Datadog Workload Protection 런타임 위협 자동 차단 기능이란, 탐지에서 대응까지 시간차 줄이는 방법

AS-IS: 탐지는 되는데 대응은 느렸다

런타임 위협은 공격자가 살아있는 워크로드를 악용해서 악성 프로세스를 실행하고 환경 안에서 옆으로 이동하는 방식으로 벌어집니다. 탐지 자체는 중요하지만 시그널이 떠도 막을 수 없으면 의미가 없다는 게 원문의 문제의식이에요. 수동 대응은 전통적으로 보안팀이 조사 워크플로를 벗어나 별도로 위협을 격리해야 했고, 이게 대응을 늦추고 실수를 유발하며 운영 피로로 쌓이는 위험 요인이었습니다.

이번 내용: 자동 종료와 수동 대응을 한 화면에서

Workload Protection은 이제 두 가지 방식으로 위협을 막을 수 있어요. 하나는 Agent 규칙으로 자동화하는 방식이고, 다른 하나는 시그널이 발생했을 때 직접 대응하는 방식입니다. Agent 규칙에 자동 대응을 켜두면 Agent가 매치를 찾는 순간 바로 행동하기 때문에 탐지와 개입 사이의 수동 단계가 줄어들어요. 기본 제공되는 OOTB(Out-Of-The-Box) 규칙을 쓰거나 커스텀 규칙을 직접 작성할 수도 있습니다. 자동 대응은 매칭되는 프로세스를 종료하는 방식이라 크립토 마이닝처럼 명백하고 절대 정상적일 수 없는 활동에 적합하다고 원문은 설명해요. Agent는 안전한 서비스에서는 매칭 프로세스를 종료하면서 다른 곳은 계속 모니터링을 이어가고, 자동으로 실행된 종료 조치도 시그널로 기록되어 나중에 검토할 수 있습니다. 모든 규칙을 자동화할 필요는 없고, 자동화하지 않은 규칙에서 시그널이 뜨면 조사한 뒤 수동 대응을 선택하면 됩니다. 이때 프로세스나 컨테이너를 종료할지, 워크로드를 격리할지, 둘 다 할지를 시그널이 뜬 바로 그 화면에서 결정할 수 있어요.

정확한 타겟팅의 원리

엉뚱한 리소스에 조치를 취하면 멀쩡한 서비스가 죽을 수 있고, 권한 통제가 없으면 이 기능 자체가 악용될 수도 있습니다. 그래서 모든 조치는 자동이든 수동이든 적절한 권한을 가진 사람이 승인해야 하고 올바른 리소스만 타겟팅하도록 설계됐어요. 프로세스나 워크로드를 종료, 격리하려면 대응 조치용으로 별도 부여된 상위 권한이 필요하고, 이 권한이 없으면 Agent 규칙의 자동 대응 설정도, 수동 대응 실행도 불가능합니다. 모든 조치는 기록되고 타임스탬프가 찍혀서 나중에 감사할 수 있는 이력이 남아요. Agent는 네임스페이스와 무관한 프로세스 ID(PID)와 부모, 조상 프로세스까지 추적하는 프로세스 트리를 유지하고, 컨테이너에 대응할 때는 cgroup 추적과 컨테이너 ID-cgroup 간 1대1 매핑을 활용해서 각 프로세스를 소속 컨테이너와 정확히 연결합니다.

커널 레벨 격리는 어떻게 동작하나

프로세스를 종료할 때 Agent는 유저 스페이스와 커널 안쪽 양쪽에서 킬 명령을 내려 프로세스의 PID나 cgroup을 타겟팅합니다. 트래픽을 정밀하게 격리할 때는 커널에 직접 주입되는 eBPF 기반 필터를 써서 인그레스와 이그레스 양쪽 트래픽을 검사해요. 패킷마다 TC(Traffic Control) 훅이 커널 구조체를 먼저 확인하고 그다음 Agent가 기록해둔 네트워크 플로우를 참조해서 프로세스와 cgroup을 식별합니다. 이렇게 식별된 패킷은 eBPF 맵에 저장된 필터와 대조해서 격리 규칙에 매칭되면 드롭되고 매칭되지 않으면 그대로 통과해요. Berkeley Packet Filter는 특정 트래픽, 포트, 프로토콜까지 매칭할 수 있어서 격리 범위를 세밀하게 조정할 수 있고, 같은 IP나 포트를 공유하는 다른 프로세스, 컨테이너와 구분해서 단일 프로세스나 컨테이너만 정확히 격리하는 게 가능합니다.

자주 묻는 질문

Datadog Workload Protection이란 무엇인가요

Datadog의 런타임 보안 기능으로 실행 중인 프로세스와 컨테이너의 악성 활동을 탐지하고, 이번 업데이트로 탐지에 그치지 않고 Agent가 직접 프로세스를 종료하거나 워크로드를 격리하는 대응까지 수행합니다.

자동 대응과 수동 대응 중 어떤 걸 써야 하나요

원문에 따르면 자동 대응은 크립토 마이닝처럼 명백하고 절대 정상적일 수 없는 활동에 적합하고, 판단이 애매하거나 조사가 필요한 시그널은 수동으로 검토한 뒤 대응하는 방식을 권합니다. 모든 규칙을 자동화할 필요는 없어요.

정상 서비스가 잘못 차단될 위험은 없나요

Agent가 PID, 부모, 조상 프로세스, cgroup까지 추적해서 커널 레벨에서 정확한 프로세스와 컨테이너만 식별하고, 상위 권한 검증을 거쳐야 조치가 실행되기 때문에 오탐으로 인한 오차단 위험을 줄이도록 설계됐습니다. 모든 조치는 타임스탬프와 함께 기록돼서 사후 감사도 가능해요.

도입하려면 무엇이 필요한가요

자동 또는 수동 대응 조치를 쓰려면 대응 조치용 상위 권한 설정이 먼저 필요하다고 원문은 안내합니다. 기존 Datadog 고객이 아니라면 14일 무료 체험으로 먼저 확인해볼 수 있어요.