서울시가 AI 기반 사이버 위협 대응체계를 시 전 기관으로 확대해 업무용 PC 1만 3천여 대에 엔드포인트 위협 탐지·대응(EDR) 시스템 설치를 완료했다. EDR은 PC 등 단말에서 발생하는 파일 생성, 실행, 프로세스 활동, 네트워크 통신 등 행위를 실시간 분석해 악성 행위와 이상 징후를 탐지하고 차단하는 보안 시스템이다. 2025년 본청 업무용 PC 6,400대에 처음 도입한 후 2026년에는 사업소 31개소, 도시기반시설, 미래한강본부, 소방재난본부 등으로 확대해 총 1만 3천여 대에 적용했다.
기존에는 알려진 악성코드나 특정 공격 패턴 중심 대응이었으나, EDR은 신·변종 악성코드와 랜섬웨어 등 새로운 공격에도 실시간 대응이 가능하다. 위협 탐지 시 공격 초기부터 감염 여부와 공격 경로, 영향 범위를 신속히 파악하고 필요 시 해당 단말을 격리해 사이버 공격의 행정망 확산을 막는다. 이를 통해 행정서비스 중단과 중요정보 유출 등 2차 피해를 줄일 수 있을 것으로 기대된다.
의료 분야 사이버 위협 대응을 위해 서울어린이병원, 은평병원, 서북병원 등 시립병원 의료서버 5대에 EDR을 시범 적용해 이상 행위를 실시간 확인하고 있으며, 향후 대응 범위를 확대할 계획이다. EDR 확대 구축과 운영 최적화로 2026년 오탐 건수는 2025년 대비 78% 감소해 보안관제요원이 실제 위협에 신속하고 정확하게 대응할 수 있는 환경을 조성했다. EDR 시스템을 통해 차단한 악성 행위는 총 13,013건으로 광고 및 불편 유발형 11,580건, 시스템 침투형 523건, 금전 목적형 510건, 정보 유출형 400건이다.
이 중 시스템 침투, 금전 목적, 정보 유출 등 실제 공공서비스 중단이나 중요정보 탈취로 이어질 수 있는 위협을 차단해 서울시 행정망과 시민 생활 피해를 예방했다. 또한 서울시는 EDR을 AI 보안관제시스템과 연동해 여러 기관에서 발생하는 보안정보를 한 곳에서 분석하고 대응할 수 있는 환경을 강화했다. 각 단말에서 수집된 EDR 로그와 위협정보를 AI 보안관제시스템과 연계해 기관별 보안정보를 통합적으로 확인하고 분석하며, 보안관제요원은 탐지된 로그를 분석해 위협 여부, 공격 경로, 영향 범위를 확인하고 필요 시 차단·격리 등 대응조치를 수행할 예정이다.
앞으로도 서울시는 AI 기반 보안관제와 EDR을 연계해 사이버 위협 탐지, 분석, 대응 역량을 지속적으로 고도화하고 주요 행정기관과 도시기반시설의 보안 수준을 단계적으로 높여나갈 계획이다. 정영준 서울시 디지털도시국장은 “사이버 공격은 시민이 직접 체감하기 어려운 사이에 행정서비스와 의료, 소방 등 주요 공공서비스를 위협할 수 있다”며 “AI 기반 EDR 시스템을 주요 기관과 기반시설로 확대하고 전문 보안관제 요원의 분석·대응 역량을 강화해 시민이 안심할 수 있는 디지털 행정환경을 만들어가겠다”고 말했다.
