VMSS 환경에서 Defender for Cloud 사용

Question

안녕하세요.

VMSS 환경에서 Defender for Cloud 사용과 관련하여 문의드립니다.

현재 VMSS 리소스는 Defender for Cloud 보호 대상에 포함되는 것으로 이해하고 있습니다. 다만, Microsoft Defender for Endpoint(MDE) 에이전트의 경우 다음 사항이 명확하지 않아 확인 요청드립니다.

1. VMSS 인스턴스는 Defender for Cloud의 MDE auto onboarding 대상에 포함되는지
2. 포함되지 않는다면, VMSS 환경에서는 MDE를 수동으로 온보딩하여 사용하는 것이 공식적으로 권장되는 방식인지
3. 또는 VMSS 자체는 MDE 지원 대상에 포함되지 않는 시나리오인지

운영 관점에서 VMSS에 대한 MDE 적용 가능 여부 및 권장 배포 방식을 확인 부탁드립니다.

감사합니다.

Answer 1

안녕하세요 Suji님,

VM Scale Sets(VMSS)는 Defender for Cloud 및 Microsoft Defender for Endpoint(MDE) 측면에서 일반 Azure VM과 동일하게 처리됩니다. 아래에 문의 주신 세 가지 사항에 대해 설명드립니다.

1. VMSS 인스턴스도 MDE 자동 온보딩 대상에 포함되나요?

네, 포함됩니다. Defender for Cloud에서 Defender for Servers 플랜의 “Auto-provisioning(자동 프로비저닝)”을 활성화하면, Azure Policy가 구독 내 모든 적격 VM에 대해 Log Analytics Agent 및 MDE 확장(MDE.Windows 또는 MDE.Linux)을 자동으로 배포합니다. 여기에는 기존에 실행 중인 VMSS 인스턴스와 앞으로 새로 생성되는 인스턴스도 모두 포함됩니다.

1. Auto-provisioning을 사용하지 않는 경우, 수동 온보딩을 권장하나요?

네, 가능합니다. 독립형 VM과 동일한 방식으로 VMSS 모델에 MDE 확장을 수동 추가할 수 있습니다. 예를 들어 ARM/Terraform 템플릿 업데이트, CLI/PowerShell 스크립트 실행, 또는 Azure Portal의 VMSS “Extensions” 메뉴에서 MDE.Windows/MDE.Linux 확장을 추가하는 방법이 있습니다. 공식적으로 지원되는 방식이며, 다만 해당 구성을 배포 파이프라인에서 지속적으로 관리해야 합니다.

1. VMSS 환경 중 MDE가 지원되지 않는 시나리오가 있나요?

일반적인 Windows 또는 Linux 기반 VMSS 워크로드의 경우 지원되지 않는 시나리오는 없습니다. Defender for Servers 및 포함된 MDE 에이전트는 단일 VM과 동일하게 VMSS에서도 동작합니다.

다만 VMSS가 AKS 노드 풀의 백엔드로 사용되는 경우에는 접근 방식이 달라집니다. 이 경우에는 Kubernetes 노드마다 MDE를 설치하는 대신, 에이전트리스 스캐닝 기반의 Defender for Containers 사용이 권장됩니다.

권장 구성 방법

• Azure Portal > Microsoft Defender for Cloud > Environment settings > 대상 Subscription 선택
• “Auto-provisioning” 탭에서 아래 두 항목 활성화
  • Log Analytics Agent
    • Defender for Endpoint

(선택 사항) 보다 세밀한 제어가 필요하다면, VMSS ARM 또는 Terraform 템플릿에 MDE 확장을 포함하여 모든 VMSS 인스턴스가 생성 시 자동 온보딩되도록 구성할 수 있습니다.

참고 문서

• Defender for Servers 및 MDE Auto-provisioning: https://learn.microsoft.com/azure/defender-for-cloud/defender-for-servers-introduction#auto-provisioning
• VM Extension을 통한 수동 온보딩: https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint
• VMSS 기반 AKS 환경의 Defender for Containers: https://learn.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction

도움이 되었기를 바랍니다. 추가 문의 사항이 있으시면 언제든지 말씀 부탁드립니다.

참고: 본 내용은 AI 시스템의 도움을 받아 작성되었습니다. 실제 의사결정 전에는 반드시 내용을 검증해 주시기 바랍니다.안녕하세요 Suji님,

VM Scale Sets(VMSS)는 Defender for Cloud 및 Microsoft Defender for Endpoint(MDE) 측면에서 일반 Azure VM과 동일하게 처리됩니다. 아래에 문의 주신 세 가지 사항에 대해 설명드립니다.

1. VMSS 인스턴스도 MDE 자동 온보딩 대상에 포함되나요?

네, 포함됩니다. Defender for Cloud에서 Defender for Servers 플랜의 “Auto-provisioning(자동 프로비저닝)”을 활성화하면, Azure Policy가 구독 내 모든 적격 VM에 대해 Log Analytics Agent 및 MDE 확장(MDE.Windows 또는 MDE.Linux)을 자동으로 배포합니다. 여기에는 기존에 실행 중인 VMSS 인스턴스와 앞으로 새로 생성되는 인스턴스도 모두 포함됩니다.

1. Auto-provisioning을 사용하지 않는 경우, 수동 온보딩을 권장하나요?

네, 가능합니다. 독립형 VM과 동일한 방식으로 VMSS 모델에 MDE 확장을 수동 추가할 수 있습니다. 예를 들어 ARM/Terraform 템플릿 업데이트, CLI/PowerShell 스크립트 실행, 또는 Azure Portal의 VMSS “Extensions” 메뉴에서 MDE.Windows/MDE.Linux 확장을 추가하는 방법이 있습니다. 공식적으로 지원되는 방식이며, 다만 해당 구성을 배포 파이프라인에서 지속적으로 관리해야 합니다.

1. VMSS 환경 중 MDE가 지원되지 않는 시나리오가 있나요?

일반적인 Windows 또는 Linux 기반 VMSS 워크로드의 경우 지원되지 않는 시나리오는 없습니다. Defender for Servers 및 포함된 MDE 에이전트는 단일 VM과 동일하게 VMSS에서도 동작합니다.

다만 VMSS가 AKS 노드 풀의 백엔드로 사용되는 경우에는 접근 방식이 달라집니다. 이 경우에는 Kubernetes 노드마다 MDE를 설치하는 대신, 에이전트리스 스캐닝 기반의 Defender for Containers 사용이 권장됩니다.

권장 구성 방법

• Azure Portal > Microsoft Defender for Cloud > Environment settings > 대상 Subscription 선택
• “Auto-provisioning” 탭에서 아래 두 항목 활성화
  • Log Analytics Agent
    • Defender for Endpoint

(선택 사항) 보다 세밀한 제어가 필요하다면, VMSS ARM 또는 Terraform 템플릿에 MDE 확장을 포함하여 모든 VMSS 인스턴스가 생성 시 자동 온보딩되도록 구성할 수 있습니다.

참고 문서

• Defender for Servers 및 MDE Auto-provisioning:
  https://learn.microsoft.com/azure/defender-for-cloud/defender-for-servers-introduction#auto-provisioning
• VM Extension을 통한 수동 온보딩:
  https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint
• VMSS 기반 AKS 환경의 Defender for Containers:
  https://learn.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction

도움이 되었기를 바랍니다. 추가 문의 사항이 있으시면 언제든지 말씀 부탁드립니다.

참고: 본 내용은 AI 시스템의 도움을 받아 작성되었습니다. 실제 의사결정 전에는 반드시 내용을 검증해 주시기 바랍니다.

Answer 2

안녕하세요, Suji 님. VM Scale Sets(VMSS)는 Defender for Cloud의 서버(P2) 플랜 및 해당 플랜에 포함된 Microsoft Defender for Endpoint(MDE) 에이전트와 관련하여, 다른 모든 Azure VM과 동일하게 취급됩니다. 다음은 Suji 님의 세 가지 질문에 대한 간략한 답변과, VMSS 인스턴스들을 완벽하게 보호할 수 있는 방법에 대한 설명입니다.

VMSS 인스턴스도 MDE 자동 온보딩 대상에 포함되나요?

네, 그렇습니다. Defender for Cloud 내에서 Defender for Servers 플랜의 "자동 프로비저닝(auto-provisioning)" 기능을 활성화하면, 내장된 Azure Policy가 작동하여 해당 구독(및 모든 하위 리소스 그룹) 내의 모든 적격 VM—VMSS 인스턴스 포함—에 Log Analytics 에이전트와 MDE 확장(MDE.Windows 또는 MDE.Linux)을 자동으로 배포합니다.

자동 온보딩을 사용하지 않는 경우, 수동 온보딩도 지원되거나 권장되나요?

물론입니다. 어떤 이유로든 광범위한 자동 프로비저닝을 원하지 않는다면, VMSS 모델에 MDE 확장을 수동으로 추가할 수 있습니다. 이는 ARM 템플릿, CLI, 또는 PowerShell 스크립트를 업데이트하거나, Azure 포털에 접속하여 Scale Set 정의에 MDE.Windows 또는 MDE.Linux VM 확장을 직접 추가하는 방식을 의미합니다. 이 방법 또한 완벽하게 지원되지만, 배포 파이프라인 내에서 해당 설정을 지속적으로 관리해야 한다는 점은 유의하셔야 합니다.

MDE가 지원되지 않는 VMSS 시나리오가 있나요?

표준 Windows 또는 Linux 기반의 VMSS 워크로드라면 지원되지 않는 시나리오는 없습니다. VMSS는 Azure의 핵심 IaaS 구성 요소이므로, Defender for Servers(및 그에 포함된 MDE)는 단일 인스턴스 VM에서 작동하는 것과 동일하게 VMSS 환경에서도 작동합니다. 유일하게 Defender for Containers를 대신 고려해야 하는 경우는, VMSS를 기반으로 하는 AKS 노드 풀(즉, Kubernetes 환경)을 운영 중일 때입니다. 이 경우, 각 노드에 MDE 에이전트를 개별적으로 설치하는 대신 컨테이너 에이전트 없는(agentless) 보안 접근 방식을 사용하게 됩니다.

권장 배포 방법

Defender for Cloud에서 자동 프로비저닝을 활성화하세요:

Azure 포털에 접속하여 [Microsoft Defender for Cloud] > [환경 설정(Environment settings)] 메뉴로 이동합니다.

사용 중인 구독을 선택합니다.

[자동 프로비저닝(Auto provisioning)] 탭에서 Log Analytics 에이전트와 Defender for Endpoint 항목을 모두 "켬(On)"으로 설정합니다.

이렇게 설정하면 Azure Policy가 작동하여, 현재 존재하는 모든 VMSS 인스턴스는 물론 향후 생성될 인스턴스에도 필요한 확장이 자동으로 배포되도록 보장해 줍니다. 더욱 세밀한 제어가 필요하다면, MDE 확장을 VMSS ARM 템플릿이나 Terraform 모듈에 통합하여 모든 인스턴스가 생성 시점에 이미 온보딩된 상태로 시작되도록 하십시오.

Microsoft References

1. VMSS 기반 AKS 클러스터에서 Defender for Containers 활성화https://learn.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction
2. Defender 취약점 관리(MDE.Windows/MDE.Linux 확장 확인)를 사용하여 취약점을 모니터링하십시오. https://learn.microsoft.com/azure/defender-for-cloud/deploy-vulnerability-assessment-tvm
3. Defender for Cloud와 Defender for Endpoint 통합 (상태 및 문제에 대한 가시성 확보)https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint
4. FAQ: 장비에는 취약점 진단 솔루션이 탑재되어야 합니다.https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint#visibility-into-health-issues-in-defender-for-servers