화이트리스트 자동 분류 — 규칙과 AI로 관리 포인트를 줄이는 방법

문제

화이트리스트 방식은 등록되지 않은 프로세스를 모두 막기 때문에 보안 수준이 높지만, PC에서 쓰는 수많은 프로세스를 관리자가 일일이 등록해야 한다는 부담이 있었습니다.

두 단계 자동 분류

1. 규칙 — 윈도우 프로세스와 정상 디지털서명 프로세스는 엔진이 화이트리스트에 자동으로 적용합니다.
2. AI 판정 — 그 밖의 미확인 프로그램은 일단 차단한 뒤, 실행 파일을 AI 모델이 분석해 안전한 것만 신뢰 목록에 자동으로 등록합니다.

화이트리스트에 없는 비인가 프로세스는 관리자가 예외로 처리할 수도 있습니다.

AI 판정 방식

• 입력: 드라이버가 차단한 프로그램의 실행 파일(PE)
• 특징: EMBER 형식 2,381개 — 바이트 분포와 바이트 엔트로피 히스토그램, 문자열 통계, PE 헤더(COFF·Optional), 섹션 정보, 임포트·익스포트 함수, 데이터 디렉터리, 일반 정보(파일 크기, 서명·디버그 정보 유무 등)
• 모델: LightGBM. 악성일 확률을 0~1 사이 점수로 계산합니다.
• 판정: 점수가 기준 이하이면 신뢰 목록에 ‘AI 자동’ 유형으로 등록하고 에이전트에 알립니다. 기준을 넘으면 차단을 유지하고 관리 서버에 보고합니다.
• 예외와 설정: 커널 영역 접근은 점수와 상관없이 자동 등록하지 않습니다. 자동 등록 사용 여부와 기준 점수는 관리자가 정합니다.
• 점수 저장: 같은 실행 파일(해시)은 점수를 저장해 두고, 모델 버전이 바뀌면 다시 계산합니다.

모델 학습

매달 새로 나온 랜섬웨어 샘플을 모아 EMBER 형식 특징으로 바꾸고 LightGBM으로 다시 학습합니다. 학습한 모델은 네이티브 DLL로 변환해 에이전트에 배포하고, 에이전트는 재시작 없이 새 모델로 바꿔 씁니다.

차단 자체는 화이트리스트로 동작하므로, 모델 업데이트를 받지 않는 폐쇄망에서도 보호 수준은 그대로입니다.

효과

윈도우·상용 프로그램 대부분은 자동으로 신뢰되고, 미확인 프로그램도 AI가 먼저 가려내므로 관리자가 직접 판단해야 하는 프로세스가 크게 줄어듭니다. 화이트리스트 기술의 난제였던 관리 포인트를 95% 이상 절감했습니다.

자세한 도식은 AI 자동 분류 페이지에 있습니다.