Intune의 엔드포인트 보안에 대한 엔드포인트 검색 및 응답 정책

엔드포인트용 Microsoft Defender를 Intune과 통합하면 엔드포인트 검색 및 응답(EDR)에 엔드포인트 보안 정책을 사용하여 EDR 설정을 관리하고 디바이스를 엔드포인트용 Microsoft Defender에 온보딩할 수 있습니다.

엔드포인트용 Microsoft Defender의 엔드포인트 검색 및 대응 기능은 거의 실시간으로 실행 가능한 고급 공격 검색을 제공합니다. 보안 분석가는 알림에 효과적으로 우선 순위를 지정하고, 침해의 전체 범위에 대한 가시성을 확보하고 위협을 수정하기 위한 대응 조치를 취할 수 있습니다.

적용 대상:

• Linux
• macOS
• Windows 10
• Windows 11
• Windows Server 2012 R2 이상 ( 테넌트 연결 시나리오를 통해 또는 엔드포인트용 Microsoft Defender 보안 설정 관리 시나리오를 통해 Configuration Manager에서 관리하는 경우)

엔드포인트 검색 및 응답에 대한 Intune 정책 정보

Intune의 엔드포인트 검색 및 응답 정책에는 엔드포인트용 Microsoft Defender의 온보딩 설치를 관리하는 플랫폼별 프로필이 포함됩니다. 각 프로필에는 정책이 대상으로 하는 디바이스 플랫폼에 적용되는 온보딩 패키지 가 포함되어 있습니다. 온보딩 패키지는 엔드포인트용 Microsoft Defender에서 작동하도록 디바이스를 구성하는 방법입니다. 디바이스를 온보딩한 후 해당 디바이스의 위협 데이터를 사용하기 시작할 수 있습니다.

Microsoft Intune 관리 센터의 엔드포인트 보안 노드에 있는 엔드포인트 검색 및 응답 노드에서 EDR 정책을 만들고 관리합니다.

디바이스를 온보딩하는 EDR 정책을 만들 때 미리 구성된 정책 옵션을 사용하거나 온보딩 패키지 식별을 포함하여 설정을 수동으로 구성해야 하는 정책을 만들 수 있습니다.

• 미리 구성된 정책: Windows 디바이스에 대해서만 지원되며, 이 옵션을 사용하여 미리 구성된 EDR 온보딩 정책을 적용 가능한 모든 디바이스에 신속하게 배포합니다. Intune으로 관리되는 디바이스 및 Configuration Manager를 통해 관리되는 테넌트 연결 디바이스에 대해 미리 구성된 정책 옵션을 사용할 수 있습니다. 미리 구성된 옵션을 사용하는 경우 생성 및 초기 배포 전에 정책의 설정을 편집할 수 없습니다. 배포 후 몇 가지 선택 설정을 편집할 수 있습니다. 자세한 내용은 이 문서에서 미리 구성된 EDR 정책 사용을 참조하세요.

• 수동으로 정책 만들기: 모든 플랫폼에서 지원됩니다. 이 옵션을 사용하여 개별 디바이스 그룹에 배포할 수 있는 온보딩 정책을 만듭니다. 이 경로를 사용하는 경우 할당된 그룹에 배포하기 전에 정책에서 사용 가능한 설정을 구성할 수 있습니다. 자세한 내용은 이 문서에서 수동으로 만든 EDR 정책 사용을 참조하세요.

정책이 대상으로 하는 플랫폼에 따라 Intune으로 관리하는 디바이스에 대한 EDR 정책은 Microsoft Entra ID의 디바이스 그룹 또는 테 넌트 연결 시나리오를 통해 Configuration Manager에서 동기화하는 온-프레미스 디바이스 컬렉션에 배포됩니다.

팁

EDR 정책 외에도 디바이스 구성 정책을 사용하여 엔드포인트용 Microsoft Defender에 디바이스를 온보딩할 수 있습니다. 그러나 디바이스 구성 정책은 테넌트 연결 디바이스를 지원하지 않습니다.

디바이스 구성 정책, 엔드포인트 검색 및 응답 정책과 같은 여러 정책 또는 정책 유형을 사용하여 동일한 디바이스 설정(예: 엔드포인트용 Defender에 온보딩)을 관리하는 경우 디바이스에 대한 정책 충돌을 만들 수 있습니다. 충돌에 대한 자세한 내용은 보안 정책 관리 문서의 충돌 관리를 참조하세요.

EDR 정책의 필수 구성 요소

일반:

• 엔드포인트용 Microsoft Defender의 테넌트 – EDR 정책을 만들려면 엔드포인트용 Microsoft Defender 테넌트가 Microsoft Intune 테넌트(Intune 구독)와 통합되어야 합니다. 자세한 내용은 다음 항목을 참조하세요.

  • 엔드포인트용 Microsoft Defender를 Microsoft Intune과 통합하는 방법에 대한 지침은 엔드포인트용 Microsoft Defender를 사용합니다.
  • 엔드포인트용 Microsoft Defender를 Intune에 연결하여 Intune 과 엔드포인트용 Microsoft Defender 간의 서비스 간 연결을 설정합니다.

Configuration Manager 클라이언트 지원:

• Configuration Manager 디바이스에 대한 테넌트 연결 설정 - Configuration Manager 에서 관리하는 디바이스에 EDR 정책 배포를 지원하려면 테넌트 연결을 구성합니다. 이 작업에는 Intune의 엔드포인트 보안 정책을 지원하도록 Configuration Manager 디바이스 컬렉션을 구성하는 작업이 포함됩니다.

  Configuration Manager 컬렉션을 Microsoft Intune 관리 센터에 동기화하고 엔드포인트 보안에 대한 정책을 사용할 수 있도록 설정하는 등 테넌트 연결을 설정하려면 엔드포인트 보호 정책을 지원하도록 테넌트 연결 구성을 참조하세요.

  테넌트 연결 디바이스에서 EDR 정책을 사용하는 방법에 대한 자세한 내용은 이 문서의 EDR 정책을 지원하도록 Configuration Manager 설정을 참조하세요.

역할 기반 액세스 제어(RBAC)

Intune 엔드포인트 검색 및 응답 정책을 관리하기 위한 적절한 수준의 권한 및 권한을 할당하는 방법에 대한 지침은 Assign-role-based-access-controls-for-endpoint-security-policy를 참조하세요.

엔드포인트 검색 및 응답 노드 정보

Microsoft Intune 관리 센터에서 엔드포인트 검색 및 응답 노드는 다음 두 개의 탭으로 나뉩니다.

요약 탭:
요약 탭은 수동으로 구성된 정책과 미리 구성된 정책 배포 옵션을 사용하여 만드는 정책 모두의 모든 EDR 정책에 대한 개략적인 보기를 제공합니다.

요약 탭에는 다음 영역이 포함됩니다.

• 엔드포인트용 Defender 커넥터 상태 – 이 보기는 테넌트에서 현재 커넥터 상태를 표시합니다. 엔드포인트용 Defender 커넥터 상태라는 레이블은 Defender 포털을 여는 링크이기도 합니다. 이 보기는 엔드포인트 보안 개요 페이지에 있는 것과 동일합니다.

• 엔드포인트용 Defender에 온보딩된 Windows 디바이스 – 이 보기는 엔드포인트용 Microsoft Defender에 온보딩되거나 온보딩되지 않은 두 디바이스에 대한 개수와 함께 EDR(엔드포인트 검색 및 응답) 온보딩에 대한 테넌트 전체 상태를 보여 줍니다.

• EDR(엔드포인트 검색 및 응답) 정책 – 여기서는 수동으로 구성된 새 EDR 정책을 만들고 테넌트용 모든 EDR 정책 목록을 볼 수 있습니다. 정책 목록에는 수동으로 구성된 정책과 미리 구성된 정책 배포 옵션을 사용하여 만드는 정책이 모두 포함됩니다.

  목록에서 정책을 선택하면 해당 정책의 구성을 검토하고 세부 정보 및 구성을 편집하도록 선택할 수 있는 해당 정책에 대한 심층적인 보기가 열립니다. 정책이 미리 구성된 경우 편집할 수 있는 설정이 제한됩니다.

EDR 온보딩 상태 탭:
이 탭에는 엔드포인트용 Microsoft Defender가 있거나 온보딩되지 않은 디바이스에 대한 개략적인 요약이 표시되며 개별 디바이스에 대한 드릴다운이 지원됩니다. 이 요약에는 Intune에서 관리하는 디바이스와 테넌트 연결 시나리오 및 Configuration Manager를 통해 관리되는 디바이스가 포함됩니다.

이 탭에는 Windows 디바이스에 대해 미리 구성된 온보딩 정책을 만들고 배포하는 옵션도 포함되어 있습니다.

EDR 온보딩 상태 탭에는 다음이 포함됩니다.

• 미리 구성된 정책 배포 – 이 옵션은 온보딩 요약 차트 위의 페이지 위쪽 근처에 표시되며 Windows 디바이스를 엔드포인트용 Microsoft Defender에 온보딩하기 위해 미리 구성된 정책을 만드는 데 사용됩니다.

• EDR 온보딩 상태 요약 차트 – 이 차트는 엔드포인트용 Microsoft Defender에 온보딩되었거나 온보딩되지 않은 디바이스 수를 표시합니다.

• 디바이스 목록 – 요약 차트 아래에는 다음을 비롯한 세부 정보가 포함된 디바이스 목록이 있습니다.

  • 장치 이름
  • 디바이스 관리 방법
  • 디바이스 EDR 온보딩 상태
  • 마지막 체크인 시간 및 날짜
  • 마지막으로 알려진 디바이스 Defender 센서 상태

EDR 프로필

Microsoft Intune에서 관리하는 디바이스

Linux - Linux 디바이스용 EDR을 관리하려면 Linux 플랫폼을 선택합니다. 다음 프로필을 사용할 수 있습니다.

• 엔드포인트 검색 및 응답 - Intune은 할당된 그룹의 디바이스에 정책을 배포합니다. 이 프로필은 다음과 함께 사용을 지원합니다.

  • Intune에 등록된 디바이스.
  • 엔드포인트용 Microsoft Defender의 보안 관리를 통해 관리되는 디바이스입니다.

  Linux용 EDR 템플릿에는 엔드포인트용 Defender의 디바이스 태그 범주에 대한 두 가지 설정이 포함됩니다.

  • 태그 값 - 태그 당 하나의 값만 설정할 수 있습니다. 태그 유형은 고유하며 동일한 프로필에서 반복해서는 안 됩니다.
  • 태그 유형 – GROUP 태그는 지정된 값으로 디바이스에 태그를 지정합니다. 태그는 디바이스 페이지의 관리 센터에 반영되며 디바이스 필터링 및 그룹화에 사용할 수 있습니다.

  Linux에 사용할 수 있는 엔드포인트용 Defender 설정에 대한 자세한 내용은 Defender 설명서의 Linux에서 엔드포인트용 Microsoft Defender에 대한 기본 설정 설정을 참조하세요.

macOS - macOS 디바이스에 대한 EDR을 관리하려면 macOS 플랫폼을 선택합니다. 다음 프로필을 사용할 수 있습니다.

• 엔드포인트 검색 및 응답 - Intune은 할당된 그룹의 디바이스에 정책을 배포합니다. 이 프로필은 다음과 함께 사용을 지원합니다.

  • Intune에 등록된 디바이스.
  • 엔드포인트용 Microsoft Defender의 보안 관리를 통해 관리되는 디바이스입니다.

  macOS용 EDR 템플릿에는 엔드포인트용 Defender의 디바이스 태그 범주에 대한 두 가지 설정이 포함됩니다.

  • 태그 유형 – GROUP 태그는 지정된 값으로 디바이스에 태그를 지정합니다. 태그는 디바이스 페이지의 관리 센터에 반영되며 디바이스 필터링 및 그룹화에 사용할 수 있습니다.
  • 태그 값 - 태그 당 하나의 값만 설정할 수 있습니다. 태그 유형은 고유하며 동일한 프로필에서 반복해서는 안 됩니다.

  macOS에 사용할 수 있는 엔드포인트용 Defender 설정에 대한 자세한 내용은 Defender 설명서의 macOS에서 엔드포인트용 Microsoft Defender에 대한 기본 설정 설정을 참조하세요.

Windows - Windows 디바이스용 EDR을 관리하려면 Windows 플랫폼을 선택합니다. 다음 프로필을 사용할 수 있습니다.

• 엔드포인트 검색 및 응답 - Intune은 할당된 그룹의 디바이스에 정책을 배포합니다. 이 프로필은 다음과 함께 사용을 지원합니다.

  • Intune에 등록된 디바이스.
  • 엔드포인트용 Microsoft Defender의 보안 관리를 통해 관리되는 디바이스입니다.

  참고

  2022년 4월 5일부터 Windows 10 이상 플랫폼이 Windows 10, Windows 11 및 Windows Server 플랫폼으로 대체되었으며, 이제 더 간단하게 Windows로 이름이 지정되었습니다.

  Windows 플랫폼은 Microsoft Intune 또는 엔드포인트용 Microsoft Defender를 통해 통신하는 디바이스를 지원합니다. 이러한 프로필은 Microsoft Intune을 통해 기본적으로 지원되지 않는 Windows Server 플랫폼에 대한 지원도 추가합니다.

  이 새 플랫폼의 프로필은 설정 카탈로그에 있는 설정 형식을 사용합니다. 이 새 플랫폼의 각 새 프로필 템플릿에는 대체되는 이전 프로필 템플릿과 동일한 설정이 포함됩니다. 이 변경으로 더 이상 이전 프로필의 새 버전을 만들 수 없습니다. 이전 프로필의 기존 인스턴스는 계속 사용하고 편집할 수 있습니다.

  엔드포인트용 Microsoft Defender 클라이언트 구성 패키지 유형에 대한 옵션:

  • Windows 디바이스에만 적용됩니다.

  Intune과 엔드포인트용 Microsoft Defender 간의 서비스 간 연결을 구성한 후 엔드포인트용 Microsoft Defender 클라이언트 구성 패키지 유형 설정에 대해 커넥터에서 자동 옵션을 사용할 수 있게 됩니다. 이 옵션은 연결을 구성할 때까지 사용할 수 없습니다.

  커넥터에서 자동을 선택하면 Intune은 엔드포인트용 Defender 배포에서 온보딩 패키지(Blob)를 자동으로 가져옵니다. 이 선택은 이 프로필에 대한 온보드 패키지를 수동으로 구성해야 하는 필요성을 대체합니다. 오프보드 패키지를 자동으로 구성하는 옵션은 없습니다.

Configuration Manager에서 관리하는 디바이스

엔드포인트 감지 및 응답

테넌트 연결을 사용할 때 Configuration Manager 디바이스에 대한 엔드포인트 검색 및 응답 정책 설정을 관리합니다.

플랫폼: Windows(ConfigMgr)

프로필: 엔드포인트 검색 및 응답(ConfigMgr)

Configuration Manager의 필수 버전:

• Configuration Manager 현재 분기 버전 2002 이상, 콘솔 내 업데이트 Configuration Manager 2002 핫픽스(KB4563473)
• Configuration Manager 기술 미리 보기 2003 이상

지원되는 Configuration Manager 디바이스 플랫폼:

• Windows 8.1(x86, x64)(Configuration Manager 버전 2010에서 시작)
• Windows 10 이상(x86, x64, ARM64)
• Windows 11 이상(x86, x64, ARM64)
• Windows Server 2012 R2(x64)(Configuration Manager 버전 2010에서 시작)
• Windows Server 2016 이상(x64)

중요

2022년 10월 22일에 Microsoft Intune은 Windows 8.1을 실행하는 디바이스에 대한 지원을 종료했습니다. 이러한 디바이스에 대한 기술 지원 및 자동 업데이트는 사용할 수 없습니다.

현재 Windows 8.1 사용하는 경우 Windows 10/11 디바이스로 이동합니다. Microsoft Intune에는 Windows 10/11 클라이언트 디바이스를 관리하는 기본 제공 보안 및 디바이스 기능이 있습니다.

EDR 정책을 지원하도록 Configuration Manager 설정

Configuration Manager 디바이스에 EDR 정책을 배포하기 전에 다음 섹션에 자세히 설명된 구성을 완료합니다.

이러한 구성은 Configuration Manager 콘솔 및 Configuration Manager 배포에 적용됩니다. Configuration Manager에 익숙하지 않은 경우 Configuration Manager 관리자와 협력하여 이러한 작업을 완료하도록 계획합니다.

다음 섹션에서는 필요한 작업을 다룹니다.

1. Configuration Manager에 대한 업데이트 설치
2. 테넌트 연결 사용

팁

Configuration Manager에서 엔드포인트용 Microsoft Defender를 사용하는 방법에 대한 자세한 내용은 Configuration Manager 콘텐츠의 다음 문서를 참조하세요.

• Microsoft Intune 관리 센터를 통해 Configuration Manager 클라이언트를 엔드포인트용 Microsoft Defender에 온보딩
• Microsoft Intune 테넌트 연결: 디바이스 동기화 및 디바이스 작업

작업 1: Configuration Manager에 대한 업데이트 설치

Configuration Manager 버전 2002에는 Microsoft Intune 관리 센터에서 배포하는 엔드포인트 검색 및 응답 정책 사용을 지원하기 위한 업데이트가 필요합니다.

업데이트 세부 정보:

• Configuration Manager 2002 핫픽스(KB4563473)

이 업데이트는 Configuration Manager 2002에 대한 콘솔 내 업데이트 로 사용할 수 있습니다.

이 업데이트를 설치하려면 Configuration Manager 설명서의 콘솔 내 업데이트 설치 지침을 따릅니다.

업데이트를 설치한 후 여기로 돌아와서 Microsoft Intune 관리 센터에서 EDR 정책을 지원하도록 환경을 계속 구성합니다.

작업 2: 테넌트 연결 및 동기화 컬렉션 구성

테넌트 연결을 사용하면 Configuration Manager 배포의 디바이스 컬렉션을 지정하여 Microsoft Intune 관리 센터와 동기화합니다. 컬렉션이 동기화된 후 관리 센터를 사용하여 해당 디바이스에 대한 정보를 보고 Intune에서 EDR 정책을 배포합니다.

테넌트 연결 시나리오에 대한 자세한 내용은 Configuration Manager 콘텐츠에서 테넌트 연결 사용을 참조하세요.

공동 관리를 사용하도록 설정하지 않은 경우 테넌트 연결 사용

팁

Configuration Manager 콘솔에서 공동 관리 구성 마법사 를 사용하여 테넌트 연결을 사용하도록 설정하지만 공동 관리를 사용하도록 설정할 필요는 없습니다.

공동 관리를 사용하도록 설정하려는 경우 공동 관리, 필수 구성 요소 및 계속하기 전에 워크로드를 관리하는 방법에 대해 잘 알고 있어야 합니다. Configuration Manager 설명서의 공동 관리란? 을 참조하세요.

공동 관리를 사용하도록 설정하지 않은 경우 테넌트 연결을 사용하도록 설정하려면 사용자 환경에 대한 AzurePublicCloud 에 로그인해야 합니다. 계속하기 전에 Configuration Manager 설명서의 사용 권한 및 역할을 검토하여 절차를 완료할 수 있는 계정을 사용할 수 있는지 확인합니다.

1. Configuration Manager 관리 콘솔에서 관리>개요>Cloud Services>공동 관리로 이동합니다.
2. 리본에서 공동 관리 구성을 선택하여 마법사를 엽니다.
3. 테넌트 온보딩 페이지에서 환경에 맞는 AzurePublicCloud를 선택합니다. Azure Government 클라우드는 지원되지 않습니다.
   1. 로그인을 선택하고 AzurePublicCloud 환경에 대한 충분한 권한이 있는 계정을 지정합니다.

Intune을 사용하여 관리하는 디바이스에는 다음이 지원됩니다.

• 플랫폼: Windows - Intune은 Microsoft Entra 그룹의 디바이스에 정책을 배포합니다.
• 프로필: 엔드포인트 검색 및 응답

미리 구성된 EDR 정책 사용

Intune은 Intune에서 관리하는 Windows 디바이스 및 테넌트 연결 시나리오를 통해 Configuration Manager에서 미리 구성된 EDR 정책 사용을 지원합니다.

Intune의 엔드포인트 검색 및 응답 정책의 EDR 온보딩 상태 페이지에서 미리 구성된 정책 배포 옵션을 선택하여 Intune에서 미리 구성된 정책을 만들고 배포하여 해당 디바이스에 엔드포인트용 Microsoft Defender를 설치하도록 합니다.

이 옵션은 엔드포인트용 Defender에 온보딩된 Windows 디바이스 보고서 위의 페이지 위쪽에서 찾을 수 있습니다.

이 옵션을 선택하려면 먼저 엔드포인트용 Defender 커넥터를 구성해야 합니다. 이 커넥터는 Intune과 엔드포인트용 Microsoft Defender 간에 서비스 간 연결을 설정합니다. 정책은 커넥터를 사용하여 디바이스를 온보딩하는 데 사용할 엔드포인트용 Microsoft Defender 온보딩 Blob을 가져옵니다. 이 커넥터를 구성하는 방법에 대한 자세한 내용은 엔드포인트용 Defender 구성 문서의 Intune 에 엔드포인트용 Microsoft Defender 연결을 참조하세요.

테넌트 연결 시나리오를 사용하여 Configuration Manager에서 관리하는 디바이스를 지원하는 경우 Microsoft Intune 관리 센터에서 EDR 정책을 지원하도록 Configuration Manager를 설정합니다. 엔드포인트 보호 정책을 지원하도록 테넌트 연결 구성을 참조하세요.

미리 구성된 EDR 정책 만들기

미리 구성된 정책 배포 옵션을 사용하는 경우 엔드포인트용 Microsoft Defender, 범위 태그 또는 할당을 설치하기 위한 기본 정책 구성을 변경할 수 없습니다. 그러나 정책을 만든 후에는 할당 필터 구성을 포함하여 일부 세부 정보를 편집할 수 있습니다.

정책을 만들려면 다음을 수행합니다.

1. Microsoft Intune 관리 센터에서엔드포인트 보안>엔드포인트 검색으로 이동하고 응답>에서 EDR 온보딩 상태 탭 > 에서 미리 구성된 정책 배포를 선택합니다.

2. 프로필 만들기 페이지에서 다음 조합 중 하나를 지정한 다음 만들기를 선택합니다.

   • Intune에서 관리하는 디바이스의 경우:

     • Platform = Windows
     • 프로필 = 엔드포인트 검색 및 응답

   • 테넌트 연결 시나리오를 통해 관리되는 디바이스의 경우:

     • Platform = Windows(ConfigMgr)
     • 프로필 = 엔드포인트 검색 및 응답(ConfigMgr)

     중요

     테넌트 연결 디바이스에 배포하려면 테넌트에서 모든 데스크톱 및 서버 클라이언트 컬렉션을 사용하도록 설정하고 동기화해야 합니다.

3. 기본 사항 페이지에서 이 정책의 이름을 제공합니다. 필요에 따라 설명을 추가할 수도 있습니다.

4. 검토 및 만들기 페이지에서 사용 가능한 범주를 확장하여 정책 구성을 검토할 수 있지만 변경할 수는 없습니다. Intune은 선택한 플랫폼 및 프로필 조합에 따라 적용 가능한 설정만 사용합니다. 예를 들어 Intune에서 관리하는 디바이스의 경우 정책은 모든 디바이스 그룹을 대상으로 합니다. 모든 데스크톱 및 서버 클라이언트 그룹은 테넌트 연결 디바이스를 대상으로 합니다.

저장을 선택하여 미리 구성된 정책을 만들고 배포합니다.

미리 구성된 EDR 정책 편집

미리 구성된 정책을 만든 후 엔드포인트 검색 및 응답 정책에 대한 요약 탭에서 찾을 수 있습니다. 그런 다음 정책을 선택하여 일부 정책 옵션을 편집하도록 선택할 수 있지만 일부 정책 옵션을 편집할 수는 없습니다. 예를 들어 Intune 디바이스의 경우 다음 옵션을 편집할 수 있습니다.

• 기본: 다음 옵션을 편집할 수 있습니다.
  • 이름
  • 설명
• 구성 설정: 다음 두 설정을 기본값인 구성되지 않음에서 변경할 수 있습니다.
  • 샘플 공유
  • [사용되지 않음] 원격 분석 보고 빈도
• 할당: 그룹 할당을 변경할 수는 없지만 할당 필터를 추가할 수 있습니다.

수동으로 만든 EDR 정책 사용

Intune의 엔드포인트 검색 및 응답 정책의 EDR 요약 페이지에서 정책 만들기 를 선택하여 디바이스를 엔드포인트용 Microsoft Defender에 온보딩하도록 EDR 정책을 수동으로 구성하는 프로세스를 시작할 수 있습니다.

이 옵션은 엔드포인트용 Defender에 온보딩된 Windows 디바이스 보고서 위의 페이지 위쪽에서 찾을 수 있습니다.

수동으로 구성된 EDR 정책 만들기

1. Microsoft Intune 관리 센터에 로그인합니다.

2. 엔드포인트 보안>엔드포인트 검색 및 응답>정책 만들기를 선택합니다.

3. 정책에 대한 플랫폼 및 프로필을 선택합니다. 다음 정보는 옵션을 식별합니다.

   • Intune - Intune은 할당된 그룹의 디바이스에 정책을 배포합니다. 정책을 만들 때 다음을 선택합니다.

     • 플랫폼: Linux, macOS 또는 Windows
     • 프로필: 엔드포인트 검색 및 응답

   • Configuration Manager - Configuration Manager는 Configuration Manager 컬렉션의 디바이스에 정책을 배포합니다. 정책을 만들 때 다음을 선택합니다.

     • 플랫폼: Windows(ConfigMgr)
     • 프로필: 엔드포인트 검색 및 응답(ConfigMgr)

4. 만들기를 선택합니다.

5. 기본 사항 페이지에서 프로필의 이름과 설명을 입력한 후 다음을 선택합니다.

6. 구성 설정 페이지의 엔드포인트용 Microsoft Defender 클라이언트 구성 패키지 유형에 대한커넥터에서 자동을 선택합니다. 이 프로필로 관리하려는 샘플 공유 및 원격 분석 보고 빈도 설정을 구성합니다.

   참고

   엔드포인트용 Microsoft Defender 포털에서 온보딩 파일을 사용하여 테넌트 온보딩 또는 오프보딩하려면 온보딩 또는 오프보딩 을 선택하고 선택 영역 바로 아래의 입력에 온보딩 파일의 콘텐츠를 제공합니다.

   설정 구성을 완료하면 다음을 선택합니다.

7. 범위 태그를 사용하는 경우 범위 태그 페이지에서 범위 태그 선택을 선택하여 태그 선택 창을 열어 프로필에 범위 태그를 할당합니다.

   다음을 선택하여 계속합니다.

8. 할당 페이지에서 이 정책을 수신하는 그룹 또는 컬렉션을 선택합니다. 선택은 선택한 플랫폼 및 프로필에 따라 달라집니다.

   • Intune의 경우 Microsoft Entra에서 그룹을 선택합니다.
   • Configuration Manager의 경우 Microsoft Intune 관리 센터에 동기화되고 엔드포인트용 Microsoft Defender 정책에 사용하도록 설정된 Configuration Manager의 컬렉션을 선택합니다.

   현재 그룹 또는 컬렉션을 할당하지 않도록 선택하고 나중에 정책을 편집하여 할당을 추가할 수 있습니다.

   계속할 준비가 되면 다음을 선택합니다.

9. 검토 + 만들기 페이지에서 완료되면 만들기를 선택합니다.

   사용자가 만든 프로필에 대한 정책 유형을 선택하면 목록에 새 프로필이 표시됩니다.

디바이스의 온보딩 상태 업데이트

조직은 Microsoft Intune을 통해 디바이스에서 온보딩 정보를 업데이트해야 할 수 있습니다.

이 업데이트는 엔드포인트용 Microsoft Defender의 온보딩 페이로드 변경 또는 Microsoft 지원의 지시로 인해 필요할 수 있습니다.

온보딩 정보를 업데이트하면 디바이스가 다음 다시 시작 시 새 온보딩 페이로드를 활용하도록 지시 합니다.

참고

이 정보는 원래 테넌트에서 디바이스를 완전히 오프보딩하지 않고 반드시 테넌트 간에 디바이스를 이동하는 것은 아닙니다. 엔드포인트용 Microsoft Defender 조직 간에 디바이스를 마이그레이션하는 옵션은 Microsoft 지원에 참여하세요.

페이로드를 업데이트하는 프로세스

1. 엔드포인트용 Microsoft Defender 콘솔에서 새 모바일 디바이스 관리 새 온보딩 페이로드를 다운로드합니다.

2. 새 정책의 유효성을 검사하는 새 그룹을 만듭니다.

3. 기존 EDR 정책에서 새 그룹을 제외합니다.

4. EDR 정책 만들기에 설명된 새 엔드포인트 검색 및 응답 정책을 만듭니다.

5. 정책을 만드는 동안 클라이언트 패키지 구성 유형에서 온보딩 을 선택하고 엔드포인트용 Microsoft Defender 콘솔에서 온보딩 파일의 내용을 지정합니다.

6. 유효성 검사를 위해 만든 새 그룹에 정책을 할당합니다.

7. 유효성 검사 그룹에 기존 디바이스를 추가하고 변경 내용이 예상대로 작동하는지 확인합니다.

8. 배포를 점진적으로 확장하여 결국 원래 정책을 해제합니다.

참고

이전에 커넥터에서 자동 옵션을 사용하여 온보딩 정보를 검색한 경우 Microsoft 지원에 참여하여 새 온보딩 정보의 사용을 확인합니다.

Microsoft 지원의 지시에 따라 온보딩 정보를 업데이트하는 조직의 경우 새 온보딩 페이로드를 활용하도록 커넥터가 업데이트되면 Microsoft에서 안내합니다.

EDR 정책 보고서 및 모니터링

Microsoft Intune 관리 센터의 엔드포인트 배포 및 응답 노드에서 사용하는 EDR 정책에 대한 세부 정보를 볼 수 있습니다.

정책 세부 정보는 관리 센터에서 엔드포인트 보안>엔드포인트 배포 및 응답>요약 탭으로 이동하여 준수 세부 정보를 볼 정책을 선택합니다.

• Linux, macOS 또는 Windows 플랫폼(Intune)을 대상으로 하는 정책의 경우 Intune은 정책 준수에 대한 개요를 표시합니다. 차트를 선택하여 정책을 받은 디바이스 목록을 보고, 자세한 내용은 개별 디바이스로 드릴인할 수도 있습니다.

• Windows 디바이스의 경우 엔드포인트용 Defender에 온보딩된 Windows 디바이스에 대한 차트에는 엔드포인트용 Microsoft Defender에 성공적으로 온보딩되었으며 아직 온보딩되지 않은 디바이스 수가 표시됩니다.

  이 차트에서 디바이스를 완전히 표현하려면 온보딩 프로필을 모든 디바이스에 배포합니다. 그룹 정책 또는 PowerShell과 같은 외부 수단으로 엔드포인트용 Microsoft Defender에 온보딩하는 디바이스는 엔드포인트용 Defender 센서가 없는 디바이스로 계산됩니다.

• Windows(ConfigMgr) 플랫폼(Configuration Manager)을 대상으로 하는 정책의 경우 Intune은 추가 세부 정보를 보기 위해 드릴인을 지원하지 않는 정책 준수 개요를 표시합니다. 관리 센터에서 Configuration Manager 디바이스에 대한 정책 배포를 관리하는 Configuration Manager에서 제한된 상태 세부 정보를 수신하기 때문에 보기가 제한됩니다.

개별 디바이스에 대한 세부 정보를 보려면 엔드포인트 보안>엔드포인트 배포 및 응답>EDR 온보딩 상태 탭으로 이동하고 목록에서 디바이스를 선택하여 추가 디바이스별 세부 정보를 확인합니다.

다음 단계

• 엔드포인트 보안 정책을 구성합니다.
• 엔드포인트용 Microsoft Defender 설명서에서 엔드포인트 검색 및 응답 에 대해 자세히 알아봅니다.