샌즈랩 반기보고서 (2023.06)
2. 주요 제품 및 서비스

가. 주요 제품 등의 매출 현황(단위: 백만원)

구분	2023년 (제20기 반기)	2022년 (제19기)	2021년(제18기)	2020년(제17기)	2019년(제16기)

매출액	비율	매출액	비율	매출액	비율	매출액	비율	매출액	비율

제품	CTI	malwares.com	1,548	97.0%	5,673	70.0%	3,810	70.4%	1,428	27.2%	2,422	67.8%

MNX	-	-	1,400	4.7%	-	-	605	11.5%	60	1.7%

MDX	-	-	2,066	21.5%	30	0.5%	-	-	-	-

소계	1,548	97.0%	9,140	96.2%	3,840	70.9%	2,033	38.7%	2,482	69.5%

SI	40	3.0%	159	3.8%	1,574	29.1%	3,214	61.3%	1,091	30.5%

매 출 총 계	1,588	100.0%	9,299	100.0%	5,414	100.0%	5,247	100.0%	3,573	100.0%

업 종 코 드	시스템 소프트웨어 개발 및 공급업(J58221)

나. 주요 제품에 대한 내용(1) CTI(Cyber Threat Intelligence, 사이버 위협 인텔리전스) 당사는 다양한 수집 채널로부터 수집한 악성코드 등 사이버 위협 정보를 인공지능, 빅데이터를 활용한 자체 기술을 통해 자동 분석하고 이를 기반으로 생성된 사이버 보안 위협 대응, 예측을 수행할 수 있는 인텔리전스를 고객에게 제공하고 있습니다. 당사의 제품은 크게 malwares.com, MNX, MDX, MAX로 구분됩니다. (가) malwares.com 당사의 사이버 위협 인텔리전스 서비스인 malwares.com 기술은 단순히 수집된 파일의 악성 여부를 식별하는 기술을 넘어 해당 악성코드의 공격자, 제작 의도, 공격 방법, 침투 및 배 방법, 취약점 정보, 공격자가 얻게 되는 이익, 유사한 다른 악성코드, 대응 현황 및 방법 등 하나의 코드를 분석했을 때 추출할 수 있는 다양한 정보를 바탕으로 의사 결정권자의 의사 결정을 도울 수 있는 각종 인텔리전스 데이터를 생성하고 제공합니다. 당사의 빅데이터 플랫폼을 기반으로 생성되고 축적된 300억 개가 넘는 인텔리전스 데이터는 당사가 개발하는 각종 네트워크, 엔드포인트 기반 대응 제품군에 적용되어 고객 인프라를 보호하는 데 사용됩니다. [malwares.com 주요 기능]

주요 기능

① 빅데이터 기반의 악성코드 수집, 분석, 공유 플랫폼

② 머신러닝 기반의 악성코드 및 위협정보 탐지

③ 인텔리전스 서비스

④ API

⑤ Feed 서비스 (수집 정보 역제공 서비스)

① 빅데이터 기반의 악성코드 수집, 분석, 공유 플랫폼

당사의 malwares.com 사이버 위협 인텔리전스 서비스는 빅데이터 플랫폼을 기반으로 주요 IT 기반 시설의 네트워크, 시스템, 응용서비스 등으로부터 발생하는 대용량 데이터 및 보안 이벤트 간의 연관성을 분석함으로써 지능적으로 보안 위협에 대응하는 정보 기반의 대응 전략입니다. 특히, 사이버보안 영역에서의 빅데이터 분석 활용도는 대용량 로그 분석, 비정상 트랜잭션 및 행위탐지, 악성코드 탐지 등에 활용됩니다.대용량 데이터의 수집, 저장, 검색, 분석을 수행하기 위해서는 효과적인 분산 처리 시스템이 필요합니다. 이를 가능하게 하기 위해 당사에서 개발한 malwares.com 플랫폼은 수년간 축적한 데이터 처리 노하우를 활용하여 대용량 데이터를 데이터의 손실 없이 신속하게 분산 저장하고, 빠른 검색과 분석을 위해 데이터를 인덱싱하여 데이터를 처리하고 있습니다.

malwares.com에서는 다양한 채널을 통하여 대용량으로 수집되는 악성코드를 분산 저장하며, 조 단위 수준의 분석 리포트 결과를 JSON 파일 형식으로 분산 저장하고 있습니다. 또한, 매일 수신되는 대용량 분석 요청 데이터에 대한 실시간 수집/처리, 비정형 인텔리전스 식별 정보 기반의 실시간 검색을 지원하고 있습니다.

② 머신러닝 기반의 악성코드 및 위협정보 탐지malwares.com에서는 악성코드들의 메타 데이터 추출 후 머신러닝 시스템에 학습시켜 인공지능 기반의 종합적 평가 지수를 산출합니다. 수십억 개의 프로파일링, 정적/행위 분석 정보 및 각종 분석 정보의 메타 데이터를 통해 머신러닝 시스템에 학습시켜 다양한 인텔리전스 정보를 생성합니다.

③ 인텔리전스 서비스■ 연관관계 분석

malwares.com 에서는 악성코드들의 다양한 특징들을 추출하여 악성파일을 조회하면 해당 파일과 연관된 악성으로 의심되는 수집일, 유포국가, IP, URL, 호스트이름, C, 변종 악성코드 등에 대한 정보를 제공합니다. 제공하는 사이버 위협 정보를 기반으로 특정 악성코드 및 침해사고에 대한 분석을 통하여 다른 악성코드/침해사고와의 연관성 분석, 동일 공격자 특성 파악 등이 가능합니다.

■ 공격자 그룹 식별 및 자동 탐지 패턴 생성

당사는 사이버공격에 활용되는 악성코드, 침투방식, 피해 발생 양상 등 공격 특성을 통해 사이버 범죄 집단 유형 분류 및 근원지를 추적하는 지능형 프로파일링 기술을 근간으로 수집된 그룹별 특성을 바탕으로 공격 행위들을 클러스터링 작업을 거쳐 공격그룹별 템플릿을 생성합니다. 템플릿은 침투 경로, 감염행위, 정보 유출 행위 등 특성을 고려하여 공격정보 수집과 추출된 특성에 따라 공격 정보 수집 단계에서 생성된 프로파일링 데이터에 매핑을 통하여 공격그룹 및 공격 방식을 판단합니다.

■ 머신러닝 기반 악성코드 탐지

malwares.com 에서는 파일 및 URL에 대한 악성 여부 판별 기능을 제공합니다. 사용자는 의심스러운 파일 또는 URL을 malwares.com에 업로드하여 악성 여부 판별을 빠르고 쉽게 할 수 있습니다. 악성이 의심되는 파일을 malwares.com 사이트에 제출 시 실시간으로 분석하여 결과를 제공을 해주고 있으며 머신러닝 기반의 악성 판단 여부를 제공하고 있습니다.

■ 악성코드 프로파일링을 통한 추적

malwares.com 에서는 특정 IP 및 호스트가 악성코드와 연관되어 있는지에 대한 프로파일링 정보를 제공합니다. 유포지 주소, 배포된 파일명 등에 대한 정보를 제공하여 악성코드에 대한 위협 정보를 종합적으로 판단할 수 있게 제공합니다.

④ API

malwares.com에서는 API(Application Programming Interface)연동 기능을 제공하여 고객들이 필요한 정보를 빠르게 효율적으로 받아볼 수 있고 운영하고 있는 여러 제품이나 시스템과 자동 연동 할 수 있는 기능을 제공합니다. 제공하는 다양한 API를 사용하여 악성코드 관련 데이터를 자동 분석해 결과를 받을 수 있고, 많은 양의 데이터도 편리하게 처리할 수 있습니다. 또한, 기존 보안 솔루션과 API 연동을 통한 시너지 효과를 상승시킬 수 있습니다.

고객사는 보유하고 있는 다양한 보안 장비 및 솔루션들과 malwares.com 간 연동 API를 통하여 악성코드 등에 대한 정보를 상호 간 교환하여 보안을 강화할 수 있습니다.

고객사의 보안장비를 통해 탐지된 악성 의심 파일, IP, URL 등을 API를 통하여 malwares.com으로 전송하여 실시간으로 악성 여부를 판단할 수 있으며, 악성이라고 판단된 파일, IP, URL 등은 침입차단 장비, 방화벽 등에서 접속을 차단하여 외부로부터의 공격을 방지할 수 있습니다. 고객사 내부 장비 및 솔루션에서 인지하고 있지 못하는 알려지지 않은 악성코드, IP, URL 등에 대하여 malwares.com을 통해 위험도를 파악하고 방어할 수 있게 해주고 있습니다.

⑤ Feed 서비스(수집 정보 역제공 서비스)

malwares.com 의 Feed 서비스는 기본적으로 사용자가 필요로 하는 YARA 룰 혹은 특정 탐지 조건을 사전에 입력하면 해당 룰에 매치되는 정보를 실시간으로 메일, slack, Telegram으로 전송하고 관련 정보 및 파일 원본을 사용자 지정 서버에 저장하는 서비스입니다.

(나) MNX

당사에서 개발한 MNX(Malware Network Shield)는 NDR(Network Detection and Response)군에 해당하는 제품으로서, 일반적인 IT 인프라 트래픽뿐만 아니라 사물인터넷 및 OT 장치가 있는 네트워크의 모든 트래픽을 모니터링 하고, 머신러닝을 포함한 각종 고급 분석기법을 통해서 보안 위협을 식별하여, 식별된 위협에 대해서 빠른 대응 조치를 취하도록 해주는 네트워크 어플라이언스 입니다.

[MNX 특징 및 기능]

구분	특징 및 기능

가시성	- 네트워크 연결된 모든 IT, OT, IoT 기기에 대해 수동 작업 없이 자동으로 식별하여 최신의 자산 인벤토리를 유지
- IT 및 OT 트래픽에 대한 L2에서 L7까지의 심층 패킷 분석(Deep Packet Inspection)을 통한 상세한 메타데이터 추출
- 최대 100 Gbps까지의 무손실 실시간 트래픽 분석

탐지	- 악성코드 탐지, 행동 분석 기반 탐지, OT 공정 이상 탐지 등 다수의 AI 기술이 적용된 고급 분석을 통해 기업 전체 인프라에서 발생하는 취약점 공격 또는 악성코드 감염 전/후 모든 단계에 걸쳐 발생되는 각종 위협에 대해 사각지대 없는 포괄적인 탐지 범위 제공
- 다수의 이상 탐지 결과에 대해 자산 유형, 중요도 등 여러 문맥과의 상관 분석을 통해 실제 위협 수준을 평가하여 오탐으로 인한 경고 범람을 방지하고, 위험 점수가 높은 위협에 우선순위를 정하게 함으로써 보안 관리자의 효율적인 조사 및 대응을 지원

대응	- 보안 침해 경고 발생시에 몇 번의 클릭만으로 관련 네트워크 이벤트와 맵핑하여 제공함으로서 기존 수작업 방식의 시간낭비 문제를 해결
- 최고 충실도의 증거 소스로서 메타데이터와 전체 패킷 캡처(PCAP)를 보관하여, 드릴다운 방식으로 상세한 이벤트 추적 및 포렌식 할 수 있는 기능을 제공

(다) MDX MDX(Malware Document Shield)는 APT 공격에 많이 사용하는 문서형 악성코드를 조기에 탐지할 수 있는 제품으로 자체 개발한 AI 모델을 탑재하고 있습니다. MDX 인공지능 모델은 문서 자체의 구조를 학습하여 정상 문서와 악성 문서를 구분합니다. 이를 통해 새로운 공격 패턴에 대하여 Anti-Virus 제품들이 탐지해 내지 못할 때 MDX 모델은 탐지할 수 있으며, 일명 '제로데이' 공격을 탐지하고 악성코드가 수행되는 행위를 사전에 차단하여 APT 공격을 예방할 수 있습니다.

MDX는 문서 파일에서 대표적으로 사용하는 PDF, 한글파일(HWP, HWPX), 마이크로소프트의 오피스 제품군(DOC, DOCX, PPT, PPTX, XLS, XLSX), Open Document Format(ODP, ODS, ODT)을 각 문서 형식에 따라 자체 개발한 인공지능 탐지 모델을 탑재하고 있습니다.

[MDX 제품 주요 특징 및 기능]

구분	특징 및 기능

APT 공격 대응	- 사용자가 인터넷 상에서 다운받는 문서 파일을 선별 검사하여 안전하게 문서 파일을 열람할 수 있도록 하여 APT 공격의 시작점이라고 볼 수 있는 문서형 악성코드를 사전에 분석 및 탐지하고 APT 공격에 대응
- 사용자가 MDX로 파일에 대한 분석 요청을 하면, MDX는 지원하는 파일 형식인지를 파악하고 파일 형식에 따라 자체 개발한 파서를 이용하여 특징을 추출
- 추출된 특징을 기반으로 타입별 AI 모델을 이용하여 약성 여부를 판별하고, 분석 결과를 전달

인공지능 기반 문서형 악성코드 탐지	- MDX 인공지능 모델은 다양한 산업군에서 가장 많이 사용되는 12개의 문서 형식(pdf, doc(x), ppt(x), xls(x), hwp(x), odp, ods, odt)과 4개의 이미지 형식(bmp, gif, jpeg, png)을 제공
- 문서 파일의 경우 각각의 구조가 전부 다르므로 MDX의 다양한 문서 형식을 제공하기 위해 문서 형식마다 AI 모델을 개발

API	- 다양한 산업 분야에서 서로 다른 보안 제품들이 사용되고 있으며, 이에 다른 제품과의 연동은 필수적인 기능 요소
- MDX는 이러한 흐름에 발맞춰 분석 정보를 API로 제공하고 있으며, 동기와 비동기 방식을 지원

Docker Packing	- 도커는 컨테이너 기반으로 쉽고 빠르게 실행 환경을 구축할 수 있으며, 컨테이너 간의 저장 공간 연결이 가능하며, 호스트의 저장 공간에도 접근할 수 있는 특징이 있음. 또한, 컨터이너의 크기가 매우 작고 하나의 물리 서버에 여러 대의 컨테이너를 가동할 수 있기에 비용 절감 효과가 크며, 도커 컨테이너를 이미지화하여 공유 및 배포하거나 Docker Hub를 통해서도 공유할 수 있음.
- 도커 기반의 제품 구성을 설계한 이유는 현재 쿠버네티스 환경이 IT 전반에 확대 되고 있고 클라우드 인프라 등이 지소증가 하는 환경에서 필요한 기능을 구현하기 위한 별도 소프트웨어 설치 등의 구성에 필요한 리소스 낭비를 최소화 하고 다양한 환경에 별다른 설정 없이 쉽게 적용 가능

(라) MAX

MAX(Malware Agent Shield)는 인공지능 기반의 안티바이러스(백신) 제품으로, 악성코드를 패턴 데이터베이스화 시켜서 악성코드 여부를 탐지하는 기존 방식이 아닌 AI를 통해 자체적으로 학습된 모델로 악성코드를 탐지하는 제품입니다.당사는 MAX를 개인 사용자를 대상으로 무료로 공개하여 성능을 입증하였으며, MAX에서 분석하고 수집된 새로운 악성코드는 다시 malwares.com에 전송되어 당사의 인텔레전스 플랫폼을 강화하고 있습니다.

(2) SI(System Integration, 시스템 통합) 일반적으로 IT관련된 수많은 요소들의 결합을 통해 하나의 시스템으로 운영될 수 있게 시스템을 구축하는 것을 의미하며, 당사는 보안 및 관련 제품을 기반으로 고객사의 시스템 구축사업을 수행하고 있습니다.

다. 주요 제품 등의 가격변동추이 당사가 제공하는 제품 및 서비스는 시장에서 형성되는 공정가격이 없으며, 각 고객사 마다 요구사항 및 사용량 등이 각기 상이하기 때문에 일괄적인 가격 산출 및 가격변동에 대한 추이 산정이 어렵습니다.