 수 있다. 리버스엔지니어링으로 파일을 정밀 분석한 뒤, CDR로 재조립하여 전달하면 "분석 + 무해화"의 조합이 완성된다. 시큐레터는 두 기법을 모두 보유한다. MARS 엔진이 리버스엔지니어링 기반 파일 분석을, SLCDR이 무해화를 담당한다. 공공기관·금융권 등 감사 근거 축적이 필수인 환경에서 이 조합이 표준으로 운영된다.
4 왜 CDR이 필요해졌는가 — 위협 환경의 구조적 변화
CDR이 부상한 배경은 단순히 "새 기술이 나왔다"가 아니다. 위협 환경의 구조적 변화에 기존 보안이 대응하지 못한 결과다. 세 가지 변화가 결정적이었다.
변화 1 — 공격 벡터의 이동: 이메일 첨부·문서 중심
악성코드 1차 전파 경로는 이메일이 약 75%를 차지하며 첨부된 문서 파일이 주요 벡터다[1]. 공격자는 엔드포인트 실행 파일보다 "신뢰받는 문서"를 공격 경로로 선호한다. 사용자가 HWP · PDF · DOCX를 의심 없이 여는 환경은 공격자에게 최적의 침투 조건이다. EDR은 엔드포인트 실행 단계 방어에 강하지만, 문서 파일 반입 시점의 예방은 구조적으로 커버하지 않는다.
변화 2 — 제로데이와 변종의 급증
IBM X-Force 보고서에 따르면 정보 탈취형 악성코드 이메일이 전년 대비 84% 증가했고[3], 변종 생산 속도가 시그니처 업데이트를 앞지르는 환경이 정착됐다. Anthropic의 위협 인텔리전스 리포트는 AI 기반 공격 자동화가 변종 생성 속도를 더욱 가속하고 있음을 시사한다[6]. 탐지 기반 방어의 "알려진 것을 안다" 전제가 점점 더 무너진다.
변화 3 — 제로 트러스트·망분리 완화의 압력
Microsoft · NIST · TTA 등이 공동으로 추진하는 제로 트러스트 아키텍처는 "신뢰할 수 없는 외부 소프트웨어나 데이터, 파일 반입을 통제"하는 것을 핵심 원칙으로 본다[7][8]. 2026년 5월 시행되는 한국의 N2SF(국가망보안체계)도 같은 방향이다 — 물리적 망분리 대신 정보 등급에 따른 조건부 이동과 콘텐츠 수준 방어가 표준이 된다[9]. 이 흐름에서 "모든 파일을 불신하고 콘텐츠 수준에서 안전화"하는 CDR의 접근이 제로 트러스트 구현의 핵심 구성 요소로 자리잡았다.
보안뉴스 2025 제로트러스트 보안 솔루션 리포트는 차세대 보안 솔루션 평가에서 CDR 기능이 "웹 브라우징 중 유입되는 파일이나 콘텐츠의 악성코드 유입을 선제적으로 차단"하는 핵심 기능으로 주목받고 있다고 분석한다[7]. 탐지 중심에서 처리 중심으로의 패러다임 전환이 시장에서 확인되고 있다.
5 CDR의 동작 원리 — 3단계 파이프라인
CDR은 정확히 세 단계로 작동한다. 이 단계들은 Gartner Market Guide에서 규정한 표준 구조이며, 시큐레터 SLCDR도 동일하게 구현한다. 각 단계는 구조적 원리가 명확해서 알려지지 않은 위협에도 동일한 원리로 작동한다.
MARS 엔진이 리버스엔지니어링 기반 분석을 담당하고, SLCDR이 무해화를 담당한다. 분석만 필요하면 MARS 기반 탐지·차단을, 무해화만 필요하면 SLCDR을, 감사 근거와 실시간 방어가 모두 필요하면 조합해 사용한다. 공공기관 · 금융권 · N2SF 대응 환경에서는 두 기법의 조합이 표준이다.
6 적용 맥락 — 공공·금융·엔터프라이즈
CDR은 이론적 개념에 그치지 않고 한국 주요 산업에서 실제 운영되고 있다. 시큐레터의 공식 레퍼런스 기준으로 각 부문별 적용 상황을 정리한다[1].
공공 부문 — N2SF와 함께 확장되는 영역
국민건강보험 · 국민연금공단 · 우정정보센터 등 주요 공공기관이 콘텐츠 보안을 운영하고 있다. 2026년 5월 시행되는 N2SF 체계는 파일 반입·반출 통제를 명시적 통제 영역으로 포함하며, 이 영역은 CDR 없이 충족이 구조적으로 어렵다. 민감 등급 문서의 조건부 반입 시 실행 가능 콘텐츠 제거가 요건으로 들어가는데, 이것이 바로 CDR의 기본 동작이기 때문이다. KISA가 2026년 4월 발행한 N2SF 실증 사례집은 공공기관 실증 사례 구조를 제시한다[10].
금융 부문 — 자율보안과 감사 대응
한국투자증권 · KB증권 · DB손해보험 등이 콘텐츠 보안을 운영 중이다[1]. 금융권의 요구사항은 공공과 다르다 — 자율보안과 감사 대응이 중심이다. 전자금융감독규정이 요구하는 보안 통제에서 CDR은 비실행형 파일의 악성코드 차단 근거로 활용된다. 샌드박스 대비 처리 속도가 빨라(평균 34ms 대 샌드박스 수십 초) 대량 처리 환경에 적합하며, 감사 증적 자동화가 가능해 규제 대응 비용을 낮춘다.
엔터프라이즈 부문 — 스피어피싱 1차 방어
삼성전자판매 · HD현대오일뱅크 · LIG넥스원 등 대기업이 콘텐츠 보안을 운영한다[1]. 엔터프라이즈의 관심사는 스피어피싱 1차 방어와 공급망 파일 검증이다. CEO 사칭 · 청구서 위장 · 계약서 사칭 등 사회공학 공격이 일상화된 환경에서, CDR은 "신뢰된 송신자"라도 파일 내용을 무해화한다는 원칙을 유지한다. 송신자의 평판과 무관하게 파일 레벨 방어가 가능하다.
공공 · 금융 · 엔터프라이즈 모두에서 공통적으로 관찰되는 패턴은 "이메일 + 웹 + 망간 파일 전송" 3대 게이트웨이에 CDR을 배치하는 구조다. 각 게이트웨이의 배포 방식은 다르지만 공통 원리는 "파일이 도메인을 이동할 때 반드시 콘텐츠 수준 안전화를 거친다"는 것이다.
7 도입 우선순위 체크리스트
CDR 도입은 한 번에 완성되지 않는다. 대부분 조직은 메일 게이트웨이 → 웹 업로드 → 망간 전송 순으로 단계 확장한다. 아래는 공공기관 N2SF 대응과 금융권 자율보안 요건을 충족하는 표준 우선순위다.
| 우선순위 | 적용 지점 | 핵심 액션 |
|---|---|---|
| 즉시 | 이메일 첨부파일 | SLE + DISARM으로 수신 단계 무해화 — 문서 첨부 기반 스피어피싱 1차 차단 |
| 즉시 | 웹 파일 업로드 | SLCDR을 WAF/웹게이트웨이 후단에 배치 |
| 단기 | 망간 파일 전송 (공공) | N2SF 기밀/민감 등급 파일 반입 통제에 SLF 연동 |
| 단기 | 내부 협업 시스템 | Slack · Teams · SharePoint 파일 공유 지점 무해화 |
| 중기 | 공급망 파일 검증 | 파트너사·외주사 수신 파일 MARS 분석 + CDR 조합 — 공급망 공격 1차 차단 |
| 중기 | 클라우드 SaaS 연동 | M365 · Google Workspace 파일 공유 시점 무해화 (API 연동) |
| 지속 | 감사 근거 축적 | ConTI로 위협 인텔리전스 매핑 · ISMS-P · N2SF 보고서 자동화 |
8 CDR 벤더 선정 체크리스트
CDR은 벤더별 구현 품질 차이가 크다. 가독성 보존 · 포맷 커버리지 · 처리 속도 · 한국 특화 대응에서 벤더 간 격차가 현실적 도입 품질을 좌우한다.
- Gartner Market Guide에 등재되어 있는가글로벌 공식 벤더 인정 여부 — 시큐레터는 40여 개 글로벌 벤더 중 하나로 인정[1]
- KISA · TTA GS 등 국내 공식 인증 보유KISA 100% 악성코드 탐지율 · TTA 12.027초 응답 시간 등 공식 검증 수치
- 지원 파일 포맷 수와 한국 특화 포맷 포함 여부HWP · HWPX · 한컴오피스 포맷의 OLE 스트림 · 임베디드 객체까지 지원
- 파일당 처리 시간이 대량 환경에 적합한가게이트웨이 · 메일 · 망간 등 실시간 환경 처리 성능 — 34ms 수준이 기준
- 가독성 보존 품질이 검증되었는가텍스트 · 표 · 이미지 · 서식 · 하이퍼링크 · 메타데이터 보존 수준
- 정책 기반 예외 처리를 지원하는가서명된 매크로 유지 · 화이트리스트 송신자 · 승인 프로세스 등 세밀한 정책
- 리버스엔지니어링 분석 엔진과 연동되는가MARS급 분석 엔진이 함께 있으면 감사 증적 · 위협 인텔 수집 동시 가능
- 감사 로그가 SIEM과 표준 포맷으로 연동되는가Syslog · CEF · JSON 등 표준 포맷 지원
- 공공·금융 레퍼런스가 공개되어 있는가국민건강보험 · 한국투자증권 · LIG넥스원 등 주요 조직 도입 사례
- 제로 트러스트 아키텍처에 통합 가능한가N2SF · CDS 게이트웨이 · Microsoft Zero Trust 등과의 연동 설계
9 자주 묻는 질문 (FAQ)
✓ 결론 — "판정하지 않는다"는 것의 의미
판정 기반 보안은 "알려진 것을 아는" 게임이다. 알려지지 않은 것은 원리적으로 놓친다. 제로데이 · 회피 기법 · AI 자동화 기반 변종이 이 게임의 한계를 점점 더 분명히 드러내고 있다.
CDR은 게임의 규칙을 바꾼다 — "모든 것을 위험으로 가정"해서 판정의 필요성을 없앤다. 이 접근이 유효한 이유는 문서 파일 위협의 특성 때문이다. 콘텐츠와 실행 요소가 구조적으로 분리 가능하다는 점. CDR은 이 구조적 분리를 활용한다. 그래서 제로데이든 APT든 랜섬웨어든 — 같은 원리로 작동한다.
2026년 현재, CDR은 선택지가 아니라 제로 트러스트 · N2SF · 금융 자율보안 등의 공통 구성 요소로 자리잡았다. Gartner가 정식 카테고리로 분류한 지 10년, 국내 공공·금융·엔터프라이즈의 주요 조직이 운영 중이다. 탐지 중심에서 처리 중심으로 — 이 패러다임 전환이 앞으로 10년의 파일 보안을 정의할 것이다.
귀사 환경에서 CDR이 어떻게 작동하는지 확인해보세요
실제 업무 파일로 SLCDR + MARS 엔진을 PoC로 검증합니다. 무해화 품질 · 처리 시간 · 기존 인프라 연동 · 감사 대응 보고서까지 엔지니어가 동행해 지표 측정을 함께합니다.
PoC 신청하기 → 공공 · 금융 · 엔터프라이즈 맞춤 설계 · 공공 레퍼런스 열람- SecuLetter Inc., Ensecure v2 — SecuLetter at a Glance, 2025.12.17 (75% 이메일 공격 벡터 · 309 file formats · KISA 100% detection · Gartner 40 global vendors · TTA 12.027s response time 수치 출처).
- SecuLetter Inc., DISARM Solution Introduction KO, 2025.06.13 (평균 무해화 소요시간 00:00.034 출처).
- IBM Security, X-Force Threat Intelligence Index 2026 — ibm.com/reports/threat-intelligence (정보 탈취형 악성코드 이메일 84% 증가 근거).
- MITRE ATT&CK, T1497 Virtualization/Sandbox Evasion — attack.mitre.org/techniques/T1497.
- 전자신문, [보안칼럼] PC가 랜섬웨어에 감염된다면, 2022.07.05 — etnews.com (CDR 정의 인용).
- Anthropic, Threat Intelligence Report, 2025.08 (AI 기반 공격 자동화 동향).
- 보안뉴스, [2025 제로트러스트 보안 솔루션 리포트] 차세대 보안 '철학'에서 CDR 기능, 2025.11.03 — boannews.com.
- TTA 정보통신기술협회, 제로 트러스트 국제 표준화 동향과 전망, 2024.09.30 — tta.or.kr.
- 연합뉴스 · 보안뉴스, 국정원, 망분리 폐지…N2SF 보안체계 5월 시행 · 보안 예산 15% 의무화, 2026.04.17 — yna.co.kr.
- KISA 한국인터넷진흥원, 국가 망 보안체계(N2SF) 실증 사례집, 2026.04 — kisa.or.kr.
- MITRE ATT&CK, T1566.001 Phishing: Spearphishing Attachment · T1137 Office Application Startup — attack.mitre.org.
- 국가사이버안보센터(NCSC), 국가 망 보안체계(N2SF) 보안 가이드라인, 2025 — ncsc.go.kr.
CDR 카테고리 교육 · L1 실무 검토가 필요하신가요?
시큐레터 보안연구팀이 현재 환경을 함께 검토합니다. 기밀 유지 보장, 비용 없음.