탐지 방식 비교: 무엇이 강하고 무엇이 약한가
위키백과 백신 소프트웨어 항목의 설명을 바탕으로 정리한 표입니다. 실제 제품은 여러 방식을 섞어 쓰며 구현은 제품마다 다릅니다.
| 방식 | 원리 | 강점 | 약점 |
|---|---|---|---|
| 시그니처 | 분석된 악성코드에서 추출한 특징을 데이터베이스와 대조 | 알려진 위협에 정확 | 스스로 모양을 바꾸는 다형성·변형 악성코드, 신종에 취약 |
| 휴리스틱 | 와일드카드를 쓴 일반화된 특징 등으로 변종 계열까지 탐지 | 변종·유사 계열 탐지 가능 | 정상 파일을 오판할 수 있음 |
| 샌드박스 | 가상 환경에서 프로그램을 실행해 행동을 기록 | 실행해야 드러나는 행동 관찰 | 무겁고 느려 일반 제품에선 드물게 사용 |
| 클라우드 | 가벼운 에이전트가 분석을 제공사 서버에 위임 | 기기 부담이 적고 최신 정보 반영 | 연결과 서버에 의존 |
| 실시간(온액세스) | 파일 열기·실행, 메일 열람, 웹 탐색 시점에 검사 | 실행 전 차단 시도 | 검사 비용이 상시 발생 |
빠른 검사와 전체 검사의 정확한 검사 범위와 소요 시간은 제품과 설정마다 다르므로 일반론으로 말하기 어렵습니다. 대체로 빠른 검사는 위험 영역을, 전체 검사는 저장 공간 전체를 확인하는 구분이며, 자세한 내용은 사용하는 제품의 설명서를 확인하세요.
실제 사례 세 가지
사례 1. 패치가 있었는데도 퍼진 웜: 2017년 워너크라이 (업데이트의 사례)
2017년 5월 12일 시작된 워너크라이 랜섬웨어는 미국 국가안보국(NSA)이 개발한 것으로 알려진 취약점 공격 도구 '이터널블루'를 이용해 네트워크로 퍼졌습니다. 마이크로소프트는 이미 2017년 3월 14일 보안 공지 MS17-010으로 해당 취약점의 패치를 내놓았지만, 적용하지 않은 조직들이 피해를 입었습니다. 위키백과는 유로폴 추정 약 20만 대, 150개국 규모로 정리하며, 영국 NHS의 병원들이 영향을 받아 일부 서비스가 비응급 환자를 돌려보내고 구급차를 우회시켰다고 기록합니다. 마커스 허친스가 코드에 하드코딩된 '킬 스위치' 도메인을 등록해 확산을 멈췄지만 이미 감염된 시스템에는 소용이 없었고, 마이크로소프트는 이튿날 지원이 끝난 윈도우 XP 등에도 예외적으로 보안 업데이트를 배포했습니다. 배울 점은 백신이 막아 주는 부분이 있더라도 운영체제와 소프트웨어 업데이트가 별도의 핵심 방어선이라는 것입니다.
사례 2. 백신이 시스템 파일을 지운 날: 2007년 시만텍 오탐 (오탐·격리의 사례)
위키백과는 2007년 5월 시만텍의 잘못된 시그니처가 필수 운영체제 파일을 제거해 수천 대의 PC가 부팅하지 못하게 된 일을 오탐 사례로 듭니다. 같은 항목에는 2010년 4월 맥아피 바이러스스캔이 정상 파일 svchost.exe를 위협으로 판단해 윈도우 XP SP3에서 재부팅 반복이 생긴 일, 2011년 10월 마이크로소프트 시큐리티 에센셜스가 구글 크롬을 Zbot 트로이 목마로 오판한 일, 2022년 9월 마이크로소프트 디펜더가 크롬 계열 브라우저와 왓츠앱·디스코드 같은 일렉트론 앱을 심각한 위협으로 표시한 일도 기록되어 있습니다. 이들 사례는 '의심 파일을 바로 삭제하지 않고 격리해 복구할 수 있게 한다'는 격리 기능이 왜 필요한지 보여 줍니다. 시그니처가 틀리면 정상 파일이 위협이 되기 때문입니다. 배울 점은 백신의 판단도 오류가 있을 수 있어 복구 경로가 중요하다는 것입니다.
사례 3. 보안 소프트웨어가 일으킨 대규모 장애: 2024년 크라우드스트라이크 (권한과 위험의 사례)
2024년 7월 19일 보안 업체 크라우드스트라이크의 팰컨 센서에 대한 잘못된 설정 업데이트가 배포되면서 윈도우 기기에서 블루스크린과 재시작 반복이 발생했습니다. 이는 사이버 공격이 아니라고 회사 CEO가 확인했습니다. 마이크로소프트는 약 850만 대의 윈도우 기기가 영향을 받았다고 추산했고, 이는 전체 윈도우 기기의 1% 미만입니다. 이미 멈춘 기기는 안전 모드나 복구 환경에서 특정 드라이버 파일을 수동으로 삭제해야 했고, 위키백과는 전 세계에서 5,078편의 항공편이 취소되었다고 정리합니다(그날 예정된 항공편의 약 4.6%). 크라우드스트라이크는 가정용 백신이 아니라 기업용 엔드포인트 보안 제품이지만, 보안 소프트웨어가 시스템 깊은 곳에서 동작하기에 그 오류가 곧 전체 장애로 이어질 수 있음을 보여 줍니다. 배울 점은 보안 도구도 하나의 소프트웨어이며, 업데이트 관리와 복구 절차가 필요하다는 것입니다.
직접 점검해 보기
- 보호가 켜져 있는지: 운영체제의 보안 설정(윈도우의 보안 앱 등)에서 실시간 보호와 최신 정의 파일 상태를 확인합니다. 메뉴 이름은 버전마다 다를 수 있습니다.
- 백신은 하나만: 여러 실시간 백신을 동시에 쓰면 성능 저하와 충돌이 생길 수 있다고 알려져 있습니다. 윈도우 디펜더는 윈도우 8 이후 다른 백신을 설치하면 스스로 실시간 보호를 끈다고 위키백과가 설명합니다.
- 격리 항목 확인: 평소 쓰던 프로그램이 갑자기 사라지면 삭제된 것인지, 격리되어 복구 가능한지 격리 목록부터 확인합니다.
- 백신 밖의 습관: 운영체제와 프로그램 업데이트, 출처 불명 첨부파일 열지 않기, 중요 자료의 별도 백업은 백신과 별개의 방어선입니다.
흔한 오해와 정정
- 오해: 백신을 설치하면 모든 악성코드가 막힌다. 실제: 독립 시험에서도 100% 탐지 제품은 없다고 위키백과는 정리합니다(2013년 8월 시험에서 최고 99.9%, 최저 91.1%). 이론상으로도 모든 바이러스를 탐지하는 알고리즘은 존재할 수 없습니다.
- 오해: 백신이 위험하다고 하면 반드시 악성코드다. 실제: 앞의 사례처럼 정상 파일이 오탐될 수 있습니다. 시스템 파일이 걸리면 삭제 전에 격리와 출처 확인이 먼저입니다.
- 오해: 백신을 여러 개 깔면 더 안전하다. 실제: 실시간 백신 여러 개의 동시 사용은 성능 저하와 충돌을 부를 수 있습니다.
- 오해: 백신만 있으면 업데이트는 필요 없다. 실제: 워너크라이 사례처럼 패치가 있었는데 적용하지 않아 피해를 본 사례가 있습니다.
한계와 논쟁
기본 백신으로 충분한가에 대한 평가는 시기와 시험 기준에 따라 다릅니다. 위키백과에는 마이크로소프트 디펜더가 AV-TEST와 AV-Comparatives 시험에서 좋은 결과를 받은 기록(2017~2021년 사례)이 있지만, 이는 특정 시점의 특정 시험 결과이며 현재 제품 비교는 아닙니다. 최신 제품 순위와 성능은 독립 시험기관의 최근 공개 결과를 확인하세요. 또한 이 글은 가정용 PC 중심으로 설명했으며 기업 환경의 EDR(엔드포인트 탐지·대응)이나 모바일 보안은 다루지 않았습니다. 클라우드 기반 분석은 개인정보 전송을 수반하므로 마이크로소프트 디펜더의 클라우드 보호에 관해 개인정보 우려가 제기된 바 있다는 점도 위키백과에 기록되어 있습니다.
자주 묻는 질문
윈도우 기본 백신만 써도 충분한가요?
윈도우 디펜더는 AV-TEST, AV-Comparatives 같은 독립 평가에서 좋은 결과를 받은 기록이 있어 일반적인 사용에는 기본 백신으로도 충분한 경우가 많습니다. 다만 평가는 시점마다 달라지므로, 중요한 환경이라면 최근 시험 결과와 필요한 추가 기능을 확인하세요.
백신 프로그램을 여러 개 동시에 설치해도 되나요?
여러 실시간 백신을 동시에 쓰면 성능이 떨어지고 충돌이 생길 수 있어 하나만 쓰는 것이 권장됩니다. 윈도우 디펜더는 다른 백신이 설치되면 자동으로 실시간 보호를 끄는 방식으로 이를 피합니다.
오탐이면 어떻게 해야 하나요?
먼저 파일이 정말 정상인지 출처를 확인하고, 삭제하지 말고 격리 상태로 둔 뒤 제품의 오탐 신고나 예외 설정 방법을 제작사 안내에서 확인하세요. 시스템 폴더의 파일이라면 임의로 예외 처리하기보다 신중히 판단해야 합니다.
휴리스틱 탐지는 시그니처 탐지보다 항상 좋은가요?
그렇지 않습니다. 휴리스틱은 새로운 변종을 잡을 가능성이 있는 대신 오탐 위험이 있고, 시그니처는 알려진 위협을 정확하게 잡는 대신 신종에 약합니다. 그래서 대부분의 제품이 여러 방식을 함께 씁니다.
백신 업데이트가 문제를 일으킬 수도 있나요?
있습니다. 2007년 시만텍 시그니처 오류와 2024년 크라우드스트라이크 업데이트 사례처럼 보안 소프트웨어의 업데이트가 장애를 일으킨 기록이 있습니다. 그렇다고 업데이트를 끄는 것이 해법은 아니며, 복구 방법과 백업을 미리 마련하는 편이 안전합니다.
이어서 읽어 보세요
- 악성코드 기초 알아보기: 백신이 상대하는 위협의 종류
- 랜섬웨어 기초 알아보기: 워너크라이 같은 위협의 원리와 대응
- 역사상 가장 유명한 컴퓨터 바이러스: 백신이 쫓아온 위협의 역사
- 사이버보안 용어 완전정복: 멀웨어, 랜섬웨어 같은 용어 정리