카이스트 사이버보안연구센터-보안뉴스, 안티바이러스 10종 성능 및 기능 테스트
전 세계 68개 이상 안티바이러스 중 대표 제품 10종 분석...SECON & eGISEC 2023에서 결과 발표
V3, 알약, Nod32, ClamWin, Avast, Norton, McAfee, Microsoft Defender, Kaspersky, TrendMicro

[보안뉴스 김영명 기자] ‘안티바이러스(Antivirus)’란 컴퓨터에 악영향을 미치는 악성 소프트웨어를 찾아내 제거 또는 치료하는 소프트웨어를 의미한다. 전통적인 개념에서 컴퓨터 바이러스라 하면 스스로를 복제하는 특징을 통해 컴퓨터를 감염시키는 프로그램을 일컬었다. 하지만 최근 컴퓨터 바이러스는 발전에 발전을 거듭해 감염 방법의 진화와 증상을 다양화하며 △악성코드(Malware) △애드웨어(Adware) △스파이웨어(Spyware) 등 여러 종류로 파생돼 지속해서 출현하고 있다. 따라서 안티바이러스도 다양한 종류의 악성 소프트웨어를 찾아 치료하기 위해 다양한 분석 기능과 탐지 엔진을 갖고 있다.


[이미지=utoimage]

마이크로소프트 윈도(Windows) 운영체제를 기준으로 전 세계에서 출시(공개)된 30개 이상 회사(엔진), 제품의 성능과 옵션에 따라 세분화하면 총 68개의 안티바이러스 제품이 존재한다. 한국과학기술원(KAIST) 사이버보안연구센터(CSRC)와 보안뉴스에서는 이 가운데 우리나라와 전 세계에서 가장 많이 사용되는 대표적인 안티바이러스 소프트웨어 10종을 선정해 기능 및 성능 테스트를 시작했다. 국내외 대표적인 안티바이러스 솔루션 10종에 대한 성능 테스트 결과는 오는 3월 29~31일 3일간 일산 킨텍스에서 열리는 SECON & eGISEC 2023에서 발표될 예정이다.

안티바이러스의 가장 중요한 특징 및 기능은 폭발적으로 증가하고 고도화되는 악성 소프트웨어에 대비해 ①탐지 패턴의 자동업데이트 기능 ②악성 행위를 실시간으로 탐지할 수 있는 실시간 감시 기능 ③수동 및 자동으로 바이러스를 검사할 수 있는 기능이다. 최근에는 개인정보보호 기능 등을 포함해 방화벽 및 VPN(Virtual Private Network, 가상사설망)과 같은 네트워크 보안 기능, 파일 접근 기록과 저장매체 제어를 할 수 있는 시스템 보안 기능까지 내장해 설치해야 할 필수 컴퓨터 프로그램으로 자리 잡고 있다.


▲안티바이러스의 개념[이미지=KAIST CSRC]

안티바이러스의 중요성
2017년 파이어폭스 웹 브라우저를 개발한 모질라 기업의 한 엔지니어는 ‘안티바이러스 소프트웨어를 다 지워라’고 말하며 ‘안티바이러스가 오히려 보안에 도움 되지 않는다’고 주장하기도 했다. 이러한 주장은 상용되는 안티바이러스 프로그램들의 자체 결함으로 취약점이 생기거나 오히려 문제가 생기는 경우가 많다는 것이 이유였다. 지난해 국내에서도 안티바이러스의 랜섬웨어 오진 사태로 인해 정상 시스템 파일을 악성으로 인식해 컴퓨터가 먹통이 되거나 블루스크린이 뜨는 사례가 발생하면서 모질라 기업 엔지니어의 주장에 일리가 있음을 뒷받침하기도 했다.

하지만, 이러한 오진 사례는 극히 드물게 발생하며 코로나19 이후 디지털 전환이 가속화됨에 따라 보안위협이 지속적으로 증가하고 있어 안티바이러스로 대표되는 엔드포인트 보안 솔루션의 중요성은 더욱 커지고 있다. 또한, 보안시장 측면에서 살펴봤을 때도 안티바이러스 시장은 정보보안 제품군 11개 중 4번째로 많은 매출액을 달성하며 꾸준히 성장하고 있는 분야라고 할 수 있다.

안티바이러스 인증제도
마트에서 식품이나 전자기기를 살 때 HACCP(Hazard Analysis and Critical Control Point), KC(Korea Certification) 마크와 같은 인증 마크를 접할 수 있다. KC 인증 마크는 안전, 보건, 환경, 품질 등을 국가에서 인증하는 마크이며, 식품에서는 식품 안전관리 인증 기준이라고 하는 HACCP이 있다. 이처럼 국내에서 정부(공공)기관에 보안 소프트웨어를 판매하기 위해서는 국제 표준인 CC(Common Criteria) 인증을 받아야 한다.

안티바이러스 제품을 위한 인증 관련해서는 국외에 약 5곳의 인증기관들이 있다. 인증기관들은 각각 다양한 테스트 환경과 신뢰성을 위해 체계적인 시험평가를 진행하며 안티바이러스 소프트웨어 인증을 진행하고 있다. 국내 대표적인 안티바이러스 소프트웨어인 안랩의 ‘V3’와 이스트시큐리티의 ‘알약’도 해당 인증 일부를 받아 품질을 인정받았다. 5개 인증기관은 독일의 AV-TEST, 영국의 VB100, 미국의 ICSA, 영국의 Checkmark, 오스트리아의 AV-comparatives 등이다.

먼저 ‘AV-TEST’는 독일 기업으로 여러 안티바이러스 제품군을 테스트하고 순위를 매기는 기관이며, 테스트의 범주는 탐지, 치료, 사용성과 성능이다. 각각 6점 만점으로 총 10점 이상 획득해야 AV-TEST Certified 획득이 가능하다. 각 범주에서 최소 1점 이상을 획득해야 한다. 테스트 된 성능 및 결과는 업계 평균 기준 백분율 값 표시, 범주 결과는 막대 차트 형태로 홈페이지에 공개된다.

‘VB100’은 영국 악성코드 전문 매거진 발행회사 VB(Virus Bulletin)에서 주관하고 있다. 전 세계에서 실제 감염 활동이나 발견 보고가 있었던 악성코드를 타깃으로 해 안티바이러스 소프트웨어가 오탐 없이 100% 탐지해야 인증 획득이 가능하다. VB100의 평가 스케줄은 고정돼 있으며, 평가 기간은 약 1개월이 소요된다. 테스트 결과는 홈페이지에 최근 테스트 수행 순으로 공개되고 있다.

‘ICSA’는 미국 ICSA(International Computer Security Association) Labs에서 주관하며, 미국의 암호검증(CVP) 평가 업무도 수행하는 대표적인 민간보안 평가기관이다. 검증, 분석된 악성코드 샘플을 활용해 탐지와 치료 테스트를 진행한다. 안티바이러스 소프트웨어가 100% 정확히 탐지해 오탐이 없어야 인증 획득이 가능한 까다롭고 권위 있는 인증 기관이다.

‘Checkmark’는 영국 Westcoast Lab에서 주관하고 있으며, 하드디스크에 위치해 감염된 샘플을 100% 탐지해야 인증을 획득할 수 있다. 신뢰성과 공정성 있는 테스트 환경에서 검증 및 분석된 악성코드 샘플과 Westcoast Labs에서 직접 채취한 샘플을 조합해 테스트를 진행하며 공신력 있는 국제 인증으로 손꼽히는 인증기관이다.

‘AV-comparatives’는 바이러스 백신 소프트웨어를 테스트하고 평가하는 오스트리아의 독립 조직이다. 이 조직은 대중과 미디어에 정기적으로 차트와 보고서를 발표하며, 누구나 무료로 이용할 수 있다. 안티바이러스 소프트웨어는 테스트에 참여하기 위해 AV-comparatives가 제시하는 신뢰성, 안정성과 관련된 13개의 다양한 요구사항을 충족해야 한다. AV-Comparatives는 여러 테스트 기준에 따라 테스트 결과를 바탕으로 안티바이러스 소프트웨어 성능과 관련된 상을 수여하고 있다.

안티바이러스 대표 제품 10종
전 세계적으로 출시(공개)된 안티바이러스 소프트웨어는 마이크로소프트 윈도(Windows) 기준으로 30개 이상의 회사 또는 엔진으로 구분된다. 제품의 성능과 옵션에 따라서는 68개 제품이 존재한다. 그 가운데 안랩 ‘V3’, 이스트시큐리티 ‘알약’, 이셋(ESET) ‘Nod32’, 시스코시스템즈 ‘ClamWin’, 어베스트소프트웨어 ‘Avast’, 시만텍 ‘Norton’, 맥아피 ‘McAfee’, 마이크로소프트 ‘Microsoft Defender’, 카스퍼스키랩 ‘Kaspersky’, 트렌드마이크로 ‘TrendMicro’ 등 대표적인 10개의 안티바이러스 소프트웨어를 소개한다.


▲안랩 ‘V3’ 및 이스트시큐리티 ‘Alyac’(좌부터)[이미지=각사]

안랩, ‘V3’
우리나라에서 가장 인지도 있고 유명한 제품으로, 1988년 6월 당시 의대 박사과정에 있던 안철수는 국내에 처음 발견된 세계 최초 컴퓨터 바이러스인 브레인을 치료하기 위해 바이러스 검사 프로그램을 개발했다. 안철수는 자신의 컴퓨터에 감염된 브레인(Brain) 바이러스를 컴퓨터 언어로 치료한 후, 친구의 권유로 누구나 쉽게 쓸 수 있는 치료 소프트웨어를 만들어 ‘백신(Vaccine)’이라고 이름을 붙였다.

바이러스 검사 소프트웨어를 ‘백신 소프트웨어(Vaccine Software)’로 부르게 된 것은 이때부터이며, 고유 명사가 제품 전체를 의미하는 보통 명사로 확장된 사례다. 그 뒤 V3는 ‘V2’, ‘V2 플러스(V2plus)’ 등으로 업데이트됐다. ‘V3’라는 이름의 보안 프로그램은 미켈란젤로 바이러스(Michelangelo Virus)의 기승으로 대중적 인지도를 얻은 1991년에 처음 발표됐으며, 현재도 국내에서 대표적으로 많이 사용되는 안티바이러스 소프트웨어다.

이스트시큐리티 ‘알약’
이스트소프트의 알약(Alyac)은 ‘전 국민 보안 업그레이드’라는 가치 아래 개발한 바이러스 검사 소프트웨어다. 개인 비영리 사용자에게는 무료로, 개인사업자, 기업, 공공기관, PC방은 유료로 제공되고 있다. ‘알약’은 2012년 3월 13일 일본 시장에 진출했으며, 같은 해 일본 최대의 다운로드 사이트 벡터(Vector)에서 인기 무료 안티바이러스 소프트웨어로 공개됐다. 비트디펜더 엔진과 이스트소프트가 자체 개발한 테라 엔진을 사용하고 있다.


▲이셋 ‘NOD32’ 및 시스코시스템즈 ‘ClamWin’(좌부터)[이미지=각사]

이셋 ‘Nod32’
노드32(Nod32)는 슬로바키아의 기업 이셋(ESET)이 개발한 안티바이러스 소프트웨어이자, 최초 도스 기반의 프로그램이었다. 이셋의 Nod32 안티바이러스는 현재 가정용은 Nod32 Antivirus, Internet Security, Smart Security Premium 버전이 있으며, 기업용은 ESET Endpoint Solution을 비롯해 클라우드 샌드박스, EDR 등 다양한 솔루션을 갖추고 있다. 비즈니스 에디션은 ESET Remote Administrator를 추가하고 있어 분산 컴퓨팅 및 관리, 위협 서명 데이터베이스 업데이트 미러링, 마이크로소프트 윈도 서버 운영 체제에 설치하는 기능 등을 제공하고 있다.

시스코시스템즈 ‘ClamWin’
클램윈(ClamWin)은 미국 시스코시스템즈(Cisco Systems)의 공식 지원을 받는 리눅스 안티바이러스 소프트웨어인 ClamAV을 엔진으로 사용하는 클램 안티바이러스(ClamAV)의 윈도(Windows) 버전이다. 2004년 3월 27일 배포된 0.1버전부터 2018년 3월 13일 배포된 0.99.4버전까지 GNU GPL의 오픈소스 및 실행파일을 무료로 공개했다. 전 세계 60만명이 넘는 사용자가 매일 사용하는 광범위하게 체계화된 빠른 고성능의 바이러스 검사 소프트웨어이지만, 실시간 탐지는 불가능하다.


▲어베스트소프트웨어 ‘Avast’ 및 노턴라이프락 ‘Norton’(좌부터)[이미지=각사]

어베스트소프트웨어 ‘Avast’
어베스트(Avast)는 체코 프라하에 본사를 둔 체코의 다국적 사이버보안 소프트웨어 기업인 어베스트소프트웨어(Avast Software)가 만든 안티바이러스 소프트웨어다. 무료 외산 안티바이러스 소프트웨어로 많이 알려져 있다. Avast는 한 달간 4억 3,500만명 이상의 활동 사용자가 있으며, 2018년 1월 기준으로 전 세계 악성 소프트웨어 방역 애플리케이션 가운데 가장 높은 시장점유율을 차지하고 있다. Avast는 악성코드 탐지 기능 외에도 VPN, 샌드박스 등 부가적인 기능들이 편리하고 강력해 많은 사랑을 받고 있다.

노턴라이프락 ‘Norton’
노턴(Norton)은 노턴라이프락(NortonLifeLock, 구 ‘시만텍’)이 개발하고 배포하는 제품으로, 사용 기간 악성코드 방지 및 제거 기능을 제공한다. 컴퓨터 바이러스를 탐지하기 위해 시그니처 및 기계학습을 사용하며, 또 다른 기능으로는 스팸 메일 필터링과 피싱 보호가 있다. 특히, 노턴 안티바이러스와 관련 제품 노턴 인터넷 시큐리티는 2007년에 바이러스 검사 소프트웨어 시장에서 61%를 차지했다.


▲맥아피 ‘McAfee’ 및 마이크로소프트 ‘Microsoft Defender’(좌부터)[이미지=각사]

맥아피 ‘McAfee’
맥아피(McAfee)는 글로벌 정보보호 기업 맥아피(McAfree)가 판매하는 안티바이러스 소프트웨어의 브랜드 이름이다. MS-DOS 시절의 SCAN/CLEAN을 시작으로 제품이 개발됐으며, 많은 보안 기능과 추가 기능이 포함돼 있다. 특히, 제로데이 공격과 확산된 멀웨어를 차단하는 데 효과적이다. McAfee는 실시간 보호와 보안 방화벽과 같은 바이러스 백신에 필요한 모든 기능, 성능 최적화와 암호 관리자와 같은 몇 가지 추가 기능을 모두 사용할 수 있다.

마이크로소프트 ‘Microsoft Defender’
마이크로스프트 디펜더(Microsoft Defender)는 마이크로소프트(Microsoft)에서 자체 개발한 윈도(Windows) 내장 안티바이러스 소프트웨어다. 마이크로소프트는 2004년 무렵 보안 프로그램 전문 업체 GIANT Company Software를 인수, 2005년에 ‘Microsoft AntiSpyware’라는 안티바이러스 소프트웨어를 베타 버전으로 처음 출시했다. 그 이후 윈도(Windows) 버전마다 여러 이름과 디자인 등이 바뀌며 현재는 윈도 디펜더(Windows Defender)로 운영체제의 보안을 관리할 수 있는 기반을 마련했다. 가장 큰 장점은 기본 내장 안티바이러스 소프트웨어이기 때문에 최적화가 잘 돼 다른 안티바이러스 소프트웨어보다 안전성이 우수한 편이다.


▲카스퍼스키 랩 ‘Kaspersky’ 및 트렌드마이크로(좌부터)[이미지=각사]

카스퍼스키랩, ‘Kaspersky’
카스퍼스키(Kaspersky)는 카스퍼스키 랩(Kaspersky Lab)의 창립자인 유진 카스퍼스키(Eugene Kaspersky)가 개발한 바이러스 검사 소프트웨어다. 주로 마이크로소프트 윈도, 맥 OS X를 사용하는 사람들을 대상으로 악성코드로부터 보호하도록 설계됐으며, 비즈니스 소비자들을 위한 리눅스용 버전도 존재한다. 카스퍼스키랩은 전 세계 200개 국가 및 지역에서 사업을 운영하고 있으며, 30개 이상의 국가에 34개 사무실이 존재한다. 강력한 엔진과 최적화 기술을 바탕으로 컴퓨터 리소스에 영향을 최소로 해 높은 성능을 나타내고 있으며, 세계적으로 가장 잘 알려진 안티바이러스 소프트웨어 중 하나다.

트렌드마이크로(TrendMicro)
트렌드마이크로(TrendMicro)는 1988년 미국 로스앤젤레스에서 설립된 글로벌 보안 소프트웨어 기업이며, 글로벌 본사는 일본 도쿄에 있다. 1990년~2000년대 초반에 ‘PC 실린’이라는 이름의 백신 프로그램으로 유명했던 기업이다. 트렌드마이크로는 서버, 클라우드 컴퓨팅 환경에 사용되는 보안 소프트웨어를 개발하고 있다. 랜섬웨어가 유명해지고 악의적인 공격 차단만으로는 시스템 보안 유지에 한계가 있다는 것을 알게 되자 점차 머신러닝 방식으로 보안을 강화하고 있다.


▲안티바이러스 기능 및 성능 분석 평가 부문과 항목[자료=카이스트 CSRC]

이번 연구를 주관한 KAIST 사이버보안연구센터(CSRC) 신강식 연구원은 “안티바이러스 기능 및 성능 분석 연구를 통해 안티바이러스 소프트웨어의 정의, 안티바이러스 소프트웨어의 중요성과 인증 제도, 10개의 상용 또는 무료 안티바이러스 소프트웨어의 특징에 대해 알아봤다”며 “앞서 소개한 10개의 안티바이러스 소프트웨어에 대한 기능 및 성능 분석 연구를 위해 안티바이러스 기능 및 성능 분석 평가 부문과 항목을 기반으로 세부적인 평가지표를 수립하고 그 결과를 SECON & eGISEC 2023에서 최초로 공유해 드릴 것”이라고 말했다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>