개념 사전 · 개념

EICAR 테스트 파일

아이카 테스트 파일 · EICAR Anti-Malware Testfile

은 실제 악성코드 없이 보안 제품의 정해진 탐지·처리 경로를 시험하기 위한 표준 시험 자료다. 이 표본을 탐지했다고 해서 모든 악성코드·우회 기법을 탐지하는 성능이 검증된 것은 아니다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

01무엇이고, 어떤 일을 하나

검사 엔진과 실시간 보호의 동작 경로를 확인한다.
첨부·업로드·파일 저장 구간의 차단과 경보를 연결한다.
시험 전후 복구·예외·수집 경로를 검증한다.

02어떤 순서로 동작하나

시험
파일 검사·실시간 보호·메일 첨부 등 어느 경로를 검증하는지 정한다. 정책에 맞는 격리 학습 환경과 가상 자료만 사용한다.
기준 상태 기록
제품 버전·규칙·적용 정책과 로그 수집 경로를 기록한다. 시험 문자열 자체를 일반 보고서에 복제하면 보고서가 차단될 수 있다.
탐지·처리 관찰
기대하는 경보·격리·차단이 어느 구성 요소에서 발생했는지 확인한다. 다운로드 단계에서 막힌 경우 후속 로컬 검사까지 실행됐다고 주장하지 않는다.
복구와 결론
시험 자료와 임시 예외를 정리하고 기록이 관제 저장소까지 전달됐는지 확인한다. 검증 범위는 해당 표본과 해당 경로로 제한한다.

03먼저 알아둘 용어와 구성요소

: 시험 자료로 약속된 식별 패턴.
: 사용자나 작업이 특정 대상을 검사하도록 호출하는 방식.
: 파일 접근·저장 등 사건에 맞춰 검사하는 방식.
: 탐지된 자료를 사용 경로와 분리하여 보관하는 처리.

LEARN THROUGH PRACTICE

EICAR 메일 자료에서 전달·탐지·실행을 구분하기

안전한 테스트 파일의 전달 경로와 보안 검사 결과를 분리해 기록한다.

실습 구성과 전제

실제 악성코드 대신 공식 EICAR 테스트 자료 또는 무해한 파일만 자기 격리 메일 환경에서 사용한다.
파일 이름·메일 수신만으로 탐지 성공 또는 우회를 단정하지 않는다.

수신 화면이 증명하는 사실부터 적는다
- 받은 편지함의 첨부 존재는 메일 전달과 MIME 처리의 증거다. 첨부 이름이 EICAR 형태여도 실제 바이트가 표준 테스트 문자열인지 해시·내용으로 별도 확인해야 한다.
- 첨부를 실행하지 않고 원본과 작업 사본을 분리한다. 메일 본문·첨부·헤더는 서로 다른 분석 대상이다.
원본 크기로 보기 ↗
- 받은 편지함에 eicar.com.txt라는 이름과 71 B 크기의 첨부가 보인다.
- 화면에는 탐지 엔진 이름·판정·격리 로그가 없다. 수신 화면만으로 악성코드 검사 결과를 확정할 수 없다.
확인 기준
파일명·크기·해시·검사 로그를 각각 기록한다.
헤더로 메일의 전달 구조를 확인한다
- MIME Content-Type과 boundary는 첨부를 담는 구조를 설명한다. Received·Delivered-To는 전달 경로를 좁히는 자료이지만 신뢰할 수 있는 서버가 추가한 구간을 구분해야 한다.
- 메일 도착 시각을 검사 서비스의 처리 시각과 맞추고 허용·차단·격리 이유를 찾는다.
원본 크기로 보기 ↗
- Content-Type이 multipart/mixed로 표시되어 본문과 첨부를 여러 부분으로 담는 구조를 보여 준다.
- Delivered-To·Received·Message-Id가 있어 전송 기록을 대응시킬 수 있다. 주소 값 자체는 보고서에 재전재하지 않는다.
확인 기준
같은 Message-ID·큐 ID·첨부 해시를 이용해 검사 결과를 연결한다.
분석 환경의 격리 범위를 점검한다
- 테스트 파일에 대한 탐지는 실제 악성 파일의 모든 행위를 탐지한다는 보증이 아니다. 파일 검사·메일 경로·정책 적용의 일부를 확인하는 시험이다.
- 별도의 샌드박스 자료를 읽을 때는 메모리 분리와 격리를 구분한다. 파일을 실행하는 동적 분석은 네트워크·스냅샷·복구 조건을 추가로 요구한다.
확인 기준
전달 성공·엔진 탐지·정책 차단을 세 개의 결과로 남긴다.