CDR 샌드박스 비교 —
판정하는 기술과 무해화하는 기술의 배치 설계

CDR 샌드박스 비교는 흔히 "어느 쪽이 더 많이 잡는가"에서 출발하지만, 두 기술은 같은 문제를 다른 속도로 푸는 경쟁 관계가 아니다. 샌드박스는 파일을 실행해 보고 판정을 내리고, CDR은 실행될 수 있는 요소를 걷어낸 새 파일을 만든다. 산출물이 판정과 파일로 다르기 때문에 실패하는 방식도, 운영 비용이 생기는 지점도 다르다. 이 글은 두 방식의 원리와 실패 방식을 MITRE ATT&CK 분류와 공식 자료를 근거로 나란히 놓고, 함께 배치할 때의 순서와 PoC·BMT에서 공정하게 비교하는 기준까지 정리한다.

보안 제품 비교표는 대개 같은 열에 같은 지표를 놓는다. 탐지율, 처리 속도, 지원 포맷. 그런데 샌드박스와 CDR을 이 틀에 그대로 넣으면 비교가 어긋난다. 두 기술이 답하는 질문 자체가 다르기 때문이다.

샌드박스가 답하는 질문은 "이 파일을 열면 나쁜 일이 일어나는가"다. 파일을 통제된 환경에서 실제로 열어 보고, 그 결과를 근거로 악성 또는 정상 판정을 내린다. 산출물은 판정과 그 판정을 뒷받침하는 행위 기록이다. 판정이 정상이면 원본 파일이 그대로 사용자에게 전달된다.

CDR이 답하는 질문은 "이 파일에서 실행될 수 있는 요소를 남겨 둘 필요가 있는가"다. 파일이 악성인지 먼저 결론 내리지 않고, 정책상 허용하지 않는 능동 요소를 걷어낸 뒤 파일을 다시 만든다. 산출물은 판정이 아니라 새 파일이다. 사용자는 원본이 아니라 재생성된 파일을 받는다.

첨부파일을 통한 초기 침투는 ATT&CK에서 스피어피싱 첨부파일(T1566.001)로 분류되고^[3], 실제 피해는 사용자가 그 파일을 열어 실행 단계로 넘어갈 때(T1204.002) 시작된다^[4]. 샌드박스는 이 '열림' 이후에 일어날 일을 미리 보여 주려 하고, CDR은 열림이 일어나더라도 실행될 것이 남지 않도록 파일을 바꾼다. 같은 공격 단계를 겨냥하지만 개입 방식이 정반대다.

이 차이 때문에 CDR 샌드박스 비교를 '탐지율' 한 줄로 끝내면 결론이 왜곡된다. CDR은 무해화한 파일에 대해 악성 여부를 판단하지 않으므로, CDR 단독으로는 탐지율이라는 지표가 성립하지 않는다. 반대로 샌드박스에 '무해화 후 문서 품질'을 묻는 것도 의미가 없다. 비교가 성립하려면 지표를 공통의 결과로 옮겨야 한다.

샌드박스는 파일을 격리된 분석 환경—가상 머신, 에뮬레이터 또는 그 조합—에서 열고, 그 과정에서 일어나는 변화를 기록한다. 관찰 대상은 대체로 다음과 같다. 문서 뷰어가 예상 밖의 자식 프로세스를 띄우는가, 시스템 폴더나 시작 프로그램 경로에 파일을 쓰는가, 자동 실행과 관련된 레지스트리 값을 바꾸는가, 외부 주소로 연결을 시도하는가, 다른 프로세스의 메모리에 코드를 주입하는가. 분석 엔진은 이런 관찰을 규칙과 대조하거나 점수화해 판정을 내린다.

이 방식의 첫 번째 강점은 시그니처가 없는 파일에도 판단 근거를 만든다는 점이다. 새로 만들어진 악성 문서라도 열렸을 때 2단계 페이로드를 내려받고 지속성을 설치한다면, 그 행위가 곧 근거가 된다. 정적 패턴 방식도 휴리스틱과 일반화된 규칙으로 변종군을 상당 부분 포괄하지만, 행위 관찰은 공격자가 목적을 이루려면 결국 해야 하는 일을 직접 본다는 점에서 다른 축의 근거를 제공한다.

두 번째 강점은 증거다. 샌드박스 보고서에는 접속을 시도한 도메인과 IP, 생성된 파일의 해시, 실행된 명령줄, 변경된 시스템 설정 같은 침해 지표(IOC)가 남는다. 이 정보는 같은 캠페인의 다른 메일을 찾아내거나, 네트워크 차단 목록을 갱신하거나, 사고 대응 보고서를 쓰는 데 바로 쓰인다. 공격의 '무엇'뿐 아니라 '어떻게'를 재구성할 수 있다는 점은 무해화만으로는 얻기 어려운 가치다.

세 번째로, 샌드박스는 문서에 한정되지 않는다. 실행 파일, 스크립트, 설치 패키지처럼 무해화라는 개념이 성립하기 어려운 파일에도 같은 관찰 틀을 적용할 수 있다. 파일 유입 전반을 다루는 구조에서 샌드박스나 행위 기반 분석 엔진이 '판정 계층'으로 자리 잡는 이유가 여기에 있다.

정리하면 샌드박스는 위의 세 질문 가운데 ③(추적 근거)에 가장 강하고, ①(실행 요소 유무)에는 '관찰이 성공했을 때' 강하다. 이 조건부라는 점이 다음 장의 주제다.

샌드박스의 판정은 관찰된 것에 근거한다. 그래서 공격 코드가 분석 환경에서 동작하지 않으면 관찰할 것도 없다. 공격자도 이 점을 알고 있고, MITRE ATT&CK은 이를 가상화·샌드박스 회피(T1497) 기법으로 분류한다^[5]. 하위 기법으로 시스템 특성 확인, 사용자 활동 기반 확인(T1497.002)^[6], 시간 기반 회피(T1497.003)^[7]가 정리되어 있다.

여기서는 비교 관점에서 회피가 어떤 결과로 이어지는지만 본다. 회피가 성공하면 샌드박스는 '악성'도 아니고 '판단 불가'도 아닌, 정상에 가까운 결과를 낼 수 있다. 아래 표는 조건별로 공격 측이 무엇을 하고, 관찰 결과가 어떻게 되며, 샌드박스 측이 어떻게 보완하는지를 정리한 것이다.

샌드박스 쪽에도 대응 수단이 있다는 점은 분명히 해 둘 필요가 있다. 가상화 흔적을 조회하는 호출이나 비정상적으로 긴 대기 같은 회피 시도 자체를 의심 신호로 점수에 반영하는 방식이 쓰이고, 분석 이미지를 실제 업무 단말처럼 꾸미는 기법도 꾸준히 발전한다. 회피를 시도하는 표본은 오히려 그 시도 때문에 걸리기도 한다.

다만 이 경쟁은 구조적으로 끝나지 않는다. 관찰 기반 판정은 공격자가 분석 환경과 실제 환경을 구별할 수 있는 한 조건부로 남는다. 그리고 관찰 창을 늘리면 회피에는 강해지지만 메일과 파일 전달이 늦어진다. 정확도와 지연을 같은 손잡이로 조절해야 한다는 것이 샌드박스 운영의 본질적인 상충이다.

CDR(Content Disarm and Reconstruction)은 파일을 실행하지 않는다. 일반적으로 CDR 방식은 파일을 포맷 사양에 따라 구성 요소 단위로 해석하고, 그중 문서를 보여 주는 데 필요하지 않은 능동 요소—매크로, 스크립트, 임베디드 개체, 외부 자원 참조, 자동 실행 동작 등—를 식별해 정책에 따라 제거하거나 무력한 형태로 바꾼 뒤, 사양에 맞는 새 파일로 다시 쓴다. 원본에서 나쁜 것을 골라 빼는 데 그치지 않고, 필요한 내용을 새 그릇에 옮겨 담는 방식에 가깝다.

이 방식은 실행 조건의 영향을 받지 않는다. 시간 지연이든 사용자 클릭 조건이든, 그 조건을 검사하는 코드가 담긴 능동 요소가 재생성된 파일에 남지 않으면 조건은 의미를 잃는다. 문서 뷰어의 취약점을 노리는 익스플로잇(T1203)^[8]도 비슷하게 볼 수 있다. 재생성은 사양에 맞는 구조를 새로 쓰는 과정이므로, 원본에 있던 비정상 길이 필드나 손상된 테이블 같은 기형 구조가 그대로 옮겨질 여지가 줄어든다. 이 특성 때문에 CDR은 아직 공개되지 않은 취약점을 노리는 문서에도 판정 없이 개입할 수 있다.

그렇다고 CDR을 판정의 대체재로만 볼 필요는 없다. 탐지는 어떤 방식이든 100%에 이를 수 없고, CDR은 탐지가 놓친 파일에도 같은 처리를 적용한다는 점에서 탐지를 보완한다. 시큐레터가 탐지와 무해화를 함께 쓰는 구조를 택한 것도 이 때문이며, 제품별 구성은 13장에서 정리한다. 처리 속도 측면에서 공식 자료는 CDR 평균 무해화 소요시간을 파일당 34ms로 제시한다^[2]. 무해화가 밀리초 단위로 끝난다는 것은, 판정을 기다리지 않고 재생성본을 먼저 전달하는 배치(10장의 패턴 B)가 지연 측면에서 현실적인 선택지라는 뜻이기도 하다.

앞의 세 질문에 비추면 CDR은 ①(실행 요소 유무)에 대해 판정 성공 여부와 무관하게 개입한다는 점이 가장 큰 특징이다. ②(업무 사용성)는 무해화 품질과 정책 설계에 달려 있고, ③(추적 근거)은 CDR이 주로 만드는 산출물이 아니다. 이 비대칭이 다음 장의 주제다.

두 방식을 비교할 때 가장 자주 빠지는 부분은 CDR의 적용 경계다. CDR이 잘하는 일을 정확히 쓰려면 하지 않는 일도 같은 무게로 써야 한다.

다섯 가지 가운데 ③과 ④는 CDR을 우회하려는 공격자가 의도적으로 노릴 수 있는 지점이다. 그래서 CDR을 도입할 때는 "무해화할 수 있는 파일"과 "무해화할 수 없는 파일"을 나누고, 후자에 대한 기본 동작—차단, 격리 후 분석, 승인 후 전달—을 반드시 정해 두어야 한다. 이 기본값이 비어 있으면 CDR은 지원 포맷에서만 작동하는 부분 통제에 머문다.

⑤는 운영 부담의 문제다. 기능 손실을 이유로 예외가 늘어나면, 예외 경로가 사실상 무검사 통로가 된다. 이 문제는 7장의 '시끄러운 실패'와 11장의 원본 해제 절차에서 다시 다룬다.

앞의 원리를 항목별로 나란히 놓으면 다음과 같다. 이 표는 우열표가 아니라 역할표다. 각 행에서 어느 쪽이 '이긴다'기보다, 두 방식이 같은 항목에 서로 다른 종류의 답을 내놓는다는 점을 보여 준다. 평가를 설계할 때 이 표의 행을 평가 항목으로 옮겨 쓸 수 있다.

표를 세로로 읽으면 각 방식의 성격이 드러난다. 샌드박스 열은 '원본을 지키면서 판단한다'로, CDR 열은 '판단하지 않고 원본을 바꾼다'로 요약된다. 둘 다 합리적인 설계다. 문제는 한쪽의 장점을 다른 쪽에 요구할 때 생긴다. 샌드박스에 지연 없는 처리를, CDR에 캠페인 추적 보고서를 기대하면 어느 쪽도 그 기대를 충족하지 못한다.

모든 보안 통제는 틀린다. 그래서 도입 판단에서 중요한 것은 정답률보다 틀렸을 때 무슨 일이 일어나는가다. 두 방식을 견줄 때 이 관점은 특히 중요하다. 두 방식은 실패의 빈도보다 실패의 '모양'이 다르기 때문이다.

이 비대칭에서 한 가지 운영상의 함정이 생긴다. CDR의 시끄러운 실패가 쌓이면 사용자는 원본을 요청하고, 운영자는 요청을 빨리 처리하려 예외를 넓힌다. 공격자 입장에서는 이 흐름이 새로운 사회공학의 무대가 된다. "보안 처리 때문에 내용이 보이지 않으니 원본을 요청하라"는 문구를 문서에 넣는 식이다. CDR의 실패 비용을 줄이는 일은 결국 원본 해제 절차를 얼마나 엄격하고 빠르게 만들 수 있느냐의 문제로 이어진다.

샌드박스 쪽의 함정은 반대 방향이다. 오탐을 줄이려 판정 임계값을 느슨하게 하거나, 지연 불만을 줄이려 관찰 창을 짧게 하면, 조용한 실패의 가능성이 커진다. 이 조정은 대개 사용자 불만이라는 '보이는 비용'을 줄이기 위해 '보이지 않는 위험'을 늘리는 방향으로 일어난다.

원리와 실패 방식을 위협 유형에 대입하면 역할 분담이 구체적으로 보인다. 아래 매트릭스의 등급은 각 방식이 그 유형에서 기대할 수 있는 개입 수준을 나타내며, 제품별 성능 순위가 아니다. 실제 결과는 정책, 지원 범위, 분석 환경 구성에 따라 달라진다.

원격 템플릿 참조(T1221)는 두 방식의 차이가 잘 드러나는 사례다^[10]. 문서 자체에는 악성 코드가 없고, 열릴 때 외부 서버에서 템플릿을 가져오면서 공격이 시작된다. 샌드박스는 외부 서버가 분석 시점에 응답해야 행위를 관찰할 수 있다. CDR은 외부 참조를 정책에 따라 처리하므로 서버 응답 여부와 무관하게 개입한다. 반대로 실행 파일 첨부는 CDR이 할 수 있는 일이 거의 없고, 판정 계층과 확장자·유형 기반 차단이 맡는다.

매크로 문서에 대해서는 단말 쪽 통제도 함께 고려할 수 있다. Office는 인터넷에서 받은 것으로 표시된 파일(Mark of the Web)의 VBA 매크로를 기본적으로 차단하도록 바뀌었다^[11]. 다만 이 동작은 Office 버전과 채널, 파일에 출처 표시가 붙었는지, 신뢰할 수 있는 위치·게시자 정책이 어떻게 설정되었는지에 따라 달라진다. 압축 해제 도구나 전달 경로에 따라 출처 표시가 이어지지 않는 경우도 있다. 단말 통제가 있다고 해서 게이트웨이 단계의 CDR이나 분석이 불필요해지는 것은 아니며, 서로 다른 지점의 통제로 보는 것이 맞다.

두 방식을 비교할 때 처리 시간은 사용자 체감과 직결되므로 자주 인용된다. 그러나 처리 시간 수치는 무엇을 측정했는지에 따라 의미가 완전히 달라진다. 시큐레터 공식 자료에 나오는 두 숫자를 예로 들면 차이가 분명하다.

첫째, 34ms는 DISARM 소개 자료가 제시한 파일당 CDR 평균 무해화 소요시간이다^[2]. 무해화 처리 한 건에 걸리는 평균 시간을 나타낸다. 둘째, 12초(TTA GS 실측 12.027초)는 Ensecure v2 자료가 제시한 분석 시간이다^[1]. 이쪽은 파일을 다시 만드는 무해화가 아니라 악성 여부를 분석하는 처리에 걸리는 시간이다. 두 숫자는 서로 다른 처리를 측정한 값이므로 더하거나 직접 비교할 대상이 아니다. 조직의 처리 경로에 대입하려면 각 수치가 어떤 대상과 조건에서 측정되었는지를 아래 항목처럼 함께 확인해야 한다.

평균값은 대표성을 보여 주지만, 사용자 불만은 대개 꼬리에서 나온다. 대용량 프레젠테이션, 내장 개체가 많은 스프레드시트, 여러 겹으로 압축된 첨부는 평균보다 오래 걸릴 수 있다. 샌드박스의 경우 관찰 창이 처리 시간의 하한을 정하므로, 파일이 단순해도 일정 시간 이하로 줄이기 어렵다. 반면 CDR은 파일 구조에 비례해 처리 시간이 늘어나는 경향이 있다. 같은 '빠르다'라도 지연이 발생하는 구조가 다르다는 뜻이다.

그래서 PoC·BMT에서는 공급자가 제시한 대표값을 확인하는 데서 멈추지 말고, 조직의 실제 유입 파일로 처리 시간 분포를 직접 측정하는 것이 바람직하다. 이 측정 방법은 12장에서 다시 정리한다.

두 방식이 서로 다른 질문에 답한다면, 남는 질문은 '어느 쪽'이 아니라 '어떤 순서로'다. 실무에서 쓰이는 배치는 크게 세 가지로 나눌 수 있다. CDR 샌드박스 비교의 결론은 결국 이 배치 설계에서 구체화된다.

세 패턴은 배타적이지 않다. 실제로는 C의 분기 위에 B의 병렬 흐름을 얹는 조합이 지연과 통제 범위를 함께 고려하기 쉽다. 아래는 그 조합을 단계로 풀어 쓴 예시다. 유입 지점은 이메일 게이트웨이, 웹 업로드, 망간 자료 전송처럼 조직마다 다르지만 단계 구성은 비슷하다.

이 흐름에서 CDR은 ①(단말 도달 파일의 상태)과 ②(제때 도착)를 맡고, 분석 계층은 ③(추적 근거)과 CDR이 다루지 못하는 파일을 맡는다. 각 방식이 자신이 잘 답하는 질문에만 답하도록 역할을 나눈 셈이다.

패턴 B와 C를 쓰면 원본 파일은 사라지지 않고 어딘가에 보관된다. 그리고 그 원본을 꺼내 주는 절차가 생긴다. 7장에서 본 것처럼 이 절차는 공격자가 사회공학으로 노릴 수 있는 새로운 표면이다. 동시에 사고 대응에서는 원본이 핵심 증거다. 악성코드 사고 대응 지침은 사고 대응을 준비, 탐지와 분석, 봉쇄·제거·복구, 사후 활동의 흐름으로 정리하는데^[12], 원본 표본은 이 가운데 분석과 사후 활동 단계에서 필요하다.

따라서 원본 보관과 해제는 편의 기능이 아니라 통제 절차로 설계해야 한다. 아래 항목은 도입 전에 정책 문서로 확정해 두는 것이 좋다.

마지막 항목은 자주 간과된다. 원본 해제가 너무 느리면 사용자는 발신자에게 다른 경로로 다시 보내 달라고 요청한다. 그 순간 게이트웨이의 모든 통제가 우회된다. 엄격함과 속도는 서로 반대 방향이 아니라, 둘 다 갖춰야 통제가 유지되는 조건이다.

평가 단계에서 가장 흔한 실수는 공개 악성 표본 묶음을 두 방식에 넣고 '몇 개를 막았는가'만 세는 것이다. 이 방식은 CDR에 불리하게도, 유리하게도 왜곡될 수 있다. 공개 표본은 이미 알려진 것이라 분석 계층이 판정하기 쉽고, 반대로 정상 업무 문서가 빠져 있으면 CDR의 무해화 품질 문제가 드러나지 않는다. 공정한 비교는 표본 구성에서 시작한다.

측정 지표도 1장의 세 질문에 맞춰 나눈다. 아래 표는 항목별 우선순위와 측정 방법의 예시다. 우선순위는 조직의 업무 특성에 따라 조정한다.

공공기관이라면 국가망 보안체계(N2SF) 가이드라인의 파일 경로 통제 요구와 평가 항목을 연결해 두는 것이 이후 감사 대응에 유리하다^[13]. 금융권이라면 망간 자료 전송 경로와 이메일 경로를 분리해 각각 측정하는 것이 좋다. 경로마다 유입 포맷과 허용 지연이 다르기 때문이다.

앞에서는 판정 계층의 대표로 샌드박스를 놓고 비교했지만, 10장의 배치 흐름에서 판정 자리를 반드시 행위 관찰이 채워야 하는 것은 아니다. 시큐레터는 이 자리에 리버스 엔지니어링 기반 탐지 엔진 MARS를 두고, 탐지와 무해화를 함께 쓰는 구조를 택한다. 어떤 탐지도 100%일 수 없으므로 탐지가 놓친 것을 CDR 무해화가 막는다는 전제다. 다만 제품마다 탐지 방식, CDR 탑재 여부, 구축 형태가 다르므로 아래 표로 구분해 둔다.

MARS는 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원(Exploit)을 찾아낸다. 행위나 결과를 지켜보는 방식이 아니라는 점에서 2·3장에서 본 샌드박스와 구조가 다르다. 3장 표의 시간 지연, 사용자 상호작용, 환경 확인처럼 관찰 조건을 노리는 우회는 행위 기반 방식이 놓치기 쉬운 공격인데, MARS는 이런 우회 공격을 근본 원인 분석으로 잡는 접근이다. 탐지 범위도 문서에 국한되지 않는다. 문서·이미지·압축 파일은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다. 위 표에서 MARS 탐지와 CDR 무해화가 함께 기본 탑재된 제품은 SLF와 SLE다. 반면 SLCDR은 CDR 전용 제품으로 탐지를 백신·YARA·TI로 수행하므로, SLCDR만 배치한 구간은 리버스 엔지니어링 탐지 없이 무해화와 이 탐지 조합으로 구성된다는 점을 배치 설계에서 고려한다.

탐지 성능과 관련해 시큐레터는 KISA로부터 악성코드 탐지율 100% 인증(2020)을 받았고, 분석 시간은 12초(TTA GS 실측 12.027초)다^[1]. 이 두 수치는 탐지·분석 성능에 관한 것이며, 판정을 하지 않는 CDR의 성능을 나타내는 지표가 아니다. 또한 인증은 정해진 시험 조건에서의 결과이므로, 조직 환경에서의 결과는 12장의 방식으로 PoC·BMT에서 확인하는 것이 맞다. 무해화 쪽에서 참고할 공식 수치는 지원 파일 포맷 309종+와 파일당 평균 무해화 소요시간 34ms다^[1][2]. 지원 포맷의 폭은 5장에서 본 '미지원 포맷' 경계가 어디에 그어지는지와 연결되지만, 조직의 실제 유입 포맷이 그 범위에 들어 있는지는 표본으로 따로 확인해야 한다. 시장 평가 측면에서 시큐레터는 2022년 Gartner CDR Market Guide에 대표 벤더로 소개되었으며, 소개된 글로벌 40개 벤더 가운데 유일한 한국 기업이다^[1].

이메일은 1장에서 본 스피어피싱 첨부파일(T1566.001)이 들어오는 경로이고, 메일 환경에 따라 맞는 제품이 갈린다. 자체 메일 서버라면 MARS 탐지와 CDR이 함께 들어간 SLE, MS 365·Gmail이라면 CDR과 BEC 탐지를 제공하는 DISARM, 국내 메일 서비스라면 APT 탐지를 제공하는 SLES가 해당한다. DISARM 환경에서는 APT 판정을, SLES 환경에서는 무해화 계층을 어떻게 보완할지가 따로 따져야 할 지점이다. 판정과 무해화가 어떤 순서로 연동되는지, 재생성본 선전달과 원본 해제를 10장의 패턴 B·C처럼 구성할 수 있는지는 PoC·BMT에서 확인할 항목이다. CDR 샌드박스 비교를 제품 선택이 아니라 배치 설계의 문제로 볼 때, 이 확인 결과가 도입 판단의 근거가 된다.